The Infonomics Letter – Mayo de 2010

Avanzando la Agenda

Bienvenido a The Infonomics Letter de mayo de 2010. El mes pasado, publicamos los resultados resumidos de la encuesta internacional sobre gobierno y gestión de TI. El informe ha sido objeto de amplios debates y comentarios, después de haber sido mencionado en varios blogs y otras revistas. También ha sido debatido ampliamente en LinkedIn, donde se le dio publicidad a su disponibilidad en varios grupos interesados en las actividades de los directorios y los aspectos específicos de gobierno de TI.

Tal como era de esperar, hay pocos esfuerzos para refutar las conclusiones – parece que muchos aceptan que la capacidad actual de los directores y los equipos directivos para gobernar TI es relativamente baja. Gran parte del debate ha sido en la forma en cómo se resuelve el problema, con muchos virando a la conveniencia de contar con especialistas de TI en la junta directiva. Francamente, este enfoque es erróneo. Descubra por qué en “El desarrollo de la Junta Directiva”.

Recientemente, Standards Australia publicó un nuevo compañero a la norma ISO 38500 y su predecesor, el AS/NZS 8015. La nueva norma, AS/NZS 8016:2010 abarca «Gobierno Corporativo de los proyectos que supongan inversiones en tecnología de la información». Ver más en AS/NZS 8016 – Supervisión de Proyectos.

A medida que más y más de los procesos rutinarios de las organizaciones son infiltrados por el apoyo de TI, también lo es con mayor frecuencia, escuchar que las cosas van mal, con la causa informada de “error de computación” o “un mal funcionamiento de la computadora». Pero ¿cuántas veces son los problemas realmente el resultado de un sistema informático que solo funcionó mal? ¿Con qué frecuencia son en realidad consecuencia de un error humano que el sistema no ha reconocido? En “Dedos Gordos o Fallas Fatales” exploramos cómo algunas organizaciones parecen construir sistemas informáticos esperando que sus operadores humanos sean infalibles.

Mayo ha sido un mes muy agitado de reuniones y sesiones informativas de normas. Primero estuve en Helsinki en una reunión del grupo de trabajo internacional centrado en los nuevos acontecimientos en materia de orientación sobre el gobierno de TI. Luego vimos los planes para la próxima generación de la norma ISO 38500, el desarrollo del modelo global para el gobierno y la gestión de TI, y orientaciones para la aplicación posterior. Luego fue Londres, Amsterdam y Bruselas para reuniones y sesiones informativas – ampliar aún más la comunidad con conciencia de la norma ISO 38500. Estas reuniones confirman que, la norma ISO 38500 captura el interés y la imaginación en las principales organizaciones que dependen de TI, y en empresas de servicios especializadas.

Mark Toomey, 31 de mayo 2010

Próximos eventos.

Uno de los pilares centrales de la actividad de Infonomics es la sensibilización, comprensión y habilidades en la gobierno de TI y la norma ISO 38500, para directores, líderes empresariales y especialistas en TI. El programa de educación Infonomics está en continua evolución, incluye salón de clases, conferencias y eventos de acceso libre, y con frecuencia está organizado en conjunto con socios de negocios que operan en todo el mundo. Nuestro calendario actual incluye:

24 y 25 junio: Kuala Lumpur, Malasia: ISO 38500 Foundation Class, con Expitris Worldwide.

27 de julio: Dunedin, Nueva Zelanda: Instituto de Administración y Subdivisión de Otago, Otago Escuela de Negocios: Junta Reunión informativa Ejecutivo sobre gobierno de TI. Más detalles TBA.

29 de julio: Auckland, Nueva Zelanda: Red de CIO Sin Ánimo de Lucro, almuerzo de trabajo en la norma ISO 38500 y gobierno de TI.

2 al 4 agosto: Melbourne, Australia: ISACA Oceanía CACS 2010: Reunión informativa sobre Auditoría y Gobierno de TI en un mundo de post-recesión.

5 de octubre: Melbourne, Australia: ACOSM2010 – La Conferencia de Australia en medición de software, conjuntamente con el taller anual de International Software Benchmarking Standards Group (ISBSG). Estaré enfrentándome a algo diferente – «Medición de lo Inmensurable: Gobierno de TI»

Desarrollo de la Junta Directiva

De acuerdo con la empresa de reclutamiento Korn / Ferry International (publicado en el Australian Financial Review en diciembre de 2009), los directorios de las empresas son a menudo incapaces de comprender y evaluar la inversión necesaria para los grandes programas de TI. Esta observación es enteramente consistente con los resultados del estudio publicado en The Infonomics Letter de abril de 2010, donde se consideraron que sólo el 37% de los consejos, tiene un control efectivo del uso actual y futuro de sus organizaciones de TI y, menos del 30% de las juntas consideró que tienen las habilidades y los conocimientos necesarios para proporcionar esa supervisión.

