Indicadores claves de Desempeño de los procesos de TI

• M1 Monitoreo del Proceso

• M2 Evaluar lo adecuado del Control Interno

• M3 Obtención de Aseguramiento Independiente

• M4 Proveer Auditoria Independiente

Los 34 procesos propuestos se concretan en 32 objetivos de control detallados anteriormente.

Un Control se define como "las normas, estándares, procedimientos, usos y costumbres y las estructuras organizativas, diseñadas para proporcionar garantía razonable de que los objetivos empresariales se alcanzaran y que los eventos no deseados se preverán o se detectaran, y corregirán"

Un Objetivo de Control se define como "la declaración del resultado deseado o propuesto que se ha de alcanzar mediante la aplicación de procedimientos de control en cualquier actividad de TI"

En resumen, la estructura conceptual se puede enfocar desde tres puntos de vista:

-Los recursos de las TI

-Los criterios empresariales que deben satisfacer la información

-Los procesos de TI

Informe de Auditoria Entidad Auditada: ARCO IRIS SCHOOL Alcance de la auditoría: Esta auditoría comprende solamente al área de Recursos Humanos de la Arco Iris School, con respecto al cumplimiento del proceso "Administración de Recursos Humanos" de la norma COBIT. Norma Aplicada: COBIT, específicamente el proceso de TI Po7 "Administración de Recursos Humanos" Relevamiento: Organización: Colegio Privado que brinda un servicio de educación a niños de nivel inicial y primario. Objetivos de la Organización: Ofrecer el servicio de una excelente educación con orientación bilingüe (Español - Ingles), artística, deportiva y ecológica en forma personalizada a los niños de nivel inicial y primario, y obtener por el servicio un beneficio monetario acorde a las ofertas educativa que brinda la Institución (según si el inscripto participa de escolaridad simple o doble) Incrementar cada año el número de inscriptos para obtener mayor rentabilidad y ampliar la comunidad educativa. Transmitir a la comunidad en general el perfil institucional y los beneficios que los alumnos obtienen por una educación personalizada. Departamento de administración de personal: Comprende todo lo relacionado con el desarrollo y administración de políticas y programas que provean una estructura organizativa eficiente, empleados calificados, tratamiento equitativo, oportunidades de progreso, satisfacción en el trabajo y adecuada seguridad de empleo. Depende de la Gerencia de Administración. Políticas y estrategias del Departamento de Administración de personal Políticas Estrategias Para con el Personal Objetivo: perfeccionar al personal con el perfil Institucional Seleccionar docentes que respondan a los requerimientos del proyecto educativo institucional Realizar durante la selección de personal talleres de capacitación y evaluación de inteligencia emocional y desarrollo de la persona. Seleccionar docentes con muy buenas referencias Los docentes de asignaturas especiales (plástica, música, deportes, etc.) deben tener experiencias mínimas en mas de una escuela y estar abalados con referencias por escrito Respetar las decisiones personales de los docentes y no docentes. Antes de que un personal forme parte de la institución debe conocer y firmar las Normativas Institucionales donde se especifican todas las medidas, deberes y derechos de todo el personal docente y no docente La dirección general realiza periódicamente evaluaciones del rendimiento de trabajo individual y grupal mediante entrevistas. (grupales y personales) Educativas Objetivo: Lograr una excelencia educativa Brindar una educación excelente y personalizada Confeccionar un PEI (Proy. Educ. Inst.) con los objetivos que cubran las orientaciones Bilingüe, deportiva, ecológica y artística. Realizar periódicamente talleres de capacitación docente a nivel institucional donde se promueve la inteligencia emocional y el desarrollo personal. La Dirección académica debe evaluar constantemente el trabajo de los docentes y elevar los informes a la dirección general. Funciones – Subfunsiones - Tareas: 1-Realizar el reclutamiento: lograr que todos los puestos estén cubiertos por personal competente que cubran el perfil institucional por un costo razonable. Buscar los postulantes (docentes y no docentes) Análisis de las necesidades del cargo Desarrollo de especificaciones de trabajo Análisis de las fuentes de empleados potenciales Atracción de los posibles postulantes Realizar el proceso de selección: Análisis de la capacidad de los aspirantes para decidir cual tiene mayores posibilidades. Entrevistar los postulantes Realizar talleres de Pruebas de inteligencia emocional. Evaluación de los postulantes en base a los resultados de los talleres. Confección y entrega de los diferentes tipos de contratos de trabajo (contratos temporales, a plazo fijo, contratos de prueba, pasantías, etc.) Instrucción y entrega de materiales: Entrenamiento, información y entrega de materiales necesarios a los empleados contratados (o nuevos) para que cumplan sus obligaciones eficientemente. Orientación de los nuevos empleados mediante talleres de capacitación y entrega de documentación con las normativas (reglas con las que se rige la institución) Seguimiento de la actuación de los empleados (y empleados nuevos también). Compra de materiales didácticos u otros servicios para entregar a los docentes y así los mismos puedan dictar sus clases eficientemente. Despidos: Terminación legal de las relaciones con los empleados en la forma mas beneficiosa para ellos y el colegio. Realización de la entrevista de egreso Análisis de las bajas Determinar los servicios sociales para los empleados. Determinación de servicio médicos y otros para los empleados (y alumnos) que cubran la seguridad e integridad física del personal dentro de la organización. Prepara la documentación para la gestión de obras sociales del personal. 