Marcos de referencia para los servicios de TI

ITIL

Se ha convertido en un estándar para la administración de servicios. En sus inicios en la Gran Bretaña permitió que se administrara de manera eficaz y eficiente los costos de los recursos; por que demostró ser útil a las organizaciones en todos los sectores.

ITIL, Information Technology Infrastructure Library, es una colección de las mejores prácticas observadas en la industria de TI. Es un conjunto de libros en los cuales se encuentran documentados todos los procesos referentes a la provisión de servicios de tecnología de información hacia las organizaciones.

COBIT

Es un marco de trabajo para el control de los Sistemas de Información (TI) globalmente aceptado basado en estándares de la industria y mejores prácticas. Una vez implantado, los ejecutivos pueden asegurarse de que la Tecnología de la Información (TI) se encuentran alineada con los objetivos corporativos de manera eficaz y de que el uso de TI está correctamente orientado hacia la obtención de ventajas competitivas. Desarrollado por el Instituto de Administración de las Tecnologías de la Información (TI Governance Institute), COBIT provee a los ejecutivos de un lenguaje común para comunicar las metas, objetivos y resultados a los profesionales de auditoría, de TI y a otros profesionales. COBIT ofrece unas buenas prácticas y herramientas para el seguimiento y la gestión de las actividades de TI. También ayuda a los ejecutivos a comprender y gestionar las inversiones en TI durante todo su ciclo de vida y proporciona un método para evaluar si los servicios de TI y las nuevas iniciativas están cumpliendo con las exigencias corporativas y si generarán los beneficios esperados.

COMPARACIÓN DE ITIL Y COBIT

Las mejores prácticas para la gestión de servicios de TI

Las organizaciones son cada vez más dependientes de la Tecnología de Información para soportar y mejorar los procesos de negocio requeridos para cumplir las necesidades de los clientes y de la propia organización.

Los servicios de TI conforman la base del modelo de negocio en su totalidad, en estos casos TI no brinda soporte al negocio, es el negocio. Más allá de la importancia de TI en la organización, la competitividad y las presiones económicas se ven reflejadas en presiones para en lo posible disminuir el presupuesto de TI. Al mismo tiempo las expectativas por la calidad, innovación y valor de TI continúan incrementándose. Esto hace imperativo que las organizaciones de TI tomen un enfoque orientado al negocio y al servicio en lugar de un enfoque centrado en la tecnología.

La versión 2.0 de ITIL cuenta con varias publicaciones, estas publicaciones permiten tener una relación entre la tecnología y el negocio. Cada una de estas publicaciones provee una guía de las mejores prácticas y el detalle de información de los procesos.

Planeación para la Implementación de la Administración de Servicio: Esta publicación cubre los temas y actividades involucradas en planeación, implementación y mejora de los procesos de Administración de Servicios dentro de una organización. ICT Administración de Infraestructura: Abarca el tema de Tecnología de Información y Administración de la Infraestructura (ICTIM) y las relaciones con otra áreas, como la Administración de Servicios.

Perspectiva del Negocio: Tiene como objetivo familiarizarse con la administración del negocio con los componentes de Administración de Servicios, Administración de Aplicaciones y la Administración de la Infraestructura, los cuales son necesarios para soportar los procesos de negocio.

Administración de Aplicaciones: Trata el tema de la administración de las aplicaciones desde las necesidades del negocio hasta el ciclo de vida de la aplicación

Administración de Seguridad: Detalla el proceso de planeación y administración de un definido nivel de seguridad en la información y servicios.

Administración o Gestión de Servicios de TI: La gestión de Servicios Informáticos es abarcada por dos publicaciones: Entrega de Servicios y Soporte de Servicios.

Entrega de Servicios: Cubre los procesos necesarios para la planeación y entrega de la calidad de los servicios de TI. Estos procesos son:

• Administración de Niveles de Servicio
• Administración Financiera
• Administración de Capacidad
• Administración de la Continuidad de Servicios de TI
• Administración de la Disponibilidad

Soporte de Servicios: Proporciona los detalles de la función de Mesa de Servicio y los procesos necesarios para el soporte y mantenimiento de los servicios de TI. Estos procesos son:

• Administración de Incidentes
• Administración de Problemas
• Administración de Configuraciones
• Administración de Cambios
• Administración de Raleases.

