carruio2 Fases DE LA AUDITORIA PLANEACION be UAB OR EN INFORMATICA Laauditoria en informatica es el proceso de recolecciGn y evaluaciéin de eviden- cias para determinar cusndo son salvaguardades los actives de los sistemas computarizados, de qué manera se mantiene la integridad de los datos y emo se logran los objetivos de Ia organizacién eficazmente y se usan los recursos consumidos eficientemente. La auditoria en informatica sigue los objetivos tra- dicionales de la auditoria: aquellos que son de la auditoria externa, de salva guarda de los activos y la integridad de datos, y los objetivos gerenciales, aque- los propios de la auditoria interna que no slo logran los objetivos senalados sino también los de eficiencia y eficacia. La auditoria interna es una funcin independiente de la evaluacién que se establece dentro de una organizacién para examinar y evaluar sus actividades. El objetivo de la auditoria interna consiste en apoyar a los miembros de la orga niizacién en el desemperio de sus responsabilidades. Para ello, proporciona ané- lisis, evaluaciones, recomendaciones, asesoria ¢ informacin concerniente a las actividades revisadas. Los auditores intemnos son responsables de proporcionar informacién acer a de la adecuaciéin y efectividad del sistema de control interna de la organiza- idn.y de la calidad de la gestién. El manual de organizaci6n deberd establecer claramente los propésitos dal departamento de auditoria interna, especificar que el alcance del trabajo no debe tener restriccionesy sefialar que los auditores intemos no tendran autoridad y/o responsabilidad respecto de las actividades que auditan. El auditor interno debe ser independiente de las actividades que audita Esta independencia permite que el auditor interno realice su trabajo libre y ob- Jjetivamente, ya que sin esta independencia no se pueden obtener los resultados dos, ‘Las normas de auditoria interna comprenden: Las actividades auditadas y la objetividad de los auditores interns. El conocimiento técnico, la capacidad y el cuidado profesional de los audi ores internos con los que deben ejercer su funelén. En el caso de la auditoria en informatica es de suma importancia el que el auditor cuente con os ¢o- nocimientos técnicos actualizados y con la experiencia necesaria en el rea El alcanee del trabajo de auditoria interna en el drea de informstica. El desarrollo de las responsabilidades asignadas a los auditores intemnos responsables de la auditoria a informatica. Los auditores internos deben ser independientes de las actividades que auditan, y deben de tener un amplio criterio para no tomar decisiones subjeti- vvas basadas en preferencias personales sobre determinado equipo 0 software, sin analizar a profundidad las opiniones. Los auditores intemos son indepen- dientes cuando pueden desempenar su trabajo con libertad y objetividad. La Independencia permite a los auditores internos rendir juicios imparciales,eser‘iales para la adecuada conduccidn de las auditorias; esto se logra a través de ‘una adlecuada objetividad y criterio. La objetividad es una actitud de independencia mental que los auditores internos deben mantener al realizar las auditorias. Los auditores internos no eben subordinar sus juicios en materia de auditoria al de otros. La objetividad requiere que los auditores internos realicen sus auditorias etal manera que tengan una honesta confianza en el producto de st trabajo y ‘que no hayan creado compromisos significativos en cuanto a la calidad. Los ‘uditores internos no deben colocarse en situaciones en las que se sientan im- ibilitados para hacer juicios profesionales objetivos. Los resultados del trabajo de atiditoria debon ser revisados antes de emit él respectivo informe de auditoria, para proporcionar una razonable seguridad eque al trabajo se realizé objetivamente. Elauditor en informatica debe contar con los conocimientos téenicos reque- tidos y con capacidad profesional. Eldepartamento de auditoria interna deberd asignara cada auditerfa aaque- las personas que en su conjunto posean los conocimientos, la experiencia y la disciplina necesarivs para conducir apropiadamente la auditoria. También de~ berd asegurarse que la experiencia técnica y la formacidn académica de los au- ditores sean las apropiadas para realizar las auditorias en informatica. ‘Asimismo, se debera obtener una razonable seguridad sobre las capacida- des y pericias de cada prospecto para auditor en informatica. El departamento de auditoria intera deberd contar u obtener los conoci- mientos, experiencias y disciplinas necesatias para llevar a cabo sus responsa- bilidades de auditoria en informatica. Deberd tener personal o emplear consul- {ores calificados en las disciplinas de informatica necesarias para cumplir con las responsabilidades de auditorfa; sin embargo, cada miembro del departa- ‘mento no necesita estar calificado en todas las disciplinas. El departamento de auditorfa interna deberd asegurarse: + Que las auditorias sean supervisadas en forma apropiada. La supervision 