DIRECCIÓN DE INFRAESTRUCTURA Y SERVICIOS DE. TIC

Transcripción

1 DIRECCIÓ_N GENERAL ADJUNTA DE TIC DIRECCIÓN DE INFRAESTRUCTURA Y SERVICIOS DE. TIC A DICTAMEN DE EXCEPCIÓN A LA LICITACIÓN PÚBLICA PARA LA ADQUISICIÓN DE UNA PLATAFORMA INFORMÁTICA ESPECIALIZADAENLAAD.MINISTRACIÓN.INTE.GRAL DE RIESGOS El presente dictamen de excepción a la licitación se fundamenta en el artículo 38 fracción, XIV del Estatuto Orgánico de la Comisión Federal de Competencia Económica, 60 fracciónviii de las Políticas Generales en Materia de Recursos Materiales para las Adquisiciones, Arrendamientos y Servicios de la Comisión Federal de Competencia Económica y Numeral 20 y 21 de las Políticas Generales en Materia de Tecnologías de la Información y Comunicaciones en la eomisión Federal de Competencia Económica. Con el propósito de robustecer la estructura de administración de riesgos de la Comisión Federal de Competencia Económica (COFECE o Comisión), se considera necesario contar con una herramienta tecnológica que permita gestionar y coordinar los esfuerzos que las distintas unidades administrativas de la COFECE realizan para la identificación y valoración de riesgos, así como para el diseño de actividades de control, es decir, para el monitoreo sistematizado y la mitigación de los riesgos que se iden,ifiqueh. La gestión integral de riesgos es un esquema preventivo para hacer frente a eventos imprevistos que, de verificarse, pueden afectar ~egativamente el cumplimiento de, los objetivos estratégicos de la Comisión. Este esquema se conforma por cuatro componentes interrelacionados: i) identificación de riesgos; ii) evaluación de riesgos; iii) establecimiento de controles; así como, iv) monitoreo y revisión. El propósito de la adquisición de una plataforma informática especializada en la administración integral. de riesgos es que otorgue apoyo en el seguimiento a cada uno de los cuatro componentes que conforman la estructura de administración de riesgos de la COFECE. En particular, se solicita que la plataforma tenga.las siguientes. c; uacterísticas: Un módulo que contemple elementos para plasmar la planeación estratégica de la COFECE vincúlada con los procedimientos, procesos, tareas y/o políticas institucionales y finalmente registrada en este sistema a nivel de identificación de riesgos en estos procedimientos." La capacidad de crear perfiles de acceso, usuarios, permisos y niveles de autorización para restringir el uso del sistema a las personas que corresponde. Módulos de gestión de riesgo operacional que permitan la carga de catálogos de riesgos, planes de acció n y la generación de reportes relacionados. Facilitar la interaccion entre 1as áreas responsables de los procesos y el área encargada de supervisar y monitorear la gestión institucional de riesgos. De manera general, deben contemplarse aplicaciones o capacidades en la herramienta que permitan un seguimiento oportuno a la: i) identificación de riesgos; ii) evaluación de riesgos; iii) establecimiento de controles; y iv) monitoreo y revisión de riesgos y controles.

