Distribución de roles y responsabilidades en el Gobierno y Gestión de las TI entre Consejo de Administración (CA), CEO y CIO

 * *

Propósito de este documento

Explorar la distribución de roles y responsabilidades en el gobierno y gestión de las TI entre: i) Consejo de Administración [CA]; ii) Presidente Ejecutivo o Consejero Delegado o Director General [CEO]; y iii)  Director de Tecnologías de la Información (TI) o de Informática [CIO]. 

Me refiero, en terminología y referencias, al ámbito de las empresas, pero es probable que lo que digo pueda extenderse — mutatis mutandi— a otras organizaciones, como fundaciones, universidades, ONGs o la Administración Pública. 

* *

Gobernanza | Buen Gobierno TI

En este documento utilizo como sinónimos, en un sentido lato, ‘buen gobierno’, ‘gobernanza’, ‘gobierno corporativo de las TI’ (GCTI) y ‘governance’. Cuando conviene más finura, suelo usar ‘buen gobierno’, como ejercicio adecuado y correcto de la —más abstracta— ‘gobernanza’[1].

La norma ISO 38500[2]  define la Gobernanza de las TI (“gobernanza que es distinta de la gestión”) como “El sistema por el cual se dirige y controla el uso, actual y futuro, de la TI”[3].

En 2012, Gartner publicó una definición de Gobernanza [de las TI], tras “haber recibido más de 3200 consultas sobre el tema de la gobernanza” en los 6 primeros meses de ese año. 

Gartner[4]  define “gobernanza” como el proceso de:

- «Establecer los derechos de decisión y responsabilidad; y también establecer políticas alineadas con los objetivos del negocio (conservación y aumento del valor para el accionista)

- Equilibrar las inversiones conforme a las políticas y en apoyo de los objetivos del negocio (ejecución coherente de la estrategia)

- Establecer medidas para monitorizar el cumplimiento de decisiones y políticas (cumplimiento y aseguramiento)

- Asegurar que los procesos, comportamientos son conformes con las políticas y están dentro de las tolerancias de las decisiones (gestión del riesgo)» 

ISACA[5] define la gobernanza empresarial como “un conjunto de responsabilidades y prácticas ejercidas por el consejo de administración y la dirección ejecutiva con el propósito de aportar dirección estratégica, asegurando que se alcanzan los objetivos y que los riesgos se gestionan apropiadamente y verificando que los recursos de la empresa se usan de forma responsable”[6]. 

iTTi[7], en su Manifiesto sobre GCTI[8] dice:

- El GCTI es el conjunto de mecanismos de alto nivel (estructuras y relaciones, normas y procesos de toma de decisiones) dirigidos a determinar el porqué, el para qué y el cómo de la aplicación y uso de las TI; y a evitar oportunamente, y superar resilientemente, las consecuencias no deseadas del referido uso.

- La responsabilidad sobre la rendición de cuentas en torno al uso que se hace de las TI recae en el consejo de administración u órgano de gobierno equivalente. Los mecanismos de gobierno corporativo enlazan las actividades de dirección y control del consejo con el dominio de gestión de la organización a través del consejero delegado (CEO) y el resto de ejecutivos, incluido el director de sistemas de información (CIO). 

Esa gobernanza o buen gobierno se entiende, en general, como una capa superior o estratégica de la gestión. Un ocuparse de políticas, objetivos y estrategias sobre el empleo (o no) y modo de uso de las tecnologías, más que de su detalle táctico, operativo y técnico. Gobernanza que tiene la virtualidad de hacer forzosa en la realidad (y vacua en la teoría) la alineación de la denominada[9] ‘estrategia TI’ con la ‘estrategia corporativa’.

* * 

Polarización sesgada de la responsabilidad sobe GCTI

Desde la última década del siglo pasado ha habido un creciente interés por temas de buen gobierno (governance) por muy diversas razones y sobre muchos temas, desde la gobernanza de las naciones a la del agua, pasando por la portuaria y logística, la corporativa, la de carteras de programas y  proyectos, la de las TI, o la gobernanza de datos[10]. Y también, la que aquí me importa de las tecnologías de la información (TI).  

El protagonismo y la propiedad de las acciones en temas de gobierno de TI se han asignado tradicionalmente, por investigadores, docentes y medios a los CIO (directores de informática), los CEO (ejecutivos jefe), y —más recientemente— a los órganos de gobierno [OG], CA. 

Muchas de esas asignaciones han sido focales en uno de los tres agentes (CIO, CEO, OG), ignorando los otros dos o haciéndoles jugar un papel subordinado o complementario al central del agente favorecido en cada estudio o por cada institución.

Así, se ha publicado mucho sobre temas como los siguientes: 

- Cómo puede / debe explicar el CIO al CEO la estrategia de TI 

- Cómo alinear la estrategia TI con la estrategia corporativa

- Cómo informar al consejo de administración del riesgo TI

- El CIO ideal para un CEO

- Los temas TI que el CA no puede delegar

- Etc.

Sin embargo, tanto el sentido común cuanto la disciplina de organización de empresas (o denominación afín) apuntan que el protagonismo y la propiedad de las acciones de GCTI será, en cada caso (país, sector, tamaño, multinacionalidad, empresa concreta), el resultado de un equilibrio trilateral más o menos distribuido entre los tres actores, pero probablemente sin exclusión de ninguno de ellos. Equilibrio dinámico resultante de la acción de la micropolítica, motor de toda institución[11].

La reducción a tres grandes actores es probablemente, a su vez, una simplificación, aunque sea aceptable en primera aproximación. 

En un análisis más fino convendría considerar también a otros principales interesados (stakeholders) con algún cuanto significativo de poder y por tanto con una influencia sensible; piénsese, por ejemplo, en los reguladores. 

No parece, sin embargo, viable (salvo por estudio de algunos casos aislados) recoger información estadística de muchos,  ni rebasar lo que sería un mero ‘mapa de influencias’ (formales e informales) de los tres actores.  Pero —dado que la gobernanza es un proceso complejo— también serían de mucho interés los principales flujos e interacciones entre los actores. 

* *

Motivos por los que no se observa la trilateralidad

Opino que la información generalmente disponible —encuestas y análisis por diversas entidades sobre muestras diversas de empresas y organizaciones— adolece a menudo de dos grandes sesgos: uno derivado del posicionamiento u óptica desde el que se acomete el estudio y otro debido a la representatividad de la muestras[12]. 

Los marcos, normas, encuestas y estudios producidos por entidades que —por su origen, evolución e intereses— son proclives a la preponderancia de uno de los tres colectivos de actores citados, tienden a ignorar o relegar a los otros dos o a alguno de ellos[13].

Las empresas recogidas en las muestras y casos de estudio de mayor difusión son, con frecuencia, grandes multinacionales y –si bien pueden ser representativas de ‘mejores prácticas’  por su cuota de mercado o empleados, no cabe tomarlas como guía absoluta para la miríada de empresas menores (incluso PYMEs) que constituyen el tejido económico y social de muchos países, entre ellos España.

Hay que mencionar también que la política freemium de muchos de los grandes analistas, por la que publican gratis solo un pequeño resumen y sólo mediante pago (a veces sustancial) el estudio completo, dificulta al estudioso un análisis crítico más fundamentado. El pequeño resumen, que sirve de noticia y a la vez acicate para adquirir el estudio completo, suele carecer de la información demográfica y técnica de la encuesta, impidiendo así su interpretación correcta. 

* *

Banalización del término ‘gobernanza’

En el campo de las TI (y sus numerosos subcampos, herramientas y técnicas) se ha venido produciendo una banalización de la gobernanza que —como acabo de exponer— es un proceso de ‘alto nivel’ en toda organización.   

Probablemente se debe a intereses espurios, de mala mercadotecnia, que se proponen aumentar el atractivo de un producto o servicio, quizá bueno para su función puntual original, proclamando también su contribución al buen gobierno. Por citar un ejemplo, mencionaré la clase de productos de software (SW)  GRC (Governance, Risk and Compliance), que en su mayoría son meros gestores documentales. Dejo al lector interesado que —con un mínimo esfuerzo de búsqueda— deduzca cuánto tienen que ver los que se ofrecen en el mercado con la gobernanza, como se ha definido más arriba[14].

Esa banalización difumina, en muchos casos, el concepto de gobernanza y puede dificultar su asignación a los tres (o más) perfiles citados.  

* *

Conclusión

El GCTI es una función y un proceso de alto nivel en las organizaciones. Proceso que dirige y controla el uso, los objetivos y estrategias de las TI. 

Compete en proporciones variables y dependientes de las características de cada empresa a la terna OG – CEO – CIO, con una responsabilidad última irrenunciable del OG.

No hay mucha información fácilmente asequible que documente claramente y sin sesgos cómo se distribuye la responsabilidad y la influencia de las tres partes principales en gran número de empresas de diferentes tipos.

De forma ideal y simplificada sería bueno disponer de estudios empíricos (encuestas) que —por ejemplo— tipificasen la tupla (a, b, c) de influencia [ver figura], (con a+b+c = 100%, por ejemplo).[15] 

* * *

Artículo escrito por Manolo Palao, iTTi 20170505   

Copyright © 2017 Manolo Palao e ITTi. Reservado todos los derechos.   