5 un proceso continuo que comienza con la planeacidn y termina con el trabajo de auditorfa * Quelos informes de auditoria sean precisos, objetivos, claros, concisos, cons- tructives y oportunos. + Que se cumplan los objetivos de la auditoria, * Que la auditoria sea debidamente documentada y que se conserve la evi- dencia apropiada de la supervision, * Que los auditores cumplan con las normas profesionales de conducta. * Que los auditores en informatica posean los conocimientos, experiencias y disciplinas esenciales para realizar sus auditorias. Cada auditor interno requiere de ciertos conocimientos y experiencias: + Se requiere pericia en la aplicacién de las normas, procedimientos y técni- cas de auditoria interna para el desarrollo de las revisiones. Se entiende por pericia la habilidad para aplicar los conocimientos que se poseen a las si-capmruto 2 PLANEACION DE LAAUDITORIA EW NFORMATICA It tuaciones que posiblemente se encuentren, ocupandose de ellas sin tener que recurrir en exceso a ayudas o investigaciones técnicas. ‘= Tener habilidad para: aplicar amplios conocimientos a situaciones que po- siblemente se vayan encontrando, reconocer las desviaciones significativas y poder llevar a cabo las investigaciones necesarias para aleanzar solucio- nes razonables. Entre las habilidades que deben tener los auditores estan: ‘© Habilidad para comunicarse efectivamente y dar un trato adecuado a las personas. Los auditores internos deben tener habilidad para comunicarse tanto de manera oral como escrita, de tal manera que puedan transmitr clara y efectivamente asuntos como: los nbjetivos de la auditoria, las ever uaciones, las conclusiones y las recomendaciones. ‘+ Los auditores en informatica son responsables de continuar su desarrollo profesional para poder mantener su pericia profesional. Deberdin mante nerse informados acerca de las mejoras y desarrollos recientes. ‘+ Los auditores en informatica deben ejercer el debido cuidado profesional al realizar sus auditorias. El cuidado profesional, debers estar de acuerdo con la complejidad de la auditoria que se realiza. Los auditores deben estat atentosa la posibilidad de errores intencionales, de errores omisiones, de lt ineficiencia, del desperdicio, de la inefectividad y del conflicio de intereses. También deberén estar alertas ante aquellas condiciones y actividades en donde es mas probable que existan irregularidades. Ademés, deberdn de identificar los controles inadecuados y emitir recomendaciones para pro- ‘mover el cumplimiento con procedimientos y practicas aceptables El debido cuidado implica una razonable capacidad, no infalibilidad ni ac. ‘ciones extraordinarias. Requiere que el auditor realice exémenes y verificacio nes con un aleance razonable, pero no requiere auditorias detalladas de todas, Jas operaciones. Por consiguiente, el auditor no puede dar una absoluta segurt dad de que no existan incumplimientos o irregularidades. Sin embargo, la posi bilided de que existan irregularidades materiales © que no se cumplan las dis: ‘posiciones debe ser considerada siempre que el auditor emprende una auditoria. Cuando el auditor detecte una irregularidad que va en contra de lo establecido deberd informarlo a las autoridades adecuadas de la organizaci6n. El auditor puede recomendar cualquier investigacién que considere necesaria en esas ir cunstancias, Posteriormente, el auditor deberd efectuar su seguimiento para vetk ficar que se ha cumplido con lo sefialaco. El ejercicio del debido cuidado profesional significa el uso razonable de experiencias y juicios en el desarrollo de la auditoria. Para este fin el auditor debers considerar: * Blalcance del trabajo de auditoria necesario para lograr los objetivos de! auditoria. + La materialidad o importancia relativa de los asuntos a los que se apli los procedimientos de la auditoria.+ Laadecuacién y efectividad de los controles intemos. + Elcosto de Ja auditoria en relacién con los posibles beneficies. El cuidado profesional incluye la evaluacion de los estandares establecidos, eterminando en consecuencia si tales estandares son aceptables y si son cum plidos. Cuando éstos son vagos deberan sohcitarse interpretaciones autorizadas. El alcance de la auditoria debe abarcar el examen y evaluacion de la ade- ‘auacion y efectividad del sistema de control interno de la organizacién y la ca- lidad en el camplimiento de las responsabilidades asignadas. El propésito de revisar la adecuacién del sistema de control interno es el de cerciorarse si el sistema establecido proporciona una razonable seguridad de que los objetivos {ymetas de la organizacién se cumplirdn eficiente y econémicamente. Los objetivos elementales del control interno son para asegurar: + Laconfiabilidad e integridad de la informacién. Los audlitores deben revi- sar la confiabilidad e integridad de la informacién y los méiodos emplea- dos para identificar, medir, clasificar y reportar dicha informacion + Elcumplimiento de las politicas, planes, procedimientos, leyes y reglamen- tos + Lasalvaguarda de los activos. + Else eficiente y econdmico de los recursos. + Ellogro de los objetives y metas establecidos para las operaciones o progra- mas. El sistema de informacidn proporciona datos para la toma de decisiones, el control y el cumplimiento con requerimientos externos. Por ello, los auditores daben examinar los sistemas de informacién y cuando sea apropiado asegurarse: + Que los registros.e informes contengan informacién precisa, confiable, opor- tuna, completa y titi. + Que los controles sobre los registros¢ informes sean adecuados y efectivos. Los auditores deben revisar los sistemas esiablecides para asegurarse del ‘umplimiento de las politicas, planes y procedimientos, leyes y reglamentos que pueden tener un impacto significativo en las operaciones e informes, y de- ten determinar si la organizacion cumple con ellos. La gerencia de informatica es responsable del establecimiento de los siste- nas disenados para asegurar el cumplimiento de requerimientos tales como yoliticas, planes, procedimientos y leyes y reglamentos aplicables. Los audito- 12 son responsables de determinar si los sistemas son adecuados y efectivos yssilas actividades auditadas estén cumpliendo con los requerimientos apro- Piados. Los auditores deberan revisar: * La correccién de los métodos de salvaguarda de los actives y verificar le existencia de estos actives. FA DEcamo 2 PUNERCION DE UA AUDITORIA EN INFORMATICA Uso oficiente de recursos, + Los métados empleados para salvaguardar los actives de diferentes tipos de riesgos tales como: robo, incendios, actividades impropias o ilegales, ast como de elementos naturales como terremotos, inundaciones, eteétera. Los auditores deberdn evaluar si el empleo de los recursos se realize en forma econémica y eficiente Laadministracion es responsable de establecer estindares de operacién para medir la eficiencia y economia en el uso de los recursos. Los auditores internos son responsables de determinar si: ‘+ Losestandares para medir la economia y eficiencia en el uso de los recursos son los adecuados. + Los estindares de operacidn establecides han sido entendidos y se cum: plen. + Las desviaciones a los estindares de operacidn se identifican, analizan y se Comuinican a los responsables para que tomen las medidas correctivas. + Se toman las medidas correctivas, Las anditorias relacionadas con el uso econdmico y eficiente de los recursos deberan identificar situaciones tales como" Subutilizacion de instalaciones, ‘Trabajo no productive. Procedimientos que no justifican su costo. Excoso 0 insuficieneia de personal. Uso indebido de las instalaciones. Los auditores deberdn revisar las operaciones o programas para cerciorar~ se Si los resultados son consistentes con los objetivos y metas establecidos y si las operaciones o programas se llevan a cabo como se planearon. Praneacion DE LA AUDITORIA EN INFORMATICA Para hacer una adecuada planeacién de la auditoria en informatica hay que seguir una serie de pasos previos que permitirén dimensionar el tamaiio y co- racteristicas del drea dentro del organismo a auditar, sus sistemas, organiza~ para que el auditor tenga un profundo entendimiento de los controles usados dentra del drea de informatica Flauditor debe decidir si debe de continuar elaborando pruebas de consen- “timionto, con la esperanza de obtener mayor confianza por medio del sistema decontrol interno, 0 proceder directamente ala revisién con los usuarios (pruc- bas compensatorias), o a las pruebas sustantivas. En algunos casos el auditor puede, después de hacer un andlisis detallado, decidir que con los controles intemos se tiene suficiente confianza, y en otros casos que los procedimientos alternos de auditoria pueden ser més apropiados. Enla fase de evaluacidn detallada es importante para e! auditor identificar las causas de las pérdidas existentes dentro de la instalacén y los controles pare reducir las pérdidas y los efectos causados por éstas. Al terminar la revi- sidn detatiada el auditor debe evaluar en qué momento los controles estableci- | dos reducen las pérdidas esperadas a un nivel aceptable. Los métodos de ob- tencidn de informacién al momento de la evaluacion detallada son los mismos usados en la investigaciin preliminar, y lo tinico que difiere es la profundidad ‘on que se obtiene la informacién y se evahia. Como en el caso de la investigacién preliminar, se tienen diferentes formas de Jograr los objetivos desde el punto de vista del auditor interno 0 externo. El auditor interno debe considerar las causas de las pérdidas que afectan la efi- iencia y eficacia, ademés de evaluar por qué los controles escogidos son o no sificientes para reducir las pérdidas esperadas a un nivel aceptable. El auditor intemo debe evaluar si los controles escogidios son dptimos, si provocan un sobrecontrol, o bien si se logra un satisfactorio nivel de control usando me- 10s controles o controles menos costosos. Si el auditorinterno considera que los ‘ontroles internas del sistema no son satisfactorios, en lugar