COBIT 4

PLANEAR Y ORGANIZAR

Roberto Loor 11 de Mayo de 2009

PO1. DEFINIR UN PLAN ESTRATGICO DE TI

Administrar y dirigir todos los recursos de TI de acuerdo con la estrategia del negocio y las prioridades. La funcin de TI y los participantes del negocio son responsables de garantizar que se materialice el valor ptimo de los portafolios de proyectos y servicios.

Se enfoca en el desarrollo de estrategias para otorgar estos servicios de una forma transparente y rentable

PO1. DEFINIR UN PLAN ESTRATGICO DE TI

PO1.1 Administracin del valor de TI. Trabajar con el negocio para garantizar que el portafolio de inversiones de TI de la empresa contenga programas con casos de negocio slidos. PO1.2 Alineacin de TI con el negocio. Educar a los ejecutivos sobre las capacidades tecnolgicas actuales y sobre el rumbo futuro, sobre las oportunidades que ofrece TI, y sobre qu debe hacer el negocio para capitalizar esas oportunidades. PO1.3 Evaluacin del desempeo actual. Evaluar el desempeo de los planes existentes y de los sistemas de informacin en trminos de su contribucin a los objetivos de negocio, su funcionalidad, su estabilidad, su complejidad, sus costos, sus fortalezas y debilidades. PO1.4 Plan estratgico de TI. Crear un plan estratgico que defina, en cooperacin con los interesados relevantes, cmo la TI contribuir a los objetivos estratgicos de la empresa (metas) as como los costos y riesgos relacionados. PO1.5 Planes tcticos de TI. Estos planes tcticos describen las iniciativas y los requerimientos de recursos requeridos por TI, y cmo el uso de los recursos y el logro de los beneficios sern monitoreados y administrados.

PO2. DEFINIR LA ARQUITECTURA DE INFORMACIN

La funcin de los sistemas de informacin debe crear y actualizar de forma regular un modelo de informacin del negocio y definir los sistemas apropiados para optimizar el uso de esta informacin.

Se enfoca en el establecimiento de un modelo de datos empresarial que incluye un esquema de clasificacin de informacin que garantice la integridad y consistencia de todos los datos.

PO2. DEFINIR LA ARQUITECTURA DE INFORMACIN

PO2.1 Modelo de arquitectura de informacin empresarial. El modelo facilita la creacin, uso y comparticin ptimas de la informacin por parte del negocio de una manera que conserva la integridad y es flexible, funcional, rentable oportuna segura y tolerante a fallas. PO2.2 Diccionario de datos empresarial y reglas de sintaxis de datos. Mantener un diccionario de datos empresarial que incluya las reglas de sintaxis de datos de la organizacin. PO2.3 Esquema de clasificacin de datos. Este esquema incluye detalles acerca de la propiedad de datos, la definicin de niveles apropiados de seguridad. Se usa como base para aplicar controles como el control de acceso, archivo o encriptacin. PO2.4 Administracin de la integridad. Definir e implantar procedimientos para garantizar la integridad y consistencia de todos los datos almacenados en formato electrnico, tales como bases de datos, almacenes de datos y archivos.

PO3. DETERMINAR LA DIRECCIN TECNOLGICA

Requiere de un consejo de arquitectura que establezca y administre expectativas realistas y claras de lo que la tecnologa puede ofrecer en trminos de productos, servicios y mecanismos de aplicacin. El plan se debe actualizar de forma regular y abarca aspectos tales como arquitectura de sistemas, direccin tecnolgica, planes de adquisicin, estndares, estrategias de migracin y contingencias.

Se enfoca en la definicin e implantacin de un plan de infraestructura tecnolgica, una arquitectura y estndares que tomen en cuenta y aprovechen las oportunidades tecnolgicas

