· Web viewNos permitimos presentarle el informe INF-DGAI-022-2013 sobre la evaluación del cumplimiento del contrato para establecer un modelo de proceso TIC que permita el cumplimiento

San José, 09 de agosto de 2013INF-DGAI-022-2013

SeñoraGabriela Espinoza MezaDirectora General de Informática

Asunto: Servicios de Auditoría: Informe de Control Interno.

Estimada señora:

Nos permitimos presentarle el informe INF-DGAI-022-2013 sobre la evaluación del cumplimiento del contrato para establecer un modelo de proceso TIC que permita el cumplimiento de las NTGCTI (Contrato MH-023-2010).

Como resultado del estudio se determinó, que aún cuando en general, se evidenció cumplimiento de las obligaciones establecidas en el contrato denominado “Consultoría para establecer un modelo de procesos de TIC del Ministerio de Hacienda que permita el cumplimiento del manual de Normas Técnicas para la Gestión y el Control de las Tecnologías de Información (N-2-2007-CO-DFOE)”, se presentan algunos aspectos de control, respecto a la planificación y la definición de las actividades que se requerían como parte de la contratación, así como sobre la utilización de horas consultor en el proyecto PEI, que requieren ser revisados y fortalecidos conforme con las recomendaciones que se formulan, e incorporadas como parte de la mejora continua que lleva a cabo esa Dirección.

Las recomendaciones contenidas en este informe, están sujetas a las disposiciones del artículo 36 de la Ley Nº 8292 Ley General de Control Interno, que establecen un plazo improrrogable de 10 días hábiles contados a partir de la fecha de recibo del informe, para ordenar la implantación de lo recomendado, o si discrepa de ellas, elevar dentro de este plazo, el informe a señor Ministro de Hacienda con las objeciones y soluciones alternas según se establece en el citado artículo.

Por lo anterior, le agradecemos comunicar a esta Dirección dentro del plazo señalado, la decisión que se tome al respecto, así como en un plazo razonable, el plan de acción que se defina para el efectivo cumplimiento de lo recomendado.

Atentamente,

Olman Saborío AlfaroDirector General

OSA/gbm/nmsc. Estudio 035 -2012

Avenida 2, Calle 1 y 3. Diagonal al Teatro Nacional. San José, Costa Rica. Tel:(506)2284-52-42 Fax: 2222-1334 - www.hacienda.go.cr

http://www.hacienda.go.cr/

DIRECCIÓN GENERAL DE AUDITORÍA INTERNA

Mayo 2013

INFORME SOBRE CUMPLIMIENTO DEL CONTRATO PARA ESTABLECER UN

MODELO DE PROCESO TIC QUE PERMITA EL CUMPLIMIENTO DE LAS NTGCTI

INF-DGAI-022-2013

Agosto, 2013

INF-DGAI-022-2013

INFORME SOBRE LA EVALUACIÓN DEL CUMPLIMIENTO DEL CONTRATO PARA ESTABLECER UN MODELO DE PROCESO TIC QUE PERMITA EL CUMPLIMIENTO DE LAS NTGCTI

TABLA DE CONTENIDO

RESUMEN EJECUTIVO...................................................................................................................................................I1. INTRODUCCIÓN.....................................................................................................................................................11.1 ORIGEN..............................................................................................................................................................11.2 OBJETIVO..........................................................................................................................................................11.3 ALCANCE...........................................................................................................................................................11.4 NORMATIVA RELACIONADA CON EL CONTROL INTERNO Y LA ATENCIÓN DE INFORMES.................11.5 COMUNICACIÓN ORAL DE RESULTADOS....................................................................................................21.6 ASPECTOS GENERALES.................................................................................................................................22. RESULTADOS........................................................................................................................................................3

2.1. SOBRE LA RECEPCIÓN DE ENTREGABLES PRODUCTO DE LA CONTRATACIÓN........................................................32.2. SOBRE LA PLANIFICACIÓN DEL CONTRATO.........................................................................................................62.3. SOBRE LA UTILIZACIÓN DE HORAS PARA EL PROYECTO PEI................................................................................8

3. CONCLUSIONES..................................................................................................................................................104. RECOMENDACIONES.........................................................................................................................................10



INF-DGAI-022-2013Página i

RESUMEN EJECUTIVO

Este estudio se origina de conformidad con el Plan de Trabajo Anual del 2013 y comprende la evaluación del cumplimiento de los términos contractuales del Contrato MH-023-2010, para la asesoría, guía y acompañamiento en la implantación de un modelo de procesos de TIC, a fin de determinar el logro de los objetivos institucionales definidos para este proyecto.

Como resultado del estudio se determinó lo siguiente:

A la fecha de revisión, se han recibido los entregables de la Consultoría para establecer un modelo de procesos de TIC del Ministerio de Hacienda que permita el cumplimiento del manual de Normas Técnicas para la Gestión y el Control de las Tecnologías de Información (N-2-2007-CO-DFOE)”, según lo estipulado en el contrato MH-023-2010, por lo que la empresa consultora PricewaterhouseCoopers Consultores S.A., contratada, en general ha cumplido con lo estipulado en el Contrato en lo relacionado con “Obligaciones de la empresa”.

En el cartel para la contratación de esta consultoría no se definieron características detalladas para el cronograma que se solicitó, por lo cual se recibió en la oferta un cronograma que solamente incluía el primer año de contratación, y se consignaba que ante una posible prórroga se estaría utilizando el tiempo correspondiente a la etapa de acompañamiento. No obstante, en la oferta se previó la utilización de un máximo de 25.000 horas a consumir en un plazo máximo de 48 meses (4 años), y después efectivamente se contrató ese total de horas, con un consumo mínimo estimado de 5.000 horas anuales y un mínimo mensual de 160 horas. Por lo tanto, se contrataron horas que no estaban asociadas a un requerimiento específico a las tareas a realizar, lo cual debilita el control que se pueda ejercer sobre el Proyecto.