de proceder direc- tamente a revisar, a probar controles alternos o a realizar pruebas sustantivas y procedimientos, debe sefalar las recomendaciones para mejorar los controles de los sistemas.canituto 2 PLANEACION DE LAAUDTORA EN INFORWATICA Examen ¥ EVALUACION DE LA INFORMACION Los auditores internos deberén obtener, analizar, interpretar y documentar la informacion para apoyar los resultados de la auditoria, E] proceso de examen y evaluacién de la informacidn es el siguiente: + Se debe obtener la informaci6n de todos Jos asuntos relacionados con os objetives y aleances de la auditorfa, * La informacion debera ser suficiente, competente, relevante y itil para que proporciane bases solidas en relacidn con los hallazgos y recomendaciones de la auditoria. La informacién suficiente significa quo esta basada en he- chos, ques adecuada y convincente, de tal forma que una persona pruden- tee informada pueda llegar a las mismas conclusiones que el auditor. La informacién competente significa que es confiable y puede obtenerse de la mejor manera, usando las técnicas de auditoria apropiadas. La informacion relevante apoya los hallazgos y recomendaciones de auditoria y es consis tente con los objetivos de ésta. La informacién til ayuda a la orgenizacién a lograr sus metas. + Los procedimienias de auditorfa, incluyendo el empleo de las téenicas de pruebas selectivas y el muestreo estadistico, deberdn ser elegidos con ante- riotidad, cuando esto sea posible, y ampliarse 0 modificarse cuando las cir- cunstancias lo requieran. * Bl proceso de recabar, analizar, interpretar y documentar la informacién deberé supervisarse para proporcionar una seguridad razonable de que la objetividad del auditor se mantuvo y que las metas de auditoria se cum plieron. * Los documentos de trabajo de la auditoria deberén ser preparados por los auditoresy revisados por la gerencia de auditoria, Estos documentos debe: rrén registrar la informacién obtenida y el andlisis realizado, y deben apo- yar las bases de los hallazges de auditoria y las recomendaciones que se haran, Los auditores deberén reportar los resultados del trabajo de auditoria. Fl audlitor deberd discutirlas conclusions y recomendaciones en los niveles apro- piados de la administracién antes de emitir su informe final. Los informes de- berdn ser objetivos, claros, concises, constructivos y oportunos. Los informes presentarin el propdsito, alcance y resultados de la auditoria y, cuando se con: sidere apropiado, contendran la opinién del auditor. Los informes pueden incluir recomendaciones para mejoras potenciales y reconocer el trabajo satisfactorio y las medidas correctivas. Los puntos de vista de los auditados respecto a las conelusiones y recomendaciones pueden set in cluidos en el informe de auditoria, Los auditores inttemos realizardn el seguimiento de las recomendaciones, para asegurarse que se tomaron las acciones apropiacias sobre les hallazges 40 auditoria reportados.El director de auditoria en informatica deberé establecer un programa para seleccionar y desarrollar los recursos, el cual debe contemplar: + Descripeiones de puestos por cada nivel de auditoria en informética. + Scleccién de individuos califieados y competentes, + Entrenamiento y oportunidad de capacitacién profesional continua para todos y cada uno de los auditores. + Evaluaci6n del trabajo de cada uno de los auditores por lo menos una vez al + Asesoria alos auditores en Jo referente a su trabajo y a su desarrollo profe- sional El trabajo de auditorfa interna y externa deberd coordinarse para asegurar Ja adecuada cobertura y para minimizar la duplicidad de esfuerzos. El director de auditoria interna en informética deberd establecer y mante- her un programa de control de calidad para evaluar las operaciones del depar- tamento de auditoria interna. EI propdsito de este programa es proporcionar una seguridad razonable de que el trabajo de auditoria esta de acuerdo con las normas aplicables. Un programa de control de calidad debera incluir los siguientes elementos: * Supervision. + Revisiones internas. * Revisiones externas, La supervision del trabajo de los auditores en informatica deberd llevarse a ‘abo continuamente para asegurarse de que estén trabajando de acuerdo con lasnormas, politicas y programas de auditoria en informatica, Las revisiones intemas deberdn realizarse periédicamente por el personal del departamento de auditoria interna para evaluar la calidad del trabajo de auditoria realizado, Estas revisiones deberdn llevarse a cabo de la misma mane- ta que cualquier otra auditoria. Para evaluar la calidad del trabajo de auditoria en informatica deberdn practicarse revisiones externas. Pruesas DE CONSENTIMIENTO El objetivo de la fase de prueba de consentimiento es el de determinar si los controles internos operan como fueron disefiados para operar. El auditor debe determinar si los controles declarados en realidad existen y si realmente traba- jan confiablemente. ‘Ademis de las técnicas manuales de recoleccién de evidencias, muy