Recibido: 15-10-2018 /Aceptado: 02-11-2018/ Publicado: 06-01-2019<=
/span>
La evaluación de las tecnologías=
de
la información usando Cobit Assurance
para una auditoría de cumplimiento.
The evaluation of information technologies using <=
span
class=3DSpellE>Cobit Assurance for a compliance audit.
Efraín Velasteguí
López
DOI: https://doi.org/10.33262/vis=
ionariodigital.v3i1.133
Resumen.
=
Palabras
Clave: COBIT, ITIL madur=
ez,
auditoría, Assurance, TI, control, Assurance Guide
Key
Word: COBIT, ITIL madurez, <=
span
class=3DSpellE>auditoría, Assurance, TI, control, Assurance Guide
La educación continua en Ecuador es un mercado muy
competitivo, debido a las bajas barreras de
entrada del mercado y la proliferación de competidores, haciendo del=
Centro
de Educación Continua de la Escuela Politécnica Nacional (CEC-EPN), este en
constante búsqueda de ventajas competitivas que le aseguren un lugar
preponderante en el mercado. Uno de los principales ejes para establecer es=
ta
ventaja es la tecnología. La alta dirección consciente de su potencial, bus=
ca
darle un papel más importante dentro de la estrategia en la organización, p=
ara
ello es necesario alinear a la Coordinación de Gestión Tecnológica con los
objetivos del negocio de tal manera hacerla eficiente. Las tecnologías de l=
a información(TI) se han convertido en el motor que muev=
e a las
organizaciones, y que en muchos casos decide la supervivencia o no de las
mismas, haciendo que poco a poco sea vista como un área estratégica relevan=
te.
El CEC-EPN consciente de esta realidad ha venido
integrando a su área de tecnologías de la información (Coordinación de Gest=
ión
Tecnológica), en un principio creándola como un área formal, pues en su cre=
ación
era parte de la Coordinación de Capacitación y Consultoría, y luego
incluyéndola dentro de su Sistema de Gestión de Calidad, con el fin de darle
una mayor importancia e irla involucrando dentro de la alta gerencia organi=
zacional.
Para ello es indispensable el establecimiento de un gobierno de TI, sólido y
basado en los más prestigiosos manuales de referencia para las Tecnología d=
e la
Información, que se ajuste y apuntale los objetivos de la organización., Es=
te
tipo de manuales, hoy por hoy son aplicadas en muchas de las más prestigios=
as
empresas en el mundo, demostrando que no solo significan una moda sino que
realmente son vistos, como verdaderas armas, en la lucha por generar
organizaciones más competitivas generando mayores réditos.
En función a lo anterior, este trabajo se orientó a
establecer la situación inicial de la Coordinación de Gestión Tecnología del
CEC-EPN, así como determinar las actividades más críticas para la Coordinac=
ión
de Gestión Tecnológica del CEC-EPN, basados en la estrategia empresarial del
CEC-EPN, para finalmente analizar el estado de madurez de cada uno de los
procesos seleccionados de COBIT a ser propuestos al CEC-EPN. Para cumplir e=
stos
requerimientos dados, la
metodología utilizada esta segregada en tres etapas: enfoque análisis- sint=
ético,
hibrido, y finalmente C=
OBIT y
su Assurance Guide =
para la
auditoría misma del control de los procesos
=
Objetivo
General.
Establecimiento de un gobierno de TI, sólido y basado= en referencias de las mejores prácticas el manejo y gestión de las tecnologías de la infor= mación y comunicación, que se ajuste y apuntale los objetivos de la organización.<= o:p>
Objetivos Específicos.
·&nb=
sp;
=
Analizar
la situación inicial de la Coordinación de Gestión Tecnología del CEC-EPN.
·&nb=
sp;
=
Determinar
actividades más críticas para la Coordinación de Gestión Tecnológica del
CEC-EPN.
·&nb=
sp;
=
Analizar
el estado de madurez, en cada uno de los procesos seleccionados de COBIT.
=
2. &=
nbsp;
Metodología.