Se utilizaron 2675 horas del contrato MH-023-2010 para el desarrollo del Proyecto de Plan Estratégico Institucional, el cual no estaba considerado en el Cartel de Contratación de la Licitación Pública # 2010LN-000021-13801, en el objetivo general, en los objetivos específicos del Contrato, ni dentro del Plan General del Proyecto Modelo de Gestión de TIC. Dicha decisión no se encontró respaldada en las minutas de reunión del Comité Directivo correspondientes a las fechas en que se solicitó la realización de este Proyecto a la firma consultora. En consecuencia de este hecho, se ha disminuido la cantidad de horas que se aplicarán al Proyecto Modelo de Gestión de TIC, aunque no es posible determinar el efecto que esta disminución tendrá en el desarrollo del proyecto, hasta su finalización.

En razón de lo anterior, se emiten las recomendaciones correspondientes, las cuales están sujetas a las disposiciones del artículo 36 de la Ley 8292 Ley General de Control Interno, que establece un plazo improrrogable de 10 días hábiles posteriores al recibo del informe para ordenar la implantación de lo recomendado, o si discrepa de ellas deberá elevar, dentro de ese plazo, el informe al Ministro con las objeciones y soluciones alternas.



INFORME SOBRE LA EVALUACIÓN DEL CUMPLIMIENTO DEL CONTRATO PARA ESTABLECER UN MODELO DE PROCESO TIC QUE PERMITA EL CUMPLIMIENTO DE LAS NTGCTI

1. INTRODUCCIÓN

1.1 Origen

Este estudio se realiza de conformidad con el Plan de Auditoría 2013 de la Dirección General de Auditoría Interna, como una auditoría de cumplimiento.

1.2 Objetivo

Evaluar el cumplimiento de los términos contractuales para la asesoría, guía y acompañamiento en la implantación de un modelo de procesos de Tecnologías de la Información y la Comunicación (TIC), a fin de determinar el logro de los objetivos institucionales definidos para este proyecto.

1.3 Alcance

Comprende la revisión del cumplimiento de los términos contractuales pactados en el Contrato MH-023-2010, durante el periodo comprendido entre el 22 de setiembre de 2010 y el 31 de diciembre de 2012, extendiéndose cuando se consideró necesario.

Las actividades de este estudio se realizaron de acuerdo con la normativa aplicable al ejercicio de la Auditoría Interna del Sector Público.

1.4 Normativa relacionada con el control interno y la atención de informes

A fin de prevenir efectos negativos por inobservancia de la legislación vigente, a continuación se transcriben los artículos de la Ley General de Control Interno N° 8292 (LGCI), que regulan los deberes del jerarca y titulares subordinados en cuanto al sistema de control interno y la atención de informes.

“Artículo 10. —Responsabilidad por el sistema de control interno. // Serán responsabilidad del jerarca y del titular subordinado establecer, mantener, perfeccionar y evaluar el sistema de control interno institucional. Asimismo, será responsabilidad de la administración activa realizar las acciones necesarias para garantizar su efectivo funcionamiento.”

“Artículo 12. — Deberes del jerarca y de los titulares subordinados en el sistema de control interno. “c) Analizar e implantar, de inmediato, las observaciones, recomendaciones y disposiciones formuladas por la auditoría interna, la Contraloría General de la República, la auditoría externa y las demás instituciones de control y fiscalización que corresponde…”

“Artículo 36. —Informes dirigidos a los titulares subordinados. Cuando los informes de auditoría contengan recomendaciones dirigidas a los titulares subordinados, se procederá de la siguiente manera: a) El titular subordinado, en un plazo improrrogable de diez días hábiles contados a partir de la fecha de recibido el informe, ordenará la implantación de las recomendaciones. Si discrepa de ellas, en el transcurso de dicho plazo elevará el informe de auditoría al jerarca, con copia a la auditoría interna, expondrá por escrito las razones por las cuales objeta las recomendaciones del informe y propondrá soluciones alternas para los hallazgos detectados .b) Con vista de lo anterior, el jerarca deberá resolver, en el plazo de veinte días hábiles contados a partir de la fecha de recibo de la documentación remitida por el titular subordinado; además, deberá ordenar la implantación de recomendaciones de la auditoría interna, las soluciones alternas propuestas por el titular subordinado o las de su propia iniciativa, debidamente fundamentadas. Dentro de los



INF-DGAI-022-2013Página 2 de 11

primeros diez días de ese lapso, el auditor interno podrá apersonarse, de oficio, ante el jerarca, para pronunciarse sobre las objeciones o soluciones alternas propuestas. Las soluciones que el jerarca ordene implantar y que sean distintas de las propuestas por la auditoría interna, estarán sujetas, en lo conducente, a lo dispuesto en los artículos siguientes. c) El acto en firme será dado a conocer a la auditoría interna y al titular subordinado correspondiente, para el trámite que proceda.”

