Self Assessment Guide Using Cobit 5 Res Spa 0116

User Manual:

Open the PDF directly: View PDF .
Page Count: 24

Download
Open PDF In Browser	View PDF

Guía de Auto-Evaluación:
Usando COBIT ® 5

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
ISACA®
Con más de 100,000 asociados en 180 países, ISACA (www.isaca.org) es un líder global proveedor de conocimiento, certificaciones,
comunidad, apoyo y educación en los sistemas de información (SSII), asesoría y seguridad, gobierno empresarial y gestión de TI
y riesgo relacionado con TI y cumplimiento. Fundada en 1969, ISACA, independiente y sin ánimo de lucro, celebra conferencias
internacionales, publica el ISACA® Journal y desarrolla estándares internacionales de control y auditoria de SSII, que ayudan a
sus miembros a asegurar la confianza en, y aportar valor desde, los sistemas de información. También avanza y avala habilidades
y conocimientos de TI mediante los globalmente reconocidos certificados (CISA®) Certified Information Systems Auditor®,
(CISM®) Certified Information Security Manager®, (CGEIT®) Certified in the Governance of Enterprise IT® y (CRISCTM)
Certified in Risk and Information Systems ControlTM.
ISACA actualiza continuamente el COBIT®, el cual ayuda a los profesionales de TI y líderes de las organizaciones a llevar a cabo
sus responsabilidades en la gestión y gobierno de TI, particularmente en las áreas de aseguramiento, seguridad, riesgo y control, y
proporcionar valor al negocio.
Exclusión de responsabilidad
ISACA ha diseñado y creado COBIT® Self-assessment Guide: Using COBIT® 5 (el ‘Trabajo’) principalmente como recurso de
asesoramiento. ISACA no afirma que el uso de cualquier parte del ‘Trabajo’ asegure un resultado exitoso.
El ‘Trabajo’ no debe considerarse inclusive de toda la información, procedimientos y pruebas adecuadas, ni que excluya otro tipo de
información, procedimiento y pruebas que puedan ser razonablemente dirigidas para obtener los mismos resultados. Al determinar la
conveniencia de cualquier información específica, procedimiento o prueba, los asesores deberían aplicar su propio juicio profesional
en relación a las circunstancias específicas presentadas por los sistemas particulares o por el entorno de tecnologías de información.
Copyright / Reserva de Derechos
© 2013 ISACA. Todos los derechos reservados. Para obtener instrucciones de uso, consulte el hipervínculo “http://www.isaca.org/
COBITuse”
Nota de Calidad:
El capítulo de ISACA® Barcelona ha traducido este trabajo desde el documento original en inglés COBIT® Self-assessment Guide:
Using COBIT® 5 con el permiso de ISACA®. El capítulo de ISACA® Barcelona asume toda la responsabilidad por la exactitud y
fidelidad de la traducción.
ISACA
3701 Algonquin Road, Suite 1010 Rolling Meadows, IL 60008 USA
Teléfono: +1.847.253.1545
Fax: +1.847.253.1443
E-mail: info@isaca.org
Página Web: www.isaca.org
Comentarios: www.isaca.org/cobit
Participar en el ISACA Knowledge Center: www.isaca.org/knowledge-center
Sigue a ISACA en Twitter: https://twitter.com/ISACANews
Únete a ISACA en LinkedIn: ISACA (Official), http://linkd.in/ISACAOfficial
Me gusta ISACA en Facebook: www.facebook.com/ISACAHQ
Disclaimer:
ISACA has designed and created COBIT® Self-assessment Guide: Using COBIT® 5 (the ‘Work’) primarily as an assessor guide.
ISACA makes no claim that use of any of the Work will assure a successful outcome. The Work should not be considered inclusive
of all proper information, procedures and tests or exclusive of other information, procedures and tests that are reasonably directed
to obtaining the same results. In determining the propriety of any specific information, procedure or test, assessors should apply
their own professional judgement to the specific circumstances presented by the particular systems or information technology
environment.
Copyright
© 2013 ISACA. All rights reserved. For usage guidelines, see www.isaca.org/COBITuse.
Quality Statement:
This Work is translated into Spanish from the English language version of COBIT® Self-assessment Guide: Using COBIT® 5 by the
ISACA® Barcelona Chapter with the permission of ISACA®. The ISACA® Barcelona Chapter assumes sole responsibility for the
accuracy and faithfulness of the translation.

Guía de Auto-Evaluación: Usando COBIT® 5
ISBN 978-1-60420-383-7
2

Personal Copy of: Mr. Miguel Expsito

Agradecimientos

Agradecimientos
ISACA desea expresar su reconocimiento a:
Equipo de Desarrollo

Gary Allan Bannister, CGEIT, CGMA, FCMA, Austria
Barry Lewis, CISM, CGEIT, CRISC, CISSP, Cerberus ISC Inc., Canadá
Junta Directiva ISACA

Gregory T. Grocholski, CISA, The Dow Chemical Co., USA, Presidente Internacional
Allan Boardman, CISA, CISM, CGEIT, CRISC, ACA, CA (SA), CISSP, Morgan Stanley, UK, Vice Presidente
Juan Luis Carselle, CISA, CGEIT, CRISC, WaJ-Mart, México, Vice Presidente
Christos K. Dimitriadis, Ph.D., CISA, CISM, CRISC, INTRALOT S.A., Grecia, Vice Presidente
Ramses Gallego, CISM, CGEIT, CCSK, CISSP, SCPM, 6 Sigma, Quest Software, España, Vice Presidente
Tony Hayes, CGEIT, AFCHSE, CHE, FACS, FCPA, FilA, Queensland Government, Australia, Vice Presidente
JeffSpivey, CRISC, CPP, PSP, Security Risk Management lnc., USA, Vice Presidente
Marc Vael, Ph.D., CISA, CISM, CGEIT, CRISC, CISSP, Valuendo, Bélgica Vice Presidente
Kenneth L. Vander Wal, CISA, CPA, Ernst & Young LLP (retirado), USA, Expresidente Internacional
Emil D’Angelo, CISA, CISM, Bank ofTokyo-Mitsubishi UFJ Ltd., (retirado), USA, Expresidente Internacional
John Ho Chi, CISA, CISM, CRISC, CBCP, CFE, Ernst & Young LLP, Singapur, Director
Krysten McCabe, CISA, The Home Depot, USA, Director
Jo Stewart-Rattray, CISA, CISM, CGEIT, CRISC, CSEPS, BRM Holdich, Australia, Director
Comité Expertos

Marc Vael , Ph.D., CISA, CISM, CGEIT, CRISC, CISSP, Valuendo, Bélgica Presidente
Rosemary M. Amato, CISA, CMA, CPA, Deloitte Touche Tohmatsu Ltd., Holanda
Steven A. Babb, CGEIT, CRISC, Betfair, UK
Thomas E. Borton, CISA, CISM, CRISC, CISSP, Cost Plus, USA
Phil J. Lageschulte, CGEIT, CPA, KPMG LLP, USA
Janlie Pasfield, CGEIT, ITIL V3, MSP, PRINCE2, Pfizer, UK
Salomon Rico, CISA, CISM, CGEIT, Deloitte LLP, México
Comité Operativo

Steven A. Babb, CGEIT, CRISC, Betfair, UK, Presidente
Charles Betz, Enterprise Management Associates, USA David Cau, ISO, ITIL, MSP, Prince2, Francia
Sushil Chatterji, CGEIT, Edutech Enterprises, Singapur
Frank J. Cindrich, CGEIT, CIPP, CIPP/G, Deloitte & Touche LLP, USA
Jimmy Heschl, CISA, CISM, CGEIT, ITIL Expert, bwin.party digital entertainment pie, Austria
Anthony P. Noble, CISA, Viacom, USA
Andre Pitkowski, CGEIT, CRISC, APIT Informática, Brasil
Paras Kesharichand Shah, CISA, CGEIT, CRISC, CA, Australia
Socios y sponsors de ISACA e ITGI (IT Governance lnstitute)

Information Security Forum
Capítulos de Institute of Management Accountants lnc. ISACA
ITGI Francia
ITGI Japón
Universidad Norwich
Socitum Perfornmance Management Group
Solvay Brussels School of Economics and Management
Strategic Technology Management lnstitute (STMI) de la Universidad Nacional de Singapur
Escuela de Negocios de la Universidad of Antwerp
ASI System lntegration
Hewlett-Packard
IBM
Symantec Corp.

