Niveles de capacidad y cómo se evalúa

COBIT 2019 evalúa la capacidad de cada objetivo en una escala de 0 a 5. Un nivel bajo significa que la actividad se hace poco o de manera informal; un nivel alto, que está definida, se mide y se mejora de forma continua. La evaluación la hace un evaluador contrastando actividades con evidencia, no preguntando cómo se sienten los responsables.

El método completo vive en las publicaciones de ISACA y no se reproduce aquí. Este ejercicio usa una regla simplificada, escrita en la propia hoja del evaluador: un nivel se alcanza cuando todas las actividades de ese nivel y de los anteriores figuran como completas. Los niveles 4 y 5 quedan fuera de este ejercicio.

Con la regla del ejercicio, calcular el nivel actual es una lectura ordenada. Se toman las actividades de un objetivo, se van revisando nivel por nivel desde el más bajo, y el nivel alcanzado es el último en el que todas las actividades (incluidas las de los anteriores) estaban completas. Si falla una actividad de un nivel intermedio, lo que hay arriba no cuenta aunque esté perfecto.

Calcula el nivel actual del objetivo de cambios gestionados (el que se identifica con el código BAI06).

La brecha es la diferencia entre el nivel que se quiere y el que hay. Sirve para decidir en qué invertir primero: no el objetivo con el nivel más bajo en términos absolutos, sino el que más se aleja de lo que la empresa necesita. Calcula el nivel actual de los cuatro objetivos con la regla y réstalo del nivel objetivo.

Una brecha se cierra actuando sobre algo concreto. Del objetivo de seguridad gestionada, el que se identifica con el código APO13, el evaluador anotó un resultado parcial en una actividad de nivel 2. Esa actividad es la que impide pasar a ese nivel, y por tanto la que hay que trabajar antes que las del nivel siguiente.

Un nivel de capacidad es una conclusión con límites y tiene que presentarse como tal: qué actividades se revisaron, con qué evidencia y con qué regla. La forma de presentarlo marca la diferencia entre un informe que se puede reproducir y una opinión.