Descripcion general del marco Cobit

Planeacion y Organizacion

Cubre la estrategia y las tacticas y se refiere a la identificacion de la forma en que la tecnologia de informacion puede contribuir de la mejor manera al logro de los objetivos del negocio. Ademas, la consecucion de la vision estrategica necesita ser planeada, comunicada y administrada desde diferentes perspectivas. Finalmente , deberan establecerse una organizacion y una infraestructura tecnologica apropiada.

Comprende los siguientes procesos

PO1 Definir un plan estrategico de Tecnologia de informacion
PO2 Definir la arquitectura de informacion
PO3 Determinar los procesos, la organizacion y las relaciones de TI
PO4 Definir los procesos, la organizacion y las relaciones de TI
PO5 Manejar la inversion en tecnologia de informacion
PO6 Comunicar la direccion y aspiraciones de la gerencia
PO7 Administrar recursos humanos
PO8 Administrar Calidad
PO9 Administrar y evaluar Riesgos
PO10 Administrar Proyectos


Adquirir e implementar

Para llevar a cabo la estrategia de TI, las soluciones de TI deben ser identificadas, desarrolladas o adquiridas, asi como implementadas e integradas dentro del proceso del negocio. Ademas, este dominio cubre los cambios y el mantenimiento realizados a sistemas existentes

AI1 Identificar soluciones de automatizacion
AI2 Adquirir y mantener software de aplicacion
AI3 Adquirir y mantener la infraestructura tecnologia
AI4 Habilitar la operacion y uso
AI5 Adquirir  procesos de TI
AI6 Administrar cambios
AI7 Instalar y acreditar soluciones y cambios.


Entregar y dar soporte

Este dominio hace referencia a la entrega de los servicios requeridos, que abarca desde las operaciones tradicionales hasta el entrenamiento, pasando por seguridad y aspectos de continuidad. Con el fin de proveer servicios, deberan establecerse los procesos de soporte necesarios. Este dominio incluye el procesamiento de los datos por sistemas de aplicacion, frecuentemente clasificados como controles de aplicacion.

DS1 Definir y administrar los niveles de servicio
DS2 Administrar los servicios de terceros
DS3 Administrar el desempeño y la capacidad
DS4 Garantizar la continuidad del servicio
DS5 Garantizar la seguridad de los sistemas
DS6 Identificar y asignar Costos
DS7 Educar y entrenar a los usuarios
DS8 Administrar la mesa de servicio y los incidentes
DS9 Administrar la configuracion
DS10 Administrar los problemas
DS11 Adminsitrar los datos
DS12 Administrar el ambiente fisico
DS13 Administrar las operaciones

Soluciones/aplicativos empresariales Enterprise resource planning(ERP), customer relationship management (CRM), supplier relationship management(SRM), Supply chain management(SCM), Enterprise Application Suite(EAS), workflow, BPM, BPO.

La administración de redes de suministro (en inglés, Supply chain management, SCM) es el proceso de planificación, puesta en ejecución y control de las operaciones de la red de suministro con el propósito de satisfacer las necesidades del cliente con tanta eficacia como sea posible. La gerencia de la cadena de suministro atraviesa todo el movimiento y almacenaje de materias primas, el correspondiente inventario que resulta del proceso, y las mercancías acabadas desde el punto de origen al punto de consumo. La correcta administración de la cadena de suministro debe considerar todos los acontecimientos y factores posibles que puedan causar una interrupción.
Algunos expertos distinguen entre la gerencia de la red de suministro y a la gerencia de la logística, mientras que otros los consideran términos intercambiables. Desde el punto de vista de una empresa, el alcance de la primera está limitado, en lo relativo a los recursos, por los abastecedores de su proveedor, y en el lado del cliente, por los propios contratistas.


El flujo de trabajo (workflow en inglés) es el estudio de los aspectos operacionales de una actividad de trabajo: cómo se estructuran las tareas, cómo se realizan, cuál es su orden correlativo, cómo se sincronizan, cómo fluye la información que soporta las tareas y cómo se le hace seguimiento al cumplimiento de las tareas. Generalmente los problemas de flujo de trabajo se modelan con redes de Petri.
Si bien el concepto de flujo de trabajo no es específico a la tecnología de la información, una parte esencial del software para trabajo colaborativo (groupware) es justamente el flujo de trabajo.
Una aplicación de flujos de trabajo automatiza la secuencia de acciones, actividades o tareas utilizadas para la ejecución del proceso, incluyendo el seguimiento del estado de cada una de sus etapas y la aportación de las herramientas necesarias para gestionarlo
Se pueden distinguir tres tipos de actividad:

• Actividades colaborativas: Un conjunto de usuarios trabajan sobre un mismo repositorio de datos para obtener un resultado común. Tiene entidad el trabajo de cada uno de ellos en sí mismo.
• Actividades cooperativas: Un conjunto de usuarios trabajan sobre su propio conjunto particular, estableciendo los mecanismos de cooperación entre ellos. No tiene entidad el trabajo de ninguno de ellos si no es visto desde el punto de vista global del resultado final.
• Actividades de coordinación.

