Cobit

CONTROL OBJECTIVES FOR INFORMATION
AND RELATED TECHNOLOGY
ALUMNOS:
•DAVID VERA OLIVERA
•CRISTIAN RIVERA
COBIT
• COBIT esta orientado a ser la

herramienta de gobierno de TI
que ayude al entendimiento y a
la administración de riesgos
asociados con tecnología de
información y con tecnologías
relacionadas.
Misión: Soportar los objetivos empresariales
mediante el desarrollo, promoción y entrega de
investigaciones, estándares, competencias y
prácticas para un efectivo gobierno, control y
evaluación de los sistemas de información y la
tecnología relacionada
Information Information
Systems Audit and Systems Audit and
Control Control Foundation
Association (ISACFTM)
(ISACATM)
Historia ISACA
• Fundada in 1969, como EDP
Auditors Association
• Más de 26,000 miembros en más
de 100 paises
• Más de 160 capítulos alrededor del
mundo
• Antecedentes
• Definición, Misión y Usuarios
• Características Generales
• Principios (Requerimientos de
Información, Recursos de TI y Procesos de
TI)
• Estructura de CobiT
• CobiT como Producto (Componentes)
• CobiT y Otros estándares
Antecedentes
• El gremio de profesionales en TI se
mostró preocupado por la falta de
una guía estándar sobre el control en
TI, que sirviera para diferentes
grupos de interés.
• LA ISACF, como órgano que agrupa a
profesionales de diferentes áreas
interesados en el control de TI, se dió
a la tarea de dearrollar un conjunto
común de conceptos sobre la
materia.
Antecedentes
• COBIT Integra y concilia normas y
reglamentaciones existentes como:
– ISO (9000-3)
– Códigos de Conducta del Consejo Europeo
– COSO, IFAC, IIA, ISACA, AICPA y Otras
• Incluye el contenido de los Objetivos de
Control emitidos por ISACA (EDPAA)
• Se publica por 1ra vez en Septiembre de
1996
• Se publica la 2a Edición en Abril de 1988
• Se publicó la 3a Edición en Marzo de
2000
Definición
Control
OBjectives
for Information
and Related Technology
(Objetivos de Control para
Tecnología de Información y
Tecnologías realacionadas)
Misión
Investigar, desarrollar, publicar y

promover un conjunto
internacional y actualizado de
objetivos de control para
tecnología de información que sea
de uso cotidiano para gerentes,
auditores.
Usuarios
• La Gerencia: para apoyar sus
decisiones de inversión en TI y control
sobre el rendimiento de las mismas,
analizar el costo beneficio del control.
• Los Usuarios Finales: quienes
obtienen una garantía sobre la
seguridad y el control de los productos
que adquieren interna y externamente
Usuarios
• Los Auditores : para soportar sus

opiniones sobre los controles de los
proyectos de TI , su impacto en la
organización y determinar el control
mínimo requerido.
• Los Responsables de TI: para
identificar los controles que
requieren en sus áreas
Características
• Orientado al negocio
• Alineado con estándares y
regulaciones “de facto”
• Basado en una revisión crítica y
analítica de las tareas y actividades
en TI
• Alineado con estándares de control y
auditoría (COSO, IFAC, IIA, ISACA,
AICPA)
Principios
REQUERIMIENTOS
DE INFORMACIÓN
DEL NEGOCIO
PROCESOS
DE TI
RECURSOS
DE TI
Requerimientos de la
Información del Negocio
CobiT combina los principios contenidos por modelos existentes
y conocidos, como COSO, SAC y SAS
Requerimientos Calidad.
de Calidad Costo.
Oportunidad.
Requerimientos Efectividad y eficiencia operacional.

