Iso 38500

RESUMEN COMPILACIÓN BIBLIOGRAFICA: ISO/IEC 2008/06/03 NORMA 38500, AS8015 ORGANIZACIÓN DE ESTÁNDARES DE AUSTRALIA 2005L

DIEGO ALEJANDRO GÓMEZ LÓPEZ COD. 907023

PROFESOR:

CARLOS HERNAN GÓMEZ GÓMEZ

AUDITORIA DE SISTEMAS II

UNIVERSIDAD NACIONAL DE COLOMBIA

SEDE MANIZALES

Marzo de 2010

Resumen

HISTORIA

La norma australiana AS8015 de 2005 es un sistema por el cual el uso actual y futuro de las TIC es dirigido y controlado. Comprende dirigir y evaluar los planes para que el uso de las TIC para apoyar a la organización y monitorear su uso para lograr los planes. Esto incluye la estrategia y las políticas para el uso de las TIC dentro de una organización. La norma ISO 38500 fue publicada en junio del 2008 como la primera de esta línea, el buen gobierno de las tecnologías de información, basada en la norma australiana AS8015 de 2005. Su objetivo es proporcionar un marco de principios para que la dirección de las organizaciones los utilicen al evaluar, dirigir y monitorizar el uso de las tecnologías de la información (TI's). Está alineada con los principios de gobierno corporativo recogidos en el "Informe Cadbury" y en los "Principios de Gobierno Corporativo de la OCDE"

MARCO TEORICO

La Norma ISO 38500 es un estándar internacional que provee directrices para el gobierno corporativo de TI y ayuda a los miembros de altos niveles organizacionales a entender y cumplir cabalmente sus obligaciones legales, regulatorias y éticas respecto del uso de TI en las organizaciones. Esta norma define el buen gobierno de las TI como el sistema usado por la alta dirección de la organización para controlar el uso presente y futuro de las TI en la organización, de manera que se consigan los planes y objetivos de la misma. ISO/IEC 38500, como la mayoría de las normas de gestión ISO, es aplicable a entidades de todos los tamaños y sectores, incluidas las empresas públicas y privadas, administraciones públicas, etc. La ISO/IEC 38500 completa otros estándares de gestión de TI, tales como la ISO 27001 y la ISO 20000, añadiendo una capa de gestión superior, estratégica a la que contemplan estas normas, cuyo enfoque es más operativo. Por decirlo de otro modo, la ISO/IEC 38500 establece cómo se deben hacer las cosas para que se puedan gestionar las TI de manera eficaz y eficiente. Las normas de gestión establecen qué debe hacerse, cómo debe hacer y quién debe ejecutar las acciones necesarias para llevar a cabo la estrategia definida.

Implicaciones

La Norma se basa en que la alta dirección evalúe, dirija y siga el uso que se hace de las TI en sus organizaciones de manera que: o Si la norma es seguida de manera adecuada, las partes implicadas (directivos, consultores, ingenieros, proveedores de hardware, auditores, etc.), puedan confiar en el gobierno corporativo de TI. o Haya canales apropiados para informar y orientar a los directores que controlan el uso de las TI en su organización. o Haya una base para la evaluación objetiva por parte de la alta dirección de la gestión de las TI. Para conseguirlo, la norma establece los seis principios básicos para el buen gobierno de las TI: o Responsabilidad. Asignar responsabilidades a personas competentes y con autoridad para tomar decisiones. o Estrategia. Alinear las actividades de TI con los objetivos de negocio, buscando el beneficio de la organización y asegurarse de que se obtiene dicho beneficio. o Adquisición. Invertir en TI de manera eficiente. o Rendimiento. Proporcionar la capacidad de TI necesaria para que el negocio funcione adecuadamente, se gestionen los riesgos y se protejan los recursos, midiendo cómo TI presta soporte al negocio. o Conformidad. Proporcionar control interno suficiente para garantizar la conformidad legal o normativa de los sistemas TI. o Conducta humana. Identificar el comportamiento humano que se requiere y desarrollar métodos de trabajo para utilizar las TI de manera apropiada.

Objetivos de la norma

Asegurar a las partes interesadas (incluidos los consumidores, accionistas, y empleados) que, si se sigue la norma, pueden tener confianza en el gobierno corporativo de las TI de la organización Informar y guiar a los directores en el gobierno de la TI en su organización. Proporcionar una base para la evaluación objetiva del gobierno corporativo de TI

Términos relacionados

• Gobierno corporativo de TIC (corporate governance of IT): El sistema mediante el cual se dirige y controla el uso actual y futuro de las tecnologías de la información.