Soluciones/aplicativos empresariales Enterprise resource planning(ERP), customer relationship management (CRM), supplier relationship management(SRM), Supply chain management(SCM), Enterprise Application Suite(EAS), workflow, BPM, BPO.

Los sistemas de planificación de recursos empresariales, o ERP (por sus siglas en inglés, Enterprise resource planning) son sistemas de información gerenciales que integran y manejan muchos de los negocios asociados con las operaciones de producción y de los aspectos de distribución de una compañía comprometida en la producción de bienes o servicios.
La Planificación de Recursos Empresariales es un término derivado de la Planificación de Recursos de Manufactura (MRPII) y seguido de la Planificación de Requerimientos de Material (MRP). Los sistemas ERP típicamente manejan la producción, logística, distribución, inventario, envíos, facturas y contabilidad de la compañía. Sin embargo, la Planificación de Recursos Empresariales o el software ERP puede intervenir en el control de muchas actividades de negocios como ventas, entregas, pagos, producción, administración de inventarios, calidad de administración y la administración de recursos humanos.
Los sistemas ERP son llamados ocasionalmente back office (trastienda) ya que indican que el cliente y el público general no están directamente involucrados. Este sistema es, en contraste con el sistema de apertura de datos (front office), que crea una relación administrativa del consumidor o servicio al consumidor (CRM), un sistema que trata directamente con los clientes, o con los sistemas de negocios electrónicos tales como comercio electrónico, administración electrónica, telecomunicaciones electrónicas y finanzas electrónicas; asimismo, es un sistema que trata directamente con los proveedores, no estableciendo únicamente una relación administrativa con ellos (SRM).
Los ERP están funcionando ampliamente en todo tipo de empresas modernas. Todos los departamentos funcionales que están involucrados en la operación o producción están integrados en un solo sistema. Además de la manufactura o producción, almacenamiento, logística e información tecnológica, incluyen además la contabilidad, y suelen incluir un Sistema de Administración de Recursos Humanos, y herramientas de mercadotecnia y administración estratégica.

CRM (de la sigla del término en inglés "Customer Relationship Management"), puede poseer varios significados:

• La administración basada en la relación con los clientes. CRM, es un modelo de gestión de toda la organización, basada en la orientación al cliente (u orientación al mercado según otros autores), el concepto más cercano es Marketing relacional (según se usa en España) y tiene mucha relación con otros conceptos como: Clienting, Marketing 1x1, Marketing directo de base de datos, etcétera.

• La administración de la relación con los clientes. CRM, es sinónimo de Servicio al cliente, o de Gestión de clientes. Con este significado CRM se refiere sólo a una parte de la gestión de la empresa.

• Software para la administración de la relación con los clientes. Sistemas informáticos de apoyo a la gestión de las relaciones con los clientes, a la venta y al marketing. Con este significado CRM se refiere al sistema que administra un Data warehouse (Almacén de Datos) con la información de la gestión de ventas y de los clientes de la empresa.

SRM (del acrónimo inglés "Supplier Relationship Management") La gestión de las relaciones con los proveedores (suministradores, acreedores) es un término que describe los métodos y procesos de una empresa o una institución que compra. Esto puede ser para la compra de suministros de uso interno, la compra de materias primas para el consumo durante el proceso de fabricación, o para la adquisición de bienes de inventario para ser revendidos como productos en la distribución y venta al por menor.
La función de la gestión de suministros de una organización es responsable de diversos aspectos de la adquisición de bienes y servicios para la organización. En muchas organizaciones, la adquisición o compra de servicios es llamada "contratación", mientras que el de mercancías se llama "compra" o "adquisición".

• Gestionar el desempeño de los proveedores: La aplicación de tecnologías, procesos, políticas y procedimientos para apoyar el proceso de compra (Supplier Relationship Management). Hay varias empresas que tienen el software para la aplicación de SRM
• El proveedor de gestión de relaciones con el proceso: un proceso de proporcionar la estructura de cómo las relaciones con los proveedores será desarrollada y mantenida
• Las teorías económicas de la oferta y la demanda:La gestión de la oferta se considera generalmente como un sistemático proceso de negocio que incluye más funciones que los tradicionales de compra, tales como la coordinación interna de entrada y de pre-producción logística y la gestión de inventario.

La gestión de la oferta se refiere principalmente a la supervisión y gestión de materiales y servicios de insumos, gestión de los proveedores que proporcionan los insumos y el apoyo del proceso de adquisición de esos insumos. El desempeño de la gestión de la oferta y servicios profesionales de la gestión de la oferta se mide en términos de cantidad de dinero ahorrado para la organización. Sin embargo, la gestión de riesgo es uno de los otros aspectos críticos de la gestión de la oferta, especialmente el riesgo de no disponibilidad en el tiempo requerido de la calidad de bienes y servicios críticos para una organización de la supervivencia y el crecimiento.

