Ensayo de COBIT

Auditoría de Sistemas de TI
21/10/2011

Cindy Sarahí Mata Sánchez

 Auditoría de Sistemas de TI 1
Ensayo de COBIT

INTRODUCCIÓN

Hasta ahora, entiendo que COBIT es una herramienta importante para estructurar
y controlar los procesos de las TI, atendiendo a todas las áreas de la organización
y previniendo y controlando riesgos de TI.

Ahora tenemos una definición más clara: COBIT es un marco de referencia

de Gobierno TI y un conjunto de herramientas de soporte que permite a los
gerentes reducir la brecha entre los requerimientos de control, los temas técnicos
y los riesgos del negocio.
Permite el desarrollo de una política clara y una buena práctica para el control
TI en las organizaciones. COBIT acentúa el cumplimiento regulatorio, ayuda a las
organizaciones a aumentar el valor asociado al área de TI, habilita la alineación y
simplifica la puesta en práctica del marco de referencia COBIT.

DESARROLLO

Básicamente podemos darnos cuenta que esta herramienta es sumamente valiosa

para una organización que está interesada en la utilización de buenas prácticas
para agilizar los procesos del departamento y/o área de TI.

A partir de una investigación, pude darme cuenta de que la estructura del modelo
COBIT evalúa criterios de información (seguridad y calidad), recursos de
tecnologías de la información (recurso humano, instalaciones y sistemas) y otro
punto importante son los procesos involucrados en la organización, este modelo
de evaluación y monitoreo, remarca importancia en el control de negocios y la
seguridad de TI.

Lo que más me parece importante de esta herramienta es que abarca controles

específicos de TI pero desde una perspectiva de negocios.

El COBIT es precisamente un modelo para auditar la gestión y control de los

sistemas de información y tecnología, orientado a todos los sectores de una
organización, es decir, administradores IT, usuarios y por supuesto, los auditores
 Auditoría de Sistemas de TI 2
Ensayo de COBIT

involucrados en el proceso. El COBIT es un modelo de evaluación y monitoreo

que enfatiza en el control de negocios y la seguridad IT y que abarca controles
específicos de IT desde una perspectiva de negocios.

Las siglas COBIT significan Objetivos de Control para Tecnología de Información y

Tecnologías relacionadas (Control Objectives for Information Systems and related
Technology). El modelo es el resultado de una investigación con expertos de
varios países, desarrollado por ISACA (Information Systems Audit and Control
Association).

COBIT, lanzado en 1996, es una herramienta de gobierno de TI que ha cambiado

la forma en que trabajan los profesionales de tecnología. Vinculando tecnología
informática y prácticas de control, el modelo COBIT consolida y armoniza
estándares de fuentes globales prominentes en un recurso crítico para la gerencia,
los profesionales de control y los auditores.

COBIT se aplica a los sistemas de información de toda la empresa, incluyendo los

computadores personales y las redes. Está basado en la filosofía de que los
recursos TI necesitan ser administrados por un conjunto de procesos naturalmente
agrupados para proveer la información pertinente y confiable que requiere una
organización para lograr sus objetivos.

“La adecuada implementación de un modelo COBIT en una organización, provee

una herramienta automatizada, para evaluar de manera ágil y consistente el
cumplimiento de los objetivos de control y controles detallados, que aseguran que
los procesos y recursos de información y tecnología contribuyen al logro de los
objetivos del negocio en un mercado cada vez más exigente, complejo y
diversificado”, señaló un informe de ETEK (El mayor proveedor de seguridad de la
información en Latinoamérica).
 Auditoría de Sistemas de TI 3
Ensayo de COBIT

Sabemos que está diseñado para tres usuarios finales:

I. Administración: para ayudarlos a hacer un balance entre los riesgos y las

inversiones.
II. Usuarios: para obtener una garantía en cuanto a la seguridad y controles de
los servicios de Tecnologías de la Información proporcionados internamente
o por terceras partes.
III. Auditores de Sistemas de Información: Para dar soporte a las opiniones
mostradas a la administración sobre los controles internos.

