METODOLOGIA PARA REALIZAR LA AUDITORIA DE SISTEMAS COMPUTACIONALES

METODOLOGIA PARA REALIZAR LA AUDITORIA DE SISTEMAS COMPUTACIONALES

Fases de la auditoría en informática

Definición de la auditoría en informática

La auditoría en informática es el proceso de recolección y evaluación de la información obtenida como evidencia para determinar cuando son salvaguardados los activos de los sistemas computarizados, la integridad de los datos contenidos en los mismos, y la eficiencia de la organización en la utilización de los recursos consumidos para su buen funcionamiento.^[1]

La auditoría en informática posee la esencia de la auditoría interna y externa, es decir, toma parte de cada una para realizar su desempeño de la manera más eficiente y eficaz, por ejemplo, toma parte de la auditoría externa al buscar la integridad de los datos y la salvaguarda de los mismos, a su vez, que busca completar los objetivos de eficiencia y eficacia que señala la auditoría interna.

De lo anterior, podemos señalar que la auditoría interna es una función independiente de la evaluación que se establece en la organización para examinar y evaluar sus actividades. Su objetivo es sí, es el apoyo de los miembros en la organización para que estos logren realizar todas sus responsabilidades; por esta razón, los auditores internos, aunque sean independientes de las actividades que audita, son responsables de brindar y proporcionar la información obtenida de su evaluación a la organización, con el objetivo de que la misma pueda verificar la eficiencia de su control interno.

Las normas de auditoría interna comprender:^[2]

1. Las actividades auditadas y la objetividad de los auditores internos,
2. El conocimiento técnico, la capacidad y el cuidado profesional de los auditores internos (de suma importancia en el área de informática),
3. El alcance del trabajo de auditoría interna en el área de informática, y
4. El desarrollo de las responsabilidades asignadas a los auditores internos que llevan a cabo la auditoría en informática.

Los auditores internos como ya se mencionó, deben ser independientes del área que auditan, esto con el fin, de lograr imparcialidad y un amplio criterio en la toma de decisiones, así como también, un desempeño con libertad y objetividad en la realización de su trabajo.

La objetividad es una tendencia mental de independencia y requiere que los auditores realicen su trabajo de la manera más honesta, con el fin de tener confianza en la auditoría realizada. Aunque, a pesar de esto, se debe revisar por segunda vez los resultados obtenidos, antes de emitir el respectivo informe, para proporcionar una razonable seguridad de que el trabajo realizado se hizo objetivamente.

Partiendo ahora de lo señalado en la auditoría interna, podemos destacar que para llevar a cabo una auditoría en informática, el auditor interno debe contar con los conocimientos técnicos y la capacidad profesional para realizar de manera eficiente el trabajo; es decir, el departamento de auditoría interna deberá asignar a aquellas personas que posean un conjunto de conocimientos, experiencias y disciplina, necesarias para conducir apropiadamente la auditoría.

Por esta razón, es necesario que el departamento de auditoría interna obtenga los conocimientos, experiencias y disciplinas necesarias para llevar a cabo una auditoría en informática.

El departamento de auditoría interna deberá asegurarse:^[3]

1. Que las auditorías sean supervisadas en forma apropiada,
2. Que los informes de auditoría sean precisos, objetivos, claros, concisos, constructivos y oportunos,
3. Que se cumplan los objetivos de la auditoría,
4. Que la auditoría sea debidamente documentada,
5. Que los auditores cumplan con las normas profesionales de conducta, y
6. Que los auditores en informática posean los conocimientos, experiencias y disciplinas esenciales para la realizar sus auditorías.

Los conocimientos necesarios que debe de tener un auditor interno en informática son:

1. Poseer pericia^[4] en la aplicación de las normas, procedimientos y técnicas de auditoría interna para el desarrollo de las revisiones, y
2. Tener la habilidad para aplicar amplios conocimientos a situaciones no previstas.

Entre las habilidades que deben tener los auditores están:

1. Habilidad para comunicarse correctamente y dar un trato adecuado a las personas,
2.  Los auditores en informática son responsables de continuar su desarrollo profesional para mantener su pericia profesional, y
3. Los auditores en informática deben tener el debido cuidado al realizar su trabajo profesional.