-------------------------------------------------

[1] http://dle.rae.es/?id=JHRSmFV  [URL consultado el 20170422]. 

[2] ISO/IEC 38500:2015 Governance of IT for the Organization.

[3] Fuente de la traducción: UNE-ISO/IEC 38500:2013 Gobernanza corporativa de la Tecnología de la Información (TI). §1.6.3 gobernanza corporativa de la TI. 

[4] Julie Short, J. et al.(04 September 2012). " Gartner Defines 'Governance'". Gartner. ID: G00237914. https://www.gartner.com/document/2145816?ref=lib  [URL consultado el 20170511].

[5] https://www.isaca.org/pages/default.aspx [URL consultado el 20170511]. 

[6] SACA. (2013). CEGEIT Review Manual 2013. Rolling Meadows, IL. EEUU. ISACA. p.7. 

[7] http://www.ittrendsinstitute.org/about-itti [URL consultado el 20170511]. 

[8] iTTi. (2015). "El Manifiesto iTTi sobre el Gobierno Corporativo de las Tecnologías de la Información" V01.00.20150530ES https://es.slideshare.net/iTTi_news/el-manifiesto-itti [URL consultado el 20170511].

[9] Digo “denominada” porque —desde la óptica corporativa (de toda la organización,  la única óptica que debería usarse para tratar estos temas)— la ‘estrategia TI’ en una mera ‘SUB-estrategia (TI)’ de la ‘estrategia corporativa’, por lo que —si la primera no está alineada con la segunda— es inadecuada (no es una estrategia adecuada), como está equivocado o es inadecuado quien la haya elaborado así, por ignorancia o intereses espurios. 

[10] Como cualquier búsqueda rápida en Internet puede confirmar. 

[11] Sobre ‘equilibrio’, en teoría de la organización, han tratado muchos sociólogos y economistas ilustres desde mediados del siglo pasado. 

[12] Confirmar empíricamente esta doble opinión es un trabajo pendiente, de una envergadura probablemente considerable. Hacen falta más estudios, más equilibrados y detallados, que probablemente manifiesten una participación equilibrada (que no uniforme) de los tres agentes (CIO, CEO y OG) y unos protagonistas distintos y relaciones menos diferenciados en muchas empresas medianas o pequeñas; con descripción suficiente de la muestra y de una metodología de muestreo suficientemente rigurosa. 

[13] No es fácil, y rebasaría el propósito de este trabajo, hacer la nómina de los autores y entidades que han tenido / tienen influencia importante en la tipificación de los roles de esos colectivos. Entre los más importantes están, probablemente:   Center for CIO leadership, CIO, Davenport, Forrester, Gartner, IESE, Infonomics, iNFoRMáTiCa++, ISACA, ITAG Research Institute, ITIL, iTTi, Johnson, King, McKinsey, MIT – CDB, MIT – CISR, NACD, Nolan & McFarlan, novática, Porter, PwC, Sieber & Valor,  Swedish Royal Institute of Technology’s Department of Industrial Information and Control Systems, Toomey, Ward & Peppard, Weill & Ross. 

[14] Sí pueden tener que ver con una visión reduccionista de ‘gobernanza’ de algunos autores, que la equiparan a ‘cumplimiento’ (compliance). 

[15] Ver:  Weill, P., & Ross, J. (2005). "A Matrixed Approach to Designing IT Governance". MIT Sloan Management Review. Cambridge 46.2 (Winter 2005): 26.   http://0-search.proquest.com.cataleg.uoc.edu/docview/224976041?pq-origsite=summon&http://0-search.proquest.com.cataleg.uoc.edu/pqcentral?accountid=15299  [URL consultado el 20170511].

Aclaración terminológica

En este documento utilizo como sinónimos, en un sentido lato, ‘buen gobierno’, ‘gobernanza’ y ‘governance’. Cuando conviene más finura, suelo usar ‘buen gobierno’, como ejercicio adecuado y correcto de la —más abstracta— ‘gobernanza’[1].

Trato también como sinónimos, salvo mención expresa órgano de gobierno OG) y consejo de administración (CA).

* *

Propósito de este documento

El propósito de este trabajo es hacer una breve reseña de los principales hitos en que se recaba para los órganos de Gobierno (OGs) de las entidades, el protagonismo en el gobierno corporativo de las TI (GCTI) , en un movimiento relativamente nuevo durante la última década.

* *

Introducción

Desde la última década del siglo pasado ha habido un creciente interés por temas de buen gobierno (governance) por muy diversas razones, desde la gobernanza de las naciones a la del agua, pasando por la portuaria y logística, la corporativa, la de carteras de programas y  proyectos, la de las TI, o la gobernanza de datos [2].

Esa gobernanza o buen gobierno se entiende, en general, como una capa superior o estratégica de la gestión. Un ocuparse de políticas, objetivos y estrategias sobre el empleo (o no) y modo de uso del tema en cuestión, más que de su detalle táctico, operativo y técnico. 

Es quizá en la última década cuando los OGs, y los estudiosos han reivindicado con más fuerza el   derecho y la obligación de los primeros de establecer las políticas y estrategias de las TI y de supervisar su cumplimiento por los ejecutivos; el mismo derecho y obligación-responsabilidad que tienen (por ley) sobre las demás funciones de la empresa.

Sin perjuicio de lo razonable que parece ese enfoque, en la práctica no se aplica en muchos casos, quedando las políticas y estrategias de las TI en manos del CIO, con mayor o menor intervención —quizá creciente— del CEO, según resulte del equilibrio de poder en cada organización. Pero esto ya no es tema de este documento.

Gobernanza que —en el caso de las TI (como pasaría con otras funciones corporativas)— tiene la virtud de hacer efectiva la alineación de la denominada [3] ‘estrategia TI’ (o la estrategia de otras unidades) con la ‘estrategia corporativa’. 

* *

El Consejo de Administración

El Consejo de Administración (CA) es el órgano de gobierno de las empresas, usual en España en grandes empresas y bastantes PYMEs.  (Ver recuadro inferior)

----------------------------------------------------------------------------------------------------------------------------------------------

Los órganos de gobierno o de administración (OG)

Los órganos de gobierno o de administración de empresas y entidades tienen en español denominaciones diversas, que dependen de la legislación aplicable en cada país.

En España, las ‘sociedades de capital’ se rigen por la  Ley de sociedades de capital, 2011, que –en su Artículo 209- indica que “Es competencia de los administradores la gestión y la representación de la sociedad...”. Y en su Artículo 210 señala que pueden ejercerla uno o dos administradores y –si fueren más- “constituirán consejo de administración” (CA).  Los miembros del CA se denominan consejeros. El CA tiene un Presidente (P), que puede o no ser ejecutivo (PE). El CA puede nombrar en su seno un Consejero Delegado (CD); o –fuera de su seno- un Director General (DG).

El CA tiene Comisiones (algunas determinadas por ley), constituidas por consejeros. Puede haber un Comité Ejecutivo.

El PE | CD | DG  suele a su vez encabezar un Comité de Dirección (CoD) que reúne a todos o parte de los Directores de unidades —los ‘ejecutivos’..

No debe confundirse el CoD con el CD o sus comisiones.

Otras entidades, no de capital, en España se rigen por otras Leyes y su equivalente (a nuestros efectos) del CA son, por ejemplo, el Patronato (y su presidente), en el caso de Fundaciones; o el Rectorado (presidido por el Rector), en las Universidades.

En LATAM, equivalentes del CA son la Junta (Directiva), o el Directorio.   

 En Inglés, el órgano de gobierno más frecuente es ‘the Board of Directors’ (the Board) —equivalente a nuestro CA— y sus miembros son Directors (NO directores, sino consejeros –miembros del CA). El primer ejecutivo, sea o no consejero, es el Chief Executive Officer (CEO). 

En Francia es frecuente la figura del PDG - Président-directeur général (P-DG).

Para nosotros, aquí, CEO = PE | CD | DG | P-DG.  

Para más finura, consúltese la legislación mercantil (y otra pertinente) del país en cuestión.

--------------------------------------------------------------------------------------------------------------------------------------------------

* *

Desentendimiento CA – Tecnologías de la Información (TI)

Hasta hace algunos años —y lamentablemente aún en muchas empresas— el CA ha estado generalmente ajeno a las TI. Incluso ahora, cuando se ocupa de las TI, es a menudo solo tras un ciberincidente; un robo escandaloso de datos o una caída importante del servicio. (Incidentes graves, en el extranjero, han desembocado en un cese o dimisión del CEO [4]).

Ese desentendimiento parece ser un fenómeno global, aunque quizá exacerbado en algunos países, entre ellos España, como se comentará más abajo. 

Pero en el momento actual (y desde hace un par de lustros) es evidente que el mundo está inmerso en la ‘revolución digital’ que está cambiando radicalmente la economía, las empresas, la sociedad y nuestras vidas personales.

Y en esas condiciones, no parece razonable que los órganos de gobierno —los CA— no tengan una agenda activa, frecuente y bien informada sobre las TI. Naturalmente, no necesariamente, sobre la evolución tecnológica y sus detalles, pero sí sobre las políticas y estrategias corporativas del uso de las tecnologías.

Caben muchas explicaciones sobre ese desentendimiento histórico. Entre ellas pueden señalarse: 

- la aceleración del cambio ha cogido por sorpresa y/o no ha dado tiempo a reaccionar a empresas poco ágiles: oligopolios, estructuras ‘pesadas’ (muchos niveles jerárquicos), sin la cultura adecuada.