“Artículo 39. —Causales de responsabilidad administrativa. // El jerarca y los titulares subordinados incurrirán en responsabilidad administrativa y civil, cuando corresponda, si incumplen injustificadamente los deberes asignados en esta Ley, sin perjuicio de otras causales previstas en el régimen aplicable a la respectiva relación de servicios.//El jerarca, los titulares subordinados y los demás funcionarios públicos incurrirán en responsabilidad administrativa, cuando debiliten con sus acciones el sistema de control interno u omitan las actuaciones necesarias para establecerlo, mantenerlo, perfeccionarlo y evaluarlo, según la normativa técnica aplicable.//(…) Igualmente, cabrá responsabilidad administrativa contra los funcionarios públicos que injustificadamente incumplan los deberes y las funciones que en materia de control interno les asigne el jerarca o el titular subordinado, incluso las acciones para instaurar las recomendaciones emitidas por la auditoría interna, sin perjuicio de las responsabilidades que les puedan ser imputadas civil y penalmente…”

1.5 Comunicación oral de resultados

Los resultados y recomendaciones que contiene este informe, fueron comunicados a la Licda. Gabriela Espinoza Meza, Directora de la Dirección General de Informática, a la Licda. Graciela García Santamaría, Administradora del Contrato MH-023-2010 y a la Licda. Rosa Chaves Corrales, Gerente del Proyecto Modelo de Gestión de TIC, en reunión del 31 de julio de 2013. Sus observaciones en lo procedente fueron consideradas en el presente informe.

1.6 Aspectos generales

El 6 de octubre de 2010 fue aprobado por la Dirección Jurídica del Ministerio de Hacienda el Contrato MH-023-2010, celebrado entre el Ministerio de Hacienda y la firma PricewaterhouseCoopers Consultores S.A., y denominado “Consultoría para establecer un modelo de procesos de TIC del Ministerio de Hacienda que permita el cumplimiento del manual de Normas Técnicas para la Gestión y Control de las Tecnologías de Información (N-2-2007-CO-DFOE)”.

El objeto del contrato es “la adquisición de servicios de consultoría para la asesoría, guía y acompañamiento en la implantación de un modelo de procesos de TIC (Tecnologías de la Información y Comunicaciones) en “EL MINISTERIO”, conforme con las mejores prácticas de la industria, a partir de un análisis de impacto de la situación actual, que permita el cumplimiento del Manual de Normas técnicas de la Contraloría General de la República (N-2-2007-CO-DFOE) y un nivel de madurez 3 conforme al marco de referencia COBIT.”

De acuerdo con el Cartel de Contratación (Licitación Pública # 2010LN-000021-13801), esta se realiza para dar cumplimiento a los lineamientos establecidos por la Contraloría General de la República, con la emisión de las Normas Técnicas para la Gestión y el Control de las Tecnologías de Información (N-2-2007-CO-DFOE), que entraron en vigencia el 31 de julio del 2007 y establecen los criterios básicos de control que deben observarse en la gestión de las tecnologías.

Los objetivos específicos de la contratación, según el Cartel son:

I. Desarrollar un programa de introducción a los temas de la normativa, dirigido a los funcionarios que participan en el proyecto como contraparte y funcionarios responsables de la gestión de TIC institucional en los temas que abarca el Manual de Normas Técnicas de la CGR.




II. Realizar un estudio de los procesos de TIC del Ministerio, que incluya el nivel de impacto en las estrategias y requerimientos institucionales, identificando las entradas y salidas, funciones críticas, las unidades involucradas, controles asociados. III. Diseñar nuevos procesos de gestión de la TIC, a partir de los resultados del estudio de procesos de TIC, las características del Ministerio, lo establecido en el Manual Normas de la CGR y el marco de referencia COBIT 4.1 o superior.IV. Proponer las acciones que el Ministerio debe desarrollar para la adopción integral y gradual del modelo propuesto para la gestión de procesos de TIC.V. Proponer una estrategia general de transición de los procesos actuales a los propuestos, que considere la adopción integral y gradual del nuevo modelo de gestión de TIC del Ministerio.VI. Desarrollar un modelo que permita a los funcionarios del Ministerio a cargo del Modelo de Gestión, monitorear la ejecución de las acciones para cerrar las brechas, por cada proceso de gestión de las TIC, a fin de determinar el nivel de madurez alcanzado y proponer las acciones correctivas a la administración.

La vigencia del contrato se estableció en su cláusula vigésima por un plazo de 12 meses, con posibilidad de prórroga por periodos iguales hasta completar un máximo de 48 meses. Para el desarrollo de las actividades indicadas en el cartel “EL MINISTERIO” contratará un total de 25.000 horas a consumir en un plazo máximo de 48 meses (4 años), con un consumo estimado de 5.000 horas anuales y un mínimo mensual de 160 horas. Queda a criterio de “EL MINISTERIO” variar la cantidad de horas a consumir anualmente, conforme con la programación de actividades y los requerimientos del proyecto.

El contrato se estimó, según la cláusula vigésima cuarta del contrato, en la suma total de $325.000,00 (trescientos veinticinco mil dólares con 11/100) que al tipo de cambio para las operaciones con el sector público no bancario, del día anterior a la suscripción del contrato ¢509,25 da un monto total en colones de ciento sesenta y cinco millones quinientos seis mil doscientos cincuenta colones (¢165.506.250,00)

La cláusula décima cuarta establece que el precio total de la contratación es de $325.000,00 (trescientos veinticinco mil dólares con 00/100) por año, al tipo de cambio vigente a la fecha efectiva de pago, según las siguientes consideraciones:

- Monto por hora: $65,00 (sesenta y cinco dólares con 00/100)- Monto total mensual (mínimo 160 horas): $10.400,00 (diez mil cuatrocientos dólares con 00/100)- Monto anual mínimo (mínimo 5000 horas): $325.000,00 (trescientos veinticinco mil dólares con 00/100)

Del precio antes mencionado se debe deducir el monto correspondiente por concepto de impuesto sobre la renta.

