Los marcos para la gobernanza y gestión de las tecnologías de la información (TIC) surgieron como respuesta a la necesidad de contar con prácticas comunes para la gestión de activos de información, y establecer controles para paliar y mitigar los efectos negativos de los riesgos. El desarrollo de estos marcos y el concepto de gobernanza adquirieron relevancia a partir de la década de los noventa, con la publicación del Informe Cadbury (Financial Reporting Council, 1992) y los Principios de gobernanza corporativa de la OCDE (1998). Su desarrollo ha sido resultado de una acción progresiva, alineada con los cambios producidos en la sociedad de la información y en las tecnologías (Gelbstein, 2016).

El principal objetivo de la gobernanza de las TIC es la dirección y control del uso actual y futuro de las tecnologías de la información (ISO/IEC 38500, p. 8). La evolución de las tecnologías implica oportunidades y riesgos que obligan a establecer controles para evitar la pérdida o el deterioro de la información, asegurar su fiabilidad, autenticidad y accesibilidad. La gobernanza debe atender al complejo nexo entre datos y tecnologías que constituye la base para asegurar la prestación de servicios y la ejecución de las actividades cotidianas de las organizaciones. En la actualidad, las iniciativas de digitalización vuelven a situar a las TIC y a la información – en cualquiera de sus formas – entre los principales activos de las organizaciones junto al capital humano y el intelectual, y se exige redefinir los procesos de negocio a partir de volúmenes crecientes de datos y de la eclosión de nuevas tecnologías.

La gestión de los activos de información debe considerar riesgos asociados a la privacidad, precisión e integridad de los datos y establecer mecanismos de control y auditoría (Smallwood, 2014). Recae sobre la dirección de las organizaciones cualquier responsabilidad derivada del incumplimiento de la legislación sobre privacidad, protección de datos, retención de información, etc., así como las del incumplimiento de los requisitos de continuidad y sostenibilidad. Solo mediante una planificación y control efectivo de su información documentada– si utilizamos la terminología de ISO 9000 – y de las tecnologías, pueden las organizaciones avalar su trayectoria y dar testimonio fiel de sus actividades.

Se han formulado distintas respuestas a estas necesidades, entre ellas el desarrollo de marcos de referencia y normas internacionales. Entre los primeros destaca, por su amplia adopción internacional, las guías y pautas publicadas por ISACA (Information Systems Audit and Control Association) en su modelo COBIT (Control Objectives for Information and related Technology). Otro referente que debe citarse es la norma internacional ISO/IEC 38500, dedicada en exclusiva a la gobernanza corporativa de las TIC. Sirven de apoyo a ésta otras normas de contenido más técnico como ISO/IEC 27001 e ISO/IEC 20000, orientadas a la gestión de la seguridad de la información y a la gestión de servicios.

Los objetivos de estos referentes para la gobernanza TIC nos llevan a considerar su paralelismo con los estándares para los sistemas de gestión de documentos (SGD) definidos en las normas ISO 15489 e ISO 30301. El propósito y evolución de estas normas ha sido discutido en distintas contribuciones (Bustelo, 2007; Healy, 2010; Joseph y otros, 2012; García-Morales, 2014), así como su aplicación práctica (Dherent, 2006; Grimal-Santos y otros, 2009; García-Alsina, 2012; Oliver, 2014). Su relación con otras normas de gestión también ha sido analizada: Lomas (2010) trató la compatibilidad entre ISO 15489 e ISO 27000; Moro-Cabero y otros (2011) estudiaron la complementariedad de ISO 15489 con ISO 9000, ISO 14000 e ISO 27000, y Conde-Hernad y Gonzalez-Gaya (2013) describieron su uso como base para la gestión de documentos en sistemas de gestión de calidad ISO 9001.

Sin embargo, en la literatura no se encuentra ningún análisis entre las normas de gestión de documentos y su aplicación en el contexto de la gobernanza. En los siguientes apartados se presentan las características de los marcos de referencia para la gobernanza TIC, y un análisis de su complementariedad con las normas de gestión de documentos ISO 15489 e ISO 30301.

El trabajo pretende analizar la complementariedad de estos marcos y normas, y dar respuesta a las siguientes interrogantes:

Las principales referencias para la gobernanza TIC las encontramos en el modelo COBIT y en la norma ISO 38500.

