METODOLOGIA DE AUDITORIA EN SISTEMAS

METODOLOGÍA PARA REALIZAR AUDITORIAS DE SISTEMAS

Se pueden desarrollar una serie de actividades y técnicas que nos pueden ayudar a realizar la auditoria de información:

Inventario físico

Es el proceso de identificación y categorización de los recursos de información de una forma sistemática. De esta forma, se proporciona una fotografía de lo que la organización posee en términos de recursos de información en un momento determinado.

Masificación de la información (Infomap). Constituye una forma gráfica de representar los recursos de información que hay en la organización y las interrelaciones entre éstos. El mapa de recursos indica hasta qué punto los recursos de información son básicos, de qué modo se encuentran posicionados (geográficamente, departamentalmente, desde un punto de vista técnico), cómo interactúan, quién los utiliza, quién es el responsable, etc.

Análisis de las necesidades de información.

Tiene como finalidad principal determinar qué información requieren los empleados y la dirección de la organización para desarrollar sus papeles y alcanzar los objetivos. Gráficos de procesos y flujos de trabajo. Los gráficos de procesos junto con los flujos de trabajo pueden constituir una buena herramienta de trabajo en el ámbito de las auditorias de la información.

Procesos de control y verificación.

 En una auditoria de la información, se deben establecer también los procesos de control y verificación. El resultado de estos procesos puede consistir en un informe o, incluso, un certificado que confirme que todo es correcto o que incluya recomendaciones de mejora. Hay que tener presente que el mapa de recursos de información, o mapa documental, puede constituir uno de los principales resultados del proceso de la auditoria de información. En el caso del mapa documental, éste detalla qué documentos se encuentran dentro de la organización, a qué tipo de funciones se encuentran vinculados y dan respuesta, quién tiene la responsabilidad y el acceso a esos documentos, en qué soporte están disponibles, dónde y cómo se encuentran accesibles y qué relación o nivel de integración tienen con el resto de los sistemas de información de la organización. También se establece la localización de todos los documentos dentro de los estándares y los procedimientos de la organización, así como su valor para el conocimiento corporativo

PAPELES DE TRABAJO PARA LA AUDITORÍA DE SISTEMAS COMPUTACIONES

A lo largo de todo el trabajo de auditoría, el auditor debe guardar las pruebas evidentes de lo realizado, no solo como recordatorio fundado de su actuación con las necesarias matizaciones para emitir el informe, sino como medio de demostrar, en cualquier momento, la amplitud y la evidencia de los hechos, y poder expresar los procedimientos de auditoría utilizados, así como la interpretación dada en cada caso a los hechos, con las conclusiones obtenidas. Estas pruebas, deben ser conservadas en lugar protegido, donde no puedan ser inspeccionadas por terceros ajenos al auditor o equipo de auditores. No deberán destruirse antes de que haya transcurrido el tiempo que establecen las obligaciones derivadas de las leyes y de las necesidades de la práctica profesional. Su destrucción o pérdida, así como la difusión no autorizada, acarrearía responsabilidad para el auditor.

Estructura de contenidos. Cuando hablamos de papeles de trabajo, nos estamos refiriendo al conjunto de documentos preparados por un auditor, que le permite disponer de una información y de pruebas efectuadas durante su actuación profesional en la empresa, así como las decisiones tomadas para formar su opinión.

Su misión es ayudar en la planificación y la ejecución de la auditoría, ayudar en la supervisión y revisión de la misma y suministrar evidencia del trabajo llevado a cabo para respaldar la opinión del auditor.

Han de ser detallados y completos los papales de trabajo y deben estar diseñados para presentar la información requerida de forma clara y plena de significado. Estos deben elaborarse en el momento en que se realiza el trabajo y son propiedad del auditor, quien debe adoptar las medidas oportunas para garantizar su custodia sin peligro y su confidencialidad. En cuanto a los objetivos de los papeles de trabajo podemos indicar los siguientes: - Servir como evidencia del trabajo realizado y de soporte de las conclusiones del mismo. - Presentar informes a las partes interesadas.

- Facilitar los medios para organizar, controlar, administrar y supervisar el trabajo ejecutado en las oficinas del cliente.

- Facilitar la continuidad del trabajo en el caso de que un área deba ser terminada por persona distinta de la que la inició.

- Facilitar la labor de revisiones posteriores y servir para la información y evaluación personal.

