Ha sido promovido por ISACA desde su primera versión en 1996 y actualmente se encuentra disponible la versión COBIT 2019. En la primera versión del marco de trabajo, COBIT se estableció como un acrónimo que significa Control Objetives for Information and Related Technology (Objetivos de Control para la Información y Tecnología Relacionada) y su público objetivo inicial eran los auditores de TI. La versión actual considera diversas partes interesadas, no solamente la función de TI de una empresa, sino a otros interesados como la Junta Directiva, Dirección Ejecutiva, Auditoría, etc.

La TI empresarial significa toda la tecnología y procesamiento de la información que una empresa utiliza para lograr sus objetivos, independientemente de dónde ocurra dentro de la empresa. En otras palabras, la TI empresarial no se limita al Depto. de TI de una organización.

ME1 Monitorear y Evaluar el Desempeño de TI:

Una efectiva administración del desempeño de TI requiere un proceso de monitoreo. Monitorear y reportar las métricas del proceso e identificar e implementar acciones de mejoramiento del desempeño

ME2 Monitorear y Evaluar el Control Interno:

Establecer un programa de control interno efectivo para TI requiere un proceso bien definido de monitoreo. El monitoreo de los procesos de control interno para las actividades relacionadas con TI e identificar las acciones de mejoramiento

ME3 Garantizar el Cumplimiento con Requerimientos Externos:

Una supervisión efectiva del cumplimiento requiere del establecimiento de un proceso de revisión para garantizar el cumplimiento de las leyes, regulaciones y requerimientos contractuales. La identificación de todas las leyes y regulaciones aplicables y el nivel correspondiente de cumplimiento de TI y la optimización de los procesos de TI para reducir el riesgo de no cumplimiento

ME4 Proporcionar Gobierno de TI:

El establecimiento de un marco de trabajo de gobierno efectivo, incluye la definición de estructuras, procesos, liderazgo, roles y responsabilidades organizacionales para garantizar así que las inversiones empresariales en TI estén alineadas y de acuerdo con las estrategias y objetivos empresariales. La elaboración de informes para el consejo directivo sobre la estrategia, el desempeño y los riesgos de TI y responder a los requerimientos de gobierno de acuerdo a las directrices del consejo directivo

Objetivos de Control:

DS1 Definir y Administrar los Niveles de Servicio

Contar con una definición documentada y un acuerdo de servicios de TI y de niveles de servicio. La identificación de requerimientos de servicio, el acuerdo de niveles de servicio y el monitoreo del cumplimiento de los niveles de servicio.

DS2 Administrar los Servicios de Terceros

La necesidad de asegurar que los servicios provistos por terceros cumplan con los requerimientos del negocio, requiere de un proceso efectivo de administración de terceros. El establecimiento de relaciones y responsabilidades bilaterales con proveedores calificados de servicios tercerizados y el monitoreo de la prestación del servicio para verificar y asegurar la adherencia a los convenios

DS3 Administrar el Desempeño y la Capacidad

La necesidad de administrar el desempeño y la capacidad de los recursos de TI requiere de un proceso para revisar periódicamente el desempeño actual y la capacidad de los recursos de TI. Cumplir con los requerimientos de tiempo de respuesta de los acuerdos de niveles de servicio, minimizando el tiempo sin servicio y haciendo mejoras continuas de desempeño y capacidad de TI a través del monitoreo y la medición.

DS4 Garantizar la Continuidad del Servicio

La necesidad de brindar continuidad en los servicios de TI requiere desarrollar, mantener y probar planes de continuidad de TI, almacenar respaldos fuera de las instalaciones y entrenar de forma periódica sobre los planes de continuidad. El desarrollo de resistencia en las soluciones automatizadas y desarrollando, manteniendo y probando los planes de continuidad de TI.

DS5 Garantizar la Seguridad de los Sistemas

La necesidad de mantener la integridad de la información y de proteger los activos de TI, requiere de un proceso de administración de la seguridad. La definición de políticas, procedimientos y estándares de seguridad de TI y en el monitoreo, detección, reporte y resolución de las vulnerabilidades e incidentes de seguridad

DS6 Identificar y Asignar Costos

La necesidad de un sistema justo y equitativo para asignar costos de TI al negocio, requiere de una medición precisa y un acuerdo con los usuarios del negocio sobre una asignación justa. El registro completo y preciso de los costos de TI, un sistema equitativo para asignación acordado con los usuarios de negocio, y un sistema para reportar oportunamente el uso de TI y los costos asignados

DS7 Educar y Entrenar a los Usuarios

Para una educación efectiva de todos los usuarios de sistemas de TI, incluyendo aquellos dentro de TI, se requieren identificar las necesidades de entrenamiento de cada grupo de usuarios. Un claro entendimiento de las necesidades de entrenamiento de los usuarios de TI, la ejecución de una efectiva estrategia de entrenamiento y la medición de resultados

DS8 Administrar la Mesa de Servicio y los Incidentes

Responder de manera oportuna y efectiva a las consultas y problemas de los usuarios de TI, requiere de una mesa de servicio bien diseñada y bien ejecutada, y de un proceso de administración de incidentes. Una función profesional de mesa de servicio, con tiempo de respuesta rápido, procedimientos de escalamiento claros y análisis de tendencias y de resolución

DS9 Administrar la Configuración

Garantizar la integridad de las configuraciones de hardware y software requiere establecer y mantener un repositorio de configuraciones completo y preciso. Establecer y mantener un repositorio completo y preciso de atributos de la configuración de los activos y de líneas base y compararlos contra la configuración actual.