5.1.1. Riesgo y conformidad

Riesgo se define como la incertidumbre del resultado, ya sea positivo o negativo. La gestión de riesgos requiere la identificación y el control de la exposición al riesgo, lo que puede tener un impacto en el logro de una organización de los objetivos empresariales.

La gestión del riesgo es un aspecto fundamental de la Gestión del Servicio. Los servicios reducen los riesgos para el negocio del cliente, pero también generan riesgos para los proveedores de servicios. Los clientes pueden compensar a los proveedores de servicios por estos riesgos de diversas maneras, pero fundamentalmente con el pago de los servicios (algo que no es posible con proveedores del tipo I).

Riesgos para los proveedores de servicios

Los riesgos para los proveedores de servicios surgen cuando la incertidumbre del negocio del cliente se combina con incertidumbres en sus operaciones. Estos riesgos tienen un efecto negativo a lo largo de las distintas fases del Ciclo de vida. Es conveniente que los riesgos se comuniquen en términos financieros, ya que se pueden usar como indicadores en lugar de medidas.

Transferencia de Riesgo

No solo está el reducir los riesgos para el negocio, sino también la transferencia de riesgo para el prestador de servicios. 

ITIL distingue los siguientes tipos de riesgos:

Riesgos de contrato (un contrato contiene acuerdos formales y legalmente vinculantes entre clientes y proveedores de servicios): Los riesgos de que el proveedor de servicios haga imposible el cumplimiento de acuerdos contractuales son riesgos estratégicos, ya que no sólo suponen una amenaza para la producción sino que también deterioran la confianza de cara al futuro. El efecto de los riesgos de contrato y los peligros subyacentes se puede extender a más de una función del proceso. El cliente no hace distinciones entre las diversas fuentes de riesgo. Una gestión eficaz de los riesgos exige una buena coordinación durante todo el Ciclo de vida.

Riesgos de diseño: Los clientes esperan que los servicios tengan un efecto concreto sobre el rendimiento de los activos, que desde su punto de vista es una funcionalidad. Siempre existe el riesgo de que los servicios den resultados no deseados. Este riesgo de rendimiento suele ser resultado de un diseño deficiente.

Riesgos operativos: Todas las organizaciones deben hacer frente a riesgos operativos. Desde el punto de vista de la Gestión del Servicio se distinguen dos tipos: los riesgos para las unidades de negocio y los riesgos para las unidades de servicio.

Riesgos de mercado: Una buena Gestión del Servicio contribuye a reducir los riesgos competitivos a través del aumento de la escala y el alcance de la demanda de un Catálogo de 

Servicios. Otra posibilidad consiste en modificar los contenidos del Catálogo de Servicios para ofrecer a los clientes la profundidad y flexibilidad que desean. Los riesgos de mercado se pueden reducir mediante:

Diferenciación: Desde el punto de vista del cliente, los activos escasos y complementarios son los más interesantes. Los proveedores de servicios se pueden concentrar en ofrecer los activos importantes que otros no han proporcionado. Los mercados sin servicio o con servicio insuficiente son los que presentan las mejores oportunidades.

Consolidación: La consolidación de la demanda reduce los riesgos financieros para los proveedores de servicios, así como los riesgos financieros para el cliente. ITIL se centra en brindar servicios de alta calidad para lograr la máximo satisfacción del cliente a un costo manejable. Para ello, parte de un enfoque estratégico basado en el triángulo procesos-personas-tecnología. En otras palabras: determina la forma de ejecutar procesos estándar ayudados de la tecnología para lograr la satisfacción de las personas, usuarios de los servicios de TI.

Manejo del riesgo: De igual manera, dichos esfuerzos de TI se deben realizar con el mínimo riesgo posible que la organización determine. Así, se logra minimizar las posibilidades de que algo salga mal en la implantación de soluciones proyectos TI.

¿Qué es un riesgo?

Un riesgo es definido como una incertidumbre de resultados que puede ser una oportunidad (positiva) o una amenaza (negativa). Un riesgo es medido por la probabilidad de una amenaza, la vulnerabilidad de un activo a esa amenaza, y el impacto que tendría si ocurriera. Hay dos diferentes fases en el marco de trabajo de un riesgo: el análisis del riesgo y la gestión del riesgo.