fre- cuentemente el auditor debe recurrir a técnicas de recoleccién de informacién asistidas por computadora, para determinar laexistencia y confiabilidad de los FAcanta 2 PLANEACIOA oe Lz AUDITORIa EN INFORMATICA pos de pruebas controles. Por ejemplo, para evaluar la existencia y confiabilidad de los contro: Jes de un sistema en red, se requeriréel entrar ala red y evaluar directamente al sistema Prueeas DE CONTROLES DEL USUARIO En algunos casos el auditor puede decidir el no confiar en los controles internos dentro de las instalaciones informaticas, porque el usuario ejerce controles que compensan cualquier debilidad dentro de las controles internos de informatica Estas pruebas que compensan las deficiencias de los controles internos se pue- den realizar mediante cuestionarios, entrevistas, vistas y evaluaciones hechas directamente con los usuarios Pruesas SUSTANTIVAS 1 objetivo de la fase ce pruchas sustantivas es obtener evidendia suficiente que ppermita al auditor emitir su juicio en las conclusiones acerea de cusndo pueden ‘ccurrir péridas materiales durante el procesamiento de la informacién, El au- itor externo expresard este jicio en forma de opinidn sobre cuando puede existir un proceso equiivocadd o falta de control de la informacion, Se pueden identificar ocho diferentes prucbas sustantivas: ‘+ Prusbas para idlentificar errores en el procesamiento o de falta de seguri- dad o confidencialidad. Pruebas para asegurar la calidad de los datos. Prucbas para identifica la inconsistencia de los datos. Pruebas para comparar con los dates o contadores fisicos. Confirmacidin de datos con fuentes externas. Pruebas para confirmar Ia adecuada comunicacin Prucbas para determinar falta de seguridad. Pruebas para determinar problemas de legaliad. Debemos cuestionaros el beneficio de tener un excesivo control obien eva- luar el beneficio marginal de tener mayor control contra el costo que representa ste. Para ello es necesario evaluar el costo por falla del sistema, y sus repercu- siones para determinar el grado de riesgo y confianza necesarios contra el costo de implantaciGn de controles y el costo de recuperacién de la informacién 0 eliminacisn de las repercusiones,__ Elauditor debe participar en tres estados del sistema: Durante Ia fase de disefio del sistema, + Durante la fase de operacién. * Durante la fase posterior a Ia auditoria. En general, la opinién del gerente de informatica y de la alta gerencia con- ‘sideran que el que el auditor participe en la fase de disefio disminuye la inde- >pendencia del auditor. pero existen varias formas en las cuales se puede elimi ‘ar esto: + Aumentando os conocimientos en informatica det auditor. + Asignar diferentes auditores a la fase de disefto, al trabajo de auditoria y al posterior a la auditoria + Crear una seccién de auditoria en informatica dentro del departamento de auditoria interno, especializado en auditoria en informatica, + Obtener mayor soporte de la alta gerencia. Realizar una auditoria en informética es un trabajo complejo. Por ello, para lograr los objetivos, el auditor necesita dividir los sistemas en una serie de subsistemas, identificando los componentes que realizan las actividades basi- ‘as de cada subsistema, evaluar la confianza de cada componente, y la de los subsistemas, y en forma agregada evaluar cada subsistema hasta llegar a una evaluacién global sobre la confianza total del sistema. Esto se deberd realizar sin olvidar el postulado de investigaciGn de operaciones, que nos seftala que: La suma de los éptimos parciales de los subsistemas no es igual al éptimo del sistema, pero nos da una buena aproximacién Los pasos que involucran una auditoria en informatica son similaresa aque- llos que se realizan para auditar un sistema manual. Primero se realize una investigacidn preliminar del rea de informatica, para lograr un entendimiento de como esté siendo administrada la instalacién y de los principales sistemas que son procesados. En segundo lugar, si el auditor determina confiar en los controles intemos del sistema, se realiza una investigacién detallada. En terce- 10, el auditor, de acuerdo con su juicio, prueba la contianza sobre aquellos con- troles que son criticos. En cuarto, se realizan pruebas sustantivas de los proce- dimientos. Finalmente, el auditor debe dar una opiniGn. Después de estos pa- s05 el auditor evahia los controles internos del sistema y decide si debe proce- der con pasos alternativos. Durante la auditoria en informatica deben tomarse muchas decisiones difi- siles. Cada evaluaci6n sobre la confianza de los sistemas de control interno re- ‘quiere de evaluaciones complejas realizadas en forma conjunta con las eviden- dias obtenidas. Fasescartruto2z PLANEAGON. DELAAUDTORa EW roRWATICA Evatuacion DE LOS SISTEMAS DE ACUERDO AL RIESGO Una de las formas de evaluar la importancia que puede tener para la organiza- cidn un determinado sistema, es considerar el riesgo que implica el que no sea utilizado adecuadamente, la pérdida de la informacién.o bien el