IDEA

IDEA Software Líder en el Mundo para Extracción, Análisis y Auditoría de Datos

Versión: 8.2 / Año: 2009 • Desarrollo: CASEWARE, Canadá. Distribuido en más de 90 países

IDEA es una herramienta para apoyar el trabajo de auditores, contadores, investigadores de fraude y profesionales en sistemas. Permite importar archivos desde diferentes formatos y reportes, leer, visualizar, analizar, procesar, obtener muestras y extraer datos. Provee cinco métodos diferentes de muestreo y funcionalidades para identificar vacíos en secuencia de registros, chequear registros duplicados, comparar, unir y agregar archivos y crear reportes personalizados. Es aplicable a investigaciones sobre fraudes y lavado de activos. Otras Características: Dos plataformas: IDEA BÁSICO e IDEA SERVER. Ayudas en línea en HTML. A IDEA versión básica se pueden adicionar componentes como: 1) SMART ANALYZER para pruebas básicas de auditoría y reportes que pueden ser ejecutados por cualquier auditor con un mínimo esfuerzo. 2) EXAMINER para explorar la seguridad y analizar logs generados en redes Windows. 3) UNIX SECURITY AUDITOR para revisar logs de seguridad en sistemas operacionales UNIX. 4) SYMSURE para identificar los niveles de riesgos y de controles mediante el examen de transacciones y archivos de datos.

Marcos de referencia para la empresa

Somos una empresa que esta en el sector productivo, comercializamos a nivel nacional. Debemos pensar en ampliarnos y mantenernos en el mercado nacional.

CMMI: Ayudando a integrar las funciones de la organización, a establecer objetivos de mejora de procesos y prioridades, proporciona una guía para los procesos de calidad y un punto de referencia para evaluar los procesos actuales.

CMMI puede ser utilizado en tres áreas de interés diferentes:

• Desarrollo de productos y servicios (CMMI for Development model)
• Establecimiento de Servicios, administración y entrega (CMMI for Services model)
• Adquisición de productos y servicios (CMMI for Acquisition Model)

CMMI es aplicable a cuatro disciplinas diferentes como lo son:

• Ingeniería de Sistema: Cubre la construcción de un sistema con o sin software
• Ingeniería de Software: Cubre la construcción de soluciones software
• Integración de productos  y procesos de desarrollo: Cubre la relación a largo plazo con el cliente.
• Relación con proveedores: Cubre los procesos relacionados con la subcontratación de partes del sistema

BPO:
Subcontratacion de funciones de procesos de negocios en proveedores de servicios, ya sea internos o externos a la compañía, usualmente en lugares de menores costos.

• BPO de Administración y Finanzas
• BPO de Recursos Humanos

Gestión de Proyectos
Las metodologías para la Gestión de Proyectos que utilizamos en nuestra empresa son PMBOOK, OPM3 y PRINCE2 puesto que tenemos claro que PMBOOK (es ciencia) y su finalidad es llevar a cabo el proyecto, en cambio PRINCE2 (es método) y su finalidad es el producto, y juntas ofrecen un excelente marco de referencia; además como se implementan proyectos en todas las áreas de la empresa, se pretende tener un lenguaje común, que permita coordinar la gente y actividades del mismo.

BPM COMO INTEGRADOR DE PROCESOS
El bpm como marco de referencia permitira no solo desde el area de recursos humanos controlar todos los procesos que se llevan a cabo alli, sino tambien la interrelacion de todos los procesos que se llevan a cabo, la cadena de suministro de los productos, control de todas las actividades inoficiosas en cada area organizacional, para reorganizarlas o para
permitira a la organizacion Mayor flexibilidad y agilidad para adaptación al cambio de las diferentes areas organizacionales.
Despliegue de aplicaciones que soportan el proceso en condiciones tales que no se requiere mayor conocimiento y experiencia de un usuario final, cualquier usuario podra manejar las aplicaciones.

DIMENSIONES DE APLICACION DEL BPM PARA LOS PROCESOS DEL NEGOCIO

Area comercial y ventas:
Se utiliza ITIL enfocado a la prestacion del servicio, en conjunto con la metodologia PLM para la gestion postventa del area comercial.

Area de produccion:
Podemos utilizar los objetivos de control que tiene tanto a nivel logico o nivel fisico que ofrece ISO 17799. Tambien podemos utilizar la metodologia PLM para el area de produccion enfocado a la gestion del ciclo de vida de los productos fabricados en la organizacion.

PLM serviría para todos los procesos de creacion, planeacion y desarrollo de productos y tomando en cuenta la información proporcionada por las  áreas de marketing y ventas.

Área de Control y Finanzas

Dentro del área financiera el estándar que aplicaríamos seria el  Audite 4.0, ya que este es un estándar que esta enfocado a evaluar los procedimientos contables y la eficiencia de la administración  de los recursos financieros y  con los que cuenta la empresa.

Área de Calidad Total
ISO 9000: Aplicable a todas las areas de la empresa. (familia ISO 9000)
COSO: aplica para la gestion de controles basados en riesos. Aquí se menejaria un sistema de gestion de riesgos NTC 5254 , pero no solo para este area si no como un todo, es decir para toda la organizacion para poder identificar cuales son los riesgos que tiene la empresa, en cuanto produccion, comercial, marketing,etc. Cuales riesgos son los que nos afectarian como empresa, cuales controles aplicariamos.

Tambien es importante tener una plan de contingencia y aqui podemos utilizar el NIST ya que es importante saber que hacer cuando se genera un daño que nos afecte como organizacion como suspencion de produccion, daños en el sistema,  entre otros y como podemos solucionarla de una forma rapida y eficaz.