¿Porque Gestionar Servicios de TI a través de ITIL?

Las organizaciones utilizan información para la gestión de la dinámica de su objeto de negocio, esta información se apoya en el uso de herramientas tecnológicas las cuales permiten un mejor uso de los recursos; sin embargo, el crecimiento acelerado de la información, deriva en un mayor  uso de herramientas tecnológicas cuyo crecimiento desordenado puede deteriorar el nivel de tecnología (internos o externos) y los clientes (internos o externos) manifestándose en la inconformidad de los usuarios frente al uso tanto de la información como de la tecnología empleada para ello. El apoyo en una buena práctica como ITIL ofrece a las organizaciones la posibilidad de estructurar los servicios de tecnología de forma tal que contribuyan de forma más ágil al logro de objetivos estratégicos.

Beneficios de ITIL en la Gestión de TI.

El uso de una buena práctica como ITIL, deriva en cambios conceptuales sobre la gestión que debe realizarse en TI de forma que permita identificar y estructurar los servicios de tecnología que soportan el necesarios para que estos servicios tengan la disponibilidad requerida por los clientes y usuarios de ella.

Para los servicios complementarios (no apoyan directamente el core del negocio) pude optarse por estrategias de gestión que reduzcan el grado de atención requerido para estas, trasladando o intercambiando los recursos asignados buscando un mejor aporte en los servicios del Core. Realizar la identificación y clasificación de los servicios basados en ITIL, permitirá realizar una transición y estructura el ciclo de vida de estos para que den un apoyo más palpable a la organización. La alta dirección debe proporcionar evidencia de su compromiso para planear, establecer, implementar, operar, monitorear, revisar, mantener y mejorar el SGS y los servicios asegurando que se gestionen y valoren los riesgos a los servicios. Se deben valorar los riesgos a todos los elementos de garantía y utilidad de los servicios de TI y mitigarlos como sea posible.

 Valoración de riesgos.

Recolectar información acerca de la exposición a riesgos para que la organización pueda tomar las decisiones apropiadas y gestionar los riesgos apropiadamente. Identificar y  valorar el nivel (medición) de los riesgos calculados de los activos y de las amenazas y vulnerabilidad de dichos activos.

Gestión de riesgos.

Procesos para monitorear riesgos, tener acceso a información actualizada y confiable sobre riesgos, el equilibrio correcto de control para tratar con dichos riesgos, y procesos de toma de decisiones soportados por un marco de evaluación y valoración de riesgos. Identificar, seleccionar y adoptar contramedidas justificadas para los activos al considerar su impacto potencial en los servicios si ocurre una falla y la reducción de dicho riesgo a un nivel aceptable.

La gestión de riesgos le permite a la organización:

• Aumentar la probabilidad de alcanzar sus objetivos.
• Estar consciente de la necesidad de identificar y tratar los riesgos en toda la organización.
• Mejorar la identificación de oportunidades y amenazas.
• Cumplir con requerimiento regulatorios y legales relevantes y normas internacionales.
• Mejorar la eficiencia y la eficiencia operativa.
• Mejorar la gestión de incidentes y reducción de pérdidas.
• Mejorar la confianza de las partes interesadas “Stakeholders".

La gestión de riesgos contribuye a:

• Que se identifiquen los riesgos.
• Que se valoren los riesgos en términos de sus consecuencias para el negocio y la probabilidad de su ocurrencia.
• Que la probabilidad y consecuencias de que dichos riesgos sean comunicados y

comprendidos.

• Que se establezca un orden de prioridad para el tratamiento de riesgos.
• Dar prioridad para las acciones para reducir la ocurrencia de un riesgo.

Ventajas y riesgos de los marcos de trabajo de ITSM.