2-Administrar sueldos y jornales: lograr que todos los empleados estén remunerados adecuada, equitativamente y en tiempo. Clasificar la posición, responsabilidades y requerimientos de los empleados Preparación de las normativas institucionales donde están las especificaciones de trabajo Revisión periódica y corrección de las normativas. Fijar los valores monetarios de los puestos en forma justa y equitativa, respecto a otros puestos en el colegio y a puestos similares en el mercado de trabajo. Efectuar los pagos correspondientes a los sueldos mensuales (el pago y entrega de recibos de sueldo se efectúa en la propia institución) Control de Horarios: Fijación de horas de trabajo y periodos de inasistencia con goce de haberes o sin el, que sean justos tanto para el empleado como para el colegio. Planificación y administración de políticas sobre horarios de trabajos o inasistencias. Planificación y administración de planes de vacaciones. 3- Promocionar las Relaciones institucionales: Asegurar que las relaciones de trabajo entre la dirección general y los empleados al igual que la satisfacción en el trabajo y oportunidad de progreso del personal, sean desarrollados y mantenidos siguiendo los mejores intereses del colegio y de los empleados. También su función es la de desarrollar proyectos de Relaciones Institucionales con el medio externo (otras instituciones escolares, clubes, etc.) Realizar negociaciones colectivas: Lograr concordancia con las organizaciones de empleados reconocidas oficialmente y establecidas legalmente, de la manera que mejor contemple los intereses de la escuela y los docentes. Negociación de convenios Interpretación y administración de estos Controlar la disciplina del personal Fijar reglas de conducta y disposiciones mediante las normativas institucionales Establecer y administrar las medidas disciplinarias con respecto a inasistencias injustificadas. Investigación de Personal: Investigación de referencias de trabajos anteriores. Confirmar las referencias y otras documentaciones a la administración general. Investigar y verificar la documentación presentada por los empleados que luego conformaran el legajo de los mismos (DNI, títulos oficiales, registración en la Junta de clasificaciones, etc.) 5-Generar Informes Confeccionar todos los informes mensuales, semestrales y anuales con las estadísticas, resúmenes, etc. de las gestiones administrativas del personal. Diagnóstico: De acuerdo con el Dominio "Planificación y Organización" y el Proceso "Administración de Recursos Humanos", nosotros hemos desarrollado un análisis, donde identificamos con que normas esta cumpliendo la organización y con cuales no, a partir de allí definiremos que es lo que la escuela debería hacer para cumplir con las normas COBIT. La organización ARCO IRIS SCHOOL, según nuestro parecer y de acuerdo a lo relevado, creemos que se ajusta bastante bien a las normas COBIT en cuanto al proceso en cuestión, puesto que la misma cumple con las siguientes actividades o tareas del mismo: Reclutamiento y Promoción personal, ya que la Dirección evalúa regularmente los procesos necesarios para asegurar que las practicas de reclutamiento y promoción de personal tengan excelentes resultados, considerando factores como la educación del personal, la experiencia y la responsabilidad. Personal Calificado, puesto que se verifica que el personal que lleva tareas especificas este capacitado y para ello se realizan Talleres Docentes. Entrenamiento de Personal, ya que en cuanto ingresa el personal y durante su permanencia en el establecimiento tiene a su disposición toda la información que necesite, así como también la permanente capacitación. Aunque es importante destacar que no hay un manual de Funciones, ni de Procedimientos, por lo cual los empleados pueden tener dudas con respecto a sus funciones. Evaluación de Desempeño de los Empleados, ya que el establecimiento implementa un proceso de evaluación de desempeño de los empleados y asesora a los mismos sobre su desempeño o conducta de manera apropiada. Aunque las evaluaciones de rendimiento no están definidas formalmente y por ende se puede llegar a tener problemas por la subjetividad de la persona que esta evaluando el desempeño. Cambios de puestos y Despidos, puesto que cuando se toman tales acciones se trata de que sean oportunas y apropiadas, de tal manera que los controles internos y la seguridad no se vean perjudicados por estos eventos. s importante destacar que ARCO IRIS SCHOOL tienes dificultados en cuanto a: Respaldo de Personal, puesto que no cuenta con suficiente personal de respaldo para solucionar posibles ausencias. Tampoco el personal encargado de puestos delicados como ser el Tesorero toma vacaciones interrumpidas con duración suficiente como para probar la habilidad de la organización para manejar casos de ausencia y detectar actividades fraudulentas. Procedimientos de Acreditación de Personal, puesto que las investigaciones de seguridad asociada a la contratación no son llevadas a cabo. Conclusiones: Por lo tanto, podemos especificar que para que la escuela cumpla con las normas COBIT en cuanto al proceso "Administración de Recursos Humanos" deberá: Realizar manuales de funciones, de manera que estén definidos todos los puestos de trabajo y sus correspondientes funciones. Realizar manuales de Procedimientos, de manera que los empleados puedan identificar cuales son las tareas que deben realizar de acuerdo a su puesto y funciones. Establecer Procedimientos de Acreditación, ya que de lo contrario se pueden tener serios problemas por no haber realizado correctamente las investigaciones de seguridad. Proporcionar un entrenamiento "cruzado" de manera de tener personal de respaldo con la finalidad de solucionar posibles ausencias, ya que la escuela no puede contar con suficiente personal por su economía actual. Definir y publicar formalmente las evaluaciones de rendimiento, de manera de aplicarlas a la hora de hacer la evaluación de desempeño para evitar problemas con el personal docente y no docente.

