COBIT.

Lo que COBIT realmente gobierna

COBIT es el marco de ISACA para el gobierno y la gestión de las TI de la empresa. Su distinción fundamental, y aquella en la que más tropiezan los profesionales, es la línea que traza entre gobierno y gestión. El gobierno corresponde al consejo de administración y a la alta dirección: fijar el rumbo, evaluar opciones y supervisar los resultados. La gestión consiste en planificar, construir, operar y supervisar las actividades que materializan ese rumbo. COBIT mantiene ambas dimensiones como dominios separados, de modo que quienes deciden qué deben lograr las TI no sean las mismas personas que informan sobre si se logró.

Esa separación es la razón por la que los auditores recurren a COBIT cuando una norma de seguridad de la información no es suficiente. ISO 27001 le indica cómo operar un sistema de gestión de la seguridad de la información. NIST le ofrece un catálogo de controles y resultados. COBIT se sitúa por encima de ambos: responde a si las TI en su conjunto están orientadas hacia los objetivos de la empresa, si el riesgo y los recursos se gestionan de forma responsable, y si las partes interesadas obtienen valor. Es más amplio que la seguridad y deliberadamente menos prescriptivo que una lista de controles.

La estructura de COBIT 2019

La edición actual es COBIT 2019. Organiza el trabajo en objetivos agrupados bajo dominios de gobierno y gestión, y asocia a cada uno los componentes necesarios para que funcione: procesos, estructuras organizativas, políticas, flujos de información, cultura, competencias y servicios. La idea es que un proceso sobre el papel no significa nada si faltan las estructuras, las competencias y la cultura que lo rodean, por lo que COBIT le obliga a examinarlos todos en conjunto.

Dos ideas hacen que COBIT 2019 sea utilizable en la práctica y no solo un cartel en la pared:

• Los factores de diseño. La estrategia de la empresa, el perfil de riesgo, los requisitos de cumplimiento, el papel de las TI y el modelo de aprovisionamiento determinan en conjunto qué objetivos merecen atención. COBIT no supone que cada organización necesite el mismo sistema de gobierno, de modo que usted adapta el marco al contexto en lugar de adoptarlo en bloque.
• La capacidad y la madurez. Cada objetivo de gobierno y gestión puede valorarse en una escala de capacidad, y el marco también admite una visión de la madurez por áreas de enfoque. Así es como las Big Four y los equipos de auditoría interna producen una imagen defendible del «dónde estamos, dónde deberíamos estar» en lugar de una opinión subjetiva.

Dónde encaja COBIT junto a otros marcos

Los profesionales casi siempre utilizan COBIT junto a otros marcos en lugar de en su lugar. Un patrón habitual: COBIT define los objetivos de gobierno y la línea base de madurez, ISO 27001 operativiza la seguridad de la información, ITIL gestiona los servicios, y un marco de riesgo alimenta la imagen del riesgo. COBIT se convierte en el paraguas que muestra cómo estas piezas sirven a los objetivos de la empresa y dónde están las brechas.

COBIT es también el cuerpo de conocimiento que sustenta la credencial CGEIT de ISACA, dirigida a los profesionales responsables del gobierno de las TI de la empresa. Si su función es asegurar o diseñar cómo se dirigen las TI a nivel del consejo, COBIT es el marco de referencia y CGEIT la certificación correspondiente.