Etiqueta: gestión de riesgos

MBA Lic. Bach. Luis G Martínez Sandoval
Académico Universitario
Carreras Comercio Exterior, Administración Aduanera
Especialista en Relaciones Económicas y Políticas Internacionales
MBA Administrador de Empresas énfasis Mercados Globales y
Negocios Internacionales
Exfuncionario Banco Mundial IFC – Ecuador- y, América Latina
Especialización en Cambio Climático y Gestión Integral de Riesgos de Desastres,
Negociación y Mediación – INCAE, Calidad Total y Alta Gerencia
Dirigente Sindical ANEP, Escritor
Contacto: luis.martinez.sandoval@gmail.com
Cel. 62764133

Resumen: El documento adjunto consiste en un análisis crítico riguroso, de alto nivel estratégico y técnico, elaborado por el Académico Universitario MBA Lic. Bach. Luis G. Martínez Sandoval. En su rol como analista del Grupo de Pensamiento Universitario UTN 2028, examina de manera exhaustiva el recién aprobado «Marco de Gobernanza y Gestión de Tecnologías de la Universidad Técnica Nacional» (Acuerdo 0917-2026, aprobado el 13 de agosto de 2026 por el Consejo Universitario).

Introducción

Recientemente se hizo de conocimiento público que el Consejo Universitario, en la Sesión Ordinaria No 17 2026 celebrada el jueves 13 de agosto de 2026, aprobó mediante el Acuerdo

0917- 2026 el “Marco de Gobernanza y Gestión de Tecnologías de la Universidad Técnica Nacional”.

La importancia estratégica del documento es alta. No es simplemente un manual de informática: establece cómo la UTN debería gobernar uno de sus recursos institucionales más críticos: la información y las tecnologías que soportan sus procesos. El documento: Vincula TI con la estrategia institucional. Establece quién debe gobernar TI. Ordena las inversiones tecnológicas. Reduce el riesgo institucional. Protege la continuidad de la universidad. Crea una arquitectura para la transformación digital. Fortalece la rendición de cuentas. Ya no estamos hablando solamente de una propuesta técnica, sino de un marco institucional aprobado por el Consejo Universitario. Sin embargo, a pesar de ser un paso histórico y técnicamente serio aprobado por el Consejo Universitario el 13 de agosto de 2026, el documento sufre del «síndrome del papel perfecto»: una robustez conceptual impecable que carece de tracción operativa.

Revisando objetivamente el Marco de Gobernanza y Gestión de Tecnologías de la UTN, versión 1.0, la valoración es positiva en estructura, pero con debilidades importantes de implementación, medición y gobernanza efectiva.

1. Fortalezas

Tiene una estructura lógica y bastante completa. Define seis objetivos de gobierno: alineación estratégica, riesgo, recursos, servicios, mejora continua y seguridad/ciberseguridad.

Reconoce correctamente que TI no es responsabilidad exclusiva de la Dirección de TI. Involucra Consejo Universitario, Rectoría, CIGI, Vicerrectorías, Decanaturas, Direcciones y demás unidades. Esto es conceptualmente muy importante.

Incorpora riesgo, continuidad, proveedores, arquitectura empresarial, calidad, KPI y ciberseguridad, lo que demuestra una visión bastante integral.

La idea de mejora continua está bien planteada, incluyendo medición del desempeño y acciones correctivas.

Hay trazabilidad documental. El marco tuvo varias revisiones desde 2023 y finalmente fue aprobado como versión 1.0 el 17 de agosto de 2026 por el Consejo Universitario.

II. Debilidad principal: mucho marco conceptual, poca operacionalización

Su punto crítico.

El documento dice qué debe hacerse, pero en muchos casos no establece con suficiente precisión:

• quién responde;

• quién aprueba;

• quién ejecuta;

• quién fiscaliza;

• con qué periodicidad;

• qué indicador determina cumplimiento;

• cuál es la meta;

• qué ocurre cuando no se cumple;

• qué evidencia debe producirse.