Cabe destacar que para el uso de COBIT, se deben adquirir otro tipo de
requerimientos dentro de la organización, tales como: calidad, madurez,
efectividad, eficiencia, confidencialidad, integridad, disponibilidad y cumplimiento.

Características

Orientado al negocio.

Alineado con estándares y regulaciones "de facto".

Basado en una revisión crítica y analítica de las tareas y actividades en TI.

Alineado con estándares de control y auditoria (COSO, IFAC, IIA, ISACA, AICPA).

PRINCIPIOS:

El enfoque del control en TI se lleva a cabo visualizando la información necesaria

para dar soporte a los procesos de negocio y considerando a la información como
el resultado de la aplicación combinada de recursos relacionados con las TI que
deben ser administrados por procesos de TI.

Requerimientos de la información del negocio: Para alcanzar los requerimientos

de negocio, la información necesita satisfacer ciertos CRITERIOS:

Requerimientos de Calidad: Calidad, Costo y Entrega.

 Auditoría de Sistemas de TI 4
Ensayo de COBIT

Requerimientos Fiduciarios: Efectividad y Eficiencia operacional, Confiabilidad de

los reportes financieros y Cumplimiento le leyes y regulaciones.

Quiénes han adoptado el COBIT

Advirtiendo la necesidad de contar con un adecuado marco de referencia para el

gobierno de los sistemas de información y las tecnologías relacionadas, muchas
organizaciones en el ámbito nacional e internacional ya han adoptado el COBIT
como una de las mejores prácticas.

La adecuada implementación de un modelo COBIT en una organización, provee

una herramienta automatizada, para evaluar de manera ágil y consistente el
cumplimiento de los objetivos de control y controles detallados, que aseguran que
los procesos y recursos de información y tecnología contribuyen al logro de los
objetivos del negocio en un mercado cada vez más exigente y complejo. Hoy día
las empresas deben de saber que su activo más valioso es su información y la
tecnología que la soporta para muchas, afortunadamente ya no son la mayoría,
consideran estas como un gasto, y no como un soporte tan importante o más que
el núcleo del negocio mismo, ya que este debe ser soportado por los primeros,
esto debe ser considerado por el cuerpo ejecutivo aunque no lo entiendan, así
como promueven la obtención de una certificación en el núcleo del negocio, deben
considerar la implementación de una metodología como COBIT.

La alta dirección de las organizaciones deben optimizar los recursos disponibles

de TI, incluyendo: aplicaciones, información, infraestructura y personal, para
alinearlos a los objetivos del negocio para ello se pueden apoyar en COBIT,
empleando las buenas prácticas conjuntadas por expertos para asegurar una
óptima entrega de servicios por parte de TI y en caso de cualquier contingencia
saber cómo proceder y mantener la continuidad en el negocio. COBIT provee de
un marco de trabajo que vincula las actividades de TI con los objetivos del
negocio, para ello, deben estar organizadas en algún modelo de procesos
aceptado, los recursos de TI deben estar bien identificados así como los objetivos
 Auditoría de Sistemas de TI 5
Ensayo de COBIT

del área que proporciona los servicios de TI que deban ser considerados, esto con
la finalidad de alinear lo objetivos particulares de TI con los generales de la
empresa, y que como tales deben ser cuantificables para medir los logros y metas
alcanzadas de los responsables de los procesos del negocio.

CONCLUSIÓN

Para una empresa el uso de Cobit se convierte en una ventaja pues las decisiones
de una organización deben estar basadas en información oportuna, relevante,
confiable y concisa; y al estar sobre un marco sólido que explica como los
procesos de TI entregan esta información que el negocio requiere para alcanzar
sus objetivos.

Si bien es cierto que para las TI el ambiente es impredecible, pero aun así COBIT
nos ayuda a lograr un balance entre los riesgos y las inversiones que requieren los
controles necesarios para que la organización marche bien, realizando una
implementación gradual y progresiva acorde a los recursos disponibles y
acompasando la estrategia empresarial. Además Se procurará institucionalizar y
mejorar la calidad de las versiones en otras lenguas.