Los equipos de TI de Endeavor operan con requisitos de auditoría cada vez más estrictos en el marco de una presencia funcional cada vez mayor.
Su instalación de SAP se implementó originalmente a mediados de los años 90, teniendo como resultado un “efecto de bola de nieve” de acceso de usuarios a lo largo del tiempo. Las habituales peticiones de los usuarios eran del tipo “duplicar el acceso de José”. Además, el problema se agravó por el hecho de que los usuarios más antiguos obtuvieron acceso adicional con el tiempo, y conservaron el acceso que ya no era necesario en su actual puesto de trabajo.
El equipo realizó revisiones periódicas de acceso de usuarios (UAR), pero en gran medida fue un proceso centrado en TI, que dependía de extractos manuales basados en Excel y del correo electrónico. Era un proceso que requería mucho tiempo y era difícil de repetir. Al ser un proceso manual, también era propenso a los errores. Era difícil controlar, consolidar las respuestas y auditar los resultados. Debido a que era un proceso tan difícil de gestionar, fue complicado conseguir el compromiso de la empresa. Las UAR se centraban en un pequeño subgrupo de personas, mayormente en el departamento de finanzas. El equipo normalmente contaba con unas 25 personas para revisar el acceso de alrededor de 2000 personas.
¿Cuáles eran los principales objetivos de Endeavor?
El objetivo principal de Endeavour era implantar una metodología centralizada y fácilmente repetible para llevar a cabo las UAR, regulada por un conjunto de reglas definidas, estables y basadas en sistemas.
Necesitaban:
- Reducir el trabajo de preparación manual
- Eliminar el riesgo de errores manuales
- Proporcionar visibilidad y transparencia al riesgo según el tipo y la gravedad
- Mejorar la efectividad de los procesos de UAR en todos sus aspectos
- Fomentar e impulsar la participación de los propietarios de la empresa en la gestión de riesgos
Su segundo objetivo era mejorar la eficiencia, la transparencia y la posibilidad de informar sobre sus procesos de concesión de acceso.