2. RESULTADOS

2.1. Sobre la recepción de entregables producto de la contratación

De acuerdo con el artículo 4 del Contrato MH-023-2010, los entregables o productos resultantes de la consultoría son los que se señalan en el Cartel y la Oferta. Según el Cartel de Contratación Licitación Pública # 2010LN-000021-13801, los entregables se dividieron en tres tipos: Actividades de Planificación, Actividades de Valoración del Impacto de la Situación Actual y Actividades para la Implementación del Plan de Acción.

Las actividades de Planificación se definieron de la siguiente forma: “8.1.Actividades de Planificación: // Para las actividades a desarrollar en este punto se incluyen los siguientes entregables: // (…) a) Plan de trabajo de la consultoría. // El Plan debe incorporar la metodología de trabajo en sus diferentes etapas, debe contener al




menos los siguientes aspectos: - Visión, Misión y Objetivos de la Consultoría. – Alcance, - WBS1, - Plan de recursos, - Administración del riesgo, - Plan de Comunicación, - Planificación del Cambio, - Aceptación de entregables, - Plan de seguimiento y control de la asesoría, - Cronograma detallado (MS Project profesional 2007).” // b) Informe de actividades de Concientización. // El Oferente deberá entregar un informe de cada una de las actividades de concientización realizadas. Estas deben enfocarse en la compresión del alcance del proyecto, así como el impacto que tendrá en la organización de TIC, la implementación del nuevo modelo de gestión de las TIC. (…) Además deben desarrollarse los siguientes temas: //- Gobernabilidad de TI considerando el siguiente contenido temático: Importancia de la alineación de TI con el negocio, conceptos básicos de gobierno de TI (áreas y marcos de referencia), //- Contribución de las mejores prácticas para el cumplimiento de la Normativa de la CGR”

Sobre el cumplimiento de estas actividades se determinó que se recibió el Plan General del Proyecto que comprende las actividades que se desarrollarán con la consultoría, otro documento denominado “Plan de Transformación de la Gestión de TIC”, y también un “Plan de Proyecto de Plan Estratégico Institucional, Adendum No-3 Plan de Proyecto”, el cual no estaba considerado dentro de las actividades a realizar en el Plan General del Proyecto; aspecto que se comentará en el punto 2.3.

Se cumplió con lo establecido en el contrato, sobre que el plan general debía incluir la metodología a utilizar. También se definieron la Visión y la Misión de la Consultoría, es decir del Proyecto en general, los objetivos específicos, el alcance, en el cual se incluye el Plan detallado de trabajo, que contempla, entre otros, la Estructura de desglose de trabajo (WBS, por sus siglas en inglés). Se incluyó el “Plan de recursos”, en el cual se define la Estructura organizacional del Proyecto, roles y funciones del Ministerio de Hacienda, del equipo consultor de PwC y la Matriz de responsabilidades del proyecto, y un “Esquema de administración de riesgos y el Análisis de riesgos del proyecto”.

Asimismo, en el Plan General se definió un “Plan de cambio y comunicaciones” y una “Estrategia para el manejo del cambio”, que contiene un cuadro denominado “Actividades para el manejo de cambio”, en el que enumera actividades para cada etapa del proyecto: Planificación, Análisis de impacto de situación actual, definición del plan de acción, Cierre de etapa I, Programación de las acciones, Acompañamiento y Cierre del proyecto. La “aceptación de entregables” se incluyó en el apartado sobre la “Estrategia de revisión de productos”.

Sobre el plan de seguimiento y control de la asesoría, se tiene la sección “Estrategia de administración y control del proyecto”, dentro de la cual se incluyen los sub apartados “Actividades de seguimiento”, y “Control de cambios y problemas del proyecto” e “Indicadores de desempeño del proyecto”. En cuanto a Actividades de seguimiento, se indica que se llevarán a cabo reuniones del Comité Directivo del Proyecto, así como de la Gerencia de Proyecto por parte del MH y de PwC, define puntos específicos a tratar en cada reunión y características de estas, así como el contenido mínimo de los informes de avance según su respectivo destinatario. Con respecto al “control de cambios y problemas del proyecto” indica que “la estrategia planteada se orienta a identificar los cambios y problemas que ocurran y brindar una seguridad razonable de que los mismos sean administrados y atendidos oportunamente” La estrategia consta de 4 fases: Fase 1: Identificar la necesidad de cambio o problema; Fase 2: Evaluar el cambio o problema; Fase 3: Aprobar el Plan de Acción propuesto; Fase 4: Implementar el Plan de Acción Aprobado.

También se incluye un apartado sobre “Indicadores de desempeño del proyecto”, en el que se identifican los indicadores y se asocian a los objetivos del proyecto. Se enlistan los factores que se deben tener en consideración para cumplir con los indicadores definidos; y se presentó un archivo de MS Project denominado “Cronograma detallado v1”, en el cual de define como fecha de inicio del proyecto el lunes 20 de junio de

1 WBS: “Work Breakdown Structure”. Estructura desglosada del Trabajo, es una técnica de planeación mediante la cual podemos definir y cuantificar el trabajo a realizar en todo el proyecto. Es un proceso de pensamiento mediante el cual se pretende organizar el proyecto. Es similar al organigrama tradicional de una empresa, donde se tiene un Director, Subdirectores, Jefes de Dpto., Jefes de oficinas, etc. Fuente: http://www.cenidet.edu.mx/misc/cursoadmon/wbs.htm



http://www.cenidet.edu.mx/misc/cursoadmon/wbs.htm


2011 y como fecha de fin el viernes 09 de diciembre de 2011, con un total del 119.75 días. Este cronograma corresponde al Año 1.

