INFORMES DE AUDITORIA DE SISTEMAS COMPUTACIONALES

El procedimiento para elaborar dicho informe se compone de:

Características del informe de auditoría de sistemas computacionales: En la redacción del informe, el auditor señala los resultados de su investigación, sus evaluaciones, hallazgos, aportaciones y conclusiones sobre el trabajo realizado, también señala las técnicas, herramientas, métodos y procedimientos que utilizo en la obtención de datos, las observaciones, interpretaciones de los fenómenos y hechos evaluados que le sirvieron de sustento en la elaboración del documento de situaciones encontradas o relevantes que informa, así como todas las demás aportaciones con las cuales da su sello personal al informe presentado.

Características fundamentales: Se pueden identificar dos características fundamentales en los informes de auditoría de sistemas, las cuales siempre se refieren al contenido del informe y a la forma de presentarlo, dichas características son las siguientes:

1. Características de fondo: se refiere al cuidado que debe tener el auditor de sistemas al revisar que el contenido total del dictamen de auditoria sea acorde con lo que realmente tiene que señalar acerca de la revisión efectuada.
2.  Características de forma: Se refiere a la manera en que el auditor debe presentar el informe, en cuanto al estilo de redacción, el contenido en partes, apartados, apéndices, tipo y tamaño de las hojas y el tipo de letra; también en lo relativo a la forma de utilizar la redacción, ortografía, sintaxis, gramática y demás componentes del lenguaje, y en sí de todo lo relacionado con la presentación del documento.
3. Características de la presentación del informe: se deberá toma en cuenta las características siguientes para la buena presentación de dicho informe:

•   Claridad
•   Confiabilidad
•   Exactitud
•   Imparcialidad
•   Objetividad
•   Familiaridad
•   Congruencia
•   Efectividad
•  Oportunidad
•   Precisión
•   Sintaxis 

Metodologia de Auditoria de Sistemas

METODOLOGIAS DE AUDITORIA DE SISTEMAS

Existen algunas metodologías de Auditorias de Sistemas y todas dependen de lo que se pretenda revisar o analizar, pero como estándar analizaremos las cuatro fases básicas de un proceso de revisión:

•         Estudio preliminar
•         Revisión y evaluación de controles y seguridades.
•        Examen detallado de áreas criticas
•    Comunicación de resultados

Estudio Preliminar: incluye definir el grupo de trabajo, el Programa de Auditoria, efectuar visitas a la unidad informática para conocer detalles de la misma, elaborar un cuestionario para la obtención de información para evaluar preliminarmente el control interno, solicitud de plan de actividades, Manuales de políticas, reglamentos.

Revisión y Evaluación de Controles y seguridades: consiste de la revisión de los diagramas de flujo de procesos, realización de pruebas de cumplimiento de las seguridades, revisión de aplicaciones de las áreas críticas, revisión de procesos históricos (backups), revisión de documentación y archivos entre otras actividades.

Examen detallado de áreas críticas: con las fases anteriores el auditor descubre las áreas críticas y sobre ellas hace un estudio y análisis profundo en los que definirá concretamente su grupo de trabajo y la distribución de carga del mismo, establecerá los motivos, objetivos, alcance recursos que usara, definirá la metodología de trabajo, la duración de la Auditoria, Presentara el plan de trabajo y analizara detalladamente cada problema encontrado.

Comunicación de Resultado: Se elaborad el borrador del informe a ser discutido con los ejecutivos de la empresa hasta llegar al informe definitivo, el cual presentara esquemáticamente en forma de matriz, cuadros o redacción simple y concisa que destaque los problemas encontrados, los efectos y las recomendaciones de la Auditoria.

El informe debe contener lo siguiente:

•     Motivos de la Auditoria
•     Objetivos
•         Alcance
•         Estructura Orgánico-funcional del área informática
•         Configuración del Hardware y Software instalado
•         Control Interno
•         Resultados de la Auditoria.