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5

Traducción
Ignacio Guimarans Rivas, CISA, CISM, CRISC. Banc Sabadell.
Juanjo Martí Manzano, CGEIT. UOC.
Ivan Casacuberta Prat, CISA, CISSP, Deloitte Advisory SL.
Xavier Rubiralta, CISA, CISM, CGEIT, CRISC.
Lluís Tragan
Albert Lladó, MBA, CISA, CISM, CGEIT, CRISC, ISO2700LA, ISO22301LA. Auren.
Xavier Vila. CISA, CISM, CRISC, ISO27001 LA, CIAM, PCI QSA, ASITF.
Isidre Fàbregues, CISA. Pragma Solucions
Ana J. Zuccolotto, CISA.
Rafael Estevan, CISA, CERT-CC
José Manuel Valdés César, CISA, CRISC, ITIL Service Manager. Better Business To Be, S.L.
Miguel Ángel Martínez Ayuso, MBA, CISA, CISM, CGEIT. Tarsys.
Josep Estévez, CISA. FacilTI.
Martin Piqueras Caro, CRISC, PMP. GE Capital.
Enric Güell, CISA
Enrique Gómez Arcusa, CISA.
Jordi Civit Vives, CISA, CSA. Melia Hotels International, S.A.
Jordi Brinquez, CISA, ISO27001LA, Comet Global Consulting.

Personal Copy of: Mr. Miguel Expsito

Índice

Índice
1.0 Introducción.......................................................................................................................................................................... 7
1.1 Programa de Evaluación de COBIT ................................................................................................................................ 7
1.2 Propósito de la autoevaluación COBIT............................................................................................................................ 7
1.3 Preguntas más frecuentes................................................................................................................................................. 8
2.0 El programa de evaluación de COBIT—Resumen............................................................................................................ 9
2.1 COBIT 5 Arquitectura ..................................................................................................................................................... 9
2.2 El framework de medición............................................................................................................................................. 10
2.2.1 Niveles de capacitación de los procesos............................................................................................................... 10
2.2.2 Atributos del proceso ............................................................................................................................................ 10
2.2.3 Indicadores de evaluación..................................................................................................................................... 11
2.2.4 Escala de calificación............................................................................................................................................ 11
2.2.5 Determinado el nivel de capacidad....................................................................................................................... 11
3.0 El Proceso de Autoevaluación COBIT ............................................................................................................................. 13
3.1 Paso 1—Decidir sobre los procesos de evaluación del alcance..................................................................................... 13
3.2 Paso 2—Determinar si el proceso seleccionado es de Capacidad Nivel 1..................................................................... 15
3.3 Paso 3—Determinar el cumplimiento de los niveles de capacidad, del nivel 2 al 5 para los procesos seleccionados ...... 16
3.4 Paso 4—Registro y resumen de los niveles de capacidad ............................................................................................. 16
3.5 Paso 5—Desarrollo de un Plan de Acción de Mejora.................................................................................................... 17
Apéndice A. Resultados del proceso de evaluación................................................................................................................ 19
Apéndice B. Plantilla de Auto-Evaluación.............................................................................................................................. 21
Apéndice C. Lecturas Adicionales .......................................................................................................................................... 24

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
Página intencionadamente en blanco

Personal Copy of: Mr. Miguel Expsito

1.0 Introducción

1.0 Introducción
¿Que capacidad tienen tus processos de TI? ¿Satisfacen las necesidades del negocio?

1.1 Programa de Evaluación de COBIT
El programa de evaluación de COBIT está diseñado para proveer a las empresas con una metodología reproducible,
confiable y robusta para evaluar la capacidad de sus procesos de TI. Dichas evaluaciones normalmente se usan como parte
de un programa de mejora de los procesos de una empresa y también se pueden utilizar para informar internamente a la
dirección ejecutiva o la junta directiva de una empresa sobre la capacidad actual de sus procesos de TI frente a un objetivo
de mejora basado en los requerimientos del negocio. Estas evaluaciones se pueden utilizar al iniciar un programa de
mejora de procesos o para evaluar el progreso tras una etapa de mejora de procesos.
El programa de evaluación de COBIT incluye:
• COBIT® Process Assessment Model (PAM): Using COBIT® 5:
– Basado en COBIT 5 e International Organization for Standardization (ISO)/International Electrotechnical Commission
(IEC) 15504, este modelo es la base para la evaluación de los procesos TI de una empresa a través de COBIT 5.
El proceso de evaluación se basa en evidencias para posibilitar un proceso de evaluación confiable, consistente y
reproducible en el área de gobierno y gestión de TI de la empresa.
– El modelo de evaluación facilita evaluaciones internas de las empresas para apoyar la mejora de los procesos.
• COBIT® Assessor Guide: Using COBIT® 5—Este producto está pensado para aquellos que quieren realizar una
evaluación de carácter más formal, basada en evidencias.
• COBIT® Self-assessment Guide: Using COBIT® 5—Este producto se ha desarrollado para apoyar el desarrollo de
autoevaluaciones más sencillas y menos rigurosas.
• COBIT® Assessment Programme Tool Kit: Using COBIT® 5—Estas herramientas facilitan las actividades del proceso
de evaluación e incluyen plantillas de alcance. Las herramientas se apoyan en COBIT® Assessor Guide: Using
COBIT® 5 y COBIT® Self-assessment Guide: Using COBIT® 5 e incluye mapeos a:
– Objetivos del negocio
– Objetivos de TI
Actualmente, COBIT 5 está analizando un plan de formación sobre evaluación y un programa de certificación para ser
establecidos en el futuro.
Los detalles completos del programa de evaluación de COBIT se resumen en COBIT Process Assessment Model (PAM):
Using COBIT 5 y COBIT Assessor Guide: Using COBIT 5. Una evaluación completa y detallada requiere una evaluación
basada en evidencias de un conjunto seleccionado de procesos TI dirigido por evaluadores capacitados para proporcionar
una evaluación confiable y reproducible. En el capítulo 2 se describe un resumen del modelo.

1.2 Propósito de la autoevaluación COBIT
La guía de autoevaluación se proporciona como una publicación ‘independiente’, que puede ser utilizada por las empresas
para realizar una evaluación menos rigurosa de la capacidad de sus procesos TI. Puede ser un precursor para realizar una
evaluación más rigurosa, basada en evidencias. Está aproximación está basada en el COBIT PAM que se utiliza en el
programa de evaluación de COBIT, pero no necesita requisitos de evidencias para apoyar la autoevaluación, ni requiere el
uso de COBIT PAM. Información suficiente del COBIT PAM y una plantilla completa de autoevaluación se proporcionan
para simplificar el proceso, eliminando la necesidad de hacer referencia a las otras dos publicaciones del programa de
evaluación de COBIT. Sin embargo, se aconseja a los usuarios que consulten el COBIT PAM, la guía del evaluador y el kit
de herramientas.
El Capítulo 3 de esta guía resume como se deben de realizar las autoevaluaciones de los procesos de TI, e incluye un kit
de herramientas con una plantilla específica de autoevaluación, junto con una copia de la plantilla de alcance descrita en el
kit de herramientas.
En el kit de herramientas que acompaña a esta guía también se proporciona una plantilla detallada con todos los atributos
del proceso y el contenido necesario para realizar una autoevaluación y, en el apéndice B, se proporciona un ejemplo.