INFORMES DE AUDITORIA

Objetivos

 Destacar la importancia que tiene el saber presentar profesionalmente los informes de auditoría computacionales. El auditor tiene que ser muy cuidadoso al plasmar en libro, documento o escrito porque es como dar un sello personal. Procedimientos para elaborar el informe. En el informe de auditoría, también llamado dictamen, se reportan las situaciones encontradas durante la evaluación, pero se deben incluir las causas que originan esas situaciones y las posibles sugerencias para solucionar los problemas encontrados. El procedimiento para elaborar dicho informe se compone de los siguientes pasos.

1. Aplicar instrumentos de recopilación

2. Registrar el formato de situaciones encontrada.

3. Comentar las situaciones encontrada con los auditados.

4. Analizar, depurar y corregir las desviaciones encontradas.

5. Presentar informe y dictamen final a los directivos de la empresa.

6. Comentar las situaciones encontrada con los auditados.

Una vez identificada las siguientes situaciones encontrada, es responsabilidad del encargado de la auditoria comentar cada una de esas desviaciones con el personal responsable de la operación o sistema de información o función auditada. Además, comentarlo con los auditados esto permite preparar las posibles soluciones para esas desviaciones.

Encontrar causas de las desviaciones con los auditados. También se recomienda encontrar de manera más fidedigna y confiable las causas que generan cada una de las desviaciones, a fin de reportarla en el informe lo más apegado posible a la realidad. Es necesario tener pendiente que al conocer las desviaciones que se le imputan, el auditado tratara de defenderse, señalando las causas que generaron cada una de las desviaciones encontradas, así directamente al escuchar la voz del auditado el auditor puede comprobar o ratificar las causas que había planteado. No obstante, como es natural, en las reuniones muchos de los auditados trataran de evadir o justificar su responsabilidad en las desviaciones e incluso, en algunos casos extremos, pueden hasta negar la existencia o conocimiento de la situación que se le imputa.

Elaboración del informe final y el dictamen del auditor:

 En ese informe el auditor solo debe incluir lo más relevante de la evaluación, incluyendo su opinión. En este informe es que denota la importancia de su actividad al señalar en qué situación estaba la empresa o departamento antes de la evaluación por los auditores. El informe es algo práctico y corto, cabe aclarar que la razón de plasmar este informe en tan poco espacio es que los directivos de una empresa, por lo general, tienen poco conocimiento del lenguaje que se maneja en los sistemas computacionales.

Características fundamentales:

 Se pueden identificar dos características fundamentales en los informes de auditoría en los sistemas computacionales los cuales siempre se refieren al contenido del informe y la forma de presentarlo. Dichas características son la siguiente:

Características de fondo:

 Se refiere al cuidado que debe tener el auditor de sistema al revisar que el contenido total del dictamen de auditoría sea acorde con lo que realmente tiene que señalar acerca de la revisión afectada, refiriéndose exclusivamente al contenido del informe. Para esto tiene que tener en cuenta diversos aspectos los como que el documento sea veraz, confiable, oportuno, objetivo, claro, completo y que el lector de dicho dictamen o resumen sea pueda entender con facilidad dicho informe.

Características de forma:

 Estas características se refieren a la manera en que el auditor debe presentar el informe en cuanto al estilo de redacción, el contenido en partes, apartados, apéndices, tipo y tamaño de las hojas y el tipo de letra; también en lo relativo en la forma de utilizar la redacción, ortografía, sintaxis, gramática y demás componentes del lenguaje y todo lo relacionado con la presentación del documento.

Características de la presentación del informe.

Otras de las características más importantes de un informe de auditoría de sistemas computacionales son los atributos que deben tener la redacción y la presentación del informe; para lograr mejores resultados en la elaboración del citado informe, el auditor debe tomar en cuenta las características que proponemos a continuación: Claridad, efectividad, Confiabilidad, positividad, Propiedad, sintaxis, Concisión, Sencillez, Asertividad, Exactitud, Familiaridad y Veracidad.

