Auditoría Informática, ¿Cuál es su verdadero aporte?

Hace poco, en un intercambio de correos con el colega Mexicano Ricardo Hernández Jiménez, autor de varios libros sobre Informática y creador de AFI (Administración de la Función Informática) me llamó profundamente la atención un texto que me envió sobre la Auditoría Informática, donde expone la cruda realidad que después de una auditoría informática ¿por qué no se siguen las recomendaciones?.

Desde ya hace varios años, las organizaciones contratan los servicios de auditorías con el objetivo de diagnosticar, llegan los auditores hacen el levantamiento, generan un impresionante informe de varias páginas donde las organizaciones o bien no lo llevan a la práctica, algunas sólo consideran una parte de las recomendaciones y otras las aplican de muy mala manera, llama la atención de cómo se identifican los auditores informáticos, suelen autodenominarse como "Facilitador de Soluciones". Ante ello ¿qué comenta Ricardo?

¿Cuál es pues la Función Sustantiva de un Auditor?; ¿Será una especie de capataz o policía de la empresa?; ¿Será quizás un chismoso del director?; ¿Un farsante incómodo?; ¿O tal vez una combinación de todo lo anterior?”. Y la respuesta que ellos siempre me dan es: “Un Auditor es, en esencia (debe ser), Un Facilitador de Soluciones”. Y yo arremeto: ¿Un facilitador de Soluciones?. Y me contestan, contundentes: “Para que lo entiendas de una vez por todas, Ricardo: Un Auditor es como un doctor, que evalúa al paciente y le recomienda el tratamiento a seguir para recuperar su salud, pero en modo alguno lo obliga a seguir dicho tratamiento si aquel no lo quiere poner en práctica”. Y yo, frunciendo el ceño, algo incrédulo les digo: “Caray colegas, sigo sin aceptarlo”. Y..., ¡se molestan por mi necedad!. ¿Cómo la ves lector?. Pero ahora soy yo quien pongo sobre alerta al lector: “Mucho ojo, porque aquí está precisamente la razón que encuentro por la que muy pocas empresas llevan a la práctica las recomendaciones que dictan tales auditorías ”.  

Vaya!, las organizaciones (más identificadas como el paciente), contratan los servicios de un auditor (Doctor), quien realiza un diagnóstico, hace un informe (una prescripción médica) y luego se marcha, y entonces ¿qué pasa con la prescripción, de verdad mejora la enfermedad del paciente?.

Recordando las experiencias de Auditorías tanto en la Administración Pública como en la Industria Privada, lamentablemente se ha dado este escenario, por ejemplo, en un organismo público hubo una auditoría informática orientada a apoyar el cumplimiento del decreto 83, se invirtieron varios millones de pesos en el 2005, trataba con la seguridad informática, decreto al cual he realizado una serie de observaciones compartiendolas con otros colegas de varios servicios públicos y he sido testigo de las dificultades de su puesta en marcha, pero luego de 4 años de emitido el informe nunca se puso en práctica la totalidad de las recomendaciones, algunas para decir sí y otras varias quedaron guardadas en el cajón de los recuerdos, ¿por qué pasó esto? es lo que trata de explicar Ricardo en su trabajo de investigación en base a la realidad Informática Mexicana, la cual no dista mucho de la realidad Chilena.

¿Habrá una solución a esta problemática?, claro que sí.., los invito a leer el texto completo que me envió Ricardo para sus comentarios y/o observaciones.

Cordiales Saludos,

Pablo