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
1.3 Preguntas más frecuentes
¿Sabemos dónde se encuentran nuestras fortalezas y debilidades? ¿Por qué realizar una evaluación de procesos
mediante COBIT?
Muchas empresas creen que conocen sus fortalezas y debilidades. Sin embargo, a menudo se pueden sorprender al
encontrar que un determinado proceso no funciona como se espera, porque no es lo suficientemente robusto para hacer
frente a cualquier cambio en la empresa o por otras circunstancias..
Una evaluación estructurada proporciona una comprensión clara y objetiva de las fortalezas y debilidades de los procesos
de TI de una empresa respecto a sus necesidades de negocio. Esto puede utilizarse para determinar dónde y cómo deben
utilizarse los recursos para la mejora del proceso y define una base para medir si las mejoras de los procesos han tenido
éxito.
Mi empresa no ha adoptado COBIT, por tanto ¿cómo puedo usar COBIT para una evaluación?
No se espera que los procesos de una empresa se alineen exactamente con los procesos COBIT o que utilicen la misma
terminología. La terminología COBIT no siempre será de uso general en las empresas. Una fase inicial en cualquier
evaluación puede implicar un mapeo interno de los procesos y de la terminología de los procesos COBIT a evaluar.
Respecto a una autoevaluación, éste sería un proceso relativamente informal.
¿Por qué necesito una evaluación más rigurosa? ¿No es suficiente un proceso de autoevaluación?
Una autoevaluación se basa más en el juicio de la persona o personas que hacen la evaluación. Será
subjetiva y sin requerimientos de evidencias. Como resultado, la evaluación será indicativa de la capacidad del proceso.
La experiencia ha demostrado que este tipo de evaluaciones son a menudo optimistas, mostrando un resultado mejor del
que se mostraría en una evaluación más formal basada en evidencias. Por lo general, no son reproducibles u objetivas.
Para una evaluación reproducible y objetiva, se requiere una evaluación completa utilizando COBIT PAM y la guía del
evaluador (con formación).

Personal Copy of: Mr. Miguel Expsito

2.0 El Programa de Evaluación de COBIT —Resumen

2.0 El programa de evaluación de COBIT—Resumen
El modelo de referencia de procesos (PRM) para el programa de evaluación de COBIT es COBIT 5. Esto significa
que COBIT 5 provee definiciones de procesos en un ciclo de vida conjunto con la descripción de la arquitectura
describiendo la relación con los demás procesos. El propósito del proceso y los resultados se derivan de la guía del
catalizador procesos de COBIT 5.

2.1 COBIT 5 Arquitectura
El COBIT 5 PRM es un ciclo de vida del gobierno y gestión de la TI de la organización formado por 37 procesos, como se
muestra en la figura 1.
Figura 1—COBIT 5 Modelo de Referencia de Processos

Procesos para la gestión de TI empresarial.
Evaluar, orientar y supervisar
EDM01 Asegurar el
establecimiento y
mantenimiento del
marco de gobierno

EDM02 Asegurar
la entrega
de beneficios

EDM03 Asegurar
la optimización
del riesgo

EDM04 Asegurar
la optimización
de los recursos

EDM05 Asegurar
la transparencia
hacia las partes
interesadas

Alinear, planificar y organizar
APO01 Gestionar
el Marco de Gestión
de TI

APO08 Gestionar
las relaciones

APO02 Gestionar
la estrategia

APO09 Gestionar
los acuerdos
de servicio

APO03 Gestionar
la arquitectura
empresarial

APO10 Gestionar
los proveedores

APO04 Gestionar
la innovación

APO05 Gestionar
Portafolio

APO06 Gestionar
el presupuesto
y los costes

APO11 Gestionar
la calidad

APO12 Gestionar
el riesgo

APO13 Gestionar
la seguridad

BAI04 Gestionar
la disponiblidad
y la capacidad

BAI05 Gestionar
la introducción
de los cambios
organizativos

BAI06 Gestionar
los cambios

DSS04 Gestionar
la continuidad

DSS05 Gestionar
los servicios
de seguridad

DSS06 Gestionar
los controles
de los procesos
del negocio

APO07 Gestionar
los recursos
humanos

Supervisar,
evaluar
y valorar
MEA01 Supervisar,
evaluar y valorar
rendimiento
y conformidad

Construir, adquirir e implementar
BAI01 Gestionar
los programas
y proyectos

BAI02 Gestiona
Definición de
Requerimientos

BAI03 Gestionar
la identificación
y la construcción
de soluciones

BAI08 Gestionar
el conocimiento

BAI09 Gestionar
los activos

BAI10 Gestionar
la configuración

BAI07 Gestionar
la aceptación
del cambio
y de la transición

MEA02 Supervisar
evaluar y valorar
el Sistema de control
interno

Entregar, dar servicio y soporte
DSS01 Gestionar
las operaciones

DSS02 Gestionar
las peticiones
y los incidents
del servicio

DSS03 Gestionar
los problemas

MEA03 Supervisar,
evaluar y valorar la
conformidad con los
requerimientos externos

Proceso de gestión de la IT empresarial
Fuente: COBIT 5, figura 1

COBIT 5 puede obtenerse como PDF gratuito en www.isaca.org/cobit. El detalle de los procesos de COBIT 5 se puede
encontrar en COBIT 5: Procesos facilitadores, y está disponible en la libraría de ISACA (y como PDF gratuito para los
miembros de ISACA en www.isaca.org/cobit).
Nótese que todos los aspectos de COBIT (cascada de objetivos, principios, los otros seis catalizadores) afectan los procesos
de COBIT en cierto grado, dependiendo del contexto. Así, en general las guías de COBIT deben tenerse presentes al realizar
evaluaciones de procesos de COBIT..
Nótese que no se espera que los procesos de una organización se alineen exactamente con los procesos de COBIT.
Adicionalmente, COBIT anima a las organizaciones a modificar la terminología para adaptarla con lo que la organización
utiliza. El framework debe encajar con la cultura de la organización. En una fase temprana de la evaluación, incluye un
mapeo de los procesos de la organización, con los procesos de COBIT, para ser usado como base de la evaluación.

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
2.2 El framework de medición
El proceso de evaluación establece un nivel de capacitación para cada proceso. Esto significa:
• Niveles de capacitación definidos (de ISO/IEC 15504).
• Atributos del proceso utilizado para medir cada proceso (de ISO/IEC 15504).
• Indicadores en los que basar la evaluación para cada atributo del proceso (basado en y alineado con la ISO/IEC
15504).
• Un método de medición estándar (de ISO/IEC 15504).

2.2.1 Niveles de capacitación de los procesos

La capacitación de cada proceso valorado, es expresada con un nivel de capacitación entre el 0 y el 5, como se muestra en
la figura 2. Cada nivel de capacitación de proceso se encuentra alineado con una situación específica.
Figura 2—Niveles de capacitación de procesos
Nivel del
proceso

Capacitación

0 (Incompleto)

El proceso no se encuentra implementado o falla en conseguir el objetivo del proceso. A este nivel, hay poca o ninguna evidencia de
un proceso sistematizado para la consecución de los objetivos del proceso.

1 (Ejecutado)

Un proceso implementado consigue el propósito del proceso.

2 (Gestionado)

El proceso ejecutado ahora es implementado de forma gestionada (planificada, monitorizada y ajustada) y los resultados son
adecuadamente establecidos, controlados y mantenidos.