Area de sistemas:

Para esta area podemos utilizar la informacion ubicada dentro de las buenas practicas de los modelos de madurez de CMMI-SW definiendo mas los servicios que ofrecen los servicios de TI que ofrece nuestra area de sistemas. para esta area cabe resaltar el uso del marco de referencia ITIL enfocado a la entrega de servicios a Nivel de Tecnologias de Informacion.
CoBIT 4.1 como marco de referencia para el gobierno de TI.


Control Interno:  

Debido al mundo económico integrado que existe hoy en día se ha creado la necesidad de integrar metodologías y conceptos en todos los niveles de las diversas áreas administrativas y operativas con el fin de ser competitivos y responder a las nuevas exigencias empresariales, surge así un nuevo concepto de control interno donde se brinda una estructura común el cual es documentado en el denominado informe COSO. El informe COSO permitira implementar en la organización una serie de estandares que permitiran dar un apoyo para evaluar y mejorar sus sistemas de control interno, ya que Chocolates de Colombia S.A en sus funciones de Control interno presenta objetivos como: Proteger los recursos de la organización, buscando su adecuada administración ante posibles riesgos que los afecten, definición y aplicaación de medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presenten en la organización y que puedan afectar el logro de sus objetivos, es alli donde COSO permite gestionar los riesgos inherentes de las actividades que son realizadas en la organizacion para mitigar y limitar su impacto.

Audite 4.0.

Bernardo A. Echeverry.

Gestion del ciclo de vida del producto

PLM significa Gestión del Ciclo de Vida del Producto (en inglés Product Lifecycle Management). Aunque a menudo se confunde con una tecnología, PLM es realmente una Estrategia de Empresa basada en una tecnología

PLM es una estrategia empresarial que aplica un conjunto de soluciones informáticas para crear más colaborativamente la información de definición del producto, en aras a su mejor gestión y óptima diseminación en la empresa extendida, desde el concepto inicial hasta el final de la vida del producto, integrando las personas, los procesos, los sistemas y la información.

Gracias a la capacidad de aumentar la flexibilidad de la empresa y su agilidad para responder a las condiciones cambiantes del mercado y de los competidores, el PLM ayuda a las empresas a:

• Concebir productos y servicios más innovadores
• Reducir costes, aumentar la calidad y disminuir el tiempo de lanzamiento al mercado con un adecuado Retorno de la Inversión
• Establecer con sus proveedores y clientes unas relaciones mejores, más íntegras, con mayor colaboración.

Las soluciones PLM combinan tecnología, métodos y buenas prácticas empresariales para dar solución a los problemas que surgen de los rápidos cambios de las condiciones del mercado. PLM es un catalizador que fomenta el cambio dentro de la empresa, creando oportunidades de mejora de los procesos y de la organización. Una vez implementadas, las solucioens PLM producen un impacto positivo en todos los ámbitos de la empresa, mejorando directamente las cuentas de explotación."


PRINCE2

PRojects IN Controlled Environments (PRINCE), en español: proyectos en entornos controlados, es un método de gestión de proyectos que cubre la administración, control y organización de un proyecto. PRINCE2 es una marca registrada de la OGC del Reino Unido.


ITIL

Desarrollada a finales de los 80, comprendido en 10 libros con recomendaciones sobre la gestion de TI agrupados por temas que cubrian las dos partes principales de la empresa.

Actualmente existen mas de 30 libros que comprenden todas las areas funcionales de la empresa ayudando a su respectiva integracion posterior. aclarando que es fundamental en la entrega del servicio. (solo engrega y soporte)

COSO:

integra metodologias y conceptos en todos los niveles de las diversas areas administrativas y operativas.

Estandares de Auditoria

PLM, una estrategia de mejora

Global del negocio

En un marco definido por la intensificación de la competencia a escala mundial y el acortamiento del ciclo de negocio, precisamente en virtud de las exigencias de rapidez en la respuesta al mercado, la gestión de la vida del producto aparece como una de las piedras angulares de la estrategia de la empresa.

De acuerdo con la definición que ofrece CIMdata, la noción de gestión de la vida del producto (PLM en su acrónimo inglés) remite a un planteamiento estratégico del negocio consistente en la aplicación de un conjunto de soluciones para apoyar la acción colaborativa a todo lo largo de la actividad de la empresa en la creación, gestión, difusión y utilización de información para la definición del producto desde su concepción hasta el final de su vida, lo que comporta la integración de personas, procesos, sistemas de negocio e información.

Se trata, pues, de una estrategia encaminada a dotar de agilidad y flexibilidad al proceso de creación de producto que ayuda a las empresas a ofrecer productos y servicios de más calidad y más innovadores, además de reducir los costes y el tiempo de salida al mercado, y contribuir a mejorar las relaciones colaborativas con clientes, suministradores y  socios.