Financieros Confiabilidad de los reportes financieros.
(COSO) Cumplimiento de leyes y regulaciones.
Requerimientos Confidencialidad.
de Seguridad Integridad.
Disponibilidad.
Objetivos del Definir un plan estratégico de TI
Definir la arquitectura de información
Negocio Determinar la dirección tecnológica
Definir la organización y relaciones de TI
Manejo de la inversión en TI
Seguimiento de los procesosEvaluar lo Comunicación de la directrices Gerenciales
adecuado del control Interno Administración del Recurso Humano
Obtener aseguramiento inndependiente
Proveer una auditoría independiente
CobiT Asegurar el cumplir requerimientos externos
Evaluación de Riesgos
Administración de Proyectos
Administración de Calidad
Req. Información
Efectividad, Eficiencia,
Confidencialidad, Integridad,
Seguimiento Disponibilidad, Planeación y
Cumplimiento, Confiabilidad
Organización
Recursos de TI
Datos, Aplicaciones
Definición del nivel de servicio
Admistración del servicio de terceros Tecnología, Instalaciones, Adquisición e
Admon de la capacidad y el desempeño Recurso Humano Implementación
Asegurar el servicio continuo
Garantizar la seguridad del sistema
Identificación y asignación de costos
Capacitación de usuarios
Soporte a los clientes de TI
Admistración de la configuración Servicios y Identificación de soluciones
Administración de problemas e incidentes
Administración de datos
Soporte Adquisición y mantenimiento de SW aplicativo
Adquisición y mantenimiento de arquitectura TI
Administración de Instalaciones Desarrollo y mantenimiento de Procedimientos de TI
Administración de Operaciones Instalación y Acreditación de sistemas
Administración de Cambios
Información del
Negocio
• Efectividad: La información debe ser relevante y pertinente
para los procesos del negocio y debe ser proporcionada en
forma oportuna, correcta, consistente y utilizable
• Eficiencia: Se debe proveer información mediante el
empleo óptimo de los recursos (la forma más productiva y
económica)
• Confidencialidad: Protección de la información sensitiva
contra divulgación no autorizada
• Integridad: Refiere a lo exacto y completo de la información
así como a su validez de acuerdo con las expectativas de la
empresa.
Información del Negocio
• Disponibilidad: accesibilidad a la información cuando sea
requerida por los procesos del negocio y la salvaguarda de
los recursos y capacidades asociadas a los mismos.
• Cumplimiento: de las leyes, regulaciones y compromisos
contractuales con los cuales está comprometida la empresa.
• Confiabilidad: proveer la información apropiada para que la
administración tome las decisiones adecuadas para manejar
la empresa y cumplir con las responsabilidades de los
reportes financieros y de cumplimiento normativo.
Recursos de TI
• Datos: Todos los objetos de información. Considera información
interna y externa, estructurada o nó, gráficas, sonidos, etc.
• Aplicaciones: entendido como los sistemas de información,
que integran procedimientos manuales y sistematizados.
• Tecnología: Incluye hardware y software básico, sistemas
operativos, sistemas de administración de bases de datos, de
redes, telecomunicaciones, multimedia, etc.
• Instalaciones: Incluye los recursos necesarios para alojar y dar
soporte a los sistemas de información.
• Recurso Humano: Por la habilidad, conciencia y productividad
del personal para planear, adquirir, prestar servicios, dar
soporte y monitorear los sistemas de Información.
Seguimiento de los procesos Comunicación de la directrices Gerenciales
Evaluar lo adecuado del control Interno Administración del Recurso Humano
Req. Información
Organización
Recursos de TI
Datos, Aplicaciones
Procesos de TI
- Los Tres Niveles
Agrupación Natural de procesos,
Dominios normalmente corresponden a un
dominio o una responsabilidad
organizacional
Procesos
Conjuntos o series de actividades
unidas con delimitación o cortes de
control.
Actividades Acciones requeridas para lograr un

o tareas resultado medible. Las Actividades
Tienen un ciclo de vida mientras
que las tareas son discretas.
Procesos de TI
- Dominios
• Planeación y Organización
(Planning and Organization)
• Adquisición e implementación
(Acquisition and Implementation)
• Prestación de Servicios y
Soporte (Delivery and Support)
• Seguimiento (monitoring)
Procesos de TI
- Procesos
Planeación y Definir un plan estratégico de TI
Organización Definir la arquitectura de información
Determinar la dirección tecnológica
Comunicación de la directrices Gerenciales
Administración del Recurso Humano
Asegurar el cumplir requerimientos externos
Adquisición e Identificación de soluciones