DS10 Administración de Problemas

Una efectiva administración de problemas requiere la identificación y clasificación de problemas, el análisis de las causas desde su raíz, y la resolución de problemas. Registrar, rastrear y resolver problemas operativos; investigación de las causas raíz de todos los problemas relevantes y definir soluciones para los problemas operativos identificados

DS11 Administración de Datos

Una efectiva administración de datos requiere de la identificación de requerimientos de datos. Mantener la integridad, exactitud, disponibilidad y protección de los datos.

DS12 Administración del Ambiente Físico

La protección del equipo de cómputo y del personal, requiere de instalaciones bien diseñadas y bien administradas. Proporcionar y mantener un ambiente físico adecuado para proteger los activos de TI contra acceso, daño o robo

DS13 Administración de Operaciones

Un procesamiento de información completo y apropiado requiere de una efectiva administración del procesamiento de datos y del mantenimiento del hardware. Cumplir con los niveles operativos de servicio para procesamiento de datos programado, protección de datos de salida sensitivos y monitoreo y mantenimiento de la infraestructura.

Objetivos de Control:

AI1 Identificar soluciones automatizadas

Identificar soluciones técnicamente factibles y rentables.

AI2 Adquirir y mantener software aplicativo

Garantizar que exista un proceso de desarrollo oportuno y confiable. Las aplicaciones deben estar disponibles de acuerdo con los requerimientos del negocio. Este proceso cubre el diseño de las aplicaciones, la inclusión apropiada de controles aplicativos y requerimientos de seguridad, el desarrollo y la configuración en sí de acuerdo a los estándares.

AI3 Adquirir y mantener infraestructura tecnológica 

La organización debe contar con procesos para adquirir, implementar y actualizar la infraestructura tecnológica. Proporcionar plataformas adecuadas para las aplicaciones del negocio, de acuerdo con la arquitectura definida de TI y los estándares de tecnología.

AI4 Facilitar la operación y el uso

Generación de documentación y manuales para usuarios y para TI, para transferir el conocimiento necesario para la operación y el uso exitoso del sistema

AI5 Adquirir recursos de TI

Se deben suministrar recursos TI, incluyendo personas, hardware, software y servicios. Adquirir y mantener las habilidades de TI que respondan a la estrategia de entrega, en una infraestructura TI integrada y estandarizada, y reducir el riesgo de adquisición de TI.

AI6 Administrar Cambios

Controlar la evaluación de impacto, autorización e implantación de todos los cambios a la infraestructura de TI, aplicaciones y soluciones técnicas, detener la implantación de cambios no autorizados.

AI7 Instalar y acreditar soluciones y cambios

Probar que las soluciones de aplicaciones e infraestructura son apropiados para el propósito deseado y estén libres de errores.

Objetivos de control:

 PO2 Definir la arquitectura de la información

Debe crear y actualizar de forma regular un modelo de información del negocio y definir los sistemas apropiados para optimizar el uso de esta información

 PO3 Determinar la dirección tecnológica

Esto implica tomar una apropiada base para la evaluación de las tecnologías emergentes identificando la correspondencia con la estrategia TI y la arquitectura del sistema del negocio. Monitoreo constante de la evolución tecnológica.

PO4 Definir los procesos, organización y relaciones de TI

Las organizaciones que utilizan TI deben definir aspectos como personal, funciones, la rendición de cuentas, quien es la autoridad, los roles que desempeñan y las labores de supervisión, recordando que la entidad debe estar empapada en un marco de procesos TI.

PO5  Administrar la inversión en TI

Establecer y mantener un marco de trabajo para administrar los programas de inversión de TI que abarquen costos, beneficios, prioridades dentro del presupuesto, un proceso presupuestal formal y administración contra ese presupuesto.

PO6 Comunicar las aspiraciones y la dirección de la Gerencia

Elaborar, definir y comunicar las políticas de un marco de trabajo de control empresarial para TI. La comunicación apoya el logro de los objetivos de TI y asegura la concienciación y el entendimiento de los riesgos de negocio y de TI. El proceso debe garantizar el cumplimiento de las leyes y reglamentos relevantes.

PO7 Administrar los Recursos Humanos de TI

Adquirir, mantener y motivar una fuerza de trabajo para la creación y entrega de servicios de TI para el negocio.

PO8 Administrar la Calidad

Elaborar y mantener un sistema de administración de calidad, que mejore de manera continua y medible la calidad de los servicios prestados por TI.

 PO9 Descripción del Proceso

Crear y dar mantenimiento a un marco de trabajo de administración de riesgos. Analizar y comunicar los riesgos de TI y su impacto potencial sobre los procesos y metas de negocio.

 PO10 Administrar Proyectos

Un programa y un enfoque de administración de proyectos definidos, el cual se aplique a todos los proyectos de TI, lo cual facilite la participación de los interesados y el monitoreo de los riesgos y los avances de los proyectos.