Con respecto a las “Actividades de Valoración del Impacto de la Situación Actual”, en el Cartel se definieron de la siguiente forma: “8.2. Actividades de Valoración del Impacto de la Situación Actual: // Para las actividades a desarrollar en este punto se incluyen los siguientes entregables: // - sensibilización al cambio de las áreas de TIC, - análisis detallado de los procesos de TIC, - propuesta de diseño y rediseño de procesos de TIC, - brechas existentes y acciones propuestas para cerrarla…”

Con respecto a estas actividades, se determinó que se recibieron entregables relacionados con la Sensibilización al cambio en las áreas de TIC, Análisis detallado de los procesos de TIC, Propuesta de diseño y rediseño de los procesos de TIC, Identificación de brechas existentes y acciones propuestas para cerrarlas. En este último tema, se revisó el cumplimiento de cada uno de los elementos solicitados en el contrato y se determinó que se recibió un “Informe de análisis de procesos de gestión de TIC”, en el que se basa la estrategia a seguir según el estado actual de los procesos del Ministerio, también se priorizaron los procesos asignándoles un nivel de criticidad, se definieron las acciones para cierre de brechas, con su respectiva planeación para la ejecución. También se observó el cumplimiento de la ejecución de actividades de nivelación de conocimiento, según informes presentados y recibidos de conformidad.

Sobre las “Actividades para la Implementación del Plan de Acción”, se definieron en el Cartel como: “8.3. Actividades para la Implementación del Plan de Acción”, con los siguientes entregables: 1) Diseño de procesos de TIC institucionales: Realizar sesiones de trabajo con funcionarios claves involucrados en la gestión y operación de los procesos de TIC, a fin de acordar y establecer el diseño de procesos de TIC propuesto, incluidos en el Plan de Acción, acorde con las estrategias del negocio y fundamentado en el modelo de referencia COBIT 4.1 o superior(…)// 2) Definir roles y funciones de TIC (…) 3) Asesorar en el desarrollo de actividades estratégicas(…), 4) Apoyar en el desarrollo de los procesos de Aseguramiento de Calidad (QA en Inglés)(…), 5) Asesorar en el desarrollo de actividades asociadas a la Gestión de Riesgos de TIC(…), 6) Apoyar a la administración en el proceso de Gestión del Cambio(…), 7) Asesorar a la administración en el establecimiento del Tablero de mandos, participando en la definición de los elementos que lo conforman(…), 8) Desarrollar propuestas como: Diseño y definición de roles y competencias de la Oficina que dará gestión a todas las acciones que surjan como parte del Plan de Acción y Diseñar los procesos administrativos que faciliten la adopción de las acciones, tales como el proceso de Gestión Documental, Modelos de Decisiones que faciliten la gestión integral de la TIC en el Ministerio. 9) Presentar informes de las actividades de nivelación y concientización.”

De las actividades mencionadas para la implementación del Plan de Acción, se comprobó la recepción de documentos correspondientes a diferentes productos entregables. Se cumplieron los requerimientos especificados en el cartel y el contrato, no obstante no se encontraron entregables relacionados con las actividades “Gestión de Riesgos TIC”, “Tablero de mandos”, “Introducción a la Continuidad del Negocio” y “Administración de la Plataforma Tecnológica”, por lo cual se consultó al respecto y se determinó que la gestión de riesgos se incluye en cada proceso descrito, y que las acciones referidas a los otros tres temas, se encuentran pendientes de ejecución, aunque sí fueron incluidas en los planes. Asimismo, se comprobó la existencia de los formularios de aprobación de productos, los cuales se observaron con las firmas escaneadas de los responsables.

Por otra parte, se determinó que la empresa consultora PricewaterhouseCoopers Consultores S.A., contratada para una “Consultoría para establecer un modelo de procesos de TIC del Ministerio de Hacienda que permita el cumplimiento del manual de Normas Técnicas para la Gestión y Control de las Tecnologías de Información (N-2-2007-CO-DFOE)”, en general ha cumplido con lo estipulado en el Contrato MH-023-2010 en lo relacionado con “Obligaciones de la empresa”.

2.2. Sobre la planificación del Contrato




Se determinó que el cronograma que presentó la empresa PricewaterhouseCoopers Consultores S.A. como parte de la oferta recibida durante el proceso de contratación, era solamente para el primer año del contrato, y se consignaba que ante una posible prórroga se estaría utilizando el tiempo correspondiente a la etapa de acompañamiento, como efectivamente se dio. Para el tiempo utilizado después de los doce meses iniciales se han recibido adenda al plan inicial, con sus respectivos cronogramas propuestos.

Esta condición se presenta debido a que Cartel de la contratación no contenía especificaciones sobre el cronograma que debían presentar los oferentes. En el punto 8.1.a. del cartel solamente se indica que “El Plan debe incorporar la metodología de trabajo en sus diferentes etapas, debe contener al menos los siguientes aspectos: (…)- Cronograma detallado (MS Project profesional 2007)”.