Proceso de Auditoria de Sistemas

PROCESO DE AUDITORIA DE SISTEMAS

Se trata de llevar a cabo una auditoria de sistemas requiere una serie ordenada de acciones y procedimientos específicos, los cuales deberán ser diseñados previamente de manera secuencial, cronológica y ordenada, de acuerdo a las etapas, eventos y actividades que se requieran para su ejecución.

Etapas de la Auditoria de Sistemas:

Etapa 1: planeación de la Auditoria de Sistemas:

1. -         Identificar el origen de la auditoria.
2. -          Realizar una visita preliminar al área que será evaluada.
3. -          Establecer los objetivos de la auditoria.
4. -          Determinar los puntos que serán evaluados en la auditoria.
5. -          Elaborar planes, programas y presupuestos para realizar la auditoria.
6. -          Identificar y seleccionar métodos, herramientas e instrumentos necesarios.
7. -          Asignar los recursos y sistemas computacionales para la auditoria.

Etapa 2: Ejecución de la Auditoria de Sistemas:

1.            Realizar las acciones programadas para la auditoria.
2.            Aplicar los instrumentos y herramientas para la auditoria.
3.            Identificar y elaborar los documentos de oportunidades de mejoramiento.
4.            Elaborar el dictamen preliminar y presentarlo a discusión.
5.            Integrar el legajo de papeles de trabajo de la auditoria.

Etapa 3: Dictamen de la Auditoria de Sistemas: 

1.    Analizar la información y elaborar un informe de situaciones detectadas.
2.    Elaborar el dictamen final.
3.    Presentar el informe de auditoría.

Razones para realizar una Auditoria de Sistemas:

Contrastar algún informe interno con el que resulte del externo, en aquellos supuestos de emisión interna de graves recomendaciones que chocan con la opinión generalizada de la propia empresa.

Servir como mecanismo protector de posibles auditorias informáticas externas decretadas por la misma empresa.

Perfil de Auditor de Sistemas

PERFIL DEL AUDITOR DE SISTEMAS

Se debe poseer una mezcla de conocimientos de auditoría financiera y de informática en general:

1. Especialización en función de la importancia económica que tiene distintos componentes  financieros dentro del entorno empresarial.
2. Debe conocer técnicas de administración de empresas y de cambio ya que las recomendaciones y soluciones que aporte deben estar alineadas a los objetivos de la empresa y a los recursos que se poseen.
3.  El auditor debe tener un enfoque de calidad total, lo cual hará que sus conclusiones y trabajo sean reconocidos como un elemento valioso dentro de la empresa.
4. Desarrollo de SI (administración de proyectos, ciclo de vida de desarrollo)
5. Administración del departamento de informática
6. Análisis de riesgos en un entorno informático
7. Sistemas operativos
8. Telecomunicaciones
9. Administración de base de datos
10. Redes locales
11. Seguridad física
12. Operación y planificación informática
13.  Administración de seguridad de los sistemas (planes de contingencias)
14. Administración del cambio
15. Administración de datos
16. Automatización de oficinas (ofimática)
17. Comercio electrónico. 

CARACTERÍSTICAS DEL AUDITOR DE SISTEMAS

Debe poseer además de conocimientos de normativas metodologías, estándares y legislación vigente.

-          Normativas y estándares de seguridad TI, normas ISO, COBIT
-          Técnica o metodología de auditoria informática
-          Regulación legal
-          Metodologías de análisis de riesgo
-          Mejoras practicas ITIL
-          Conocimientos propios del sector
  

HABILIDADES DEL AUDITOR DE SISTEMAS

Con respecto a las habilidades se consideran los siguientes:

Competencia social:

-      Trabajo en equipo: capacidad para desempeñar un rol dentro de un equipo de trabajo, con responsabilidad y cooperación.

-     Comunicación: capacidad de informar, recibir información y trasmitir una idea claramente, tanto a nivel escribo como verbal.

-         Resolución de problemas: análisis y toma de decisiones en situaciones no resueltas.

Competencia de apoyo al crecimiento:

-          Análisis: Capacidad de ver diferentes partes o aspectos de una misma información.

-          Síntesis: capacidad de llegar a una conclusión tras análisis de una serie de datos.

