ISO 38500

La ISO/IEC 38500 es un estándar internacional para el Gobierno de TI. Provee un marco para gobernar las TI al interior de las organizaciones, brindando un conjunto de principios que son de interés de la alta dirección en los procesos de evaluación, dirección y seguimiento al uso de las tecnologías de la información (TI).

El estándar es mantenido de manera conjunta por la Organización Internacional de Estandarización y la Comisión Electrotécnica Internacional.

El estándar cuenta con las siguientes versiones:

• ISO/IEC 38500:2008
• ISO/IEC 38500:2015

La norma se aplica al gobierno de los procesos de gestión de las TI en todo tipo de organizaciones que utilicen tecnologías de la información, facilitando unas bases para la evaluación objetiva del gobierno de TI.

Dentro de los beneficios de un buen gobierno de TI estaría la conformidad de la organización con:

• los estándares de seguridad.
• legislación de privacidad.
• legislación sobre el spam.
• legislación sobre prácticas comerciales.
• derechos de propiedad intelectual, incluyendo acuerdos de licencia de software.
• regulación medioambiental.
• normativa de seguridad y salud laboral.
• legislación sobre accesibilidad.
• estándares de responsabilidad social.

También la búsqueda de un buen rendimiento de la TI mediante:

• apropiada implementación y operación de los activos de TI.
• clarificación de las responsabilidades y rendición de cuentas en lograr los objetivos de la organización.
• continuidad y sostenibilidad del negocio.
• alineamiento de las TI con las necesidades del negocio.
• asignación eficiente de los recursos.
• innovación en servicios, mercados y negocios.
• buenas prácticas en las relaciones con los interesados (stakeholders).
• reducción de costes.
• materialización efectiva de los beneficios esperados de cada inversión en TI.

La norma incluye definiciones de términos, entre los que se destacan:

Gobierno corporativo de TI (corporate governance of IT): El sistema mediante el cual se dirige y controla el uso actual y futuro de las tecnologías de la información

Gestión (management): El sistema de controles y procesos requeridos para lograr los objetivos estratégicos establecidos por la dirección de la organización. Está sujeta a la guía y monitorización establecida mediante el gobierno corporativo.

Interesado (stakeholder): Individuo, grupo u organización que puede afectar, ser afectado, o percibir que va a ser afectado, por una decisión o una actividad.

Uso de TI (use of IT): Planificación, diseño, desarrollo, despliegue, operación, gestión y aplicación de TI para cumplir con las necesidades del negocio. Incluye tanto la demanda como la oferta de servicios de TI por unidades de negocio internas, unidades especializadas de TI, proveedores externos y "utility services" (como los que se proveen de software como servicio).

Conducta humana (human behavior): La comprensión de las interacciones entre personas y otros elementos de un sistema con la intención de asegurar el bienestar de las personas y el buen rendimiento del sistema. Incluye la cultura, necesidades y aspiraciones de las personas como individuos y como grupo.

La norma define seis principios de un buen gobierno corporativo de TI:

• Responsabilidad

Todo el mundo debe comprender y aceptar sus responsabilidades en la oferta o demanda de TI. La responsabilidad sobre una acción lleva aparejada la autoridad para su realización.

• Estrategia

La estrategia de negocio de la organización tiene en cuenta las capacidades actuales y futuras de las TI. Los planes estratégicos de TI satisfacen las necesidades actuales y previstas derivadas de la estrategia de negocio.

• Adquisición

Las adquisiciones de TI se hacen por razones válidas, basándose en un análisis apropiado y continuo, con decisiones claras y transparentes. Hay un equilibrio adecuado entre beneficios, oportunidades, costes y riesgos tanto a corto como a largo plazo.

• Rendimiento

La TI está dimensionada para dar soporte a la organización, proporcionando los servicios con la calidad adecuada para cumplir con las necesidades actuales y futuras.

• Conformidad

La función de TI cumple todas las legislaciones y normas aplicables. Las políticas y prácticas al respecto están claramente definidas, implementadas y exigidas.

• Conducta humana

Las políticas de TI, prácticas y decisiones demuestran respeto por la conducta humana, incluyendo las necesidades actuales y emergentes de toda la gente involucrada.

La dirección ha de gobernar la TI mediante tres tareas principales:

• Evaluar

Examinar y juzgar el uso actual y futuro de las TI, incluyendo estrategias, propuestas y acuerdos de aprovisionamiento (internos y externos).

• Dirigir

Dirigir la preparación y ejecución de los planes y políticas, asignando las responsabilidades al efecto.

Asegurar la transición correcta de los proyectos a la producción, considerando los impactos en la operación, el negocio y la infraestructura.

Impulsar una cultura de buen gobierno de IT en la organización.

• Monitorizar

Mediante sistemas de medición, vigilar el rendimiento de la TI, asegurando que se ajusta a lo planificado.

Para cada uno de los principios, la norma proporciona una breve guía u orientación sobre cómo evaluar, dirigir y monitorizar la función de TI.

Son orientaciones generales que no incluyen mecanismos, técnicas o herramientas concretas.