Asimismo, en el Cartel se definió lo siguiente sobre la vigencia del contrato: “4.6. VIGENCIA DEL CONTRATO // La vigencia del contrato será por un plazo de 48 meses, considerando los términos y condiciones definidos en este cartel. // Para el desarrollo de las actividades indicadas en este cartel el Ministerio de Hacienda, contratará un total de 25000 horas a consumir en un plazo máximo de 48 meses (4 años), con un consumo mínimo estimado de 5000 horas anuales y un mínimo mensual de 160 horas. // Queda a criterio del Ministerio variar la cantidad de horas a consumir anualmente, conforme con la programación de actividades y los requerimientos del proyecto.”, y en el contrato se estableció en la Cláusula vigésima que “La vigencia del contrato será por un plazo de 12 meses, con posibilidad de prórroga por periodos iguales hasta completar un máximo de 48 meses. Para el desarrollo de las actividades indicadas en el cartel “EL MINISTERIO”, contratará un total de 25.000 horas a consumir en un plazo máximo de 48 meses (4 años), con un consumo mínimo estimado de 5.000 horas anuales y un mínimo mensual de de 160 horas. Queda a criterio de “El Ministerio”, variar la cantidad de horas a consumir anualmente, conforme con la programación de actividades y los requerimientos del proyecto.”

En la cláusula décima sexta “Plazo de entrega” del Contrato se establece que “el servicio iniciará el día hábil siguiente después de recibida por parte de “La Empresa”, la orden de pedido de compra y la orden de inicio por parte de la autoridad competente de “El Ministerio”. El servicio se brindará en forma mensual de acuerdo con las especificaciones establecidas en el cartel. // Para el desarrollo de esta consultoría, “La Empresa” debe desarrollar el plan de actividades y cumplir con la entrega de los productos acordados en el mismo. En todo caso, “La Empresa”, debe ajustarse a las horas programadas para cumplir con cada actividad. De requerirse el consumo adicional de horas para concluir con un producto o actividad, las mismas serán asumidas por “La Empresa” sin ningún costo para “El Ministerio”, en tanto el cambio sea imputable a “La Empresa”, caso contrario, se documentará oportunamente y se justificará ante la persona encargada del Contrato, quien estará facultado para aceptar o rechazar dicho cambio.”

Según lo anterior, el proyecto plantea para su ejecución los primeros doce meses contados a partir del inicio del servicio, con posibilidad de prorrogarlo hasta por un máximo de 48 meses. De esta forma se presenta en la oferta de la empresa.

Cabe mencionar que en la solicitud de pedido de la contratación, oficio DGI126-2010 del 15 de febrero de 2010 enviado por la Licda. Gabriela Espinoza Meza, Directora de la Dirección General de Informática al Lic. Marco A. Fernández Umaña, Proveedor Institucional, se menciona lo siguiente: “Se indica que el cronograma de Ejecución de la contratación será una realidad que sepamos una vez adjudicada la consultoría ya que el mismo cronograma es parte de los entregables del proyecto, ya que no se puede dimensionar por parte nuestra este tema.”

De acuerdo con lo mencionado, al solicitar la contratación no se detallaron las actividades que debían realizarse en la ejecución de la consultoría y en consecuencia no se contó con la definición de horas estimadas por actividad, lo que dificulta los procesos de control que deben establecerse para asegurar razonablemente, tanto que los entregables corresponden a las necesidades reales del Ministerio, como el control durante la ejecución del contrato.




Lo anterior, debido a que no existió claridad sobre las actividades requeridas y la distribución del tiempo que se planeaba contratar, no obstante, el total de horas a contratar sí fue definido con antelación.

Posteriormente, el Ministerio recibió como parte del plan de “Trasformación de la Gestión de TIC”, un cronograma que abarca cuatro años. Este cronograma evidentemente no se conocía antes de iniciar la contratación y fue planteado por la firma consultora con base en el tiempo que había contratado el Ministerio.

El cronograma completo, que abarque todo el proyecto y defina las tareas y la cantidad de tiempo estimado para cada una de ellas, es un instrumento que permite tener una visión general del proyecto, por lo cual el hecho de no contar con él representa una debilidad de control, ya que se prescinde de una herramienta que permitiría llevar el control del desarrollo del proyecto, y de cuántas horas se tienen disponibles para cada tarea. En el caso observado se puede decir que se contrataron las horas pero no se asociaron a las tareas que se requerían ejecutar para este proyecto. Esto dio pie a que se pudieran utilizar horas de este contrato en otros proyectos, sin que se pueda determinar si el hecho de no contar con estas horas afectará negativamente el logro global del objetivo del Proyecto de Gestión de TIC. Asimismo, sin un cronograma general no se tiene una base sólida que sirva de fuente para la determinación de cuántas horas serán necesarias para ejecutar el Proyecto y por tanto cuántas horas deberían contratarse.

Al respecto, en la reunión de comunicación oral de resultados, la Licda. Gabriela Espinoza Meza señaló que en el momento de la contratación no era factible tener certeza sobre qué productos eran los aplicables a la situación del Ministerio, debido a la naturaleza de la implementación de la normativa de TI.

Sobre este tema, la Norma 4.5.2 Gestión de proyectos, de las Normas de Control Interno para el Sector público (N-2-2009-CO-DFOE)2 establece que “El jerarca y los titulares subordinados, según sus competencias, deben establecer, vigilar el cumplimiento y perfeccionar las actividades de control necesarias para garantizar razonablemente la correcta planificación y gestión de los proyectos que la institución emprenda.”

2.3. Sobre la utilización de horas para el Proyecto PEI

Se determinó que dentro de los planes recibidos como productos de la Consultoría contratada mediante el Contrato MH-023-2010, se recibió uno denominado “Plan de Proyecto Plan Estratégico Institucional, Adendum No-3 Plan de Proyecto”, el cual no estaba considerado dentro de los entregables especificados en el Cartel de Contratación, ni en el objetivo general ni en los objetivos específicos del Contrato o del Cartel.