Implementación Adquisición y mantenimiento de SW aplicativo
Desarrollo y mantenimiento de Procedimientos de TI
Instalación y Acreditación de sistemas
Procesos de TI
- Procesos
Servicios y Definición del nivel de servicio
Soporte Administración del servicio de terceros
Administración de la capacidad y el desempeño
Administración de la configuración
Administración de Instalaciones
Administración de Operaciones
Seguimiento
Seguimiento de los procesos
Evaluar lo adecuado del control Interno
Obtener aseguramiento independiente
Dominio: Planeación y Organización
Definición
Este dominio cubre la estrategia y las tácticas y
se refiere a la identificación de la forma en que la
tecnología de información puede contribuir de la
mejor manera al logro de los objetivos de
negocio. Además, la consecución de la visión
estratégica necesita ser planeada, comunicada y
administrada desde diferentes perspectivas.
Finalmente, deberán establecerse una
organización y una infraestructura tecnológica
apropiadas.
Procesos
PO1 Definición de un plan Estratégico
Objetivo: Lograr un balance óptimo entre las
oportunidades de tecnología de información y los
requerimientos de TI de negocio
PO2 Definición de la Arquitectura de
Información
Objetivo: Satisfacer los requerimientos de
negocio, organizando de la mejor manera posible
los sistemas de información, a través de la
creación y mantenimiento de un modelo de
información de negocio
PO3 Determinación de la dirección

tecnológica
Objetivo: Aprovechar al máximo de la tecnología
disponible o tecnología emergente, satisfaciendo
los requerimientos de negocio
PO4 Definición de la organización y de las
relaciones de TI
Objetivo: Prestación de servicios de TI
Esto se realiza por medio de una organización
conveniente en número y habilidades, con tareas
y responsabilidades definidas y comunicadas
PO5 Manejo de la inversión

Objetivo: tiene como finalidad la satisfacción de
los requerimientos de negocio, asegurando el
financiamiento y el control de desembolsos de
recursos financieros.
PO6 Comunicación de la dirección y
aspiraciones de la gerencia
Objetivo: Asegura el conocimiento y comprensión
de los usuarios sobre las aspiraciones del alto
nivel (gerencia)
PO7 Administración de recursos humanos

Objetivo: Maximizar las contribuciones del
personal a los procesos de TI, satisfaciendo así los
requerimientos de negocio.
PO8 Asegurar el cumplimiento con los
requerimientos Externos
Objetivo: Cumplir con obligaciones legales,
regulatorias y contractuales
PO9 Evaluación de riesgos

Objetivo: Asegurar el logro de los objetivos de TI y
responder a las amenazas hacia la provisión de
servicios de TI.
PO10 Administración de proyectos
Objetivo: Establecer prioridades y entregar
servicios oportunamente y de acuerdo al
presupuesto de inversión.
PO11 Administración de calidad

Objetivo: Satisfacer los requerimientos del cliente.
Dominio: Adquisición e Implementación
Definición
Para llevar a cabo la estrategia de TI, las
soluciones de Ti deben ser identificadas,
desarrolladas o adquiridas, así como
implementadas e integradas dentro del proceso
del negocio. Además, este dominio cubre los
cambios y el mantenimiento realizados a sistemas
existentes.
Procesos
AI1 Identificación de Soluciones
Automatizadas
Objetivo: Asegurar el mejor enfoque para cumplir
con los requerimientos del usuario.
AI2 Adquisición y mantenimiento del
software aplicativo
Objetivo: Proporciona funciones automatizadas
que soporten efectivamente al negocio.
AI3 Adquisición y mantenimiento de la