Competencia Personal:

-   Inteligencia emocional: aptitudes para controlar las emociones dentro de las relaciones sociales.

-          Integridad: coherencia en las actitudes e ideas trasmitidas.

-        Motivación: auto-motivación para desempeñar un trabajo con responsabilidad y entusiasmo.

PRINCIPIOS ÉTICOS DEL AUDITOR DE SISTEMAS:

-          Principio de calidad

-          Principio de capacidad

-          Principio de comportamiento profesional

-          Principio de confianza

-          Principio de criterio propio

-          Principio de legalidad

-          Principio de secreto profesional

-          Principio de veracidad

-          Principio de información suficiente

-          Principio de cautela

Estándares de Control Interno

ESTANDARES DE CONTROL INTERNO INFORMÁTICO

El Control Interno Informático puede definirse como el sistema integrado al proceso administrativo, en la planeación, organización, dirección y control de las operaciones con el objeto de asegurar la protección de todos los recursos informáticos y mejorar los índices de economía, eficiencia y efectividad de los procesos operativos automatizados.

El Informe COSO define el Control Interno como “Las normas, los procedimientos, las prácticas y las estructuras organizativas diseñadas para proporcionar seguridad razonable de que los objetivos de la empresa se alcanzarán y que los eventos no deseados se preverán, se detectarán y se corregirán.

En el ambiente informático, el control interno se materializa fundamentalmente en controles de dos tipos:

     Controles manuales; aquellos que son ejecutados por el personal del área usuaria o de informática sin la utilización de herramientas computacionales.

  Controles Automáticos; son generalmente los incorporados en el software, llámense estos de operación, de comunicación, de gestión de base de datos, programas de aplicación, etc.

Los controles según su finalidad se clasifican en:

·         Controles Preventivos, para tratar de evitar la producción de errores o hechos fraudulentos, como por ejemplo el software de seguridad que evita el acceso a personal no autorizado.

·         Controles Detectivos; trata de descubrir a posteriores errores o fraudes que no haya sido posible evitarlos con controles preventivos.

·         Controles Correctivos; tratan de asegurar que se subsanen todos los errores identificados mediante los controles detectivos.

               Objetivos principales:

•   Controlar que todas las actividades se realizan cumpliendo los procedimientos y normas fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales.
•      Asesorar sobre el conocimiento de las normas.
•            Colaborar y apoyar el trabajo de Auditoría Informática interna/externa.
•        Definir, implantar y ejecutar mecanismos y controles para comprobar el grado de cumplimiento de los servicios informáticos.
•         Realizar en los diferentes sistemas y entornos informáticos el control de las diferentes actividades que se realizan.

El Control Interno Informático es una función del departamento de Informática de una organización, cuyo objetivo es el de controlar que todas las actividades relacionadas a los sistemas de información automatizados se realicen cumpliendo las normas, estándares, procedimientos y disposiciones legales establecidas interna y externamente.

Entre sus funciones específicas están:

v  Difundir y controlar el cumplimiento de las normas, estándares y procedimientos al personal de programadores, técnicos y operadores.

v  Diseñar la estructura del Sistema de Control Interno de la Dirección de Informática en los siguientes aspectos:

• Desarrollo y mantenimiento del software de aplicación.

• Explotación de servidores principales.

• Software de Base.

• Redes de Computación.

• Seguridad Informática.

• Licencias de software.

• Relaciones contractuales con terceros.

• Cultura de riesgo informático en la organización.

