ESAUD RAT 1 Componentes de Gobernanza de TI

Desde la perspectiva de la auditoría informática, ¿cuál es el rol principal del componente "Principios, Políticas y Procedimientos"?

• Definir la jerarquía de decisión y los puntos de escalamiento en el departamento de TI.

• Constituir el "criterio de auditoría" fundamental contra el cual se mide la conformidad operativa.

• Asignar responsabilidades a los dueños de los procesos utilizando el modelo RACI.

• Evaluar el nivel de madurez de los procesos de I&T utilizando el modelo CMMI.

Answer explanation

El paper establece explícitamente que este componente "constituye el criterio de auditoría por excelencia", ya que define el "deber ser" que el auditor utiliza para compararlo con la realidad operativa ("el ser") e identificar brechas de cumplimiento. Las otras opciones se refieren a características de otros componentes (a y c se relacionan con Estructuras Organizativas, y d con Procesos).

Al auditar el componente de "Estructuras Organizativas", ¿cuál de los siguientes elementos es crucial para evaluar la rendición de cuentas (accountability)?

• La existencia de un programa de formación continua y certificación para el personal de TI.

• La revisión del acta constitutiva de los comités y la asignación clara de roles "R" y "A" en los cuadros RACI.

• La implementación de herramientas de monitoreo de rendimiento para los servicios de negocio.

• La implementación de herramientas de monitoreo de rendimiento para los servicios de negocio.

Answer explanation

El documento enfatiza que la rendición de cuentas se evalúa verificando el mandato formal de las estructuras (términos de referencia) y la clara asignación de responsabilidades, citando específicamente el uso del modelo RACI para identificar quién es "Responsable" y quién "Rinde Cuentas". Las otras opciones corresponden a los componentes de Personas (a), Información (c) y Servicios/Infraestructura (d).

¿Qué característica principal del componente "Procesos" permite a un auditor evaluar objetivamente su grado de formalización y madurez?

• Su desglose en prácticas de gobierno o gestión.

• Su alineación con los 40 objetivos del modelo core de COBIT.

• La introducción de un modelo de niveles de capacidad (0 a 5) alineado con CMMI.

• La definición de métricas para medir el rendimiento del proceso.

Answer explanation

Si bien todas las opciones son características de los procesos, el paper especifica que el modelo de niveles de capacidad "permite al auditor evaluar el grado de madurez y formalización de un proceso", proporcionando una base objetiva para calificarlo. Las otras opciones describen qué es un proceso o cómo se mide, pero no cómo se evalúa su madurez de forma estructurada.

Según el enfoque del paper, ¿cuál de los siguientes es un ejemplo claro de "Información" como componente del sistema de gobierno de I&T?

• Los datos de ventas de clientes contenidos en el sistema CRM de la empresa.

• La propiedad intelectual de un nuevo producto desarrollado por la compañía.

• Un informe mensual de cumplimiento de SLAs presentado al CIO.

• El contenido de la base de datos de marketing para campañas publicitarias.

Answer explanation

La sección ajustada sobre "Información" aclara que este componente se enfoca en la información utilizada para gobernar y gestionar el área de I&T misma. Un informe de cumplimiento de SLAs es un ejemplo perfecto, ya que es información usada por la gestión de TI para tomar decisiones sobre su propia operación. Las otras opciones son ejemplos de información de negocio que TI gestiona, pero no son información de gobierno de TI.

La auditoría del componente "Cultura, Ética y Comportamiento" se considera difícil. ¿Cuál es un procedimiento de auditoría clave para evaluarlo, según el documento?

• Entrevistar al personal sobre cómo se manejan los errores y causas raíz de incidentes.

• Revisar que las descripciones de puestos de trabajo estén actualizadas.

• Entrevistar al personal sobre su entorno familiar, estudios y experiencia laboral.

• Verificar que los backups se completen exitosamente según la política.

