·
PO1 Definición de un plan Estratégico
Objetivo:
Lograr un
balance óptimo entre las oportunidades de tecnología de información y los
requerimientos de TI de negocio, para asegurar sus logros futuros.
Su realización se concreta a través un proceso de planeación estratégica
emprendido en intervalos regulares dando lugar a planes a largo plazo, los que
deberán ser traducidos periódicamente en planes operacionales estableciendo
metas claras y concretas a corto plazo, teniendo en cuenta:
·
La definición de objetivos de negocio y necesidades de TI, la alta
gerencia será la responsable de desarrollar e implementar planes a largo y
corto plazo que satisfagan la misión y las metas generales de la organización.
·
El inventario de soluciones tecnológicas e infraestructura actual, se
deberá evaluar los sistemas existentes en términos de: nivel de automatización
de negocio, funcionalidad, estabilidad, complejidad, costo y fortalezas y
debilidades, con el propósito de determinar el nivel de soporte que reciben los
requerimientos del negocio de los sistemas existentes.
·
Los cambios organizacionales, se deberá asegurar que se establezca un
proceso para modificar oportunamente y con precisión el plan a largo plazo de
tecnología de información con el fin de adaptar los cambios al plan a largo
plazo de la organización y los cambios en las condiciones de la TI
Estudios de factibilidad oportunos, para que se puedan obtener
resultados efectivos
·
PO2 Definición de la Arquitectura de Información
Objetivo: Satisfacer
los requerimientos de negocio, organizando de la mejor manera posible los
sistemas de información, a través de la creación y mantenimiento de un modelo
de información de negocio, asegurándose que se definan los sistemas apropiados
para optimizar la utilización de esta información, tomando en consideración:
·
La documentación deberá conservar consistencia con las necesidades
permitiendo a los responsables llevar a cabo sus tareas eficiente y
oportunamente.
·
El diccionario de datos, el cual incorporara las reglas de sintaxis de
datos de la organización y deberá ser continuamente actualizado.
·
La propiedad de la información y la clasificación de severidad con el
que se establecerá un marco de referencia de clasificación general relativo a
la ubicación de datos en clases de información.
·
PO3 Determinación de la dirección tecnológica
Objetivo: Aprovechar
al máximo de la tecnología disponible o tecnología emergente, satisfaciendo los
requerimientos de negocio, a través de la creación y mantenimiento de un plan
de infraestructura tecnológica, tomando en consideración:
·
La capacidad de adecuación y evolución de la infraestructura actual, que
deberá concordar con los planes a largo y corto plazo de tecnología de
información y debiendo abarcar aspectos tales como arquitectura de sistemas,
dirección tecnológica y estrategias de migración.
·
El monitoreo de desarrollos tecnológicos que serán tomados en
consideración durante el desarrollo y mantenimiento del plan de infraestructura
tecnológica.
·
Las contingencias (por ejemplo, redundancia, resistencia, capacidad de
adecuación y evolución de la infraestructura), con lo que se evaluará
sistemáticamente el plan de infraestructura tecnológica.
·
Planes de adquisición, los cuales deberán reflejar las necesidades
identificadas en el plan de infraestructura tecnológica.
·
o
PO4 Definición de la organización y de las relaciones de TI
Objetivo: Prestación
de servicios de TI
Esto se realiza por medio de una organización conveniente en número y
habilidades, con tareas y responsabilidades definidas y comunicadas, teniendo
en cuenta:
·
El comité de dirección el cual se encargara de vigilar la función de
servicios de información y sus actividades.
·
Propiedad, custodia, la Gerencia deberá
crear una estructura para designar formalmente a los propietarios y custodios
de los datos. Sus funciones y responsabilidades deberán estar claramente
definidas.
·
Supervisión, para asegurar que las funciones y responsabilidades sean
llevadas a cabo apropiadamente
·
Segregación de funciones, con la que se
evitará la posibilidad de que un solo individuo resuelva un proceso crítico.