3 (Establecido)

El proceso gestionado ahora es implementado utilizando un proceso definido que permite conseguir los resultados del proceso.

4 (Predecible)

Un proceso establecido, opera en los límites definidos, para a conseguir los resultados del proceso.

5 (Optimizado)

Un proceso predecible, es continuamente mejorado para alcanzar los objetivos del negocio actuales y futuras.

El nivel 0 de la capacitación de un proceso no dispone de atributos. Nivel 0 refleja un proceso no implementado o un
proceso o procesos que falla en el objetivo de conseguir sus resultados.
Como parte del alcance, la organización debe seleccionar qué nivel de capacitación necesita en función de los objetivos de
negocio. La definición del alcance puede también reducir el nivel de evaluación para así reducir la complejidad esfuerzo y
coste necesario de la evaluación

2.2.2 Atributos del proceso

Dentro del COBIT PAM, la medida de la capacitación se basa en los Nuevo atributos de los procesos (predefinidos por
PA) definidos en la ISO/IEC 15504-2, como se muestra en la figura 3. Cada atributo aplica a un proceso de capacitación
específico. Los atributos del proceso son usado para determinar si un proceso ha conseguido una capacitación concreta.
Figua 3—Atributos del proceso
Nivel 5: Optimizado
PA5.1: Innovación en el proceso
PA5.2 Optimización del proceso

6 Niveles
de capacitación
de procesos

Nivel 4: Predecible
PA4.1 Medición del proceso
PA4.2 Control del proceso

Nivel 3: Establecido
PA3.1 Definición del proceso
Desarrollo del proceso

Nivel 2: Gestionado
PA2.2 Gestión de la ejecución
PA2.2 Gestión del producto del trabajo

Nivel 1: Ejecutado
PA1.1: Nivel de ejecución

Nivel 0: Incompleto

Personal Copy of: Mr. Miguel Expsito

9 Atributos
del proceso

2.0 El Programa de Evaluación de COBIT —Resumen
2.2.3 Indicadores de evaluación

Los indicadores de evaluación en el PAM de COBIT sirven de base para determinar los atributos de proceso que se han
conseguido:
• Nivel de capacidad 1—Los indicadores son específicos para cada proceso y evalúan como se han conseguido los
atributos siguientes: El proceso implementado consigue su propósito.
• Niveles de capacidad 2 al 5—La evaluación de la capacidad se basa en indicadores genéricos de rendimiento
del proceso. Éstos se identifican como genéricos porque aplican a todo el proceso de forma transversal, pero son
diferentes en los diferentes niveles de capacidad.
Nota: El nivel 1 versa específicamente sobre el ‘contenido detallado’ de cada uno de los 37 procesos de COBIT 5. Los
niveles del 2 al 5 discuten sobre los ‘atributos genéricos’ para todos los procesos.
En general se da por entendido que cuanto mayor es el nivel de capacidad de proceso conseguido, menor es el riesgo que el
proceso no cumpla con la finalidad prevista. También se da por entendido generalmente que cuanto mayor es la capacidad, más
costoso es el proceso de operación

2.2.4 Escala de calificación

Cada atributo se califica utilizando una escala definida en el estándar ISO/IEC 15504. Estas calificaciones son las
siguientes:
• N—No conseguido. Ausencia o poca evidencia de la consecución del atributo definido en el proceso evaluado.
• P—Parcialmente conseguido. Se dispone de alguna prueba del enfoque i consecución del atributo definido en el
proceso evaluado. Algunos de los extremos de consecución del atributo pueden ser impredecibles.
• L—Ampliamente conseguido. Se observan pruebas de un enfoque sistemático y de un nivel significativo de
consecución del atributo definido en el proceso evaluado. Pueden existir algunas debilidades relacionadas con el
atributo en el proceso evaluado.
• F—Totalmente conseguido. Existen pruebas de enfoque sistemático y completo y de un nivel total de consecución del
atributo definido en el proceso evaluado. No se identifican debilidades sensibles relacionadas con el atributo definido
en el proceso evaluado.
Existe la necesidad de garantizar un nivel de interpretación consistente en el momento de decidir la calificación a asignar.
En la tabla de la figura 4 se describen las calificaciones en términos de la escala de calificación original (previamente
definida) y la traducción de estas calificaciones en una escala de porcentajes que permiten mostrar el grado de
consecución.
Figura 4—Niveles de calificación
N

No conseguido

Parcialmente conseguido

>15% al 50% de consecución

Ampliamente conseguido

>50% al 85% de consecución

Totalmente conseguido

>85% al 100% de consecución

0 a 15% de consecución

Fuente: Esta figura reproduce la ISO/IEC 15504-2:2003, con el permiso de ISO/IEC en www.iso.org. Los derechos de autor restan en ISO/IEC.

Los evaluadores utilizan estas escalas durante su evaluación con el propósito que sirvan de guía en la determinación del
que a su juicio es el grado de consecución.

2.2.5 Determinado el nivel de capacidad

El nivel de capacidad de un proceso se determina en función de los atributos del nivel del proceso amplia o totalmente
conseguidos y en función de los atributos de los niveles inferiores han sido completamente conseguidos. La tabla figura 5
describe cada nivel y las calificaciones necesarias que se tienen que conseguir.

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
Figura 5—Niveles y calificaciones necesarias
Escala

Atributos de proceso

Calificación

Nivel

Rendimiento del proceso

Amplia o completamente

Nivel 2

Rendimiento del proceso
Gestión del rendimiento
Gestión del producto del trabajo

Completamente
Amplia o completamente
Amplia o completamente

Nivel 3

Rendimiento del proceso
Gestión del rendimiento
Gestión del producto del trabajo
Definición del proceso
Despliegue del proceso

Completamente
Completamente
Completamente
Amplia o completamente
Amplia o completamente

Nivel 4

Rendimiento del proceso
Gestión del rendimiento
Gestión del producto del trabajo
Definición del proceso
Despliegue del proceso
Medición del proceso
Control del proceso

Completamente
Completamente
Completamente
Completamente
Completamente
Amplia o completamente
Amplia o completamente

Nivel 5

Rendimiento del proceso
Gestión del rendimiento
Gestión del producto del trabajo
Definición del proceso
Despliegue del proceso
Medición del proceso
Control del proceso
Innovación del proceso
Optimización del proceso

Completamente
Completamente
Completamente
Completamente
Completamente
Completamente
Completamente
Amplia o completamente
Amplia o completamente

Fuente: Esta figura reproduce la ISO/IEC 15504-2, con el permiso de ISO/IEC en www.iso.org. Los derechos de autor restan en ISO/IEC.

Nota: Un proceso puede ser calificado en un nivel por un atributo conseguido amplia o totalmente. Así mismo, el atributo
puede tener que ser completamente conseguido para ser calificado en el siguiente nivel.

Personal Copy of: Mr. Miguel Expsito

3.0 El Proceso de Autoevaluación COBIT

3.0 El Proceso de Autoevaluación COBIT
El proceso de autoevaluación COBIT, ilustrado en la figura 6, es una aproximación simplificada a la realización de una
valoración no basada en la evidencia, que no requiere un asesor independiente o certificado y la puede realizar los propios
gestores antes de una valoración más formal. Una auto-valoración puede identificar gaps que requieren mejoras como un
avance a una valoración formal; puede realizarse con una inversión relativamente pequeña y asiste a la dirección en ajustar
el nivel objetivo de competencia.
Figura 6–Proceso de Autoevaluación
Paso 1
Decidir sobre
el alcance.

Paso 2
Determinar el nivel 1
de competencia.

Paso 3
Determinar los niveles
de competencia
de 2 a 5.

