CONCEPTOS DE
AUDITORIA DE SISTEMAS DE LA INFORMACION
PROCEDIMIENTOS
Y TECNICAS DE AUDITORIA.
Se requieren
varios pasos para realizar una auditoría. El
auditor de sistemas debe evaluar los riesgos
globales y luego desarrollar un programa de
auditoría que consta de objetivos de control
y procedimientos de auditoría que deben
satisfacer esos objetivos. El proceso de
auditoría exige que el auditor de sistemas
reúna evidencia, evalúe fortalezas y
debilidades de los controles existentes
basado en la evidencia recopilada, y que
prepare un informe de auditoría que presente
esos temas en forma objetiva a la gerencia.
Asimismo, la gerencia de auditoría debe
garantizar una disponibilidad y asignación
adecuada de recursos para realizar el trabajo
de auditoría además de las revisiones de
seguimiento sobre las acciones correctivas
emprendidas por la gerencia.
Planificación
de la auditoría
Una
planificación adecuada es el primer paso
necesario para realizar auditorías de
sistema eficaces. El auditor de sistemas debe
comprender el ambiente del negocio en el que
se ha de realizar la auditoría así como los
riesgos del negocio y control asociado. A
continuación se menciona algunas de las áreas
que deben ser cubiertas durante la
planificación de la auditoría:
- Comprensión
del negocio y de su ambiente.
Al
planificar una auditoría, el auditor de
sistemas debe tener una comprensión de
suficiente del ambiente total que se
revisa. Debe incluir una comprensión
general de las diversas prácticas
comerciales y funciones relacionadas con
el tema de la auditoría, así como los
tipos de sistemas que se utilizan. El
auditor de sistemas también debe
comprender el ambiente normativo en el
que opera el negocio. Por ejemplo, a un
banco se le exigirá requisitos de
integridad de sistemas de información y
de control que no están presentes en una
empresa manufacturera. Los pasos que
puede llevar a cabo un auditor de
sistemas para obtener una comprensión
del negocio son: Recorrer las
instalaciones del ente. Lectura de
material sobre antecedentes que incluyan
publicaciones sobre esa industria,
memorias e informes financieros.
Entrevistas a gerentes claves para
comprender los temas comerciales
esenciales. Estudio de los informes sobre
normas o reglamentos. Revisión de planes
estratégicos a largo plazo. Revisión de
informes de auditorías anteriores.
- Riesgo
y materialidad de auditoría.
Se puede
definir los riesgos de auditoría como
aquellos riesgos de que la información
pueda tener errores materiales o que el
auditor de sistemas no pueda detectar un
error que ha ocurrido. Los riesgos en
auditoría pueden clasificarse de la
siguiente manera: Riesgo inherente:
Cuando un error material no se puede
evitar que suceda por que no existen
controles compensatorios relacionados que
se puedan establecer. Riesgo de Control:
Cuando un error material no puede ser
evitado o detectado en forma oportuna por
el sistema de control interno. Riesgo de
detección: Es el riesgo de que el
auditor realice pruebas exitosas a partir
de un procedimiento inadecuado. El
auditor puede llegar a la conclusión de
que no existen errores materiales cuando
en realidad los hay. La palabra "material"
utilizada con cada uno de estos
componentes o riesgos, se refiere a un
error que debe considerarse significativo
cuando se lleva a cabo una auditoría. En
una auditoría de sistemas de información,
la definición de riesgos materiales
depende del tamaño o importancia del
ente auditado así como de otros factores.
El auditor de sistemas debe tener una
cabal comprensión de estos riesgos de
auditoría al planificar. Una auditoría
tal vez no detecte cada uno de los
potenciales errores en un universo. Pero,
si el tamaño de la muestra es lo
suficientemente grande, o se utiliza
procedimientos estadísticos adecuados se
llega a minimizar la probabilidad del
riesgo de detección. De manera similar
al evaluar los controles internos, el
auditor de sistemas debe percibir que en
un sistema dado se puede detectar un
error mínimo, pero ese error combinado
con otros, puede convertiré en un error
material para todo el sistema. La
materialidad en la auditoría de sistemas
debe ser considerada en términos del
impacto potencial total para el ente en
lugar de alguna medida basado en lo
monetario.
- Técnicas
de evaluación de Riesgos.
