Muchas organizaciones cuentan con políticas de Gobierno de TI, comités tecnológicos, planes estratégicos, procedimientos, indicadores y estructuras de responsabilidad.

Sobre el papel, el marco parece adecuado. El problema aparece cuando Auditoría o el Directorio formula una pregunta sencilla: ¿Qué evidencia demuestra que el Gobierno de TI realmente funciona?

Tener documentos no es equivalente a tener gobierno. El Gobierno de TI debe ser observable en las decisiones, prioridades, controles, resultados y mecanismos de supervisión de la organización.

COBIT 2019 proporciona una estructura sólida para este propósito, pero la verdadera implementación se demuestra con evidencia.

Estas son diez evidencias que una organización debería ser capaz de presentar.

1. Alineamiento entre estrategia empresarial y estrategia tecnológica

La primera evidencia debe demostrar que las prioridades tecnológicas responden a objetivos empresariales concretos. No basta con contar con un Plan Estratégico de TI.

Debe existir trazabilidad entre:

• Objetivos corporativos.
• Iniciativas tecnológicas.
• Beneficios esperados.
• Responsables.
• Indicadores.

Si la organización no puede explicar qué objetivo de negocio soporta una inversión tecnológica, existe una desconexión de gobierno.

2. Evidencia de decisiones del Directorio o Comité

El gobierno se demuestra mediante decisiones. Por ello, deberían existir actas, acuerdos y registros que evidencien:

• Evaluación de inversiones relevantes.
• Priorización de iniciativas.
• Aceptación de riesgos.
• Seguimiento de desviaciones.
• Decisiones sobre proyectos críticos.
• Escalamiento de problemas.

Un comité que se reúne pero no deja evidencia de decisiones, responsables y fechas genera una debilidad importante.

3. Priorización formal del portafolio tecnológico

Una organización con Gobierno de TI debería ser capaz de explicar por qué algunos proyectos reciben recursos y otros no. La priorización debería considerar criterios como:

• Valor estratégico.
• Riesgo.
• Cumplimiento regulatorio.
• Impacto en clientes.
• Continuidad.
• Beneficios financieros.
• Capacidad tecnológica.

Si la prioridad depende principalmente de quién solicita el proyecto o de la presión del momento, la gobernanza es débil.

4. Roles y responsabilidades claramente definidos

Cada decisión crítica debe tener responsables identificados. Esto incluye:

• Directorio.
• Alta Dirección.
• CIO o Gerencia de Tecnología.
• Dueños de procesos.
• Riesgo.
• Seguridad.
• Continuidad.
• Auditoría.

Las matrices RACI pueden ayudar, pero la evidencia más importante es que los responsables realmente participen. Un documento que asigna funciones a personas que nunca intervienen no demuestra gobierno efectivo.

5. Gestión del riesgo tecnológico conectada con el apetito de riesgo

Los riesgos tecnológicos no deberían evaluarse de forma aislada. La organización debe poder demostrar:

• Qué riesgos críticos existen.
• Qué nivel de exposición presentan.
• Cuáles se encuentran fuera del apetito.
• Qué controles los mitigan.
• Qué planes de acción están pendientes.
• Qué riesgos han sido aceptados.

Esta información debe escalarse al nivel correspondiente. El Directorio no necesita conocer todos los riesgos tecnológicos, pero sí aquellos que pueden afectar objetivos estratégicos o servicios críticos.

6. Indicadores que permitan tomar decisiones

Un tablero de Gobierno de TI no debería estar compuesto únicamente por métricas operativas. Además de disponibilidad, incidentes o tiempos de atención, debería incluir indicadores relacionados con:

• Valor generado.
• Beneficios de proyectos.
• Exposición al riesgo.
• Capacidad tecnológica.
• Deuda técnica.
• Obsolescencia.
• Dependencia de terceros.
• Cumplimiento de planes.
• Resiliencia.

Un indicador que no genera decisiones es únicamente una estadística.

7. Seguimiento de beneficios de las inversiones

Uno de los puntos más débiles del Gobierno de TI es que muchas organizaciones controlan el costo del proyecto, pero no verifican los beneficios posteriores. Un proyecto puede haberse entregado dentro del presupuesto y aun así no generar el valor esperado.