                                        

Clasificación de los tipos de Auditoria y Estandares

Clasificación de los tipos de auditoria

Auditorias por su lugar de aplicación

• Auditoria externa

• Auditoria interna

Auditorias por su área de aplicación

• Auditoria financiera

• Auditoría administrativa

• Auditoría operacional

• Auditoría integral

• Auditoría gubernamental

• Auditoría de sistemas

Auditorías especializadas en áreas específicas

• Auditoría al área médica (evaluación médico-sanitaria)

• Auditoría al desarrollo de obras y construcciones (evaluación de ingeniería)

• Auditoría fiscal

• Auditoría laboral

• Auditoría de proyectos de inversión

• Auditoría a la caja chica o caja mayor (arqueos)

• Auditoría al manejo de mercancías (inventarios)

• Auditoría ambiental

• Auditoría de sistemas

Auditoría de sistemas computacionales

• Auditoría informática

• Auditoría con la computadora

• Auditoría sin la computadora

• Auditoría a la gestión informática

• Auditoría al sistema de cómputo

• Auditoría alrededor de la computadora

• Auditoría de la seguridad de sistemas computacionales

• Auditoría a los sistemas de redes

• Auditoría integral a los centros de cómputo

12 Auditoría en sistemas computacionales

• Auditoría ISO-9000 a los sistemas computacionales

• Auditoría outsourcing

• Auditoría ergonómica de sistemas computacionales

ESTANDARES DE AUDITORIA

La función de auditoría continúa proporcionando servicios de aseguramiento tanto a clientes internos como externos. Dado que la tecnología impacta la forma de hacer negocios, debe haber formas efectivas y sencillas para llevar a cabo la evaluación de los controles que deben existir para garantizar dicho servicio.

Se hacen uso de una serie de estándares que guían el desarrollo de proyectos de TI, entre ellos se pueden mencionar:

•    Directrices Gerenciales de COBIT, desarrollado por la Information Systems Audit and Control Association (ISACA)

•   The Management of the Control of data Information Technology, desarrollado por el Instituto Canadiense de Contadores Certificados (CICA)

•     Administración de la inversión de tecnología de Inversión: un marco para la evaluación y  mejora del proceso de madurez, desarrollado por la oficina de Contabilidad General de los Estados Unidos (GAO)

•   Los estándares de administración de calidad y aseguramiento de calidad ISO 9000, desarrollados por la Organización Internacional de Estándares (ISO).

•    SysTrust – Principios y criterios de confiabilidad de Sistemas, desarrollados por la Asociación de Contadores Públicos (AICPA) y el CICA

•    El Modelo de Evolución de Capacidades de software (CMM), desarrollado por el Instituto de Ingeniería de Software (SEI)

•     Administración de sistemas de información: Una herramienta de evaluación práctica, desarrollado por la Directiva de Recursos de Tecnología de Información.

•     Guía para el cuerpo de conocimientos de administración de proyectos, desarrollado por el comité de estándares del instituto de administración de proyectos.

•     Ingeniería de seguridad de sistemas – Modelo de madurez de capacidades (SSE – CMM), desarrollado por la agencia de seguridad Nacional (NSA) con el apoyo de la Universidad de Carnegie Mellon.

•     Administración de seguridad de información: Aprendiendo de organizaciones líderes, desarrollado por la Oficina de Contabilidad General de los Estados Unidos (GAO).

Base de Datos

BASE DE DATOS

Sistema de Base de datos: Es un sistema computarizado cuya finalidad es almacenar información y permitir a los usuarios recuperar y actualizar esta información.

Componentes del Sistema de Base de Datos:

1.    Dato

2.    Usuarios

3.    Hardware

4.    software

Dato: Es un atributo o característica de una entidad que puede ser procesado.

Base de Datos: Una colección coherente de datos relacionados.

Sistema Gestor de Base de Datos: (SGBD) (DBMS) Software que facilita la creación, administración y mantenimiento de base de datos.

Objetivos y Ventajas de los SGBD:

-          Control sobre la redundancia de datos y la consistencia de datos.

-        Disminuir la dificultad para acceder a los datos. Más información sobre la misma cantidad  de datos.

-           Disminuir aislamiento de datos

-           Los datos de diferentes aplicaciones integrados en la misma Base de Datos.

Inconvenientes de los SGBD:

Complejidad: comprender la funcionalidad para poder sacar el mejor provecho del sistema

Tamaño: Programas complejos y muy extensos que requieren una gran cantidad de espacio en disco y de memoria para trabajar de forma eficiente.

Coste Económico del SGBD: El coste de un SGBD varía dependiendo del entorno y de la funcionalidad  que ofrece.