ISACA Community Day

Se aproxima el cierre de renovaciones ISACA

i aún no has renovado, no lo olvides el plazo está próximo a vencerse, recuerda que ser miembro de ISACA te permite estar en una conexión global permanente con más de 159.000 profesionales en más de 180 países; Además, te permite el compartir cara a cara con otros profesionales locales por medio del Capítulo ISACA Bogotá con la finalidad de incrementar tus conocimientos y habilidades, realizar networking, prospectar negocios, e identificar nuevas oportunidades laborales.

Acceso Los miembros de ISACA tienen acceso a una amplia gama de programas para miembros, redes y variadas oportunidades de educación.

Beneficios Los miembros de ISACA cuentan con grandes beneficios en productos y servicios.

Conocimiento ISACA produce para sus miembros gran cantidad de publicaciones y guías de buenas prácticas en variados formatos.

ogotá, marzo 2018. ISACA Bogotá se une a la red de alianzas estratégicas que CxOforum viene suscribiendo como proceso clave para maximizar los esfuerzos en el fomento de la calidad, apoyo, sostenibilidad y las Buenas Prácticas de la comunidad.

La nueva alianza permitirá que ambas instituciones fortalezcan vínculos de cooperación a favor de la comunidad para, así, establecer una relación basada en el apoyo mutuo, uno de los lemas clave de CxOforum. En la actualidad, establecer alianzas estratégicas garantiza un trabajo enfocado y coordinado en dirección a objetivos en común, para favorecer el entorno empresarial y social.

“Esta exclusiva asociación fortalece el trabajo que CxOforum viene desarrollando año tras año en el Norte de Latinoamérica, la que puede ser comprobada a través de esta asociación con una comunidad altamente enfocada en la calidad y el espíritu colaborativo” anunció Ricardo Olarte Director de Cxoforum quien agregó: “Seguimos viendo la oportunidad de ampliar nuestra red de alianzas estratégicas a través de la adición de este tipo de organizaciones, que permitan unir fuerzas, estrategias y compartir experiencias favorables tanto para nuestros miembros como para la sociedad en general. No podríamos estar más contentos de estar asociado con una organización como ISACA”.

“Desde ISACA Bogotá consideramos de muy alto valor este tipo de alianzas en la cual compartimos el deseo de aportar y divulgar buenas practicas a los profesionales que agrupa CxOforum, Agradecemos esta oportunidad para aportar en el crecimiento de nuestro país desde nuestras comunidades y estaremos planeando como lograr fortalecer este trabajo conjunto” Menciono Victor Vasquez Presidente ISACA Bogotá.

Acerca de CxOforum:

CxOforum es una comunidad extendida en el norte de Latinoamérica conformada por Directivos de primera línea de las áreas de Tecnología, Mercadeo & Ventas, y Financieros de las principales organizaciones Públicas y Privadas del País. Así mismo, participan empresas líderes del Ecosistema Empresarial, de la Academia y de Medios, que aportan mejores prácticas y contenido en temas de liderazgo, innovación y tendencias.

CxOforum es una red de colegas y amigos, neutral, que no comercializa productos ni servicios. Su fin principal es el de construcción de comunidad, donde el espíritu colaborativo y el relacionamiento entre los miembros es el principal fin.

Visite Cxoforum: https://cxoforum.net/

Acerca de ISACA:

ISACA® (isaca.org) ayuda a los profesionales globales a liderar, adaptar y asegurar la confianza en un mundo digital en evolución ofreciendo conocimiento, estándares, relaciones, acreditación y desarrollo de carrera innovadores y de primera clase. Establecida en 1969, ISACA es una asociación global sin ánimo de lucro de 140 000 profesionales en 180 países. ISACA también ofrece Cybersecurity Nexus™ (CSX), un recurso integral y global en ciberseguridad, y COBIT®, un marco de negocio para gobernar la tecnología de la empresa. ISACA adicionalmente promueve el avance y certificación de habilidades y conocimientos críticos para el negocio, a través de las certificaciones globalmente respetadas: Certified Information Systems Auditor® (CISA®), Certified Information Security Manager® (CISM®), Certified in the Governance of Enterprise IT® (CGEIT®) y Certified in Risk and Information Systems Control™ (CRISC™). La asociación tiene más de 200 capítulos en todo el mundo.