PO3. DETERMINAR LA DIRECCIN TECNOLGICA

PO3.1 Planeacin de la direccin tecnolgica. Analizar las tecnologas existentes y emergentes y planear cul direccin tecnolgica es apropiado tomar para materializar la estrategia de TI y la arquitectura de sistemas del negocio. PO3.2 Plan de infraestructura tecnolgica. El plan se basa en la direccin tecnolgica e incluye acuerdos para contingencias y orientacin para la adquisicin de recursos tecnolgicos. PO3.3 Monitoreo de tendencias y regulaciones futuras. Establecer un proceso para monitorear las tendencias ambientales del sector / industria, tecnolgicas, de infraestructura, legales y regulatorias. PO3.4 Estndares tecnolgicos. Proporcionar soluciones tecnolgicas consistentes, efectivas y seguras para toda la empresa, establecer un foro tecnolgico para brindar directrices tecnolgicas, asesora sobre los productos de la infraestructura y guas sobre la seleccin de la tecnologa. PO3.5 Consejo de arquitectura. Establecer un consejo de arquitectura de TI que proporcione directrices sobre la arquitectura y asesora sobre su aplicacin y que verifique el cumplimiento.

PO4. DEFINIR LOS PROCESOS, ORGANIZACIN Y RELACIONES

Una organizacin de TI se debe definir tomando en cuenta los requerimientos de personal, funciones, delegacin, autoridad, roles, responsabilidades y supervisin. La organizacin estar incrustada en un marco de trabajo de procesos de TI que asegura la transparencia y el control.

Se enfoca en el establecimiento de estructuras organizacionales de TI transparentes, flexibles y responsables, y en la definicin e implantacin de procesos de TI con los propietarios, y en la integracin de roles y responsabilidades hacia los procesos de negocio y de decisin.

PO4. DEFINIR LOS PROCESOS, ORGANIZACIN Y RELACIONES

PO4.1 Marco de trabajo del proceso. Este marco incluye estructura y relaciones de procesos de TI, propiedad, medicin del desempeo, mejoras, cumplimiento, metas de calidad y planes para alcanzarlas. PO4.2 Comit estratgico. Este comit garantiza que el gobierno de TI, como parte del gobierno corporativo, se maneja de forma adecuada, asesora sobre la direccin estratgica y revisa las inversiones principales a nombre del consejo directivo. PO4.3 Comit directivo. Establecer un comit directivo de TI (o su equivalente) compuesto por la gerencia ejecutiva, del negocio y de TI para determinar las prioridades de los programas de inversin de TI alineadas con la estrategia y prioridades de negocio de la empresa PO4.4 Ubicacin organizacional de la funcin de TI. Ubicar a la funcin, en especial en funcin de que tan crtica es para la estrategia del negocio y el nivel de dependencia operativa sobre TI. PO4.5 Estructura organizacional. Establecer una estructura organizacional de TI interna y externa que refleje las necesidades del negocio.

PO5. ADMINISTRAR LA INVERSIN

Establecer y mantener un marco de trabajo para administrar los programas de inversin en TI que abarquen costos, beneficios, prioridades dentro del presupuesto, un proceso presupuestal formal y administracin contra ese presupuesto.

Se enfoca en decisiones de portafolio e inversin en TI efectivas y eficientes, y por medio del establecimiento y seguimiento del presupuestos de TI de acuerdo a la estrategia de TI y a las decisiones de inversin.

PO5. ADMINISTRAR LA INVERSIN

PO5.1 Marco de trabajo para la administracin financiera. Establecer un marco de trabajo financiero para TI que impulse el presupuesto y el anlisis de rentabilidad, con base en los portafolios de inversin, servicios y activos. PO5.2 Prioridades dentro del presupuesto de TI. Implantar un proceso de toma de decisiones para dar prioridades a la asignacin de recursos a TI para operaciones, proyectos y mantenimiento, para maximizar la contribucin de TI. PO5.3 Proceso presupuestal. Establecer un proceso para elaborar y administrar un presupuesto que refleje las prioridades establecidas en el portafolio empresarial de programas de inversin en TI, incluyendo los costos recurrentes de operar y mantener la infraestructura actual. PO5.4 Administracin de costos. Implantar un proceso de administracin de costos que compare los costos reales con los presupuestados. PO5.5 Administracin de beneficios. Implantar un proceso de monitoreo de beneficios. La contribucin esperada de TI a los resultados del negocio, ya sea como un componente de programas de inversin en TI o como parte de un soporte operativo regular, se debe identificar, acordar, monitorear y reportar.