Paso 4
Registrar y resumir
los niveles de
competencia.

Paso 5
Establecer el Plan
de Mejora.

La auto-valoración se soporta en:
• Tabla resumen de valoración en apéndice A.
• Agenda detallada de evaluación (En el apéndice B se aporta un ejemplo de EDMO1. En el Tool-Kit suplementario se
puede encontrar una plantilla más detallada que incluye los 37 procesos de COBIT 5. En la sección 1 se resumen los
resultados y se determina el nivel de competencia, y la sección 2 registra una evaluación respecto a criterios para cada
nivel de capacidad)

3.1 Paso 1—Decidir sobre los procesos de evaluación del alcance
El primer paso en la autoevaluación es decidir qué procesos deben ser evaluados. Utilice la plantilla de alcance en el kit
de herramientas del programa de evaluación de COBIT para ayudar a seleccionar los procesos que deben evaluarse. Esos
procesos seleccionados se deben registrar en la tabla en el apéndice A, como se muestra en la figura 7.
Una autoevaluación puede abordar todos los procesos de COBIT o centrarse en una serie de procesos de interés para la
gestión de la empresa o en los relativos a los objetivos de negocio específicos para TI.
La herramienta de evaluación de alcance en el kit de herramientas proporciona asignaciones relacionadas con los objetivos
de negocio y objetivos de TI. El kit de herramientas se proporciona “en formato jerárquico” con la Guía COBIT Asesor: El
uso de COBIT 5 y la Guía de COBIT Auto evaluación: El uso de COBIT 5.
Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
Figura 7—Tabla resumen evaluación
Nivel competencia del proceso

Nombre del proceso

Para
Evaluar

Nivel
Objetivo

Evaluar, Dirigir y Monitorizar.
EDM01 Asegurar el ajuste del marco de gobernanza
y mantenimiento.
EDM02 Asegurar la entrega de beneficios.
EDM03 Asegurar la optimización de riesgos.
EDM04 Asegurar la optimización de recursos.
EDM05 Asegurar la transparencia.

Alinear Planificar y Organizar.
APO01 Gestionar el marco de trabajo de las TIC.
APO02 Gestionar estrategia.

Etapa 1—Decidir y registrar
los procesos a evaluar.

Registrar el nivel
de competencia objetivo.

En esta etapa, el nivel de capacidad de proceso objetivo puede ser grabado. Esto establecerá el nivel de capacidad
requerida del proceso. Al establecer los niveles de capacidad de destino, se debe considerar que el impacto en los objetivos
de negocio de la empresa si no se alcanza un nivel determinado de capacidad. La primera consideración es el impacto
en la empresa si el proceso no existe o no funciona con eficacia o eficiencia. La segunda consideración concierne a las
consecuencias adicionales de la operación eficaz y eficiente de los procesos en los diferentes niveles de capacidad, como
se muestra en la figura 8 de la norma ISO / IEC 15504-4.
Figura 8—Consecuencias adicionales del funcionamiento eficaz y eficiente de los procesos
Nivel de
capacidad

Atributo del proceso
donde ocurre el gap

PA 1.1 Rendimiento de procesos.

Faltan productos de trabajo, el proceso no logra resultados.

PA 2.1 Gestión del rendimiento.

• Costes o tiempos excesivos; uso ineficiente de los recursos; responsabilidades poco claras.
• Decisiones no controladas; incertidumbre sobre si se cumplirán los objetivos de tiempo y costes.

PA 2.2 Gestión de producto
del trabajo.

• La calidad e integridad del producto son impredecibles; versiones no controladas; aumento de los
costos de soporte; problemas de integración; aumento de los costes de trabajo.

PA 3.1 Definición del proceso.

• No están definidas, publicadas y disponibles en la organización las mejores prácticas y lecciones
aprendidas de proyectos anteriores.
• Sin bases para la mejora de procesos en toda la organización.

PA 3.2 Implementación
del proceso.

• Procesos implementados que no incorporan las mejores prácticas y lecciones aprendidas
identificadas de proyectos anteriores; rendimiento inconsistentes de los procesos en toda la
organización.
• Oportunidades perdidas para entender el proceso e identificar mejoras.

PA 4.1 Gestión del proceso.

• No hay una comprensión cuantitativa de cómo se están alcanzando los objetivos de rendimiento
del proceso y los objetivos de negocio definidos.
• No existe una habilidad cuantitativa para prevenir problemas de rendimiento.

PA 4.2 Control del proceso.

• El proceso no es capaz y/o estable (predecible) dentro de límites definidos.
• Los objetivos de desempeño cuantitativos y objetivos de negocio definidos no se cumplen.

PA 5.1 Innovación del proceso.

• Objetivos de mejora de procesos que no están claramente definidos.
• Oportunidades de mejora no claramente identificadas.

PA 5.2 Optimización del proceso.

• Incapacidad para cambiar el proceso con eficacia para alcanzar los objetivos de mejora
de procesos pertinentes.
• Incapacidad para evaluar la efectividad de los cambios del proceso.

Consecuencia potencial

Fuente: Esta figura está reproducida de la norma ISO/IEC 15504-4, con el permiso de ISO/IEC en www.iso.org. El copyright sigue siendo de ISO/IEC.

Personal Copy of: Mr. Miguel Expsito

3.0 El Proceso de Autoevaluación COBIT
3.2 Paso 2—Determinar si el proceso seleccionado es de Capacidad Nivel 1
El primer paso en la evaluación de cada proceso es determinar si en realidad se está realizando el proceso y si está
logrando sus resultados. En la hoja de autoevaluación (anexo B) hay una tabla para cada proceso. Los indicadores a nivel
de capacidad 1 son específicos para cada proceso y evalúan si el siguiente atributo se ha logrado: El proceso implementado
logra su propósito.
Como se muestra en la figura 9, en la columna titulada ‘criterios’ hay una lista de los resultados del proceso. Estos son de
COBIT 5 y son diferentes para cada proceso.
Figura 9—Ejemplo de plantilla de evaluación
EDM01

Determinar si los
siguiente resultados
son alcanzados.

Criterio

Nivel 0
Incompleto

El proceso no está
implementado, o no
logra alcanzar su
propósito.

En este nivel, hay pocos indicios o ninguno
de haber alcanzado el propósito del proceso.

Nivel 1
Realizado

PA 1.1 El proceso
implementado alcanza
su propósito.

Los siguientes resultados del proceso han
sido alcanzados.
EDM01-O1 Se ha logrado un modelo óptimo
de decisión estratégica para el TI
alineado con el entorno empresarial
interno y externo y los
requerimientos de las partes
interesadas.
EDM01-O2 El sistema de gobernanza para TI
está integrado en la empresa.
EDM01-O2 Se obtiene una garantía de que el
sistema de gobernanza para TI es
operado de manera efectiva.

Nivel 2
Gestionado

¿Criterios
logrados?
S/N

Comentario

No
Parcialmente Ampliamente Completamente
alcanzado
alcanzado
alcanzado
alcanzado
(0-15%)
(15%-50%)
(50%-85%)
(85%-100%)

PA 2.1 Gestión del
Como resultado del pleno logro de este atributo:
desempeño – una
a) Se identifican objetivos para el rendimiento
medida del modo en
del proceso.
que se gestiona el
b) El rendimiento del proceso es planificado
rendimiento del proceso.
y monitorizado.
c) El rendimiento del proceso es ajustado
para alcanzar los planes.
d) Se define, asigna y comunica las
responsabilidades y autoridades para realizar
el proceso.
e) Los recursos e información necesarios para
realizar el proceso son identificados, se
ponen a disposición, se asignan y se utilizan.
f) Las interfases entre las partes involucradas
son gestionadas para asegurar al mismo
tiempo una comunicación efectiva y una
asignación clara de responsabilidades.

