Marcos de referencia para la empresa

Somos una empresa que esta en el sector productivo, comercializamos a nivel nacional. Debemos pensar en ampliarnos y mantenernos en el mercado nacional.

CMMI: Ayudando a integrar las funciones de la organización, a establecer objetivos de mejora de procesos y prioridades, proporciona una guía para los procesos de calidad y un punto de referencia para evaluar los procesos actuales.

CMMI puede ser utilizado en tres áreas de interés diferentes:

• Desarrollo de productos y servicios (CMMI for Development model)
• Establecimiento de Servicios, administración y entrega (CMMI for Services model)
• Adquisición de productos y servicios (CMMI for Acquisition Model)

CMMI es aplicable a cuatro disciplinas diferentes como lo son:

• Ingeniería de Sistema: Cubre la construcción de un sistema con o sin software
• Ingeniería de Software: Cubre la construcción de soluciones software
• Integración de productos  y procesos de desarrollo: Cubre la relación a largo plazo con el cliente.
• Relación con proveedores: Cubre los procesos relacionados con la subcontratación de partes del sistema

BPO:
Subcontratacion de funciones de procesos de negocios en proveedores de servicios, ya sea internos o externos a la compañía, usualmente en lugares de menores costos.

• BPO de Administración y Finanzas
• BPO de Recursos Humanos

Gestión de Proyectos
Las metodologías para la Gestión de Proyectos que utilizamos en nuestra empresa son PMBOOK, OPM3 y PRINCE2 puesto que tenemos claro que PMBOOK (es ciencia) y su finalidad es llevar a cabo el proyecto, en cambio PRINCE2 (es método) y su finalidad es el producto, y juntas ofrecen un excelente marco de referencia; además como se implementan proyectos en todas las áreas de la empresa, se pretende tener un lenguaje común, que permita coordinar la gente y actividades del mismo.

BPM COMO INTEGRADOR DE PROCESOS
El bpm como marco de referencia permitira no solo desde el area de recursos humanos controlar todos los procesos que se llevan a cabo alli, sino tambien la interrelacion de todos los procesos que se llevan a cabo, la cadena de suministro de los productos, control de todas las actividades inoficiosas en cada area organizacional, para reorganizarlas o para
permitira a la organizacion Mayor flexibilidad y agilidad para adaptación al cambio de las diferentes areas organizacionales.
Despliegue de aplicaciones que soportan el proceso en condiciones tales que no se requiere mayor conocimiento y experiencia de un usuario final, cualquier usuario podra manejar las aplicaciones.

DIMENSIONES DE APLICACION DEL BPM PARA LOS PROCESOS DEL NEGOCIO

Area comercial y ventas:
Se utiliza ITIL enfocado a la prestacion del servicio, en conjunto con la metodologia PLM para la gestion postventa del area comercial.

Area de produccion:
Podemos utilizar los objetivos de control que tiene tanto a nivel logico o nivel fisico que ofrece ISO 17799. Tambien podemos utilizar la metodologia PLM para el area de produccion enfocado a la gestion del ciclo de vida de los productos fabricados en la organizacion.

PLM serviría para todos los procesos de creacion, planeacion y desarrollo de productos y tomando en cuenta la información proporcionada por las  áreas de marketing y ventas.

Área de Control y Finanzas

Dentro del área financiera el estándar que aplicaríamos seria el  Audite 4.0, ya que este es un estándar que esta enfocado a evaluar los procedimientos contables y la eficiencia de la administración  de los recursos financieros y  con los que cuenta la empresa.

Área de Calidad Total
ISO 9000: Aplicable a todas las areas de la empresa. (familia ISO 9000)
COSO: aplica para la gestion de controles basados en riesos. Aquí se menejaria un sistema de gestion de riesgos NTC 5254 , pero no solo para este area si no como un todo, es decir para toda la organizacion para poder identificar cuales son los riesgos que tiene la empresa, en cuanto produccion, comercial, marketing,etc. Cuales riesgos son los que nos afectarian como empresa, cuales controles aplicariamos.