En común con la opinión expresada con frecuencia, el artículo sugiere que hay «una necesidad de una mayor comprensión de TI en los directorios de las empresas». De hecho, la investigación realizada por Infonomics sugiere que la inteligencia no es necesaria sólo a nivel del directorio de una empresa, sino también a nivel de gestión ejecutiva.

¿Cómo se puede agregar inteligencia de TI a un directorio de una empresa? Uno de los métodos más frecuentemente citado es agregar un director a la junta que tenga amplia experiencia en TI. Pero, ¿es adecuado? ¿Qué están consiguiendo los directorios cuando agregan un «experto en informática» a su número?

Unos pocos directorios han sido capaces de adquirir los talentos de altos ejecutivos de empresas de TI – y por lo tanto pueden reclamar haber satisfecho su necesidad de tener «experiencia en TI». Estos individuos, sin duda, con una dilatada experiencia en la gestión de una empresa de TI, pero que rara vez se basa en profundos conocimientos, ya sea en sus habilidades técnicas o capacidades de gestión de TI de una organización de TI. Su experiencia será como generalistas, obtenida en base a la observación
de, y el compromiso con sus clientes y de interactuar con sus propios altos ejecutivos, ya que es de su propia experiencia directa de la planificación, ejecución y funcionamiento de facilitadores de TI para su organización.

Algunos directorios han tratado de llenar el vacío de conocimientos mediante el nombramiento de especialistas en TI – personas cuya experiencia de carrera ha sido principalmente en el campo de TI, tales como exCIOs. Pero, como un director de TI inteligente me dijo hace poco: «Yo creo que incluso cuando las empresas ponen capacidad de gobierno de TI (especialistas) en los directorios, los otros directores no pueden realmente comprender los problemas y, por lo tanto, no participan plenamente o en absoluto, dejando a la persona de TI como una voz solitaria. Como una voz solitaria, a menudo no es posible avanzar de manera estratégicamente estructurada. Algo tiene que ser absolutamente un problema para que ocurra un acuerdo general»

La distinción entre los dos enfoques para agregar inteligencia de TI a través de la contratación de un experto especialista, es quizá un indicador significativo de donde reside la respuesta última. El primer enfoque, agregar un generalista con experiencia en gestión general y experiencia específica de TI, significa que al menos el nuevo recluta debe estar familiarizado con el lenguaje de los directores, y es capaz de liderar el directorio en la conversación de cuestiones de TI, garantizando al mismo tiempo que al menos la mayoría de los directores están comprometidos y comprenden las cuestiones clave. El último enfoque de la adición de un especialista podría dar lugar a que los directores restantes se queden «en la oscuridad» y sean incapaces de emitir un juicio de valor bien informado. Los directores necesitan hacer un juicio sobre muchas cuestiones en el curso normal de sus funciones – acerca de las finanzas, el riesgo, asuntos legales y así sucesivamente. En casi todas estas áreas, en la mayoría de las organizaciones con directorios eficaces, todos los directores son capaces de participar en el debate, y hacer preguntas pertinentes e incisivas, y realizar un juicio informado sobre los temas. Sin embargo, aunque la mayoría de los directorios incluyen personas con experiencia profunda en contabilidad, leyes y otras disciplinas, la discusión de estos temas no se limita a los especialistas. De hecho, el debate suele ser uno de los generalistas con experiencia, donde uno o dos pueden tener una profunda experiencia que puede aprovecharse y ser comprendida por los generalistas.

Mire el entrenamiento formal para directores de empresa. El my conocido «Curso de Director de la empresa», dirigido por el Instituto Australiano de Directores de Empresas incluye módulos tales como: «Riesgo – Problemas para el directorio», «Estrategia – El rol del directorio», «educación financiera para los directores», y «Entorno jurídico para el directorio». Estos módulos (el autor ha completado el curso) reconocen que mientras los directores no pueden ser especialistas en cada una de las disciplinas, necesitan una capacidad generalista para entender y cuestionar la información que está siendo suministradas por los ejecutivos, de modo que puedan tomar las resoluciones informados.

