Objetivos, prácticas y responsables

Cada uno de los 40 objetivos de COBIT 2019 se describe con un mismo molde: para qué existe, las metas que apoya, sus prácticas (lo que hay que hacer de forma continua), las actividades de cada práctica (los pasos concretos), los productos de trabajo que entran y salen, y referencias a otros marcos. Los códigos de los objetivos empiezan por las siglas de su dominio: los de gobierno son de un dominio y los de gestión de otros cuatro.

La traducción a la vida real: el objetivo es el resultado que se busca, la práctica es lo que la empresa hace de forma sostenida para lograrlo, y la actividad es lo que alguien hace un martes cualquiera.

Una práctica que solo existe en el papel no cuenta. Cuando un auditor revisa un objetivo, pide por cada práctica un producto de trabajo: un documento firmado, una acta, un registro con fechas. La hoja de revisión de Santa Brisa dice qué evidencia llegó para cada una.

COBIT asigna a cada práctica responsabilidades con un esquema que el equipo de GRC reconoce de inmediato: quién la hace, quién rinde cuentas por ella (una sola persona o rol), a quién se consulta y a quién se informa. Que la responsabilidad de rendir cuentas esté vacía es el defecto más común, porque todos asumen que otro responde.

La matriz de Santa Brisa está en la consola.

A veces la práctica no es de quien más sabe de seguridad, sino de quien tiene las manos en el sistema. Las excepciones de seguridad (los casos en que un control no se aplica y se autoriza por escrito) las gestiona quien administra los equipos, y rinde cuentas el responsable de la seguridad.

Para cerrar la revisión hay que decidir qué se le pide a la práctica sin evidencia. Lo que se pide es hacerla y dejar rastro, no escribir el rastro después para cumplir. Un registro fechado hoy que dice que algo se hizo en enero engaña a quien lo lee.