ORGANIZACIÓN DEL DEPARTAMENTO DE AUDITORÍA INFORMÁTICA

EL INFORME DE AUDITORÍA

INTRODUCCIÓN

El tema de este capítulo es de el Informe de Auditoría, el cual está enfocado en la informática, decimos que la informática es muy joven, y debido a la complejidad de los sistemas de información crecen sus prestaciones y características; la necesidad de utilizar, los que tienen las organizaciones –públicas y privadas- en todos sus ámbitos, alcanza hoy un valor estratégico de competitividad y supervivencia.

El informe del auditor es el medio a través del cual se emite un juicio sobre el objeto que se ha examinado en un ente, qué conclusión le merece su auditoría, por lo cual se le debe asignar un extremo cuidado verificando que sea técnicamente correcto y adecuadamente presentado de acuerdo con las áreas informáticas existentes.

Además el informe debe contener uno de los siguientes tipos de opinión: favorable, con salvedades, desfavorable, denegada, de acuerdo con los resultados en los que se ha llegado con el trabajo de auditoría informática.

Las Normas

En 1996 la Unión Europea publicó el Libro Verde de la Auditoría, dedicado al papel, la posición y la responsabilidad del auditor legal. Su contenido afecta a la auditoría informática. En principio el libro acepta las normas internacionales IFAC para su adaptación a la Unión Europea.

Otra fuente de Normas Internacionales es ISACF, ya más específica de Auditoría Informática.

Hoy por hoy, la normativa española oficial que afecta, en mayor o en menor medida, a la auditoría informática es la siguiente:

ICAC: Normas Técnicas de Auditorías

Agencia de Protección de Datos: Instrucción relativa a la prestación de servicios sobre solvencia patrimonial y créditos.

Hay dos tendencias legislativas y de práctica de disciplina: la anglosajona, basada en la Comumon Law, con pocas leyes y jurisprudencia relevante: y la latina basada en el Derecho Romano, de legislación muy detallada.

La Evidencia

Tratemos de recordar en qué consiste la evidencia en Auditoría Informática, así como las pruebas que avalan, sin olvidar la importancia relativa y el riesgo probable, inherente y de control.

La evidencia tiene una serie de calificativos a saber:

- La evidencia relevante, que tiene una relación lógica con los objetivos de la auditoría.

- La evidencia fiable, que es válida u objetiva, aunque con nivel de confianza.

- La evidencia suficiente, que es de tipo cuantitativo para soportar la opinión profesional del auditor.

- La evidencia adecuada, que es de tipo cualitativo para afectar a las conclusiones del auditor.

En principio las pruebas son de cumplimiento o sustantivas.

Las Irregularidades

Las irregularidades preocupan tanto que aparece con en énfasis y en el ya citado Libro Verde de la Auditoría.

En los organismos y en las empresas, la Dirección tiene la responsabilidad principal y primaria de la detección de irregularidades, fraudes y errores; la responsabilidad del auditor se centra en planificar, llevar a cabo y evaluar su trabajo para tener una expectativa razonable de su detección.

Es necesario diseñar pruebas de antifraude, que lógicamente incrementarán el coste de la auditoría, previo al análisis de riesgos (amenazas, importancia relativa).

La Documentación

En el argot de auditoría se conoce como papeles de trabajo la “totalidad de los documentos preparados o recibidos por el auditor.

El informe de auditoría, si se precisa que sea profesional, tiene que estar basado en la documentación o papeles de trabajo, como utilidad inmediata, previa supervisión.

La documentación es fuente en algunos casos en los que la corporación profesional puede realizar un control de calidad, o hacerlo algún organismo oficial. Los papeles de trabajo pueden llegar a tener valor en los tribunales de justicia.

Los trabajos utilizados en el curso de una labor, de otros auditores externos y/o expertos independientes, así como de los auditores internos, se reseñen o no en el informe de Auditoría Informática.

4.6. El Informe

Se ha realizado una visión rápida de los aspectos previos para tenerlos muy presentes al redactar el Informe de Auditoría Informática, esto es, la comunicación del auditor informático al cliente, formal y, quizá solemne, tanto del alcance de la autoría; (objetivos, periodo de cobertura naturaleza y extensión del trabajo realizado) como de los resultados y conclusiones.

Es cuestión previa para decidir si el informe es largo o, por el contrario corto, por supuesto con otros informes sobre aspectos, bien mas detallados, bien mas concretos, como el informe de debilidades del control interno, incluso de hechos o aspectos; todo ello teniendo en cuenta tanto la legislación vigente como el contrato con el cliente.

Los puntos esenciales, genéricos y mínimos del Informe de Auditoría Informática, son los siguientes:

1. Identificación del Informe

El título del Informe deberá identificarse con objeto de distinguirlo de otros informes.

2. Identificación del Cliente

Deberá identificarse a los destinatarios y a las personas que efectúen el encargo.

3. Identificación de la entidad auditada

Identificación de la entidad objeto de la auditoría informática.

4. Objetivos de la auditoría informática

Declaración de los objetivos de la auditoría para identificar su propósito, señalando los objetivos incumplidos.

5. Normativa aplicada y excepciones

Identificación de las normas legales y profesionales utilizadas, así como las excepciones significativas de uso y el posible impacto en los resultados de la auditoría.

6. Alcance de la auditoría

Concretar la naturaleza y extensión del trabajo realizado: área organizativa, periodo de auditoría, sistemas de información; señalando limitaciones al alcance y restricciones del auditado.

7. Conclusiones

Lógicamente se ha llegado a los resultados y, sobre todo, a la esencia del dictamen, la opinión, la opinión y los párrafos e salvedades y énfasis, si procede.

El informe debe contener uno de los siguientes tipos de opinión: favorable o sin salvedades, con salvedades, desfavorable o adversa, y denegada.

7.1. Opinión favorable.- deberá manifestarse en forma clara y precisa, y es el resultado de un trabajo sin limitaciones de alcance y sin incertidumbre, de acuerdo con la normativa legal y profesional.

7.2. Opinión con salvedades.-

Podrán ser estas, según las circunstancias, las siguientes:

-Limitaciones al alcance del trabajo realizado

-Incertidumbres cuyo resultado no permita una previsión razonable

-Irregularidades significativas

-Incumplimiento de la normativa legal y profesional

7.3. Opinión desfavorable.- Es aplicable en el caso de:

-Identificación de irregularidades

-Incumplimiento de la normativa legal y profesional.

7.4. Opinión denegada.- Puede tener su origen en:

-Las limitaciones al alcance de la auditoría

-Incertidumbres significativas de un modo tal que impidan al auditor formarse una opinión.

-Irregularidades

-El incumplimiento de la normativa legal y profesional.

7.5. Resumen.- La ética se convierte casi en la única fuente de orientación para reducir el desfase entre las expectativas del usuario en general y el informe de los auditores.

8. Resultados: Informe largo y otros informes

Parece ser que, de acuerdo con la teoría de los ciclos, el informe largo va a colocar al informe corto en su debido sitio, o sea, como resumen del informe largo.

Es indudable que el límite lo marcan los papeles de trabajo o documentación de la auditoría, pero existen aspectos a tener en cuenta.

- El secreto de la empresa

- El secreto profesional

- Los aspectos relevantes de la auditoría

9 Informes previos

No es una práctica recomendable, aunque sí usual en algunos casos, ya que el informe de auditoría informática es, por principio, un informe de conjunto. Sin embargo, en el caso de detección de irregularidades significativas, tanto errores como fraudes, sobre todo, se requiere una actuación inmediata según la normativa legal y profesional.

10. Fecha del Informe

El tiempo no es neutral; la fecha del Informe es importante, no solo por la cuantificación de honorarios y el cumplimiento con el cliente, sino para conocer la magnitud del trabajo y sus aplicaciones. Conviene precisar las fechas de inicio y conclusión del trabajo de campo, incluso la del cierre del ejercicio.

11. Identificación y firma del Auditor

En este aspecto formal del informe es esencial tanto si es individual como si forme parte de una sociedad de auditoría.

12. Distribución del Informe

Bien en el contrato, bien en la carta propuesta del Auditor Informático, deberá definirse quien o quienes podrán hacer uso del informe, así como los usos concretos que tendrá, pues los honorarios deberán guardar relación con la responsabilidad civil.

Conclusiones

La auditoría de sistemas informáticos debe hacerse por profesionales expertos, una auditoría mal hecha puede acarrear consecuencias drásticas para la empresa auditada.

El trabajo del auditor consiste en lograr obtener la información necesaria para emitir un juicio global objetivo, siempre amparado por las evidencias comprobatorias.

El auditor debe estar capacitado para comprender los mecanismos que se desarrollan en un procesamiento electrónico; de la misma forma estar preparado para enfrentar sistemas computarizados en los cuales se encuentra la información necesaria para auditar.

La auditoría informática es la indicada para evaluar de manera profunda, una determinada organización a través de su sistema de información automatizado, de aquí su importancia y relevancia.

...