COBIT: La Gobernanza de TI al Servicio de la Estrategia de Negocio

¿Qué es COBIT?

COBIT (Control Objectives for Information and Related Technologies) es un framework de gobernanza y gestión de TI desarrollado por ISACA (Information Systems Audit and Control Association), fundada en 1969.

Actualmente en versión COBIT 2019, COBIT se usa en más de 180 países y es el estándar de referencia para la gobernanza de TI, particularmente en sectores regulados (finanzas, sanidad, gobierno).

Mientras que ITIL se enfoca en gestión operacional de servicios de TI, COBIT se enfoca en gobernanza estratégica - cómo asegurar que TI crea valor y los riesgos se gestionan.

Los 6 Principios de COBIT 2019

Para el sistema de gobernanza:

1. Proporcionar valor a los stakeholders: TI existe para crear valor, no para sí misma.
2. Enfoque holístico: la gobernanza es un sistema interconectado.
3. Sistema dinámico: la gobernanza se adapta al contexto cambiante.

Para el framework de gobernanza: 4. Distinguir gobernanza de gestión: la gobernanza define objetivos; la gestión planifica y ejecuta. 5. Adaptado a necesidades del negocio: COBIT se adapta según tamaño de organización, sector y nivel de madurez. 6. Sistema de gobernanza de punta a punta: cubre todo el alcance de TI y los stakeholders.

Los 40 Objetivos de Gobernanza y Gestión

COBIT 2019 define 40 objetivos en 2 dominios principales:

Dominio de Gobernanza (5 objetivos, prefijo EDM):

• EDM01: Asegurar establecimiento del marco de gobernanza
• EDM02: Asegurar realización de beneficios
• EDM03: Asegurar optimización de riesgos
• EDM04: Asegurar optimización de recursos
• EDM05: Asegurar transparencia para stakeholders

Dominio de Gestión (35 objetivos):

• APO: Align, Plan and Organise
• BAI: Build, Acquire and Implement
• DSS: Deliver, Service and Support
• MEA: Monitor, Evaluate and Assess

El Modelo de Madurez COBIT

COBIT usa un modelo de madurez de 5 niveles:

• 0 - Incompleto: el proceso no está implementado
• 1 - Inicial: el proceso alcanza objetivos de forma impredecible
• 2 - Gestionado: el proceso está planeado y monitoreado
• 3 - Definido: el proceso está estandarizado y documentado
• 4 - Gestionado cuantitativamente: el proceso se mide estadísticamente
• 5 - Optimizado: el proceso mejora continuamente

COBIT y Conformidad Regulatoria

COBIT direcciona múltiples frameworks regulatorios:

• SOX: controles de TI en sistemas financieros
• GDPR: protección de datos personales
• PCI-DSS: seguridad de datos de tarjetas de pago
• ISO 27001: gestión de seguridad de la información
• Basel III/IV: gestión de riesgos operacionales

COBIT y Sinra

Para equipos de desarrollo, COBIT se conecta con Sinra a nivel de gobernanza. Los releases de Sinra deben alinearse con objetivos de gobernanza de TI. Las capabilities deben evaluarse por su contribución a valor de negocio y exposición al riesgo.

Las pages de Sinra pueden documentar políticas de TI y controles requeridos por COBIT para cada objetivo relevante.

COBIT vs ITIL vs ISO 27001

Estos frameworks son complementarios, no competidores.

Conclusión

COBIT no es un framework diario para equipos de desarrollo. Es una herramienta de gobernanza para DSIs, auditores y liderazgo ejecutivo. Pero todo desarrollador en una organización regulada, o que aspire a gestión de TI, debe entender los principios de COBIT. La pregunta “¿crea TI valor para el negocio?” es fundamental.