La metodología =
del
presente estudio esta segregada en tres etapas: enfoque análisis- sintético,
hibrido, y, finalmente CO=
BIT
y su Assurance Guide para
la auditoría misma del control de los procesos.
Para la primera
etapa se utilizó el método
análisis-sintético identificando procesos más críticos y que generan valor =
a la
institución. En la segunda
etapa el e<=
span
style=3D'color:black'>nfoque
descriptivo e hibrido. Autores como (Tashakkori &
Creswell, 2007 Creswell, Piano, &am=
p;
Published, 2007) confirman
a la investigación híbrida como una metodología de integración de datos
cuantitativos y cualitativos. =
Para,
(G, 2000) menciona que la investigación descriptiva trabaja so=
bre
realidades de hecho y su característica es la de presentar una interpretaci=
ón
correcta. Dado los anterior=
es
argumentos, este artículo utilizará ambas metodologías identificando cuatro aspectos relevantes: primero, =
la
literatura académica sugiere la localización de la unidad de análisi=
s., (Andreú, 2002) argumenta que son aquellas porciones del universo
observado que serán analizadas, En este contexto, la unidad será el Centro =
de
Educación Continua de la Escuela Politécnica Nacional CEC-EPN, segundo, la
muestra según (García-garcía,
Reding-bernal, & López-alvarenga, 2013) señalan que permite saber cuántos individuos son
necesarios estudiar, para estimar un parámetro determinado con el grado de =
confianza
deseado, bajo este argumento la muestra extraída es las
diversas actividades de soporte (gestión administrativa financiera, gestión=
de
recurso humanos, sistema de gestión de calidad, desarrollo tecnológico), ad=
emás
de actividades principales (investigación de mercado, diseño y desarrollo,
publicidad y ventas, prestación y evaluación de servicio),=
tercero,
la entrevista para (Taylor =
&
Bogdan, 1987) e<=
/span>s un encuentro profundo donde el entrevistador y el
entrevistado entran en una=
conversación hacia el entendimiento de sus perspectivas respecto al
tema
a tratar., En este sentido, la entrevista =
fue
dirigida por un lado, a los coordinadores
de los procesos que más dem=
andan
del servicio de la Coordinación de Tecnología que para el caso son “Publici=
dad
y Ventas” y “Prestación y Evaluación del Servicio que corresponden a la Coordinación de Marketing, Coordinador de Lingüística e Intercambios Culturales.
Tercero, para la evaluación se usó el checklist
sugerido en el Assurance G=
uide
de COBIT para cada uno de los procesos identificados como los más críticos =
para
el CEC-EPN., Luego los resultados del checklist=
se
procederán a equiparar con lo que determina COBIT para establecer en qué ni=
vel
de madurez se encuentra el proceso de COBIT en el CEC-EPN, de esta manera
determinar actividades con más alta severidad bajo la siguiente escala de
valoración sugerida por COBIT (Ins=
ignificante,
Bajo, Media, Alta) (Pereira & Ferre=
ira,
2015)
=
Herramientas.
Durante todo el proyecto fue importante sin duda la
colaboración de la Coordinación de Gestión Tecnológica quien fue pieza clav=
e a
la hora de brindar toda la información acerca del proceso., La información =
requerida
estuvo en el Sistema de Gestión de la Calidad del CEC-EPN, presente en el
Manual de Calidad del CEC-EPN y en los registros diarios que lleva la
Coordinación. Adicionalmente se usaron las siguientes herramientas utilizad=
as
por la comunidad científica como por ejemplo: Cobit
4.1.(Mukaromah & Putra, 2016)(Shivashankarappa, Smalov, Dharmalingam, & Anbazhagan,
2012), Cobit Assurance Guide, Itil V3 (Cui, Lin, & Mo, 2012), Iso 270001 <=
/span>(Bernik & Prislan, 2011).
3.<=
span
style=3D'font:7.0pt "Times New Roman"'> =
Resultados.
3.1=
. =
Actividades Soporte y Actividades Principales.