El primero – COBIT - es el marco más popular, y la principal contribución de la organización internacional ISACA, creada en 1967 con el fin de desarrollar guías en el área de auditoría de sistemas de información. Esta surgió en la década de los setenta como una actividad de apoyo a la auditoría financiera y contable, y en respuesta a la informatización de la gestión económica de las empresas. La adherencia a las pautas dictadas por ISACA permite a los profesionales actuar con homogeneidad en los procesos de auditoría. ISACA también ofrece servicios de certificación de habilidades y conocimientos para la planificación, despliegue, control y auditoría de sistemas de información1. Las actividades de difusión se materializan a través de publicaciones como ISACA Journal y conferencias internacionales. En la actualidad, cuenta con presencia en más de ochenta países y con más de cien mil profesionales asociados procedentes de distintos sectores: finanzas, administración pública, servicios, industria, etc. En España cuenta con tres delegaciones en Barcelona, Madrid y Valencia.

COBIT se publica desde 1996, y proporciona una visión global para la gobernanza de los sistemas de información de las organizaciones, si bien inicialmente se centró en las prácticas de auditoría. Posteriormente, se amplió su alcance para cubrir las áreas de gestión, control y gobierno de las TIC y asegurar que éstas se alinean con las necesidades de las partes interesadas, se planifican, monitorizan y controlan (Smallwood, 2014). La última revisión se ha publicado recientemente: COBIT®2019. Las sucesivas versiones de COBIT añadieron guías y pautas para la autoevaluación, indicadores de desempeño, y evolucionaron el conjunto de procesos para alinearse con otros marcos independientes como Val IT, Risk IT o ITIL. Esta evolución incorporó una perspectiva global para la gestión de la información – no sólo de las TIC - como activo estratégico para asegurar el cumplimiento de las regulaciones, marcos legales y normativos que conforman el contexto en el que opera una organización. Aunque COBIT y las normas de gestión de documentos han tenido un origen y una evolución independientes, se puede observar un aspecto común entre ambas; ISO 15489, que se publicó con posterioridad a COBIT, su primera versión en 2001, recogía en su capítulo 5 la necesidad de “identificar el marco reglamentario que afecta a las actividades de la organización” y el que la organización “debería poder probar a través de sus documentos que realiza sus actividades de acuerdo con el marco reglamentario.”

COBIT parte de dos principios: la información es un recurso clave para cualquier organización, y la tecnología permite generarla y custodiarla (Anderson, 2012). El modelo facilita definiciones, buenas prácticas y modelos estructurados en torno a cinco principios y siete facilitadores.

Los cinco principios son los siguientes (ISACA, 2012a, p. 13):

En la nueva versión de COBIT, estos principios se han reformulado ligeramente para hablar de un sistema de gobernanza dinámico y adaptado a las necesidades de la organización.

Junto a estos principios, COBIT define los llamados factores habilitadores, facilitadores o catalizadores (este último término es el utilizado en la documentación oficial en español). Se refieren a los factores que permiten alcanzar las metas y los objetivos de la organización. La versión 2019 mantiene los siete catalizadores de la versión anterior, si bien se opta por hablar de componentes del sistema de gobernanza que – de forma individual o conjunta, contribuyen a la misma e interactúan entre sí. Los catalizadores incluyen: 1. Principios, políticas y marcos de referencia, 2. Procesos, 3. Estructuras organizativas, 4. Cultura, ética y comportamiento, 5. Información, 6. Servicios, infraestructura y aplicaciones, y 7. Personas, habilidades y competencias.

La definición de los catalizadores se basa en un esquema con cuatro dimensiones: partes interesadas, metas, ciclo de vida y buenas prácticas, a los que unen mediciones para evaluar si se alcanzan las metas, se aplican las buenas prácticas y si se responde a las expectativas de las partes interesadas. En la versión 5 los catalizadores se desarrollan en distintas guías y documentos, aun no revisados para la nueva versión. En ellos se establecen cuarenta objetivos para la gobernanza TIC, guías de diseño y pautas de implantación, un modelo de calidad de la información y una descripción de los procesos de administración y gobierno de sistemas de información (ISACA, 2013).

En el ámbito de la normativa internacional ISO, la norma UNE/ISO 38500 establece el vocabulario y seis principios para la gobernanza (responsabilidad, estrategia, adquisición, desempeño, cumplimiento y conducta humana), con referencias a la gestión de activos de información y del conocimiento estratégico de las organizaciones. Sin embargo, su nivel de detalle dista del que ofrece COBIT.

Resulta obvio que debe de ser posible establecer cierto paralelismo entre los marcos y normas de gobernanza – y en particular COBIT - y los estándares para gestión de documentos ISO 15489 e ISO 30301. En ambos casos se parte del reconocimiento de la importancia que tienen los datos y la información en las actividades de las organizaciones, y de su valor para demostrar el cumplimiento de requisitos legales, compromisos contractuales y para garantizar la transparencia. ISO 15489 señala “el papel de los documentos como facilitadores de las actividades y como activos de información” (p. 5) e ISO 30301 que “la creación y gestión de documentos es una parte integral de las actividades, procesos y sistemas de las organizaciones” (p. 6). Sin embargo, los anexos de COBIT que establecen correspondencias con otras normas no incluyen ninguna mención explícita a las normas ISO para la gestión de documentos, aspecto que resulta sorprendente. Sí lo hace con otras normas como ISO 38500, ISO/IEC 31000, ISO/IEC 27000 y para marcos como PRINCE2®, TOGAF® o ITIL®.