Tambien es importante tener una plan de contingencia y aqui podemos utilizar el NIST ya que es importante saber que hacer cuando se genera un daño que nos afecte como organizacion como suspencion de produccion, daños en el sistema,  entre otros y como podemos solucionarla de una forma rapida y eficaz.

Area de sistemas:

Para esta area podemos utilizar la informacion ubicada dentro de las buenas practicas de los modelos de madurez de CMMI-SW definiendo mas los servicios que ofrecen los servicios de TI que ofrece nuestra area de sistemas. para esta area cabe resaltar el uso del marco de referencia ITIL enfocado a la entrega de servicios a Nivel de Tecnologias de Informacion.
CoBIT 4.1 como marco de referencia para el gobierno de TI.


Control Interno:  

Debido al mundo económico integrado que existe hoy en día se ha creado la necesidad de integrar metodologías y conceptos en todos los niveles de las diversas áreas administrativas y operativas con el fin de ser competitivos y responder a las nuevas exigencias empresariales, surge así un nuevo concepto de control interno donde se brinda una estructura común el cual es documentado en el denominado informe COSO. El informe COSO permitira implementar en la organización una serie de estandares que permitiran dar un apoyo para evaluar y mejorar sus sistemas de control interno, ya que Chocolates de Colombia S.A en sus funciones de Control interno presenta objetivos como: Proteger los recursos de la organización, buscando su adecuada administración ante posibles riesgos que los afecten, definición y aplicaación de medidas para prevenir los riesgos, detectar y corregir las desviaciones que se presenten en la organización y que puedan afectar el logro de sus objetivos, es alli donde COSO permite gestionar los riesgos inherentes de las actividades que son realizadas en la organizacion para mitigar y limitar su impacto.

Audite 4.0.

Bernardo A. Echeverry.

Gestion del ciclo de vida del producto

PLM significa Gestión del Ciclo de Vida del Producto (en inglés Product Lifecycle Management). Aunque a menudo se confunde con una tecnología, PLM es realmente una Estrategia de Empresa basada en una tecnología

PLM es una estrategia empresarial que aplica un conjunto de soluciones informáticas para crear más colaborativamente la información de definición del producto, en aras a su mejor gestión y óptima diseminación en la empresa extendida, desde el concepto inicial hasta el final de la vida del producto, integrando las personas, los procesos, los sistemas y la información.

Gracias a la capacidad de aumentar la flexibilidad de la empresa y su agilidad para responder a las condiciones cambiantes del mercado y de los competidores, el PLM ayuda a las empresas a:

• Concebir productos y servicios más innovadores
• Reducir costes, aumentar la calidad y disminuir el tiempo de lanzamiento al mercado con un adecuado Retorno de la Inversión
• Establecer con sus proveedores y clientes unas relaciones mejores, más íntegras, con mayor colaboración.

Las soluciones PLM combinan tecnología, métodos y buenas prácticas empresariales para dar solución a los problemas que surgen de los rápidos cambios de las condiciones del mercado. PLM es un catalizador que fomenta el cambio dentro de la empresa, creando oportunidades de mejora de los procesos y de la organización. Una vez implementadas, las solucioens PLM producen un impacto positivo en todos los ámbitos de la empresa, mejorando directamente las cuentas de explotación."


PRINCE2

PRojects IN Controlled Environments (PRINCE), en español: proyectos en entornos controlados, es un método de gestión de proyectos que cubre la administración, control y organización de un proyecto. PRINCE2 es una marca registrada de la OGC del Reino Unido.


ITIL

Desarrollada a finales de los 80, comprendido en 10 libros con recomendaciones sobre la gestion de TI agrupados por temas que cubrian las dos partes principales de la empresa.

Actualmente existen mas de 30 libros que comprenden todas las areas funcionales de la empresa ayudando a su respectiva integracion posterior. aclarando que es fundamental en la entrega del servicio. (solo engrega y soporte)

COSO:

integra metodologias y conceptos en todos los niveles de las diversas areas administrativas y operativas.