En este sentido, según señala CIMdata, PLM se ha convertido en una iniciativa estratégica de negocio tan importante, o más, que las soluciones de gestión de recursos de la empresa (ERP), de gestión de la relación con el cliente (CRM) y la gestión de la cadena de suministro (SCM). La organización de las operaciones de negocio en el sentido de una mayor flexibilidad y rapidez en la capacidad de respuesta a las necesidades cambiantes del cliente, somete a las empresas a un permanente proceso de innovación, de manera que un negocio innovador no es solamente el que es capaz de generar productos innovadores, sino el que lo hace, además, de forma innovadora, mediante la mejora de los procedimientos puestos en práctica para la generación de los productos y servicios.

Por otro lado, una de las líneas de evolución del mercado se define entorno a una creciente complejidad de los productos que incorporan cada vez en mayor medida diversas tecnologías (electrónica, software, etc.), a lo que hay que añadir, en muchas ocasiones, la necesidad de responder a especificaciones del cliente.

En la década pasada, reconoce la consultora CIMdata, muchas de las inversiones, como las destinadas a integrar las soluciones ERP, aportaron mejoras en la eficiencia operativa de la empresa. Sin embargo, la necesidad de entrar en nuevos mercados con productos innovadores requiere proseguir la tendencia hacia la integración y reutilización del capital intelectual relacionado con el producto que se crea por los socios colaboradores a lo largo de la cadena de valor extendida de la empresa.

Como consecuencia de esta evolución, las soluciones PLM han ido penetrando en un número cada vez mayor

de áreas de actividad, en la medida que ayudan a definir, ejecutar, evaluar y gestionar procesos de negocio relacionados con el producto que son clave para la mejora de la eficiencia global de la empresa, hasta el punto de que los planes de fabricación y los de procesos operativos son contemplados como parte inherente de PLM.

Estandares de Auditoria

CMMI:

 

CMMI (Capability Maturity Model Integration) es una “aproximación a la mejora de procesos que proporciona a las organizaciones los elementos esenciales para desarrollar unos procesos efectivos”.

Está patrocinada por el Software Engineering Institute de la universidad Carnegie Mellon.
CMMI es una metodología muy orientada sobre todo a desarrollo de software mientras que ITIL abarca todos los ámbitos de las Tecnologías de la Información y ni siquiera es una metodología, es un “framework” o marco de trabajo y un conjunto de best practices y
documentación. Se podría decir que CMMI engancha con ITIL en el proceso de Release Management (gestión de versionado).

Modelos Previos Uno de los propósitos de CMMI fue unir en forma coherente varios modelos que eran utilizados en conjunto dentro de una organización y que generaban repetición de contenido provocando que el proceso de mejora llevado a cabo en la organización fuera más difícil y costoso. Estos modelos integrados por CMMI, que serán descritos a continuación y que se ilustran en la Figura 1, eran modelos enfocados en el desarrollo de sistemas software (SW-CMM), en la ingeniería de sistemas (SECM) y en el desarrollo de productos integrados (IPD-CMM).

Figura 2: Modelos Previos a CMMI

CMM para Software

Tras su creación en 1984 el SEI comenzó la investigación para desarrollar un marco de mejora y evaluación de la calidad de las empresas desarrolladoras de software que prestaban servicios al Departamento de Defensa de los Estados Unidos. El resultado de la investigación se denominó "Capability Maturity Model for Software" (SW-CMM), cuya versión 1.0 se publicó en Agosto de 1991 [Pal06]. Posteriormente, como resultado de la retroalimentación generada por parte de la comunidad de software [Pau93],  se desarrollaron las versiones 1.1 publicada en 1993 y 2.0 la cual agregaba y modificaba una serie de elementos al vigente CMM v1.1, principalmente que tienen relación con alcanzar la institucionalización en la organización. Esta versión se completó en 1997 y se denominó "Software CMM, Version 2.0 (Draft C)", pero nunca fue publicada [SEI97]. SW-CMM es un modelo de madurez de capacidades desarrollado para los procesos relativos a la producción y mantenimiento de sistemas software. De esta forma el SW-CMM puede emplearse con dos finalidades [Pal06]:
1.         Guía para mejorar procesos relativos a la producción y mantenimiento del software.
2.         Criterio para determinar el nivel de madurez de una organización que produce y mantiene software.
            Las organizaciones que usan SW-CMMI transitan por cinco niveles de madurez de capacidades donde se pueden encontrar al evaluar sus procesos.  Estos niveles son: Inicial, donde no hay  procesos; Repetible, en el cual los procesos relacionados a la gestión de proyectos y gestión de requerimientos son manejados de alguna manera para su repetición en proyectos distintos; definido, cuando los procesos están totalmente definidos y disponibles para todos los miembros de una organización; gestionado, donde se pueden medir los procesos cuantitativamente; y optimizado, en donde los procesos son mejorados continuamente según una serie de métricas definidas.

Tecnicas de Auditoria

Ø  Examen. Analizar y Poner a prueba la calidad  y cumplimiento de funciones y procesos, actividades y operaciones.

·         Inspecciones: supervisar las operaciones.

·         Confirmación: lo expresado en informes (licenciamiento, oportunidad, protecciones)

·         Comparación: entre grupos históricos, por áreas, manual versus automatico.

Ø  Revisión documental:

Activos: manuales de la organización, procesos, procedimientos, perfil personal, etc.

Técnicos: instructivos de software, instructivos de hardware.

