Las aplicaciones informáticas para usuarios finales (EUC, por sus siglas en inglés) han vuelto a ser noticia después de que la Oficina del Contralor de la Moneda (OCC, por sus siglas en inglés) de Estados Unidos impusiera una multa de 400 millones de dólares a un banco con sede en ese país. La OCC detectó problemas en las prácticas de gestión de riesgos y de presentación de informes reglamentarios de la institución, en las que las EUC tenían un papel muy importante.
Las EUC (aplicaciones desarrolladas y respaldadas por los usuarios finales, en lugar de por el departamento de TI de la empresa) son muy potentes y populares, y suelen ser la aplicación preferida para resolver rápidamente una gran cantidad de problemas empresariales. Las hojas de cálculo de Excel son, con diferencia, las aplicaciones EUC más populares, pero otras aplicaciones que utilizan SAS, Python o MATLAB pueden considerarse del mismo modo.
Una peligrosa falta de transparencia
Si bien estas aplicaciones ofrecen una gran flexibilidad a los usuarios finales, la falta de controles que suelen encontrarse en las aplicaciones informáticas corporativas significa que carecen de la transparencia y la auditabilidad que los reguladores (y los clientes y la dirección, por cierto) exigen en una gestión eficaz de los riesgos.
Cuando se utiliza una hoja de cálculo, no queda claro quién ha cambiado una fórmula o una entrada de celda, quién la ha revisado y quién la ha aprobado. En los bancos, no es raro gestionar miles de millonesde dólares en inversiones utilizando hojas de cálculo muy complejas. Estas hojas de cálculo contienen millones de celdas alimentadas por múltiples fuentes de datos. Capturar, aprobar y notificar manualmente los cambios en estas hojas de cálculo con fines de gestión de riesgos y auditoría está fuera del alcance de los usuarios finales, los gestores de riesgos y los equipos de cumplimiento normativo.
La gestión, la aplicación y la notificación de políticas suponen un reto adicional para los equipos de cumplimiento normativo cuyos empleados utilizan EUC. Aunque sin duda existen políticas sobre el uso, la actualización y la retirada de EUC, identificar quién utiliza EUC y garantizar que conocen la política sobre EUC y la aplican supone un reto enorme.
Valorar un enorme desafío
La gestión, la aplicación y la notificación de políticas suponen un reto adicional para los equipos de cumplimiento normativo cuyos empleados utilizan EUC. Aunque sin duda existen políticas sobre el uso, la actualización y la retirada de EUC, identificar quién utiliza EUC y garantizar que conocen la política sobre EUC y la aplican supone un reto enorme.
Desde mi punto de vista, la gestión de los EUC no es algo nuevo; llevamos más de 15 años participando en proyectos relacionados con ellos. Todas las instituciones con las que colaboramos comprenden la necesidad de gestionar sus EUC. El reto consiste en controlar dónde se utilizan y trabajar de forma proactiva con los usuarios para comprender el valor de los EUC y los riesgos que suponen para la empresa. A continuación, se puede trabajar con los usuarios finales para gestionarlos adecuadamente y garantizar que se ajustan a la política.
Ian Cleaver, vicepresidente de Servicios Profesionales de Mitratech, describe el enfoque que recomienda a los clientes a la hora de implementar la solución de gestión de EUC de Mitratech. «El primer paso es identificar los EUC más importantes y, a continuación, crear un inventario de los mismos para poder supervisarlos de forma proactiva. También puede resultar útil utilizar una función de alerta que indique cuándo se producen cambios y dónde hay problemas de datos faltantes, errores de cálculo u otros problemas que podrían causar dificultades a una institución».
«Los resultados de esta actividad pueden integrarse en un marco consolidado de gobernanza, riesgo y cumplimiento (GRC) para proporcionar transparencia sobre el riesgo de EUC para la empresa», explica. «Cuando utilicé la plataforma en un banco global, nos aseguramos de que los informes de gestión de EUC se presentaran en la reunión mensual de la junta directiva, lo cual era una medida muy prudente, pero funcionó. No tuvimos ningún problema».
Gestione sus hojas de cálculo de Shadow IT
Con ClusterSeven, tome el control de los activos informáticos de usuario final ocultos en su empresa que pueden crear riesgos ocultos.
