Para implementar gobierno de TI en una fundación u ONG, la junta y la dirección ejecutiva deben acordar quién decide sobre tecnología, con qué presupuesto, qué proyectos se priorizan, qué riesgos se aceptan y cómo se protegen los datos de beneficiarios. Se arranca con un comité pequeño, un inventario honesto y cinco indicadores; en 90 días queda operando.
¿Qué es el gobierno de TI, explicado para una junta directiva?
El gobierno de TI es el conjunto de reglas que define quién decide sobre tecnología, con qué criterios, con qué presupuesto y cómo se rinde cuentas de los resultados. No es comprar software ni manejar computadores: es la forma en que la junta y la dirección se aseguran de que la tecnología sirva a la misión.
Conviene separar dos cosas. La gestión de TI es el trabajo diario: mantener sistemas, atender usuarios, ejecutar proyectos. El gobierno de TI está por encima: fija prioridades, aprueba inversiones, define cuánto riesgo se acepta y revisa si lo prometido se cumplió. Marcos como COBIT ordenan esa diferencia, pero una fundación mediana no necesita adoptarlos completos; necesita tomar prestadas sus preguntas.
¿Por qué una fundación u ONG necesita gobierno de TI?
Una ONG necesita gobierno de TI porque opera en territorio con recursos de cooperantes y donantes que exigen trazabilidad, maneja datos personales de beneficiarios protegidos por la Ley 1581 de 2012 y no puede detener programas sociales cuando falla un sistema. Sin reglas claras, cada uno de esos frentes queda en manos de la buena voluntad.
- Operación en territorio. Equipos dispersos, conectividad irregular y registros tomados en campo. Sin estándares, cada programa termina con su propia hoja de cálculo.
- Recursos con dueño. El dinero de cooperantes y donantes llega con condiciones y auditorías. Hay que poder demostrar en qué se gastó cada peso y qué resultado produjo.
- Datos de beneficiarios. Nombres, documentos, ubicaciones y, a veces, información sensible de poblaciones vulnerables. La Ley 1581 de 2012 exige tratarlos con autorización, finalidad clara y medidas de seguridad; una filtración afecta a personas reales y a la reputación de la entidad.
- Continuidad de programas. Para una organización que opera programas sociales en territorio, una caída de sistemas significa proyectos detenidos y compromisos incumplidos con comunidades y aliados.
En Liderazgo sin maquillaje sostengo que en el sector social la responsabilidad es más exigente, no menos. El gobierno de TI es la forma ordenada de responder a esa exigencia.
¿Qué componentes tiene el gobierno de TI en una ONG?
El gobierno de TI de una ONG tiene siete componentes: roles y decisiones, presupuesto, portafolio de proyectos, riesgos y control interno, seguridad de la información, proveedores e indicadores. No hace falta montarlos todos a la vez, pero sí que cada uno tenga un responsable con nombre y una revisión periódica.
Roles y decisiones
Quién propone, quién aprueba y quién ejecuta. Incluye un comité pequeño de tecnología con poder real sobre los recursos, no un grupo de delegados que solo toman nota.
Presupuesto
Una línea de tecnología visible, separada entre operación (licencias, conectividad, soporte) e inversión (proyectos nuevos), y una regla para cargar costos tecnológicos a los proyectos financiados por cooperantes cuando el convenio lo permite.
Portafolio de proyectos
Una lista única de iniciativas con problema, valor, esfuerzo y patrocinador. Ninguna entra sin esa ficha mínima y ninguna sigue si deja de cumplir sus criterios.
Riesgos y control interno
Una matriz corta de riesgos tecnológicos conectada con el sistema de control interno, más un plan de recuperación ante desastres (DRP) para los sistemas críticos y un plan de continuidad del negocio (BCP) institucional. La norma ISO 22301 sirve de referencia para la continuidad.
Seguridad de la información
Políticas de acceso, copias de seguridad probadas y un inventario de las bases de datos con información personal, alineado con la Ley 1581 de 2012. ISO/IEC 27001 es la referencia si la entidad quiere avanzar hacia una certificación.
Proveedores
Contratos con acuerdos de servicio medibles, cláusulas de confidencialidad y tratamiento de datos, y un plan de salida para no quedar atado a un solo tercero.
Indicadores
Pocos y de resultado: disponibilidad de sistemas críticos, avance real del portafolio, ejecución del presupuesto, incidentes de seguridad y horas liberadas por automatización.
¿Quién decide qué en el gobierno de TI de una ONG?
La junta directiva fija el apetito de riesgo y aprueba las grandes inversiones; la dirección ejecutiva prioriza el portafolio y responde por los resultados; el responsable de tecnología propone y ejecuta, y las áreas misionales son dueñas de sus datos y de sus procesos. Escribirlo en una tabla evita discusiones en mitad de una crisis.
| Decisión | Junta directiva | Dirección ejecutiva | Responsable de TI | Áreas misionales |
|---|---|---|---|---|
| Hoja de ruta tecnológica a 1–3 años | Aprueba | Propone y patrocina | Elabora | Aportan necesidades |
| Presupuesto anual de tecnología | Aprueba | Asigna y controla | Formula y ejecuta | Validan lo que les corresponde |
| Priorización del portafolio de proyectos | Revisa cada semestre | Decide en comité | Presenta fichas y avance | Patrocinan iniciativas |
| Apetito de riesgo y continuidad | Define | Aplica y reporta | Diseña DRP y controles | Identifican procesos críticos |
| Tratamiento de datos de beneficiarios | Exige reporte periódico | Aprueba políticas | Implementa la seguridad | Son dueñas del dato |
| Contratación de proveedores tecnológicos | Aprueba por encima de un monto | Aprueba | Evalúa y supervisa | Validan el servicio |
¿Cómo se implementa el gobierno de TI en 90 días?