Con TI que actualmente omnipresente en su integración con los actuales sistemas operativos comerciales y las capacidades futuras de la mayoría de las organizaciones, los problemas de los directores no son debates de la tecnología. Son de carácter más general – se centran en si TI se utiliza con eficacia, si los riesgos están adecuadamente comprendidos y abarcados, y si las inversiones pueden entregar los resultados esperados. Al igual que en las cuestiones contables y legales, la experiencia deseable de los directores no es la profundidad del especialista técnico, sino más bien la de un generalista capaz y bien informado, que conozca ampliamente lo que debería estar sucediendo, que puede hacer preguntas para aclarar cuando parece que están sucediendo las cosas malas, y puede referir las zonas de duda a los especialistas debidamente calificados.

Al igual que la mayoría de los directores puede basarse en su experiencia de gestión del pasado, como consultoría y otras carreras para construir una competencia en los campos establecidos como legales y contabilidad, así también los directores deben ser capaces de construir un nivel adecuado de conocimientos generales sobre el uso de tecnologías de la información.

Este mes, Infonomics Letter y el libro, Waltzing with the Elephant, son sólo dos de los recursos que Infonomics ofrece para ayudar a los directores que no tienen experiencia previa con TI para mejorar los conocimientos de ámbito general, que se necesitan para comprender, hacer preguntas y obtener asesoramiento de expertos cuando se trata de la dependencia actual y futura de su organización sobre el recurso de tecnología de la información.

Recursos adicionales están en camino.

AS/NZS 8016 – Supervisión de Proyectos

Cuando se publicó el estándar original australiano AS/NZS 8015, se esperaba que fuera seguido y complementado por una serie de normas adicionales y otras orientaciones sobre el gobierno de TI en contextos particulares. Por lo menos había intención de publicar las normas adicionales sobre temas que en el momento se denominaron «Proyectos de TI» y «Operaciones de TI».

El desarrollo de un estándar para asesorar a los directores y la alta dirección de las organizaciones sobre el gobierno de los «Proyectos de TI» ha demostrado ser extremadamente difícil. Pero después de más de cinco años de esfuerzo, una norma provisional por fin ha visto la luz del día.

Ahora con nombre «El gobierno corporativo de proyectos relacionados con las inversiones de tecnología de información», AS/NZS 8016:2010 fue publicada como una norma provisional en Australia y Nueva Zelanda en febrero. Siguiendo el modelo establecido por AS 8015 y la actual ISO 38500, AS/NZS 8016 es un documento breve de apenas 16 páginas, que expone un modelo y principios para el gobierno de los proyectos, y diseñado para ser utilizado por los directivos y sus asesores.

La elección del nombre para el estándar es importante: tiene como objetivo garantizar que las organizaciones se centran en la iniciativa completa requerida para entregar los resultados esperados de negocios, y no sólo en los elementos de TI dentro de la iniciativa – los elementos que se refieren a veces como el «proyecto TI». AS/NZS 8016 tiene como premisa fundamental la idea que a menudo se verbaliza como «No hay tal cosa como un proyecto de TI – sólo proyectos empresariales que utilizan o dependen de TI».
Al igual que la ISO 38500, AS/NZS 8016 no establece ningún marco de gestión o metodología para los proyectos. Más bien, se exhorta a las organizaciones a emplear marcos y métodos pertinentes, o sus partes, cómo y cuando sea pertinente para ayudarlos a asegurarse de que cuentan con sistemas adecuados de gestión.

AS/NZS 8016 proporciona una definición sucinta: el gobierno corporativo de proyectos de inversión que involucran TI, es el sistema por el cual los proyectos que involucran una inversión en una nueva capacidad o el cambio de la capacidad de TI, son gestionados y controlados, desde el inicio hasta el logro de los resultados del negocio. Esta definición es importante por varias razones – y sobre todo porque deja claro que la supervisión del gobierno debe continuar hasta que se alcanzan los resultados de negocio esperados – o, por supuesto, hasta que sea evidente que no se puede lograr, en cuyo caso el proyecto debe detenerse.

La norma también refuerza el uso del término «proyecto» en su contexto genérico, como una intención organizada de producir un resultado. Este es el lenguaje y el contexto que es ampliamente utilizado en los directorios y sobre conversaciones genéricas de inversión importantes en las empresas, y evitar la terminología estrecha y a veces confusa de la comunidad de TI.