• Resumen Ejecutivo: es un documento dirigido a la alta gerencia presentando los antecedentes y la estructura básica de COBIT Además, describe de manera general los procesos, los recursos y los criterios de información, los cuales conforman la "Columna Vertebral" de COBIT.

• Marco de Referencia (Framework): Incluye la introducción contenida en el resumen ejecutivo y presenta las guías de navegación para que los lectores se orienten en la exploración del material de COBIT haciendo una presentación detallada de los 34 procesos contenidos en los cuatro dominios.

• Objetivos de Control: Integran en su contenido lo expuesto tanto en el resumen ejecutivo como en el marco de referencia y presenta los objetivos de control detallados para cada uno de los 34 procesos.

• Guías de Auditoria: Se hace una presentación del proceso de auditoria generalmente aceptado (relevamiento de información, evaluación de control, evaluación de cumplimiento y evidenciación de los riesgos).

• Guías de Administración: Se enfoca de manera similar a los otros productos e integra los principios del Balance Business Scorecard.

–Modelo de madurez CMM (prácticas de Control)

–Indicadores claves de Desempeño de los procesos de TI

–Factores Críticos de Éxito a tener en cuenta para mantener bajo control los procesos de TI.

• Guías Gerenciales: Incluidas en la Tercera Edición, las mismas proveen modelos de madurez, factores críticos de éxito, indicadores claves de objetivos e indicadores claves de desempeño para los 34 procesos de TI de COBIT. Estas guías proveen a la gerencia herramientas que permiten la auto evaluación y poder seleccionar opciones para implementación de controles y mejoras sobre la información y la tecnología relacionada. Las guías fueron desarrolladas por un panel de 40 expertos en seguridad y control, profesionales de administración de TI y de administración de desempeño, analistas de la industria y académicos de todo el mundo.

