RESTRICTED  
  
WT/BFA/W/586  
14 de abril de 2022 
(22-3060) Página: 1/7 
Comité de Asuntos Presupuestarios,  
Financieros y Administrativos   
 
  
OFICINA DE SUPERVISIÓN INTERNA (OSI)  
SITUACIÓN DE LAS RECOMENDACIONES DE AUDITORÍA INTERNA  
(marzo de 2022 ) 
1.1.  La Oficina de Supervisión Interna (OSI) presenta al Comité de Asuntos Presupuestarios, 
Financieros y Administrativos con fines de información la situación en que se encuentra actualmente 
la aplicación de las recomendaciones propuestas en los informes de auditoría interna.  
1.2.  Como solicitó el Instituto de Auditores Internos (IAI), la OSI mantiene un registro de 
seguimiento detallado con el fin de vigilar que se apliquen las recomendaciones y asegurar que las 
acciones de la dirección hayan sido implantadas eficazmente (Norma 2500.A1 del IAI - Seguimiento 
del progreso ). Este registro se actualiza periódicamente sobre la base de las aportaci ones de las 
Divisiones/Unidades interesadas.  
1.3.  En el anexo 1 [ Situación de las recomendaciones (marzo de 2022)] del presente documento se 
resume la situación actual de las recomendaciones, y en el anexo 2 [ Estado de la aplicación de las 
recomendaciones de la  OSI pendientes (marzo de 2022)] se ofrece información más detallada.  
1.4.  Hasta marzo de 2022, la dirección ha aplicado el 90 % de las recomendaciones de la OSI.  
1.5.  La OSI seguirá vigilando de cerca la aplicación de estas recomendaciones e informando al 
Comité de Asuntos Presupuestarios, Financieros y Administrativos al respecto.  
1.6.  Cabe señalar que el informe anual de las actividades de la OSI se presentará al Comité de 
Asuntos Presupuestarios, Financieros y Administrativos en septiembre de 2022.1 
 
 
1 Con arreglo al Memorándum Administrativo Nº 974 (OFFICE(15)/101 - Oficina de Supervisión Interna , 
30 de noviembre de 2015), la OSI presentará anualmente al Comité de Asuntos Presupuestarios, Financieros 
y Administrativos un informe en el que ofrecerá un panorama general de las actividades realizadas durante 
el año.   
  WT/BFA/W/586  
- 2 - 
 
ANEXO 1: SITUACIÓN DE LAS RECOMENDACIONES (MARZO DE 2022)  
OSI - SITUACIÓN DE LAS RECOMENDACIONES (en el anexo 2 figura información más detallada)  
Actividad de auditoría  Año de 
elaboración 
del informe  Número total de 
recomendaciones  Número de recomendaciones 
de alta prioridad  Estado de la aplicación  
al 1 de marzo de 2021  Estado de la aplicación  
al 31 de marzo de 2022   
% Cerradas1 En curso2 Pendientes3 Cerradas  En curso  Pendientes  
Gestión de las licencias de 
enfermedad  2014 33 26 79% 32 1 0 32 1 0 
Seguridad de la tecnología 
de la información (TI)  2014 19 5 26% 13 4 2 15 3 1 
Vacaciones en el país de 
origen  2017 11 2 18% 10 1 0 10 1 0 
Total/%  - 63 33 43%  87%  10%  3% 90%  8% 2% 
 
 
 
1 "Cerradas": las recomendaciones se han aplicado.  
2 "En curso": se está avanzando en la aplicación de medidas correctivas.  
3 "Pendientes": las recomendaciones no han dado lugar tod avía a medidas correctivas.    
  WT/BFA/W/586  
- 3 - 
 