2 La herramienta debe contemplar, como mínimo, los elementos señalados a continuación: ELEMENTO l. Identificar riesgos y establecer una biblioteca de riesgos Identificación de riesgos mediante un enfoque desde arriba hacia abajo: los administradores de riesgos identifican los riesgos y les solicitan a los propietarios de riesaos que los evalúen. Identificación de riesgos mediante un enfoque desde abajo hacia arriba: los propietarios de riesaos son auienes los identifican v los envían a los administradores de riesaos. El administrador de riesgos establece en la herramienta una biblioteca de riesgos: los riesgos se identifican, categorizan y asocian con una determinada situación y con los sistemas de control adecuados para mitigarlos. La herramienta genera indicadores e informes analíticos y de resumen para facilitar la administración de la biblioteca de riesgos. La herramienta expresa los riesgos en relación con su contexto (procesos y unidades resoonsables) mediante una representación aráfica. /f. Cuantificar/medir riesgos La herramienta genera alertas automáticas y se envían cuestionarios de autoevaluación a intervalos predeterminados para garantizar que la institución tenga un panorama actualizado de su exoosición. La herramienta permite ponderar las mediciones de riesgo y calcula automáticamente la exposición al riesao para cada oroceso, unidad resoonsable, y tipo de riesgo Supervisar riesgos y dar seguimiento a planes de acción La herramienta permite determinar la respuesta a cada riesgo: aceptar tal cual está, reducir, tomar precauciones, aseaurar, etc. La herramienta permite registrar los controles y planes de acción para reducir los riesgos. Los planes de acción se envían y aprueban a través de un flujo de trabajo. La herramienta genera informes para facilitar el proceso de seguimiento de planes de acción. En 2014, la Comisión Federal de Competencia Económica (COFECE o Comisión) inició la implementación de su Sistema de Control Interno Institucional, con el propósito de contar con un esquema que integre los esfuerzos de la Comisión hacia una operación eficaz, eficiente, orientada a resultados y al cumplimiento de los objetivos establecidos en el Plan Estratégico Al respecto, se instrumentó el Comité de Control Interno para asegurar el monitoreo en la implementación del Sistema. En 2014, el Comité decidió adoptar la metodología de control interno con mayor acreditación a nivel internacional: el Modelo integral de control interno COS0. 1 Este modelo establece que los esfuerzos del esquema de control interno deben desplegarse en cinco componentes: i) ambiente de control; ii) administración de riesgos; iii) actividades de control; iv) información y comunicación; y, v) supervisión. 1 Comittee of Sponsoring Organizations of /he Treadway Commission (COSO).

3 En particular, en lo que corresponde a los componentes segundo y tercero, durante 2014 el Comité de Control Interno definió la estructura del sistema institucional de administración de riesgos, el cual cuenta con los siguientes seis componentes: Subcomité de Riesgos, grupo de trabajo especializado, en el cual participan todas las áreas de la COFECE. Con el objetivo de facilitar la participación y la gestión de la información relacionada, la Dirección General de Planeación y Evaluación (DGPE) tiene a su cargo la Secretaría Técnica del Subcomité; 2 Metodología para la Administración de Riesgos, documento institucional que detalla los pasos a seguir para gestionar los riesgos que enfrenta la Comisión, desde su identificación.hasta el desarrollo de alternativas para su tratamiento; Mapa de Riesgos, representación gráfica de las amenazas al desempeño institucional, en función de su probabilidad de ocurrencia e impacto esperado; Programa de Trabajo de Respuesta ante Riesgos (PROTAR), instrumento para el seguimiento de la implementación de los controles definidos para mitigar los riesgos institucionales; Informe sobre riesgos institucionales, documento semestral que permite dar cuenta al Pleno del estado que guardan los riesgos institucionales; y, Herramienta tecnológica, software para sistematizar la gestión integral de riesgos. En consideración de lo anterior, la DGPE ha iniciado el proceso de adquisición para que la COFECE cuente con la plataforma informática que permita gestionar oportunamente la identificación y evaluación de riesgos, así como el establecimiento de controles y las acciones de monitoreo y revisión de las acciones relacionadas con ellos. Motivación. Que cada una de las unidades administrativas de la COFECE alimente la plataforma de riesgos con los resultados del análisis de identificación de amenazas a sus procesos y actividades principales. Registrar las valoraciones que las unidades administrativas otorgan en tres aspectos: i) la probabilidad de que los riesgos se concreten; ii) la magnitud del impacto esperado; y, derivado de éstas, iii) la priorización de los riesgos. Señalar y evaluar los controles establecidos en cada riesgo detectado. Facilitar la coordinación de las actividades de monitoreo que realiza la DGPE y evitar que la información del sistema se encuentre en hojas de cálculo. Necesidad. La Comisión Requiere de: 2 De conformidad con el artículo 41, fracción IX del Estatuto Orgánico de la COFECE, la DGPE es la encargada de presentar al Presidente de la Comisión el mapa de riesgos y la estrategia de seguimiento respectiva.

