Auditoría de TI

Por: CP Iván Rodríguez. Colaborador de Auditool.

Desde hace algún tiempo han aparecido en las organizaciones unas personas que, en virtud de su conocimiento y habilidades, son conocidos como los héroes de la tecnología de Ia información o héroes informáticos. Son aquellos individuos que parecen tener la capacidad de salvar por sí solos a las empresas al resolver problemas complejos de software, mitigar brechas de seguridad y lograr la restauración de sistemas críticos luego de una interrupción en un ambiente de alta presión. Es muy positivo para una empresa contar con una persona así, pero suele ocurrir que se genera una alta dependencia de este tipo de colaboradores. Para evitar este riesgo, se requiere que el tema de TI tenga un enfoque más sostenible, basado en procesos y debidamente documentado.

Existen diversas razones por las cuales se presenta en las organizaciones, la existencia (y por tanto la dependencia) de un héroe de TI. Entre ellas se cuentan^[1]:

• Crecimiento organizacional rápido y no estructurado: Cuando una organización está en proceso de crecimiento, en su afán por atender las demandas del mercado, no se adecúan oportunamente los procesos ni los recursos de TI, lo que lleva a depender de unas pocas personas clave.
• Pocos recursos de TI: Si la organización no cuenta con los recursos suficientes para el área de TI, esto puede dar lugar a no contar con las herramientas adecuadas y por tanto, hay dependencia de unas pocas personas que tienen las habilidades y la voluntad de dedicar esfuerzos adicionales para brindar la cobertura operativa necesaria.
• Altas expectativas poco realistas: En ocasiones las áreas de TI están bajo una gran presión pues deben ofrecer soluciones rápidas como respuesta a la creciente demanda de tecnología en los negocios y operaciones. Esta carga suele recaer en un grupo selecto de personas con los conocimientos necesarios, lo que consolida aún más su papel como héroes indispensables dentro de sus organizaciones.
• Complejidad tecnológica: En la medida en que las empresas adopten tecnologías más complejas, se incrementa la demanda de conocimientos especializados. Si no se capacita personal en las nuevas tecnologías, se vuelven dependientes de aquellos que entienden los sistemas complejos.

Ahora bien, esta dependencia genera diferentes dificultades e inconvenientes en las empresas, que se constituyen en riesgos operativos y afectan tanto los resultados y los procesos como a las personas encargadas de su ejecución. Algunas de las situaciones problemáticas que pueden presentarse son:

• Alta rotación: La sobrecarga operativa de los llamados héroes de TI originada en la alta demanda de sus servicios para atender diversos frentes los conduce al agotamiento, resultados inapropiados, insatisfacción que en muchos casos resulta en la renuncia. Esto hace que las organizaciones pierdan conocimiento y experiencia, incurran en costos asociados al reclutamiento y contratación e incluso impactos que afecten su reputación.
• Debilidad operativa: La dependencia de un pequeño número de personas (a veces solo una) crea vulnerabilidades importantes. Puede haber interrupciones operativas que solo un empleado o un pequeño grupo están en capacidad de resolver o corregir.
• Concentración de conocimiento: Cierta información vital para atender fallas en el área de TI puede ser de conocimiento exclusivo o no estar documentada. Esto hace que se limite la innovación y la resolución de problemas toda vez que el conocimiento y la experiencia no se han compartido de manera amplia.
• Adicción al heroísmo: Los colaboradores que son vistos como héroes informáticos pueden actuar de manera inapropiada o inconveniente, en su afán por recibir elogios y sentir que no tienen reemplazo. Otra consecuencia es que los empleados que no son vistos como héroes pueden sentirse con la moral baja o infravalorados, lo que afecta el ambiente laboral y el trabajo en equipo.

Ahora bien, si un auditor advierte que en una organización están presentes uno varios héroes de TI deben preocuparse de que los sistemas y procesos de TI sean seguros, eficientes y cumplan con las normativas pertinentes, toda vez que la dependencia de estas personas puede afectar la operación del área. En ese sentido, es procedente que dentro de sus recomendaciones haya estrategias para mitigar esta dependencia. Pueden tenerse en cuenta algunas de ellas, como las siguientes:

Documentación y Conocimiento Compartido:

Una de las recomendaciones frecuente y obvia, pero no por ello menos importante es la necesidad de contar con una documentación detallada de los procesos, configuraciones de sistemas y soluciones a problemas comunes del área de TI. Así mismo, es conveniente crear y mantener una base de conocimiento accesible para los miembros de la organización que requieran acceso a esta.

Capacitación y Desarrollo del Equipo

Como complemento a la documentación, está la necesidad de capacitar al personal del área de TI, de manera que puedan adquirir habilidades críticas. Es importante que los héroes de TI puedan compartir su conocimiento con otros miembros del equipo para evitar la concentración.

Distribución de Funciones y Responsabilidades

Con el propósito de evitar concentración de funciones en uno o pocos colaboradores, es conveniente implementar la rotación de roles dentro del equipo, de manera que todos tengan la oportunidad de conocer y trabajar en diferentes áreas y sistemas.

Automatización de Tareas Repetitivas:

La implementación de herramientas de automatización permite reducir la carga de trabajo manual y por tanto minimiza la necesidad de intervención humana para tareas rutinarias. Como complemento, el uso de scripts o conjuntos de instrucciones y herramientas de gestión que puedan ser utilizadas por cualquier miembro del equipo de TI para realizar tareas críticas, contribuye a evitar la dependencia de los héroes de TI.

Actividades de Monitoreo:

Un sistema de monitoreo proactivo contribuye a detectar y alertar sobre problemas de TI antes de que se conviertan en críticos y se requiera un experto o héroe. Por su parte, desarrollar procedimientos estandarizados para la respuesta a incidentes, permite que cualquier miembro del equipo pueda seguirlos y solucionar inconvenientes.

Al recomendar la implementación de estas estrategias (y cualquiera otra en el mismo sentido), los auditores contribuyen a que las organizaciones puedan reducir su dependencia de los héroes de TI y construir un equipo más capacitado.

^[1] Ver: Examining the Risks of IT Hero Culture

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia.