Código:DAP-PM-01 Versión: 1 Página 1 de 12 PLAN DE MEJORA REGULATORIA RACSA 2015 1
Código: DAP-PM-001 Versión: 1 Página 2 de 12 Contenido 1. INTRODUCCIÓN... 3 2. MARCO LEGAL... 3 3. MARCO DE REFERENCIA PROPUESTA DE MEJORA... 5 4. DEFINICIONES... 5 5. MEJORA PROPUESTA... 7 6. JUSTIFICACIÓN... 9 7. OBJETIVOS... 9 8. ALCANCE... 9 Resultados Esperados... 9 9. CRONOGRAMA PROPUESTO...11 2
Código: DAP-PM-001 Versión: 1 Página 3 de 12 1. INTRODUCCIÓN La Ley de Protección al Ciudadano del exceso de requisitos y trámites administrativos número 8220, tiene como propósito la simplificación de trámites y requisitos establecidos por la Administración Pública frente a los ciudadanos como instrumento fundamental que garantiza, de forma expedita, el derecho de petición y respuesta y el libre acceso a los departamento públicos, contribuyendo, al proceso de reforzamiento de la eficiencia del servicio público. Ante esto Radiográfica Costarricense S. A.(RACSA), elabora a continuación el plan de mejora regulatoria, definiendo las actividades generales para que las áreas institucionales responsables puedan conducir esta materia y para que las unidades involucradas puedan implementarlas. Por último se presenta un cronograma general de las actividades de mejora propuesta. 2. MARCO LEGAL Este plan tiene sustento legal en las siguientes disposiciones, que definen las responsabilidades de la administración pública en el tema de la mejora regulatoria y la simplificación de trámites: Ley 8220 Esta Ley de Protección al Ciudadano del Exceso de Requisitos y Trámites administrativos, busca entre otros aspectos resguardar al ciudadano de: Corrupción Ineficiencia administrativa Promover la coordinación de los entes públicos Propiciar un uso eficiente de los recursos por parte del Estado Brindar en general seguridad jurídica al ciudadano Publicado el 4 de marzo del 2002. Ley 7472 Esta Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, mediante reforma a los artículos 3-4 y del 18 al 20 de la Ley 7472 se permite Institucionalizar la Comisión de Mejora Regulatoria. Ley 8343 Los artículos 79 y 80 de la ley N 8343 de 27 de diciembre del 2002, reforman la Ley 7472 donde se crea la omisión de Mejora Regulatoria. 3
Código: DAP-PM-001 Versión: 1 Página 4 de 12 Directriz Presidencial N 36 Evaluación del costo beneficio antes de emitir nuevas regulaciones o reformas las existentes, del 21 de enero del 2005. Decreto Ejecutivo No 32565-MEIC Establece el Reglamento a la Ley de Protección al Ciudadano del Exceso de Requisitos y Trámites Administrativos No 8220. Este instrumento tiene por objeto desarrollar sus principios en la administración pública. Publicado en la Gaceta No 166 el 30 de Agosto del 2005. Decreto Ejecutivo No 33678-MP-MEIC Establece el Reglamento sobre los programas de mejora regulatoria y simplificación de trámites dentro de la administración pública, y entre otros aspectos define la designación y funciones del enlace de cada institución, para el tema de mejora regulatoria y simplificación de los trámites y las obligaciones de los Jerarcas de los Órganos de la Administración Pública. Publicado en la Gaceta No 69 el 10 de Abril del 2007. Decreto Ejecutivo Nº 35358-MEIC Establece el Reglamento sobre el Catálogo de Trámites y Plataformas de Servicios, definiendo la obligatoriedad de crear y gestión de un Catálogo Electrónico Institucional la cual estará constituido por todos los trámites, requisitos y procedimientos, ofrecidos por cada ente u órgano de toda la Administración Pública central, descentralizada, incluso instituciones autónomas y semiautónomas, órganos con personalidad jurídica instrumental y empresas públicas, que deban realizar los ciudadanos para la obtención de permisos, licencias y autorizaciones. Así mismo, establece la obligatoriedad de implementar plataformas de servicios que oriente al usuario sobre los trámites, requisitos y procedimientos necesarios para la obtención de licencias, permisos y autorizaciones. Publicada en la Gaceta No 136 del 15 de Julio del 2009. Directriz Presidencial 002-MP-MEIC (LG 121 del 23-06-10) Esta establece como Estrategia Nacional para la Mejora Regulatoria y Simplificación de trámites: Designar al Viceministro, a los Gerentes o Subgerentes en los casos de las Instituciones descentralizadas del Estado y a los Directores Ejecutivos u homólogos en las entidades de derecho público, como Oficiales y Enlaces de Simplificación de Trámites, responsables del proceso de completar el Catálogo Electrónico Institucional de Trámites y de la definición de los Planes de Simplificación de trámites a los interno de su Institución. Artículo 3, Inciso b, de la directriz mencionada. 4