4 Contar con una herramienta tecnológica que permita dar seguimiento al componente de análisis de riesgos del esquema de Control Interno de la COFECE. Garantizar una coordinación fluida y expedita entre las unidades administrativas de la COFECE y la DGPE con el propósito de conformar oportunamente la supervisión y monitoreo del esquema de riesgos. Presentar en tiempo y forma el Mapa de Riesgos, el PROTAR y el Informe semestral sobre riesgos institucionales. A partir de la firma del contrato y hasta el 31 de diciembre del El pasado 13 de octubre de 2015 se publicó en CompraNet la convocatoria para obtener propuestas relacionadas con la Licitación Pública Mixta No LP19-15 "Adquisición de una Plataforma Informática Especializada en la Administración Integral de Riesgos", el 22 de octubre de 2015, se llevó a cabo la junta de aclaraciones. Con fecha 28 de octubre del presente año, se llevó a cabo el acto de recepción de las propuestas técnicas y económicas y apertura de las mismas, durante el cual se recibieron cuatro propuestas. El 30 de octubre de 2015 se emitió el acto de fallo correspondiente donde se determinó declarar desierta la licitación, ya que las propuestas recibidas no se adaptaron a los requerimientos de la COFECE. Dos de ellas, cuyo monto ofertado se encontraba por debajo del presupuesto asignado a esta licitación, no adjuntaron información suficiente que permitiera acreditar por completo su viabilidad técnica. Adicionalmente las dos propuestas restantes rebasaron el presupuesto asignado para esta licitación y no existen recursos presupuestales para cubrir el faltante. Por lo antes descrito, se solicita el procedimiento de contratación por Adjudicación Directa, se actualiza el supuesto contenido en el artículo 60 fracción VIII de las Políticas Generales en Materia de Recursos Materiales para las Adquisiciones, Arrendamientos y Servicios de la COFECE, por lo que se dictamina como procedente la no celebración de la Licitación Pública misma que se autoriza. De la licitación pública realizada, se obtienen los siguientes montos: Empresa Monto Ofertado en Licitación Pública* % de Ahorro MEGA MLA, S.A. de C.V. $1,091, % Sistemas de Control de Gestión, S.Ade C.V. $1,750, % Grupo Alux Technologies, S.A de C.V. $1,760, % *Precios antes del Impuesto al Valor Agregado (IVA) I