que sea usado por personal ajeno a la organizacién, Para evaluar el riesgo de un sistema con mayor detalle véase el apartado “Plan de contingencia y procedimientos de respaldo para casos de desastre”, en el capitulo 6. Algunos sistemas de aplicaciones son de mas alto riesgo que otros debido a que: + Son susceptibles a diferentes tipos de pérdida econémica. Fraudes y destalcos entre los cuales estan los sistemas financieros. El auditor debe de poner especial atencisn a aquellos sistemas que requie- ran de un adecuado control financier. Flujo de caja, inversiones cuentas por pagar y cobrar, nérsina, ‘+ Las fallas pueden impactar grandemente a la organizacién. Una falla en ol procesamiento de la némina puede tener come consecuencia fl que 92 tenga una huelga. ‘+ Interfieren con otros sistemas, y Jos errores generados permean a otros sis- temas, + Potencialmente, alto riesgo debido a dafos en la competencia. Algunos sis- temas le dan a la organizacién un nivel competitive muy alto dentro de un, mercado, Sistema de planeacién esiratévica. Patentes, derechos de autor, los cuales son las mayores fuentes de recursos de la organizacion, Otros a través de los cuales su péraida puede Gestrulr la imagen de la organizecin, + Sistemas de tecnologia de punta o avanzada. Si los sistemas utilizan tecno- logia avanzada o de punta. Sistemas de bases de datos, sistemas distibuidos © de comunicacién, tecno- logia sobre la cvel la organizacion tenga muy poca experiencia 0 respaldo, la cual es més probable que sea una fuerte de problemas de contro. + Sistemas de alto costo, Sistemas que son muy costosos de desarrllar, os cuales son frecuentemente sistemas complejos que pueden presentar mu chos problemas de controlInvestigacion PRELIMINAR Es necesario iniciar el trabajo de obtencién de datos con un contacto preliminar que permita una primera idea global. El objeto de este primer contacto es percibiz répidamente las estructuras fundamentales y diferencias principales entre el orga- nismo a auditar y otras organizaciones que se hayan investigado.’ La investigacién preliminar debe incorporar fases de evaluacién del con- trol gerencial y del control de las aplicaciones. Durante la revision de los con- troles gerenciales el auditor debe entender a la organizacién y las politicas y précticas gerenciales usadas en cada uno de los niveles, dentro de la jerarquia de la instalacién en que se encuentran las computadoras. Durante larevisi6n de Jos controles de las aplicaciones, el auditor debe entender los controles ejerci- dos sobre el mayor tipo de transacciones que fluyen a través de los sistemas de _ aplicaciones més significativas dentro de Ia instalacicn de computadoras. Se debe recopilar informacién para obtener una visidn general del departa- mento por medio de observaciones, entrevistas preliminares y solicitudes de documentos; la finalidad es definir el objetivo y aleance del estudio, as{ como el programa detallado de la investigacion. Se debers observar el estado general del departamento 0 rea, su situacién dentro de la organizacién, si existe la informacién solicitada, si es © no necesa- a y la fecha de ou ultima actualizacién, En el caso de la auditoria en informatica debemos comenzer la investiga- Gin preliminar con una visita al organismo, al érea de informitica y alos equi- pos de cémputo, y solicitar una serie de documentos. La investigacién prelimi- nar se debe hacer solicitando y revisando la informacién de cada una de las reas, basindose en los siguientes puntos: Administracién. Se recopila la informacién para obtener una visi6n general del departamento por medio de observaciones, entrevistas preliminares y solicitud de documentos para poder definir el objetivo y alcances del departamento. Laeficiencia en el departamento de informatica solo se puede lograr si sus, objetivos estén integrados con los de la institucidn y si permanentemente se adapta a los posibles cambios de éstes. Esta adaptacién tinicamente puede ser posible si los altos ejecutivos y los usuarios de los sistemas toman parte activa en las decisiones referentes a la direccién y utilizacién de los sistemas de informacién, y si el responsable de dicho sistema constantemente consulta y pide asesoria y cooperacién a los eje- cutivos y usuarios, Asimismo el control de la direccién de informatica no es posible, a menos que el personal responsable aplique la misma disciplina de trabajo y los méto- dos que se exigen normalmente a los usuarios. Podemos hablar de tener el con- trol, tinicamente cuando se contemplaron los objetivos, se estableci6 un presu- INvEsTIG PRELIMINcariruvo 2 PUNEACION (De LA AUOTIORIA EN INFORMATICA equerimientos > una auditoria puesto y so registraron correctamente los costos en el desarrollo de la aplica- ‘G6n, y cuando ésta contempla el nivel de servicio en términos de calidad. y tiempos minimos de entrega de resultados de la operacisn del computador. El éxito de la direccién de informética dentro de una organizacién depende finalmente de que todas las personas responsables