Evaluacion de procesos informaticos tarea 1

FASES

DESCRIPCION

PRACTICAS (ejemplos)

I.- Conocimientos del Sistema

Es responsabilidad del
auditor comprender las diversas prácticas comerciales y funciones relacionadas con el tema de la
auditoría, así como los tipos de sistemas que se utilizan; el ambiente normativo en el que opera
el negocio y que suelen ser muy específicos de un rubro a otro.

• Recorrer las instalaciones de la organización, considerando, en caso de que corresponda,
sucursales, sedes, talleres u otros lugares físicos en los que, por alcance se deba auditar.
• Leer antecedentes, como publicaciones sobre la industria, memorias e informes financieros;
normativa vigente que la afecte, rol de los entes fiscalizadores.
• Entrevistar a agentes clave, como gerentes o encargado de área, para comprender los temas
comerciales esenciales.
• Estudiar normas o reglamentos internos, planes estratégicos a largo plazo, informes de
auditorías anteriores.
• Identificar el organigrama de la o las áreas a auditar.
• Leer el manual de funciones o descriptores de cargo de las personas que participan en los
procesos a auditar.
• Caracterizar las aplicaciones y equipamiento computacional en cuanto su uso, personal
autorizado a manipularlo; operatividad de las aplicaciones; mecanismos de seguridad (claves
de acceso), procedimientos para generar y almacenar los datos en las computadoras.

II.- Análisis de Transacciones y Recursos

Se definen los objetivos de la auditoria, sus alcances a sistemas específicos o unidades de la organización que revisarán y se establecerán los puntos y transacciones que van hacer controlados.

• Asignar importancia a las transacciones que serán auditadas. Esto lo realiza el administrador.
• Establecer el flujo de los procesos, para lo cual una buena herramienta es el flujograma.
• Identificar, codificar los recursos que participan del sistema informático, para luego analizar
la relación entre transacciones y recursos.

III.- Análisis de riesgos y Amenazas

En esta etapa, se establece el área y alcances de la auditoria, considerando es necesario los
riesgos de que la información pueda tener errores materiales o que el auditor no pueda detectar un error. Estos riegos se pueden clasificar como:

• Riesgo inherente: el error material no se puede evitar porque no existen controles
compensatorios relacionados que se puedan establecer.
• Riesgo de control: el error material no puede evitarse o no puede ser detectado en forma
oportuna por el sistema de control interno.
• Riesgo de detección: el auditor realiza pruebas a partir de un procedimiento inadecuado,
obteniendo resultados exitosos.

En una auditoría de sistemas informáticos la definición de riesgos se asocia a:

• Daños físicos o destrucción de los recursos.
• Pérdida por fraude o desfalco.
• Extravío de documentos fuente, archivos o informes.
• Robo de dispositivos o medios de almacenamiento.
• Interrupción de las operaciones del negocio.
• Pérdida de integridad de los datos.
• Ineficiencia de operaciones.
• Errores.

IV.- Análisis de Controles

En esta etapa se revisan los mecanismos de controles que deben existir y la identificación adecuada de la codificación que determina a las personas que manejan los recursos. El fin de este control es proteger el recurso, disminuyendo los riesgos y amenazas.

Para cada uno de estos temas es necesario establecerse uno o más controles, debido a esto, también es necesario analizar las coberturas de los controles requeridos, con el propósito de dictaminar si para estos controles que el auditor pudo identificar será necesario proveer una protección más adecuada para estos recursos.

V.- Evaluación de Controles

En esta etapa el objetivo es poder verificar la existencia de los controles que se necesitan, para de esta manera determinar la operatividad y suficiencia de ellos. Por lo tanto, es necesario un plan de pruebas que debe incluir la selección del tipo de prueba a realizar.

Una vez realizada la ejecución de las pruebas se deben analizar los datos recabados

VI.- Informe de Auditoria

Para esta etapa la elaboración de un informe que contenga la evaluación de las respuestas obtenidas y la ejecución de
la auditoría, constituye un informe en detalle y resumen para la alta gerencia de la organización.

Este informe debe prepararse una vez obtenidas y analizadas las respuestas de compromiso de las áreas y además debe considerar una introducción con el fin de explicar el objetivo y el contenido de dicho informe, los alcances, los hallazgos, la opinión y las recomendaciones para la mejora que emite el
auditor.

VII.- Seguimiento de Recomendaciones

Esta etapa da seguimiento a la evaluación de los controles y las medidas de seguridad que se aplican a los recursos del sistema de información con un plan de mejoras que la organización debe comprometerse a ejecutar.

Este informe final dará a la organización las pautas para que pueda superar aquellas áreas, procedimientos o subsistemas que han presentado falencias en la auditoría.