- la informática, que hace unas décadas solo, se llamaba ‘proceso de datos’ o ‘mecanización administrativa’ era una mera herramienta de productividad (sobre un recurso barato, el personal administrativo); y útil solo para llevar la contabilidad y hacer la nómina; no merecedora de la atención del CA.

- herramienta que —antes de la generalización de la informática transaccional— podía radicar en una “oficina de servicios” externa (¡‘outsourcing’ en las décadas de 1970 y 80!), o en una ínsula interna —una torre de marfil en que inputs y outputs entraban o salían en carros con resmas de papel.

- la informática nació rodeada de misterio, que muchos de los escasos iniciados (hechiceros, mandarines) aumentaban con cortinas de humo lingüísticas adoptadas del inglés (por si este idioma no fuera ya bastante obstáculo en algunos países). Así, ‘escrachear’ era borrar un soporte magnético, o  ‘desencriptar’ (que, por desgracia, se nos ha quedado) era descifrar. Ello ha supuesto una barrera de ‘analfabetismo informático’ para muchas personas y en particular quizá las de más edad o con menos formación STEM (siglas en inglés para: ciencia, tecnología, ingeniería, matemáticas).

- la composición de los CA estaba sesgada hacia las especialidades eficaces y rentables en el ‘estable’ régimen anterior: el Derecho, la Economía, la Academia… Las especialidades adecuadas a las necesidades entonces de los mercados (derecho administrativo, derecho mercantil, macro- y microeconomía) y a los perfiles de los políticos y administradores públicos (por facilidad de diálogo y por ‘puertas giratorias’).

- el propio interés de consejos y consejeros de preservarse y perpetuarse, como una casta, en unas funciones generalmente poco exigentes, bien retribuidas, bien consideradas socialmente, y con relativo poder, influencia y beneficios indirectos.

En España, lo anterior se ha visto reforzado por:

- una tradición altamente licenciataria de tecnologías (no solo TI) de las empresas, lo que   —en cierta forma, no positiva— ‘comoditizaba’ la tecnología, simplificando, en cierta medida, su gobierno y gestión. Lo que necesito, lo compro, como una ‘caja negra’;

- los consejos de administración siguen generalmente compuestos (aparte de por muchos consejeros NO independientes) por una gerontocracia de abogados, economistas y exministros, bien adaptada a las necesidades, regulaciones e intereses, creados en gran medida por ellos mismos a lo largo del último siglo. Es un sistema autoestabilizante.

Las generalizaciones son casi siempre falaces, y hay empresas, profesionales, analistas y académicos que hace tiempo vienen adoptando y recomendando la asunción por los CA de roles más activos en la orientación y supervisión del uso de las TI en sus empresas, y en la sociedad.

* *

Hitos en fomento de una mayor intervención de los CA en las TI

1. Probablemente el documento pionero (¡2003!) en esta línea fue el Board Briefing (Informe al Consejo) de ITGI[5]. Un informe destinado a un consejo de administración genérico.

“Los consejos de administración y las direcciones ejecutivas tienen que extender el gobierno a las TI y proporcionar el liderazgo, las estructuras y procesos organizativos que aseguren que las TI de la empresas soportan y extienden las estrategias y objetivos. El gobierno TI no es una disciplina aislada, sino parte integral del gobierno general de la empresa. La necesidad de integrar el gobierno TI en el gobierno general de la empresa es similar a la necesidad de que las TI sean parte integral de la empresa y no rincones recónditos o torres de marfil. 

A los grupos de interés (stakeholders) cada vez más educados y resolutos les preocupa una gestión sólida de sus intereses. Esto ha llevado al surgimiento de principios y normas para el gobierno general de la empresa. Además, las regulaciones establecen responsabilidades del consejo de administración y requieren que éste actúe con la debida diligencia en sus roles.”[6]

El informe, de 66 páginas, es de acceso libre, por lo que, pese a su interés no procede extenderse sobre él aquí; sí, recomendar la lectura de su contenido, totalmente vigente. Como botón de muestra, unas preguntas (que el consejo debería hacerse), extraídas del medio centenar recogidas en su Anejo A. 

- ¿Está claro [para el consejo] lo que TI está haciendo?

- ¿Cuánto del esfuerzo de TI se dedica a ‘apagar fuegos’ en vez de a facilitar mejoras del negocio?

- ¿ El consejo articula y comunica la dirección del negocio con la que TI debiera alinearse?

- ¿Cuán crítica es TI para sostener la empresa? ¿Y para hacerla crecer? 

2. La norma ISO/IEC 38500:2008 Corporate governance of information technology  (que rebautizó la ISO/IEC DIS 29382: 2007) fue el resultado de la aprobación rápida (fast track) de la norma australiana AS 8015:2005;  por lo que probablemente se empezó a ‘cocinar’ en las mismas fechas que el informe de ITGI.

Para la 38500, “El gobierno es distinto de la gestión y, para evitar confusión, ambos conceptos están claramente definidos en la norma” [7]. 

La 38500 fue revisada en 2015 con muchos pequeños retoques, pero con dos cambios importantes [8]: 

i) un nuevo nombre, para ampliar su cobertura potencial: Governance of IT for the Organization [antes, Corporate]; y 

ii) permitiendo, de forma explícita, dos posibles escalones de delegación: a) del consejo a una comisión del consejo; y b) de los anteriores al equipo directivo. Esto —como comentaré más abajo— me parece una decisión radical que encierra claras ventajas y claros riesgos asociados.

La norma propone 6 Principios y un Modelo. 

Los principios son: 1) responsabilidad referente a TIC;  2) alineación de la estrategia TIC con la de la organización; 3)  adquisiciones TIC razonables y razonadas; 4) rendimiento y desempeño; 5) conformidad; y 6) comportamiento humano. 

El Modelo (que la norma esquematiza en una figura elocuente) plantea dos capas: una de Gobierno y otra de Gestión / Administración. 

La capa de Gobierno (el cometido del órgano de gobierno) tiene 3 funciones (EDM, siglas en inglés): Evaluar, Dirigir (establecer la dirección) y Supervisar. Estas tres funciones forman un ‘círculo virtuoso’ triangular (similar al más conocido cuadrangular PDCA –planificar, ejecutar, comprobar, actuar).   

La capa de Gestión / Administración (el cometido de los órganos ejecutivos) recoge los procesos de la organización en un esquema que podría ser una simplificación de la clásica cadena de valor de M. Porter.

Ambas capas se relacionan mediante tres flujos principales: un primero, de Gobierno a Gestión, contiene objetivos, políticas, estrategias y directrices; un segundo, de Gestión a Gobierno, rinde cuentas; y un tercero, también de Gestión a Gobierno, eleva propuestas.

El cuerpo de la norma (que es “asesora, de alto nivel, basada en principios”) ofrece consejos o recomendaciones, que podría visualizarse como una matriz de 18 casillas: el producto de los 6 principios, vistos cada uno desde las 3 grandes actividades EDM. 

3. En 2009, el australiano Mark Toomey, que fue coeditor de la AS 8015:2005, publicó Bailando el Vals con el Elefante[9], un interesante y atractivo texto en que desarrolla sus ideas sobre GCTI, sintetizadas en la AS 8015. Desde entonces Mark ha dado varias vueltas al mundo haciendo presentaciones personales de sus ideas, y difusión virtual, mediante su revista Infonomics [10]. 

4. COBIT 5 [11]

En 2012, ISACA[12] publicó COBIT 5 y desde entonces ha publicado un gran número de productos muy diversos de esa familia (aparte de sus traducciones a diversos idiomas). 

COBIT 5 se subtitula “Un Marco de Negocio para el Gobierno y la Gestión de las TI de la Empresa”. COBIT es un nuevo nombre propio, no ya un acrónimo como en versiones anteriores, y es el vástago más joven de una generación que se inició 15 años antes.   

Pero COBIT 5 supuso una revolución en la familia, en al menos dos aspectos: i) —el que más importa aquí es que— explicita y consolida la distinción entre Gobierno (Governance) y Gestión [Administración, en LATAM] (Management) de las TIC; y ii) —aquí menos importante—abjura de su tradicional modelo de madurez de procesos ‘CMM’ [13] y abraza el de capacidad de procesos de ISO/IEC 15504, SPICE [14].

La distinción entre Gobierno Corporativo y Gestión queda clara, en COBIT 5,  desde su título y comienzo, y está en línea con la ISO 38500 [15].

El marco COBIT 5, se desarrolla a partir de unas necesidades de los interesados / derechohabientes (stakeholders needs)[16], y propone 7 elementos habilitadores (drivers) para atenderlas: 

1) procesos; 2) cultura, ética, comportamiento; 3) estructuras organizativas; 4) información; 5) principios y políticas; 6) habilidades y competencias; y 7) capacidades de servicio; que están sistémicamente interrelacionados.

COBIT 5 se basa en 5 Principios:  

1) Es un marco integrador. Integra material previo de CobiT y de ISACA, y también de terceros, y su estructura sencilla facilita la integración de cualquier otro marco o norma razonable. No es prescriptivo, aunque propone un modelo de referencia de procesos (ver más abajo).