·         Acta testimonial: entrega-recibe  puesto, disciplinaria, falta activo, entrega sistema, software no licenciado, alteración programas.

Ø  Guías de evaluación/ auditoria: instructivos para llevar a cabo la auditoria (ref. actividad a ser evaluada, procedimiento de auditoría, herramientas a usar, observación.)

Ø  Ponderación: lista de factores a evaluar con peso, realizando la suma ponderada.

·         Simulación: modelado, graficas, representación.

·         Evaluación: Gestión, control, integral con apoyo del computador, sin apoyo.

·         Diagramas. Representaciones.

Ø  Matrices de evaluación: evaluación de servicios, DOFA.

o   Programas  de verificación.

Ø  Lista de verificación o chequeo.

o   Benchmark.

Ejemplos de derrotero de Auditoria.

1.       Origen de la auditoria

2.       Visita preliminar

3.       Establecer objetivos

4.       Determinar puntos a evaluar

5.       Elaborar planes, presupuestos y programas.

6.       Identificar y seleccionar herramientas, métodos, técnicas y procedimientos.

7.       Asignar los recursos de auditoría y sistemas.

8.       Aplicar  auditoria

9.       Identificar  desviaciones y elaborar borrador de informe.

10.   Presentar desviaciones a discusión.

11.   Elaborar borrador final de desviaciones.

12.   Presentar el informe de auditoría.

Fases de la auditoria según telefónica de Pereira.

Fase 1:

Fases de la auditoria según la contraloría general de la nación.

Fases de auditoría según iso9000 (NTC ISO 10011-1)

1.       Iniciación de la auditoria

a.       Alcance de la auditoria

b.      Frecuencia de la auditoria

c.       Revisión preliminar de la descripción del sistema de calidad auditoria.

2.       Preparación de la auditoria.

a.       Plan de auditoria

b.      Asignaciones del equipo auditor

c.       Documentos de trabajo

3.       Ejecución de la auditoria

Tecnicas de Auditoria

Las técnicas de auditoria se clasifican en aquellas que no hacen uso de la computadora y las que si lo hacen (TAAC’s), pero en todos los casos, el auditor debe evaluar los riesgos inherentes a una aplicación basándose en:

VERIFICACIÓN DE LA SEGREGACIÓN DE FUNCIONES

El principio de separación de funciones ayuda a disminuir el riesgo de acciones indebidas, malintencionadas o no autorizadas, ejecutadas por personas involucradas en el procesamiento de información:

Generación de datos

Autorización

Modificación

Verificación

Distribución

Los datos generados por efectos de transacciones ocurridas deben ser autorizados antes de su ingreso a un proceso. La revisión abarca la verificación del cumplimiento de reglas de acceso a la información almacenada e Informes de actividades (usuario, actividad, oportunidad de cada tarea ejecutada). Buscar evidencias de intentos de violaciones (accesos no autorizados) a través de registros que indiquen fecha, hora y terminal.

REVISIÓN DE LA DOCUMENTACIÓN DE SISTEMAS

La documentación de una aplicación es un medio para mostrar los elementos esenciales del sistema de procesamiento de información: estructura de datos de entrada, descripción de los procedimientos para efectuar el procesamiento, descripción del contenido de archivos de datos, estructura de la información de salida, definición de controles aplicados.

Provee una explicación de como opera el sistema y que funciones cumplen los procesos y algoritmos utilizados en el.

El auditor de sistemas deberá corroborar que la documentación de un sistema de aplicación, ya sea por Manuales, o procedimientos en línea, diagramas en fin coincida con los mecanismos en los que funciona la aplicación.

Esto se usa para:

a. Revisión del control interno

b. Planeamiento de la auditoria usando la computadora

UN PLAN DE DOCUMENTACIÓN

1. Definición del problema (Fuente básica de información relativa al propósito del sistema)

2. Descripción del sistema (DFD entradas-operaciones-salidas)

3. Descripción de los programas (Diagramas UML, casos, secuencia, comunicación)

4. Configuraciones de registros, esquemas de bases de datos, pantallas e informes.

5. Instrucciones de Operación (Instrucciones necesarias para procesar basado en manual y en la segregación de funciones)

6. Descripción de controles (datos de entrada por el depto, dentro de los programas, recepción de información)

7. Registros de Aceptación (Aprobación por usuario y gerente basado en el cumplimiento de objetivos y exactitud de procesos).

TÉCNICAS DE AUDITORIA ASISTIDAS POR COMPUTADORA TAAC’s

Ayudan al auditor para lograr un alto grado de seguridad y mayor rendimiento en su actividad especifica.

ITF (Integrated Test Facility)

Consiste en un procesamiento simultáneo de datos de prueba que representan operaciones ficticias en un conjunto con datos de operaciones reales, durante un procesamiento real. Esto permite al auditor comparar los resultados de procesamiento de datos de prueba con importe previamente determinados. Si los resultados del procesamiento de los datos de prueba resultan conforme a lo esperado, es razonable suponer que el programa de computación procesa los datos reales tal como corresponde.

Esta técnica no se propone revisar la validez de los datos de entrada sino que prueba la validez de los programas de computación que procesan los datos de entrada, a efectos de determinar si operan de conformidad con su diseño previamente aprobado.