La evidencia debería incluir:

• Beneficios definidos.
• Línea base.
• Indicadores.
• Responsable de beneficios.
• Fecha de medición.
• Resultado real.

COBIT 2019 enfatiza la generación de valor, no únicamente la ejecución tecnológica.

8. Gestión de proveedores y concentración tecnológica

El Gobierno de TI debe conocer qué dependencias externas pueden afectar a la organización. La evidencia debería mostrar:

• Proveedores críticos.
• Servicios tercerizados.
• Niveles de concentración.
• SLA.
• Riesgos.
• Evaluaciones.
• Planes de salida.
• Dependencias de subcontratistas.
• Resultados de pruebas de continuidad.

La gestión contractual es solo una parte. El gobierno debe analizar qué ocurriría si el proveedor deja de prestar el servicio.

9. Evidencia de resiliencia y continuidad tecnológica

No basta con contar con DRP o planes de recuperación. La organización debe poder demostrar:

• Pruebas realizadas.
• Resultados.
• Incidentes detectados.
• Cumplimiento de RTO y RPO.
• Capacidad de recuperación.
• Acciones correctivas.
• Dependencias críticas.

Una estrategia de continuidad que nunca ha sido probada representa una hipótesis, no una capacidad demostrada.

10. Seguimiento independiente

Finalmente, debe existir evidencia de supervisión independiente. Esto puede incluir:

• Auditoría Interna.
• Evaluaciones de Riesgos.
• Revisiones de Control Interno.
• Evaluaciones externas.
• Diagnósticos de madurez.
• Seguimiento de observaciones.

El objetivo es evitar que las mismas áreas que operan los procesos sean las únicas que evalúan su efectividad.

La diferencia entre tener COBIT e implementar COBIT

Una organización puede contar con políticas alineadas con COBIT 2019 y aun así presentar brechas importantes.

La implementación real se evidencia cuando existe una relación clara entre:

Objetivo → decisión → responsable → control → indicador → resultado → seguimiento.

Si alguno de estos elementos falta, la trazabilidad se rompe. Por eso, una evaluación de Gobierno de TI no debería limitarse a preguntar si existe determinado documento.

Debería preguntar:

• ¿Se utiliza?
• ¿Quién lo revisa?
• ¿Qué decisión genera?
• ¿Con qué frecuencia?
• ¿Qué ocurre cuando existen desviaciones?
• ¿Cómo se demuestra?

Estas preguntas permiten diferenciar una implementación formal de una implementación efectiva.

Qué debería recibir el Directorio

El Directorio no necesita revisar cien indicadores ni conocer todos los procesos COBIT. Necesita una visión ejecutiva sobre:

• Alineamiento estratégico.
• Valor generado.
• Riesgos críticos.
• Desviaciones.
• Inversiones.
• Capacidad.
• Resiliencia.
• Terceros.
• Cumplimiento.
• Planes de mejora.

El reporte debe permitir decidir, no simplemente informar.

Reflexión final

El Gobierno de TI no se demuestra con un manual. Se demuestra mediante decisiones consistentes, responsabilidades claras, indicadores útiles, seguimiento y evidencia. Cuando Auditoría pregunta si el Gobierno de TI funciona, la respuesta no debería ser mostrar una política.

La organización debería poder mostrar cómo esa política se traduce en decisiones, controles, resultados y acciones.

COBIT 2019 proporciona una estructura robusta para organizar este sistema. Pero el verdadero nivel de madurez se observa cuando el gobierno deja de ser un conjunto de documentos y se convierte en una forma habitual de tomar decisiones.

Porque al final, la pregunta relevante no es: ¿Tenemos COBIT implementado?

La pregunta correcta es: ¿Podemos demostrar que nuestra tecnología está siendo gobernada de forma efectiva?

---

En ALGERisk Corporation apoyamos a las organizaciones en diagnósticos COBIT 2019, evaluaciones de madurez, identificación de brechas, definición de evidencias, planes de acción y acompañamiento para fortalecer el Gobierno de TI.