2) Se rige por la persecución del valor para los interesados (stakeholders).

3) Está orientado al negocio [en sentido genérico: engloba administraciones públicas, ONGs, etc.].

4) Se basa en los 7 habilitadores enunciados más arriba.

5) Está estructurado en procesos de Gobierno Corporativo y de Gestión [Administración] diferenciados pero interrelacionados. 

COBIT 5 consta de 37 procesos [17] de alto nivel, frente a los 34 del previo CobiT 4.1. De ellos, 5 son de Gobierno Corporativo; los demás de Gestión. Algunos consideran que es demasiado engorroso; pero quizá no han reparado en que —al no ser prescriptivo— muchos de tales procesos pueden no considerarse, en función de la circunstancias de la empresa u organismo.

Cada uno de los procesos es tratado en detalle en una ‘ficha’ normalizada que describe subprocesos y actividades, métricas, flujo de trabajo (I/O) y tabla RACI (Responsable-Alto_Responsable-Consultado-Informado)[18]. La riqueza de información es muy considerable. 

5. NACD [19] 

En 2014,  la americana Asociación Nacional de Consejeros [de Administración] de Empresa [20], puso en marcha la iniciativa “La Intersección de Tecnología, Estrategia y Riesgo”, orientada a trasladar a su comunidad de miembros el mensaje de que “las Tecnologías de la Información evolucionan de forma imparable y, por tanto, de igual modo, ha de evolucionar el perfil de un consejero eficaz”[21]. 

El programa se asienta en la premisa, que comparto,  de que “las tecnologías [de la información] crean oportunidades para que las empresas innoven, para que generen eficiencias operativas y para que alcancen una ventaja competitiva” en sus respectivos sectores/mercados.

En el programa colaboran ISACA, la consultora KPMG[22] y la firma de análisis de mercado Gartner[23]. 

“La Intersección de Tecnología, Estrategia y Riesgo” se compone de una colección de vídeos en los que, a modo de entrevistas, un grupo de expertos (consejeros, consultores, CIOs, …) van respondiendo a una serie de cuestiones clave y ofreciendo su particular visión sobre la influencia de las TI en las organizaciones de hoy y sobre el papel que los consejos de administración —y, por ende, los consejeros—  han de jugar en el actual escenario.

Los ocho capítulos de la serie están configurados como pequeñas video-píldoras, de entre cinco y diez minutos de duración, con los siguientes títulos[24]:

- Capítulo 1. Un mundo nuevo y desafiante (A brave new world).

- Capítulo 2. Cuestiones clave que los consejos de administración deberían estar preguntando sobre tecnología (Critical questions boards should be asking about technology).

- Capítulo 3. Tecnología y liderazgo: el papel crítico del CIO (Technology and leadership: the critical role of the CIO).

- Capítulo 4.  Abrazando lo perturbador (Embracing disruption).

- Capítulo 5. Fomentando una cultura de innovación (Fostering a culture of innovation).

- Capítulo 6. La revolución del aluvión de datos (The big data revolution).

- Capítulo 7. Ciberseguridad (Cybersecurity).

- Capítulo 8. Redes sociales: beneficios y riesgos (Social media: risk and reward). 

6. King III

Los Informes King –King Reports on Corporate Governance­– son una pionera colección de directrices sobre gobierno corporativo y operación de empresas. Los publica en Sudáfrica el ‘Comité King sobre Gobierno Corporativo’ (King es el nombre del presidente del Comité). Han sido considerados como “la síntesis más eficaz de las mejores prácticas internacionales sobre gobierno corporativo”. 

Obligan a las empresas que cotizan en la Bolsa de Johannesburgo. El primero (King I) se publicó en 1994; el vigente es el King III, de 2009; y está anunciado el King IV para este año 2017 [25]. 

Por su origen y función, los Informes King pueden ser comparados con los códigos españoles: Código Unificado de Buen Gobierno de las Sociedades Cotizadas (2013) de la CNMV[26] y sus precursores Código Conthe (2006), Código Aldama (2003) y Código Olivencia (1998). Una comparación más detallada resulta ilustrativa, pero rebasa el propósito de este documento. 

* *

Referencias: ATI. (2014). Novática. Monografía. Gobierno Corporativo de las TI. Nº 229, julio-septiembre 2014. http://www2.ati.es/novatica/2014/229/Nv229-Digital.pdf  [URL consultado el 20170501]. 

* * *

Artículo escrito por Manolo Palao, iTTi 20170507    

Copyright © 2017 Manolo Palao e ITTi. Reservado todos los derechos.  

----------------------------------------

[1]  http://dle.rae.es/?id=JHRSmFV [URL consultado el 20170422].

[2] Ver, por ejemplo, http://www.un.org/es/globalissues/governance/, https://www.google.es/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0ahUKEwij1fSIurjTAhUIrRoKHcWnAnUQFggjMAA&url=https%3A%2F%2Fwww.oecd.org%2Fgov%2Fregional-policy%2FOECD-Principles-Water-spanish.pdf&usg=AFQjCNHWSCfHJBseXwBFYYjWe0ZSU1ruGQ&sig2=tA0RwhtTBlIQUx92ENhtag&cad=rja,  https://www.insead.edu/executive-education/corporate-governance-programmes?CampaignId=GGL_Search_A&SiteId=GGL&AdId=CORPGOV&device=c&term=corporate%20governance%20program&gclid=CjwKEAjw_uvHBRDUkumF0tLFp3cSJACAIHMYMI4VDIy448O9NGeODZkEVvX1ZYtzbLdjfwWTrOdRdhoC4tHw_wcB, https://es.wikipedia.org/wiki/Gobernanza_de_las_tecnolog%C3%ADas_de_la_informaci%C3%B3n, https://www.google.es/search?client=firefox-b&q=gobernanza&spell=1&sa=X&ved=0ahUKEwjoh5KmuLjTAhVRkRQKHeX4AqoQBQgiKAA#q=governance+of+portfolios+programs+and+projects+a+practice+guide+pdf, https://www.google.es/search?client=firefox-b&q=gobernanza&spell=1&sa=X&ved=0ahUKEwjoh5KmuLjTAhVRkRQKHeX4AqoQBQgiKAA#q=%22data+governance%22++ , [URLs consultados el 20170422]. 

[3] Digo “denominada” porque —desde la óptica corporativa (de toda la organización,  la única óptica que debería usarse para tratar estos temas)— la ‘estrategia TI’ en una mera ‘SUB-estrategia (TI)’ de la ‘estrategia corporativa’, por lo que —si la primera no está alineada con la segunda— es inadecuada, como lo es quien la haya elaborado así, por ignorancia o intereses espurios. Con palabras como ‘gobernanza’, ‘estrategia’ y (otras muchas) se viene produciendo un deslizamiento semántico, normalmente hacia su banalización. 

[4] Ver, por ejemplo la docena larga de dimisiones de CEOs importantes causadas por incidentes de ciber-inseguridad reseñada por García-Menéndez, M. (2017).  “¿Quién se hace cargo?”.  Novática nº 238, noviembre 2016 - febrero 2017. http://www2.ati.es/novatica/2017/238/Nv238-Digital.pdf [URL consultado el 20170502].

[5] ITGI – IT Governance Institute (2003) Board Briefing on IT Governance, 2nd Edition .    https://www.isaca.org/knowledge-center/research/researchdeliverables/pages/board-briefing-on-it-governance-2nd-edition.aspx [URL consultado el 20170303]. El ITGI fue creado en 1998 http://www.isaca.org/About-ISACA/IT-Governance-Institute/Pages/default.aspx  [URL consultado el 20170303] por ISACA . ISACA —en sus orígenes, en 1967, una asociación de auditores de sistemas de información— es en la actualidad una asociación al servicio de “los profesionales en gobierno de TI” y cuenta con unos 140 000 socios en 180 países http://www.isaca.org/about-isaca/Pages/default.aspx [URL consultado el 20170303]. 

[6] Fuente: ITGI – IT Governance Institute (2003) Board Briefing on IT Governance, 2nd Edition . p. 6.  Copyright © 2003 by the IT Governance Institute.  Con autorización, para uso académico. 

[7] "Governance is distinct from management, and for the avoidance of confusion, the two concepts are clearly defined in the standard.”  ISO/IEC 38500: 2008  , p 5.

[8]  https://en.wikipedia.org/wiki/ISO/IEC_38500#Updates_to_the_standard  [URL consultado el 20170303].

[9] Toomey, M. (2009, 2011). Waltzing with the Elephant. Edition 1, Print 1, 3rd August 2009. Bailando el Vals con el Elefante Primera edición en español. Primera impresión. 30 de abril de 2011.  https://www.google.es/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0ahUKEwizqIrbsobTAhVmBMAKHWdjApsQFggcMAA&url=http%3A%2F%2Fwww.infonomics.com.au%2FWeb%2520Content%2FDocuments%2FBailando%2520el%2520Vals%2520con%2520el%2520Elefante%2520-%2520extracto%2520promocional.pdf&usg=AFQjCNHWleHgv4hIluwqGDuyzSfp_73-uA&sig2=yi4z4DMj1zd2fyD39VQf7g&cad=rja  [URL consultado el 20170409]. 

[10]  http://www.infonomics.com.au/Index.htm [URL consultado el 20170409].