5 Dl~ECCIÓN DE INFRAESTRUCTURA Y SERVICIOS DE TIC Cabe mencionar, que la empresa MEGA MLA, S.A. de C.V. realizó un descuento en su propuesta final de $20, (Veinte mil pesos 00/100 M.N.), respecto a la oferta presentada en la licitación pública, obteniendo un monto final de $1,071, (Un millón setenta y un mil ochocientos setenta pesos 00/100 M.N.). De la misma forma, es importante señalar que la oferta más baja en el proceso de Licitación fue de la empresa SECURUM, Tecnologías de Información, S. de R.L. de C.V. con un monto de $1,044, (Un millón cuarenta y cuatro mil 00/100 Pesos M.N.) sin IVA. Esta propuesta no fue considerada derivado de que el software ofertado no facilitaría una administración integral de riesgos óptima en la COFECE. Lo anterior, debido a que la estructura de la herramienta tecnológica propuesta por SECURUM, Tecnologías de Información, S. de R.L. de C.V. no es compatible con el esquema de identificación, análisis, evaluación y establecimiento de medid.as para el tratamiento de riesgos que se encuentra establecido en la Metodología para la Administración de Riesgos de la COFECE. Aunado a lo anterior, el software en cuestión cuenta con un enfoque de administración de riesgos especializado en riesgos tecnológicos y no en riesgos asociados a la operación de procesos sustantivos (críticos) o adjetivos (de soporte), ya que se basa en las metodologías COBIT, PCI DSS, ISO/IEC27002 e ISO 27001; asimismo el "módulo risk manager" se manifestó como "una plataf9rma ideal para mapear activos, integrar sistemas de TI, comunicaciones, monitoreo físico y cibernético". De hecho, las principales categorías conceptuales (tecnología, procesos, ambiente, perímetros) difieren de las que maneja la COFECE en su metodología institucional (actores relevantes, factores de riesgos, impacto esperado) lo que dificultaría su implementación y adopción por parte de los usuarios de la COFECE quienes ya están familiarizados con la metodología institucional. De acuerdo a los resultados obtenidos, se considera a la empresa MEGA MLA, S.A. de C.V., ya que brinda las mejores condiciones para la COFECE, por lo que se propone su adjudicación directa para la contratación objeto del presente dictamen. El contrato será por un monto de $1,071, (Un millón setenta y un mil ochocientos setenta pesos 00/100 M.N.) más el IVA, se contempla en un solo pago posterior a la entrega y aceptación del servicio a entera satisfacción. El pago del servicio se efectuará de acuerdo a las disposiciones que emita la Dirección General Adjunta de Presupuesto y Finanzas para el cierre presupuesta! del ejercicio fiscal 2015, previa presentación y validación del comprobante fiscal por parte de la Dirección General Adjunta de TIC. En el caso de que la factura contenga errores, el licitante adjudicado deberá entregar la refactura dentro de un plazo de 2 días hábiles posteriores a la fecha de notificación por parte de la Comisión. De conformidad con el artículo 60 fracción VIII de las Políticas Generales en Materia de Recursos Materiales para las Adquisiciones, Arrendamientos y Servicios de la COFECE, la presente adjudicación I

6 se fundamenta en los criterios de eficiencia, eficacia, imparcialidad y honradez, los cuales se acreditan de la siguiente manera: a. EFICIENCIA.- La selección de los participantes en el proceso de Adjudicación Directa se llevó a cabo verificando la experiencia de las empresas, cuidando que se hayan seguido la normatividad aplicable, lo que permite obtener los bienes de una manera ágil y oportuna. b. EFICACIA.- A fin de dar cumplimiento a los objetivos, y procurando la optimización de sus recursos, la COFECE requiere la Adjudicación Directa a la empresa que reúne las condiciones de experiencia, especialidad requerida para otorgar el bien en tiempo y forma satisfactoria. c. IMPARCIALIDAD.- Los servidores públicos que intervinieron en este proceso ejercieron su función con objetividad y rectitud, guardando los mismos criterios de evaluación curricular para el prestador del servicio. d. ECONOMÍA.- Al realizar esta adjudicación directa se logra obtener un ahorro de hasta 39% como se demuestra en la presente justificación. e. HONRADEZ.- La COFECE solicita la excepción a la licitación pública en estricto cumplimiento con el Código de Ética y Conducta de la COFECE y con lo previsto por las normas aplicables en materia de adquisiciones, procediendo con rectitud e integridad, y prevaleciendo únicamente el interés público que funda y motiva la actuación de los servidores públicos, evitando actuar con falta de ética en sus responsabilidades y obligaciones. Por las razones aquí expuestas, la Dirección General Adjunta de TIC, con fundamento en los artículos 38 fracción, XIV del Estatuto Orgánico, 60 fracción VIII de las Políticas Generales en Materia de Recursos Materiales para las Adquisiciones, Arrendamientos y Servicios, así como los Numerales 20 y 21 de las Políticas Generales en Materia de Tecnologías de la Información y Comunicaciones, solicita la contratación por Adjudicación Directa con excepción a la Licitación Pública, manifestando que la información contenida en el presente dictamen y la selección del proveedor adjudicado es de exclusiva responsabilidad del Área en cuestión. Sin otro asunto que tratar y para los efectos legales y justificación que procedan, se emite el presente dictamen en la Ciudad de México, D.F. el 19 de noviembre del Atenfflme7' Atentamente Erasto Director de lnf evas Reyes estructura y Servicios de TIC ola Guerra Blanco Dir ctora General Adjunta de Planeación y Evaluación