PTF (Parallel Test Facility)

Existen dos modalidades

a.      Procesamiento paralelo (pruebas de cumplimiento) , se realiza una copia del sistema

b.      Simulación paralela (pruebas sustantivas), evaluación de la comparación  entre los resultados de dos sistemas diferentes que han recibido los mismos datos de entrada. Simulación total o parcial de componentes del sistema.

Compilacion CMMI

RESUMEN CMMI

Las compañías, organizaciones y empresas en general entienden que un producto o servicio es de calidad cuando satisface las expectativas del cliente en cuanto a fiabilidad en sus funciones, seguridad de uso y confianza; dichas características pueden ser adoptadas como un solo concepto llamado calidad total, donde existen diversos modelos propuestos por diferentes autores sin embargo, para efectos de este trabajo se tratara el modelo CMMI que no es mas que un modelo de referencia que se diferencia de otros modelos por el hecho de estar basado en prácticas ajustables a cualquier organización específicamente a cualquier dominio de producción y poseer un enfoque global e integral de la organización con el propósito de alcanzar los objetivos del negocio. De esa forma CMMI permite a empresas complejas compuestas por varias áreas de negocio instaurar de una forma más sencilla un sistema de aseguramiento de la calidad.

Las dimensiones críticas para una empresa son la gente, los procedimientos y los métodos, las herramientas y equipos. Los procesos son los encargados de unir esas dimensiones con el fin de alcanzar los objetivos del negocio. CMMI plantea un enfoque en los procesos que ayuden a construir una plataforma de mejora continua, ya que se debe tener claro que las personas y la tecnología cambia, pero solo los procesos son los que trascienden en el tiempo adaptándose a nuevas personas y nuevas tecnologías.

El SEI como creador del modelo CMMI ha elaborado sus modelos bajo la premisa que la calidad de un producto o servicio está altamente influenciada por la calidad de los procesos que los producen y los mantienen.  Es por ello que la mejora continua de los procesos debiese ir paulatinamente incrementando el nivel de capacidad y madurez de una organización. Los procesos en conjunto transitan desde procesos no definidos, es decir, procesos cuya organización cuenta con poca capacidad y con inmadurez para realizarlos, a procesos disciplinados cuya organización cuenta con la capacidad y madurez suficiente para desarrollarlos con calidad probada. Luego una organización es capaz de definir su calidad total por medio del nivel de madurez de capacidades en que se encuentre de acuerdo a sus procesos.

CMMI es un enfoque de mejora de procesos que proporciona a las organizaciones los elementos esenciales de procesos efectivos que en última instancia, mejorar su rendimiento. CMMI puede ser usada para guiar la mejora de procesos a través de un proyecto, una división o una organización entera. Ayuda a integrar las funciones de organización tradicionalmente separados, establecer objetivos de mejora de procesos y prioridades, proporciona una guía para los procesos de calidad y un punto de referencia para evaluar los procesos actuales. (SEI)

Los beneficios que puede esperar el uso de CMMI son los siguientes:

·         Las actividades de la organización están explícitamente vinculadas a los objetivos del negocio.

·         La visibilidad de las actividades de la organización es mayor para ayudar a asegurar que el producto o servicio cumple con las expectativas del cliente.

·         Se aprende de las nuevas áreas de mejores prácticas (por ejemplo, la medición del riesgo)

CMMI puede ser utilizado en tres áreas de interés diferentes:

·         Desarrollo de productos y servicios (CMMI for Development model)

·         Establecimiento de Servicios, administración y entrega (CMMI for Services model)

·         Adquisición de productos y servicios (CMMI for Acquisition Model)

CMMI es aplicable a cuatro disciplinas diferentes como lo son:

• Ingeniería de Sistema: Cubre la construcción de un sistema con o sin software
• Ingeniería de Software: Cubre la construcción de soluciones software
• Integración de productos  y procesos de desarrollo: Cubre la relación a largo plazo con el cliente.
• Relación con proveedores: Cubre los procesos relacionados con la subcontratación de partes del sistema

(SEI)

El modelo puede representarse de dos formas diferentes.

La representación continúa: La representación continua ofrece la máxima flexibilidad cuando se utiliza un modelo CMMI para la mejora de procesos. Una organización puede elegir mejorar el rendimiento de un punto problemático relacionado con un solo proceso, o puede trabajar en varios dominios que están fuertemente alineados con sus objetivos estratégicos. La representación continua también permite que una organización mejore diferentes procesos a diferentes niveles. Las dependencias que existen entre algunas áreas de proceso pueden, sin embargo, limitar un poco las elecciones. Si sabe de antemano qué procesos necesitan ser mejorados en su organización y conoce las dependencias existentes entre las áreas de proceso descritas en el CMMI, la representación continua constituye entonces la elección pertinente.