¿Cómo han aportado ISACA, sus Certificaciones y el Capitulo Bogotá a mi desarrollo personal y profesional?

ntes de hablar sobre los efectos que ha tenido en mi desarrollo y ejercicio profesional la certificación en Cobit 5, lo primero que tengo que mencionar es que soy un convencido de Cobit 5 y la evolución que ha tenido desde que conozco el marco en su versión 2. Sí, soy un convencido de Cobit 5 como el marco de referencia de mayor cubrimiento en Gobierno y Gestión de TI, cuya articulación con otros marcos permite verticalizar en algunos temas según lo requiera el tamaño, naturaleza y actividad de la empresa.

Pero ¿cuál ha sido mi experiencia al contar con la certificación? Para empezar, diría que mayor credibilidad y autoridad. La certificación junto con mi experiencia y la confianza del Ingeniero Lucio Molina Focazzio, me llevó a un proyecto de evaluación de TI apoyado en el modelo evaluación de la capacidad de procesos en una importante entidad financiera de un país centroamericano. Allí, ante el dilema que tenían entre Cobit 5 e ITIL, la credibilidad otorgada por la certificación facilitó y reforzó la postura de que no había que escoger, que estos marcos trabajan juntos como lo hace Cobit 5 con muchos otros marcos. Ese es uno de los proyectos más exitosos en los que he trabajado. En este fue fundamental además de la participación del Ingeniero Lucio, el compromiso del cliente, pero la credibilidad, la confianza en nosotros, fue clave para lograr por parte del cliente un alto nivel de compromiso, de participación e incluso de disciplina. De ese proyecto recuerdo como anécdota que hubo un cambio de actitud hacia una mucho más abierta, más colaborativa, desde el momento en que solicitaron los soportes mi certificación en Cobit 5 y de paso otras.

Este es un ejemplo ya en mi ejercicio profesional como consultor independiente, pero como empleado en especial en el sector financiero, la certificación me dio credibilidad y autoridad al efectuar trabajos apoyados inicialmente en Cobit 4.1 y el modelo de madurez y en los últimos años con Cobit 5 y el modelo de evaluación de la capacidad de los procesos de TI. Pero lo más importante aquí no es la receptividad a los trabajos, sino que efectivamente apoyados en los diagnósticos realizados, se adoptaron mejoras a los procesos en beneficio del negocio.

La certificación también ha representado un paso importante para mí ya que es un requisito para llegar a ser el instructor de Fundamentos de Cobit 5 del capítulo. Este rol me ha permitido compartir y aprender de muchos profesionales aspirantes a la certificación y los cuales se han certificado con éxito.

Pero tal vez lo que más les interesa saber es acerca de las oportunidades profesionales que brinda el obtener la certificación en Cobit 5. Yo lo resumiría en pocos puntos, la certificación es una evidencia sólida de nuestro conocimiento en Cobit 5 y es útil para las empresas porque les facilita los procesos de selección permitiéndoles filtrar las hojas de vida de los candidatos sobre una base objetiva.  Por último, los invito a hacer una prueba, ingresen a alguna de las páginas reconocidas de ofertas de empleo y vean cuantas oportunidades resultan y la escala salarial al establecer como criterio de búsqueda Cobit. En resumen, la certificación brinda mayores oportunidades laborales y de desarrollo profesional tanto para empleados, como para profesionales independientes.

