Auditoria Informatica

Planeación de la auditoría en informática

Para hacer una adecuada planeación de la auditoría en informática hay que seguir una serie de pasos previos que permitirán dimensionar el tamaño y características del área dentro del organismo a auditar, sus sistemas, organización y equipo. Con ello podremos determinar el número y características del personal de auditoría, las herramientas necesarias, el tiempo y costo, así como definir los alcances de la auditoría para, en caso necesario, poder elaborar el contrato de servicios.

Dentro de la auditoría en general, la planeación es uno de los pasos más importantes, ya que una inadecuada planeación provocará una serie de problemas que pueden impedir que se cumpla con la auditoría o bien hacer que no se efectúe con el profesionalismo que debe tener cualquier auditor.

El trabajo de auditoría deberá incluir la planeación de la auditoría, el examen y la evaluación de la información, la comunicación de los resultados y el seguimiento.

La planeación de la auditoría deberá ser documentada e incluirá:

 El establecimiento de los objetivos y el alcance del trabajo.

 La obtención de información de apoyo sobre las actividades que se auditarán.

 La determinación de los recursos necesarios para realizar la auditoría.

 El establecimiento de la comunicación necesaria con todos los que estarán involucrados en la auditoría.

 La realización, en la forma más apropiada, de una inspección física para familiarizarse con las actividades y controles a auditar, así como identificación de las áreas en las que se deberá hacer énfasis al realizar la auditoría y promover comentarios y la promoción de los auditados.

 La preparación por escrito del programa de auditoría.

 La determinación de cómo, cuándo y a quien se le comunicarán los resultados de la auditoría.

 La obtención de la aprobación del plan de trabajo de la auditoría.

En el caso de la auditoría en informática, la planeación es fundamental, pues habrá que hacerla desde el punto de vista de varios objetivos:

 Evaluación administrativa del área de procesos electrónicos.

 Evaluación de los sistemas y procedimientos.

 Evaluación de los equipos de cómputo.

 Evaluación del proceso de datos, de los sistemas y de los equipos de cómputo (software, hardware, redes, bases de datos, comunicaciones).

 Seguridad y confidencialidad de la información.

 Aspectos legales de los sistemas de la información

Para lograr una adecuada planeación, lo primero que se requiere es obtener información general sobre la organización y sobre la función de informática a evaluar. Para ello es preciso hacer una investigación preliminar y algunas entrevistas previas, y con base en esto planear el programa de trabajo, el cual deberá incluir tiempos, costos, personal necesario y documentos auxiliares a solicitar o formular durante el desarrollo de la auditoría.

El proceso de planeación comprende el establecer:

 Metas

 Programas de trabajo de auditoría

 Planes de contratación de personal y presupuesto financiero.

 Informes de actividades.

Las metas se deberán establecer de tal manera que se pueda lograr su cumplimiento, sobre la base de los planes específicos de operación y de los presupuestos, los que hasta donde sea posible deberán ser cuantificables. Deberán acompañarse de los criterios para medirlas y de fechas límite para su logro.

Los programas de trabajo de auditoría deberán incluir: las actividades que se van a auditar, cuándo serán auditadas, el tiempo estimado requerido, tomando en consideración el alcance del trabajo de auditoría planeado y la naturaleza y extensión del trabajo de auditoría realizado por otros. Los programas de trabajo deberán ser lo suficientemente flexibles para cubrir demandas imprevistas.

Los planes de contratación de empleados y los presupuestos financieros –incluyendo el número de auditores, su conocimiento, su experiencia y las disciplinas requeridas para realizar su trabajo-, deberán contemplarse al elaborar los programas de trabajo de auditoría, así como las actividades administrativas, la escolaridad y el adiestramiento requeridos, la investigación sobre auditoría y los esfuerzos de desarrollo.

Revisión preliminar

El primer paso en el desarrollo de la auditoría, después de la planeación, es la revisión preliminar del área de informática. El objetivo de la revisión preliminar es el de obtener la información necesaria para que el auditor pueda tomar la decisión de como proceder en la auditoría. Al terminar la revisión preliminar el auditor puede proceder en uno de los tres caminos siguientes.

 Diseño de la auditoría. Puede haber problemas debido a la falta de competencia técnica para realizar la auditoría.

 Realizar una revisión detallada de los controles internos de los sistemas con la esperanza de que se deposite la confianza en los controles de los sistemas y de que una serie de pruebas sustantivas puedan reducir las consecuencias.

Decidir el no confiar en los controles internos del sistema. Existen dos razones posibles para esta decisión. Primero, puede ser más eficiente desde el punto de vista de costo-beneficio el realizar pruebas sustantivas directamente. Segundo, los controles del área de informática pueden duplicar los controles existentes en el área del usuario. El auditor puede decidir que se obtendrá un mayor costo-beneficio al dar una mayor confianza a los controles de compensación y revisar y probar mejor estos controles

La revisión preliminar significa la recolección de evidencias por medio de entrevistas con el personal de la instalación, la observación de las actividades en la instalación y la revisión de la documentación preliminar. Las evidencias se pueden recolectar por medio de cuestionarios iniciales, o bien por medio de entrevistas, o con documentación narrativa. Debemos considerar que ésta será sólo una información inicial que nos permitirá elaborar el plan de trabajo, la cual se profundizará en el desarrollo de la auditoría.

La revisión preliminar elaborada por un auditor interno difiere de la realizada por un auditor externo en tres aspectos. En primer lugar, el auditor interno normalmente requiere de menos revisiones y trabajos, especialmente en la parte gerencial y de organización, ya que él es parte de la organización y está familiarizado con la misma.

En segundo, el auditor externo se enfoca más en las causas de las pérdidas y en los controles necesarios para justificar sus decisiones; el auditor interno tiene

...