Para dar cumplimiento a nuestro objetivo se realizó e=
l análisis
basado en la cadena de valor del CEC-EPN, de manera que se describió cada u=
no
de los procesos estableciendo su relación directa con la Coordinación de Gestión Tecnológica, detallada en la sig=
uiente
tabla la=
s actividades de soporte y actividades principales.=
Tabla N 1 Actividades de
Soporte.
Actividad soporte
|
Actividades principales |
Gestión administrativa-financiera
|
Investigac=
ión
de mercado
Este proceso se
realiza cada vez que un curso inicia, unas veces de manera más técnica y
otras veces de manera informal.
Anualmente se realiza un estudio de mercado que analiza las nuevas
tendencias del mercado para programar los cursos del nuevo año. Además diariamente se analiza los medios de comunica=
ción
para conocer la oferta que genera la competencia y definir cuáles son los
competidores directos. |
Gestión del recurso humano
|
Diseño y desarrollo
Este proceso se
dedica al diseño y elaboración de los pensum académicos, metodologías de =
los
cursos del cec-epn. En esta etapa se realiza =
la
selección de los instructores a través de clases demostrativas que son la
base que permiten manejar una buena base de instructores calificados. |
|
Esta área solo =
la compone
una persona, encargada
de manejar todo el sistema de gestión de calidad del cec-epn,
revisando los procesos documentados,
realizando correcciones, preparando auditorias parciales. =
|
Publicidad=
y
ventas
Este proceso
comienza con el diseño y ejecución de las campañas publicitarias, para lu=
ego
receptar a los potenciales clientes y cristalizar la venta de los cursos.=
Para
este proceso el apoyo de la coordinación de gestión tecnológica consiste =
en
el desarrollo, mantenimiento y soporte de sistemas para el análisis de la
publicidad y la inscripción de los participantes en los distintos cursos.=
Notándose dos
realidades totalmente distintas, mientras por un lado en lingüística la
inscripción de los participantes es crítica, pues maneja un promedio de 5=
000
alumnos por ciclo, más de la mitad de este número se inscriben en los últ=
imos
5 días lo que genera acumulaciones y molestias de los clientes, en el otro
proceso productivo que es capacitación el volumen de participantes es muc=
ho
menor sin dejar de ser importante la automatización tanto de sus
preinscripciones como de las matrículas. |
Desarrollo tecnológico
Uno de=
los
grandes problemas de la coordinación de gestión tecnológica del cec-epn, es la poca formalización de sus actividade=
s.
Algunos esfuerzos son sumamente informales, basados en iniciativas propia=
s.,
otra actividad que se maneja de manera informal es el desarrollo de los
proyectos tanto de software como de
hardware., en lo que respecta al software no existe definida una metodolo=
gía
de desarrollo de software que permita formalizar e integrar adecuadamente=
los
distintos proyectos de desarrollo de software que posee la institución
|
Prestación y evaluación del servicio
|
=
Fuente:
Elaborado por los autores
3.2=
. =
Actividades Críticas.
Para dar cumplimiento con nuestro segundo objetivo las
actividades más críticas para la Coordinación de Gestión Tecnológica del
CEC-EPN, basados en la estrategia empresarial del CEC-EPN, se las encajó de=
ntro
de 8 procesos pertenecientes al manual de referencia COBIT, para posteriorm=
ente
proceder a verificar su cumplimiento. De este primer análisis se encontró q=
ue
los servicios más requeridos, eran el soporte técnico que prácticamente lo
requieren todas las áreas pero hubo un par de procesos que usan servicios
puntuales que demandan muchos recursos, “Publicidad y Ventas” y “Prestación=
y
Evaluación del Servicio”; estos servicios por ejemplo son: desarrollo de
software para el core del negocio y mantenimien=
to,
otro sería la configuración y mantenimiento de equipos computacionales para=
sus
cursos tecnológicos que consumen tiempo de la Coordinación de Gestión
Tecnológica.
Los dos procesos antes mencionados engloban a
coordinaciones como las de Marketing, Lingüística e Intercambios de Culturales y Capacitación y Consultoría, que son principalmente los procesos
=
=
=
=
Fuente: Elaboración de los Autores.