• Herramientas de implementación: Muestra algunas de las lecciones aprendidas por aquellas organizaciones que han aplicado COBIT e incluye una guía de implementación con dos herramientas: Diagnóstico de conciencia Administrativa y Diagnóstico de Control en TI

Objetivo: Asegurar el logro de los objetivos establecidos para los procesos de TI. Lo cual se logra definiendo por parte de la gerencia reportes e indicadores de desempeño gerenciales y la implementación de sistemas de soporte así como la atención regular a los reportes emitidos.

Para ello la gerencia podrá definir indicadores claves de desempeño y/o factores críticos de éxito y compararlos con los niveles objetivos propuestos para evaluar el desempeño de los procesos de la organización. La gerencia deberá también medir el grado de satisfacción del los clientes con respecto a los servicios de información proporcionados para identificar deficiencias en los niveles de servicio y establecer objetivos de mejoramiento, confeccionando informes que indiquen el avance de la organización hacia los objetivos propuestos.

Objetivo: Asegurar el logro de los objetivos de control interno establecidos para los procesos de TI.

Para ello la gerencia es la encargada de monitorear la efectividad de los controles internos a través de actividades administrativas y de supervisión, comparaciones, reconciliaciones y otras acciones rutinarias., evaluar su efectividad y emitir reportes sobre ellos en forma regular. Estas actividades de monitoreo continuo por parte de la Gerencia deberán revisar la existencia de puntos vulnerables y problemas de seguridad.

Objetivo: Incrementar los niveles de confianza entre la organización, clientes y proveedores externos. Este proceso se lleva a cabo a intervalos regulares de tiempo.

Para ello la gerencia deberá obtener una certificación o acreditación independiente de seguridad y control interno antes de implementar nuevos servicios de tecnología de información que resulten críticos, como así también para trabajar con nuevos proveedores de servicios de tecnología de información. Luego la gerencia deberá adoptar como trabajo rutinario tanto hacer evaluaciones periódicas sobre la efectividad de los servicios de tecnología de información y de los proveedores de estos servicios como así también asegurarse el cumplimiento de los compromisos contractuales de los servicios de tecnología de información y de los proveedores de estos servicios.

Objetivo: Incrementar los niveles de confianza y beneficiarse de recomendaciones basadas en mejores prácticas de su implementación, lo que se logra con el uso de auditorias independientes desarrolladas a intervalos regulares de tiempo. Para ello la gerencia deberá establecer los estatutos para la función de auditoria, destacando en este documento la responsabilidad, autoridad y obligaciones de la auditoria. El auditor deberá ser independiente del auditado, esto significa que los auditores no deberán estar relacionados con la sección o departamento que esté siendo auditado y en lo posible deberá ser independiente de la propia empresa. Esta auditoria deberá respetar la ética y los estándares profesionales, seleccionando para ello auditores que sean técnicamente competentes, es decir que cuenten con habilidades y conocimientos que aseguren tareas efectivas y eficientes de auditoria.

La función de auditoria deberá proporcionar un reporte que muestre los objetivos de la auditoria, período de cobertura, naturaleza y trabajo de auditoria realizado, como así también la organización, conclusión y recomendaciones relacionadas con el trabajo de auditoria llevado a cabo.

Las tres dimensiones condeptuales de COBIT

7. Aplicación de las Normas COBIT

A continuación, analizaremos como se deberían aplicar las Normas COBIT en una Organización, utilizando para ello la Guía de Auditoria presentada en la pagina Web www.isaca.org, la misma indica los pasos a seguir para auditar cada uno de los procesos de TI de la norma. Este reporte lo confeccionamos dándole el formato de un informe de auditoría:

8. Apéndice I

COBIT como Producto, incluye:

En total se describen 302 objetivos de control detallados (de 3 a 30 objetivos por cada uno de los procesos)

Este documento incluye guías detalladas para auditar cada uno de los 34 procesos teniendo en cuenta los 302 objetivos de control detallados.

Para ayudar a determinar cuales son los adecuados niveles de seguridad y control integra los conceptos de:

Como con cualquier investigación amplia e innovadora, COBIT será actualizado cada tres años. Esto asegurara que el modelo y la estructura permanezcan vigentes. La validación también permite asegurar que los 41 materiales de referencia primarios no hayan cambiado, y, si hubieran cambiado, reflejas eso en el documento