Programa de

evaluación de Cobit
ING. MAURICIO LARA
Contribución de las TI en el desempeño de la organización

• La norma ISO/IEC 38500 (2008), establece que “un adecuado gobierno corporativo
de las TI ayuda a garantizar que el uso de las TI contribuya positivamente al
desempeño de la organización”. Esta contribución se manifiesta mediante:
– Una implementación y explotación adecuada de los activos de las TI.
– Claridad de responsabilidad e imputabilidad tanto para el uso como para la provisión de TI para
el logro de los objetivos empresariales.
– Continuidad y sostenibilidad del negocio.
– La alineación de las TI con las necesidades del negocio.
– La asignación eficiente de recursos.
– La innovación en los servicios, mercados y negocios.
– Las buenas prácticas en las relaciones con las partes interesadas.
– La reducción de los costes de una organización.
– La consecución real de los beneficios aprobados para cada inversión en TI.
Framework de medición

• El proceso de evaluación establece:

– Niveles de capacidad definidos (ISO/IEC 15504)
– Atributos del proceso (ISO/IEC 15504)
– Indicadores (ISO/IEC 15504)
– Un método de medición estándar (ISO/IEC 15504)
Niveles de capacidad de los procesos
Atributos de los procesos
Son usados para determinar si un proceso ha conseguido una capacidad concreta
Indicadores de evaluación

• Sirven de base para determinar los atributos de proceso que se

han conseguido:
– Nivel de capacidad 1:
• Los indicadores son específicos para cada proceso.
• Evalúan como se han conseguido el atributo siguiente:
– El proceso implementado consigue su propósito.
• Trata sobre el ‘contenido detallado’ de cada uno de los 37 procesos.
– Niveles de capacidad 2 a 5:
• La evaluación de la capacidad se basa en indicadores genéricos de rendimiento
del proceso.
• Éstos se identifican como genéricos porque aplican a todo el proceso de forma
transversal pero son diferentes en los diferentes niveles de capacidad.
• Discuten sobre los ‘atributos genéricos’ para todos los procesos
Escala de calificación

• Escala definida en el estándar ISO/IEC 15504:

N No conseguido. Ausencia o poca evidencia de la consecución del atributo definido en el proceso

evaluado.
P Parcialmente conseguido. Se dispone de alguna prueba del enfoque i consecución del atributo
definido en el proceso evaluado. Algunos de los extremos de consecución del atributo pueden ser
impredecibles.

L Ampliamente conseguido. Se observan pruebas de un enfoque sistemático y de un nivel significativo

de consecución del atributo definido en el proceso evaluado. Pueden existir algunas debilidades
relacionadas con el atributo en el proceso evaluado.

F Totalmente conseguido. Existen pruebas de enfoque sistemático y completo y de un nivel total de

consecución del atributo definido en el proceso evaluado. No se identifican debilidades sensibles
relacionadas con el atributo definido en el proceso evaluado.
Niveles de calificación

• Garantizan un nivel de interpretación consistente

• Indican a los evaluadores el grado de consecución de cada atributo
Determinado el nivel de capacidad

1
Proceso de autoevaluación de COBIT

• Aproximación simplificada a la realización de una valoración no basada en la evidencia.

• No requiere un asesor independiente o certificado.
• Se puede realizar como paso previo a una evaluación formal.
Proceso de autoevaluación de COBIT

Paso 1—Decidir sobre los procesos a evaluar.

A- Identificar los procesos a evaluar

Nombre proceso Área Dominio Descripción

Proceso de autoevaluación de COBIT

Paso 1—Decidir sobre los procesos a evaluar.

B- Registrar los procesos seleccionados en la Tabla resumen de evaluación
Proceso de autoevaluación de COBIT

Paso 1—Decidir sobre los procesos a evaluar.

B- Registrar los procesos seleccionados en la Tabla resumen de evaluación.
- Establecer el nivel de capacidad requerida del proceso.
- Considerar el impacto en los objetivos del negocio sino se alcanza un nivel determinado de
capacidad.
- La primera consideración es el impacto en la empresa si el proceso no existe o no funciona
con eficacia o eficiencia.
- La segunda consideración concierne a las consecuencias adicionales de la operación eficaz y
eficiente de los procesos en los diferentes niveles de capacidad.
Proceso de autoevaluación de COBIT
Proceso de autoevaluación de COBIT

Paso 2 — Determinar si los procesos seleccionados están en el Nivel 1 de Capacidad.

A – Determinar si en realidad se está realizando el proceso y si está logrando sus resultados.
B – Cada proceso tiene Prácticas de Gobierno o Prácticas de Gestión establecidas por Cobit,
también entradas, salidas y actividades por realizar  De estos elementos se pueden establecer
los indicadores de medición de los atributos.