Este proyecto relacionado con el Plan Estratégico Institucional (PEI) tampoco estaba considerado dentro del Plan General del Proyecto, recibido el 15 de junio de 2011.

Posteriormente también se recibieron informes de avance de este Proyecto, así como los siguientes productos:

Informe de análisis de la situación actual, de fecha 22/11/2011 y última modificación 07/12/2011, cuyo propósito es “identificar y evaluar los temas estratégicos clave que enfrenta la institución en su entorno, su rol en la ejecución de la estrategia gubernamental y sus fortalezas y debilidades relativas”

Plan Estratégico Institucional Taller de trabajo #3 del 02/12/2011. Presentación utilizada para ese Taller.


2 Aprobadas mediante Resolución del Despacho de la Contralora General de la República N°R-CO-9-2009 del 26 de enero de 2009, Publicadas en La Gaceta N°26 del 6 de febrero de 2009.







Se observaron también los siguientes formularios de aprobación de productos firmados, relacionados con el PEI:

Plan del Proyecto Plan Estratégico Institucional 2012-2016 Ministerio de Hacienda, del 09/11/2011 Acompañamiento en la elaboración del Plan Estratégico Institucional, del 12/09/2012

Al indagar sobre la causa de la existencia de estos productos, se determinó que el Proyecto Plan Estratégico Institucional se realizó como parte del Contrato MH-023-2010 con la justificación de que este Plan es necesario para contar con el diseño de la acción EG-03 del Plan de Transformación de TIC “Implementar el marco de planificación de TIC”, que es “insumo principal para la planificación estratégica de los procesos”, esto de acuerdo con el oficio DGI-694-2011 de fecha 20/09/2011 remitido por la Licda. Gabriela Espinoza Meza, Directora General de la DGI al señor Juan Ignacio Pérez Rubio, Representante Legal de la firma Pricewaterhouse Coopers Consultores S.A. Se indica en este oficio que la necesidad de contar con el PEI forma parte del análisis de procesos realizado y que se establecieron acciones específicas para atender dichos temas como parte del plan de Transformación de la Gestión de TIC y finalmente se solicita a la firma consultora “la colaboración y acompañamiento en la inicialización de esas tareas que marcarán el punto de partida del plan de acción.”

En el Plan presentado por la empresa consultora sobre este Proyecto, se indica “En el caso particular del Ministerio, su plan estratégico institucional (en adelante PEI) actual abarca el periodo 2007-2011, lo cual hace necesaria su actualización para adecuarlo al contexto actual del país. Es por este motivo que se identificó la necesidad de no solo determinar el escenario de transformación de TI, sino también el escenario de transformación del negocio, con el fin de asegurar que este proceso de cambio que enfrenta TI se encuentre alineado con la misión y visión institucional.”

Por otra parte, al buscar el respaldo documental de la decisión de solicitar a la firma PwC el apoyo en la elaboración del PEI, se determinó que en las minutas de reunión del Comité Directivo correspondientes a las fechas en que se solicitó la realización de este Proyecto a la firma consultora, no consta ningún acuerdo que respalde la toma de esta decisión. Solamente se hace la siguiente mención en la Minuta de reunión No. CD-006-2011 del 15/07/2011 “Reunión de Comité Directivo del Proyecto”: “5. En relación con el acuerdo de la Coordinadora de Implementación para destinar recursos en horas consultoría correspondientes al proyecto del Modelo de Gestión, para la elaboración del Plan Estratégico Institucional, se informa que el plan de apoyo se encuentra en análisis por parte de la directora del DIPI, Celia White y se está a la espera de sus observaciones para determinar la cantidad de horas exactas por consumir. Por lo que se acuerda: - Que una vez se tenga el plan de trabajo detallado del mismo, se le comunicará el plan a la gerencia del proyecto para su registro y control del consumo de horas acordado. // - la Coordinación de Implementación deberá realizar ante la Gestoría Administrativa la solicitud correspondiente al total de horas a consumir para el desarrollo de este plan, así como el total de horas a consumir por parte del proyecto de Modelo de Gestión en lo que resta de este año” Posteriormente en otras minutas se hace referencia al proyecto PEI en lo relacionado a la distribución de las horas entre ambos proyectos (PEI y Modelo de Gestión TIC).

En minutas anteriores no consta que se haya tomado la decisión de solicitar a la empresa PwC el apoyo en la elaboración del PEI, de dónde surgió tal solicitud, ni que se hayan considerado otras opciones para el desarrollo de ese Proyecto.

De acuerdo con lo consultado a la Licda. Graciela García Santamaría, funcionaria encargada de la administración del Contrato, se utilizaron 2675 horas del contrato MH-023-2010 para el Proyecto de Plan




Estratégico Institucional, las cuales equivalen a la suma de $173.875,00 (ciento setenta y tres mil ochocientos setenta y cinco dólares exactos).

La utilización de estas horas tiene como consecuencia que el Proyecto de Modelo de Gestión de TIC se vea disminuida en la cantidad de tiempo que se le dedicará. Asimismo, según lo manifestado por la Licda. García Santamaría, no es posible determinar la afectación que esta desviación de horas pueda tener en el Proyecto de Modelo de Gestión de TIC, debido a que aunque se cuenta con los planes y su calendarización, hasta que se finalice el Proyecto se tendrá conocimiento de lo que se realizó y qué acciones puedan tener tareas pendientes, ya que el uso de horas se va registrando posteriormente a ser utilizadas, por lo cual no es posible determinar de cuál tarea o acción se tomaron las horas para el Proyecto PEI.