TECNICAS DE EVALUACION APLICABLES EN UNA AUDITORIA DE SISTEMAS COMPUTACIONALES

En la auditoria de sistemas computacionales se utilizan una serie de herramientas tradicionales de auditoría, así como técnicas de valoración que permite hacer una evaluación más eficiente de los sistemas computacionales. Como profesional especializado en la rama, el auditor de sistemas computacionales utilizas estas técnicas pues le ayudan a examinar y evaluar correctamente los diferentes aspectos del ambiente de sistemas en el que realiza su trabajo. Estas técnicas, métodos, procedimientos o herramientas son:

EXAMEN:

Consiste en analizar y poner a prueba la calidad y el cumplimiento de las funciones, actividades y operaciones que se realizan cotidianamente en una empresa, es utilizado para evaluar los registros, planes, presupuestos, programas, controles y todo lo demás aspectos que afectan la administración y control de una empresa o de las áreas que la integran. En la auditoria de sistemas computacionales podemos entender el examen como: El análisis, prueba o demostración al que se somete algún fenómeno o hecho relacionado con la gestión administrativa de un centro de cómputo, de sus componentes o de la operación del sistema procesados de información, con el propósito de evaluar el cumplimiento de sus funciones, actividades y operaciones, así como el cumplimiento del procesamiento de datos y la emisión de información que se requiere en la empresa o en las áreas que la integren.

INSPECCION:

La inspección en sistemas computacionales es Sinónimo de supervisión, ya que trata de examinar la forma en que se desarrollan las actividades de un área de sistemas computacionales, a fin de evaluar y emitir un informe sobre el desarrollo normal de sus funciones y operaciones; también tiene como propósito monitorear el desarrollo cotidiano de las funciones, actividades y operaciones normales de las empresas, para evaluar y si es necesario, corregir su desarrollo beneficio. Esta herramienta es aplicada de acuerdo con las características específicas de cada centro de cómputo o de cada sistema computacional, un ejemplo de los posibles aspectos del ambiente de sistemas computacionales donde puede ser aplicada es: La inspección de los sistemas de seguridad y protección de las instalaciones, equipo, personal y de los propios sistemas de procesamiento, con el propósito de dictaminar sobre su eficiencia y confiabilidad.

CONFIRMACION:

 Es uno de los aspectos fundamentales para la credibilidad de una auditoria es la confirmación de los hechos y la certificación de los datos obtenidos durante la revisión; ya que el resultado final de una auditoria es la emisión de un dictamen en el que el auditor vierte sus opiniones, la característica fundamental de una auditoria, cualquiera que sea su tipo, es la autenticidad con la que el auditor emite sus opiniones, sean a favor o en contra. En los sistemas computacionales su fin es confirmar la oportunidad, veracidad de los gastos de nómina del personal de la empresa , comparando los resultados de una quincena con los cálculos manuales de esa misma quincena, validar las desviaciones encontradas en los procesamientos, revisar las licencias de software instalados en los sistemas computacionales y confirmar la confiabilidad de las protecciones , contraseñas y demás medidas de seguridad establecidas para el acceso a la información y a los sistemas de la empresa.

COMPARACION:

 Esta debe ser aplicada de acuerdo a las necesidades y características específicas del área de sistemas o del propio sistema que va a ser auditado. Con la comparación de información se pueden encontrar las similitudes y diferencias entre ambas áreas o empresa, con lo cual se pueden hacer conjeturas y deducciones sobre las desviaciones encontradas. En la auditoria de sistemas computacionales, la comparación de los datos en el sistema computacional que va a ser elevado con los datos de algún sistema similar o igual para avalar y comprobar que los procesamientos sean similares o iguales y que los resultados sean confiables, verídicos, oportunos y que satisfagan las necesidades de procesamiento del área de cómputo de la empresa.

REVISION DOCUMENTAL:

 Es la forma más importante de evaluar a las empresas; además no solo sirve para aplicaciones en una auditoria tradicional, sino también como un importante apoyo en los diferentes tipos de auditoría de sistemas computacionales; claro está adoptándola a las características específicas de evaluación de los sistemas computacionales. La revisión documental avala los registros de operaciones y actividades de una empresa, principalmente en aquellos casos donde la evaluación está enfocada a los aspectos financieros, registros de los activos y a cualquier otro aspecto contable y administrativo de la empresa. Esta técnica se aplica verificando el registro correcto de datos en documentos formales de la empresa, con mucha frecuencia la emisión de sus resultados financieros. En los sistemas computacionales es utilizada para evaluar el desarrollo de las operaciones y funcionamiento del sistema, revisar el uso y registro adecuado de los documentos del software, verificar la existencia y actualización de registros formales para la administración y control de operación del sistema.