Answer explanation

El paper indica que la auditoría de este componente es cualitativa y sugiere, como elementos clave, "analizar las causas raíz de incidentes pasados" y realizar "entrevistas con personal de diferentes niveles para sondear su percepción", mencionando preguntas específicas como "¿Qué sucede aquí cuando alguien comete un error?".

Indagar sobre su familia, estudios o experiencia es un procedimiento previo a la contratación y las otras opciones son procedimientos técnicos para auditar otros componentes.

¿A qué se refiere el componente "Servicios, Infraestructura y Aplicaciones" en el contexto del sistema de gobierno de TI, según el paper?

• Al conjunto de todas las aplicaciones de negocio (ERP, CRM) y la infraestructura que las soporta.

• Exclusivamente a los servicios de I&T que se ofrecen a los usuarios finales de la empresa.

• Principalmente al hardware físico, como servidores, redes y centros de datos.

• A las herramientas que TI utiliza para gestionarse, como sistemas de tickets, CMDB y consolas de SIEM.

Answer explanation

El paper define a este componente como el "sistema de herramientas de TI para TI", mencionando explícitamente herramientas de ITSM (tickets, CMDB) y de ciberseguridad (SIEM) como ejemplos paradigmáticos de tecnología usada por TI para autogobernarse. Las otras opciones son elementos tecnológicos para la gestión de las operaciones de negocio.

¿Por qué es crucial para un auditor evaluar el componente "Personas, Habilidades y Competencias"?

• Porque la falta de personal capacitado puede invalidar la eficacia de tecnologías y procesos sofisticados.

• Porque permite determinar el presupuesto anual destinado a la formación en toda la empresa.

• Porque asegura que la empresa esté utilizando marcos de habilidades como SFIA o e-CF.

• Porque define la estructura de los comités de gobierno y sus responsabilidades.

Answer explanation

El paper afirma que "La falta de personal capacitado es un punto único de fallo que puede invalidar la eficacia de la tecnología o los procesos más sofisticados", destacando que los controles y tecnologías son operados por personas. Las otras opciones son aspectos secundarios o relacionados, pero no la razón fundamental desde la perspectiva del riesgo y el control.

El concepto de "Tono en la Cima" (Tone at the Top) es una característica principal y un punto de enfoque para la auditoría del componente:

• Estructuras Organizativas.

• Principios, Políticas y Procedimientos.

• Cultura, Ética y Comportamiento.

• Procesos.

Answer explanation

El paper menciona explícitamente el "Tono en la Cima" como la primera característica principal del componente "Cultura, Ética y Comportamiento", explicando que el liderazgo establece el tono para el resto de la organización con su comportamiento y mensajes.

¿Cuál de las siguientes plataformas es un ejemplo de "Servicios, Infraestructura y Aplicaciones" como componente de gobierno y NO como una aplicación de negocio?

• Un sistema ERP como SAP S/4HANA.

• Una plataforma de comercio electrónico como Shopify.

• Una consola de gestión de EDR (Endpoint Detection and Response) como CrowdStrike.

• Un software de diseño asistido por computadora (CAD) para arquitectos de oficinas.

Answer explanation

De acuerdo con la descripción del componente 7, una consola de gestión de EDR es una herramienta de ciberseguridad utilizada por el equipo de TI para asegurar las operaciones, encajando perfectamente en la definición de "tecnología para gestionar TI". Las otras opciones son aplicaciones que soportan directamente las operaciones de negocio (finanzas, ventas, construcción de oficinas).

La existencia de un mandato formal y documentado (términos de referencia) y la composición adecuada de un comité de dirección de TI son elementos clave que un auditor investigaría para evaluar ¿qué componente?

• Principios, Políticas y Procedimientos.

• Personas, Habilidades y Competencias.

• Información.

• Estructuras Organizativas.

Answer explanation

El paper lista "Existencia y Mandato" y "Composición y Competencia" como los dos primeros elementos clave a investigar al auditar las "Estructuras Organizativas". Estos puntos verifican que los comités (las estructuras) estén formalmente establecidos y tengan los miembros correctos para ser efectivos.