Algunas ventajas y posibles problemas del uso de Mejores:

Prácticas en la Gestión de Servicios de TI. No se trata de una lista exhaustiva, sino que se ofrece sólo como indicación de algunas de las ventajas que se pueden conseguir y de algunos de los errore que se pueden cometer cuando se usan marcos de trabajo comunes en la Gestión de Servicios de TI basada en procesos:

Ventajas para el cliente/usuario:

• La provisión del servicio de TI está más centrada en el cliente y los acuerdos sobre calidad del servicio contribuyen a mejorar la relación.
• Los servicios están mejor descritos, en el idioma del cliente y con más detalle.
• Mejor gestión de la calidad, la disponibilidad, la fiabilidad y el coste de los servicios.
• Mejor comunicación con la organización de TI a través de los puntos de contacto acordados.

Ventajas para la organización de TI:

• La organización de TI desarrolla una estructura más clara, es más eficaz y está más orientada hacia los objetivos de la empresa.
• La organización de TI tiene más control sobre la infraestructura y los servicios de los que es responsable y los cambios son más fáciles de gestionar.
• Una buena estructura de procesos proporciona un buen marco de trabajo para la externalización de elementos de los servicios de TI.
• El seguimiento de Mejores Prácticas impulsa un cambio de cultura hacia la provisión de servicios y facilita la introducción de sistemas de gestión de calidad basados en la serie ISO 9000 o en ISO/IEC 20000.
• Los marcos de trabajo pueden proporcionar marcos de referencia coherentes para la comunicación interna y la comunicación con los suministradores, así como para la normalización e identificación de procedimientos.

Posibles problemas/errores:

• La introducción puede durar más tiempo y exigir un esfuerzo considerable, así como un cambio de cultura en la organización; un exceso de ambición puede dar lugar a frustración al ver que nunca se alcanzan los objetivos.
• La calidad del servicio se puede resentir si las estructuras de procesos se convierten en un objetivo en sí mismas; en este caso, los procedimientos innecesarios o excesivamente complejos se consideran obstáculos burocráticos que hay que evitar en la medida de lo posible.
• Los servicios de TI no mejorarán si no se tiene una idea clara de qué tienen que hacer los procesos, cuáles son los mejores indicadores de rendimiento y cómo se pueden controlar los procesos.
• Las mejoras en la provisión de servicios y las reducciones de costes no serán apreciables si no existen datos de referencia y/o no se establecen los objetivos correctos.
• El éxito de la implementación requiere la participación y el compromiso de personal a todos los niveles de la organización; encargar el desarrollo de las estructuras de procesos a un departamento especializado puede hacer que dicho departamento se sienta aislado y avance en una dirección distinta de la que desean otros departamentos.

Si la inversión realizada en formación y herramientas de soporte es insuficiente, no se sacará partido a los procesos y el servicio no mejorará; es posible que a corto plazo se necesiten más recursos y personal si la organización tiene un exceso de actividades rutinarias de Gestión de Servicios de TI en las que no siga "Mejores Prácticas"

Es necesario tener en cuenta los siguientes riesgos:

• Pérdida de servicio: El mayor riesgo para la Operación del Servicio es la pérdida de los servicios de TI básicos, ya que esto puede tener efectos negativos sobre el personal, los clientes y las finanzas de la empresa. En casos extremos de servicios sanitarios y de seguridad, la pérdida puede suponer un riesgo para la vida y la salud.
• Riesgos para el éxito de la Operación del Servicio: Financiación y recursos insuficientes.
• Pérdida de impulso.
• Pérdida de empleados importantes.
• Resistencia al cambio.
• Falta de apoyo de la dirección.
• Una buena implementación nunca dará los resultados necesarios si el diseño no cumple los requisitos, en cuyo caso será necesario un nuevo diseño.

En algunas organizaciones, la Gestión de Servicios es vista con reticencia tanto por TI como por el negocio. Es importante que todas las partes interesadas conozcan las ventajas de la Gestión de Servicios para satisfacer las expectativas de los distintos clientes. Este problema se puede resolver con una gestión clara de los niveles de servicio y con una buena comunicación durante el Diseño del Servicio.