ACTA TESTIMONIAL:

 Es un documento de carácter formal, que por su representatividad, importancia y posibles alcances de carácter legal y jurídico es uno de los documentos vitales. La importancia de este radica en que con su uso se pueden evidenciar pruebas fehacientes, circunstanciales, probatorias para comprobar desviaciones en el área auditada y es utilizada para testimoniar los robos, desapariciones o cualquier aspecto relacionado con la desaparición de algún bien de la empresa, para fincar responsabilidades por deficiencia en las actividades de la empresa; aunque puede ser levantada en cualquier otra incidencia de las actividades cotidiana de una empresa.

MATRIZ DE EVALUACION:

Es uno de los documentos de recopilación más versátiles y de mayor utilidad para el auditor de sistemas computacionales, debido a que a través de esta es posible recopilar una gran cantidad de información relacionada con las actividades realizadas en esta área de informática, esta herramienta consiste en una matriz de seis columnas de las cuales la primera corresponde a la descripción, y las otras cinco a un criterio de evaluación descendente o ascendente (Ex., Bueno, Suf., Reg., Deficiente).

MATRIZ DOFA: es un acrónimo de Debilidades, Oportunidades, Fortalezas y amenazas de laempresa, las cuales son analizadas cada una por separado en cuanto a su presencia interna y a la influencia que la empresa recibe del exterior. El fundamento para la aplicación de la matriz DOFA en una auditoria de sistemas computacionales, es que mediante la misma se pueden estudiar las influencias que afectan el comportamiento del área de sistemas computacionales de una empresa, tanto las quien recibe de su ambiente interior como exterior, ya sean de la propia empresa o de sus proveedores, desarrolladores o del entorno donde este establecida.

TECNICAS ESPECIALES DE AUDITORIA DE SISTEMAS COMPUTACIONALES

Diagramas del círculo de evaluación. Herramienta de apoyo para la evaluación de los sistemas computacionales. Para valorar visualmente: El comportamiento de los sistemas que están siendo auditados. Su cumplimiento Sus limitaciones. Durante las diferentes etapas: Estudio Preliminar, Análisis del Sistema, Diseño Conceptual, Diseño Detallado, Programación, Pruebas, Implantación. Diagramas del círculo de evaluación. ¿Qué Podemos Evaluar Con Esta Herramienta? Seguridad en el área de sistemas computacionales. Evaluación administrativa del área de sistemas.

Evaluación de los sistemas computacionales Seguridad en el área de sistemas computacionales:

 Acceso físico al área de sistemas. Acceso, uso, mantenimiento y resguardo delas bases de datos. Del personal informático. De las instalaciones del área de sistemas. Plan de contingencias. Seguridad lógica del sistema.

Evaluación administrativa del área de sistemas

De la misión, visión, objetivos, estrategias, planes, programas, estructura de la organización, perfil de puestos.

Evaluación de la documentación de sistemas; de la seguridad y la protección de los archivos informáticos, instalaciones.

Evaluación de la capacitación; adiestramiento y promoción del personal.

Evaluación del desarrollo de proyectos informáticos; estandarización de metodologías, programas, equipos, sistemas, mobiliario. Lista de verificación (o lista de chequeo). Instrumento que contiene criterios o indicadores a partir de los cuales se miden y evalúan las características del objeto, comprobando si cumple con los atributos establecidos. La lista de verificación se utiliza básicamente en la práctica de la investigación que forma parte del proceso de evaluación.

Análisis de la diagramación de sistemas.

Análisis de la diagramación de sistemas. Unas de las principales herramientas para el análisis y diseño de los sistemas computacionales. El analista puede representar: Los flujos de información., actividades, operaciones, procesos y otros aspectos que intervienen en el desarrollo de los propios sistemas El programador puede visualizar el panorama específico del sistema, para elaborar de manera más precisa la codificación de instrucciones para el programa. Análisis de la diagramación de sistemas. El auditor puede utilizar esta herramienta para el diseño de sistemas de diferentes formas en una auditoria de sistemas, de acuerdo con su experiencia, conocimientos y habilidades, mismas que debe canalizar en los siguientes sentidos: Solicitar los diagramas del sistema. Analizar el diagrama del sistema. Elaborar un diagrama del sistema. Verificar la documentación de los sistemas a través de sus diagramas.