[11] Esta sección usa ampliamente material previamente publicado en Touriño, M. y Palao, M. (2011).  “Sección Técnica «Auditoría SITIC»-  Ref Autoriz  CobiT PAM y COBIT 5”. Novática. Nº 213, noviembre 2011. https://www.google.es/url?sa=t&rct=j&q=&esrc=s&source=web&cd=2&ved=0ahUKEwjeitSDspfTAhXJRhQKHeTEChsQFggeMAE&url=https%3A%2F%2Friunet.upv.es%2Fbitstream%2Fhandle%2F10251%2F37507%2FViv%25C3%25B3%2C%2520R.%2520-%2520Referencias%2520autorizadas.pdf%3Fsequence%3D2&usg=AFQjCNF0pCrd0nRJBqTRhcPwwvAovLWfhw&sig2=D58kvEDbt4J2Y2fyPItafA&cad=rja   [URL consultado el 20170409]. 

[12] SACA es “una asociación global, sin ánimo de lucro e independiente que se dedica al desarrollo, adopción y uso de conocimiento y prácticas de los sistemas de información que sean globalmente aceptadas y líderes en el sector". Desde hace unos años ‘ISACA’ es un nombre propio; anteriormente era el acrónimo de Information Systems Audit and Control Association, denominación que se cambió dado el cambio histórico en la composición e intereses de sus socios. Actualmente cuenta con unos 140 000 asociados, agrupados en Capítulos en 180 países. En España hay 3 Capítulos: Barcelona, Madrid y Valencia.  

http://www.isaca.org/about-isaca/Pages/default.aspx  [URL consultado el 20170409]. 

[13] Basado, con adaptaciones en el CMM del SEI de CMU: http://en.wikipedia.org/wiki/Capability_Maturity_Model [URL consultado el 20170409].

[14] http://en.wikipedia.org/wiki/ISO/IEC_15504 [URL consultado el 20170409].

[15] De la que hace una ‘transposición’ (adopción con variaciones). 

[16] Abstraídas como resultado de amplias encuestas. 

[17] Recuerdo que la redacción en ‘imperativo’ fue una positiva innovación de CobiT 4. (2005), no sistemáticamente implementada en castellano, quizá debido a problemas entre el imperativo y el infinitivo. 

[18] La tabla RACI es una matriz unidades_empresariales – actividades (Ej.: Director_Financiero – Aprobar_Presupuestos) que —en COBIT 5— incluye, entre las unidades, el Consejo de Administración, el CEO y los Directivos de Negocio.

[19] Esta sección usa ampliamente material previamente publicado en García-Menéndez, M. y Palao, M. (2014).  “Sección Técnica «Gobierno corporativo de las tecnologías de la información (GCTI)»-  Ref Autoriz Asociación Nacional de Consejeros de Empresa. Otro espejo en que mirarse”. Novática. Nº 228, abril-junio de 2014. https://www.google.es/url?sa=t&rct=j&q=&esrc=s&source=web&cd=2&ved=0ahUKEwji2smh-pfTAhXm6IMKHdWHD4EQFgglMAE&url=http%3A%2F%2Fwww.ati.es%2Fnovatica%2F2014%2F229%2FNv229-106.pdf&usg=AFQjCNETYVkoIEeuiGJeAGZ81-vI9a6YiA&sig2=KnNKCzYvoaUulF6TU9DKFg&cad=rja  [URL consultado el 20170409].

[20] NACD, (del inglés, National Association of Corporate Directors) reúne más de 17 000 miembros de consejos de administración y lleva más de 40 años proponiendo normas para una actuación responsable de los consejos de administración. https://www.nacdonline.org/AboutUs/ [URL consultado el 20170409].

[21] NACD. (2014). The Intersection of Technology, Strategy and Risk. http://www.nacdonline.org/IT  [URL consultado el 20170409]. 

[22] KPMG International Cooperative. http://www.kpmg.com [URL consultado el 20170409]. 

[23] Gartner Inc. http://www.gartner.com [URL consultado el 20170409]. 

[24] La colección completa puede encontrarse tanto en la sede web de la NACD, como en la de ISACA. No obstante, se recomienda optar por esta segunda posibilidad, dado que ISACA ofrece los vídeos “en abierto”, a diferencia de lo que ocurre con la NACD, que ofrece el material sólo para sus miembros.

ISACA. New video series: The Intersection of Technology, Strategy and Risk  http://www.isaca.org/videos/Pages/Intersection.aspx [URL consultado el 20170412].   

[25]  https://en.wikipedia.org/wiki/King_Report_on_Corporate_Governance   [URL consultado el 20170412].   

[26] https://www.cnmv.es/portal/Legislacion/COBG/COBG.aspx  [URL consultado el 20170412].   

En estos días se viene anunciando mucho en diferentes medios la aparición de un nuevo perfil en los temas digitales (nótese que no hablo de tecnología de información). Un nuevo perfil que pareciese tiene mucho de conocimiento del consumidor, mucho de análisis de tendencias, mucho de mercadeo y fortalezas en competencias claves en el uso y aprovechamiento de la tecnología de información.

En este sentido, pareciese que el denominado Chief Information Officer - CIO, se encuentra "amenazado por convivencia" como quiera que la nueva figura, comienza a motivar cambios y transformaciones directamente con las áreas de negocio, a través de la tecnología de información. Sin perjuicio de lo anterior, es claro que el nuevo rol deberá consultar al CIO si quiere ver qué posibilidades hay para hacer las cosas que tiene en su cabeza.

El Chief Digital Officer, es la nueva expresión que se viene usando recientemente para advertir cómo la estrategia de negocio converge con la estrategia digital de la empresa, que al parecer no es lo mismo que la estrategia de tecnología de información. Lo digital necesariamente implica lo tecnológico, pero lo tecnológico no necesariamente implica hablar de lo digital. 

"La madurez digital implica un cambio cultural que asume la tecnología como una forma de transformar los negocios y aumentar la sensibilidad con las expectativas de los grupos de interés" 

Pareciese que cuando hablamos de lo digital estamos hablando de una nueva cultura de apropiación y uso de la tecnología de información, de plataformas ágiles para desplegar ideas y propuestas; mientras cuando hablamos de la tecnología de información describimos las actividades y acciones que la organización tiene para asegurar una adecuada incorporación y gestión de la TI que soporte las funciones de negocio. 

Así las cosas,  estamos en una superposición de especialidades o de realidades que nos indican una nueva transformación de las empresas, donde lo digital toma relevancia para sintonizar las funciones de negocio con la inestabilidad y cambios permanentes de los consumidores. Por tanto, las habilidades fundadas en lo digital, las cuales pasan por la digitalización de los productos, los prototipos ágiles y la alta tolerancia a la incertidumbre, contrastan con las motivaciones de los CIO relacionadas con el aseguramiento de los riesgos de las tecnologías de información en el desarrollo de las funciones de negocio y decisiones menos inciertas frente la incorporación de tecnologías específicas.

Dicen los estudios que habilitar la competencia digital en las organizaciones requiere al menos desacoplar dos mundos tecnológicamente vinculados: las plataformas que mantienen la operación y las plataformas habilitadas para la experimentación y despliegue ágil. Lo anterior, supone preparar personas con habilidades y especialidades propias que permitan motivar una transformación digital y otras, que aseguren plataformas y sus riesgos para que se habilite la transformación sin percances.

Esta realidad nos advierte que la era digital, de los movimientos sociales y tendencias emergentes sobre nuevas ofertas de productos y servicios digitalmente concebidos, acelera la convergencia de lo físico con lo lógico. Por tanto, se hace necesaria una figura que coordine las fuerzas de la oferta y la demanda sobre una estrategia digital, para sintonizar la puesta en operación de un futuro que ocurre hoy y se hace realidad más allá de las fronteras de la organización.

* * *

Jeimy Cano, PhD, CFE, es Director de la Revista "Sistemas" de la Asociación Colombiana de Ingenieros de Sistemas (ACIS). El Prof. Cano es, además, Analista Asociado de iTTi. 

Este artículo fue publicado inicialmente en el servicio Pulse de LinkedIn, el 13 de  octubre de 2015, en la dirección https://www.linkedin.com/pulse/chief-digital-officer-un-imperativo-y-reto-jeimy-cano-ph-d-cfe  

-------------------------------------------

Referencias

Catlin, T., Scanlan, J. y Willmott, P. (2015) Raising your Digital Quotient. Mckinsey Quarterly. Junio. Recuperado de: http://www.mckinsey.com/insights/strategy/raising_your_digital_quotient 

Dobbs, R., Koller, T. y Ramaswamy, S. (2015) The future and how to survive it. Corporate profits are beginning a long side. Prepare for leaner times. Harvard Business Review. Octubre. 48-62

Dörner, K. y Edelman, D. (2015) What ‘digital’ really means. Everyone wants to go digital. The first step is truly understanding what that is. Mckinsey Quarterly. Recuperado de: http://www.mckinsey.com/insights/high_tech_telecoms_internet/what_digital_really_means 

Dreischmeier, R.,Close, K. y Trichet, P. (2015) The digital imperative. Bcg.perspectives. Boston Consulting Group.