Estandares de Auditoria

PLM, una estrategia de mejora

Global del negocio

En un marco definido por la intensificación de la competencia a escala mundial y el acortamiento del ciclo de negocio, precisamente en virtud de las exigencias de rapidez en la respuesta al mercado, la gestión de la vida del producto aparece como una de las piedras angulares de la estrategia de la empresa.

De acuerdo con la definición que ofrece CIMdata, la noción de gestión de la vida del producto (PLM en su acrónimo inglés) remite a un planteamiento estratégico del negocio consistente en la aplicación de un conjunto de soluciones para apoyar la acción colaborativa a todo lo largo de la actividad de la empresa en la creación, gestión, difusión y utilización de información para la definición del producto desde su concepción hasta el final de su vida, lo que comporta la integración de personas, procesos, sistemas de negocio e información.

Se trata, pues, de una estrategia encaminada a dotar de agilidad y flexibilidad al proceso de creación de producto que ayuda a las empresas a ofrecer productos y servicios de más calidad y más innovadores, además de reducir los costes y el tiempo de salida al mercado, y contribuir a mejorar las relaciones colaborativas con clientes, suministradores y  socios.

En este sentido, según señala CIMdata, PLM se ha convertido en una iniciativa estratégica de negocio tan importante, o más, que las soluciones de gestión de recursos de la empresa (ERP), de gestión de la relación con el cliente (CRM) y la gestión de la cadena de suministro (SCM). La organización de las operaciones de negocio en el sentido de una mayor flexibilidad y rapidez en la capacidad de respuesta a las necesidades cambiantes del cliente, somete a las empresas a un permanente proceso de innovación, de manera que un negocio innovador no es solamente el que es capaz de generar productos innovadores, sino el que lo hace, además, de forma innovadora, mediante la mejora de los procedimientos puestos en práctica para la generación de los productos y servicios.

Por otro lado, una de las líneas de evolución del mercado se define entorno a una creciente complejidad de los productos que incorporan cada vez en mayor medida diversas tecnologías (electrónica, software, etc.), a lo que hay que añadir, en muchas ocasiones, la necesidad de responder a especificaciones del cliente.

En la década pasada, reconoce la consultora CIMdata, muchas de las inversiones, como las destinadas a integrar las soluciones ERP, aportaron mejoras en la eficiencia operativa de la empresa. Sin embargo, la necesidad de entrar en nuevos mercados con productos innovadores requiere proseguir la tendencia hacia la integración y reutilización del capital intelectual relacionado con el producto que se crea por los socios colaboradores a lo largo de la cadena de valor extendida de la empresa.

Como consecuencia de esta evolución, las soluciones PLM han ido penetrando en un número cada vez mayor

de áreas de actividad, en la medida que ayudan a definir, ejecutar, evaluar y gestionar procesos de negocio relacionados con el producto que son clave para la mejora de la eficiencia global de la empresa, hasta el punto de que los planes de fabricación y los de procesos operativos son contemplados como parte inherente de PLM.

Estandares de Auditoria

CMMI:

 

CMMI (Capability Maturity Model Integration) es una “aproximación a la mejora de procesos que proporciona a las organizaciones los elementos esenciales para desarrollar unos procesos efectivos”.

Está patrocinada por el Software Engineering Institute de la universidad Carnegie Mellon.
CMMI es una metodología muy orientada sobre todo a desarrollo de software mientras que ITIL abarca todos los ámbitos de las Tecnologías de la Información y ni siquiera es una metodología, es un “framework” o marco de trabajo y un conjunto de best practices y
documentación. Se podría decir que CMMI engancha con ITIL en el proceso de Release Management (gestión de versionado).

Modelos Previos Uno de los propósitos de CMMI fue unir en forma coherente varios modelos que eran utilizados en conjunto dentro de una organización y que generaban repetición de contenido provocando que el proceso de mejora llevado a cabo en la organización fuera más difícil y costoso. Estos modelos integrados por CMMI, que serán descritos a continuación y que se ilustran en la Figura 1, eran modelos enfocados en el desarrollo de sistemas software (SW-CMM), en la ingeniería de sistemas (SECM) y en el desarrollo de productos integrados (IPD-CMM).