Código: DAP-PM-001 Versión: 1 Página 5 de 12 Se debe completar el Catálogo Electrónico Institucional de Trámites de conformidad al Decreto Nº 35358-MEIC, publicado el 15 de julio 2009 en el Diario Oficial La Gaceta número 136. 3. MARCO DE REFERENCIA PROPUESTA DE MEJORA COBIT es un marco de referencia y un conjunto de herramientas de soporte que permiten el cierre de brechas con respecto a los requerimientos de control, temas técnicos y riesgos del negocio, así como comunicar ese nivel de control a los participantes. Permite el desarrollo de políticas claras y de buenas prácticas para gobierno de TI que facilitan la comprensión y administración de los riesgos, así como los beneficios asociados en las empresas de TI. La estructura de procesos de COBIT y su enfoque de alto nivel orientado al negocio brindan una visión completa de TI y de las decisiones a tomar en ese ámbito (IT Governance Institute, 2005). El objetivo de COBIT es brindar buenas prácticas a través de un marco referencial de dominios y procesos, las cuales representan el consenso de expertos en la materia. Las buenas prácticas se enfocan fuertemente en el control, lo cual ayuda a optimizar las versiones realizadas por TI, aseguran la entrega del servicio y brindan parámetros para estimar cuando las cosas no están siguiendo la planificación. El enfoque de COBIT se subdivide en 34 procesos considerando sus cuatro dominios: 1. Planear y Organizar 2. Adquirir e Implementar 3. Entregar y Dar Soporte 4. Monitorear y Evaluar. El marco de trabajo de COBIT garantiza que: TI esté alineada con el negocio TI capacite el negocio y maximice los beneficios Los recursos de TI se usen de manera responsable Los riesgos de TI se administren apropiadamente Compatibilidad con muchas tendencias del mercado, principalmente con ISO 27000 y COSO. Los roles y responsabilidades de TI a nivel estratégico, táctico y operativo estén claramente establecidos. 4. DEFINICIONES Para los propósitos de este documento se entiende como: 5
Código: DAP-PM-001 Versión: 1 Página 6 de 12 Catalogo electrónico institucional de trámites: Es un sistema electrónico desarrollado por el MEIC que administra la información de los trámites de la Administración Pública, facilitando a los ciudadanos la consulta de manera centralizada y en línea. COBIT: Marco de referencia de buenas prácticas para el control de TI. Acrónimo en inglés de Objetivos de Control para la Información y la Tecnología Relacionada, emitido por el IT Governance Institute COSO: Marco Integrado de Control Interno (Internal Control Integrated Framework) Dominio: Cada una de las áreas lógicas del ciclo de gestión de TI, utilizadas por Cobit para agrupar los procesos y objetivos de control. Los cuatro dominios son: Planear y Organizar (PO), Adquirir e Implementar (AI), Entregar y Dar Soporte (DS), y Monitorear y Evaluar (ME). Gestión de la tecnología de información: Estructura de relaciones y procesos diseñados y ejecutados para dirigir y controlar la tecnología de información, sus riesgos asociados y su vinculación con las estrategias y objetivos del negocio. Hallazgo: Se refiere a las debilidades, deficiencias o brechas apreciables respecto a un criterio o estándar previamente definido. ISO 27000: Es un conjunto de estándares desarrollados -o en fase de desarrollopor la ISO (International Organization for Standardization) que proporcionan un marco de gestión de la seguridad de la información utilizable por cualquier tipo de organización, pública o privada, grande o pequeña. ITIL: Information Technology Infrastructure Library (Biblioteca de Infraestructura de Tecnologías de Información), es un marco de trabajo de las mejores prácticas destinadas a facilitar la entrega de servicios de tecnologías de la información (TI) de alta calidad. ITIL resume un extenso conjunto de procedimientos de gestión ideados para ayudar a las organizaciones a lograr calidad y eficiencia en las operaciones de