o siempre quise ser Ingeniero, mis papás dicen que desde que nací. Yo digo desde pequeño, lo que para los que me conocen quiere decir, desde siempre. Durante mi carrera en la Universidad Nacional de Colombia, en Bogotá, comencé a conocer varios caminos para ejercer como Ingeniero, y aunque siempre fue la seguridad la que más sentía que me calzaba, el destino quiso que mi camino iniciara con Auditoría, un tema del que para ese momento, realmente no conocía mucho.  Fue mi jefe, y uno de mis mentores,  Nelson Diaz en Cafam quien comenzó a enseñarme lo que era ser Auditor, él, un contador curtido y profesor en la Universidad Nacional me guio por conceptos que inicialmente no eran cercanos para mí, pero con su pasión por el tema me contagió y así inició mi camino en el control interno.  En ese momento, la mayoría en la organización eran contadores (por no decir todos) y a los ingenieros se nos veía como apoyo técnico en su labor, por lo que mi primer contacto con certificaciones fue la CIA (Certified Internal Auditor) del IIA (The Institute of Internal Auditors), la opción más lógica para un contador que quiere ser Auditor.  Así fue como investigando llegué a ISACA y la certificación CISA (Certified Information Systems Auditor), fue una decisión inmejorable.

Inicie a estudiar con el material oficial y descubrí que yo podía aportar mucho en la organización, no solo como apoyo al trabajo de los contadores sino estableciendo una práctica formal de auditoria de sistemas articulada, continua y robusta, situación que mis jefes apoyaron y motivaron, dándome mayor energía para presentar el examen, el cual afortunadamente aprobé.  Un par de años más tarde, hacia junio del año 2007, logré completar todos los requisitos y obtuve mi certificación, lo que abrió por completo mi panorama profesional, mejorando mis condiciones en la empresa donde trabajaba y dando partida a un camino de pasión por los Riesgos, la Seguridad, La Auditoria y el Gobierno de TI.

Comencé a participar activamente como voluntario en ISACA donde Carlos Villamizar fue mi mentor y como siempre los temas de seguridad fueron cercanos para mí, seguí con la certificación CISM (Certified Information Security Manager) ese mismo año, en diciembre, completando un hito en mi carrera profesional.  Esto hizo que una pequeña firma de consultoría en seguridad de la información se fijara en mí, y si bien era pequeña en tamaño, era inmensa en calidad humana, todos mis compañeros eran excepcionales, llenos de acreditaciones, títulos universitarios, maestrías, incluso doctorados, fue una época de mucho crecimiento, impulsaron mi sed de conocimiento, y entonces llegaron CGEIT (Certified in the Governance of Enterprise IT) en el 2008, CISSP (Certified Information Systems Security Professional) en el 2009 y  CRISC (Certified in Risk and Information Systems Control) en el 2010.  Y así he seguido buscando y retando mi conocimiento, aprendiendo y enriqueciendo mis capacidades con cada tema nuevo.  Vinieron algunas pocas más certificaciones, útiles como consultor, pero sin duda en mi vida CISA y CISM marcaron un punto coyuntural en mi vida profesional, he podido aportar en los cursos de repaso para que otros también logren las certificaciones y son uno de los activos profesionales más valiosos con los que cuento, pues me han permitido ejercer en diferentes lugares del mundo sin requerir una homologación adicional al reconocimiento que da el ser portador de estos avales. Las nuevas certificaciones de ISACA como CRISC, CGEIT y CSX van acordes con los temas que nos exige el mundo hoy, con los profesionales que requieren las compañías actualmente.  Yo me siento muy agradecido con el camino que llevo gracias a mis mentores y a estas certificaciones que me han abierto una gran cantidad de puertas, oportunidades y posibilidades increíbles.

¿Cómo han aportado ISACA, sus Certificaciones y el Capitulo Bogotá a mi desarrollo personal y profesional?

uento con las certificaciones CISA y CISM de ISACA desde el año 2012. Para mi estas certificaciones avalan el conocimiento y experiencia profesional adquirida desde que inicié mi carrera profesional como Auditora de Tecnología en la firma de Deloitte & Touche en el año 2007 y pienso que han sido un factor decisivo importante para ingresar a las empresas en que he trabajado posteriormente (incluso en varias ha sido un prerrequisito).