Para que los auditores tengan el debido cuidado al realizar su trabajo profesional, se requiere que estos, realicen verificaciones y exámenes o evaluaciones a los resultados obtenidos con un alcance razonable, con el objetivo de evitar errores.

Al mencionar un alcance razonable, nos referimos a que un auditor no estipula un cien por ciento de seguridad absoluta en sus datos, es decir, puede que exista la posibilidad de que haya una irregularidad o un error, por lo tanto, es trabajo del auditor el tener en cuenta esta posibilidad antes, durante y después de llevar a cabo el trabajo de auditoría. Esta posibilidad debe ser informada a la organización al inicio y al finalizar el trabajo profesional.

Para que se lleve a cabo el debido cuidado profesional al realizar la auditoría, el auditor debe considerar: ^[5]

1. El alcance del trabajo de la auditoría necesario para lograr los objetivos de la auditoría,
2. La materialidad o importancia relativa de los asuntos a los que aplican los procedimientos de auditoría,
3. La adecuación y efectividad de los controles internos, y
4. El costo de la auditoría en la relación con los posibles beneficios.

El alcance real de la auditoría es examinar y evaluar la adecuación del sistema de control interno que posee la organización, con el fin de verificar que este proporcione una razonable seguridad en el logro de las metas y objetivos planteados por la organización.

Los objetivos elementales del control interno aseguran:

1. La confiabilidad e integridad de la información,
2. El cumplimiento de las políticas, planes, procedimientos, etc. establecidos por la organización,
3. Salvaguardar los activos,
4. La eficiencia en el uso de los recursos, y
5. El logro de los objetivos y metas de la organización.

Al analizar el sistema de información, nos percatamos que su importancia se encuentra en proporcionar los datos necesarios y oportunos, para poder tomar decisiones, por tal razón, es sumamente importante que los auditores se aseguren de que los sistemas de información funcionan de manera correcta y eficiente.

La gerencia de informática son los responsables de diseñar los sistemas utilizados en la organización, pero es responsabilidad del auditor el evaluar y revisar su buen funcionamiento, para esto, los auditores deberán revisar:

1. La manera en la que se salvaguardan los activos y si existen realmente, y
2. Los métodos que se utilizan para salvaguardar estos activos.

La administración es la responsable de asignar y establecer estándares de operación que sirvan para medir la eficiencia y manera en que se utilizan los recursos, y es responsabilidad del auditor de verificar estos estándares se cumplan.

1ra. Fase – Planeación de la Auditoría.

La planeación en la auditoría, es una de las fases más importantes, debido a que de esta depende la correcta ejecución del trabajo profesional; esto se debe a que permite dimensionar el tamaño y características dentro del organismo a auditar, así como sus sistemas y equipos, con el fin de determinar lo necesario para llevar a cabo el trabajo de manera eficiente.

El trabajo de la auditoría deberá incluir la planeación de la auditoría, el examen y evaluación de la información, la comunicación de los resultados y el seguimiento.

La planeación siempre debe documentarse, en esta debemos incluir los siguientes aspectos:

1. Los objetivos y alcances de la auditoría,
2. La manera de obtener la información de las áreas a auditar,
3. Establecer los recursos a utilizar,
4. Como se comunicará la información,
5. La forma de realizar la auditoría,
6. La preparación del programa de auditoría,
7. Como se comunicarán los resultados, y
8. La aprobación del plan de auditoría.

En la auditoría informática, la planeación es un pilar fundamental, debido a que se debe realizar desde varios puntos de vista a evaluar, estos son:

1. Evaluación administrativa,
2. Evaluación de los sistemas y procedimientos,
3. Evaluación del equipo de cómputo,
4. Evaluación de los procesos de datos,
5. Evaluación de la seguridad y confidencialidad de la comunicación, y
6. Los aspectos legales de los sistemas.

El proceso de planeación requiere obtener información general sobre la organización y sobre los sistemas de informática a evaluar, por eso, es necesario que este proceso establezca:

1. Las metas,
2. Los programas de trabajo,
3. Los planes de contratación de personal y presupuestos financieros, y
4. Informes de actividad.

Todo lo anterior va relacionado, debido a que las metas deben establecerse de tal manera que se puedan cumplir, por medio de un programa de trabajo bien elaborado, sobre la base de los planes específicos de personal y presupuestos financieros, terminando con informes de los resultados que se obtuvieron de las actividades realizadas.

...