Informe del Comité de Auditoría No 36 Junta Directiva Octubre 2012

1. Informe del Comité de Auditoría No 36 Junta Directiva Octubre 2012

2. Temas Tratados Metodología de gestión del error. Avance Proyecto Seguridad de Información Pendiente del Comité: Estrategia Tecnológica para fortalecer el control interno y administrar los riesgos. Informe de Auditoría Interna Auditoría CND-ASIC-LAC-TIES Aspectos Relevantes Estados Financieros Informe del Revisor Fiscal

3. Metodología de Gestión del Error Referenciamiento en el Sector Aeronáutico La accidentalidad en aviación, atribuida al factor humano, continúa siendo un desafío en investigación científica ya que es causa de un 70% a un 80% de los accidentes. Similitudes aviación - operación en XM • Operación de Sistemas de Tiempo Real. • Decisiones rápidas de alto impacto económico y humano. • Centro de control de operación con agentes distribuidos en grandes regiones. • Campo laboral de la ingeniería. • Las TICs son soporte fundamental de sus procesos. * Baja alerta situacional (conciencia situacional) * Juicio y decisión inadecuados * Coordinación inadecuada de tripulación * Estrés * Falta de adherencia a procedimientos estandarizados * Fatiga Causas La Gestión del Error en XM es una práctica de tratamiento de incidentes (eventos), apoyada en el sistema existente, pero complementada con herramientas metodológicas usadas en el sector aeronáutico, su primera etapa se enfoca en procesos de operación en tiempo real (CND), progresivamente se irá complementando el modelo para las demás áreas. Al respecto, el Comité recomendó realizar un referenciamiento con el sistema bancario para ajustar la metodología para los procesos de administración del mercado.

4. 2. Avance Proyecto Seguridad de Información Proceso recomendado a certificar - Norma ISO\IEC 27001 • La mejores prácticas recomiendan iniciar la certificación con un sólo proceso, que sea de impacto y que genere confianza en los clientes. De esta forma no sólo se adquiriría la experiencia sino que se obtendría la certificación para uno de los procesos críticos de XM. • Para seleccionar el proceso propuesto a certificar se realizó un análisis interno por parte de un equipo interdisciplinario con diferentes criterios como por ejemplo: madurez del proceso, impacto, plataforma tecnológica y riesgos, entre otros. • Despacho es el proceso más cercano frente a los requisitos de la Norma 27001, es un proceso de impacto hacia el cliente y maneja información confidencial. Proceso propuesto a certificar 27001 Nota: Se comprometió con el Comité de Auditoría tener al final del trabajo el plan completo de los otros procesos a certificar en la norma.

5. 3. Pendiente del Comité: Estrategia Tecnológica para fortalecer el control interno y administrar los riesgos. Estrategia Tecnología: Evolución Modelo de Gestión de TI Modelo organizacional de TI – Implementación de procesos y políticas Ajustes Modelo organizacional Operacionalizar modelos de gobernabilidad Implementar estrategia de tercerización Desarrollar nuevas competencias Reforzar apalancamiento en el Grupo ISA Definición y explotación de la cuarta competencia Modelo de gestión Metodología de gestión desarrollo de soluciones Metodología de Ingeniería de requisitos Modelo de gestión de servicios de TI - ITIL Prospectiva para nueva arquitectura Seguridad de la Información Renovación Infraestructura tecnológica y aplicaciones Evolución hacia nueva arquitectura empresarial Plataforma de integración de procesos, información y aplicaciones Resultados Inteligencia de Negocios - Portales Iniciativas de negocio y cambios regulatorios Innovación y Habilitación de Nuevos Negocios

6. 4. Informe de Auditoría Interna De acuerdo con los resultados de las auditorías presentadas en el Comité de Auditoría de Octubre, se destaca:

7. Revisión Información Proyectos de Inversión de Máximo Nivel 4. Informe de Auditoría Interna Impacto en los Indicadores Indicador de Cronograma (SPI) Indicador de ejecución de costos (CPI) • Las diferencias en los indicadores se generan por el efecto del ajuste en cronograma principalmente. • Impacto en la Compensación Variable y el Incentivo por Resultados: • Trim I/12: No afecta • Trim II y III/12: Por indicador SPI: En aprox. un 4% menor al valor efectivamente pagado y/o causado. El ajuste se realizará en el pago de octubre. • El indicador CPI hace parte de la compensación variable anual, por lo tanto, no ha tenido impacto todavía.

8. Lecciones aprendidas – Comité de Gerencia 4. Informe de Auditoría Interna

9. 5. Resolución CREG 155/ 2011: Auditoría CND-LAC-ASIC-TIES • XM ha gestionado el proceso de contratación para dar cumplimiento a la regulación vigente.

10. 6. Estados Financieros Se presentó seguimiento a la ejecución presupuestal con corte a agosto de 2012 de: Se presentó igualmente la perspectiva al cierre de 2012 El Comité manifestó su conformidad con la gestión, la información y las explicaciones correspondientes.

11. 7. Informe del Revisor Fiscal El Revisor Fiscal presentó un informe de los aspectos revisados a la fecha: controles generales de tecnología y procesos y controles significativos: cuentas del mercado, costos, compras y cuentas por pagar. En controles tecnológicos observó una cuenta de una persona retirada de XM activa en el sistema SAP, la cuenta no se utilizó. XM ya corrigió dicho aspecto. En los demás procesos no fueron identificados asuntos significativos a reportar.