infraestructura tecnológica
Objetivo: Proporcionar las plataformas apropiadas
para soportar aplicaciones de negocios.
AI4 Desarrollo y mantenimiento de
procedimientos
Objetivo: Asegurar el uso apropiado de las
aplicaciones y de las soluciones tecnológicas
establecidas.
AI5 Instalación y aceptación de los sistemas
Objetivo: Verificar y confirmar que la solución sea

adecuada para el propósito deseado.
AI6 Administración de los cambios
Objetivo: Minimizar la probabilidad de
interrupciones, alteraciones no autorizadas y
errores.
Dominio: Prestación y Soporte
Definición
En este dominio se hace referencia a la entrega
de los servicios requeridos, que abarca desde las
operaciones tradicionales hasta el entrenamiento,
pasando por seguridad y aspectos de continuidad.
Con el fin de proveer servicios, deberán
establecerse los procesos de soporte necesarios.
Este dominio incluye el procesamiento de los
datos por sistemas de aplicación, frecuentemente
clasificados como controles de aplicación.
Procesos
Ds1 Definición de niveles de servicio
Objetivo: Establecer una comprensión común del
nivel de servicio requerido.
Ds2 Administración de servicios prestados
por terceros
Objetivo: Asegurar que las tareas y
responsabilidades de las terceras partes estén
claramente definidas.
Ds3 Administración de desempeño y

capacidad
Objetivo: Asegurar que la capacidad adecuada
está disponible y que se esté haciendo el mejor
uso de ella para alcanzar el desempeño deseado.
Ds4 Asegurar el Servicio Continuo
Objetivo: mantener el servicio disponible de
acuerdo con los requerimientos y continuar su
provisión en caso de interrupciones.
Ds5 Garantizar la seguridad de sistemas
Objetivo: salvaguardar la información contra uso

no autorizados, divulgación, modificación, daño o
pérdida.
Ds6 Educación y entrenamiento de usuarios
Objetivo: Asegurar que los usuarios estén
haciendo un uso efectivo de la tecnología y estén
conscientes de los riesgos y responsabilidades
involucrados.
Ds7 Identificación y asignación de costos
Objetivo: Asegurar un conocimiento correcto de

los costos atribuibles a los servicios de TI.
Ds8 Apoyo y asistencia a los clientes de TI
Objetivo: asegurar que cualquier problema
experimentado por los usuarios sea atendido
apropiadamente.
Ds9 Administración de la configuración
Objetivo: Dar cuenta de todos los componentes

de TI, prevenir alteraciones no autorizadas,
verificar la existencia física y proporcionar una
base para el sano manejo de cambios.
Ds10 Administración de Problemas
Objetivo: Asegurar que los problemas e incidentes
sean resueltos y que sus causas sean
investigadas para prevenir que vuelvan a
suceder.
Ds11 Administración de Datos

Objetivo: Asegurar que los datos permanezcan
completos, precisos y válidos durante su entrada,
actualización, salida y almacenamiento.
Ds12 Administración de las instalaciones
Objetivo: Proporcionar un ambiente físico
conveniente que proteja al equipo y al personal
de TI contra peligros naturales o fallas humanas .
Ds13 Administración de la operación
Objetivo: Asegurar que las funciones importantes

de soporte de TI estén siendo llevadas a cabo
regularmente y de una manera ordenada.
Dominio: Monitoreo
Definición
Todos los procesos de una organización necesitan
ser evaluados regularmente a través del tiempo
para verificar su calidad y suficiencia en cuanto a
los requerimientos de control, integridad y
confidencialidad. Este es, precisamente, el ámbito
de este dominio.
Dominio: Monitoreo
Procesos
M1 Monitoreo del Proceso
Objetivo: Asegurar el logro de los objetivos
establecidos para los procesos de TI.
M2 Evaluar lo adecuado del Control Interno
Objetivo: Asegurar el logro de los objetivos de
control interno establecidos para los procesos de
TI.
Dominio: Monitoreo
M3 Obtención de Aseguramiento
Independiente
Objetivo: Incrementar los niveles de confianza
entre la organización, clientes y proveedores
externos.
M4 Proveer Auditoria Independiente
Objetivo: Incrementar los niveles de confianza y
beneficiarse de recomendaciones basadas en
mejores prácticas de su implementación.
Estructura de
EVENTOS INFORMACIÓN
Objetivos de Datos Efectividad