Hughes, P. (2015) The rise of the Chief Digital Officer. Key considerations fordriving digital growth from the C-suite. Deloitte Canada. Recuperado de: http://www.deloittedigital.ca/chief-digital-officer 

Kane, G., Palmer, D., Nguyen Phillips, A. y Kiron, D. (2015) Is Your Business Ready for a Digital Future? Sloan Management Review. 56, 4. Summer.

Richards, T., Smaje, K. y Sohoni, V. (2015) ‘Transformer in chief’: The new chief digital officer. Mckinsey Digital. Septiembre.

Rowsell-Jones, A. (2013) Su empresa también tiene ventaja digital. IESE Insight. Tercer trimestre. 18. 

La digitalización (la Transformación Digital) de la empresa es un tema que viene ocupando la atención de los propios empresarios, y la de académicos y profesionales, llegando a alcanzar los titulares de la prensa general[i]. 

“Harvard Business Review” ha publicado recientemente una interesante investigación[ii], basada en una amplia encuesta[iii], en la que destaca el papel del CIO en esa transformación. 

En la presente “Referencia” revisamos y comentamos sucintamente dicho trabajo, cuyas grandes conclusiones generales nos parecen desoladoras: 

i. “La mayoría de las empresas carecen de los conocimientos y habilidades necesarios para tener éxito en los aspectos digitales de sus negocios”;

ii. “Si bien los CEOs generalmente entienden las oportunidades y amenazas del negocio digital, muchos tienen aún que elaborar y comunicar una visión de sus empresas, o desarrollar una estrategia que convierta dicha visión en realidad”; y

iii. “Los directivos no tecnológicos de la mayoría de las organizaciones carecen de las habilidades y conocimientos para ejecutar una estrategia digital, en los casos en los que se dispone de una”. 

Un 20% escaso de los encuestados, afortunadamente para ellos y sus empresas (y para el lector, como ejemplo a emular), pertenecen a lo que el estudio ha denominado “Líderes Digitales” (LD); que son aquellos que satisfacen dos criterios: 

1) Liderazgo digital.

2) Buena gestión [iv].

O sea, que simultanean una visión y estrategia digitales, con la capacidad para materializarlas. Ello se traduce en mayor crecimiento de la facturación y mayores márgenes de beneficio, en relación al resto.

El liderazgo digital comienza en la cúspide. Es positivo que la mayoría (69%) de los encuestados hayan declarado que sus CEOs comprenden las oportunidades y amenazas digitales; aunque sólo los de las organizaciones identificadas como LD los han traducido (sin delegar esta tarea) a una visión y estrategia digitales, claramente articuladas.

Más de la mitad de los LD consideran a sus responsables de Tecnologías de la Información (TI), I+D+i, mercadotecnia y servicios al cliente dotados de excepcionales conocimientos y habilidades digitales.

Resulta claro que los directivos de las empresas tienen que aprender sobre tendencias digitales y mantenerse actualizados. En ello los CIOs tienen la oportunidad de jugar un papel clave como evangelistas, líderes y entrenadores (“coaches”) digitales. Situar personal de TI en las líneas de negocio puede facilitar el aprendizaje en el trabajo. Pero hay que comunicar en un lenguaje de actividades y resultados del negocio; lenguaje poco familiar a los tecnólogos. 

Se confirma la tendencia, observada en los últimos años, hacia un peso creciente de las inversiones de base tecnológica impulsadas por las áreas funcionales (en lugar de por los servicios de TI). En los LD ello sucede con la cooperación de dichos servicios; pero en la restante mayoría de los casos, sucede de espaldas a aquéllos.

Las TI no son (ni deben ser) el cometido de todos; los directivos no tecnológicos no tienen por qué convertirse en expertos en TI. ¡No es ese el objetivo! Lo que sí tienen que saber es qué pueden hacer las TI por la empresa, y cómo usarlas.

Muchas empresas echan de menos un foro o marco formativo adecuado y los CIOs, que están bien posicionados para educar en esto, no siempre están bien equipados. Un consejo: si no se tiene claro por dónde empezar, hágase por formación en técnicas analíticas.

Por lo demás, el trabajo de HBR propone siete recomendaciones para los CIOs:

1) Construya confianza.

2) Apoye las iniciativas tecnológicas promovidas por el resto de áreas del negocio.

3) Extreme sus esfuerzos por promover el aprendizaje de lo digital. 4) Sea el guía al que recurre la empresa.

5) Hable en el idioma de sus interlocutores (no tecnólogos).

6) Dígale a la empresa qué es lo que resulta posible hacer con la tecnología a su alcance.

7) Contrate expertos externos para mantenerse actualizado. 

Buena lista para un sosegado examen de conciencia. Frente a estas siete virtudes capitales, hay otros siete pecados... 

* * *

Este artículo fué publicado originalmente por la revista NOVÁTICA, nº 232, abril-junio 2015. Referencia: Ref. Autoriz. NOVÁTICA 232, pg. 74 – El liderazgo de la Transformación Digital. Papel del CIO – Miguel García-Menéndez, Manuel Palao.  

-----------------------------------

[i] Los medios generalistas (CNN, ElSemanalDigital.com, Fortune, The New York Times, …), los blogs especializados (Blogpodium, Dealb%k, Insights & Publications, NiemanLab, Siemens USA Newsroom, …) o los centros académicos de investigación (CDB, CISR, …) ofrecen regularmente análisis, comentarios y/o noticias sobre cómo la “digitalización” va permeando cada sector económico (bancos, fábricas, granjas, museos, periódicos, …) e, incluso, cada país (China, EEUU, Francia, …). Sirvan como muestra las siguientes referencias y citas:

- Westerman, George. “Leading Your Company’s Digital Transformation” [Video]. MIT. Sloan School of Management. Center for Digital Business, 19 de octubre de 2012. URL [a 2015.06.07]: http://sloanreview.mit.edu/article/video-leading-your-companys-digital-transformation/ 

- Benton, Joshua. “The leaked New York Times innovation report is one of the key documents of this media age”. NiemanLab, 15 de mayo de 2014. URL [a 2015.06.07]: http://www.niemanlab.org/2014/05/the-leaked-new-york-times-innovation-report-is-one-of-the-key-documents-of-this-media-age/   

- Woetzel, Jonathan; Gordon Orr; Alan Lau; Yougang Chen; Michael Chui; Elsie Chang; Jeongmin Seong and Autumn Qiu. “China’s digital transformation”. Insights & Publications. McKinsey Global Institute. McKinsey & Company, julio de 2014. URL [a 2015.06.07]: http://www.mckinsey.com/insights/high_tech_telecoms_internet/chinas_digital_transformation 

- Lohr, Steve. “Museums Morph Digitally. The Met and Other Museums Adapt to the Digital Age”. The New York Times Company, 23 de octubre de 2014. URL [a 2015.06.07]: http://www.nytimes.com/2014/10/26/arts/artsspecial/the-met-and-other-museums-adapt-to-the-digital-age.html 

- ”It’s no secret that most organizations around the globe are in need of digitizing their business model and change rapidly to meet new customer expectations and demands” (No es ningún secreto que la mayoría de las organizaciones alrededor del globo tengan la necesidad de digitalizar sus modelos de negocio y de cambiar rápidamente para dar respuesta a las nuevas expectativas y demandas de sus clientes), cita de Marc Huijbregts, Accenture, tomada del artículo: Huijbregts, Marc. “How to re-invent Fortune 500 Companies”. Accenture Blogpodium. Accenture, 7 de noviembre de 2014. URL [a 2015.06.07]: http://www.accenture-blogpodium.nl/innovation/re-invent-fortune-500-companies/ 

- Bray, Chad. “ABN Amro to Cut Jobs in Shift to Digital”. DealB%K. The New York Times Company, 14 de noviembre de 2014. URL [a 2015.06.07]: http://dealbook.nytimes.com/2014/11/14/abn-amro-to-cut-jobs-in-shift-to-digital/ 

- Hardy, Quentin. “Working the Land and the Data”. The New York Times Company, 30 de noviembre de 2014. URL [a 2015.06.07]: http://www.nytimes.com/2014/12/01/business/working-the-land-and-the-data.html 

- Levie, Aaron. “How companies can avoid the pains of digital disruption”. Fortune, 8 de diciembre de 2014. URL [a 2015.06.07]: http://fortune.com/2014/12/08/how-companies-can-avoid-the-pains-of-digital-disruption/ 

- Chambers, John. “How France is embracing digitization of everything”. Cable News Network (CNN), 22 de febrero de 2015. URL [a 2015.06.07]: http://edition.cnn.com/2015/02/21/intl_tv/chambers-france-digitization/ 

- “The good news for U.S. industry is this: The path to modernization is clear. Digitalization … the solution.” (La buena noticia para la industria estadounidense es ésta: El camino hacia la modernización es claro. La digitalización ... la solución), cita de Raj Batra, Presidente, Digital Factory, tomada del artículo: Batra, Raj. “Manufacturing Success Depends on Embracing Digitalization”. Siemens USA Newsroom. Siemens Corporation, 9 de abril de 2015. URL [a 2015.06.07]: http://news.usa.siemens.biz/blog/manufacturing-success-depends-embracing-digitalization 

- Ayerbe Dárceles, Paula. “BBVA renueva su cúpula en pos de la digitalización”. ElSemanalDigital.com, 6 de mayo de 2015. URL [a 2015..]: http://www.elsemanaldigital.com/bbva-renueva-su-cupula-en-pos-de-la-digitalizacion-141871.htm 

- Weill, Peter. “Digital Disruption in the Financial Services Industry” [Video]. MIT. Sloan School of Management. Center for Information Systems Research, enero de 2015. URL [a 2015.06.07]: http://cisr.mit.edu/publications-and-tools/publication-search/digital-disruption-in-financial-services/ 

[ii] Harvard Business Review Analytic Services. “Driving Digital Transformation: New Skills for Leaders, New Role for the CIO”. Harvard Business School Publishing, 2015. URL [a 2015.07.06]: https://enterprisersproject.com/digital-transformation-report  (Gratuito. Requiere registro). 

