AUDITORIA DE SISTEMAS

INDICE

PLAN DE AUDITORÍA DE SISTEMAS 3

ORIGEN DE LA AUDITORÍA 3

VISITA PRELIMINAR 3

OBJETIVOS DE LA AUDITORÍA 4

GENERALES: 4

PARTICULARES: 5

ESPECÍFICOS: 5

PUNTOS A EVALUAR EN LA AUDITORÍA 5

TIPO DE AUDITORÍA A UTILIZAR 6

PLAN DE AUDITORÍA 7

DELIMITACION DE ESTRATEGIAS 8

PLANES DE AUDITORÍA 9

ALCANCES 10

PROGRAMA DE TRABAJO 11

PRESUPUESTO POR PUNTOS A EVALUAR 12

METODOS, HERRAMIENTAS, INSTRUMENTOS Y PROCEDIMIENTOS 13

GUIA DE PONDERACION DE PUNTOS A EVALUAR 13

GUIA DE TRABAJO 15

FORMATO PARA INVENTARIOS DE FUNCIONES 17

ASIGNACION DE RECURSOS 18

EMPRESA: PLAN DE AUDITORÍA DE SISTEMAS

ORIGEN DE LA AUDITORÍA

Grupo dos y asociados con el fin de efectuar el trabajo de revisión y auditoría de los Sistemas Computacionales utilizados para la efectiva eficiencia de las operaciones de la empresa PROYECTOS ELECTRICOS Y CONTROL INDUSTRIAL DE C. A., S. A. (PROELECTRIC) y su buen funcionamiento, hemos sido aceptados para realizar la auditoría respectiva, la cual se describirá en nuestra planificación detallada en las fases del programa.

VISITA PRELIMINAR

El día 13 de marzo a las 8:30 a.m. se realizó la visita preliminar a las instalaciones de PROELECTRIC, ubicada en la 3ª. Avenida 13-74 zona 3 de Mixco, ciudad de Guatemala, nos atendió el señor José Alfredo Bonilla, Gerente General. Observamos los siguientes puntos:

 La Gerencia General nos informa que la empresa no cuenta con un departamento de informática, sino que contrata los servicios para mantenimiento y administración de redes, soporte de sistemas contables de manera Outsorcing, prestados por la empresa xxx.

 Los sistemas principales utilizados por la empresa son:

Sistema ASPEL, COI: Manejo de Información Contable.

Sistema ASPEL, SAE: Manejo de Inventarios.

 El servidor que se utilizan son: WINDOWS 2000 SERVER

 Las maquinas de los usuarios utilizan sistemas operativos Windows XP Professional y Vista.

 Los Backup son realizados después de cada cierre de fin de mes y solamente se hace de la base de datos del Sistema Aspel COI.

OBJETIVOS DE LA AUDITORÍA

Generales:

 Evaluar la protección y respaldo de archivos e información.

 Evaluar los planes y programas de capacitación y adiestramiento de usuarios del sistema.

 Evaluar el servicio que presta la empresa contratada Outsorcing.

Particulares:

 Emitir una opinión sobre la razonabilidad de los controles y sistemas de protección y respaldo de archivos e información.

 Evaluar la existencia y cumplimiento de los planes y programas de capacitación y adiestramiento de usuarios del sistema.

 Evaluar la estructura y seguridad de la red interna de la empresa.

Específicos:

 Evaluar las normas, políticas y procedimientos para el almacenamiento, custodia, protección y respaldo de archivos e información.

 Evaluar la existencia y aplicación de los planes y programas de prevención contra contingencias informáticas.

 Verificar el diseño de archivos, y medios establecidos para el almacenamiento de información de la empresa.

 Evaluar la existencia y cumplimiento de planes y programas de capacitación y adiestramiento de usuarios del sistema.

PUNTOS A EVALUAR EN LA AUDITORÍA

 Evaluar el diseño adecuado de los archivos y la forma en que se almacena la información en los sistemas computacionales de la empresa.

 Evaluar las formas y tipos de almacenamiento de información establecidos para los sistemas computacionales de la empresa, en cuanto al uso de USB, disquetes, cintas, CD-Rs gravables, sistemas DVD o cualquier otro dispositivo de almacenamiento, y si éstos son acordes con las necesidades informáticas de la misma.

 Evaluar la existencia y seguimiento de programas de respaldos de información (backups), así como su realización adecuada, custodia y vigilancia, de acuerdo con los periodos establecidos y con las características específicas para cada archivo.