Al respecto, en la reunión de comunicación de resultados, la Licda. Gabriela Espinoza Meza señaló que el tema de la planificación estratégica ha costado en el ámbito institucional, por lo que resultaba conveniente que se acompañara al Ministerio en este tema, ya que está relacionado con la planeación de TI. También, la Licda. Rosa Chaves Corrales, Gerente del proyecto de Modelo de Gestión de TIC mencioné en esa reunión que para definir el PETI era necesario que se tuviera la Planificación Estratégica del Ministerio. Considera la Licda. Gabriela Espinoza que era un riesgo continuar con el PETI sin contar con la Planificación Estratégica, ya que este se relaciona directamente al presupuesto institucional que está basado en la estrategia.

En razón de lo anterior, esta condición será evaluada en detalle y forma aparte por esta Auditoría Interna a fin de determinar si la utilización de los recursos destinados a un contrato en la obtención de productos que podrían considerarse ajenos a su objetivo, incumple los principios presupuestarios, de planificación y de contratación administrativa que deben prevalecer en la administración de los recursos públicos, sin detrimento de la consideración de si tal situación deriva eventuales responsabilidades.

3. CONCLUSIONES

3.1. Con respecto al cumplimiento en la recepción de entregables y productos resultantes de la consultoría, se determinó que a la fecha de revisión, se han recibido los entregables de la “Consultoría para establecer un modelo de procesos de TIC del Ministerio de Hacienda que permita el cumplimiento del manual de Normas Técnicas para la Gestión y el Control de las Tecnologías de Información (N-2-2007-CO-DFOE)”, según lo estipulado en el contrato MH-023-2010. Asimismo, la empresa consultora PricewaterhouseCoopers Consultores S.A., contratada para esta consultoría, en general ha cumplido con lo estipulado en el Contrato en lo relacionado con “Obligaciones de la empresa” Ver punto 2.1 de este informe.

3.2. En el Cartel de la Licitación Pública # 2010LN-000021-13801, no se definieron características detalladas para el cronograma que se solicitó, por lo cual se recibió en la oferta de la firma consultora contratada un cronograma que solamente incluía el primer año de contratación, y se consignaba que ante una posible prórroga se estaría utilizando el tiempo correspondiente a la etapa de acompañamiento. No obstante, en la oferta se previó la utilización de un total 25.000 horas a consumir en un plazo máximo de 48 meses (4 años), y después efectivamente se contrató ese total de horas, con un consumo mínimo estimado de 5.000 horas anuales y un mínimo mensual de de 160 horas. Por lo tanto, se contrataron horas que no estaban asociadas a un requerimiento específico o las tareas a realizar, lo cual debilita el control que se pueda ejercer sobre el proyecto. Ver punto 2.2. de este informe.

3.3. Se utilizaron 2675 horas del contrato MH-023-2010 para el desarrollo del Proyecto de Plan Estratégico Institucional, el cual no estaba considerado en el Cartel de Contratación, en objetivo general, en los objetivos específicos del Contrato, ni dentro del Plan General del Proyecto. Dicha decisión no se encontró respaldada en las minutas de reunión del Comité Directivo correspondientes a las fechas en que se solicitó la realización de este Proyecto a la firma consultora. En consecuencia de este hecho, se ha disminuido la cantidad de horas que se aplicarán al Proyecto Modelo de Gestión de TIC, aunque no es posible para los auditores determinar el efecto que esta disminución tendrá en el desarrollo de este proyecto, hasta su finalización. Esta




condición será evaluada en detalle y forma separada por esta Auditoría Interna a fin de determinar si esta situación podría implicar la existencia de eventuales responsabilidades. Ver punto 2.3 de este informe.

4. RECOMENDACIONES

A la Directora de la Dirección General de Informática:

4.1. Realizar las acciones necesarias para que en futuras contrataciones de consultorías se planifique y defina con claridad, desde la solicitud inicial, los productos o actividades que son objeto de contratación con la indicación del número de horas estimadas para cada uno de ellos de manera que se provea a la administración, a los encargados de la supervisión de contratos, y a los órganos fiscalizadores del instrumento para el control y seguimiento del proyecto (s). Ver punto 3.1. de este informe.

4.2. Tomar las medidas requeridas en el evento, de que en una determinada contratación no se considere factible identificar los productos, actividades y tiempos estimados para cada uno de ellos, se proceda a fundamentar, documentar, y aprobar, las razones que impiden realizar una descripción precisa de los productos o servicios tecnológicos a obtener mediante contratación administrativa, así como las medidas de control para minimizar los riesgos en el cumplimiento de los objetivos. Ver punto 3.2. de este informe.

Las recomendaciones contenidas en el presente informe, están sujetas a las disposiciones del artículo 36 de la Ley N° 8292 Ley General de Control Interno y al Manual para la atención de informes de la Contraloría General de la República y de la Dirección General de Auditoría Interna en este Ministerio3. Por lo anterior, le agradecemos comunicar a esta Dirección la decisión que se tome al respecto dentro del plazo de 10 días hábiles posterior al recibo del informe según se establece en la normativa citada, así como, en un plazo razonable, el plan de acción que se defina para el efectivo cumplimiento de lo recomendado.

Natalia Mora SánchezProfesional de Auditoría Interna 3

Guillermo Badilla Martínez Coordinador Auditoría de Servicios Corporativos

3 Decreto Nº 34323-H, publicado en La Gaceta No. 38 del 22 de febrero del 2008




gbm/nmsEstudio 035-2012



Documents

· Web viewNos permitimos presentarle el informe INF-DGAI-022-2013 sobre la evaluación del cumplimiento del contrato para establecer un modelo de proceso TIC que permita el cumplimiento