[iii] La encuesta tuvo 436 respuestas; de ellas, 299 correspondientes a miembros del Harvard Business Review Advisory Council. Cubrió empresas de todo el mundo, con amplia distribución sectorial y tamaño mediano-grande, por su plantilla y facturación. 

[iv] La ilustrativa ‘ficha técnica’ de la encuesta no da empero información suficiente sobre la metodología utilizada, las variables empleadas y los estadísticos resultantes, por lo que es prudente tomar esa clasificación con una pizca de sal.

El debate sobre el CIO en evolución y la cambiante estructura y alcance de la función de Tecnologías de la Información dentro de las organizaciones no resultan nuevos. Muchos años antes de que la revista “BusinessWeek” publicase (1986) el artículo “Management’s Newest Star: Meet the Chief Information Officer” (La Estrella Más Nueva de la Dirección: Conozca al CIO) -sin duda, una de las primeras referencias en contribuir a acuñar el término- ya se hablaba de su transformación.

Una transformación que reflejaba el reconocimiento de que lo que había comenzado como mero tratamiento electrónico de datos (del inglés, EDP, Electronic Data Processing) empezaba a considerarse como un factor estratégico para los negocios. Quedaban, de ese modo, atrás denominaciones como la propia de Director de Tratamiento de Datos (Director of Data Processing), surgida en la década de los años 50, o la posterior Director de Sistemas de Información de Gestión (Director of Management Information Systems) que perduraría hasta los años 80. 

En su artículo del otoño de 1982, “The Changing Role of the Information Systems Executive: A Critical Success Factors Perspective” [i] (El Cambiante Papel del Ejecutivo de los Sistemas de Información: Una Perspectiva de Factores Críticos de Éxito), el recientemente desaparecido John Fralick “Jack” Rockart, quien fuera cofundador (1974) y antiguo director (1976-2000) del Center for Information Systems Research (CISR) en la Sloan School of Management del MIT declaraba: 

“Hoy día existen pocas dudas de que el trabajo del ejecutivo de los sistemas de información (S/I) está cambiando. El papel del ordenador en las grandes organizaciones y la labor de sus primeros ejecutivos han variado sustancialmente. Dentro de la profesión existe la percepción fundamental de que el ejecutivo de sistemas de información ’orientado hacia lo técnico’, propio de los años 60 y 70, está siendo rápidamente sustituido por un ejecutivo de los 80, ‘orientado hacia la labor de gestor’.

[¡Cabría preguntarse si dicha transición ha sido realmente tan rápida y si está, más de tres décadas después, concluida!]

Sin embargo, [finaliza Rockart] precisamente, aún no queda claro qué significa esto”.

A partir de ahí, quizás en un continuo y reiterado intento de aclarar “qué significa esto” serán innumerables los artículos, libros, etc., que tratarán, en las décadas siguientes, el asunto de las competencias, atribuciones y responsabilidades del nuevo CIO y de la función de Tecnologías de la Información dentro de la empresa. Algunos ejemplos de ello, tomando en consideración sólo parte de lo publicado por la “factoría” CISR, podrían ser: “Reconceptualizing IT” [ii] (Reconceptualizando las TI) (1999), “The IT Organization of the 21st Century: Moving to a Process-based Organization” [iii] (La Organización de TI del Siglo XXI: Moviéndose hacia una Organización basada en el Proceso) (1999), “The Evolving Role of the CIO” [iv] (El Evolutivo Papel del CIO) (1999), “The IT Organization of the Future: Driving Business Change” [v] (La Organización de TI del Futuro: Guiando el Cambio en el Negocio) (2009), “The IT Unit of the Future: New Approaches to Run and Build” [vi] (La Unidad de TI del Futuro: Nuevos Enfoques para Operar y Construir) (2010), “The IT Unit of the Future: Creating Strategic Value from IT” [vii] (La Unidad de TI del Futuro: Creando Valor Estratégico a partir de las TI) (2011) o “Demand Shaping: The IT Unit’s New Passion” [viii] (Moldeado de la Demanda: La Nueva Pasión de la Unidad de TI) (2014). 

A pesar de lo numeroso de las referencias, podría decirse que todas ellas confluyen en un mensaje común para el “nuevo” CIO y sus responsabilidades sobre las TI: “Esencialmente la parte ‘Información’ del término TI se hace mucho más relevante que los aspectos tecnológicos”, como afirmaba el analista Patrick Gray en su entrada “The CIO is Dead (Long Live the CIO)” [ix] (El CIO Ha Muerto -Larga Vida al CIO-), publicada, el 1 de junio de 2009, en la bitácora electrónica sobre Liderazgo en las TI del portal TechRepublic. 

* *

Todas las reflexiones y análisis repasados hasta este punto parecen compartir, además, una segunda característica común: haber sido realizadas “desde la órbita CIO”; esto es, por CIOs o promotores del mundo CIO. Ello hace oportuno contrarrestar o, simplemente, complementar esa visión con la de terceros; otros directivos, que puedan conocer muy de cerca las actividades pasadas, presentes y, casi, futuras del CIO. Mi mejor candidato, un auditor de Sistemas de Información (y exCIO). ¿Quién esperaban que iba a proponerles? 

* *

Hace unos días tuve la oportunidad -y, como de costumbre, el placer- de conversar con un buen colega y amigo, miembro de “La Comunidad iTTi” de directivos preocupados y ocupados por la contribución de las TI al progreso de sus organizaciones. Él es Director de Auditoría de Sistemas de Información en una multinacional española y ve un futuro lleno de oportunidades -y, sobre todo, retos- para la función auditora -y para su compañía- ante el panorama tecnológico que ya vivimos; y, particularmente, ante el que está por llegar.

Compartiendo la premisa enunciada por Gray -la “Información” es lo verdaderamente relevante-, a su juicio, esa información (sus fuentes), hoy, han trascendido sus espacios naturales tradicionales. Como consecuencia, la actividad desarrollada por la función que dirige, esto es, la supervisión del “comportamiento” de las Tecnologías de la Información de su organización se ha visto abocada a ampliar su lista de interlocutores, más allá del territorio de las TI corporativas. Y ello atendiendo a tres ejes principales:

- el creciente peso de la “Informática en la sombra” (sobre todo, peso presupuestario);

- la avalancha que va a suponer la “Internet de las Cosas”; y,

- en el caso de organizaciones marcadamente industriales, la convergencia entre las Tecnologías de la Información (TI) y las Tecnologías de Operación (TO), que los departamentos de Auditoría de Sistemas de Información han comenzado a revisar en los últimos, recientes, años.

Estoy convencido de que, aunque no sea Ud. auditor, sino CIO, también se habrá visto reflejado en el análisis de nuestro amigo. ¿Acaso no constituyen, los tres ejes citados, retos -y, desde luego, oportunidades- para el CIO de hoy (y de mañana)? 

Dele la vuelta a las reflexiones de nuestro amigo, recupere el terreno que, a su juicio, tal vez, Ud. haya perdido y piense:

- que la “Informática en la sombra” nació con el primer ordenador personal, hace más de treinta años; y no hizo sino consolidar la figura del CIO y dar relevancia a la función de TI dentro de las organizaciones. El desarrollo de Internet contribuyó a, y corroboró, ese efecto unos años después. Hoy sigue haciéndolo esa corriente irreversible que llamamos BYOD (del inglés “Bring Your Own Device” -Traiga Su Propio Dispositivo-); 

- que el advenimiento de la “Internet de las Cosas” (en inglés, “Internet of Things” - IoT-) no supondrá sino una explosión de lo anterior, así que confíe en sus efectos positivos, pero esté preparado; y,

- finalmente, si se mueve en el ámbito industrial, en la otra “I-O-T”, la que podríamos denominar I/OT (del inglés, “Information/Operational Technology” -Tecnología de Información/de Operación-) que está llegando ya y que se hará notar, aún más, con la materialización de la “Industria 4.0” en la que, como efecto de la digitalización, el acceso a, y manipulación de, elementos de control industrial tendrá más que ver con la operación de sistemas informáticos que con la programación tradicional de tales dispositivos por parte de técnicos especializados. 

* *

Confío en que sepa sacar ventaja de estas oportunidades.

¡Le adelanto mi enhorabuena!

* * *

Este artículo fué publicado por ComunicacionesHoy, nº 137, diciembre 2014. Referencia: VII Premios ComunicacionesHoy / Opinión pg. 16 – "Un desafiante nuevo perímetro para los dominios del CIO" – Miguel García-Menéndez. 