Siempre que tengo oportunidad, animo a mis colegas a optar por estas certificaciones pues estoy segura de que serán un valor agregado importante en sus hojas de vida y el proceso de preparación para obtenerlas les ayudará a afianzar muchos conocimientos que se tienen desde la práctica profesional.

Reminiscencias Basadas en COBIT

raíz de los 20 años de CoBiT estaba pensando en el día que conocí a Erik Guldentops[1], en un evento al que asistí como Vicepresidente Internacional de ISACA en Australia en el 2006. Erik, un belga, docente retirado y catalogado como el padre de CoBiT por haber liderado su desarrollo desde sus inicios y por ello es el único miembro vitalicio de ISACA, me habló un poco de sus experiencias con CoBiT demostrando su gran sencillez y conocimiento. Luego, gracias a información provista por Elia Fernandez, la chavita que siempre fue nuestra gran representante en ISACA HQ (Headquarters, sede principal de ISACA ubicada en Chicago) nos remontamos por allá a 1996  cuando se llevó a cabo un North América CACS en la ciudad de Houston, Texas, durante el cual se llevó a cabo el Primer Taller de COBIT impartido por Erik y por John Lainhart[2] de Estados Unidos.

De acuerdo con Elia, aquel primer Taller de COBIT incluyó casos de implementación de COBIT en un par de organizaciones entre las cuales había una empresa Sudafricana y otra de la industria química. Por primera vez se reunían aproximadamente 120 profesionales de la auditoría de Sistema de diversos países del mundo, para participar en un taller que dio el banderazo para lo que hoy son 20 años de éxito de COBIT.

Gracias a los comentarios de Elia entablé comunicación con John Lainhart, quien me comentó que en junio de 1993, asistió en Minneapolis a la reunión anual y conferencia de la Asociación. Durante el crucero de gala del evento, Erik lo arrinconó para preguntarle si aceptaría hacer parte del equipo de trabajo (Task Force) para crear COBIT. Erik le hizo la invitación porque John había escrito un documento de Objetivos de Control para ISACA, el cual sería reemplazado por COBIT.

John no estaba “sintonizado” con el concepto de COBIT que Erik había desarrollado pero entendió que Erik quería que John fuera la persona más crítica en el equipo de trabajo de COBIT con el fin que cuestionara lo que se estaba haciendo para estar seguros que COBIT fuera de real valor para los miembros de ISACA. Como se pudo apreciar después, John se convenció, una vez se desarrolló COBIT, que Erik era un visionario y COBIT era muchísimo mejor que los Objetivos de Control que había desarrollado y que COBIT se convirtió en el estándar de facto para el Gobierno de TI y para los controles de TI que el mundo estaba necesitando.

John Lainhart se quedó trabajando con COBIT a partir de ese día, desempeñando varias funciones que apoyaron el desarrollo de las versiones 1, 2, 3, 4 y 5. Esta última versión fue apoyada por John y desarrollada con Derek Oliver.

De acuerdo con las palabras de John Lainhart “Erik tuvo la visión que nos hacía falta para la generación del producto más valioso de ISACA y, por ende, de sus miembros. COBIT es su bebé – un homenaje en vida a Erik!”

Siguiendo con las reminiscencias sobre CoBiT me fui al año 2000, sí, el año del Y2K, pero año también del lanzamiento de la versión 3 de COBIT, cuando los indicadores y el modelo de madurez de la capacidad entraron a hacer parte de CoBiT. Por esa época (2003) conformamos un equipo para atender una solicitud de ISACA HQ relacionada con la revisión de la traducción de esta versión al español.

