IT Governance y su impacto en el resultado económico de las organizaciones.

1. IT Governance y su impacto en el resultado económico de las organizaciones. Claudio Freijedo. pfreijedo@econ.uba.ar 2009

2. Contenido • El “gobierno de la tecnología de la información”· en las organizaciónes. • Enfoque normativo. Objetivos y limitaciones. • ¿Se requiere un enfoque complementario? • Enfoque estratégico. • El diseño del gobierno • Participantes • Decisiones a tomar en el diseño • Propuestas originadas en estudios empíricos • Algunas herramientas de apoyo

3. El gobierno en las organizaciones. Tomando la definición de H. Mintzberg de poder“como la capacidad de afectar (causar efecto en) el comportamiento de las organizaciones” H. Mintzberg. El poder en la organización. Ariel, 1992. Pág. 5. “… queremos, en primer lugar comprender los elementos básicos del juego del poder en la organización, en particular queremos saber quienes son sus jugadores, o agentes de influencia, cuales son los medios o sistemas de influencia que utilizan para obtener el poder y cuales son los objetivos y sistemas de objetivos que resultan de esos esfuerzos” … “… puesto que las necesidades de todos los agentes con influencia no son las mismas, cada uno de éstos trata de aprovechar su poder –medios de influencia- para controlar las decisiones y las acciones tomadas por la organización. El grado de éxito de cada uno de ellos determina la configuración final del poder en la organización” H. Mintzberg. El poder en la organización. Ariel, 1992 Pag. 3 y Pag. 24.

4. El gobierno de IT en las organizaciones. • Capacidad de orientar en forma eficiente y eficaz la aplicación de recursos en Sistemas de Información y Tecnología Informática en la Organización para contribuir con el logro de sus fines. Proveer elementos de gobierno en las decisiones y las acciones relacionadas con IT tendientes a agregar valor al negocio.

5. Dos enfoques • Enfoque Normativo • Enfoque Estratégico

6. Enfoque normativo.Disposiciones regulatorias. • Cumplir con las disposiciones regulatorias para la emisión de estados financieros. • Recomendaciones de Basilea II, tomadas en argentina por el BCRA. • Ley Sarbanes-Oxley (2002) (Acta de Reforma de la Contabilidad Pública de Empresas y de Protección al Inversionista). • AS8015, publicado por el comité de estándares de Australia. “Corporate governance of information and communication technology” en 2005.

7. Enfoque normativo. Disposiciones regulatorias. • El Institute of Internal Auditors, dice, con relación a la Sección 404 de Sarbanes-Oxley (informe anual sobre la evaluación de la gerencia sobre la situación de control interno). • La evaluación deber ser realizada utilizando un esquema reconocido de control interno. Menciona COSO y CobiT como suplemento por los controles sobre IT. • La Dirección debe garantizar la suficiente atención a la identificación de controles claves sobre IT por individuos con un amplio conocimiento de los negocios. “…The assessment has to be made using a recognized internal control framework. Most U.S. companies have used The Committee of Sponsoring Organizations of the Treadway Commission (COSO) framework, although some have used the Control Objectives for Information and related Technology (CobiT) framework as a supplement to COSO for IT controls. …. “… the management team should ensure sufficient attention is given to the identification of key IT controls by individuals with a broad understanding of the business and the overall Section 404 project.

