Revisión de
los controles generales.
El objetivo
de esta revisión es analizar y evaluar la
estructura organizacional, las políticas,
los procedimientos operativos, el control de
costos, El uso de los recursos materiales y técnicos
del departamento encargado de los sistemas de
información dentro de la empresa. Es decir
evaluar la administración de la función de
sistemas de la empresa. Para conseguirlo, el
equipo de auditoría realiza lo siguiente:
- Revisión
de documentación:
- Organigramas,
diagramas de funciones. Los
organigramas o diagramas de funciones,
le brindan al auditor de sistemas una
clara comprensión de las líneas de
comunicación jerárquicas de un
departamento u organización como un
todo. Muestran una división de
funciones. Perfiles de personal. Los
perfiles de personal definen las
funciones y responsabilidades de las
diversas tareas de una organización,
también brindan a la organización
la capacidad de agrupar tareas
similares en diferentes niveles de
puestos para garantizar la remuneración
justa para su personal.
- Informes
del comité de sistemas. Los informes
del comité de sistemas brindan
información documentada acerca de
los proyectos de nuevos sistemas.
Estos informes son revisados por la
gerencia de nivel superior y
distribuido entre las diversas
unidades funcionales de la empresa.
- Política
de seguridad. La documentación de la
política de seguridad da un estándar
de cumplimiento, esta debe definir la
posición de la organización en
cuanto a cualquiera y todos los
riesgos de seguridad. Debe
identificar quien es el responsable
de la salvaguarda de los bienes de la
empresa, incluyendo programas y datos.
Así mismo, debe expresar las medidas
preventivas que han de realizarse
para dar una protección adecuada y
las acciones que han de emprenderse
contra quienes la violen.
- Manuales
de Políticas de personal. Los
manuales de políticas de personal
dan las reglas y reglamentaciones
determinadas por la organización
sobre como se espera que se comporten
los empleados.
- Objetivos
a Corto y Largo Plazo. Planes de
trabajo a corto y largo plazo
reflejan estos objetivos de
departamento, los cuales deberán
estar de acuerdo con las necesidades
de los usuarios y debidamente
autorizados.
- Entrevistas
al Personal:
- Personal
relacionado a las operaciones del
centro de cómputo. La realización
de entrevistas al personal de
operaciones del centro de cómputo
debe incorporar garantías adecuadas
de que el candidato tiene las
destrezas técnicas necesarias para
realizar sus tareas. Este es un
importante factor que contribuye a
una operación eficaz y eficiente.
- Personal
usuario. La realización de
entrevistas al personal usuario debe
también incorporar garantías
adecuadas de que el candidato tiene
las destrezas técnicas necesarias
para realizar eficazmente la función
específica de sus tareas.
- Otro
personal pertinente. El Auditor a su
criterio decidirá si es conveniente
entrevistarse con otro personal que
tiene relación con el sistema y este
deberá cumplir con los estándares
de la empresa y tendrá el mismo
nivel de lealtad y confianza.
- observación
de personal realizando sus tareas:
- Permite
ver: Funciones Reales. La observación
es el mejor método para garantizar
que la persona que esta asignada y
autorizada a realizar determinada
función es la persona que en
realidad esta cumpliendo la tarea.
Permite que el auditor de sistemas
tenga oportunidad de ser testigo de cómo
se comprenden y aplican las políticas
y procedimientos.
- Percepción
de la seguridad. La percepción de
seguridad debe ser observada para
comprobar la comprensión y práctica
de buenas medidas de seguridad
preventiva y de detección por parte
de la persona observada a fin de
salvaguardar los bienes y datos de la
empresa.
- Relaciones
de comunicación jerárquica. Deben
observarse las relaciones de quien
reporta a quien a fin de asegurarse
de que se ponen en práctica las
responsabilidades asignadas y una
adecuada segregación de tareas.
- Señales
de peligro de auditoría:
Si bien
existen innumerables condiciones de
incumbencia para el auditor de sistemas,
algunos de los indicadores más
significativos de problemas potenciales
son:
- Actitudes
desfavorables de los usuarios
finales.
- Costos
excesivos.
- Exceso
al presupuesto.
- Alta
rotación de personal.
- Frecuentes
errores de los computadores.
- Atraso
excesivo de solicitudes de
usuarios no satisfechas.
- Elevado
tiempo de respuesta del
computador.
- Numerosos
proyectos de desarrollo abortados
o suspendidos.
- Compras
de Hardware y Software sin
respaldo o autorización.
- Cambios
frecuentes a versiones superiores
de Hardware y Software.
- Información
que solicita el auditor:
El
auditor Para evaluar los controles
generales solicita lo siguiente:
A nivel
organizacional.
- Objetivos
del Departamento a corto y largo
Plazo.
- Manual
de la organización.
- Antecedentes
o historia de la empresa.
- Políticas
generales.
A nivel
del área informática.
- Objetivos
a corto y largo plazo.
- Manual
de organización que incluya
puestos, funciones y jerarquías.
- Manual
de políticas, reglamentos y
lineamientos internos.
- Procedimientos
administrativos del área.
- Presupuestos
y costos en el área.
- Recursos
materiales y técnicos.
- Solicitar
un inventario actualizado de
equipos, que incluya: características,
fecha de instalación, ubicación,
etc. Contratos vigentes de compra,
renta y servicios de
mantenimiento.
- Contrato
de seguros.
- Convenios
con otras instalaciones.
- Configuraciones
de equipos.
- Planes
de expansión.
- Políticas
de uso y operación de equipos.
|