La representación por etapas: La representación por etapas ofrece una manera sistemática y estructurada de aproximarse a la mejora de procesos basada en el modelo etapa a etapa. El logro de cada etapa asegura que una infraestructura de proceso adecuada se ha establecido como fundamento para la etapa siguiente. Las áreas de proceso están organizadas por niveles de madurez, los cuales eliminan interpretaciones a la mejora de los procesos. La representación por etapas prescribe un orden para implementar las áreas de proceso según unos niveles de madurez, que determinan el camino seguido por una organización para pasar del nivel inicial al nivel “en optimización”. Alcanzar cada nivel de madurez asegura que se ha establecido un fundamento adecuado para el siguiente nivel de madurez, lo que permite una mejora incremental y duradera. Si no sabe por dónde comenzar ni qué procesos elegir para mejorar, la representación por etapas es la opción designada. Esta ofrece un conjunto específico de procesos para mejorar en cada etapa, conjunto que se ha determinado a través de más de una década de investigación y de experimentación sobre la mejora de procesos. (Mary Beth Chrissis, 2009)

Modelos de madurez en CMMI

Los niveles de capacidad son:

Nivel 0 - Incompleto: Un proceso es denominado "proceso incompleto" cuando una o más objetivos específicos del área de proceso no son satisfechos.

Nivel 1 – Realizado: Un  proceso es denominado "proceso realizado" cuando satisface todos los objetivos específicos del área de proceso.  Soporta y permite el trabajo necesario para producir artefactos.

Nivel 2 – Manejado: Un proceso es denominado como "proceso manejado" cuando tiene la infraestructura base para apoyar el proceso. El proceso es planeado y ejecutado en concordancia con la política, emplea gente calificada los cuales tienen recursos adecuados para producir salidas controladas; involucra partes  interesadas; es monitoreado, controlado y revisado; y es evaluado según la descripción del proceso.

Nivel 3 – Definido: Un proceso denominado "proceso definido" es adaptado desde el conjunto de procesos estándares de la organización de acuerdo a las guías de adaptación de la organización, y aporta artefactos, medidas, y otra información de mejora a los activos organizacionales.

Nivel 4 –  Manejado cuantitativamente: Un proceso denominado "proceso manejado cuantitativamente" es controlado usando técnicas estadísticas y otras técnicas cuantitativas. Objetivos cuantitativos para la calidad y realización del proceso son establecidos y usados como criterios para manejar el proceso. 

Nivel 5 – Optimización: Un proceso denominado "proceso optimización  es mejorado basado en el entendimiento de causas comunes de variación del proceso.  Un proceso en optimización se focaliza en la mejora continua del proceso realizado a través de mejoras incrementales y usando innovación tecnológica. (Matías Fuentes Contreras, 2008)

CMMI propone 5 distintos modelos o niveles de madurez de las organizaciones:

1. Inicial: Los resultados de calidad obtenidos son consecuencia de las personas y de las herramientas que emplean. No de los procesos, porque o no los hay o no se emplean.

Estado inicial donde el desarrollo de los procesos en la organización viene dado por la responsabilidad de los individuos para asumir sus roles

• Los procedimientos son inexistentes o localizados a áreas concretas.
• No existen plantillas definidas a nivel corporativo.
1. Gestionado: Se considera un nivel 2 de madurez cuando se llevan a cabo prácticas básicas de gestión de proyectos, de gestión de requisitos, control de versiones y de los trabajos realizados por subcontratistas. Los equipos de los proyectos pueden aprovechar las prácticas realizadas para aplicarlas en nuevos proyectos.

Se normalizan las buenas prácticas en el desarrollo de proyectos (en base a la experiencia y al método).

• En este nivel consolidado, las buenas prácticas se mantienen en los momentos de estrés.
• Están definidos los productos a realizar.
• Se definen puntos de referencia para la revisión de los productos.
2. Definido: Los procesos comunes para desarrollo y mantenimiento del software están documentados de manera suficiente en una biblioteca accesible a los equipos de desarrollo. Las personas han recibido la formación necesaria para comprender los procesos.

La organización entera participa en el proceso eficiente de proyecto software.

• Se conoce de antemano los procesos de construcción de software.
• Existen métodos y plantillas bien definidas y documentados.
• Los procesos no solo afectan a los equipos de desarrollo sino a toda la organización relacionada.
• Los proyectos se pueden definir cualitativamente.
3. Cuantitativamente Gestionado: La organización mide la calidad del producto y del proceso de forma cuantitativa en base a métricas establecidas. La capacidad de los procesos empleados es previsible, y el sistema de medición permite detectar si las variaciones de capacidad exceden los rangos aceptables para adoptar medidas correctivas.
• Se puede seguir con indicadores numéricos (estadísticos) la evolución de los proyectos.
• Las estadísticas son almacenadas para aprovechar su aportación en siguientes proyectos.
• Los proyectos se pueden pedir cuantitativamente.
4. Optimizado: La mejora continua de los procesos afecta a toda la organización, que cuenta con medios para identificar las debilidades y reforzar la prevención de defectos. Se analizan de forma sistemática datos relativos a la eficacia de los procesos de software para analizar el coste y el beneficio de las adaptaciones y las mejoras.
• En base a criterios cuantitativos se pueden determinar las desviaciones más comunes y optimizar procesos.
• En los siguientes proyectos se produce una reducción de costes gracias a la anticipación de problemas y la continua revisión de procesos conflictivos.

(Mora) (Palacio, 2007)