negocio Eficiencia
Applicaciones
Oportunidades Confidencialidad
Tecnología
de negocio Integridad
Instalaciones Disponibilidad
Requerimientos Recurso Humano
externos Cumplimiento
Regulación Confiabilidad
Riesgos
Estructura de
Lo que usted
Procesos del Lo que Usted
Obtiene Negocio Necesita
Criterios
Efectividad
Información Eficiencia
Confidencialidad
Integridad
Disponibilidad
Cumplimiento
Recursos de TI Confiabilidad
Datos
Aplicaciones
Tecnología Concuerdan
Instalaciones
Recurso Humano
Estructura de
Criterios de la Información (7)
CUBO de CobiT
Relación entre los a d
li d d
Recurso Humano
i a
componentes ad b rid
lid f ia u
a n g
Instalaciones
C e
Co S
Tecnología
Applicaciones
Dominios
Procesos TI
Datos
Procesos
TI
de
o s
Actividades r s
u
R ec
Seguimiento de los procesos Comunicación de la directrices Gerenciales
Evaluar lo adecuado del control Interno Administración del Recurso Humano
Req. Información
Organización
Recursos de TI
Datos, Aplicaciones
Como Producto
• Resumen Ejecutivo
• Marco de Referencia (Framework)
• Objetivos de Control
• Guías de Auditoría
• Guías de Administración
• Herramientas de implementación
• CD-ROM
• 3a Edición disponible en español
- Resumen Ejecutivo
• Documento dirigido a la alta gerencia

• Presenta los antecedentes y la
estructura básica de COBIT.
• Describe de manera general los
procesos, los recursos y los criterios
de información, los cuales conforman
la “Columna Vertebral” de COBIT.
- Marco de
Referencia
• Incluye la introducción contenida en
el resumen ejecutivo
• Presenta las guías de navegación
para que los lectores se orienten en
la exploración del material de COBIT.
• Hace una presentación detallada de
los 34 procesos contenidos en los
cuatro dominios.
- Objetivos de Control
• Integran en su contenido lo expuesto

tanto en el resumen ejecutivo como
en el marco de referencia
• Presenta los objetivos de control
detallados para cada uno de los 34
procesos.
• En total se describen 302 objetivos
de control (de 3 a 30 objetivos por
cada uno de los procesos)
- Guías de Auditoría
• Se hace una presentación del proceso de
auditoría generalmente aceptado
(relevamiento de información,evaluación
de control, evaluación de cumplimiento y
evidenciación de los riesgos).
• Este documento incluye guías detalladas
para auditar cada uno de los 34 procesos
teniendo en cuenta los 318 objetivos de
control detallados.
Guías de Administración
• Se enfoca de manera similar a los otros
productos
• Integra los principios del Balanced
Businnes Scorecard.
• Para ayudar a determinar cuales son los
adecuados niveles de seguridad y control
integra losconceptos de:
– Modelo de madurez CMM (prácticas de Control)
– Indicadores claves de Desempeño de los
procesos de TI
– Factores Críticos de Éxito a tener en cuenta
para mentener bajo control los procesos de TI.
Herramientas de
Implementación
• Muestra algunas de las lecciones
aprendidas por aquellas
organizaciones que han aplicado
CobiT
• Incluye una guía de implementación
con dos herramientas: Diagnóstico
de conciencia Administrativa y
Diagnóstico de Control en TI
• Respuestas a las 25 preguntas mas
frecuentes sobre CobiT
CD-ROM
• El CD-ROM de CobiT contiene toda la

información relacionada con los
objetivos de Control y guías de
Auditoría, facilitando. su búsqueda y
acceso.
• Permite contar con las guías por
objetivo de control de una manera
fácil y oportuna cuando se están
realizando labores de auditoría.
Comparación de
conceptos de Control
Interno
CobiT 1996/1998
Definición de Definición de Objetivos
Control Interno de Control de T I
COSO 1992
SAC 1991/1994
Contribuciones
Conceptos de
al concepto de Control Interno Conceptos de
Control Interno Control Interno
SAS 78 - 1995 enmienda