ANEXO 2: ESTADO DE LA APLICACIÓN DE LAS RECOMENDACIONES DE LA OSI PENDIENTES (MARZO DE 2022)1 
A) GESTIÓN DE LAS LICENCIAS DE ENFERMEDAD  
Recomendación de auditoría  Prioridad  Plazo 
inicial  Estado de la aplicación comunicado por la 
División  encargada de la aplicación  Estado 
de la 
aplicación  Observaciones de la OSI  
26. El Servicio Médico y la División de Recursos 
Humanos (DRH) deberían conciliar los datos sobre 
licencias de enfermedad registrados en Oracle con 
los registrados en CHIMED con el fin de asegurar 
que son exactos, coherentes y fiables para informar 
a las distintas partes interesadas, y que cualquier 
divergencia está justificada.  Media  Último 
trimestre 
de 2018 La OMC decidió en 2018 sustituir CHIMED por Préventiel, 
un programa informático especializado en la gestión 
de historias clínicas ( http://www.val -
solutions.fr/solutions/solution -preven tiel/). 
Préventiel se instaló en el último trimestre de 2018 como 
solución autónoma para garantizar el acceso a la 
información y la confidencialidad de esta (únicamente el 
Servicio Médico tiene acceso a Préventiel).  
En 2019 la OMC decidió implantar, en sus titución de 
Oracle, un nuevo sistema integrado denominado WISE 
(que utiliza Workday como plataforma informática) para 
gestionar los procesos de la DRH . El nuevo sistema 
comenzó a implantarse en agosto de 2020 y entró en 
funcionamiento en septiembre de 2021. 
Las licencias de enfermedad se gestionan ahora a través 
de Workday, pero el Servicio Médico debe introducir 
manualmente la información pertinente en Préventiel, 
que sigue albergando las historias clínicas de los 
funcionarios.  
Se establecerá una inter faz entre Workday y Préventiel 
con el fin de armonizar los datos sobre licencias de 
enfermedad registrados en ambos sistemas . La interfaz 
está preparada en el caso de Workday pero se encuentra 
aún pendiente en el de Préventiel.  EN CURSO  La recomendación se  cerrará 
cuando se haya finalizado la 
interfaz entre Workday y 
Préventiel . La implementación 
está prevista para el tercer 
trimestre de 2022. 
 
 
1 En el anexo se resume la situación de las recomendaciones pendientes al 1 de marzo de 2021.    
  WT/BFA/W/586  
- 4 - 
 
B) SEGURIDAD DE LA TECNOLOGÍA DE LA INFORMACIÓN (TI)  
Recomendación de auditoría  Prioridad  Plazo 
inicial  Estado de la aplicación comunicado por la 
División encargada de la aplicación  Estado de la 
aplicación  Observaciones de la OSI  
4: Gestión de la seguridad de la TI : GOV  04 - Proceso de 
gestión de riesgos.  
La función de seguridad de la información debería 
examinar periódicamente el registro de riesgos para que 
se identifiquen pronta y debidamente los riesgos para la 
seguridad de la información . Sobre la base de ese 
examen, la función de seguridad de la TI debería:  
1. Determinar en qué ámbitos se necesita una respuesta 
en materia de seguridad de la TI.  
2. Asegurarse de que las respuestas apropiadas en 
materia de seguridad de la TI sean incluidas en la sección 
de "medidas de mitigación propuestas".  
3. Asegurarse de que las respuestas en materia de 
seguridad de la TI se apliquen adecuadamente y sean 
operativas.  Alta Tercer 
trimestre 
de 2018 Los riesgos para la seguridad de la información se 
incluirán en el ejercicio anual de gestión de riesgos 
institucionales, dirigido por el Oficial de Gestión del 
Riesgo de la OMC (actualmente está pendiente la 
contratación de un Oficial de Gestión del Riesgo).  
La respuesta en materia de seguridad de la TI para 
los riesgos significativos que se han identificado se 
finalizará y se presentará al Comité Directivo de 
Tecnología y Seguridad de la Información para su 
validación y aprobación, como parte de los 
resultados de la evaluación del riesgo (véase la 
recomendación GOV 05 - Inventario de los recursos 
informativos clave de la OMC), tan pronto como se 
disponga del regis tro actualizado de riesgos de 
toda la Secretaría (acción pendiente, a la espera de 
los resultados de la línea de trabajo del examen 
estructural de la Secretaría relativa a la gestión del 
riesgo).  EN CURSO  La situación de esta 
recomendación no ha 
cambiado, a la espera de 
que se ultime el registro de 
riesgos para la seguridad 
de la información (o se 
revise el registro de 
riesgos de toda la OMC) 
y se aplique la 
recomendación GOV 05. 
5: Gestión de la seguridad de la TI: GOV 05 (a) - 
Inventario de los recursos informativos clave de la OMC.  
La LDIMD (actualmente la LDSD) y la DSTI deberían 
coordinar la creación y el mantenimiento de un 
inventario  de los recursos informativos clave de toda la 
Organización, como los datos, la información, los 
documentos y las publicaciones. Este inventario debería 
incluir: la definición de las funciones y responsabilidades 
de los propietarios de los recursos informativos, el nivel 
de clasificación de los recursos informativos y los 
requisitos básicos en cuanto al control y la supervisión de 
los recursos informativos. En este proceso debería 
tenerse en cuenta a cada División que elabora recursos 
informativos clave o tiene acceso a ellos. La función de 
seguridad de la TI debería realizar una evaluación del 
riesgo para la segur idad, sobre la base de la lista de 
recursos informativos clave, para determinar el nivel de 
protección necesario para cada recurso informativo clave.  Media  Último 
trimestre 
de 2018 La DSTI está de acuerdo, en parte, con la 
recomendación: la creación y el mantenimiento del 
inventario requieren fundamentalmente la 
colaboración de los propietarios de los recursos 
informativos, es decir, de las Divisiones operativas 
básicas (a diferencia de las Divisiones de apoyo, 
como la DSTI y la LDIMD). En co nsecuencia, esa 
tarea la debe encomendar y supervisar el Comité 
Directivo de Tecnología y Seguridad de la 
Información (CDTSI) creado en virtud de la 
recomendación GOV 01.  
La política sobre clasificación de la información 
confidencial se adoptó y se utiliza  actualmente 
como base para el inventario de los recursos 
informativos clave de toda la Organización.  
Las Divisiones están realizando el inventario de los 
recursos informativos clave, bajo la coordinación de 
la Oficina de Seguridad de la Información. Se ha n 
determinado los recursos informativos más 
sensibles, y la DSTI ya ha recopilado toda la 
información esencial para la evaluación del riesgo.  EN CURSO  La recomendación se 
cerrará cuando finalice el 
inventario de los recursos 
informativos clave, lo cual 
está previsto para el 
segundo trimes tre de  2022.    
  WT/BFA/W/586  
- 5 - 
 