PO6. COMUNICAR LAS ASPIRACIONES Y LA DIRECCIN DE LA GERENCIA

La direccin debe elaborar un marco de trabajo de control empresarial para TI, y definir y comunicar las polticas. Un programa de comunicacin continua se debe implantar para articular la misin, los objetivos de servicio, las polticas y procedimientos, aprobados y apoyados por la direccin.

Se enfoca en proporcionar polticas, procedimientos, directrices y otra documentacin aprobada, de forma precisa y entendible y que se encuentre dentro del marco de trabajo de control de Ti a los interesados.

PO6. COMUNICAR LAS ASPIRACIONES Y LA DIRECCIN DE LA GERENCIA

PO6.1 Ambiente de polticas y de control. Definir los elementos de un ambiente de control para TI, alineados con la filosofa administrativa y el estilo operativo de la empresa. PO6.2 Riesgo Corporativo y Marco de Referencia de Control Interno de TI. Elaborar y dar mantenimiento a un marco de trabajo que establezca el enfoque empresarial general hacia los riesgos y hacia el control interno para entregar valor mientras al mismo tiempo se protegen los recursos y sistemas de TI. PO6.3 Administracin de polticas para TI. Elaborar y dar mantenimiento a un conjunto de polticas que apoyen la estrategia de TI. PO6.4 Implantacin de polticas de TI. Asegurarse de que las polticas de TI se implantan y se comunican a todo el personal relevante, y se refuerzan, de tal forma que estn incluidas y sean parte integral de las operaciones empresariales. PO6.5 Comunicacin de los objetivos y la direccin de TI. Asegurarse de la conciencia y el entendimiento de los objetivos y la direccin del negocio. La direccin debe dar especial atencin a comunicar la conciencia de que la seguridad de TI es responsabilidad de todos.

PO7. ADMINISTRAR LOS RECURSOS HUMANOS

Adquirir, mantener y motivar una fuerza de trabajo para la creacin y entrega de servicios de TI para el negocio. Esto se logra siguiendo prcticas definidas y aprobadas que apoyan el entrenamiento, la evaluacin del desempeo, la promocin y la terminacin.

Se enfoca en la contratacin y entrenamiento del personal, la asignacin de roles que correspondan a las habilidades, la creacin de descripcin de puestos y el aseguramiento de la conciencia de la dependencia sobre los individuos.

PO7. ADMINISTRAR LOS RECURSOS HUMANOS

PO7.1 Reclutamiento y Retencin del Personal. La gerencia implementa procesos para garantizar que la organizacin cuente con una fuerza de trabajo posicionada de forma apropiada, que tenga las habilidades necesarias para alcanzar las metas organizacionales. PO7.2 Competencias del personal. Verificar de forma peridica que el personal tenga las habilidades para cumplir sus roles con base en su educacin, entrenamiento y/o experiencia. PO7.3 Asignacin de roles. Definir, monitorear y supervisar los marcos de trabajo para los roles, responsabilidades y compensacin del personal, incluyendo el requisito de adherirse a las polticas y procedimientos administrativos, as como al cdigo de tica y prcticas profesionales. PO7.4 Entrenamiento del personal. Proporcionar a los empleados el entrenamiento continuo para conservar su conocimiento, aptitudes, habilidades, controles internos y conciencia sobre la seguridad, al nivel requerido para alcanzar las metas organizacionales. PO7.5 Dependencia sobre los individuos. Minimizar la exposicin a dependencias crticas sobre individuos clave por medio de la captura del conocimiento (documentacin), compartir el conocimiento, planeacin de la sucesin y respaldos de personal.

PO8. ADMINISTRAR LA CALIDAD

Se debe elaborar y mantener un sistema de administracin de calidad, el cual incluya procesos y estndares probados de desarrollo y de adquisicin. Esto se facilita por medio de la planeacin, implantacin y mantenimiento del sistema de administracin de calidad, proporcionando requerimientos, procedimientos y polticas claras de calidad.

