Governança en el marc ITIL v4

Elaboració pròpia: la font és de pagament i no es reprodueix

Enunciat oficial. Governança en el marc ITIL v4 (Governance).

1. Concepte

Governança (ITIL 4): el mitjà pel qual una organització és dirigida i controlada. És un component del Sistema de Valor del Servei i s'exerceix sobre totes les altres parts del sistema: principis guia, cadena de valor, pràctiques i millora contínua.

Governança ≠ gestió, i aquesta és la distinció que més cau:

2. Les tres activitats de governança

ITIL 4 adopta el model EDM (coincident amb COBIT):

• Avaluar (Evaluate): valorar contínuament l'organització, la seva estratègia, les carteres, les relacions amb altres parts i les necessitats i propostes de valor de les parts interessades.
• Dirigir (Direct): assignar responsabilitats i orientar la direcció, les polítiques i l'estratègia; establir prioritats i l'apetit al risc.
• Monitorar (Monitor): supervisar l'acompliment de l'organització i de les seves pràctiques, productes i serveis, i assegurar que s'ajusten a la direcció i a les polítiques establertes.

L'òrgan de govern és el responsable d'aquestes tres activitats i ha de retre comptes (accountable) del compliment de l'organització amb polítiques i regulacions externes.

3. Governança dins del Sistema de Valor del Servei

El SVS (Sistema de Valor del Servei) s'alimenta d'oportunitat i demanda i produeix valor. La governança hi actua de la manera següent:

• Sobre els principis guia: els incorpora a la cultura i vetlla perquè s'apliquin.
• Sobre la cadena de valor: aprova els fluxos de valor, els criteris de priorització i el model operatiu.
• Sobre les pràctiques: estableix quines pràctiques s'adopten, amb quin nivell de formalitat i quins KPI (Key Performance Indicators) les mesuren.
• Sobre la millora contínua: aprova la cartera de millores i assigna els recursos.

Mecanismes concrets: polítiques i estàndards corporatius, comitès (de direcció TIC, d'arquitectura, de canvis, de seguretat), quadres de comandament i informes a la direcció, auditories internes i externes, gestió de riscos i model de delegació d'autoritat (qui pot aprovar què, i fins a quin import o nivell de risc).

Rols de responsabilitat: ITIL assigna rols, no llocs de treball, i és un mecanisme més de governança perquè fixen qui respon de què. El service owner (propietari del servei) és accountable que la prestació del servei i el suport s'ajustin als requeriments acordats amb el client, d'extrem a extrem, encara que no en presti cap component directament. El process owner (propietari del procés) és accountable pel disseny i el rendiment d'un procés o pràctica. El product owner, incorporat des d'Agile, prioritza el backlog d'un producte segons el valor per al client. Els tres decideixen i responen; no executen — la línia que separa governança de gestió (§1).

Model organitzatiu: la governança aprova l'estructura del departament TIC, però ITIL no n'imposa cap ni la declara obligatòria. És un marc adaptable: l'organigrama depèn de la mida, el context i els objectius de cada organització —la dimensió Organitzacions i persones ho desenvolupa a ITIL v4: conceptes fonamentals—. No hi ha, doncs, un organigrama perfecte ni una separació obligatòria entre àrees com Infraestructures, Telecomunicacions o Desenvolupament.

Errors habituals (i respostes falses típiques): confondre governança amb el comitè de canvis, situar la governança dins de la gestió d'operacions, o suposar que la governança executa processos. La governança no executa: dirigeix i controla.

4. Governança de la TI: marcs de referència

4.1 COBIT (ISACA)

COBIT 2019, publicat per l'ISACA (Information Systems Audit and Control Association), és el marc de referència de govern i gestió de la informació i la tecnologia empresarial.

• Separa explícitament governança (domini EDM — Evaluate, Direct and Monitor, amb 5 objectius) de gestió (4 dominis):
• APO — Align, Plan and Organise
• BAI — Build, Acquire and Implement
• DSS — Deliver, Service and Support
• MEA — Monitor, Evaluate and Assess
• 40 objectius de govern i gestió en total.
• Sis principis del sistema de govern: proporcionar valor a les parts interessades; enfocament holístic; sistema de govern dinàmic; govern diferenciat de la gestió; adaptat a les necessitats de l'empresa; sistema de govern d'extrem a extrem.
• Cascada d'objectius: necessitats de les parts interessades → objectius de l'empresa → objectius d'alineació → objectius de govern i gestió.
• Set components del sistema de govern: processos; estructures organitzatives; principis, polítiques i marcs; informació; cultura, ètica i comportament; persones, habilitats i competències; serveis, infraestructura i aplicacions.
• Factors de disseny i àrees de focus permeten adaptar-lo.

4.2 ISO/IEC 38500

Norma internacional de govern corporatiu de la TI (Tecnologies de la Informació), elaborada per ISO i l'IEC (International Electrotechnical Commission). Estableix sis principis: responsabilitat, estratègia, adquisició, acompliment, conformitat i comportament humà, i el mateix model d'avaluar, dirigir i monitorar.