Recomendación de auditoría  Prioridad  Plazo 
inicial  Estado de la aplicación comunicado por la 
División encargada de la aplicación  Estado de la 
aplicación  Observaciones de la OSI  
Se ha implementado una plataforma informática 
para registrar y mantener los resultados del 
inventario. El sistema está disponible para todo el 
personal en http://kiai.cwr.wto.org  a fin de 
proporcionar una referencia para la clasificación de 
la información generada por las diferentes 
Divisiones.  
Lamentablemente, el proceso de inv entario se ha 
interrumpido en varias ocasiones debido a: 1) el 
confinamiento motivado por la COVID -19, las 
actividades de emergencia conexas y los cambios 
radicales en los métodos y herramientas de 
trabajo; 2) otras prioridades relacionadas, entre 
otras co sas, con la ciberseguridad; y 3) los 
períodos de vacaciones y la falta de disponibilidad 
del personal clave.  
6: Gestión de la seguridad de la TI : GOV  06 - Estructura 
de las políticas de seguridad de la información.  
Examinar la estructura y el alcance de las políticas, 
normas, directrices y procedimientos de seguridad de 
la TI; definir y velar por el cumplimiento de diversas 
políticas de TI, como las políticas de seguridad, la política 
de evaluación del riesgo para la seguridad de la TI, la 
política de recuperación en caso de desastre, y una 
política de evaluación del riesgo para la seguridad de la 
información que esté conforme a la política de gestión de 
riesgos.  Media  Último 
trimestre 
de 2018 Tras la introducción de la política general, se han 
elaborado y publicado las siguientes políticas y 
procedimientos:  
• política relativa a la evaluación de la 
seguridad y la arquitectura de los sistemas 
de información;  
• política de seguridad de la información;  
• política de control de los accesos;  
• política de gestión de incidentes;  
• política de clasificación de la información ; y 
• política d e recuperación en caso de desastre.  
La política de gestión de riesgos para la seguridad 
de la información, la última pendiente del marco 
recomendado por la auditoría interna, está 
pendiente, a la espera de los resultados de la línea 
de trabajo del examen e structural de la Secretaría 
relativa a la gestión del riesgo para asegurar la 
coherencia y la compatibilidad a nivel de toda la 
Secretaría.  EN CURSO  Esta recomendación sigue 
en curso, a la espera de la 
revisión y aplicación de la 
política de gestión del 
riesgo de toda la Secretaría 
(actualmente en curso 
paralelamente al examen 
estructural) y se cerrará 
cuando la política de 
gestión de riesgos para la 
seguridad de la información 
se haya ultimado y 
comunicado a los 
funcionarios pertinentes.    
  WT/BFA/W/586  
- 6 - 
 
