You are on page 1of 31

Septiembre 2012

Traducción al Español Cortesía de ISACA Capítulo de Guadalajara

GRC
GRC:
Gobierno, administración del riesgo y
cumplimiento.
Témino sombrilla, cada vez más
utilizado que cubre estas tres áreas de
actividades de las empresas.
Estas áreas de actividad están siendo
progresivamente más alineados e
integrados para mejorar el rendimiento
de la empresa y la entrega de las
necesidades de las partes interesadas.

 Riesgo (Administración)—Peligro. presentación * Diccionario en línea Webster . en cuanto a su deseo. concesión.Definiciones GRC* GRC: Gobierno—El ejercicio de la autoridad. con un propósito. control. o utilizar. seguir adelante. conducta. dirigir. control) Cumplimiento—El acto de cumplimiento. acuerdo. daño o destrucción (el acto o arte de la gestión. gobierno. demanda o propuesta. la manera de tratar. dirección. administración. un rendimiento. riesgo de pérdida.

cada uno con objetivos similares pero con frecuencia varían términos y las técnicas para su realización. .Tipos de Gobierno Existen diferentes tipos de gobierno: Gobierno Corporativo Gobierno de Proyectos Gobierno de Tecnologías de Información Gobierno Ambiental Gobierno Económico y Financiero Cada tipo tiene una o más fuentes de orientación.

los principios. marcos. . las políticas. Estos enfoques se basan normalmente en facilitadores de diversos tipos (por ejemplo. modelos.Implementando Gobierno La integración de la aplicación de las actividades de GRC dentro de una empresa requiere un enfoque sistémico para el eficaz logro de los objetivos empresariales de sus grupos de interés. estructuras organizacionales).

Un ejemplo de modelo GRC Del Red Book GRC de OCEG Capability Model version 2.1* * Contiene material copiado o derivado de The Red Book de OCEG en http://www. .oceg.org.

o por unidades de negocio dentro de la organización. ejecutivos de alto nivel. directores.1 Alcance  Este estándar establece los principios rectores para directores de organizaciones (incluyendo propietarios. miembros del consejo. o similar) sobre el uso eficaz. eficiente y aceptable de la tecnología de la información (TI) dentro de sus organizaciones. socios.  Esta norma se aplica a la gestión de los procesos de gestión (toma de decisiones) relativas a los servicios de información y comunicación utilizados por una organización.Gobierno Corporativo de TI ISO/IEC 38500: 2008 Gobierno Corporativo de Tecnología de Información  1. . Estos procesos pueden ser controlados por especialistas en TI dentro de la organización o de los proveedores de servicios externos.

4 Principio 4: Desempeño 2.1 Principios 2.1.1.Gobierno Corporativo de TI (cont.1.1.1.3 Principio 3: Adquisición 2.1.6 Principio 6: Comportamiento Humano .) ISO/IEC 38500: 2008 Gobierno Corporativo de Tecnología de Información 2.5 Principio 5: Conformidad 2.2 Principio 2: Estrategia 2.1 Principio 1: Responsabilidad 2.

2 Modelo Los administradores debe gobernar las TI a través de tres tareas principales: a) Evaluar el uso actual y futuro de TI. y el desempeño contra los planes. c) Monitorear la conformidad de las políticas. b) Preparación directa y la aplicación de planes y políticas para garantizar que el uso de las TI cumple con los objetivos de negocio. .Gobierno Corporativo de TI (cont.) ISO/IEC 38500: 2008 Gobierno Corporativo de Tecnología de Información 2.

. ayudar a los profesionales de TI y líderes empresariales a cumplir con sus responsabilidades de gobierno de TI. ISACA desarrolla y mantiene el internacionalmente reconocido marco de referencia COBIT. aseguramiento y seguridad. control.ISACA y COBIT ISACA promueve activamente la investigación que se traduce en el desarrollo de productos relevantes y útiles para los profesionales de Gobierno de TI. mientras que la entrega de valor al negocio. riesgo.