Paso 2 – Determinar si los resultados del proceso son alcanzados.
Al llevar a cabo una evaluación de nivel de capacidad 1 para cualquier proceso, se tiene que decidir el grado en que se
están logrando los resultados para el proceso, como se muestra en la figura 10.
Figura 10—Niveles de calificación
N

No alcanzado

de 0 a 15% de logro

Parcialmente alcanzado

entre 15% y 50% de logro

Ampliamente alcanzado

entre 0% y 85% de logro

Completamente alcanzado

entre 85% y 100% de logro

Fuente: Esta figura procede de ISO/IEC 15504-2:2003, con el permiso de ISO/IEC en www.iso.org. Copyright pertence a ISO/IEC.

En el caso de EDM01 en la figura 11, si se están logrando los tres resultados, puede ser una clasificación F para
“Completamente alcanzado”; si se logran sólo dos resultados, puede ser clasificado L para ‘ampliamente alcanzado’; si
se logra sólo un resultado, puede ser clasificado P para “parcialmente logrado”, y si no se logra, puede ser clasificado N
para “no alcanzado”. En algunos casos, algunos de los resultados se están cumpliendo, en cuyo caso se clasificará con los
niveles L (ampliamente) o P (parcialmente) logrado; se requiere aplicar un buen juicio.

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
3.3 Paso 3—Determinar el cumplimiento de los niveles de capacidad, del nivel
2 al 5 para los procesos seleccionados.
A partir del nivel 2, los criterios de evaluación son genéricos, es decir, los criterios son los mismos para todos y cada
proceso.
Figura 11—Plantilla de Evaluación Detallada Parte 2 (Gestionada)
Determinar si
los resultados
son alcanzados.

Nivel 2
Gestionado

Criterio

Comentarios

GD 2.1 Gestion del
Desempeño—una
medida del modo
en que se gestiona
el rendimiento
del proceso

El proceso se gestiona mediante:
a) Se identifican objetivos para el
rendimiento del proceso.
b) El rendimiento del proceso es planeado
y monitorizado.
c) El rendimiento del proceso es ajustado
para alcanzar los planes.
d) Se define, asigna y comunica las
responsabilidades y autoridades para
realizar el proceso.
e) Los recursos e la información necesarios
para realizar el proceso son identificados,
asignados y utilizados.

GD 2.2 Gestion del
Trabajo—Medida
de hasta que punto
los productos resultados
del proceso son
gestionados
adecuadamente.

Los productos de trabajo (o resultados del
proceso) son definidos y controlados por:
a) Definir los requisitos para los productos
de trabajo.
b) Definir los requisitos para la
documentación y el control de los
productos de trabajo.
c) Los productos de trabajo están
debidamente identificados, documentados
y controlados.
d) Los productos de trabajo se revisan de
acuerdo con las disposiciones
planificadas y se ajustan si es necesario
para cumplir con los requisitos.

No
alcanzado
(0-15%)

Parcialmente Ampliamente Completamente
alcanzado
alcanzado
alcanzado
(15%-50%)
(50%-85%) (85%-100%)

Evaluar el número
de criterios que se
han cumplido como
base para la calificación.

Una vez más, se debe evaluar si se han cumplido los criterios, dicha decisión debe ser convertida en una clasificación
(figura 10) y después registrada en la plantilla para el proceso.
Esto debe repetirse para cada capacidad o competencia, hasta que el nivel de capacidad pueda ser evaluado como “logrado
en su mayoría” o “completamente alcanzado”.

3.4 Paso 4—Registro y resumen de los niveles de capacidad
El resumen de los resultados de la evaluación debería ser registrado en la sección 1 . El nivel de la capacidad se determina
según el nivel donde ambos indicadores de capacidad son “ampliamente” o “completamente conseguidos”.
En la figura 12, el nivel de capacidad del proceso es 2. Esto debería ser registrado en la tabla de resultados del proceso de
evaluación, tal y como se indica en la figura 13.
Figura 12—Calendario de evaluacion detallada. Sección 1
Nombre del proceso

Nivel 0

Nivel 1

Nivel 2

Nivel 3

EDM01

PA 1.1

PA 2.1

PA 2.2

PA 3.1

PA 3.2

Clasificación por criterio

Nivel de capacidad
conseguido
Leyenda: N (No Conseguido, 0–15%)
L (Ampliamente conseguido, >50%–85%)

2
P (Parcialmente conseguido, >15%–50%)
F (Completamente conseguido, >85–100%)

Personal Copy of: Mr. Miguel Expsito

Nivel 4
PA 4.1

PA 4.2

Nivel 5
PA 5.1

PA 5.2

3.0 El Proceso de Autoevaluación COBIT
Figura 13—Tabla resumen de la evaluación
Process Capability Level

Nivel
actual

Nombre del proceso

Nivel
objetivo

Evaluar, Dirigir y Supervisar
EDM01 Asegurar el establecimiento y
mantenimiento del marco de gobierno.

Registrar el nivel de capacidad conseguido.

EDM02 Asegurar la entrega de beneficios.
EDM03 Asegurar la optimización
del riesgo.
EDM04 Asegurar la optimización de
los recursos.
EDM05 Asegurar la transparencia hacia
las partes interesadas.

3.5 Paso 5—Desarrollo de un Plan de Acción de Mejora
Deben proporcionarse consideraciones basadas en la autoevaluación para el desarrollo de un plan de acción para la mejora
del proceso.
Una opción podría ser iniciar un plan de acción inicial basado en la autoevaluación. Esto podría dirigirse a las áreas de
mayor importancia para la consecución de los objetivos de negocio y focalizarse en aquellas que presentan diferencias
entre el nivel “actual” y el “deseado” de capacidad del proceso.
Una segunda opción sería emprender una evaluación independiente más formal, basada en el COBIT PAM y en la guía del
asesor. Esta proporcionaría una evaluación más confiable y más foco en las áreas que requieren mejora.
Para más orientación en la mejora de procesos y en la determinación de capacidad del proceso, ver apéndice C. La
referencia recomendada es: ISO, ISO/IEC 15504-4 2004, Guía sobre el uso para la mejora del proceso y la determinación
de la capacidad del proceso, Suiza, 2004.

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
Página intencionadamente en blanco

Personal Copy of: Mr. Miguel Expsito

Apéndice A.
Resultados
del proceso
de evaluación
Appendix
A. Process
Assessment
Results

Apéndice A. Resultados del proceso de evaluación
Figura 14—Resultados del Proceso de Evaluación
Nivel de Capacidad
de Proceso
Nombre de Proceso