Dentro de AS/NZS 8016, se traspasan y amplifican el modelo y los principios presentados en la norma ISO 38500 en el contexto específico de los proyectos. El modelo Evaluar – Dirigir – Controlar continúa, y ahora estas tareas se explican en el contexto más específico de los proyectos. Del mismo modo, se respetan los seis principios (Aunque para mayor claridad, al Principio 3 se cambia el nombre de «Adquisición» a «Inversiones»), y ampliada por una discusión más profunda de su significado en el contexto de los proyectos. La discusión incluye la identificación de las conductas deseables – las cosas que las organizaciones deben hacer en conformidad con los principios. Estas conductas deben proporcionar un lente útil que los directores (y otras partes interesadas) pueden comprobar y verificar que la administración hace las cosas necesarias para asegurar el éxito de la iniciativa.

Mientras que AS/NZS 8016 ha sido el producto de un esfuerzo enorme, queda más trabajo por hacer. Los conceptos de gobierno mientras que, indeleblemente ligados a los expresados en la norma ISO 38500, es probable que toquen la fibra de los que normalmente operan en la sala de juntas, pueden ser menos familiares para TI y otros especialistas de proyectos que están acostumbrados a las metodologías basadas en procesos importantes. Las primeras experiencias en la aplicación de la norma, son susceptibles de provocar un nuevo aprendizaje que debería reflejarse en una actualización temprana, que luego se profundizará para alcanzar en el estado del arte. Por esta razón, AS/NZS 8016 se ha publicado como una
norma provisional, que expirará dos años después de su primer lanzamiento. Durante ese período de dos años, Standards Australia recogerá las observaciones del público, con estos comentarios contribuyendo a una determinación en cuanto a si el documento actual se confirma, se revisa o se retira. Este período de comentarios de dos años, de los cuales ya ha vencido el primer cuarto, es la oportunidad para la recolección de una amplia experiencia práctica y desarrollo ulterior de los conocimientos teóricos sobre el tema.

Publicado como un estándar para Australia y Nueva Zelanda, AS/NZS 8016 debe ser de interés para la comunidad internacional, ya que se basa en la orientación proporcionada en la norma ISO 38500, y debe ayudar a aquellos que adoptan la norma ISO 38500 para construir una comprensión más completa de sus intenciones.

Para obtener más información y comprar AS/NZS 8016, consulte el sitio web SAI Global.

Dedos Gordos, o Fallas Fatales

¿Qué impacto puede tener un error de tipeo simple? Durante mayo de 2010, los mercados financieros del mundo se tambalearon una vez más, cuando el índice industrial Dow Jones cayó en picada. Pero esta vez, el disparador no fue una repetición de los datos económicos y el pánico asociado cuando recordamos a octubre de 2008 (aunque los mercados estaban nerviosos por la deuda griega y por lo tanto muy sensible). En cambio, fue lo que los operadores llaman eufemísticamente el «problema del dedo gordo».

En pocas palabras, el problema del dedo gordo ocurre cuando una persona introduce datos incorrectos en un sistema informático, y el sistema acepta alegremente los datos sin un parpadeo, incluso cuando hay un  contexto de los datos que sugiere que ¡pueden ser incorrectos!

El dedo gordo le puede pasar a cualquiera. No hace demasiados años, me encontré con problemas con mi banco y uno de mis proveedores, porque al hacer un pago de facturas en línea, me las arreglé para omitir un marcador decimal y sin darme cuenta sobre pague la factura en el orden de 100 veces.

A veces el dedo gordo sólo puede dar lugar a inconvenientes y costos adicionales. A veces, como se demuestra en el caso de Wall Street, tiene el potencial para un impacto significativo en la sociedad. A veces, puede ser fatal.

En marzo de 2009, un Airbus A340 que transportaba más de 200 personas escapó por poco de un desastre en el aeropuerto de Melbourne después que la tripulación de vuelo ingresó el peso erróneo de despegue en la computadora del avión. Como resultado de que el peso de la aeronave estaba subestimado en más de 25%, los motores controlados por ordenador fueron programados para un nivel de empuje bajo que no proporciono la velocidad de despegue hasta que el avión ya había pasado el otro extremo de la pista. Sólo la ingeniería robusta de la aeronave y la potencia de sus motores fueron suficientes para evitar el desastre cuando el capitán sobre paso la computadora y selecciono la potencia máxima justo antes de que el avión se saliera de la pista. Así las cosas, la aeronave golpeó las luces de aterrizaje en el otro extremo de la pista, y fue severamente dañada como resultado de que cola golpeó el piso.

Estos ejemplos de «Dedo Gordo» revelan una debilidad que se ha infiltrado en los sistemas que dependen cada vez más en la tecnología de la información, y que han eliminado las capas de la intervención humana. En Wall Street, antes del comercio en línea, una transacción debía pasar por varios pares de manos antes de la ejecución final – y cualquiera de esas manos podría haber detectado un error probable en el precio especificado. En un avión comercial, la potencia del motor se habría determinado por el piloto al mando y confirmado por el co-piloto tal vez con un tercer chequeo por el ingeniero del vuelo en aquellas aeronaves que requieren todavía ese papel. Sin embargo, en la automatización de los sistemas, parece que hemos olvidado que los seres humanos somos propensos al error, y hemos sacado los controles de seguridad que alguna vez fueron parte integral del proceso.