.

isaca.COBIT: Gobierno de TI de las Empresas (GEIT) Evolución del Alcance Gobierno de TI Val IT 2.0/4.0 Administración (2008) Control Risk IT (2009) Auditoría COBIT1 COBIT2 COBIT3 COBIT4.org/cobit Source: COBIT® 5 Introduction Presentation © 2012 ISACA® All rights reserved . en www.1 1996 1998 2000 2005/7 2012 Un Marco Empresarial de ISACA.

COBIT 5 en Resumen COBIT 5 reúne a los cinco principios que permiten a la empresa de construir una gobernabilidad efectiva y un marco de gestión basado en un conjunto holístico de siete facilitadores que optimiza la información y la inversión en tecnología y el uso para el beneficio de las partes interesadas. .

Los principios y los facilitadores de COBIT 5 son de carácter genérico y útil para las empresas de todos los tamaños. sin fines de lucro o en el sector público. . COBIT 5 permite que la información y la tecnología relacionada para ser gobernado y administrado de manera integral para el conjunto de la empresa.El marco COBIT 5 En pocas palabras. teniendo en el pleno de extremo a extremo del negocio y áreas funcionales de responsabilidad. ya sea comercial. teniendo en cuenta los intereses relacionados con la TI de grupos de interés internos y externos. COBIT 5 ayuda a las empresas a crear valor óptimo de TI mediante el mantenimiento de un equilibrio entre la obtención de beneficios y la optimización de los niveles de riesgo y el uso de los recursos.

Cubrir la Gobierno de la Organización de Administración forma integral Principios de COBIT 5 4. figure 2. © 2012 ISACA® All rights reserved.Los Principios de COBIT 5 1. Aplicar un un enfoque solo marco holistico integrado Source: COBIT® 5. Separar el 2. Satisfacer las necesidades de las partes interesadas 5. Habilitar 3. .

Habilitadores de COBIT 5 2. © 2012 ISACA® All rights reserved. Servicios. Ética Organizacionales y Comportamiento 1. Cultura. . 5. 7. Estructuras 4. Políticas y Marcos 6. Principios. Personas. Procesos 3. Información Infraestructura Habilidades y y Aplicaciones Competencias RECURSOS Source: COBIT® 5. figure 12.

.

Administración planea. construye.Gobierno (y administración) en COBIT 5 Gobierno asegura que los objetivos de la empresa se logren mediante la evaluación de las necesidades de las partes interesadas. El proceso COBIT como modelo de referencia nos permite enfocar fácilmente sobre las actividades empresariales relevantes. estableciendo la dirección a través de la priorización y decisión. las condiciones y opciones. y monitoreando el desempeño. . el cumplimiento y el progreso contra acordaron dirección y objetivos (EDM). ejecuta y monitorea actividades alineadas con la dirección establecida por el órgano de gobierno para alcanzar los objetivos de la empresa(PBRM). El ejercicio de gobierno y la gestión eficaz en la práctica requiere el uso adecuado de todos los facilitadores.

. •03 Garantizar la optimización de riesgos. dentro de cada proceso.Gobierno en COBIT 5 • El modelo de referencia COBIT 5 subdivide proceso de las prácticas relacionadas con la TI y las actividades de la empresa en dos grandes áreas: la gobernanza y la gestión con la administración dividida en dominios de los procesos • El dominio GOBIERNO contiene cinco procesos de gobierno. evaluar. •01 Asegurar el marco de gobierno y el mantenimiento de su configuración. •04 Garantizar la optimización de recursos. ejecutar y monitorear (PBRM). •02 Asegurar la entrega beneficios. dirigir y supervisar (EDM) Las prácticas se definen. •05 Garantizar la transparencia de los terceros interesados. construir. • Los cuatro dominios de gestión están en línea con las áreas de responsabilidad de planear.