La implementación de la estrategia hace que cambie la Cartera de Servicios, lo que a su vez lleva a la gestión de los riesgos relacionados. Las decisiones sobre riesgos deben estar equilibradas de tal manera que los beneficios potenciales proporcionen más valor a la organización que los costes que supondría hacer frente a los riesgos. Por ejemplo, puede ser arriesgada, pero también puede generar mayores beneficios por la mejora de servicios. En los análisis puede resultar útil visualizar los tipos de riesgos positivos (relacionados con oportunidades, inversiones e innovaciones) frente a los riesgos negativos (como el desaprovechamiento de oportunidades, las malas inversiones o la falta de innovación). El objetivo es facilitar la toma de decisiones a través de una buena comprensión de los riesgos y sus efectos probables. Se distinguen dos fases: el análisis de riesgo y la gestión del riesgo.

Análisis de riesgos: El análisis de riesgos consiste en recopilar información sobre riesgos potenciales para que la organización pueda tomar las decisiones correctas y vigilar los riesgos de forma adecuada.

Gestión de riesgos: La gestión de riesgos garantiza que existen procesos para monitorizar riesgos, que se dispone de información fiable y actualizada sobre los riesgos, que se ejerce un control adecuado sobre los riesgos y que la toma de decisiones se apoya en un marco de análisis y evaluación de riesgos.

La tarea de la gestión del riesgo consiste en asegurar que la organización utiliza de forma rentable un marco de trabajo formado por una serie de pasos bien definidos.

Transferencia de riesgos

La gestión del riesgo es un aspecto fundamental de la Gestión del Servicio. Los

servicios reducen los riesgos para el negocio del cliente, pero también generan riesgos para los

proveedores de servicios. Los clientes pueden compensar a los proveedores de servicios por estos riesgos de diversas maneras, pero fundamentalmente con el pago de los servicios.

ITIL distingue los siguientes tipos de riesgos

Riesgos de contrato (un contrato contiene acuerdos formales y legalmente vinculantes entre 

clientes y proveedores de servicios): Los riesgos de que el proveedor de servicios haga imposible

el cumplimiento de acuerdos contractuales son riesgos estratégicos, ya que no sólo suponen una

amenaza para la producción sino que también deterioran la confianza de cara al futuro. El efecto de los riesgos de contrato y los peligros subyacentes se puede extender a más de una función del proceso. El cliente no hace distinciones entre las diversas fuentes de riesgo. Una gestión eficaz de los riesgos exige una buena coordinación durante todo el Ciclo de vida.

Riesgos de diseño: Los clientes esperan que los servicios tengan un efecto concreto sobre el rendimiento de los activos, que desde su punto de vista es una funcionalidad. Siempre existe el riesgo de que los servicios den resultados no deseados. Este riesgo de rendimiento suele ser resultado de un diseño deficiente.

Riesgos operativos: Todas las organizaciones deben hacer frente a riesgos operativos. Desde el punto de vista de la Gestión del Servicio se distinguen dos tipos: los riesgos para las unidades de negocio y los riesgos para las unidades de servicio.

Riesgos de mercado: Una buena Gestión del Servicio contribuye a reducir los riesgos competitivos a través del aumento de la escala y el alcance de la demanda de un Catálogo de Servicios. Otra posibilidad consiste en modificar los contenidos del Catálogo de Servicios para ofrecer a los clientes la profundidad y flexibilidad que desean. Los riesgos de mercado se pueden reducir mediante:

• Diferenciación: Desde el punto de vista del cliente, los activos escasos y complementarios son los más interesantes. Los proveedores de servicios se pueden concentrar en ofrecer los activos importantes que otros no han proporcionado. Los mercados sin servicio o con servicio insuficiente son los que presentan las mejores oportunidades. 
• Consolidación: La consolidación de la demanda reduce los riesgos financieros para los proveedores de servicios, así como los riesgos financieros para el cliente.

5.1.2 - CAMBIOS

¿Qué cambiar al interior de TI?

Los departamentos de TI suelen ser vistos como centros de costos a los cuales se les cargan rubros por la compra de la tecnología en la empresa y se hace una tarea difícil identificar el retorno de dichas inversiones o como distribuir esos valores en las demás áreas de la empresa.
Eso no es nuevo, como tampoco lo es el concepto de que TI debe convertirse en un proveedor de servicios internos en una organización, en un socio estratégico que apoye desde la gestión tecnológica a las organizaciones en el logro de sus objetivos organizacionales. Al mirar a TI como ese socio estratégico, se facilitara la asignación de los recursos necesarios. Además se le exigirá una respuesta como tal y es allí donde el uso de una buena práctica como ITIL cobra la relevancia esperada.

