Caso Callwick

Necesidades

Problemas

• Necesita incrementar la eficiencia operacional en el mercado doméstico, porque la presión sobre los márgenes de ganancia es mayor que las economías emergentes
• Se necesita crear un departamento interno de auditoría, así como implementar un programa de gobierno de TI con la finalidad de lograr consistencia en lo que respecta a la gestión de la seguridad y del riesgo
• Se necesita un lenguaje común entre la gerencia, TI y los auditores.
• La oficina del CIO requiere mejor información para una mejor toma de decisiones.

• Muchas de las aplicaciones han sido desarrolladas internamente, y las nuevas adquisiciones han sacado a la luz varios problemas de compatibilidad de TI, lo que ha incrementado los costos de mantenimiento.
• El Departamento de TI no sigue políticas ni procedimientos consistentes.
• El Consejo y el equipo ejecutivo rara vez discuten asuntos relacionados con gestión de TI, pues consideran que esto es responsabilidad del CIO. En lugar de esto, dedican más tiempo a las tecnologías específicas del negocio.
• No se les presta atención dedicada a los temas de gobierno, riesgo, ni a los asuntos de control relacionados con TI.
• No existen foros dedicados a discutir estrategias de TI y de gobierno; la gerencia reconoce la importancia de esta necesidad, pero no sabe cómo alcanzarla.
• Las estrategias de la compañía contienen objetivos para la mejora de la supervisión e involucramiento ejecutivo.

Metas Empresariales

Cumple

Cantidad

EG02 – Gestión de riesgo de negocio

1. Porcentaje de objetivos y servicios empresariales críticos cubiertos por la evaluación de riesgos.

SI

1

1. Número de incidentes significativos que no se identificaron en la evaluación de riesgos frente al total de incidentes.

NO

1. Frecuencia de actualización del perfil de riego.

NO

EG06 – Continuidad y disponibilidad del servicio del negocio

1. Número de interrupciones del servicio al cliente o procesos empresariales que han causado incidentes significativos.

SI

3

1. Coste empresarial de los incidentes.

SI

1. Número de horas de procesamiento perdidas en el negocio debido a interrupciones inesperadas del servicio.

SI

1. Porcentaje de quejas en función de los objetivos de disponibilidad del servicio acordados.

NO

Metas de Alineamiento

Cumple

Cantidad

AG02 – Gestión de riesgo relacionado con I&T

1. Frecuencia de actualización del perfil de riesgo.

SI

2

1. Porcentaje de las evaluaciones de riesgo empresarial, incluido el riesgo relacionado con I&T.

SI

1. Número de incidentes significativos relacionados con I&T que no se identificaron en la evaluación de riesgos.

NO

AG07 – Seguridad de la información, infraestructura de procesamiento y aplicaciones, y privacidad

1. Número de incidentes de confidencialidad que causan pérdidas financieras, interrupción del negocio o descrédito público.

SI

2

1. Número de incidentes de disponibilidad que causan pérdidas financieras, interrupción del negocio o descrédito público.

NO

1. Número de invidentes de integridad que causan pérdidas financieras, interrupción del negocio o descrédito público.

SI

EDM03.01 Evaluar la gestión de riesgos.

Actividades

Nivel de capacidad

Conocer la organización y su contexto en relación al riesgo de I&T.

3

Determinar el apetito al riesgo de la organización, es decir, el nivel de riesgo relacionado con I&T que la empresa está dispuesta a tomar en la
búsqueda de sus objetivos empresariales.

2

Determinar los niveles de tolerancia al riesgo frente al apetito al riesgo, es decir, las desviaciones aceptables temporalmente del apetito al
riesgo.

1

Determinar el grado de alineamiento de la estrategia de riesgos en I&T de la empresa con la estrategia de riesgos de la empresa en su
conjunto y garantizar que el apetito al riesgo se sitúe por debajo de la capacidad de riesgo de la organización.

2

Evaluar los factores de riesgo de I&T de forma proactiva antes de tomar decisiones estratégicas a nivel de empresa y garantizar que las
consideraciones del riesgo formen parte del proceso de decisión estratégico de la empresa.

2

Evaluar las actividades de gestión de riesgos para asegurar que se alineen con la capacidad de la empresa para las pérdidas relacionadas
con I&T y la tolerancia correspondiente por parte de la dirección.

2

Atraer y conservar las habilidades y el personal necesarios para la gestión de riesgos de las I&T.

1