A Evaluar

Evaluar, Dirigir y Monitorizar (EDM)
EDM01 Asegurar configuración y mantenimiento del Marco General de Gobierno
EDM02 Asegurar la Entrega de Beneficios
EDM03 Asegurar la Optimización del Riesgo
EDM04 Asegurar la Optimización de Recursos
EDM05 Asegurar la transparencia de los Implicados
Alinear, Planificar y Organizar (APO)
APO01 Gestionar el Marco de gestión de TI
APO02 Gestionar la Estrategia
APO03 Gestionar la Arquitectura de la empresa para TI
APO04 Gestionar la Innovación
APO05 Gestionar el Portafolio
APO06 Gestionar el Presupuesto y los Costes
APO07 Gestionar los Recursos Humanos
APO08 Gestionar las Relaciones
APO09 Gestionar los contratos de Servicio
APO10 Gestionar los Proveedores
APO11 Gestionar la Calidad
APO12 Gestionar el Riesgo
APO13 Gestionar la Seguridad
Construir, Adquirir e Implementar (BAI)
BAI01 Gestionar Programas y Proyectos
BAI02 Gestionar la Definición de Requerimientos
BAI03 Gestionar la Identificación de Soluciones e Implementación
BAI04 Gestionar la Disponibilidad y la Capacidad
BAI05 Gestionar la Habilitación del Cambio Organizacional
BAI06 Gestionar Cambios
BAI07 Gestionar la Aceptación del Cambio y Transición
BAI08 Gestionar el Conocimiento
BAI09 Gestionar los Activos
BAI10 Gestionar la Configuración
Entrega, Servicio y Soporte (DSS)
DSS01 Gestionar Operaciones
DSS02 Gestionar Peticiones de Servicio e Incidentes
DSS03 Gestionar Problemas
DSS04 Gestionar la Continuidad
DSS05 Gestionar los Servicios de Seguridad
DSS06 Gestionar los Controles de los Procesos de Negocio
Monitorear, Evaluar y Analizar (MEA)
MEA01 Monitorear, Evaluar y Analizar el Rendimiento y la Conformidad
MEA02 Monitorear, Evaluar y Analizar loscontroles Internos del Sistema
MEA03 Monitorear, Evaluar y Analizar el Cumplimiento con los Requerimientos Externos

Personal Copy of: Mr. Miguel Expsito

Guía de Auto-Evaluación: Usando COBIT® 5
Página intencionadamente en blanco

Personal Copy of: Mr. Miguel Expsito

Apéndice B. Plantilla de Auto-Evaluación

Apéndice B. Plantilla de Auto-Evaluación
Ejemplo EDM01 Garantizar el Establecimiento y Mantenimiento del Marco
General de Gobierno
Figura 15 muestra la plantilla resumen para los resultados de la evaluación del ejemplo EDM01.
Figura 15—Resumen del Resultado de la Evaluación
Nombre del Proceso

Nivel 0

Nivel 1
PA 1.1

Nivel 2
PA 2.1

PA 2.2

Nivel 3
PA 3.1

Nivel 4

PA 3.2

PA 4.1

Nivel 5

PA 4.2

PA 5.1

PA 5.2

Clasificación por Criterio
Nivel de Aptitud Conseguido
Clave:
N (No Alcanzado, 0-15%)

P (Parcialmente Alcanzado, 15-50%)

L (Ampliamente Alcanzado, 50-85%)

F (Completamente Alcanzado, 85-100%)

Figura 16 muestra las evaluaciones detalladas para el ejemplo EDM01, usando la función de recopilación de datos del
conjunto de herramientas de soporte de la hoja de cálculo.
Figura 16—Ejemplo Detallado de Evaluaciones para EDM01
EDM01

Garantizar el Establecimiento y Mantenimiento del Marco General de Gobierno

Propósito

Satisfacer el requerimiento de negocio de sostener o extender la estrategia de negocio y los requerimientos de gobierno manteniendo transparencia sobre
los beneficios, costes y riesgo.

EDM01

Evaluar si los Siguientes
Resultados son Alcanzados

Criterios

Nivel 0
Incompleto

El proceso no está
implementado o no
consigue su
propósito

En este nivel, hay poca o ninguna evidencia
de cualquier logro de la finalidad del
proceso.

Nivel 1
Realizado

PA 1.1 Desempeño del
Proceso—El proceso
implementado consigue
su propósito.

Los siguientes resultados del proceso están
siendo logrados:
• EDM01-01 Se logra un modelo
estratégico óptimo de toma de decisiones
para IT, alineado con el entorno interno y
externo de la empresa y los requisitos de
las partes interesadas.
• EDM01-02 El sistema de gobierno para
TI está integrado en la empresa.
• EDM01-02 Se obtiene la garantía de
que el sistema de gobernanza de TI está
funcionando eficazmente.

Nivel 2
Gestionado

PA 2.1 Gestión del
Desempeño—Una medida
del alcance con el que se
gestiona el desempeño del
proceso.

Como resultado de la plena consecución de
este atributo:
a. Se identifican los objetivos para el
desempeño del proceso.
b. El desempeño del proceso está
planificado y supervisado.
c. El desempeño del proceso se ajusta
para cumplir con los planes.
d. Las responsabilidades y autoridades para
realizar el proceso están definidas,
asignadas y comunicadas.
e. Los recursos e información necesarios
para realizar el proceso están
identificados, disponibles, asignados
y utilizados.
f.Las interfaces entre las partes
involucradas están gestionadas para
asegurar tanto una efectiva comunicación
como una clara asignación de
responsabilidad

¿Criterios
alcanzados?
Y/N

Personal Copy of: Mr. Miguel Expsito

Comentario

AmParcialmente
CompleAlcanzados pliamente tamente
No
Alcanzados Alcanzados
(>15%
alcanzados
(0–15%)

–50%)

(>50%–85%) (>85%–100%)

Guía de Auto-Evaluación: Usando COBIT® 5
Figura 16—Ejemplo Detallado de Evaluaciones para EDM01 (cont.)
EDM01

Garantizar el Establecimiento y Mantenimiento del Marco General de Gobierno

Propósito

Satisfacer el requerimiento de negocio de sostener o extender la estrategia de negocio y los requerimientos de gobierno manteniendo transparencia sobre
los beneficios, costes y riesgo.

EDM01

Nivel 2
Gestionado
(cont.)

Evaluar si los Siguientes
Resultados son Alcanzados

PA 2.2 Gestión del
Resultado del Trabajo—
Una medida del alcance
con el que se gestionan
apropiadamente los
resultados del trabajo
producidos por el proceso.
Los resultados del trabajo
(o del proceso) están
definidos y controlados.

Criterios

Como resultado de la plena consecución de
este atributo:
a. Los requisitos para los productos de
trabajo del proceso son definidos.
b. Los requisitos para la documentación y
el control de los productos de trabajo son
definidos.
c. Los productos de trabajo están
debidamente identificados,
documentados y controlados.
d. Los productos de trabajo son revisados
de acuerdo con las disposiciones
planificadas y se ajustan si es necesario
para cumplir con los requisitos.

Nivel 3
PA 3.1 Definición de
Consolidado Proceso—Una medida
del alcance con el que
se mantiene un proceso
estándar para apoyar el
despliegue del proceso
definido.

Como resultado de la plena consecución de
este atributo:
a. Se define un proceso estándar,
incluyendo guías de adaptación
adecuadas, que describe los elementos
fundamentales que deben ser
incorporados en un proceso definido.
b. Se determinan la secuencia e interacción
del proceso estándar con otros procesos.
c. Se identifican las competencias y roles
necesarios para llevar a cabo un proceso,
como parte del proceso estándar.
d. Se identifican la infraestructura
necesaria y el entorno de trabajo para
realizar un proceso, como parte del
proceso estándar.
e. Se determinan los métodos adecuados
para el seguimiento de la eficacia y la
adecuación del proceso.

PA 3.2 Despliegue del
Proceso—Una medida
del alcance con el que
el proceso estándar
es implementado
eficazmente como un
proceso definido para
lograr los resultados del
proceso.

Como resultado de la plena consecución de
este atributo:
a. Se implementa un proceso definido
sobre la base de un proceso estándar
apropiadamente seleccionado y/o a
medida.
b. Se asignan y comunican las funciones,
responsabilidades y autoridades
requeridas para llevar a cabo el proceso.
c. El personal que realiza el proceso
definido es competente en la base a
la apropiada educación, formación y
experiencia.
d. Los recursos requeridos y la información
necesaria para realizar el proceso
definido se hacen disponibles, se
asignan y se utilizan.
e. La infraestructura necesaria y el entorno
de trabajo para realizar el proceso
definido se hacen disponibles, se
gestionan y se mantienen.
f. Los datos apropiados se recogen y
analizan como base para entender el
comportamiento, y para demostrar la
idoneidad y la eficacia del proceso, y para
evaluar donde se puede hacer la mejora
continua del proceso.