adoptan una actitud positi- va respecto a su trabajo y evaltion constantemente la eficiencia en su propio trabajo, asi como el desarrollado en su 4rea, estableciendo metas y estindares que incrementen su productividad. La direccion de informatica, seguin las diferentes dreas de la organizacicn, es evaluada desde diferentes puntos de vista. Los usuarios a nivel operativo generalmente la ven como una herramienta para incrementar su eficiencia en el trabajo. Para estos usuarios, la direccivin de informatica es una funcidn de servicio. Cada grupo de usuarios tiene su propia expeciativa del tipo y nivel de servicio, sin considerar el costo del mismo y normalmente sin tomar en cuenta las necesicades de otros grupos de usuarios. Los altos ejecutivos consideran a la direccign de informatica como una in vversicn importante, que tiene la funcién de participar activamente en el cum- plimiento de los objetivos de la organizacidn. Por ello, esperan un maximo del retomo de su inversicn; esperan que los recursos destinades a la direceisn de informética proporcionen un beneficio maximo a la organizacién y que ésta participe en la administracién eficiente y en la minimizacién de los costes me- diante informacién que permita una adecuada toma de decisiones. Los directi- vvos, con toda la razon, consideran que la organizacion cada dia depende mas del érea de informatica y consecuentemente esperan que se debs administrar lo és eficiente y eficaz posible. Esencialmente, la meta principal de los administradores de la direccién de informtica es la misma que inspira cualquier departamento de servicio: com- binar un servicio adecuado con una operaciin econdmica, El problema estriba en balancear el nivel de servicio a los usuarios, que siempre puede ser incrementadoa costa de un incremento del factor econémico Para poder analizar y dimensionar la estructura a auitar se debe solicitar: A nivel organizacion total: Objetivos a corto y largo plazos. Manual de la organizacicn. Antecedentes 0 historia del organism. Politicas generales. A nivel del rea de informatica: Objetivos a corto y largo plazos. ‘© Manual de organizacion del area que incluya puestos, funciones, niveles jerarquicos y tramos de mando. ‘+ Manual de politicas, reglamentos intemnos y lineamientos generales. ‘+ Numero de personas y puestos en el areaProcedimientos administrativos del rea. Presupuestos y costos del drea, ee REL Recursos materiales y técnicos: Solicitar documentos sobre los equipos, asi como el ntimero de ellos, st localizacin y sus caracteristicas (de los equipos instalados, por instalar y programados). Estudios de viabilidad. Fechas de instalacion de los equipos y planes de instalacion. Contratos vigentes de compra, renta y servicio de mantenimiento. Contratos de seguros. CCoavenios que se tienen con otras instalaciones. Configuracisn de tos equipos y capacidades actuales y maximas. Configuracién de equipos de comunicacién (redes intemas y externas) y localizacién de los equipos. Planes de expansién. Ubicacién general de los equipos. Politics de operacién. Politicas de uso de los equipos. Politicas de seguridad fisica y prevencién contra contingencias internas y externas. Sistemas: Descripcidn general de los sistemas instalados y de los que estén por insta- larse, que contengan voltimenes de informacién. Manual de formas. Manual de procedimientos de los sistemas, Descripcién genérica. Diagramas de entrada, archivos, salida. Fecha de instalacién de los sistemas. Proyecto de instalacién de nuevos sistemas. Bases de datos, propietarios de la informacién y usuarios de la misma. Procedimientos y politicas en casos de desastre. Sistemas propios, rentados y adquiridos. En el momento de hacer la planeacién de la auditoria o bien en su realiza- ‘G6n, debemos evaluar que pueden presentarse las siguientes situaciones. + Se solicita la informacién y se ve que: ° Nose tiene y se necesita. © No se tiene y no se necesita * Se tiene la informacién pero: ° No seusa. ° Bs incompleta.cartruto 2 PLANCAGON E LA AUTOR ER INFORMATICA ‘Uso e informacién No esti actualizada, Noes la adecuada. © Sousa, ests actualizada, es la adecuada y est completa. Enel caso de que nose disponga de la informacisn y se considere que nose necesita, se debe evaluar la causa por la que no es necesaria, ya que se puede estar solicitando un tipo de informacién que debido a las caracteristicas del organismo no se requlera. Eso nos dard un pardmetro muy importante para hacer una adecuada planeacicn de la auditoria Enel caso de que no se tenga la informacién pero que sea necesaria, se debe recomendar que se elabore de acuerdo con las necesidaces y con el uso que se le vaa dar. En el caso de que se tenga la informacién pero que no se utilice, se debe analizar por qué no se usa. El motive puede ser queesté incompleta, que no esté actualizada, que no sea la adecuada, etc. Hay que analizar y definir las causas para senalar altemativas de solucion, lo que nos lleva a la utilizacicn de la in- formacién. En caso de que se tenga la