Se enfoca en la definicin de un sistema de administracin de calidad, el monitoreo continuo del desempeo contra los objetivos predefinidos, y la implantacin de un programa de mejora continua de servicios de TI

PO8. ADMINISTRAR LA CALIDAD

PO8.1 Sistema de administracin de calidad: Establecer y mantener un sistema que proporcione un enfoque estndar, formal y continuo, con respecto a la administracin de la calidad, que est alineado con los requerimientos del negocio. PO8.2 Estndares y prcticas de calidad. Usar las mejores prcticas de la industria como referencia al mejorar y adaptar las prcticas de calidad de la organizacin. PO8.3 Estndares de desarrollo y de adquisicin. Adoptar y mantener estndares para todo el desarrollo y adquisicin que siguen el ciclo de vida, hasta el ltimo entregable e incluyen la aprobacin en puntos clave con base en criterios de aprobacin acordados. PO8.4 Enfoque en el cliente. Garantiza que la administracin de calidad se enfoque en los clientes, al determinar sus requerimientos y alinearlos con los estndares y prcticas de TI. Se definen los roles y responsabilidades respecto a la resolucin de conflictos entre el usuario/cliente y la organizacin de TI. PO8.5 Mejora continua. Se elabora y comunica un plan global de calidad que promueva la mejora continua, de forma peridica.

PO9. EVALUAR Y ADMINISTRAR LOS RIESGOS

Crear y dar mantenimiento a un marco de trabajo de administracin de riesgos. Se deben adoptar estrategias de mitigacin de riesgos para minimizar los riesgos residuales a un nivel aceptable.

Se enfoca en la elaboracin de un marco de trabajo de administracin de riesgos el cual est integrado en los marcos gerenciales de riesgo operacional, evaluacin de riesgos, mitigacin del riesgo y comunicacin de riesgos residuales.

PO9. EVALUAR Y ADMINISTRAR LOS RIESGOS

PO9.1 Alineacin de la administracin de riesgos de TI y del negocio. Integrar el gobierno, la administracin de riesgos y el marco de control de TI, al marco de trabajo de administracin de riesgos de la organizacin. PO9.2 Establecimiento del contexto del riesgo. Establecer el contexto en el cual el marco de trabajo de evaluacin de riesgos se aplica para garantizar resultados apropiados. PO9.3 Identificacin de eventos. Identificar todos aquellos eventos (amenazas y vulnerabilidades) con un impacto potencial sobre las metas o las operaciones de la empresa, aspectos de negocio, regulatorios, legales, tecnolgicos, de sociedad comercial, de recursos humanos y operativos. PO9.4 Evaluacin de riesgos. Evaluar de forma recurrente la posibilidad e impacto de todos los riesgos identificados, usando mtodos cualitativos y cuantitativos. PO9.5 Respuesta a los riesgos. La respuesta a los riesgos debe identificar estrategias de riesgo tales como evitar, reducir, compartir o aceptar. Al elaborar la respuesta, considerar los costos y beneficios y seleccionar respuestas que limiten los riesgos residuales dentro de los niveles de tolerancia de riesgos definidos.

PO10. ADMINISTRAR PROYECTOS

El marco de trabajo debe garantizar la correcta asignacin de prioridades y la coordinacin de todos los proyectos.

Se enfoca en un programa de administracin de proyectos definidos, el cual se aplica a todos los proyectos de TI, lo cual facilita la participacin de los interesados y el monitoreo de los riesgos y los avances de los proyectos

PO10. ADMINISTRAR PROYECTOS

PO10.1 Plan de calidad del proyecto. Preparar un plan de administracin de la calidad que describa el sistema de calidad del proyecto y cmo ser implantado. PO10.2 Control de cambios del proyecto. Establecer un sistema de control de cambios para cada proyecto, de tal modo que todos los cambios a la lnea base del proyecto (ej. costos, cronograma, alcance y calidad) se revisen, aprueben e incorporen de manera apropiada al plan integrado del proyecto. PO10.3 Planeacin del proyecto y mtodos de aseguramiento. Identificar las tares de aseguramiento requeridas, las tareas deben proporcionar la seguridad de que los controles internos y las caractersticas de seguridad satisfagan los requerimientos definidos. PO10.4 Medicin del desempeo, reportes y monitoreo del proyecto. Medir el desempeo del proyecto contra los criterios clave del proyecto (ej. alcance, calendario, calidad, costos y riesgos PO10.5 Cierre del proyecto. Solicitar que al finalizar cada proyecto, los interesados del proyecto se cercioren de que el proyecto haya proporcionado los resultados y los beneficios esperados.