Por ejemplo, se establece que deben definirse KPI y factores críticos de éxito, pero el documento no presenta esos KPI concretos ni sus metas.

Es un buen marco rector, pero todavía no es, por sí mismo, un sistema robusto de gestión y rendición de cuentas.

III. Hay una contradicción potencial con el principio de «Simple»

El propio marco establece que debe ser simple de entender, comunicar, operar y mejorar. Sin embargo, el documento termina incorporando una cantidad considerable de objetivos, prácticas y componentes. No necesariamente es incorrecto, pero existe riesgo de que termine convirtiéndose en un marco documental pesado, cuya existencia sea más fuerte que su aplicación práctica.

IV. La gobernanza está definida, pero falta fortalecer la rendición de cuentas

El documento identifica múltiples actores institucionales, lo cual es correcto. Pero una verdadera gobernanza debería poder responder rápidamente: ¿Quién tiene la última responsabilidad cuando una decisión tecnológica falla, genera un riesgo o produce un perjuicio institucional?

El documento habla de responsabilidades, roles y rendición de cuentas, pero sería recomendable complementarlo con una matriz RACI para cada objetivo crítico.

V. Riesgo: está bien conceptualizado, pero necesita mayor precisión

La sección de riesgos es una de las mejores partes conceptualmente: identificación → análisis → evaluación → tratamiento → monitoreo → comunicación. Pero faltaría convertirlo en un mecanismo cuantificable:

Riesgo inherente → controles → riesgo residual → responsable → fecha de tratamiento → nivel aceptable → evidencia.

Sin esa trazabilidad, la gestión de riesgos puede terminar siendo más declarativa que efectiva.

VI. Seguridad y ciberseguridad: adecuada, pero debería ser más exigente

El documento contempla confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad, controles de acceso, vulnerabilidades, incidentes y continuidad. Eso es positivo. Pero para una universidad pública moderna se esperaría además una definición más explícita de:

• gestión de incidentes;

• clasificación de incidentes;

• tiempos máximos de respuesta;

• respaldo y recuperación;

• pruebas periódicas;

• gestión de vulnerabilidades;

• controles sobre terceros;

• protección de datos;

• responsabilidades ante incidentes;

• métricas de ciberseguridad.

VII. Un punto especialmente importante: proveedores

El documento correctamente establece selección, contratos, seguimiento y evaluación de proveedores. Pero debería existir una conexión mucho más clara entre riesgo tecnológico y contratación pública. Un proveedor crítico no debería evaluarse únicamente por cumplimiento contractual; debería evaluarse también por: criticidad + dependencia + continuidad + seguridad + concentración de riesgo + posibilidad de sustitución.

VIII. Evaluación global

En cuanto a su estructura conceptual y, cobertura temática están muy bien desarrolladas. Gobernanza, gestión de riesgos, ciberseguridad, gestión de servicios requieren mayor tratamiento. Deficitaria está la parte de Indicadores/KPI, Rendición de cuentas, Operacionalización, Capacidad de fiscalización.

El documento es técnicamente serio y conceptualmente bien construido, pero su verdadero valor dependerá de lo que ocurra después de su aprobación. La propia versión 1.0 fue aprobada el 17 de agosto de 2026. Por eso, no se cuestiona principalmente la existencia del Marco, sino la siguiente etapa:

¿Qué instrumentos concretos va a implementar la UTN para convertir este marco en obligaciones, indicadores, responsables, controles, evidencia y rendición de cuentas?

Ese sería, objetivamente, el punto más vulnerable del documento. Y hay una segunda cuestión relevante: el documento afirma expresamente que el gobierno de TI es responsabilidad institucional y no solamente de la Dirección de TI. Esto significa que, si en la práctica la responsabilidad termina concentrándose en TI, habría una brecha entre el modelo aprobado y la gobernanza real.