© 2012 ISACA® All rights reserved. Planear y Organizar Monitorear.Gobierno en COBIT 5 (cont. Servir y Dar Soporte DSS02 Administrar MEA03 Monitorear. Evaluar y Valorar el Sistema de Control Interno BAI08 Administrar el BAI09 Administrar BAI10 Admnistrar la Conocimiento los Activos Configuración Entregar. Evaluar y Valorar el APO09 Administrar Desempeño y APO08 Administrar APO10 Administrar APO11 Administrar APO12 Administrar APO13 Administrar la Cumplimiento los Contratos de los Proveedores la Calidad los Riesgos Seguridad las Relaciones Servicios Construir. Dirijir y Monitorear Procesos para el Gobierno Corporativo de TI EDM01 Asegurar que se fija el Marco EDM04 Asegurar EDM05 Asegurar EDM02 Asegurar EDM03 Asegurar de Gobierno y su la Optimización de la Transparencia a la Entrega de Valor la Optimización de Mantenimiento los Recursos las partes los Riesgos interesadas Alinear. Adquirir e Implementar BAI01 Administrar BAI02 Administrar BAI03 Administrar BAI05 Administrar la BAI07 Administrar la BAI04 Administrar la BAI06 Administrar Programas y la Definición de la Identificación y Habilitación del Aceptación de Disponibilidad y Cambios Proyectos Requerimientos Construcción de Cambio Cambios y Capacidad Soluciones Transiciones MEA02 Monitorear. DSS01 Administrar las Solicitudes de DSS03 Administrar DSS04 Administrar la DSS05 Administrar DSS06 Administrar Evaluar y Valorar el las Operaciones Servicios y los Problemas Continuidad los Servicios de los Controles en los Cumplimiento con Incidentes Seguridad Procesos de Negocio Requisitos Externos Procesos para la Administración de TI Corporativa Source: COBIT® 5. figure 16.) Evaluar. . Evaluar y Valorar APO01 Administrar el APO03 Administrar APO05 Administrar el APO07 Administrar el APO02 Administrar APO04 Administrar la APO06 Administrar Marco de la la Arquitectura Portafolio Recurso Humano la Estrategia Innovación el Presupuesto y los Administración de TI Corporativa Costos MEA01 Monitorear.

y que el riesgo de valor de la empresa en relación con el uso de las TI es identificado y gestionado. y la posibilidad de fallas de cumplimiento es mínimo. . • Proceso de declaración de propósito • Asegurar que riesgos relacionados con TI de la empresa no supere la tolerancia al riesgo y el apetito de riesgo.Administración de Riesgos en COBIT 5 • El dominio de Gobierno cotiene cinco procesos de gobierno. uno de los cuales se enfoca en el riesgo relacionado con los objetivos de los terceros interesados: EDM03 Asegurar la optimización de riesgos. el impacto de los riesgos de TI de valor de la empresa es identificado y manejado. • Descripción de procesos • Asegurar que el apetito de riesgo de la empresa y la tolerancia se entiende. articulado y comunicado.

• Proceso de Declaración de Propósito • Integrar la gestión de riesgos empresariales relacionados con la TI con el ERM en general. Planear y Organizar contiene un proceso de riesgos relacionados: APO12 Gestionar el riesgo.) • El dominio de Gestión Alinear. y equilibrar los costos y beneficios de la gestión de riesgos relacionados con TI de la empresa. • Descripción del proceso • Continuamente identificar. evaluar y reducir los riesgos relacionados con TI dentro de los niveles de tolerancia establecidos por la dirección ejecutiva de la empresa.Administración de Riesgos en COBIT 5 (cont. .