8. Enfoque normativo. Disposiciones regulatorias. • La SEC (27-jun-07) aclaró, con relación a la Sección 404 de Sarbanes-Oxley • Especificamente resulta innecesario evaluar controles generales de IT que tengan como principal objetivo la eficiencia o efectividad de las operaciones de la empresa, pero que no sean relevantes para la elaboración de la información de los Estados Contables. “… management only needs to evaluate those IT general controls that are necessary for the proper and consistent operation of other controls designed to adequately address financial reporting risks….. “Specifically, it is unnecessary to evaluate IT general controls that primarily pertain to efficiency or effectiveness of a company’s operations, but which are not relevant to addressing financial reporting risks. “

9. Enfoque normativo. Disposiciones técnico-profesionales. • Podemos mencionar como los marcos normativos “vendor neutral” más difundidos que incluyén en forma parcial aspectos de IT governance. • ITIL (IT Infrastructure Library), desarrollado por la oficina de Comercio del Gobierno del Reino Unido. • CobiT, (Control Objectives for Information and related Technology) , desarrollado por el IT Governance Institute. • El documento “Aligning COBIT, ITIL and ISO 17799 for Business Benefit” (Emitido en forma conjunta por ITIL y COBIT en 2005) nos dice: • “..Las mejores prácticas en IT deben alinearse con los requerimientos del negocio, integrarse entre si y con los procedimientos intrenos. COBIT puede ser utilizado en el alto nivel proveyendo un marco de control basado en procesos de IT que generalmente se adapta a las organizaciones. Prácticas específicas y estandares como ITIL e ISO 17799 cubren areas particulares que pueden ser evaluadas dentro del marco de COBIT…”

10. Enfoque normativo.La visión del I.T.Governance Institute • Fundado en 1998, para “advance international thinking and standards in directing and controlling an enterprise’s information technology” • Originado en el ISACA (Information Systems Audit and Control Association)

11. COBIT “Control Objectives for Informationand related Technology” • Considera como aspectos del IT GOVERNANCE • Strategic Alignment. • Value Delivery • Risk Management • Resource Management • Performance Measurement • Divide IT en 34 procesos que pertenecen a 4 dominios (plan and organise, acquire and implement, deliver and support, monitor and evaluate). Para cada uno de estos procesos establece objetivos de control

12. Enfoque normativo. • En términos generales el Enfoque Normativo tiende a cumplir con disposiciones que buscan que los estados contables registren razonablemente las operaciones y los resultados, sin buscar eficiencia ni efectividad. • Las organizaciones gerenciadas con estos marcos de referencia pueden no disponer de un esquema tendiente al mejor empleo de los recursos en Sistemas de Información y las TICs en cuanto a la contribución a sus resultados económicos.

13. ¿Se requiere un esquema de IT Gov. complementario del meramente normativo? • ¿La comoditización de las TICs les quita importancia estratégica? • ¿Se puede operar estrategicamente sobre el “gasto en sistemas”, o solo involucra decisiones técnicas, como el de otros artículos comoditizados?. • ¿Resulta necesario que la alta gerencia se ocupe de establecer y aplicar un esquema de gobierno para las decisiones en TICs? • Veamos algunas situaciones relevadas.

14. Algunos estudios sobre el efectivo empleo de herramientas de IT Gov. y sobre el impacto de ellas en las decisiones. • Empleo en la práctica de un esquema efectivo de IT Gov. • Desde el análisis de las capacidades en los cuerpos directivos. • Estudios de Burson-Marsteller y de Marino y Nieset. • Desde el estudio de la efectiva utilización de un esquema de IT Gov. en la Organización. • Estudio de Weill y Ross. • Relación entre empleo efectivo de artefactos de IT Governance con los resultados. • Contribución de los proyectos de IT a los resultados. Estudio del PMI. • Impacto en el crecimiento y los ingresos. Estudio de Boritz y Lim. • Impacto en el Resultado. Estudio de Weil y Ross.

15. Análisis de las capacidades en los cuerpos directivos. Estudio de Burson-Marsteller. • En 2004 solo el 8% del las Fortune Global 500 incluían en sus directorios personal con experiencia previa como CIO. • Y en muchas ellas (en general la compañías de tecnología) orientados a productos (fusiones, investigación y desarrollo, etc.), no al empleo interno de tecnologías de la información. A Missing Competency: Boardroom IT-deficit (Burson-Marsteller, 2005).