4.3 Altres

• ISO/IEC 20000 exigeix governança dels processos operats per altres parts (apartat 8.2.3): quan un procés el fa un tercer, l'organització ha de mantenir-ne la responsabilitat i demostrar-ne el control.
• Model de tres línies (antic «tres línies de defensa»): 1a línia gestió operativa i controls; 2a línia funcions de risc i compliment; 3a línia auditoria interna independent.

5. La governança al sector públic i a l'Ajuntament

• La governança TIC pública té una capa afegida: legalitat, transparència i retiment de comptes. Els òrgans de control (Intervenció, Secretaria, Sindicatura de Comptes) formen part del sistema.
• Marc normatiu: Llei 19/2013 i Llei 19/2014 (bon govern i transparència), ENS (govern de la seguretat, amb la política de seguretat aprovada per l'òrgan competent i el Responsable de la Informació, del Servei, de la Seguretat i del Sistema), LCSP (govern de la contractació) i RGPD amb el DPD (Delegat de Protecció de Dades).
• A l'Ajuntament de Barcelona: la direcció política correspon als òrgans de govern municipal; la Gerència Municipal i les gerències sectorials i de districte exerceixen la direcció executiva; el BIT (Barcelona Innovació i Tecnologia) és l'operador tecnològic. Instruments de governança TIC: Pla Director de Transformació Digital, comitès de direcció TIC, govern de la demanda, PMO (Project Management Office), comitè d'arquitectura i el marc de principis de la Mesura de digitalització oberta amb els Barcelona Digital Standards.
• El Comitè d'Ètica i la Bústia Ètica (Normes de la Bústia Ètica) formen part del sistema de governança en la vessant d'integritat → tema comú 18.

6. Governança i compliance

• Compliance: conjunt de mesures per assegurar que l'organització compleix la normativa que li és aplicable i les seves pròpies regles internes.
• Programa de compliance ≠ sistema de gestió de compliance: el programa és el conjunt de mesures, polítiques i controls que s'apliquen; el sistema de gestió (per exemple, segons ISO 37301) és l'estructura organitzativa completa i certificable —amb política, òrgan de compliance, avaluació de riscos, controls, formació, canal de denúncies, seguiment, auditoria i millora contínua— dins de la qual s'insereix el programa. La diferència, doncs, és d'abast i formalització: el sistema de gestió és cíclic, documentat i auditable; el programa pot ser puntual.
• Bones pràctiques en la gestió dels codis ètics: que s'elaborin amb la participació dels treballadors i les treballadores —no només des de la direcció—, que estiguin aprovats per l'òrgan de govern, difosos i formats a tota l'organització, aplicables a tercers (proveïdors), amb un canal de consultes i d'alertes, amb un òrgan independent que els interpreti, i revisats periòdicament. El codi ha de ser viu i supervisat, no un document publicat i oblidat.
• Canal d'alertes o canal de denúncies: permet comunicar de manera confidencial —o anònima— incompliments normatius o del codi ètic, amb garantia d'indemnitat per a qui informa de bona fe i prohibició de represàlies. És obligatori des de la Directiva (UE, Unió Europea) 2019/1937 i la Llei 2/2023. La seva funció no és substituir la inspecció ni servir de bústia de suggeriments: és detectar i permetre investigar irregularitats i, amb això, prevenir-les.
• ISO 37001 (antisuborn) i ISO 37301 (compliance) són les normes certificables de referència.

Claus d'examen

• «Obligatòriament» és la paraula trampa: cap enunciat sobre l'organigrama del departament TIC amb aquest to té resposta certa, perquè ITIL no imposa cap estructura —ni departaments separats, ni disjunció entre desenvolupament i operacions, ni prohibició d'àrees transversals. La resposta correcta sol ser la que diu que no hi ha organigrama perfecte (TS-TIC 2018, p. 36).
• El service owner respon del servei sencer davant el client, d'extrem a extrem: no és cap de projecte, no resol incidències en primera línia i no fa de tècnic. Els distractors solen confondre'l amb rols operatius o de projecte (TS-TIC 2018 pràctica, supòsit 1, p. 19).
• En els codis ètics, la bona pràctica que sol distingir-se dels distractors és elaborar-los amb participació de treballadors i treballadores; els distractors solen ser el contrari: redactar-los només des de dalt, fer-los inalterables o limitar-los als alts càrrecs (TS-TIC 2025, p. 30).

Per recordar

• Governança = dirigir i controlar; gestió = executar. La governança respon què i per què; la gestió, com.
• Les tres activitats de govern són avaluar, dirigir i monitorar (EDM).
• COBIT 2019: EDM de govern + APO, BAI, DSS, MEA de gestió; 40 objectius, 6 principis, 7 components, cascada d'objectius.
• ISO/IEC 38500: sis principis — responsabilitat, estratègia, adquisició, acompliment, conformitat, comportament humà.
• Quan un procés l'opera un tercer, la responsabilitat i el control continuen sent de l'organització.
• Programa de compliance = conjunt de mesures; sistema de gestió de compliance = estructura completa, cíclica, documentada i certificable.
• El canal d'alertes serveix per detectar irregularitats de manera confidencial i sense represàlies.