Evaluar y Valorar APO01 Administrar el APO03 Administrar APO05 Administrar el APO07 Administrar el APO02 Administrar APO04 Administrar la APO06 Administrar Marco de la la Arquitectura Portafolio Recurso Humano la Estrategia Innovación el Presupuesto y los Administración de TI Corporativa Costos MEA01 Monitorear. Evaluar y Valorar el APO09 Administrar Desempeño y APO08 Administrar APO10 Administrar APO11 Administrar APO12 Administrar APO13 Administrar la Cumplimiento los Contratos de los Proveedores la Calidad los Riesgos Seguridad las Relaciones Servicios Construir. Servir y Dar Soporte DSS02 Administrar MEA03 Monitorear.) Evaluar. DSS01 Administrar las Solicitudes de DSS03 Administrar DSS04 Administrar la DSS05 Administrar DSS06 Administrar Evaluar y Valorar el las Operaciones Servicios y los Problemas Continuidad los Servicios de los Controles en los Cumplimiento con Incidentes Seguridad Procesos de Negocio Requisitos Externos Procesos para la Administración de TI Corporativa Source: COBIT® 5. Dirijir y Monitorear Procesos para el Gobierno Corporativo de TI EDM01 Asegurar que se fija el Marco EDM04 Asegurar EDM05 Asegurar EDM02 Asegurar EDM03 Asegurar de Gobierno y su la Optimización de la Transparencia a la Entrega de Valor la Optimización de Mantenimiento los Recursos las partes los Riesgos interesadas Alinear. Evaluar y Valorar el Sistema de Control Interno BAI08 Administrar el BAI09 Administrar BAI10 Admnistrar la Conocimiento los Activos Configuración Entregar. . figure 16. © 2012 ISACA® All rights reserved. Adquirir e Implementar BAI01 Administrar BAI02 Administrar BAI03 Administrar BAI05 Administrar la BAI07 Administrar la BAI04 Administrar la BAI06 Administrar Programas y la Definición de la Identificación y Habilitación del Aceptación de Disponibilidad y Cambios Proyectos Requerimientos Construcción de Cambio Cambios y Capacidad Soluciones Transiciones MEA02 Monitorear. Planear y Organizar Monitorear.Administración de Riesgos en COBIT 5 (cont.

) • Todas las actividades de la empresa tienen una exposición de riesgos asociados derivados de las amenazas ambientales que aprovechan las vulnerabilidades habilitador • EDM03 Asegurar optimización del riesgo asegura que el enfoque de riesgo de los terceros interesado este enfocado a como serán tratados los riesgos que enfrenta la empresa. . • APO12 Gestión de Riesgo proporciona a las empresas la gestión de riesgos (ERM) las diposiciones que aseguren que la dirección dada por los terceros interesados es seguida por la empresa. Administración de Riesgos en COBIT 5 (cont. reducir / mitigar / controlar/ compartir / transferir / aceptar). • Todos los demás procesos incluye prácticas y actividades que son diseñadas para tratar el riesgo relacionado (evitar.

.Administración de Riesgos en COBIT 5 (cont. Plan and Organise Source: COBIT® 5: Enabling Processes. © 2012 ISACA® All rights reserved. COBIT 5 sugiere las responsabilidades.) • Además de las actividades. Align. Estos incluyen roles para riesgos relacionados. page 108. funciones y responsabilidades de las empresas y el gobierno / administración estructuras (tablas RACI) para cada proceso.

Evaluar y valorar contiene un proceso de cumplimiento enfocado: MEA03 supervisar. regulaciones y requerimientos contractuales.Cumplimiento en COBIT 5 • El dominio de la gestión Monitorear. evaluar y evaluar el cumplimiento de los requisitos externos. • Proceso de propósito de declaración • Asegúrese de que la empresa cumple con todos los requerimientos externos aplicables. • Descripción del proceso • Evaluar que los procesos de TI y procesos de negocios apoyados por TI cumplen con las leyes. e integrar el cumplimiento de TI con el cumplimiento general de la empresa. Conseguir garantías de que los requisitos se han identificado y se cumplan. .