TI como un servicio: TI puede estar dentro de una categoría de servicios compartidos utilizados por negocios o por unidades de negocios. Normalmente estos servicios son la infraestructura y las aplicaciones de TI que son presentados y son ofrecidos por organizaciones internas de TI o por suministradores externos de servicios. Los costos de TI son tratados como gastos de negocios.

TI como un activo: Como las capacidades y recursos que suministran un flujo confiable de beneficios. TL es una categoría de los activos del negocio que proporciona un flujo de beneficios a sus dueños, incluyendo, pero no limitándose a rentas, ingresos y beneficios. Los costos de TI son tratados como inversiones.

TI como componente: Como componentes de sistemas y procesos, la infraestructura, las aplicaciones y los sistemas de TI son componentes o sub unidades de un producto más grande. Permiten o están insertos en procesos y servicios.

TI como una organización: Como una unidad interna o función de la empresa o suministrador de servicios comerciales, TI es una organización con su propio conjunto de aptitudes y recursos.

Las organizaciones de TI pueden ser de varios tipos: funciones de negocios, unidades de servicios compartidas o unidades centrales a nivel de empresa.

Gestión de Cambios en la Operación del Servicio.

La plantilla de la Operación del Servicio tiene que implementar los cambios sin afectar negativamente a la estabilidad de los servicios de TI ofrecidos.

El proceso de mejora de CSI o proceso de mejora en 7 pasos describe la forma de medir y generar informes. La mejora se realiza siguiendo el ciclo P-D- C-A. La fase de planificación de CSI da como resultado un Plan de Mejora del Servicio (SIP). La siguiente sección explica qué tiene que hacer una organización para elaborar dicho plan.

Actividades, métodos y técnicas.

Si la Gestión del Nivel de Servicio detecta que algo se puede mejorar, debe comunicarlo a CSI para que se definan actividades que puedan hacer realidad la mejora. CSI genera un SIP para ejecutar la mejora, que se convierte así en un proceso de TI con entrada, actividades, salida, roles y dependencias.

CSI mide y procesa estas medidas en un proceso de mejora continua que va desde la medida hasta la mejora en siete pasos:

1. ¿Qué se debería medir?: ¿Cuál sería la situación ideal? La respuesta a esta pregunta debe ir después de la visión (fase I del modelo CSI) y antes de la evaluación de la situación existente (fase II del modelo CSI).

2. ¿Qué se puede medir?: Este paso sigue a la fase III del modelo CSI: ¿cuál es la situación deseada? El análisis de lo que la organización puede medir permitirá detectar nuevos requisitos de negocio y nuevas opciones de TI. CSI utiliza un análisis de “gaps” para identificar áreas de mejora y planificar las mejoras (fase IV del modelo CSI).

3. Recopilación de datos (medición): La organización debe realizar mediciones para determinar si ha alcanzado su objetivo (fase V del modelo CSI). Las mediciones deben ser consecuencia de la visión, la misión, las metas y los objetivos de la organización.

4. Procesamiento de datos: El procesamiento de datos es también necesario por motivos de monitorización. Debe realizarse de acuerdo a los CSFs y KPIs determinados.

5. Análisis de datos: Se prepara la presentación de discrepancias, tendencias y posibles explicaciones para el negocio. Esto es también una parte importante de la fas V del modelo CSI.

6. Presentación y uso de información: Se informa a los interesados de si se han cumplido o no sus objetivos (fase V).

7. Implementación de acciones correctivas: Se crean mejoras, se define una nueva referencia y se vuelve a iniciar el ciclo desde el principio.

El objetivo del proceso de Gestión de Cambios es garantizar que los cambios se aplican de una manera controlada y después de haber sido evaluados, priorizados, planificados, probados, implementados y documentados. Un cambio se puede deber a diferentes motivos, como reducción de costes, mejora del servicio, fallo de la provisión del servicio o cambio de entorno. Un cambio es la adición, modificación o eliminación de un servicio o componente de servicio autorizado, planificado o soportado y de su correspondiente documentación.