• Gestión (management): El sistema de controles y procesos requeridos para lograr los objetivos estratégicos establecidos por la dirección de la organización. Está sujeta a la guía y monitorización establecidas mediante el gobierno corporativo.

• Interesado (stakeholder): Individuo, grupo u organización que puede afectar, ser afectado, o percibir que va a ser afectado, por una decisión o una actividad.

• Uso de TIC (use of IT): Planificación, diseño, desarrollo, despliegue, operación, gestión y aplicación de TI para cumplir con las necesidades del negocio. Incluye tanto la demanda como la oferta de servicios de TIC por unidades de negocio internas, unidades especializadas de TI, proveedores externos y "utility services" (como los que se proveen de software como servicio).

• Factor humano (human behavior): La comprensión de las interacciones entre personas y otros elementos de un sistema con la intención de asegurar el bienestar de las personas y el buen rendimiento del sistema. Incluye la cultura, necesidades y aspiraciones de las personas como individuos y como grupo.

Principios La norma define seis principios de un buen gobierno corporativo de TIC:

• Responsabilidad: Todo el mundo debe comprender y aceptar sus responsabilidades en la oferta o demanda de TI. La responsabilidad sobre una acción lleva aparejada la autoridad para su realización.

• Estrategia: La estrategia de negocio de la organización tiene en cuenta las capacidades actuales y futuras de las TIC. Los planes estratégicos de TIC satisfacen las necesidades actuales y previstas derivadas de la estrategia de negocio.

• Adquisición: Las adquisiciones de TI se hacen por razones válidas, basándose en un análisis apropiado y continuo, con decisiones claras y transparentes. Hay un equilibrio adecuado entre beneficios, oportunidades, costes y riesgos tanto a corto como a largo plazo.

• Rendimiento: La TI está dimensionada para dar soporte a la organización, proporcionando los servicios con la calidad adecuada para cumplir con las necesidades actuales y futuras.

• Conformidad: La función de TI cumple todas las legislaciones y normas aplicables. Las políticas y prácticas al respecto están claramente definidas, implementadas y exigidas.

• Factor humano: Las políticas de TIC, prácticas y decisiones demuestran respecto al factor humano, incluyendo las necesidades actuales y emergentes de toda la gente involucrada. Para cada uno de los principios, la norma proporciona una breve guía u orientación sobre como evaluar, dirigir y monitorizar la función de TI. Son orientaciones muy generales que no incluyen mecanismos, técnicas o herramientas concretas a utilizar, cabe pensar que en futuras normas complementarias se irán concretando estos aspectos.

Modelos

• Evaluar: Examinar y juzgar el uso actual y futuro de las TIC, incluyendo estrategias, propuestas y acuerdos de aprovisionamiento (internos y externos).

• Dirigir: Dirigir la preparación y ejecución de los planes y políticas, asignando las responsabilidades al efecto. Asegurar la correcta transición de los proyectos a la producción, considerando los impactos en la operación, el negocio y la infraestructura. Impulsar una cultura de buen gobierno de TIC en la organización.

• Monitorizar: Mediante sistemas de medición, vigilar el rendimiento de las TIC, asegurando que se ajusta a lo planificado.

Conclusiones y observaciones

• Las normas para un buen Gobierno de Tecnologías de Información están enfocadas a la estandarización de los procesos y decisiones empresariales que tienen que ver con las comunicaciones y servicios de información.

• Las normas de TI proporcionan una base para la evaluación objetiva del gobierno corporativo de TI.

• Estas normas en todos los casos se buscan mejorar los procesos de toma de decisión de inversión en TI y buscar una mejor alineación entre los objetivos de negocio y los de TI.

• Esta norma ofrece una clara guía para los ejecutivos y directivos, ya que les guía en el desempeño de sus responsabilidades.

• La norma está escrita empleando su propio lenguaje; es tan concisa como puede serlo una guía de gobierno corporativo; y, les habilita para controlar aquello que ellos no entienden, poniendo el foco sobre las cosas que ellos sí entienden.

• CobiT, ISO 17799/27001, ITIL, CMMi, PMbok, Prince2, ISO 2000 ISO 38500, etc., son todos muy buenos marcos de referencia (frameworks) y estándares de jure para mejorar la actividad de TI, vista desde los procesos. La clave es entender el foco de cada uno, revisar las necesidades de la organización y adoptar el/los estándares que mejor se apliquen. Pero hay que entender que la complementación y combinación de estos estándares dará mayores beneficios a toda la organización y en todos sus niveles.

...