-------------------------------------------- 

[i] John F. Rockart. "The Changing Role of the Information Systems Executive: A Critical Success Factors Perspective". CISR, April 1982. URL: http://dspace.mit.edu/bitstream/handle/1721.1/2010/SWP-1297-08770929-CISR-085.pdf?sequence=1 

[ii] J.W.Ross & J.F.Rockart. "Reconceptualizing IT". CISR, January 1999. URL: http://dspace.mit.edu/bitstream/handle/1721.1/48936/reconceptualizin00ross.pdf?sequence=1 

[iii] C.V.Brown & J.W.Ross. "The IT Organization of the 21st Century: Moving to a Process-based Organization". CISR, July 1999. URL: http://dspace.mit.edu/bitstream/handle/1721.1/2752/SWP-4078-43797411-CISR-306.pdf 

[iv] J.W.Ross & D.F.Feeny. "The Evolving Role of the CIO". CISR, August 1999. URL: http://dspace.mit.edu/bitstream/handle/1721.1/2758/SWP-4089-43797710-CISR-308.pdf?sequence=1 

[v] J.W.Ross.  "The IT Organization of the Future: Driving Business Change". CISR, 2009. URL: http://cisr.mit.edu/blog/documents/2009/12/25/2009_1201_itorgoffuture_rosswoernerscantleburybeath-pdf/ 

[vi] J.W.Ross. "The IT Unit of the Future: New Approaches to Run and Build". CISR, December 2010. URL: https://c.ymcdn.com/sites/www.simnet.org/resource/resmgr/APC/2010_1201_ITValueProposition.pdf 

[vii] J.W.Ross. "The IT Unit of the Future: Creating Strategic Value from IT”. CISR, October 2011. URL: http://c.ymcdn.com/sites/www.simnet.org/resource/resmgr/apc/2011_0901_itunit_ross.pdf 

[viii] J.W.Ross & C.M.Beath. "Demand Shaping: The IT Unit’s New Passion". CISR, Enero 2014. URL: https://cisr.mit.edu/blog/documents/2014/01/16/2014_0101_itsd_rossbeath-pdf/

[ix] Patrick Gray. "The CIO is dead (Long live the CIO)". "TechRepublic", June 1, 2009. URL: http://www.techrepublic.com/blog/tech-decision-maker/the-cio-is-dead-long-live-the-cio/ 

Dan Muse en Tech Musings, del prestigioso portal CIO  glosa, en un breve artículo, un estudio publicado en el libro “Confesiones de un CIO de éxito”, de Roberts y Watson [i]. El estudio analiza CIOs de algunas grandes compañías [ii].

Dichos rasgos comunes son:

i) Asumen grandes riesgos

ii) Innovan

iii) Responden a las solicitaciones de su organización

iv) Lideran la transformación 

v) Valoran a su personal

vi) Usan su experiencia para encontrar la mejor opción

vii) Son decisorios

viii) Confían en la premonición

ix) Se centran en mejoras al negocio medibles

x) Cultivan extensamente redes profesionales

En iTTi queremos destacar que –sin que nos sorprenda- ninguno de esos rasgos parece altamente correlado con las habilidades tecnológicas o digitales. 

* * *

[i] Dan Roberts, D. y Watson, B. 2014. Confessions of a Successful CIO: How the Best CIOs Tackle Their Toughest Business Challenges. Wiley. 

[ii] Centene, HP, ITT, Proctor & Gamble, Raytheon Company, Sysco, Union Pacific, US Can y USAA. 

In a popular professional social network recently, an individual penned a post suggesting that considering COBIT 5 a “business framework” was nonsense. He challenged readers to provide an explanation to justify such a definition for ISACA’s model.

Here goes mine! In its early years, COBIT was more of an IT model. Nonetheless, its latest edition—COBIT 5—has actually evolved into a “business framework.” This needs clarification; otherwise it would be easy to make the mistake of thinking that we are talking about a model for traditional business processes, such as sales, engineering, marketing, etc.

Nothing could be further from the truth! This is clearly detailed by ISACA, which describes COBIT 5 as “a business framework for the governance and management of enterprise IT.” That means—as anyone who knows the model’s background can tell you—that the new version maintains a focus on IT but with a more pronounced business approach and emphasis. The stakeholders on the business side can benefit along with those on the IT side. In other words, driving and controlling (governing) the IT behavior within any organization goes beyond the CIO’s realm.

In this way, COBIT 5 becomes a framework for the corporate governance of IT. Previous editions—from the first COBIT, introduced in 1996, to 2007’s COBIT 4.1—focused more on practices to help the CIO better manage the IT shop.

Of course, the message of COBIT 5 is not a new one. This message emerged seven years ago, back in 2006 when Val IT was born. Val IT was the first of ISACA’s models that provided a business standpoint of IT and its related issues, highlighting that there are many IT-related activities that should be performed by the “business people,” not the IT team.

If you explore this idea through the RACI matrix, to model the number of accountabilities and responsibilities beyond the CIO’s, you see how COBIT 5 is a framework not exclusively designed for the IT team.

Since it is a collection of good practices to be adopted and adapted in the implementation of an overarching IT governance-and-management system, COBIT 5 can be—should be—referred to as a business framework for the governance and management of enterprise IT.

There is nothing nonsensical about that.

This article was originally released by ISACA's "Now" blog, on June, 12th, 2013.

La pregunta que intitula este primer artículo -de una serie con la que se ofrecerá opinión y análisis sobre el panorama tecnológico corporativo actual- era planteada, recientemente, en uno de los foros de discusión de una afamada red social de carácter profesional. El autor de la consulta parecía haberla formulado, no sin cierta intencionalidad, insinuando que tal cosa -hablar de “marco de referencia de negocio”-  sonaba poco menos que a disparate y retando a los lectores a que le pintasen una figura con la que pudiese quedar representado semejante concepto.

Sin ánimo de pretender corregir al citado individuo sirvan las siguientes reflexiones como aclaración a la duda por él planteada y, de paso, como brevísima introducción a algunos conceptos que subyacen a la aparición de COBIT 5[i], el modelo de buenas prácticas de ISACA[ii].

La cuestión de cabecera se origina por la nueva consideración que ISACA tuvo para su creación. Identificado tradicionalmente como un modelo de TI, en su última versión ha sido rebautizado como un “marco de referencia de negocio”. Ello requiere una matización pues de otro modo, resultaría fácil caer en el error de pensar que de lo que se está hablando es de un modelo para los procesos tradicionales del negocio, tales como la atención al cliente, el diseño e ingeniería de producto, el desarrollo de nuevos mercados, etcétera.

¡Nada más lejos de la realidad! Y para ello -de ahí la señalada intencionalidad del autor de la consulta original- no hace falta más que leer el título completo de la guía COBIT, que reza[iii] “A Business Framework for the Governance and Management of Enterprise IT”. Ello significa  -como cabría esperar por cualquiera que conozca los antecedentes del modelo- que esta nueva versión sigue hablando de las TI pero con un acento de negocio aún más marcado.

En definitiva el nuevo título sugiere que el lector de COBIT ha de leerlo desde una óptica de negocio. Quienes han de captar los mensajes de COBIT han de ser, mayoritariamente, aquellos que se ocupan del negocio de la organización (no de TI). Dicho de otro modo, dirigir y controlar el “comportamiento” de las TI, dentro de cualquier organización, trasciende el perímetro del CIO[iv].

De ese modo, COBIT 5 se convierte por primera vez en un verdadero marco de referencia para el gobierno corporativo de las TI. Las versiones precedentes -de la 1 (1996) a la 4.1 (2007)-  nunca pasaron de ser conjuntos de buenas prácticas para ayudar al CIO a gestionar mejor el departamento de TI.

El mensaje no es nuevo en absoluto; surgió por vez primera hace siete años, en 2006, con el nacimiento de Val IT. Este -del cuál COBIT 5 es heredero- sí fue el primer modelo de ISACA que ofreció una perspectiva de las TI y de sus problemáticas asociadas desde la óptica del negocio, con una clara indicación en el sentido de que hay un cúmulo de actividades relacionadas con las TI que deben ser ejecutadas por la “gente de negocio”, no por el grupo de TI.

Volviendo a COBIT 5, bastaría “asomarse” a las matrices RACI[v] que incorporan el modelo para comprobar las numerosas altas responsabilidades (A) y responsabilidades (R) asociadas a perfiles, más allá del propio de CIO. Definitivamente esto hace de COBIT 5 un marco de referencia dirigido no al equipo de TI  (o, al menos, no SOLO al equipo de TI), a diferencia de CobiT 4.1 y versiones anteriores.

En suma, siendo COBIT 5 una colección de buenas prácticas (que han de ser adoptadas y adaptadas) para poner en marcha un sistema de gobierno corporativo de TI (y también de gestión), no es extraño referirse a él como “marco de referencia de negocio (para el gobierno y la gestión de las TI de la empresa)".

PD. El documento "COBIT 5 Design Paper. Expore Draft" publicado por ISACA el 22 de marzo de 2010, brinda una representación gráfica muy clara de lo explicado más arriba. La figura 6, página 14, muestra de izquierda a derecha cómo la responsabilidad sobre los diferentes procesos COBIT varía desde TI (los situados más a la izquierda), hasta el negocio (los de la derecha), en función de su "sustancia". ¡Tal vez sea la figura que estaba buscando quien planteó la duda inicialmente!

This article was originally released by Mexican magazine "Magazcitum", on March, 6th, 2013.