No siempre ha sido así. En las generaciones anteriores del uso de TI, particularmente cuando TI se utiliza principalmente para automatizar y acelerar la actividad repetitiva, los diseñadores de los sistemas hicieron grandes esfuerzos para eliminar el error humano y, por tanto, reducir la probabilidad de que los costosos problemas que arrastren las actividades empresariales esenciales. Métodos como la dosificación de los ingresos de datos y el cálculo de los totales de control fueron muy eficaces, si los métodos tediosos de garantizar que todos los datos requeridos fueron capturados con precisión. Se utilizaban amplios protocolos de validación para limitar el ingreso de datos potencialmente malos en los sistemas.

Pero en algún lugar de la última ola de automatización, donde TI se ha integrado directamente en la primera línea de negocios, parece haber una pérdida de reconocimiento que los seres humanos cometen errores. En muchos de los informes de la prensa – muy frecuentemente – se informa que las cosas van mal con los sistemas informáticos, el gatillo es un error humano en la entrada de datos – y no importa cuántos  intentos se hacen para describir la situación como fuera de un “error informático», la realidad es que los problemas se producen porque las organizaciones no ponen el esfuerzo suficiente para la comprensión de que sus sistemas de negocio clave son vulnerables al error humano.

El error de Wall Street podría haber sido fácilmente detectado y resuelto. El precio de la acción ingresado estaba dramáticamente fuera de las condiciones prevalecientes y tenía más probabilidades de estar equivocado. Una prueba intrusiva, que exigía que el operador pare y piense, debería haber sido disparada por el sistema – tal y como habría ocurrido si la transacción habría sido entregada a un operador.

Lo mismo sucede con el Airbus (la información general sobre lo que pasó con el Airbus se puede encontrar en la Oficina Australiana de Seguridad en el Transporte). Mientras que el peso especificado podría haber sido correcto para un avión de otra manera vacío y en un vuelo de prueba, es muy poco probable que esté dentro del rango normal para un vuelo operacional. Por lo menos se tendría que haber disparado ese chequeo. Tal vez, como con muchos otros aspectos de las operaciones de la aviación, debería haber ido un requisito de cumplimiento confirmar la entrada de ambos pilotos. Y, pensando en otros sistemas en la aeronave, pudo haber habido controles cruzados con indicadores de nivel de combustible (tanques llenos podría indicar una probabilidad de carga significativa). Yendo más lejos, en esta era moderna de los sistemas de posicionamiento global, podría ser que la velocidad de despegue fuera chequeada todo el tiempo por el computador y verificar si la aeronave estaba acelerando con la fuerza suficiente para despegar antes de llegar al final de la pista. ¿De cuántas formas puede, un poco más de inversión en materia de seguridad, impedir y prevenir un casi desastre que era un producto de la conducta humana?

Los directores de la mayoría de las organizaciones regularmente deben hacer preguntas sobre los inocentes errores humanos, que podrían tener grandes consecuencias negativas, y cerciorarse de que la información asociada a la tecnología es eficaz en la captura de estos errores antes de que se conviertan en desastres.

Waltzing with the Elephant

Waltzing with the Elephant es el recurso principal de Infonomics para directores, ejecutivos y especialistas que desean lograr un gobierno eficaz de nivel superior de TI, maximizar el valor y eficacia del control del riesgo de la inversión en TI. Basado en más de 30 años de experiencia práctica, y diez años de atención focalizada en cuestiones de gobierno, Waltzing with the Elephant ha gozado de reconocimiento de la crítica en un amplio espectro de encuestados en las salas de juntas, ejecutivos de TI y las funciones de consultoría. Una selección de revisiones y una vista previa del libro están disponibles en el sitio web Infonomics.

Waltzing with the Elephant es una publicación de Infonomics Pty Ltd, y está disponible para su compra desde la tienda de Infonomics en ediciones rústicas y libro electrónico para descarga.

“Translated, with permission, from the original at  http://www.infonomics.com.au written by Mark Toomey, Author of book “Waltzing With The Elephant”.

“Traducido, con permiso, desde el original en http://www.infonomics.com.au escrito por Mark Toomey, autor de “Waltzing With The Elephant”.

Compartir