Al
determinar que áreas funcionales o temas
de auditoría que deben auditarse, el
auditor de sistemas puede enfrentarse
ante una gran variedad de temas
candidatos a la auditoría, el auditor de
sistemas debe evaluar esos riesgos y
determinar cuales de esas áreas de alto
riesgo debe ser auditada. Existen cuatro
motivos por los que se utiliza la
evaluación de riesgos, estos son:
Permitir que la gerencia asigne recursos
necesarios para la auditoría. Garantizar
que se ha obtenido la información
pertinente de todos los niveles
gerenciales, y garantiza que las
actividades de la función de auditoría
se dirigen correctamente a las áreas de
alto riesgo y constituyen un valor
agregado para la gerencia. Constituir la
base para la organización de la auditoría
a fin de administrar eficazmente el
departamento. Proveer un resumen que
describa como el tema individual de
auditoría se relaciona con la organización
global de la empresa así como los planes
del negocio.
- Objetivos
de controles y objetivos de auditoría.
El
objetivo de un control es anular un
riesgo siguiendo alguna metodología, el
objetivo de auditoría es verificar la
existencia de estos controles y que estén
funcionando de manera eficaz, respetando
las políticas de la empresa y los
objetivos de la empresa. Así pues
tenemos por ejemplo como objetivos de
auditoría de sistemas los siguientes: La
información de los sistemas de información
deberá estar resguardada de acceso
incorrecto y se debe mantener actualizada.
Cada una de las transacciones que ocurren
en los sistemas es autorizada y es
ingresada una sola vez. Los cambios a los
programas deben ser debidamente aprobados
y probados. Los objetivos de auditoría
se consiguen mediante los procedimientos
de auditoría.
- Procedimientos
de auditoría.
Algunos
ejemplos de procedimientos de auditoría
son: Revisión de la documentación de
sistemas e identificación de los
controles existentes. Entrevistas con los
especialistas técnicos a fin de conocer
las técnicas y controles aplicados.
Utilización de software de manejo de
base de datos para examinar el contenido
de los archivos de datos. Técnicas de
diagramas de flujo para documentar
aplicaciones automatizadas.
Desarrollo
del programa de auditoría.
Un programa
de auditoría es un conjunto documentado de
procedimientos diseñados para alcanzar los
objetivos de auditoría planificados. El
esquema típico de un programa de auditoría
incluye lo siguiente:
- Tema
de auditoría: Donde se
identifica el área a ser auditada.
- Objetivos
de Auditoría: Donde se
indica el propósito del trabajo de
auditoría a realizar.
- Alcances
de auditoría: Aquí se
identifica los sistemas específicos
o unidades de organización que se
han de incluir en la revisión en un
período de tiempo determinado.
- Planificación
previa: Donde se
identifica los recursos y destrezas
que se necesitan para realizar el
trabajo así como las fuentes de
información para pruebas o revisión
y lugares físicos o instalaciones
donde se va auditar.
- Procedimientos
de auditoría: para:
- Recopilación
de datos.
- Identificación
de lista de personas a
entrevistar.
- Identificación
y seleccion del enfoque del
trabajo
- Identificación
y obtención de políticas,
normas y directivas.
- Desarrollo
de herramientas y metodología
para probar y verificar los
controles existentes.
- Procedimientos
para evaluar los resultados de
las pruebas y revisiones.
- Procedimientos
de comunicación con la gerencia.
- Procedimientos
de seguimiento.
El programa
de auditoría se convierte también en una guía
para documentar los diversos pasos de auditoría
y para señalar la ubicación del material de
evidencia. Generalmente tiene la siguiente
estructura:
Procedimientos
de
Auditoría
|
Lugar
|
Papeles Trabaj.
Referencia
|
Hecho
Por. Fecha
|
| |
|
|
|
|
| |
|
|
|
|
Los
procedimientos involucran pruebas de
cumplimiento o pruebas sustantivas, las de
cumplimiento se hacen para verificar que los
controles funcionan de acuerdo a las políticas
y procedimientos establecidos y las pruebas
sustantivas verifican si los controles
establecidos por las políticas o
procedimientos son eficaces.
Asignación
de Recursos de auditoría.
La asignación
de recursos para el trabajo de auditoría
debe considerar las técnicas de administración
de proyectos las cuales tienen los siguientes
pasos básicos: Desarrollar un plan detallado:
El plan debe precisar los pasos a seguir para
cada tarea y estimar de manera realista, el
tiempo teniendo en cuenta el personal
disponible. Contrastar la actividad actual
con la actividad planificada en el proyecto:
debe existir algún mecanismo que permita
comparar el progreso real con lo planificado.