SAS 55 - 1988
Comparación de Conceptos de Control
COBIT SAC COSO SASs 55/78

Dirigido a: Administración, Usuarios, Auditores de Auditores Internos Administración Auditores Externos
Sistemas Responsables de TI
El Control Interno es Visto Conjunto de procesos incluyendo Conjunto de procesos, Procesos Procesos
como políticas, procedimientos, prácticas y subsistemas y personas
estructura Organizacional
Los Objetivos Efectividad y Eficiencia de las Efectividad y Eficiencia de Efectividad y Eficiencia de las Efectividad y Eficiencia de las
Organizacionales de operaciones las operaciones operaciones operaciones
Control Interno
Confidencialidad, Integridad y Confiabilidad en los reportes Confiabilidad en los reportes Confiabilidad en los reportes
disponibilidad de la información financieros financieros financieros
Confiabilidad en los reportes Cumplimiento con leyes y Cumplimiento con leyes y Cumplimiento con leyes y
financieros normas normas normas
Cumplimiento con leyes y normas
Componentes o Dominios Dominios: Componentes: Componentes: Componentes:
Planeación y Organización Ambiente de Control Ambiente de Control Ambiente de Control
Adquisición e implantación Sistemas Manuales y Evaluación de Riesgo Evaluación de Riesgo
Automatizados.
Servicio y Soporte Actividades de Control Actividades de Control
Procedimientos de Control
Seguimiento Información y Comunicación Información y Comunicación
Seguimiento Seguimiento
Enfocado a Tecnología de Información Tecnología de Información Toda la Organización Estados Financieros
Evaluación de la Por un periodo de tiempo Por un periodo de tiempo En un punto en el tiempo Por un periodo de tiempo
Efectividad del Control I.
Responsable por el Control Administración Administración Administración Administración
Interno
Tamaño 187 páginas en 4 volúmenes 1193 páginas en 12 módulos 353 páginas en 4 volúmenes 63 páginas en 2 documentos
Gracias por su
atención.

Cobit

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Cobit

Transféré par

Droits d'auteur :

Formats disponibles

CONTROL OBJECTIVES FOR INFORMATION

AND RELATED TECHNOLOGY

• COBIT esta orientado a ser la

Investigar, desarrollar, publicar y

• Los Auditores : para soportar sus

Requerimientos Efectividad y eficiencia operacional.

Actividades Acciones requeridas para lograr un

Adquisición e Identificación de soluciones

PO3 Determinación de la dirección

PO5 Manejo de la inversión

PO7 Administración de recursos humanos

PO9 Evaluación de riesgos

PO11 Administración de calidad

AI3 Adquisición y mantenimiento de la

AI5 Instalación y aceptación de los sistemas

Objetivo: Verificar y confirmar que la solución sea

Ds3 Administración de desempeño y

Ds5 Garantizar la seguridad de sistemas

Objetivo: salvaguardar la información contra uso

Ds7 Identificación y asignación de costos

Objetivo: Asegurar un conocimiento correcto de

Ds9 Administración de la configuración

Objetivo: Dar cuenta de todos los componentes

Ds11 Administración de Datos

Ds13 Administración de la operación

Objetivo: Asegurar que las funciones importantes

Objetivos de Datos Efectividad

• Documento dirigido a la alta gerencia

• Integran en su contenido lo expuesto

• El CD-ROM de CobiT contiene toda la

SAS 78 - 1995 enmienda

COBIT SAC COSO SASs 55/78

Vous aimerez peut-être aussi