informaciGn. se debe analizar si se usa, si esté actualizada, si es la adecuada y si esta completa; de ser asi, se considerara den- tro delas conclusiones de la evaluacién, ya que como se dijo la auditoria no sélo debe considerar errores, sino también sefialar los aciertos. ‘Antes de concluir esta etapa no se olvide que el éxito del anal depende de las consideraciones siguientes: i critica * _ Estuctiar hechos y no opiniones (no se toman en cuenta los rumores ni Ta informacién sin fundamento). Investigar las causas, no los efectos. Atender razones, no excusas. No confiar en la memoria, preguntar constantemente © Criticar objetivamente y a fondo todas los informes y los datos recabados. Personat PARTICIPANTE ‘Una de Tas partes mas importantes en la planeacién de la anditorfa en informé- tica es el personal que debers participar. En este punto no veremos el ntimero de personas que deberén participar, ya que esto depende de las dimensiones de la organizacign, de los sistemas y de los equipos; lo que se debera considerar son las caracteristicas del personal que hhabré de participar en la auditoria Uno de los esquemas generalmente aceptados pare tener un adecuado con trol es que el personal que intervenga esté debicamente capacitado, que tenga tun alto sentido de moralidad, al cual se le exija la optimizacicn de recursos (cficiencia) y se le retribuya 0 compense justamente por su trabajo. ‘Con estas bases debemos considerar los conocimientos, la practica proie- sional y la capacitacion que debe tener el personal que intervendré en la auditorsEn primer lugar, debemos pensar que hay personal asignado por la organi- én, que deba tener el suficiente nivel para poder coordinar el desarrollo de h auditoria, proporcionarnos toda la informacién que se solicite y programar rreuniones y entrevistas requeridas. Eté.cs tsi punta auiy-kenpartante ja qua deven tefatict apeyaiad Walia ccidn, ni contar con un grupo multidisciplinario en el cual estén presentes © varias personas del drea @ auditar, sera casi imposible obtener informa- dnen el momento y con las caracteristicas deveadas. También se debe contar con personas asignadas por los usuarios para que el momento que se solicite informacién, o bien se efecttie alguna entrevista ‘comprobacién de hipstesis, nos proporcionen aquello que se est solicitan- o, y complementen el grupo multidisciplinario, ya que debemos analizar no ‘loel punto de vista de la direccidn de informatica, sino también el del usuario. | sistema. Para complementar el grupo, como colaboradores directos en la realizacion la auditoria, se deben tener personas con las siguientes caracteristicas: Téenico en informatica. Conocimientos de administracién. contaduria y finanzas. Experiencia en el rea de informatica. Experiencia en operacién y andlisis de sistemas. Conocimientos y experiencia en psicologia industrial Conocimiento de los sistemas operativos, bases de datos, redes y comuni- caciones, dependiendo del érea y caracteristicas a auditar. Conocimientos de los sistemas mis importantes. Enel caso de sistemas complejos se deberd contar con personal con conoci- entos y experiencia en areas espectficas como base de datos, redes, comuni- ; etcetera. Lo anterior no significa que una sola persona deba tener los conocimientos ‘experiencias sefialadas, pero si que deben intervenir una 0 varias personas las caracteristicas apuntadas Una vez planeada la forma de llevar a cabo la auditoria, estaremos en posi- dad de presentar la carta —convenio de servicios profesionales (en el caso auditores externos)— y el plan de trabajo. La carta convenio es tn compromiso que el auditor dirige a su cliente para ‘siconfirmacién de aceptacidn. En ella se especifican el objetivo y alcance dela -aiditoria, las limitaciones y la colaboraciGn necesaria, el grado de responsabili- ‘dad y los informes que se han de entregar. Una vez que se ha hecho la planeacién, se puede utilizar el formato sefiala- ‘doen la figura 2.1, el cual servird para resumirel plan de trabajo de la auditoria. Bite formato de programa de auditoria nos servird de base para llevar un ade- suado control del desarrollo de la misma. En él figuran el organismo, la fecha de formulacién, las fases y subfases que comprenden la deseripeién de la activi- ‘dad, el mimero de personas participantes, las fechas estimadas de inicio y ter- ‘inacién, el ntimero de dias habiles y el mimero de dias-hombre estimados.capmu.o2 PLANEAGION De LA AUDITOR EN INFORMATICA El control del avance de la auditoria lo podemos llevar mediante el fo dela figura 2.2, el cual nos permite cumplir con los procedimientos de asegurarnos que el trabajo se esté Mevando a cabo de acuerdo con el pro deauditoria, conlos recursos estimados y en el tiemposefialadoen la pla El hecho de contar con la informacién del avance permite que el elaborado pueda ser revisado por cualquiera de nuestros asistentes. Como ejemplo de propuesta de anditorfa en informatica, véase la figura’ y como ejemplo de contrato de auditoria en informatica constiltese la figura