16. Análisis de las capacidades en los cuerpos directivos. Marino y Nieset. • En 2005 entre las Fortune 1000 solo en 15 (1,5%) UN director externoposeeexperienciapreviacomo CIO. Marino, J. J. and M. C. Nieset. (2006). “Overseeing BCP: Just One More Reason to Consider CIOs as Directors,” Directors and Boards edición Americana. 2006, vol 31, num. 1.

17. Efectiva utilización de un esquema de IT Gov. en la Organización. Estudio de Weill y Ross. • En promedio el 77% de los gerentes no conoce como es el esquema de gobierno de TIC´s en su empresa. Fuente: Conclusiones de estudios del MIT Sloan Center for Information Systems Research realizados entre 2001 y 2004. P. Weill y J. Ross. IT Governance: How top performers manage IT decision rights for superior results. HBSP, 2004.

18. Contribución de los proyectos de IT a los resultados. Estudio del PMI. • Efectividad (aspectos estratégicos, definición sobre que proyecto realizar y cual no). • Solo 52% de los proyectos agregan valor estratégico. • Esto mas allá de una buena o mala “gestión técnica”. • Eficiencia (aspectos técnicos). • 72% de los proyectos de IT • no cumplen con el plazo ni el presupuesto ni la funcionalidad esperada • o son cancelados antes de su implantación. • Del 28% restante • 45 % exceden el presupuesto • 68% toman mas de lo planeado. Fuente: PMI, citado en “IT Portfolio Management: Unlockingthebusinessvalue of technology.”. Bryan Maizlish, Robert Handler. Wiley, 2005

19. Impacto en el crecimiento y los ingresos. Estudio de Boritz y Lim. • Estudio sobre 84 firmas con funcionamiento explicito de Comité de Estrategias de IT, comparadas con una muestra de 84 firmas de las mismas industrias. • Encuentra que concluye que en las primeras las tasas de crecimiento, el retorno sobre activos y el retorno sobre ventas resulta significativamente superior que en las segundas. • Tasas de crecimiento de +14.15% % en 2004 y +15.56% en 2005. • Retorno sobre ventas de +10.04% en 2004, y +22.71% en 2005. • Retorno sobre actives de +9.27% en 2004 y +33.71% en 2005. Impact of top management´s IT knowledge and IT Governance mechanisms on financial performance. J. EfrimBoritz y Jee-Hae Lim, University Of Waterloo, School of Accountancy. Twenty Eighth International Conference on Information Systems, Montreal 2007

20. Impacto en el Resultado. Estudio de Weil y Ross. • Las empresas con gobierno efectivo de IT obtienen utilidades un 20% superiores que empresas similares con estrategias equivalentes. Ofrecen también mayor retorno sobre las acciones y obtienen una mayor capitalización. • En tales empresas entre el 60% y el 80% de los gerentes pueden describir el esquema de gobierno de TIC´s en su organización, y lo utilizan a diario. • No se identifico un esquema de gobierno específico asociado a mejores resultados (todo esquema es válido, en la medida en que sea consistente con la organización en particular, explicitado, comunicado y aplicado) • La claridad en el diseño del esquema de gobierno de las TICS, su conocimiento y aplicación es el indicador mejor correlacionado con el correspondiente a un superior rendimiento financiero.

21. Conclusión: La implementación de un esquema de IT Governance mejora los resultados de las Organizaciones. . • Si bien no puedeafirmarsequeuna mayor nivel de IT Governance cause unamejor performance financierasí se verificaqueambassituaciones se correlacionansignificativamente, sugiriendoque se encuentranfuertementevinculadas. • Aún desde la visión e la “comoditación de las TICs”, se requieren demasiadas inversiones y toman significativos costos como para dejar librado el Gobierno de SI-TICs a la interacción de los distintos sectores y/o al cumplimiento de una normativa externa.

22. Alcance del esquema de IT Governance. • Excede las decisiones de tecnología. • No es solo responsabilidad del Responsable de IT. • Excede la Organización de IT. • No es “centralizar o descentralizar”.