Figura 2: Modelos Previos a CMMI

CMM para Software

Tras su creación en 1984 el SEI comenzó la investigación para desarrollar un marco de mejora y evaluación de la calidad de las empresas desarrolladoras de software que prestaban servicios al Departamento de Defensa de los Estados Unidos. El resultado de la investigación se denominó "Capability Maturity Model for Software" (SW-CMM), cuya versión 1.0 se publicó en Agosto de 1991 [Pal06]. Posteriormente, como resultado de la retroalimentación generada por parte de la comunidad de software [Pau93],  se desarrollaron las versiones 1.1 publicada en 1993 y 2.0 la cual agregaba y modificaba una serie de elementos al vigente CMM v1.1, principalmente que tienen relación con alcanzar la institucionalización en la organización. Esta versión se completó en 1997 y se denominó "Software CMM, Version 2.0 (Draft C)", pero nunca fue publicada [SEI97]. SW-CMM es un modelo de madurez de capacidades desarrollado para los procesos relativos a la producción y mantenimiento de sistemas software. De esta forma el SW-CMM puede emplearse con dos finalidades [Pal06]:
1.         Guía para mejorar procesos relativos a la producción y mantenimiento del software.
2.         Criterio para determinar el nivel de madurez de una organización que produce y mantiene software.
            Las organizaciones que usan SW-CMMI transitan por cinco niveles de madurez de capacidades donde se pueden encontrar al evaluar sus procesos.  Estos niveles son: Inicial, donde no hay  procesos; Repetible, en el cual los procesos relacionados a la gestión de proyectos y gestión de requerimientos son manejados de alguna manera para su repetición en proyectos distintos; definido, cuando los procesos están totalmente definidos y disponibles para todos los miembros de una organización; gestionado, donde se pueden medir los procesos cuantitativamente; y optimizado, en donde los procesos son mejorados continuamente según una serie de métricas definidas.

Tecnicas de Auditoria

Ø  Examen. Analizar y Poner a prueba la calidad  y cumplimiento de funciones y procesos, actividades y operaciones.

·         Inspecciones: supervisar las operaciones.

·         Confirmación: lo expresado en informes (licenciamiento, oportunidad, protecciones)

·         Comparación: entre grupos históricos, por áreas, manual versus automatico.

Ø  Revisión documental:

Activos: manuales de la organización, procesos, procedimientos, perfil personal, etc.

Técnicos: instructivos de software, instructivos de hardware.

·         Acta testimonial: entrega-recibe  puesto, disciplinaria, falta activo, entrega sistema, software no licenciado, alteración programas.

Ø  Guías de evaluación/ auditoria: instructivos para llevar a cabo la auditoria (ref. actividad a ser evaluada, procedimiento de auditoría, herramientas a usar, observación.)

Ø  Ponderación: lista de factores a evaluar con peso, realizando la suma ponderada.

·         Simulación: modelado, graficas, representación.

·         Evaluación: Gestión, control, integral con apoyo del computador, sin apoyo.

·         Diagramas. Representaciones.

Ø  Matrices de evaluación: evaluación de servicios, DOFA.

o   Programas  de verificación.

Ø  Lista de verificación o chequeo.

o   Benchmark.

Ejemplos de derrotero de Auditoria.

1.       Origen de la auditoria

2.       Visita preliminar

3.       Establecer objetivos

4.       Determinar puntos a evaluar

5.       Elaborar planes, presupuestos y programas.

6.       Identificar y seleccionar herramientas, métodos, técnicas y procedimientos.

7.       Asignar los recursos de auditoría y sistemas.

8.       Aplicar  auditoria

9.       Identificar  desviaciones y elaborar borrador de informe.

10.   Presentar desviaciones a discusión.

11.   Elaborar borrador final de desviaciones.

12.   Presentar el informe de auditoría.

Fases de la auditoria según telefónica de Pereira.

Fase 1:

Fases de la auditoria según la contraloría general de la nación.