Generalmente se utilizan las hojas de control
de tiempo. Ajustar el plan y tomar las
acciones correctivas: si al comparar el
avance con lo proyectado se determina avances
o retrasos, se debe reasignar tareas. El
control se puede llevar en un diagrama de
Gantt
Así mismo
las hojas de control de tiempo son
generalmente como sigue:
Los recursos
deben comprender también las habilidades con
las que cuenta el grupo de trabajo de auditoría
y el entrenamiento y experiencia que estos
tengan. Tener en cuenta la disponibilidad del
personal para la realización del trabajo de
auditoría, como los períodos de vacaciones
que estos tengan, otros trabajos que estén
realizando, etc.
Técnicas
de recopilación de evidencias.
La recopilación
de material de evidencia es un paso clave en
el proceso de la auditoría, el auditor de
sistemas debe tener conocimiento de cómo
puede recopilar la evidencia examinada.
Algunas formas son las siguientes:
- Revisión
de las estructuras organizacionales
de sistemas de información.
- Revisión
de documentos que inician el
desarrollo del sistema,
especificaciones de diseño funcional,
historia de cambios a programas ,manuales
de usuario, especificaciones de bases
de datos, arquitectura de archivos de
datos, listados de programas, etc.;
estos no necesariamente se encontrarán
en documentos, si no en medios magnéticos
para lo cual el auditor deberá
conocer las formas de recopilarlos
mediante el uso del computador.
- Entrevistas
con el personal apropiado, las cuales
deben tener una naturaleza de
descubrimiento no de acusatoria.
- Observación
de operaciones y actuación de
empleados, esta es una técnica
importante para varios tipos de
revisiones, para esto se debe
documentar con el suficiente grado de
detalle como para presentarlo como
evidencia de auditoría.
- Auto
documentación, es decir el auditor
puede preparar narrativas en base a
su observación, flujogramas,
cuestionarios de entrevistas
realizados. Aplicación de técnicas
de muestreo para saber cuando aplicar
un tipo adecuado de pruebas (de
cumplimiento o sustantivas) por
muestras.
- Utilización
de técnicas de auditoría asistida
por computador CAAT, consiste en el
uso de software genérico,
especializado o utilitario.
Evaluación
de fortalezas y debilidades de auditoría.
Luego de
desarrollar el programa de auditoría y
recopilar evidencia de auditoría, el
siguiente paso es evaluar la información
recopilada con la finalidad de desarrollar
una opinión. Para esto generalmente se
utiliza una matriz de control con la que se
evaluará el nivel de los controles
identificados, esta matriz tiene sobre el eje
vertical los tipos de errores que pueden
presentarse en el área y un eje horizontal
los controles conocidos para detectar o
corregir los errores, luego se establece un
puntaje (puede ser de 1 a 10 ó 0 a 20, la
idea es que cuantifique calidad) para cada
correspondencia, una vez completada, la
matriz muestra las áreas en que los
controles no existen o son débiles,
obviamente el auditor debe tener el
suficiente criterio para juzgar cuando no lo
hay si es necesario el control. Por ejemplo:
En esta parte
de evaluación de debilidades y fortalezas
también se debe elegir o determinar la
materialidad de las observaciones o hallazgos
de auditoría. El auditor de sistemas debe
juzgar cuales observaciones son materiales a
diversos niveles de la gerencia y se debe
informar de acuerdo a ello.
Informe
de auditoría.
Los informes
de auditoría son el producto final del
trabajo del auditor de sistemas, este informe
es utilizado para indicar las observaciones y
recomendaciones a la gerencia, aquí también
se expone la opinión sobre lo adecuado o lo
inadecuado de los controles o procedimientos
revisados durante la auditoría, no existe un
formato específico para exponer un informe
de auditoría de sistemas de información,
pero generalmente tiene la siguiente
estructura o contenido:
- Introducción
al informe, donde se expresara los
objetivos de la auditoría, el período
o alcance cubierto por la misma, y
una expresión general sobre la
naturaleza o extensión de los
procedimientos de auditoría
realizados.
- Observaciones
detalladas y recomendaciones de
auditoría.
- Respuestas
de la gerencia a las observaciones
con respecto a las acciones
correctivas.
- Conclusión
global del auditor expresando una
opinión sobre los controles y
procedimientos revisados.
Seguimiento
de las observaciones de auditoría.
El trabajo de
auditoría es un proceso continuo, se debe
entender que no serviría de nada el trabajo
de auditoría si no se comprueba que las
acciones correctivas tomadas por la gerencia,
se están realizando, para esto se debe tener
un programa de seguimiento, la oportunidad de
seguimiento dependerá del carácter crítico
de las observaciones de auditoría. El nivel
de revisión de seguimiento del auditor de
sistemas dependerá de diversos factores, en
algunos casos el auditor de sistemas tal vez
solo necesite inquirir sobre la situación
actual, en otros casos tendrá que hacer una
revisión más técnica del sistema.
|