Como se puede notar en la Fig. 1, los servicios o act=
ividades
de TI obtuvieron puntajes muy diversos, pero
sin duda la mayor cantidad de actividades se agruparon desde una
severidad de calificación 9 hasta 16. Tratando entonces de solucionar o
prevenir la mayor cantidad de se escogió el mencionado grupo y se buscó las
coincidencias con los procesos 32 procesos de COBIT, asignándolo un (1) pun=
to
si esta indirectamente relacionado y dos (2) puntos si era directa la relac=
ión
entre el riesgo y el proceso. Como resultado se obtuvo una matriz con los <=
span
class=3DGramE>procesos relacionado=
s
con los riesgos, de la cual se priorizo 8 en base a su relevancia.
|
|
(8) Administrar la Mesa de
Servicio y los Incidentes |
8 |
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(2) Adquirir y mantener software aplicativo |
7 |
|
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(3) Adquirir y mantener infraestructura tecnológica=
. |
5 |
|
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(10) Administrar los proyectos de TI, |
5 |
|
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(9) Evaluar y Administrar los Riesgos de TI |
5 |
|
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(1) Definir un Plan Estratégico de TI |
5 |
|
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(2) Definir la Arquitectura de la información |
5 |
|
|
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:115%;font-family:"Times N=
ew Roman",serif;
mso-ansi-language:ES'>(6) Administrar Cambios |
4 |
Elaborado por: Los Autores
3.3=
. =
Análisis Nivel de Madurez .
Los resultados en cuanto al estado de madurez de los proces=
os: DS8,
AI2, PO1, AI3, PO10, PO9, AI6, PO2 de COBIT, a ser evaluados para determina=
r el
nivel de gestión en el CEC-EPN , a través del COBIT As=
surance
Guide , se procedió a realizar una evaluación d=
e los
controles, conjuntamente con personal de la Coordinación de Gestión Tecnoló=
gica
del CEC-EPN, determinando objetivamente que nivel de cumplimiento poseía ca=
da
uno de los procesos. Encontrando el siguiente nivel de madurez a los proces=
os
seleccionados:
|
PROCESO COBIT |
PUNTUACION |
OBSERVACIONES |
|
|
Uso de técnicas y enfoques de administración en
decisión de gerentes de TI. Carencia de compromiso por parte de la gerencia hac=
ia
la propiedad de proyectos. Poca o nula participación del cliente y del usuario
para definir los proyectos de TI. |
|
|
No existe un proceso de diseño y especificación de
aplicaciones. |
||
|
Se realizan cambios a la infraestructura para cada
nueva aplicación, sin ningún plan en conjunto. La activid=
ad de
mantenimiento reacciona a necesidades de corto plazo. |
||
|
No existe conciencia por parte de la
gerencia de que la planeación estratégica de TI es requerida para dar sop=
orte
a las metas del negocio. |
||
|
La activ=
idad
de mantenimiento reacciona a necesidades de corto plazo |
||
|
La evaluación de riesgos para los procesos y las
decisiones de negocio no ocurre. La organización no toma en cuenta los impactos en el
negocio asociados a las vulnerabilidades de seguridad y a las incertidumb=
res
del desarrollo de proyectos. La administración de riesgos no se ha identificado =
como
algo relevante para adquirir soluciones de TI y para prestar servicios de=
TI. |
||
|
La gerencia reconoce que requiere un proceso soport=
ado
por herramientas y personal para responder a las consultas. La gerencia no
monitorea las consultas de los usuarios. No existe un proceso de escalamiento para garantizar
que los problemas se resuelvan |
||
|
No existe conciencia de la importancia de la arquitectura de la
información para la organización. |
Fuente: Elaborado por los Autores
Es así que todos los procesos no sobrepasaron el nive=
l de
madurez 1 de cada uno de los procesos de COBIT, demostrándose preliminarmen=
te
que el manejo de la Coordinación de Gestión Tecnología en dichos procesos es
informal, es decir no se documenta en su mayoría, por lo que las iniciativas
son aisladas en cuanto a la gestión de los procesos, basado en el conocimie=
nto
y experiencia de su personal, más no en directrices, políticas y procedimie=
ntos
generados por la institución.