Esta limitación lleva a considerar la necesidad de realizar un análisis comparativo entre las normas de gestión de documentos y el marco COBIT, con el fin de establecer paralelismos, áreas de influencia, y establecer una trazabilidad que haga posible su correlación y facilite su uso conjunto. Esta trazabilidad situaría a las normas de gestión de documentos en un contexto más amplio que contribuiría a darles una mayor visibilidad, y con ello a apreciar y extender su valor. Por otra parte, el modelo COBIT se puede beneficiar de un enfoque más preciso para la valoración, control y auditoría de la información no estructurada.

Como parte del estudio se realizó un análisis previo de la bibliografía para encontrar referencias conjuntas a ambos marcos y normas. Se identificaron referencias puntuales en los siguientes documentos publicados por ISACA:

Se aprecia – mediante estas referencias – que la visibilidad de las normas de gestión de documentos dista de ser la que podría preverse. Destaca la falta de referencias a la norma ISO 30301, y el hecho de que la única trazabilidad que se ha establecido se haya hecho respecto a la versión obsoleta ISO 15489-1:2001. Por estos motivos, se reitera la necesidad de un estudio comparativo con el fin de identificar sinergias y mejoras.

La metodología propuesta para hacer este ejercicio se basa en el análisis de distintos textos de referencia, con el fin de establecer la trazabilidad entre los principios, catalizadores y procesos COBIT a los distintos apartados de las normas de gestión de documentos. El estudio se ha acotado a la ISO 15489-1:2016 e ISO 30301:2012. La estrecha relación y la complementariedad que existe entre ellas permiten hablar de un marco normativo común en el que tienen cabida otras normas internacionales de carácter más técnico, como las dedicadas a la gestión de metadatos (ISO 23081), requisitos funcionales (ISO 16175) o directrices para la digitalización (ISO TR 13028) entre otras.

El análisis de los textos se completó con la ayuda de la herramienta Atlas.TI, que permite la codificación y categorización de los datos y su análisis concurrente. Estas técnicas son habituales en las metodologías de investigación cualitativa (Runeson et al., 2012, 64). La codificación se puede completar en distintas etapas: a) codificación abierta, donde se extraen de los datos las categorías y sus códigos relacionados; b) codificación axial, donde se identifican conexiones entre categorías y códigos; y c) codificación selectiva, donde se identifica y describe la categoría principal. En la primera se identifican las palabras, términos o conceptos que aparecen en los documentos y se etiquetan mediante códigos, identificándose indicadores (palabras, frases o párrafos) que hacen referencia a eventos o ideas a los que se asignan nombres representativos o códigos. Estos se definen como “ideas descriptivas o explicativas, ítems con significado comprendidos en una palabra, etiqueta o símbolo.” (Birks y Mills 2011, 89).

Los códigos son una forma de referirse a conceptos o patrones que aparecen de forma recurrente en los datos analizados. Constarán de dos o tres palabras que representan un concepto clave (Hoda y otros, 2010). En el proceso de codificación se pueden etiquetar fragmentos literalmente, tal cual figuran en la fuente de información, que reciben el nombre de códigos in vivo. La diferencia entre códigos y conceptos es que éstos ofrecen una representación abstracta de un evento, objeto o acción significativa (Hook, 2015).

A partir de la codificación inicial, el análisis procede con la identificación de categorías o grupos de códigos relacionados. Se dice que se produce la saturación de las categorías cuando los nuevos códigos que se identifican en los datos se encuadran en categorías existentes y no se precisa añadir ninguna categoría adicional. Conforme se capturan códigos, se realiza su análisis, de forma concurrente, estableciendo relaciones entre ellos. Cada nuevo código que emerge de los datos se contextualiza con los obtenidos anteriormente, detallándose la relación que existe entre ellos. Este análisis y la interpretación de los datos obligan a comparar casos o incidentes, códigos y categorías de forma continua, con una introspección sistemática por parte del investigador, método que se considera válido para el desarrollo de nuevo conocimiento (Glinz y Fricker, 2015).

