ISO 20000, una marca en el buen camino

La gestión de servicios de TI se encuentra en proceso de mejora continua en Caja Madrid, cuya Unidad de Sistemas y Operaciones, con Ricardo Morado al frente, prioriza la calidad de los servicios de TI como eje fundamental para proporcionar servicios de calidad a los clientes de la Entidad. Se trata de un proceso, que partiendo de un entorno tecnológico puntero pone el objetivo en la monitorización y gestión del producto, esto es, de los servicios ofrecidos. Desde 2005 empieza a experimentarse en la gestión de la tecnología en Caja Madrid un cambio de tendencia, desplazando el foco desde la infraestructura tecnológica (hardware y software) a los servicios. Así y aunque sin emprender la adopción de prácticas ITIL, se aborda un proyecto de Gestión Integrada de Servicios (GIS), embrión de lo que estaba por venir. De esta forma y como indica el director del Área de Explotación de Caja Madrid, José María Pradas, “nos vimos obligados a crear una primera versión de un catálogo de servicios tecnológicos en producción y a avanzar en la homogeneización ya que hasta ese momento las diferentes agrupaciones no utilizaban el mismo lenguaje”. Paralelamente a la monitorización y como sucede en la práctica totalidad de la grandes compañías, en Caja Madrid existía una serie de actividades encaminadas a tener bajo control las tareas asociadas a la gestión de las TI, actividades no reguladas formalmente bajo el amparo de un proceso y especialmente encaminadas a abordar aquellas cuestiones más prioritarias: Gestión de las Incidencias y Gestión de los Cambios. Aunque sin pensar todavía en ITIL que, como reconoce Pradas, en ese momento era desconocido para la mayoría, desde la Unidad de Sistemas y Operaciones se impulsa la implantación de las mejores prácticas ITIL ya que es el marco internacional reconocido de mejores prácticas en la gestión de TI. Pradas no alberga dudas “ITIL ordena, aporta procedimiento e introduce una cultura de gestión por procesos dentro de la organización, lo cual implica avanzar desde un estadio artesanal a uno industrial”. EDEA, denominación del proceso de desarrollo de software de Caja Madrid, está reconocido desde junio de 2008, por un Lead Appraiser autorizado por el SEI, con el nivel de madurez 3 del modelo CMMI-DEV version 1.2 en su representación por niveles. La acreditación del nivel 3 supone el reconocimiento oficial de que EDEA posee y aplica un modelo de trabajo definido, maduro y eficaz. Sobre estas bases, la Dirección de la Unidad decide impulsar la implantación de las prácticas ITIL y la certificación ISO 20000 como medio para cerrar el círculo de una gestión eficaz y eficiente de las tecnologías. La coexistencia de ambos modelos se traduce en importantes beneficios, entre los que cabe destacar los siguientes: “mejora continua de los procesos y las técnicas, mejora de la calidad de los servicios de TI, aprendizaje colectivo y anticipación a los problemas, reducción de errores técnicos, y prevención y gestión de los riesgos”, enumera Pradas. A finales del 2006 se toma la decisión de impulsar la implantación de ITIL en su versión V2, que era la disponible en ese momento y por la cual Caja Madrid mantuvo su apuesta incluso cuando aparece ITIL V3. Se contrató una consultoría que una vez realizado un ‘assesment’ inicial del grado de madurez de las prácticas implementadas, recomienda evolucionar estas hacia un grado de madurez más elevado tomando como marco de referencia la versión 2. . “El objetivo”, de acuerdo con Pradas, “era que todas las agrupaciones directivas estuvieran formadas en ITIL Foundation V2, así como algunos técnicos y especialistas”. Desde entonces hasta la actualidad, en ningún momento se ha restado importancia a la formación, clave a la hora de lograr el éxito en este tipo de proyectos. Caja Madrid ha logrado poder contar en la actualidad con profesionales certificados en ITIL Service Manager y entre 70 y 80 personas certificadas en ITIL Foundation, formando un núcleo que le permite ser autónomo e independiente en el proceso de evolución, mejora continua y certificación de servicios bajo norma ISO 20000. Con esta base y teniendo en cuenta lo que ya existía y la meta perseguida Caja Madrid optó por abordar el proyecto en dos fases. La primera fase se inició a finales de 2006 y en colaboración con HP se abordan la implementación de los procesos de soporte (Gestión de Cambios, Incidencias, Problemas, Entrega y Configuración con la implantación de una CMDB).
Según Pradas, en esta primera fase se contó con el apoyo de HP ya que “requeríamos de su experiencia en la implantación de los procesos y necesitábamos tener una herramienta que diera cobertura global a su gestión”. En Caja Madrid se disponía de desarrollos propios para esta función, pero no existía una base de datos común que centralizara las necesidades y colaborara a crear las sinergias necesarias entre los procesos.