·
Los roles y responsabilidades, la gerencia deberá asegurarse de que todo
el personal deberá conocer y contar con la autoridad suficiente para llevar a
cabo las funciones y responsabilidades que le hayan sido asignadas
·
La descripción de puestos, deberá delinear claramente tanto la
responsabilidad como la autoridad, incluyendo las definiciones de las
habilidades y la experiencia necesarias para el puesto, y ser adecuadas para su
utilización en evaluaciones de desempeño.
·
Los niveles de asignación de personal, deberán hacerse evaluaciones de
requerimientos regularmente para asegurar para asegurar una asignación de
personal adecuada en el presente y en el futuro.
·
El personal clave, la gerencia deberá definir e identificar al personal
clave de tecnología de información.
·
o
PO5 Manejo de la inversión
Objetivo: tiene como
finalidad la satisfacción de los requerimientos de negocio, asegurando el
financiamiento y el control de desembolsos de recursos financieros.
Su realización se
concreta a través presupuestos periódicos sobre inversiones y operaciones
establecidas y aprobados por el negocio, teniendo en cuenta:
·
Las alternativas de financiamiento, se deberán investigar diferentes
alternativas de financiamiento.
·
El control del gasto real, se deberá tomar como base el sistema de contabilidad
de la organización, mismo que deberá registrar, procesar y reportar
rutinariamente los costos asociados con las actividades de la función de
servicios de información
·
La justificación de costos y beneficios, deberá establecerse un control
gerencial que garantice que la prestación de servicios por parte de la función
de servicios de información se justifique en cuanto a costos. Los beneficios
derivados de las actividades de TI deberán ser analizados en forma similar.
·
o
PO6 Comunicación de la dirección y aspiraciones de la gerencia
Objetivo: Asegura el
conocimiento y comprensión de los usuarios sobre las aspiraciones del alto
nivel (gerencia), se concreta a través de políticas establecidas y transmitidas
a la comunidad de usuarios, necesitándose para esto estándares para traducir
las opciones estratégicas en reglas de usuario prácticas y utilizables. Toma en
cuenta:
·
Los código de ética / conducta, el cumplimiento de las reglas de ética,
conducta, seguridad y estándares de control interno deberá ser establecido por
la Alta Gerencia y promoverse a través del ejemplo.
·
Las directrices tecnológicas
·
El cumplimiento, la Gerencia deberá también asegurar y monitorear la
duración de la implementación de sus políticas.
·
El compromiso con la calidad, la Gerencia de la función de servicios de
información deberá definir, documentar y mantener una filosofía de calidad,
debiendo ser comprendidos, implementados y mantenidos por todos los niveles de
la función de servicios de información.
·
Las políticas de seguridad y control interno, la alta gerencia deberá
asegurar que esta política de seguridad y de control interno especifique el
propósito y los objetivos, la estructura gerencial, el alcance dentro de la
organización, la definición y asignación de responsabilidades para su
implementación a todos los niveles y la definición de multas y de acciones
disciplinarias asociadas con la falta de cumplimiento de estas políticas.
·
o
PO7 Administración de recursos humanos
Objetivo: Maximizar
las contribuciones del personal a los procesos de TI, satisfaciendo así los
requerimientos de negocio, a través de técnicas sólidas para administración de
personal, tomando en consideración:
·
El reclutamiento y promoción, deberá tener como base criterios
objetivos, considerando factores como la educación, la experiencia y la
responsabilidad.
·
Los requerimientos de calificaciones, el personal deberá estar
calificado, tomando como base una educación, entrenamiento y o experiencia
apropiados, según se requiera
·
La capacitación, los programas de educación y entrenamiento estarán
dirigidos a incrementar los niveles de habilidad técnica y administrativa del
personal.
·
La evaluación objetiva y medible del desempeño, se deberá asegurar que
dichas evaluaciones sean llevada a cabo regularmente según los estándares
establecidos y las responsabilidades específicas del puesto. Los empleados
deberán recibir asesoría sobre su desempeño o su conducta cuando esto sea
apropiado.
·
o
PO8 Asegurar el cumplimiento con los requerimientos Externos
Objetivo: Cumplir con
obligaciones legales, regulatorias y contractuales
Para ello se realiza
una identificación y análisis de los requerimientos externos en cuanto a su
impacto en TI, llevando a cabo las medidas apropiadas para cumplir con ellos y
se toma en consideración:
·
Definición y mantenimiento de procedimientos para la revisión de
requerimientos externos, para la coordinación de estas actividades y para el
cumplimiento continuo de los mismos.