Fases de auditoría según iso9000 (NTC ISO 10011-1)

1.       Iniciación de la auditoria

a.       Alcance de la auditoria

b.      Frecuencia de la auditoria

c.       Revisión preliminar de la descripción del sistema de calidad auditoria.

2.       Preparación de la auditoria.

a.       Plan de auditoria

b.      Asignaciones del equipo auditor

c.       Documentos de trabajo

3.       Ejecución de la auditoria

Tecnicas de Auditoria

Las técnicas de auditoria se clasifican en aquellas que no hacen uso de la computadora y las que si lo hacen (TAAC’s), pero en todos los casos, el auditor debe evaluar los riesgos inherentes a una aplicación basándose en:

VERIFICACIÓN DE LA SEGREGACIÓN DE FUNCIONES

El principio de separación de funciones ayuda a disminuir el riesgo de acciones indebidas, malintencionadas o no autorizadas, ejecutadas por personas involucradas en el procesamiento de información:

Generación de datos

Autorización

Modificación

Verificación

Distribución

Los datos generados por efectos de transacciones ocurridas deben ser autorizados antes de su ingreso a un proceso. La revisión abarca la verificación del cumplimiento de reglas de acceso a la información almacenada e Informes de actividades (usuario, actividad, oportunidad de cada tarea ejecutada). Buscar evidencias de intentos de violaciones (accesos no autorizados) a través de registros que indiquen fecha, hora y terminal.

REVISIÓN DE LA DOCUMENTACIÓN DE SISTEMAS

La documentación de una aplicación es un medio para mostrar los elementos esenciales del sistema de procesamiento de información: estructura de datos de entrada, descripción de los procedimientos para efectuar el procesamiento, descripción del contenido de archivos de datos, estructura de la información de salida, definición de controles aplicados.

Provee una explicación de como opera el sistema y que funciones cumplen los procesos y algoritmos utilizados en el.

El auditor de sistemas deberá corroborar que la documentación de un sistema de aplicación, ya sea por Manuales, o procedimientos en línea, diagramas en fin coincida con los mecanismos en los que funciona la aplicación.

Esto se usa para:

a. Revisión del control interno

b. Planeamiento de la auditoria usando la computadora

UN PLAN DE DOCUMENTACIÓN

1. Definición del problema (Fuente básica de información relativa al propósito del sistema)

2. Descripción del sistema (DFD entradas-operaciones-salidas)

3. Descripción de los programas (Diagramas UML, casos, secuencia, comunicación)

4. Configuraciones de registros, esquemas de bases de datos, pantallas e informes.

5. Instrucciones de Operación (Instrucciones necesarias para procesar basado en manual y en la segregación de funciones)

6. Descripción de controles (datos de entrada por el depto, dentro de los programas, recepción de información)

7. Registros de Aceptación (Aprobación por usuario y gerente basado en el cumplimiento de objetivos y exactitud de procesos).

TÉCNICAS DE AUDITORIA ASISTIDAS POR COMPUTADORA TAAC’s

Ayudan al auditor para lograr un alto grado de seguridad y mayor rendimiento en su actividad especifica.

ITF (Integrated Test Facility)

Consiste en un procesamiento simultáneo de datos de prueba que representan operaciones ficticias en un conjunto con datos de operaciones reales, durante un procesamiento real. Esto permite al auditor comparar los resultados de procesamiento de datos de prueba con importe previamente determinados. Si los resultados del procesamiento de los datos de prueba resultan conforme a lo esperado, es razonable suponer que el programa de computación procesa los datos reales tal como corresponde.

Esta técnica no se propone revisar la validez de los datos de entrada sino que prueba la validez de los programas de computación que procesan los datos de entrada, a efectos de determinar si operan de conformidad con su diseño previamente aprobado.

PTF (Parallel Test Facility)

Existen dos modalidades

a.      Procesamiento paralelo (pruebas de cumplimiento) , se realiza una copia del sistema

b.      Simulación paralela (pruebas sustantivas), evaluación de la comparación  entre los resultados de dos sistemas diferentes que han recibido los mismos datos de entrada. Simulación total o parcial de componentes del sistema.