Basado en la premisa planteada por los resultados la
Tabla II, se recomendó una meta alcanzable para el CEC-EPN de llevar a los 8
procesos propuestos a un nivel de madurez 2 según COBIT, que, si bien podría
parecer muy poco ambiciosa, hay que considerar que todos los procesos bases=
, es
decir, los de planeación están en un nivel 0, por lo que mal podría aspirar=
se a
mas cuando se tienen deficiencia en la planeaci=
ón del
área.
Fuente: Elaborado por los Autores.
Andreú, J. (2002). Las técnicas de
Análisis de Contenido: una revisión actualizada. Fundación Centro de
Estudios Andaluces, 1–34. https://doi.org/10.2307/334486
Bernik, I., & Prislan, K. (2011). Information Security in Risk Management Systems :
Slovenian Perspective. Journal of Criminal Justice, (2), 208–221.
Creswell, B. J. =
W.,
Piano, V. L., & Published, C. (2007). Designing and Conducting Mixed
Methods Research. Australian and New Zealand Journal of Public Health, 31(4),
388–388. https://doi.org/10.1111/j.1753-6405.2007.00096.x
Cui, X. P., Lin,=
B.
Y., & Mo, R. F. (2012). An ITIL v3-based solution to SOA governance.
G, P. T. G. (2000). Histórica, Descriptiva y Experimental,
4–7.
García-garcía, J. A., Reding-bernal, A., &
López-alvarenga, J. C. (2013). Cálculo del tamaño de la muestra en
investigación en educación médica. Investigación En Educación Médica=
, 2(8),
217–224. https://doi.org/10.1016/S2007-5057(13)72715-7
Mukaromah, S., & Putra, A. B. (2016). Maturity Level At University Academic Information System
Linking It Goals and Business Goal Based on Cobit 4.1. 3Rd Bali Internat=
ional
Seminar on Science & Technology (Bisstech 2015), 58.
https://doi.org/10.1051/matecconf/20165803009
Pereira, C., & Ferreira, C. (2015). Identificação de
Práticas e Recursos de Gestão do Valor das TI no COBIT 5. RISTI - Revista
Iberica de Sistemas E Tecnologias de Informacao, (15), 17–33.
https://doi.org/10.17013/risti.15.17-33
Shivashankarappa=
, A.
N., Smalov, L., Dharmalingam, R., & Anbazhagan, N. (2012). Implementing=
it
governance using COBIT: A case study focusing on critical success factors. =
World
Congress on Internet Security, WorldCIS-2012, 144–149. Retrieved from
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=3D&arnumber=3D6280217&=
;isnumber=3D6279697
Tashakkori, a., & Creswell, J. W. (2007). Edito=
rial:
The New Era of Mixed Methods. Journal of Mixed Methods Research, =
1(1),
3–7. https://doi.org/10.1177/2345678906293042
Taylor, S. J., &=
amp;
Bogdan, R. (1987). La observación participante en el campo. Introducción a Los Métodos
Cualitativos de Investigación La Búsqueda de Significados, 50–99.
https://doi.org/10.1017/CBO9781107415324.004
Para citar el
artículo indexado.
Velasteguí E. (2019). La evaluación de las tecnologías de la información usando Cobit A= ssurance para una auditoría de cumplimiento. Revista electrónica Visionario Digital 2(2), 41-50. Recupe= rado desde: http://cienciadigital.org/revistacienciad= igital2/index.php/VisionarioDigital/article/view/133/117
El artículo que se publica es de exclusiva
responsabilidad de los autores y no necesariamente reflejan el pensamiento =
de
la Revista Ciencia Digital.
[1] Universidad Técnicade Cot=
opaxi Ext.la Mana CIYA, Cotopaxi,Ecuador,
luis.velastegui7838@utc.edu.ec
www.visionariodigital.org