23. El esquema de IT Governance • Es el marco para la toma de decisiones, no es la toma de decisiones ni la gestión específica. • El Gobierno efectivo alinea inversiones y acciones de IT con las prioridades del negocio, determina quien toma las decisiones y asigna responsabilidades por las acciones. • Formaliza el proceso de toma de decisiones, acciones y rendición de cuentas (accountability). • No hay un “mejor modelo” (pese a las “mejores prácticas”): • Debe ser consistente con las diferentes estrategias y formas organizacionales. • Debe reconocer a la forma en que los agentes con influencia ejercen su poder para controlar las decisiones y las acciones tomadas por la organización, para diseñar un esquema que configurare el poder deseado.

24. El diseño del gobierno Se requiere un diseño explicito para alinear las decisiones, acciones y omisiones en el campo de los SI-TICs, estableciendo claramente. • La asignación de derechos y responsabilidades sobre las decisiones y acciones correspondientes a SI y TI tendientes al alineamiento de ellas con los objetivos estratégicos. • Definir responsables por cada tipo de decisión y acción. • El establecimiento de artefactos consistentes para tomar y monitorear esas decisiones y acciones. • Estructuras • Procesos • Comunicación, comprensión, transparencia • Aprobación de inversiones. Definir, revisar, priorizar y fondear. • Aprobación de excepciones. • Nivel de servicio. • Puntos de control y reporte en general • Retroalimentación

25. Participantes. En el diseño. • El nivel estratégico de la organización. En la explicitación del diseño (normas, procesos). • Las áreas técnicas. En la comunicación del diseño. • La dirección superior. En la ejecución. • La organización toda, según el tipo de decisión y de acción según se establezca en el diseño.

26. Decisiones a tomar en el diseño. • Establecer el marco de referencia y sistema de valores. Alineación o conjunción. Priorizar objetivos. • Eficiencia de costos. • Diferenciación. • Utilización de activos. • Crecimiento del negocio. • Flexibilidad para el negocio. • Innovación o seguimiento. • Establecer el correlato de tipo de decisión y estructura (fragmentación, cohesión), estableciendo, para cada tipo de decisión • El ámbito estructural donde se toma • Los procedimientos aplicables • Establecer los mecanismos de excepción. • Necesariamente respetuosos del ítem anterior.

27. Decisiones a tomar en el diseño. • Establecer el correlato entre posición estructural y responsabilidad en la respuesta para, al menos, cada uno de los siguientes interrogantes: • ¿Invertimos en las funcionalidades necesarias? (Efectividad) • ¿Invertimos de la mejor manera? (Eficiencia) • ¿Cuál es nuestro nivel de dependencia de la tecnología, y cuanto invertir para modificarlo? (Riesgo) • ¿Gastamos lo adecuado? (Supervivencia) • ¿Es necesario cambiar la tecnología? (Superación) • ¿Tenemos la agilidad adecuada? (centralización/descentralización)

28. Algunas herramientas de apoyo para la explicitación del esquema de IT Gov. Muy simples, pero efectivas si definidas, comunicadas y respetadas. • Definición de tipo clase de inversión y asignación de costos. • Matriz de participación en la toma de decisiones.

29. Informativo Estratégico Trasaccional Infraestructura Definición de clase de inversión y asignación de costos. • Determinar el tratamiento correspondiente a cada clase. • ¿Qué decisiones incentivamos al distribuir estas decisiones? • ¿Qué decisiones incentivamos al asignar estos costos? • ¿Distribuimos costos sin distribuir el control sobre ellos? Tener presente en el diseño del esquema de decisión y asignación de costos. (las clasificaciones son enunciativas, corresponde ajustarlas a cada organización).

30. Matriz de participación en la toma de decisiones. (ejemplo) Centralización Descentralización Esquema híbrido