¿Criterios
alcanzados?
Y/N

Personal Copy of: Mr. Miguel Expsito

Comentario

AmParcialmente
CompleAlcanzados pliamente tamente
No
Alcanzados Alcanzados
(>15%
alcanzados
(0–15%)

–50%)

(>50%–85%) (>85%–100%)

Apéndice B. Plantilla de Auto-Evaluación
Figura 16—Ejemplo Detallado de Evaluaciones para EDM01 (cont.)
EDM01

Garantizar el Establecimiento y Mantenimiento del Marco General de Gobierno

Propósito

Satisfacer el requerimiento de negocio de sostener o extender la estrategia de negocio y los requerimientos de gobierno manteniendo transparencia sobre
los beneficios, costes y riesgo.

EDM01

Nivel 4
Predecible

Nivel 5
Optimizado

Evaluar si los Siguientes
Resultados son Alcanzados

Criterios

PA 4.1 Medición del
Proceso—Una medida
del alcance con el que la
medición de los resultados
se utiliza para asegurar
que el desempeño del
proceso apoya el logro de
los objetivos pertinentes
de desempeño de los
procesos como apoyo a
los objetivos de negocio
definidos.

Como resultado de la plena consecución de
este atributo:
a. Se establecen las necesidades de
información del proceso como apoyo a los
relevantes objetivos de negocio definidos.
b. Los objetivos de medición del proceso se
derivan de las necesidades de información
del proceso.
c. Se establecen los objetivos cuantitativos
de desempeño del proceso como apoyo
de los objetivos de negocio relevantes.
d. Se identifican y definen las medidas y
frecuencia de medición de acuerdo con
los objetivos de medición y los objetivos
cuantitativos de desempeño del proceso.
e. Los resultados de medición se recogen,
analizan y reportan para supervisar el
grado en que se cumplen los objetivos
cuantitativos de desempeño del proceso.
f. Los resultados de medición se utilizan para
describir el desempeño del proceso.

PA 4.2 Control de
Proceso—Una medida
del alcance con que el
proceso es gestionado
cuantitativamente para
producir un proceso
que es estable, capaz y
predecible dentro de los
límites definidos.

Como resultado de la plena consecución de
este atributo:
a. Se determinan y aplican técnicas de
análisis y control cuando sea posible.
b. Se establecen límites de control de
variación para el desempeño normal del
proceso.
c. Los datos de medición se analizan para
determinar causas especiales de variación.
d. Se toman acciones correctivas para hacer
frente a causas especiales de variación.
e. Los límites de control se re-establecen
después de una acción correctiva.

PA 5.1 Innovación del
Proceso—Una medida
del alcance con el que los
cambios en el proceso son
identificados a partir
de análisis de causas
comunes de variación en
el desempeño, y de las
investigaciones
de enfoques innovadores
hasta la definición e
implementación del
proceso.

Como resultado de la plena consecución de
este atributo:
a. Se definen objetivos de mejora del
proceso para apoyar los objetivos de
negocio relevantes.
b. Se analizan los datos apropiados para
identificar las causas comunes de las
variaciones.
c. Se analizan los datos apropiados para
identificar oportunidades de innovación
y mejores prácticas.
d. Se identifican oportunidades de mejora
derivadas de las tecnologías y conceptos
del proceso.
e. Se establece una estrategia de
implantación para alcanzar los objetivos
de mejora del proceso.

PA 5.2 Optimización del
Proceso—Una medida
del grado con el que los
cambios en la definición,
gestión y desempeño
del proceso producen un
impacto efectivo que logra
en efectivo impacto que
logra relevantes objetivos
de mejora del proceso.

Como resultado de la plena consecución de
este atributo:
a. El impacto de todos los cambios es
evaluado contra los objetivos del proceso
definido y del proceso estándar.
b. La implementación de los cambios es
gestionado para asegurar que cualquier
interrupción del desempeño del proceso
es entendida y se reacciona ante ella.
c. La efectividad del cambio en el proceso
basándose en el desempeño actual se
evalúa contra los requisitos del producto
y los objetivos del proceso definidos para
determinar si los resultados se deben a
causas comunes o especiales..

¿Criterios
alcanzados?
Y/N

Personal Copy of: Mr. Miguel Expsito

Comentario

AmParcialmente
CompleAlcanzados pliamente tamente
No
Alcanzados Alcanzados
(>15%
alcanzados
(0–15%)

–50%)

(>50%–85%) (>85%–100%)

Guía de Auto-Evaluación: Usando COBIT® 5

Apéndice C. Lecturas Adicionales
• ISACA, COBIT® 5, USA, 2012
• ISACA, COBIT® 5 Implementation, USA, 2012
• ISACA, COBIT® 5: Enabling Processes, USA, 2012
• ISACA, COBIT® Process Assessment Guide (PAM): Using COBIT® 5, USA, 2012
• ISACA, COBIT® Assessor Guide: Using COBIT® 5, USA, 2012
• ISO, ISO/IEC 15504-1 2004 Information technology—Process assessment—Part 1: Concepts and vocabulary,
Switzerland, 2004
• ISO, ISO/IEC 15504-2 2003 Performing an assessment, Switzerland, 2003
• ISO, ISO/IEC 15504-3 2004 Guidance on performing an assessment, Switzerland, 2004
• ISO, ISO/IEC 15504-4 2004 Guidance on use for process improvement and process capability determination,
Switzerland, 2004
• ISO, ISO/IEC 15504-5 2006 Information technology—Process assessment—Part 5: An exemplar Process Assessment
Model, Switzerland, 2006
• ISO, ISO/IEC 15504-7 2008 Assessment of organizational maturity, Switzerland, 2008

Personal Copy of: Mr. Miguel Expsito

Source Exif Data:

File Type                       : PDF
File Type Extension             : pdf
MIME Type                       : application/pdf
PDF Version                     : 1.7
Linearized                      : No
Creator                         : Adobe InDesign CS6 (Windows)
Modify Date                     : 2015:12:09 08:57:17+01:00
Create Date                     : 2015:12:09 08:56:16+01:00
Page Count                      : 24
Page Layout                     : SinglePage
XMP Toolkit                     : Adobe XMP Core 5.3-c011 66.145661, 2012/02/06-14:56:27
Metadata Date                   : 2015:12:09 08:57:17+01:00
Creator Tool                    : Adobe InDesign CS6 (Windows)
Instance ID                     : uuid:9b345a00-d9ed-4da7-816b-e9cff21d9180
Original Document ID            : xmp.did:0ACDE4FA082068118C14E39535265C70
Document ID                     : xmp.id:A3FAB33F4A9EE511B90A9FAF443DFB70
Rendition Class                 : proof:pdf
Derived From Instance ID        : xmp.iid:A2FAB33F4A9EE511B90A9FAF443DFB70
Derived From Document ID        : xmp.did:2C9BD3298820E511843DA351B27947C3
Derived From Original Document ID: xmp.did:0ACDE4FA082068118C14E39535265C70
Derived From Rendition Class    : default
History Action                  : converted
History Parameters              : from application/x-indesign to application/pdf
History Software Agent          : Adobe InDesign CS6 (Windows)
History Changed                 : /
History When                    : 2015:12:09 08:56:16+01:00
Format                          : application/pdf
Producer                        : Adobe PDF Library 10.0.1
Trapped                         : False

EXIF Metadata provided by EXIF.tools

Self Assessment Guide Using Cobit 5 Res Spa 0116

Navigation menu

Versions of this User Manual:

Views

Navigation