La herramienta seleccionada fue Service Desk 4.5 de HP. “Consideramos”, señala Pradas, “que para nuestras necesidades, en aquellos momentos era la herramienta mejor posicionada, además, todo nuestro sistema de monitorización de servicios se basaba en Open View Services Quality Manager (SQM) de HP y también la visión ejecutiva se apoyaba en Open View Operations (OVO) de HP”. En el marco de esa primera fase, que como ya se ha indicado se inicia con un plan de formación, se aborda como hito más relevante la Gestión de la Configuración con una CMDB centralizada. “La primera CMDB tenía alrededor de 280.000 elementos, fuimos ambiciosos en su alcance y eso nos dilató su carga y por consiguiente su puesta en producción”.
Una solución que permitiera automatizar el descubrimiento de componentes y sus relaciones se identificó como necesaria para un mantenimiento eficiente. Además herramientas de auditoría que contribuyeran a mantener la integridad de la información se revelaron como imprescindibles. Las herramientas disponibles en esos momentos y Service Desk entre ellas, no traían embebida esa solución. Por ese motivo, se implementaron procedimientos manuales, pero ambas cuestiones quedaron como prioritarias para posteriores evoluciones. Durante cierto tiempo en Caja Madrid se trabajó en paralelo con dos proyectos. El que implicaba la primera fase de la iniciativa y un segundo proyecto, que se inició a finales de 2007 y suponía ampliar la iniciativa a todos los procesos de provisión (Gestión de Nivel de Servicio y Capacidad, Continuidad, Disponibilidad y Financiera) trabajando en este caso en colaboración con Sopra Group. “Sopra Group había colaborado con Caja Madrid en CMMI 2 y 3 y pensamos, como así fue, que su experiencia y conocimiento contribuirían no solo a la implantación de los procesos ITIL, sino a la obtención de sinergias entre ambas actividades”.
En general las actividades realizadas en aras de ofrecer soporte a los servicios se encuentran mucho más maduras en todas las organizaciones, especialmente la Gestión de las incidencias y la Gestión de los cambios, esto es así porque son actividades claramente prioritarias, identificadas como tales y cuyos beneficios se identifican inmediatamente, por eso mismo son más sencillas de implementar bajo la cobertura de un proceso que se ejecute de forma transversal a una organización. Los procesos de provisión de los servicios están embebidos en las actividades diarias que se acometen en una organización que gestiona las tecnologías, realizarlos de forma estructurada bajo el amparo de un proceso (repetible y medible) que se ejecute de forma transversal entre todos los intervinientes de la organización es el beneficio y el reto indudable que aporta en sí mismo. La incorporación, en la gestión, de procesos transversales que procedimenten las formas de trabajar actuales e incorporen las nuevas prácticas reconocidas por sus beneficios son a la vez una fuente de mejoras y de dificultades. En relación con ello, en Caja Madrid se decidió que el perfil de responsable de cada proceso se correspondiera con un responsable directivo de la organización; además, todos los procesos, además del gestor, incorporan un responsable del mismo que indefectiblemente se considera sea un director de departamento. “Su autoridad jerárquica”, subraya Pradas, “ofrece soluciones que nos han permitido realizar la implantación de los procesos de una manera más fácil, venciendo la resistencia al cambio que conlleva este tipo de proyectos”. Es justamente al abordar este segundo proyecto, cuando Caja Madrid se plantea la certificación de servicios de TI bajo norma ISO/IEC 20000. La norma ISO/IEC 20000 describe un conjunto de procesos de gestión que están alineados y son complementarios con el enfoque de procesos definidos en ITIL, aporta una capa de gestión que complementa a los procesos ITIL y que, en opinión de Pradas “se manifiesta como absolutamente imprescindible” para una gestión y evolución de la gestión de las tecnologías eficaz y eficiente. La certificación es la constatación de una gestión eficiente de servicios de TI. Con esas miras y con el impulso de la dirección, la certificación ISO/IEC 20000 se estableció como una prioridad para 2009. Esta decisión se reveló con el paso del tiempo como una gran ayuda en el proceso de mejora continua de gestión de servicios, objetivo prioritario de todo el proyecto. Además, en el caso concreto de Caja Madrid, “con el hecho material de la certificación queríamos constatar con un interlocutor independiente que garantizara que el camino andado era el correcto y, sobre todo y especialmente, que teníamos sólidos cimientos para continuar con su evolución”, comenta Pradas, para añadir que “la Asociación Española de Normalización y Certificación (AENOR) nos ofrecía esa independencia que buscábamos”. En opinión de Pradas, “la certificación en sí misma es un elemento aglutinador de objetivos e intereses que marca un hito temporal que supone un impulso dinamizador de prioridades