) Evaluar. . Adquirir e Implementar BAI01 Administrar BAI02 Administrar BAI03 Administrar BAI05 Administrar la BAI07 Administrar la BAI04 Administrar la BAI06 Administrar Programas y la Definición de la Identificación y Habilitación del Aceptación de Disponibilidad y Cambios Proyectos Requerimientos Construcción de Cambio Cambios y Capacidad Soluciones Transiciones MEA02 Monitorear. © 2012 ISACA® All rights reserved. Dirijir y Monitorear Procesos para el Gobierno Corporativo de TI EDM01 Asegurar que se fija el Marco EDM04 Asegurar EDM05 Asegurar EDM02 Asegurar EDM03 Asegurar de Gobierno y su la Optimización de la Transparencia a la Entrega de Valor la Optimización de Mantenimiento los Recursos las partes los Riesgos interesadas Alinear. Servir y Dar Soporte DSS02 Administrar MEA03 Monitorear. Evaluar y Valorar APO01 Administrar el APO03 Administrar APO05 Administrar el APO07 Administrar el APO02 Administrar APO04 Administrar la APO06 Administrar Marco de la la Arquitectura Portafolio Recurso Humano la Estrategia Innovación el Presupuesto y los Administración de TI Corporativa Costos MEA01 Monitorear. Evaluar y Valorar el Sistema de Control Interno BAI08 Administrar el BAI09 Administrar BAI10 Admnistrar la Conocimiento los Activos Configuración Entregar.Cumplimiento en COBIT 5 (cont. Planear y Organizar Monitorear. figure 16. Evaluar y Valorar el APO09 Administrar Desempeño y APO08 Administrar APO10 Administrar APO11 Administrar APO12 Administrar APO13 Administrar la Cumplimiento los Contratos de los Proveedores la Calidad los Riesgos Seguridad las Relaciones Servicios Construir. DSS01 Administrar las Solicitudes de DSS03 Administrar DSS04 Administrar la DSS05 Administrar DSS06 Administrar Evaluar y Valorar el las Operaciones Servicios y los Problemas Continuidad los Servicios de los Controles en los Cumplimiento con Incidentes Seguridad Procesos de Negocio Requisitos Externos Procesos para la Administración de TI Corporativa Source: COBIT® 5.

sino también con las empresas gobernabilidad determinados principios. todas las actividades de la empresa incluyen las actividades de control que están diseñados para asegurar el cumplimiento no sólo externamente impuestas exigencias legislativas o reglamentarias. de ahí su inclusión en el término GRC y en los objetivos de la empresa COBIT 5 y la estructura soportante proceso facilitador (MEA03). .Cumplimiento en COBIT 5 (cont.) • Cumplimiento legal y regulatorio es una parte clave de la gestión efectiva de una empresa. políticas y procedimientos. • Adicionalmente al MEA03.

) • Además de las actividades. . © 2012 ISACA® All rights reserved. funciones y responsabilidades de las empresas y el gobierno / administración estructuras (tablas RACI) para cada proceso. Source: COBIT® 5: Enabling Processes. page 213. Estos incluyen una función relacionada con el cumplimiento. Cumplimiento en COBIT 5 (cont. COBIT 5 sugiere las responsabilidades.

Resumen • El marco COBIT 5 incluye la orientación necesaria para apoyar los objetivos de GRC de la empresa y actividades de apoyo: • Actividades de gobierno relacionadas a GEIT (5 procesos) • Procesos de gestión de riesgos y apoyo para la gestión de riesgos a través del espacio GEIT • Cumplimiento: un enfoque específico en las actividades de cumplimiento en el marco y cómo encajan dentro de la imagen completa de la empresa • La inclusión de los acuerdos de GRC en el marco de negocio para GEIT ayuda a las empresas a evitar el problema principal con soluciones GRC -silos de actividad! © ISACA 2012. and any derivatives thereof. This work. or as part any other publication or product. may not be offer for sale alone. .