Este equipo fue conformado por Johann Tello (quien también fue vicepresidente Internacional de ISACA, así como presidente del Capítulo de Panamá y uno de los más grandes apoyos latinoamericanos ante el Board de ISACA HQ), Gustavo Solís Montes, otro de nuestros excelentes vicepresidentes internacionales y presidente del Capítulo de México DF por varios años y  por Rocio Torres Suarez, una de mis estudiantes de la Especializacion de Auditorías de Sistemas de una universidad bogotana y quien actualmente se desempeña en un alto cargo en una entidad Aseguradora, quien proveyó un apoyo invaluable en las revisiones, y por mi como Chair (director). Aunque parezca sencillo, este tipo de trabajos no son fáciles, implican trabajo adicional al normal de nuestra cotidianidad, trasnochos, conversaciones por internet pues no solo es necesario revisar la terminología para que sea lo más neutral posible sino también el sentido de las oraciones pues muchas veces quien traduce no conoce o entiende todo el concepto de lo que traduce. Como ustedes saben ISACA se apoya en voluntarios y por ello, aunque no recibimos pago en dinero si fuimos relacionados con nuestros nombres dentro del framework, lo cual para nosotros representó un gran honor.

Este trabajo fue uno de mis mayores orgullos y me llevó a profundizar mucho más sobre mis conocimientos sobre este framework, que para mí es el “MAS” (¿recuerdan a Animal Planet?? Cuando hablan del más venenoso, del que más corre, del que más come, del que más vuela??) Pues CoBiT es el “MAS” ya que es el titiritero que direcciona y coordina todos los demás Frameworks, estándares y normas internacionales relacionadas con TI para ayudarle a TI a alcanzar sus objetivos y a implementar Gobierno y Gestión de TI en la organización.

Empezamos a realizar auditorías de sistemas en diferentes entidades financieras, industriales y de petróleos a nivel latinoamericano. Y gracias a esto las áreas de TI empezaron a “blindarse” implementando los controles recomendados por COBIT. “El principal sueño de las áreas de TI es que la auditoría no encuentre nada que decir”. Y se empezó a enseñar CoBiT en las universidades a nivel de posgrado y es tema obligado en los LatinCACS.

Pasó el tiempo y llegó COBIT 4 y empezamos a hablar con más propiedad sobre gobierno de TI basados en el pentágono, (lo recuerdan?? Alineamiento estratégico, entrega de valor, gestión de riesgos, gestión de recursos y gestión del desempeño). Y aparecieron los instructores acreditados (COBIT Trainers) por ISACA para enseñar el uso y aplicación de COBIT a través de sus cursos de Fundamentos y de Implementación.

La banca a nivel mundial y obviamente en Colombia también empezó a aplicar COBIT, algunos sin saberlo pues los reguladores financieros, incluyendo la Superintendencia Financiera de Colombia, nunca ha dicho que sus normas se basan en COBIT, pero si enuncia, define y describe sus procesos de acuerdo con COBIT. La superintendencia Financiera (Conasif) de Costa Rica ha sido más clara en dar a entender que su normatividad a nivel de TI se basa en CoBiT y acaba de emitir una norma donde obliga a sus supervisados a aplicar CoBiT 5 para implementar Gobierno y gestión de TI en las entidades vigiladas. Cientos de profesionales empezaron a certificarse especialmente en Fundamentos.

Pero llegó el momento en que Ecopetrol, la mayor empresa petrolera de Colombia y una de las más grandes de la región latinoamericana, empezó a cotizar en Bolsa de New York (fue la primera empresa colombiana en hacerlo) y… ¡ohhh que sorpresa!, era necesario encontrar un framework que definiera los controles mínimos a implementar a nivel de TI para cumplir con la ley Sarbanes Oxley. Y luego de una exhaustiva búsqueda Ecopetrol encontró que la solución era COBIT y gracias a un equipo extraordinario, interdisciplinario entre funcionarios de Ecopetrol y terceros, del cual hice parte, y a un trabajo titánico esta entidad petrolera cumplió con los requerimientos SOX y fue considerado por ISACA como un caso de éxito[3]. Todo esto apoyados también por documentos como COBIT for SOX del cual ya hay una versión para COBIT 5[4].