·
Leyes, regulaciones y contratos
·
Revisiones regulares en cuanto a cambios
·
Búsqueda de asistencia legal y modificaciones
·
Seguridad y ergonomía con respecto al ambiente de trabajo de los
usuarios y el personal de la función de servicios de información.
·
Privacidad
·
Propiedad intelectual
·
Flujo de datos externos y criptografía
·
o
PO9 Evaluación de riesgos
Objetivo: Asegurar el
logro de los objetivos de TI y responder a las amenazas hacia la provisión de
servicios de TI
Para ello se logra la
participación de la propia organización en la identificación de riesgos de TI y
en el análisis de impacto, tomando medidas económicas para mitigar los riesgos
y se toma en consideración:
·
Identificación, definición y actualización regular de los diferentes
tipos de riesgos de TI (por ej.: tecnológicos, de seguridad, etc.) de manera de
que se pueda determinar la manera en la que los riesgos deben ser manejados a
un nivel aceptable.
·
Definición de alcances, limites de los riesgos y la metodología para las
evaluaciones de los riesgos.
·
Actualización de evaluación de riesgos
·
Metodología de evaluación de riesgos
·
Medición de riesgos cualitativos y/o cuantitativos
·
Definición de un plan de acción contra los riesgos para asegurar que
existan controles y medidas de seguridad económicas que mitiguen los riesgos en
forma continua.
·
Aceptación de riesgos dependiendo de la identificación y la medición del
riesgo, de la política organizacional, de la incertidumbre incorporada al
enfoque de evaluación de riesgos y de que tan económico resulte implementar
protecciones y controles.
·
o
PO10 Administración de proyectos
Objetivo: Establecer
prioridades y entregar servicios oportunamente y de acuerdo al presupuesto de
inversión
Para ello se realiza
una identificación y priorización de los proyectos en línea con el plan
operacional por parte de la misma organización. Además, la organización deberá
adoptar y aplicar sólidas técnicas de administración de proyectos para cada
proyecto emprendido y se toma en consideración:
·
Definición de un marco de referencia general para la administración de proyectos
que defina el alcance y los límites del mismo, así como la metodología de
administración de proyectos a ser adoptada y aplicada para cada proyecto
emprendido. La metodología deberá cubrir, como mínimo, la asignación de
responsabilidades, la determinación de tareas, la realización de presupuestos
de tiempo y recursos, los avances, los puntos de revisión y las aprobaciones.
·
El involucramiento de los usuarios en el desarrollo, implementación o
modificación de los proyectos.
·
Asignación de responsabilidades y autoridades a los miembros del
personal asignados al proyecto.
·
Aprobación de fases de proyecto por parte de los usuarios antes de pasar
a la siguiente fase.
·
Presupuestos de costos y horas hombre
·
Planes y metodologías de aseguramiento de calidad que sean revisados y
acordados por las partes interesadas.
·
Plan de administración de riesgos para eliminar o minimizar los riesgos.
·
Planes de prueba, entrenamiento, revisión post-implementación.
·
o
PO11 Administración de calidad
Objetivo: Satisfacer
los requerimientos del cliente
Para ello se realiza
una planeación, implementación y mantenimiento de estándares y sistemas de
administración de calidad por parte de la organización y se toma en
consideración:
·
Definición y mantenimiento regular del plan de calidad, el cual deberá
promover la filosofía de mejora continua y contestar a las preguntas básicas de
qué, quién y cómo.
·
Responsabilidades de aseguramiento de calidad que determine los tipos de
actividades de aseguramiento de calidad tales como revisiones, auditorias,
inspecciones, etc. que deben realizarse para alcanzar los objetivos del plan
general de calidad.
·
Metodologías del ciclo de vida de desarrollo de sistemas que rija el
proceso de desarrollo, adquisición, implementación y mantenimiento de sistemas
de información.
·
Documentación de pruebas de sistemas y programas
·
Revisiones y reportes de aseguramiento de calidad