TI. Nivel de madurez: Cada uno de los grados de desarrollo alcanzado en cada uno de los procesos Cobit. Mejora Regulatoria: Consiste en aquellos cambios que elevan la calidad del sistema jurídico en su conjunto y de los instrumentos jurídicos, con el propósito de incrementar sus beneficios, reducir sus costos y aumentar su eficiencia. Perfil tecnológico: Descripción de la estructura organizacional, los procesos y la infraestructura de TI de la entidad, así como del nivel de automatización de sus procesos de negocio y de gestión del riesgo. Proceso: Cadena de actividades que agregan valor y permiten la generación de un producto o servicio bajo determinadas condiciones y plazo. Proveedor de tecnologías de información: Persona física o jurídica que provee o presta un servicio relacionado con la tecnología de información. 6
Código: DAP-PM-001 Versión: 1 Página 7 de 12 RACSA: Radiográfica Costarricense S.A. entidad proveedora de servicios especializados en el área de la tecnología y las telecomunicaciones para el sector público y privado. Riesgo de TI: Posibilidad de pérdidas financieras derivadas de un evento relacionado con el acceso o uso de la tecnología, que afecta el desarrollo de los procesos del negocio y la gestión de riesgos de la entidad, al atentar contra la confidencialidad, integridad, disponibilidad, eficiencia, confiabilidad y oportunidad de la información. Simplificación de Trámites: Racionalizar las tramitaciones que realizan los usuarios ante la Administración Pública; mejorar su eficacia, pertinencia y utilidad, a fin de lograr mayor celeridad y funcionalidad en las mismas; reducir los gastos operativos; obtener ahorros presupuestarios y mejorar las relaciones de la Administración Pública con los ciudadanos. SUGEF: Superintendencia General de Entidades Financieras, que vela por la estabilidad, la solidez y el funcionamiento eficiente del sistema financiero nacional, con estricto apego a las disposiciones legales y reglamentarias y de conformidad con las normas, directrices y resoluciones que dicte la propia institución, todo en salvaguarda del interés de la colectividad. Tecnología de información (TI): Conjunto de técnicas que permiten la captura, almacenamiento, transformación, transmisión y presentación de la información generada o recibida a partir de procesos, de manera que pueda ser organizada y utilizada en forma consistente y comprensible por los usuarios que estén relacionados con ella. Incluye elementos de hardware, software, telecomunicaciones y conectividad. Usuario Interno: Es el receptor de todo lo que debe hacerse en cada uno de los procesos internos de la Institución con la finalidad de satisfacer al usuario (como por ejemplo el departamento de recursos humano, dirección de sistemas administrativos, entre otros). 5. MEJORA PROPUESTA La mejora propuesta sobre los procesos de tecnología de la información de RACSA para el 2015 consiste en la elaboración de las políticas, manuales y procedimientos alineados con la metodología COBIT y de esta manera asegurar la operación eficaz de la gestión de tecnologías de información (TI) que mejora los servicios contratados a RACSA por entidades financieras y dar cumplimiento con las regulaciones de la SUGEF mediante la Normativa SUGEF 14-09 a un nivel de madurez 2 y 3. Adicionalmente, se elabora una hoja de ruta con la descripción de los aspectos generales de la mejora propuesta (Ver cuadro N 1 de Hoja de Ruta) 7
Código: DAP-PM-001 Versión: 1 Página 8 de 12 HOJA DE RUTA TRÁMITE O SERVICIO: de Tecnología de la Información de RACSA DESCRIPCIÓN DE LA REFORMA: Implementación y Normalización de los procesos de TI de RACSA alineándolos bajo las mejores prácticas del marco de referencia COBIT (34 ) para dar cumplimiento con el Acuerdo 14-09 de la SUGEF. FUENTES: Marco de Referencia COBIT Acuerdo 14-09 SUGEF Área de Operaciones RACSA PLAZO DE IMPLEMENTACION: IMPACTO: INICIO FINAL DURACIÓN Asegurar la operación eficaz de la gestión de tecnologías de información (TI) que mejora los servicios contratados a RACSA por entidades 05/01/2015 30/12/2015 359 financieras y dar cumplimiento con las regulaciones de la SUGEF LIDER: RACSA EQUIPO QUE ACOMPAÑA/PARTICIPA: Área de Operaciones RACSA Área de Capacitaciones RACSA Auditor Externo Oficial de Mejora Regulatoria y Simplificación de Trámites PRÓXIMOS PASOS: Conformación del Equipo, Identificación de y Diagnóstico Inicial REQUERIMIENTO EN RECURSOS: La cantidad de recursos necesarios para el desarrollo de las actividades se estima en 5 distribuidos de la siguiente manera: (1) Coordinador Arquitectura y, (1) Líder técnico COBIT, (3) Ingenieros de procesos Cuadro N 1 Hoja de Ruta 8