Claro, ya venía COBIT 5, una versión muy esperada. Para la elaboración de este framework ISACA HQ me invitó a participar en el equipo de elaboración y revisión de los diferentes documentos desde el 2010. Otro trabajo titánico con talleres en Chicago, envío y remisión de documentos y finalmente en mayo de 2012 es publicada esta versión. Por fin vemos una clara separación entre Gobierno y Gestión de TI. Por esa época ISACA me solicita que dé el primer taller de COBIT 5 en Bogota durante el LatinCACS de ese año. A dicho taller asistieron profesionales de toda la región quienes quedaron muy motivados para profundizar y aplicar COBIT 5.

Y ya estamos en el 2017, ya contamos con instructores (personas y empresas) denominados ATOs (Authorized Trainer Organizations) para impartir cursos de COBIT a nivel de Fundamentos, Implementación y Asesor / evaluador. Adicionalmente, ISACA provee la certificación de CoBiT Certified Assessor a quienes han pasado los exámenes y demuestran experiencia en la aplicación del modelo de valoración. Cada vez hay más interés por estas certificaciones y cada vez más profesionales de todo el mundo se interesan en el tema. Es una bola de nieve que sigue creciendo. Cada vez más empresas solicitan que sus funcionarios estén certificados y que quien aspire a un puesto dentro de áreas de Gobierno, gestión, control, auditoría, riesgos, seguridad y cumplimiento esté certificado por lo menos en Fundamentos.

Y aquí llego con mi historia solo para agregar que COBIT 4 sigue vivo, que las empresas que se encuentren aplicando esta versión no tienen problemas y, como lo pude comprobar en una reunión celebrada con la banca colombiana hace un tiempo, no todos los bancos están interesados en pasar a COBIT 5, pues están en su área de confort con la versión 4. ISACA sigue soportando esta versión y prueba de ello es la publicación del PAM (Process Assessment Model) para CoBiT 4.  Y los que quieran migrar, como ya lo están haciendo algunas organizaciones, no deben olvidar que el modelo de valoración cambio y que habrá que hacer lobby para explicar a la alta gerencia este cambio para no parecer que los procesos se degradaron luego de venir siendo valorados con COBIT 4 y ahora hacerlo con COBIT 5 ya que existe una alta probabilidad que un proceso que estaba en nivel 3 de la versión 4 quede en nivel 1 al aplicar el modelo de valoración de CoBiT 5.

En esta historia hay muchos héroes (unos anónimos y otros no) a nivel mundial y de Latinoamérica que no puedo nombrar pues no los recuerdo a todos aunque pueden ver la relación de profesionales en las páginas de agradecimientos de los documentos de COBIT. Entre algunos de los que recuerdo están: Erik Guldentops de Bélgica, A. Rafeq de India, Gary Hardy de Sudáfrica, Steven de Haes de Bélgica, Max Shanahan de Australia, Urs Fischer de Suiza, Sushil Chatterji de Singapur, Derek Oliver de Reino Unido, John Beveridge de Estados Unidos, Gustavo Solís de México, Mauro Eidi Villola Assano de Brasil, Robert Parker de Canadá, Rafael Fabius de Uruguay, Gary Bannister de Inglaterra. Y en nuestra región no puedo dejar de mencionar otros expertos que han venido promoviendo la difusión de COBIT: Fabiana Marges de Argentina, Antonio de Sousa de Brasil, Milthon Chávez de Venezuela, Gustavo Adolfo Solís de México, Johann Tello de Panamá, Alexander Zapata de Colombia, Juan Carlos López de Ecuador y Juan Dávila del Perú.

• [1] https://en.wikipedia.org/wiki/Erik_Guldentops
• [2] http://www.businessofgovernment.org/bio/john-w-lainhart
• [3] http://www.isaca.org/Knowledge-Center/cobit/Pages/COBIT-Case-Studies.aspx.
• [4]  IT Control Objectives for Sarbanes Oxley. Using COBIT 4 in the Design and Implementation of Internal Controls Overt Financial Reporting.