Recomendación de auditoría  Prioridad  Plazo 
inicial  Estado de la aplicación comunicado por la 
División encargada de la aplicación  Estado de la 
aplicación  Observaciones de la OSI  
9: Gestión de la seguridad de la TI : GOV  08 - Estrategia 
de seguridad de la TI de la OMC.  
La OMC debería definir formalmente la estrategia y los 
objetivos de su función de seguridad de la TI, teniendo en 
cuenta los resultados de la evaluación de los recursos 
informativo s clave y de los riesgos para su seguridad.  
La estrategia de seguridad de la TI debería examinarse 
para que esté en conformidad con los objetivos de las 
actividades de la Organización.  Media  Primer 
trimestre 
de 2019 La estrategia y los objetivos de la función de 
seguridad de la TI han sido aprobados por el CDTSI 
en el marco del plan de trabajo global sobre 
tecnología de la información y las comunicaciones 
(TIC), que incluye una sección dedicada a 
"La resiliencia y la reducción de los riesgos, 
incluidos los relacionados con la ciberseguridad".  APLICADA  La recomendación se 
aplicó y se cerró.  
10: Gestión de la seguridad de la TI : GOV  09 - 
Armonización de los objetivos de la función de seguridad 
de la TI con una estrategia de seguridad de la TI.  
La función de seguridad de la TI debería elaborar un 
conjunto claro de objetivos armonizados con la 
estrategia  de seguridad de la TI prevista en la 
recomendación GOV 08 supra . Baja Primer 
trimestre 
de 2019 La estrategia y los objetivos de seguridad de la TI 
han sido aprobados por el CDTSI en el marco del 
plan de trabajo global sobre TIC.  APLICADA  La recomendación se 
aplicó y se cerró.  
15: Controles de seguridad de la TI : ITSC-04 - Marco de 
control de la división de funciones  
La unidad de sistemas administrativos y la función de 
seguridad de la TI de la OMC deberían:  
1. Definir un marco para la división de funciones, 
teniendo en cuenta que los requisitos de seguridad deben 
ajustarse a los recursos disponibles (por ejemplo, a una 
persona de apoyo para una función específica se le deben 
atribuir los derechos de acceso adecuados para realizar 
operaciones de apoyo).  
2. Definir un procedimiento p ara gestionar las 
excepciones al marco de división de funciones . Este 
procedimiento debería incluir la documentación formal de 
los desvíos del marco de división de funciones y la 
aprobación formal del supervisor del usuario.  
3. Examinar la configuración/pe rsonalización actual de las 
funciones y responsabilidades del software  de 
planificación de recursos institucionales (ERP) (es decir, 
las funciones/accesos de Oracle) sobre la base del marco 
de división de funciones para que no se otorguen 
derechos incompat ibles a los empleados sin la aprobación 
previa del supervisor del usuario.  Media  Primer 
trimestre 
de 2019 La división de funciones en el marco de la ERP 
(en Oracle) es una cuestión que abordarán la  DRH, 
la AGSD y la DSTI en función del resultado de la 
auditoría de la seguridad del sistema ERP.  PENDIENTE  Esta recomendación se 
aplicará una vez evaluada 
la seguridad del sistema 
ERP (OSI).    
  WT/BFA/W/586  
- 7 - 
 
C) VACACIONES EN EL PAÍS DE ORIGEN  
Recomendación de auditoría  Prioridad  Plazo 
inicial  Estado de la aplicación comunicado por la 
División encargada de la aplicación  Estado de la 
aplicación  Observaciones de la OSI  
1. Hay que buscar un equilibrio correcto entre la 
necesidad de alentar el uso de la opción de la suma global 
y la necesidad de utilizar los recursos de forma racional 
a fin de lograr economías, eficiencia y eficacia en el 
proceso.  
En consecuencia, la OSI invita al Director de la División 
de Recursos Humanos a que supervise atentamente los 
costos y los beneficios para la OMC de la opción de la 
suma global, teniendo en cuenta el nivel de los incentivos 
en efectivo ofrecidos a los funcionarios mediante la opción 
de la suma global ; y a que adopte los ajustes necesarios 
cuando el resultado se considere excesivo.  Media  Tercer 
trimestre 
de 2018 La metodología utilizada por la OMC (y varias otras 
organizaciones internacionales con sede en 
Ginebra) para calcular la suma global en concepto 
de vacaciones en el país de origen se basaba en la 
"tarifa completa en clase económica " publicada por 
la Asociación de Transporte Aéreo Internacional 
(IATA) en el sistema Galileo . La IATA decidió 
abandonar esas tarifas en octubre de 2018. P or lo 
tanto, las tarifas no se actualizan en Galileo desde 
el 1 de noviembre de 2018. 
Cinco organizaci ones internacionales establecieron 
un Grupo de Trabajo encargado de proponer una 
nueva metodología . El Grupo de Trabajo, 
respaldado por Carlson Wagonlit en calidad de 
consultor, presentó sus conclusiones en octubre 
de 2018. 
El personal directivo superior d e la OMC optó por la 
metodología empleada por las Naciones Unidas 
para calcular las sumas globales y decidió recopilar 
todas las políticas de viajes en una sola política de 
viajes revisada . Esta labor finalizó en febrero 
de 2021, y el 2 de marzo de ese mis mo año se 
envió el proyecto de Memorándum Administrativo 
al Comité Consultivo Mixto (CCM) para que lo 
examinara y prestara a la Directora General 
asesoramiento al respecto.  EN CURSO  La recomendación seguirá 
en curso hasta que el 
Memorándum 
Administrativo, en el que 
se detalla la política de 
viajes revisada, que 
incluye la nueva 
metodología de cálculo de 
las sumas globales, sea 
examinado por el  CCM, 
aprobado por la Directora 
General y publicado.  
 
__________