y sin el cual ciertas actividades pueden dilatarse en el tiempo”. La norma certifica servicios y se compone de las siguientes partes: La parte 1 (UNE ISO/IEC 20000-1-Especificación), contiene una lista de controles obligatorios, ‘debe’, que los proveedores de servicio deben cumplir para obtener la certificación; la parte 2 (UNE ISO/IEC 20000-2-Código de prácticas) contiene una lista de directrices y sugerencias, que ‘deberían’ ser tenidas en cuenta por los proveedores de servicio que deseen certificarse. Así, en Caja Madrid se certifica la parte 1 de la Norma y el Sistema de Gestión que, a su vez, contiene las Políticas, Procesos y el marco de trabajo que hace posible la efectiva gestión e implementación de todos los servicios de Tecnologías de la Información de acuerdo con el criterio de Gestión Global de la Calidad. Caja Madrid seleccionó para esta primera certificación 4 servicios que en su conjunto se definen como el conjunto de Servicios del Catálogo que comprende toda la infraestructura central y de comunicaciones que permite a toda la Red de Oficinas de Caja Madrid realizar las actividades propias para la comercialización de productos y servicios financieros, así como la gestión interna de cada oficina. “La decisión se tomó por la enorme importancia que este núcleo de servicios tecnológicos supone en el negocio de nuestra Entidad”, argumenta Pradas. El proceso de certificación es, a grandes líneas, el siguiente: previo a la certificación oficial debe realizarse una auditoría interna por un auditor certificado cuyo informe resolutor es un requisito imprescindible para iniciar el proceso. En mayo de 2009 Caja Madrid ya disponía del necesario informe de certificación y a finales de junio inicia el proceso oficial de certificación. A posteriori se realiza el envío y estudio de la documentación y registros que respaldan el sistema: Políticas, Planes y Procesos. Y, finalmente la Auditoría se desarrolla en dos fases: en la primera se evalúa el Sistema de Gestión, los Procesos y Sistemas de Soporte que dan conocimiento de la organización y el alcance definido. Al término de cada fase se generan Planes de Acciones Correctiva PAC detallados en función de los resultados: puntos fuertes / débiles, observaciones, no conformidades menores / mayores (si existen no conformidades mayores entonces no se concede el certificado). El modelo de certificación es incremental, esto quiere decir que el grado de exigencia entre la primera concesión de la certificación y su renovación cada 3 años se va incrementando de manera gradual. El objetivo es conseguir la Mejora Continua de la organización de acuerdo al ciclo de calidad que promueve la norma ISO/IEC 20000. Una vez obtenido el certificado se renueva el mismo cada 3 años, existiendo dos auditorías de seguimiento (anuales) en ese plazo. En el caso de Caja Madrid, Aenor dio su conformidad a la primera fase a primeros de julio de 2009 y en octubre emitió el veredicto correspondiente a la segunda: “Se verifica que el Sistema de Gestión de Servicios de TI cumple con los requisitos especificados en la norma de referencia UNE-ISO/IEC 20000-1:2007”, explica Pradas. Pero esto es sólo el principio y Caja Madrid mira al futuro. Así y teniendo en cuenta que la certificación ISO 20000 se revisa anualmente, Caja Madrid aprovechará la ocasión para garantizar la buena dirección de su avance incrementando el alcance de los servicios certificados. En 2010 se ha certificado el servicio de Oficinas de Banca Corporativa Internacional que da soporte al ciclo completo de vida (tramitación, administración y mantenimiento) de las operaciones de activo de Banca Corporativa en las oficinas residentes en el extranjero. “La certificación”, subraya Pradas, “es un punto y seguido en el proceso de mejora continua en el que estamos inmersos”. Desde el punto de vista de las herramientas y para seguir avanzando, Caja Madrid ha seleccionado la solución, ServiceDesk Manager de CA, que se instalará en su versión 12.5. La entidad financiera ha tomado esta decisión después del desarrollo de un piloto en el que se han evaluado diversas opciones. Para obtener la certificación ISO 20000, los profesionales TIC de Caja Madrid han necesitado ganar en disciplina. “Este tipo de proyectos”, comenta Pradas, “exigen un seguimiento y una documentación continuos, y aunque todos los meses se realizaba una reunión de seguimiento con la dirección de la unidad, la auditoría interna exige evidencias y en nuestra cultura no se contemplaba la realización de actas”. Para dar cumplimiento a esa exigencia, además del Comité de la Unidad, formado por 16 personas, se creó la figura del Comité de Mejora de Servicios Tecnológicos, que preside el director de Organización y Sistemas de Caja Madrid, Ricardo Morado. Ahora y como celebra Pradas, “esa cultura de acta, que era una necesidad, se ha trasladado como una cascada hacía abajo” y, aunque “al principio se vio como algo burocrático o una carga adicional de trabajo, se ha demostrado muy útil”.