En 90 días una fundación puede pasar de decisiones improvisadas a un gobierno de TI básico en funcionamiento: un mes para conocer la situación real, un mes para acordar las reglas y un mes para operarlas y medir. Lo que no se logra en ese plazo es la madurez; eso toma años de práctica sostenida.
- Días 1 a 15. Patrocinio. La dirección ejecutiva nombra un patrocinador, define el alcance y presenta el propósito a la junta en una página.
- Días 1 a 30. Inventario honesto. Sistemas, licencias, proveedores, bases de datos con información personal, proyectos en curso y gasto real en tecnología, incluido el que está escondido en los presupuestos de los programas.
- Días 15 a 30. Riesgos críticos. Con la gerencia, responder qué procesos no pueden detenerse, cuánto tiempo pueden estar detenidos y cuánta información se puede perder.
- Días 30 a 45. Reglas de decisión. Aprobar la tabla de quién decide qué, crear el comité de tecnología y fijar su calendario.
- Días 45 a 60. Portafolio único. Llevar todas las iniciativas a una lista con ficha mínima; el comité decide cuáles siguen, cuáles se aplazan y cuáles se cancelan.
- Días 60 a 75. Políticas mínimas. Seguridad de la información, tratamiento de datos personales y gestión de proveedores, en documentos cortos que la gente pueda leer.
- Días 75 a 90. Tablero e informe. Cinco indicadores medidos con datos reales y un primer informe a la junta con lo que se encontró, lo que se decidió y lo que sigue.
Si la entidad no tiene un responsable de tecnología con visión de negocio, este es el momento de buscarlo, sea en planta o como gerente de TI externo por horas o por proyecto.
¿Qué errores son frecuentes al implementar gobierno de TI en una ONG?
Los errores más frecuentes son confundir gobierno con burocracia, delegar todo el tema al área de sistemas, medir actividad en lugar de resultados y diseñar controles que nadie sigue. Casi ninguno es técnico; la mayoría son de liderazgo y de cultura.
- Crear comités sin poder. Un comité que nunca cancela un proyecto no está gobernando, está tomando nota.
- Tableros siempre en verde. Si el semáforo depende de lo que dice el líder del proyecto y no de evidencia verificable, la junta decide sobre una ficción.
- Controles bien diseñados sin seguimiento. En los comités de riesgo en los que he participado, lo que más falla no es el diseño del control, sino el seguimiento sostenido y la dependencia de terceros que no entregan a tiempo.
- Usar la causa como excusa. Frases como «lo nuestro no se puede medir» o «no somos una empresa» justifican una informalidad que después cuesta caro.
- Dejarle los datos a TI. La calidad y la protección de los datos de beneficiarios es responsabilidad de quien los captura y los usa, no solo del área de sistemas.
¿Cómo se conecta la tecnología con el propósito misional y la cultura?
La tecnología se conecta con el propósito cuando cada proyecto se justifica por su efecto en las personas que la ONG sirve y cuando la cultura premia decir la verdad sobre lo que no funciona. El propósito es el mayor activo de una fundación, pero no puede usarse como anestesia para evitar medir.
En El código invisible planteo que el presupuesto es el símbolo cultural definitivo: si el discurso dice que la tecnología es estratégica y en el primer recorte desaparece la partida de seguridad o de continuidad, la organización acaba de decir cuál es su prioridad real. La junta debe revisar qué se recorta primero y qué no se toca nunca.
Ayuda formular los objetivos como resultados («liberar horas del equipo de campo para atender comunidades», no «implementar un sistema») y agradecer las malas noticias, porque el riesgo más peligroso es el que alguien vio y no se atrevió a decir.
En la Fundación Socya, donde soy Gerente de Valor Digital y Estratégico desde 2021, diseñé una hoja de ruta de transformación digital a 3 años alineada con el propósito misional y dirijo los equipos de infraestructura, desarrollo, datos, riesgos y sistemas integrados de gestión. Allí implementé un modelo de gestión de proyectos con trazabilidad del 100 % del portafolio, lideré el plan de continuidad institucional y los planes de recuperación que sostienen un 99,9 % de disponibilidad en los sistemas críticos, y con BOT SARA automatizamos más de 80 procesos con eficiencias superiores al 20 %. Ninguno de esos logros fue, en esencia, técnico: dependió de que las personas confiaran en los datos y reportaran lo que realmente estaba pasando.
¿Por dónde empezar el lunes?
Empiece con una conversación de una hora entre la dirección ejecutiva y quien maneja la tecnología, con tres preguntas: qué proyectos tecnológicos hay en curso, qué datos de beneficiarios tenemos y dónde están, y qué pasaría si mañana se cae el sistema más importante. Las respuestas le mostrarán por dónde empezar.
- Pida una lista de todos los proyectos y contratos de tecnología vigentes, con costo y responsable.
- Identifique las tres bases de datos con la información personal más sensible y quién tiene acceso a ellas.
- Pregunte cuándo fue la última vez que se probó la recuperación de una copia de seguridad.
- Agende para el próximo mes una sesión de la junta dedicada a tecnología y riesgo.
Si prefiere una mirada externa, el Diagnóstico de Madurez Digital y Riesgo TI entrega en 10 días hábiles, a precio fijo desde $3.900.000 COP, el estado actual, los riesgos principales y las prioridades para arrancar.