En este estudio, se ha aplicado esta técnica para extraer los distintos conceptos presentes en las normas y en los identificados en los documentos publicados por ISACA (véase apartado con la bibliografía) en forma de códigos, apuntando cada uno de ellos a los fragmentos de los documentos donde se definen o mencionan. Por ejemplo, el código “partes interesadas” se identifica en distintos fragmentos de la norma y de los documentos publicados por ISACA, aunque con distintas formas. A partir de este listado de códigos se establecen las similitudes que presentan los dos marcos de referencia y que se describen en el siguiente apartado del artículo.

La realización del estudio basado en técnicas de codificación, partió de la identificación de los principales conceptos y categorías en el modelo COBIT. A partir de ellos se estableció un conjunto inicial de categorías usado como referencia para procesar el contenido de las normas de gestión de documentos. En los siguientes apartados se presentan las conclusiones del estudio, a partir de los principios y de los catalizadores COBIT.

La información que produce una organización como resultado del desarrollo de su actividad y para dar cumplimiento a sus objetivos, constituye un valioso activo, al servir de respaldo a las actividades y decisiones y al permitir la rendición de cuentas a las partes interesadas desde los puntos de vista empresarial y legal.

Como consecuencia del desarrollo de las TIC, esta información se crea y gestiona mayoritariamente con el soporte de complejas infraestructuras informáticas. La adopción de las TIC ha supuesto ventajas como la agilidad en los procesos, el aumento exponencial de la capacidad de almacenar datos y mayores posibilidades de recuperación y difusión. Pero al mismo tiempo ha generado nuevos riesgos asociados tanto a posibles problemas técnicos como organizativos: exceso de información y de datos, control y acceso a información confidencial o privilegiada, exposición a amenazas y ataques, etc.

Esto ha llevado a las comunidades profesionales a establecer mecanismos que garanticen el control y la calidad de la información, de los procesos que la generan y gestionan, y de las condiciones de los sistemas que permiten recuperarla de forma íntegra y segura, manteniendo su autenticidad, validez y accesibilidad. Si hasta hace pocos años los órganos de gobierno de las organizaciones delegaban en los profesionales informáticos esta labor, progresivamente – y gracias a la labor de organizaciones como ISACA y a los distintos marcos de referencia y normativos, se ha generalizado un enfoque holístico que da cabida a distintos perfiles profesionales con la gestión de riesgos y la continuidad digital como aspectos centrales.

El modelo de referencia propuesto por ISACA sirve de apoyo a los profesionales encargados de verificar que las organizaciones han establecido las medidas necesarias para evitar, mitigar y paliar los riesgos y sus efectos. Sin embargo, aunque existen claras similitudes y paralelismos entre el marco de referencia de ISACA y el marco normativo establecido por las normas UNE/ISO para la gestión de documentos, tal y como se demuestra en este estudio, es evidente la necesidad de una mayor permeabilidad entre estos modelos.

El análisis demuestra que existe un grado significativo de compatibilidad entre los principios y prácticas de gestión de información que define el modelo COBIT con las normas de gestión documental. Existe una base común y ambos modelos comparten en última instancia el objetivo de asegurar el cumplimiento de las obligaciones que establece el contexto en el que desarrolla su actividad la organización (jurídico, reglamentario, normativo, etc.). Cabe señalar, no obstante, que en la formulación actual de COBIT las normas de gestión de documentos no tienen la visibilidad que cabría esperar. Así, ni la lista de objetivos de gobierno y gestión (ISACA, 2018a) ni las guías de diseño e implementación de un sistema de gobierno de la información (ISACA 2018b, 2018c) incluyen a las normas ISO 15489 o ISO 30301 en su lista de normas de referencia. Se debe tener en cuenta que COBIT pretende servir de paraguas a distintas normas relacionadas con el cumplimiento de requisitos normativos (véase ISACA, 2018a anexo C, en el que se hace referencia a 26 normas y marcos). Esto permite concluir que las normas de gestión de documentos no han alcanzado la visibilidad esperada en una comunidad profesional que debería incluirse entre su público objetivo.

COBIT, sin embargo, sí incluye numerosas prácticas de gestión que exigen la generación y gestión de documentos (ISACA, 2018a), por ejemplo:

Estas prácticas se dividen a su vez en actividades más específicas, en las que encontramos nuevas referencias a la gestión de documentos, sirviendo como ejemplo las siguientes:

La complementariedad entre COBIT y las normas de gestión de documentos identifica dos líneas:

Se puede concluir que, en el contexto actual, en el que asegurar el cumplimiento normativo es una de las obligaciones más relevantes para cualquier organización (Junceda, 2018, López-Arranz, 2019), se debería potenciar la presencia, visibilidad y comprensión de las normas de gestión de documentos en el ámbito de profesionales dedicados al cumplimiento y a la gobernanza de la información y del soporte tecnológico necesarios para garantizarlo.