 Evaluar la existencia y aplicación de los planes y programas de prevención contra contingencias informáticas.

 Evaluar la administración y control de los respaldos de información.

 Evaluar la existencia de funcionarios responsables de la seguridad y protección de los archivos e información.

 Evaluar la existencia de planes y programas de capacitación y adiestramiento de usuarios del sistema.

 Verificar el último informe de control interno de la empresa Outsorcing para su seguimiento.

 Verificar el servicio del personal de la empresa outsorcing y evaluar los resultados de las mismas.

 Evaluar la accesibilidad de los usuarios a los equipos en red.

 Evaluar el aprovechamiento de los recursos de la red.

TIPO DE AUDITORÍA A UTILIZAR

En base a nuestra visita preliminar y habiendo planteado nuestros objetivos generales hemos decidido aplicar una auditoría informática, de redes y Outsourcing la cual evalúa técnicamente los sistemas computacionales, software e información utilizados en instalaciones, equipo periférico, servicio outsourcing, administración de redes y demás componentes. Dicha revisión se realiza de igual manera a la gestión informática, el aprovechamiento de sus recursos, las medidas de seguridad y los bienes de consumo necesarios para el funcionamiento del centro de cómputo.

El propósito fundamental es evaluar la protección y respaldo de archivos e información así como los planes y programas de capacitación y adiestramiento de los usuarios del sistema.

PLAN DE AUDITORÍA

Nuestro plan de auditoría se realizará en tres fases que se detallan a continuación:

En esta etapa definiremos la forma en que evaluaremos los puntos planteados en nuestros objetivos generales, específicos y particulares, así como las estrategias adoptadas para el cumplimiento eficaz, eficiente y oportuno de lo deseado según lo presupuestado.

Durante el desarrollo de esta etapa se mostrara que, en base a las necesidades de la empresa Proyectos Eléctricos y Control Industrial y los riesgos ya definidos en nuestra visita preliminar. A continuación se darán a conocer los programas que hemos diseñado, las estrategias que utilizaremos, el presupuesto que hemos asignado así como el personal que participará en la realización de la auditoría.

DELIMITACION DE ESTRATEGIAS

Documentar, con base en el perfil de la empresa lo siguiente:

 Los aspectos de revisión y supervisión del grupo directivo de auditoría que han sido asignados y como se han delegados los equipos de trabajo.

 Documentar sobre la integración del equipo de trabajo. Considerar la competencia profesional de los integrantes que realizan el trabajo que les fue delegado al decir el alcance de la dirección, supervisión y revisión.

 Desarrollar un plan de trabajo e incluir un presupuesto donde detalle el valor de las horas que se emplearan en la realización de la auditoría en sistemas computacionales.

 Identificar los riesgos en sistemas computacionales.

 Considerar la materialidad del riesgo de auditoría identificado.

 Identificar a las personas relevantes con responsabilidad en el departamento y con quienes los asuntos importantes deben ser comunicados.

 Toda la información que debamos comunicar debe hacerse de forma oportuna.

PLANES DE AUDITORÍA

 Indicar que procedimientos de auditoría se van a realizar al nivel de protección, respaldo de archivos e información, programas de capacitación y adiestramiento de los usuarios del sistema.

 Documentar cualquier cambio significativo al plan de auditoría.

 Asegurar que los procesos de ingreso, procesamiento y emisión de información son sustantivos.

 Realizar pruebas de cumplimiento a la empresa outsourcing con los términos del contrato establecido.

ALCANCES

 Realizaremos la evaluación del sistema de control interno relacionado con la protección y respaldo de archivos e información, así mismo de los planes y programas de capacitación y adiestramiento para los usuarios.

Esta evaluación incluirá, entre otros, los siguientes aspectos: I) la capacidad instalada con recursos humanos, materiales y del sistema de información de la empresa outsourcing, II) los sistemas utilizados por la empresa PROELECTRIC para el registro y procesamiento de información.

 Examinaremos la aplicación de los procedimientos de control y mantenimiento de las redes.

 Reportaremos todas las deficiencias, desviaciones (intencionales o no intencionales) encontradas en los puntos plasmados en el plan detallado de auditoría.

PROGRAMA DE TRABAJO

ACTIVIDAD SEMANAS

No.

Nombre

Responsable

Marzo Abril Mayo

1 2 3 4 5 6 7 8

1 Realizar Visita Preliminar A1, A2, A3

2 Elaborar plan de auditoría A2

3 Aprobar plan de auditoría A1

4 Iniciar Auditoría A3

5 Evaluar

...