Código: DAP-PM-001 Versión: 1 Página 9 de 12 6. JUSTIFICACIÓN El propósito de la implementación y alineación de procesos COBIT es brindar las herramientas necesarias para la identificación de brechas en los procesos actualmente aplicados en el Gobierno de Tecnología de Información (TI), definiciones de indicadores de desempeño, métricas y controles; con el fin de implementar una estrategia de TI alineada con el negocio cumplir con los compromisos contractuales actuales y futuros relacionados con las entidades financieras que están normadas por la SUGEF mediante el Acuerdo 14-09, el cual regula los parámetros para la gestión de TI en las entidades financieras nacionales así como sus proveedores de servicios asociados. 7. OBJETIVOS Implementar y normalizar los procesos en RACSA para alcanzar los niveles de madurez requeridos en el Acuerdo 14-09 de la SUGEF. Elaborar los procedimientos alineados con el marco de referencia de COBIT. Dar a conocer los principales riesgos asociados en la implementación de los procesos COBIT. Recomendar indicadores de desempeño que permitan evaluar la correcta ejecución en los procesos implementados. Realizar un plan de mejoras y revisión en los procesos normalizados con el fin de elevar la calificación en subsecuentes auditorías externas. Apoyar la elaboración del plan de sensibilización y capacitación institucional para los usuarios de los procedimientos. 8. ALCANCE Elaboración, normalización, implementación y formulación del control de los procesos bajo el marco de trabajo de COBIT, con el fin de asegurar la operación eficaz de la gestión de tecnologías de información (TI) de RACSA. Resultados Esperados En este periodo se tendrá como resultado del plan: 34 procesos normalizados e implementados según metodología Políticas, Manuales y procedimientos documentados. 9
Código: DAP-PM-001 Versión: 1 Página 10 de 12 Riesgos asociados debidamente identificados. Indicadores de desempeño. Plan de mejoras para años siguientes a fin de elevar la calificación en posteriores auditorias. Apoyo para la elaboración del plan de sensibilización y capacitación institucional a fin educar y entrenar a los usuarios. 10
Código:DAP-PM-01 Versión: 1 Página 11 de 12 9. CRONOGRAMA PROPUESTO A continuación se muestra el cronograma de actividades general para la mejora propuesta en el 2015: No. ACTIVIDAD RESPONSABLE FECHA INICIO FECHA FINAL DURACIÓN (DIAS) 1 Diagnóstico inicial y priorización de los procesos RACSA a implementar bajo el marco de referencia COBIT 05-01-15 09-02-15 35 2 Identificación y recomendaciones de mejora sobre riesgos asociados a los procesos. 09-02-15 01-03-15 20 3 Creación de la ruta de acción para la implementación de las mejoras identificadas. 01-03-15 26-03-15 25 4 Desarrollo de las políticas para gobernar los procesos de TI en RACSA / Área de Operaciones 26-03-15 15-04-15 20 5 Elaborar procedimientos para la implementación de los procesos para alcanzar el nivel de madurez deseado. 15-04-15 24-07-15 100 6 Recomendación de herramientas e instrumentos para el adecuado control de los procesos de TI en RACSA 24-07-15 13-08-15 20 7 Elaboración del plan de implementación de los procesos normalizados 13-08-15 23-08-15 10 8 Ejecución del plan de implementación de los procesos normalizados Área de Operaciones 23-08-15 27-10-15 65 11
Código: DAP-PM-001 Versión: 1 Página 12 de 12 9 Elaboración del Plan de Capacitación Institucional para usuarios y dueños de los procesos Área de Capacitación 27-10-15 11-11-15 15 10 Apoyo en el plan de sensibilización y capacitación institucional a fin de educar a los usuarios 11-11-15 25-11-15 14 11 Verificación del nivel de cumplimiento de los procesos de TI normalizados mediante matriz de calificación del Acuerdo SUGEF 14-09 definido por la administración Auditor Externo / Oficial de Mejora Regulatoria 25-11-15 10-12-15 15 12 Elaboración del Plan de Mejora Continua en los procesos para años subsecuentes. 10-12-15 30-12-15 20 12