Si la UTN desarrolla después políticas, responsables, matriz RACI, indicadores, metas, presupuesto, mapas de riesgos, portafolio de proyectos y mecanismos de rendición de cuentas, puede convertirse en un instrumento muy poderoso. Si se queda únicamente como documento aprobado, su importancia práctica baja considerablemente. Veamos el cuadro adjunto del modelo aprobado:

Por ello, se requiere un Plan de Mejora: De la Teoría a la Operación. Para evitar que el marco sea vulnerable a auditorías internas como externas, la UTN debe transicionar inmediatamente hacia un modelo ejecutable estructurado en cuatro ejes:

1. Despliegue de Responsabilidades (Matriz RACI)

Se debe diseñar una matriz RACI (Responsable, Aprobador, Consultado, Informado) para cada uno de los 6 objetivos estratégicos. Esto resolverá la contradicción de gobernanza actual:

• Consejo Universitario / Rectoría: Aprobadores (A) últimos de la inversión y del riesgo residual.

• Vicerrectorías y Decanaturas: Responsables (R) de alinear los procesos académicos/administrativos con la tecnología.

• Dirección de TI: Ejecutores (R) de la arquitectura técnica, no dueños de la decisión institucional.

2. Cuantificación del Riesgo Tecnológico

Pasar de una declaración cualitativa de riesgos a un mecanismo vivo de trazabilidad:

• Establecer una fórmula matemática estándar: Riesgo Residual = (Riesgo Inherente × Impacto) – Efectividad del Control.

• Asignar un dueño del riesgo (rector, decano o director) con fechas límite obligatorias para el tratamiento de vulnerabilidades.

3. Fichas Técnicas de KPIs y Metas

El marco debe complementarse con un anexo operativo que defina, al menos, los siguientes indicadores con métricas exactas:

• Ciberseguridad: Tiempo Máximo de Respuesta (TMR) ante incidentes críticos (ej. menos de 2 horas).

• Continuidad: RPO (Objetivo de Punto de Recuperación) y RTO (Objetivo de Tiempo de Recuperación) para los sistemas de matrícula y financieros.

• Gestión de Proveedores: Índice de criticidad basado en dependencia, seguridad de datos y capacidad de sustitución, ligado directamente a la contratación pública.

4. Blindaje ante las auditorías internas/externas

Dado que este documento es un parámetro auditable, la UTN debe adelantarse creando un Repositorio Institucional de Evidencia de Gobernanza de TI. Cada decisión tecnológica de alto impacto o contratación pública debe registrar una bitácora que demuestre su alineación directa con el Modelo de Gobernanza Universitaria.

A MODO DE CONCLUSIÓN

Hay algo especialmente interesante: por su alcance, este documento puede utilizarse como punto de partida para evaluar y/o auditar si las decisiones actuales de la UTN en materia tecnológica, administrativa, de gestión están alineadas con el Modelo de Gobernanza Universitaria y sus principales problemas: 1. Fragmentación y «Efecto Feudo Institucional» en cada sede. 2. Ineficiencia en la Gestión de Sedes y Duplicidad de Modelos. 3. Excesiva Regulación y Falta de Flexibilidad Académica. De acuerdo con estudios del Consejo Nacional de Rectores (CONARE), la UTN difiere de otras universidades públicas en la rigidez de su entramado normativo interno. 4. Desalineación con el Mandato Productivo y Social. La gobernanza interna ha fallado en articular adecuadamente la producción académica (como los Trabajos Finales de Graduación) con las necesidades del sector productivo local. 5. Vulnerabilidad Financiera y Presión Externa sobre la Autonomía. La UTN es históricamente la universidad que recibe la menor porción del Fondo Especial para la Educación Superior (FEES) dentro del sistema de CONARE. La constante limitación presupuestaria y la presión política externa (como las negociaciones gubernamentales del FEES y proyectos de Empleo Público) tensionan la gobernanza interna.