Por: CP Iván Rodríguez. Colaborador de Auditool
En 2026 se cumplen 30 años del lanzamiento del marco COBIT (Control Objectives for Information and Related Technology), desarrollado por ISACA. Desde su primera versión en 1996, COBIT se ha consolidado como el estándar de referencia mundial para la gobernanza y gestión de las tecnologías de la información (TI) empresariales, con un impacto profundo en la auditoría de sistemas. COBIT nació en un contexto donde las organizaciones enfrentaban un crecimiento explosivo de la tecnología, pero carecían de controles estructurados. La primera edición (1996) se enfocó principalmente en objetivos de control para ayudar a los auditores financieros y de TI a navegar entornos tecnológicos cada vez más complejos.
Con el tiempo, evolucionó:
COBIT no solo es una lista de controles, sino una metodología que vincula los hallazgos técnicos con el valor y los riesgos del negocio.
Así, de un comienzo como un conjunto de objetivos de control para auditores COBIT se convirtió en un marco completo que abarca desde la junta directiva hasta la operación diaria de TI. Esto le ha permitido a la auditoría (en particular a la auditoría de sistemas o TI) encontrar en COBIT un poderoso aliado ya que no solo es una lista de controles, sino una metodología que vincula los hallazgos técnicos con el valor y los riesgos del negocio. Esto es especialmente valioso en auditorías integradas, donde se evalúa cómo la TI soporta los objetivos estratégicos de la organización. El marco proporciona:
Las principales lecciones que ha dejado COBIT, son[1]:
🏛️ Gobernanza y gestión no son lo mismo
La primera establece el rumbo, la segunda ejecuta contra ese rumbo. Esta distinción, aparentemente sencilla, es el cimiento sobre el que se construye cualquier sistema de gobierno eficaz. Otra consideración es que la tecnología en sí misma no genera valor; lo generan las decisiones que se toman sobre ella. No basta con tener la plataforma más moderna; lo relevante es qué se hace con ella. Este principio obliga a los líderes a centrarse en los resultados de negocio, no en los atributos técnicos.
Esto implica además tener presente que un marco no se aplica tal cual. Hay que saber elegir qué componentes se adaptan al contexto de cada organización. Otra consideración es que si no se puede medir, no se puede gobernar. Pero medir no es contar actividades; es evaluar resultados.
👥 Se deben considerar cultura, roles y responsabilidades
Las partes interesadas tienen necesidades que se van en cascada desde los objetivos empresariales hasta los objetivos de alineamiento y los de gobierno y gestión. Esta cascada no es burocracia; es el tejido conectivo que evita que la estrategia muera en el camino. Sin embargo, por muy bien diseñado que esté un proceso, si un ejecutivo clave lo ignora, todo el esfuerzo se derrumba.
Gobierno ágil, ético y centrado en la confianza
La mejora continua exige retroalimentación continua. El gobierno moderno requiere ciclos cortos de evaluación y ajuste. Esto es importante pues el cambio tecnológico siempre supera al gobierno. El trabajo no es seguirle el ritmo, sino construir un gobierno lo suficientemente adaptable para absorber el cambio sin fallar. La flexibilidad es la verdadera fortaleza.
De otra parte, debe entenderse que la confianza digital no es una funcionalidad, es una consecuencia. Surge cuando el gobierno, la seguridad, la privacidad, la calidad y la ética trabajan al unísono. No se añade como un extra; se construye desde los cimientos.
La IA no ha inventado nuevos problemas de gobierno; ha hecho que aquellos ya existentes sean imposibles de ignorar. Rendición de cuentas, transparencia, supervisión de sesgos... estos temas llevaban décadas en la agenda, pero hoy son críticos y urgentes. Para el efecto, debe recordarse que marco es un mapa, no el territorio. COBIT no dice qué hacer, sino en qué pensar. Esa diferencia es crucial: el mapa orienta, pero el viaje lo hace la organización.
Implementación y realidad: el marco no falla, falla la implementación
Las organizaciones no quieren alineamiento con TI; quieren resultados. Por ello debe considerarse que los marcos no fallan; fallan las implementaciones. Cuando alguien dice "probamos COBIT y no funcionó", suele significar "copiamos una plantilla y nos saltamos el razonamiento". El éxito está en el análisis, no en la plantilla.
Hay que tener en cuenta los factores de diseño. El mismo problema en dos organizaciones diferentes casi nunca tiene la misma respuesta. Industria, entorno de amenazas, apetito de riesgo y estrategia empresarial cambian las variables. No hay recetas universales.
Gobernar tecnología es, en el fondo, gobernar el futuro de la organización. Las lecciones de COBIT son atemporales: ¿qué valor se busca?, ¿quién responde?, ¿cómo se mide el éxito?, ¿cómo hay que adaptarse?
En las últimas tres décadas, COBIT ha ayudado a miles de organizaciones en todo el mundo a tratar la tecnología no como un "caja mágica", sino como un activo estratégico que debe gobernarse para generar valor, gestionar riesgos y asegurar el cumplimiento. Un buen marco de gobernanza trasciende modas tecnológicas. Para auditores, directivos y profesionales de TI, representa una brújula confiable en un mundo digital cada vez más complejo. Para un auditor o miembro de un comité de auditoría, dominar COBIT no es solo una ventaja competitiva: es prácticamente indispensable para garantizar que la tecnología impulse el negocio de forma segura, eficiente y alineada con la estrategia empresarial.
Los objetivos específicos seguirán evolucionando - la inteligencia artificial, la computación cuántica, la sostenibilidad digital y la descentralización ya están redefiniendo el paisaje -, pero la disciplina subyacente permanece: claridad de propósito, rendición de cuentas, medición y mejora continua. En ese sentido el aniversario de COBIT no es solo una celebración del pasado, sino una invitación a reflexionar sobre cómo gobernar hoy y cómo se hará mañana. Las lecciones que ha dejado este marco son atemporales porque abordan las preguntas fundamentales: ¿qué valor se busca?, ¿quién responde?, ¿cómo se mide el éxito?, ¿cómo hay que adaptarse? Por ello, este marco seguirá siendo una guía indispensable para quienes entienden que gobernar tecnología es, en el fondo, gobernar el futuro de la organización.
[1] Para ampliar el tema, puede verse: Thirty Things COBIT Taught Us About Governing Technology
CP Iván Rodríguez - CIE AF
Colaborador de Auditool
Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.
Y luego Agregar a la pantalla de inicio.
Escribir un comentario