Auditoria de Sistemas Introducción y Conceptos

1. Auditoria de SistemasIntroducción y Conceptos Ing. Elizabeth Guerrero

2. Antecedentes de la Auditoria • En tiemposhistóricos, auditor era aquella persona a quíen le leían los ingresos y gastosproducidospor un establecimiento, prácticautilizadaporcivilizacionesmuyantiguas. • Se estimaque el nacimiento de la Auditoríafue a finales del siglo XV, cuando los revisores de cuentas se aseguraban de que no hubierafraudes en los reportesque se les presentaban.

3. Definición General de Auditoria • Es la revisiónindependientequerealiza un auditor profesional, aplicandotécnicas, métodos y procedimientosespecializados, a fin de evaluar el cumplimiento de lasfunciones, actividades, tareas y procedimientos de unaentidadadministrativa, asícomodictaminarsobre el resultado de dichaevaluación.

4. ObjetivosGenerales de la Auditoría • Realizarunarevisiónindependiente de lasactividades, áreas o funcionesespeciales de unainstitución, a fin de emitir un dictamenprofesionalsobre la razonabilidad de susoperaciones y resultados.

5. ObjetivosGenerales de la Auditoría • Hacerunarevisiónespecializada, desde un punto de vista profesional y autónomo, del aspectocontable, financiero y operacional de lasáreas de unaempresa.

6. ObjetivosGenerales de la Auditoría • Evaluar el cumplimiento de los planes, programas, políticas, normas y lineamientosqueregulan la actuación de los empleados y funcionarios de unainstitución, asícomo de susáreas y unidadesadministrativas.

7. ObjetivosGenerales de la Auditoría • Dictaminar de maneraprofesional e independientesobre los resultadosobtenidosporunaempresa y susáreas, asícomosobre el desarrollo de susfunciones y el cumplimiento de susobjetivos y operaciones.

8. Introducción a la Auditoría de Sistemas • A finales del siglo XX, los Sistemas Informáticos se han constituido en las herramientas más poderosas para materializar uno de los conceptos más vitales y necesarios para cualquier organización empresarial, los Sistemas de Información de la empresa. • La Informática hoy, está subsumida en la gestión integral de la empresa, y por eso las normas y estándares propiamente informáticos deben estar, por lo tanto, sometidos a los generales de la misma. • En consecuencia, las organizaciones informáticas forman parte de lo que se ha denominado el "management" o gestión de la empresa. • Cabe aclarar que la Informática no gestiona propiamente la empresa, ayuda a la toma de decisiones, pero no decide por sí misma. • Por ende, debido a su importancia en el funcionamiento de una empresa, existe la Auditoría de Sistemas Informáticos.

9. Introducción a la Auditoría de Sistemas • El término de Auditoría se ha empleado incorrectamente con frecuencia ya que se ha considerado como una evaluación cuyo único fin es detectar errores y señalar fallas. • El concepto de auditoría de sistemas es mucho más que esto.

10. Auditoría de Sistemas • La auditoria en informática es la revisión y la evaluación de: • los controles, sistemas, procedimientos de informática; • los equipos de cómputo, su utilización, eficiencia y seguridad, • la organización que participan en el procesamiento de la información, A fin de que por medio del señalamiento de vias alternativas se logre una utilización más eficiente y segura de la información que servirá para una adecuada toma de decisiones

11. Objetivos de la Auditoría de Sistemas • Realizarunaevaluación con personal multidisciplinario y capacitado en el área de sistemas, con el fin de emitir un dictamenindependientesobre la razonabilidad de lasoperaciones del sistema y la gestiónadministrativa del área de informática • Hacer la evaluaciónsobre el uso de los recursosfinancieros en el área del centro de información

12. Objetivos de la Auditoría de Sistemas • Evaluar el uso y aprovechamiento de los equipos de cómputo, asícomo, el uso de susrecursostécnicos y materialespara el procesamiento de información. • Evaluar el aprovechamiento de los sistemas de procesamiento, sussistemasoperativos, lenguajes, programas, asicomo, el desarrollo e instalación de nuevossistemas.

13. Objetivos de la Auditoría de Sistemas • Evaluar el cumplimiento de planes, programas, estándares, políticas, normas y lineamientosqueregulanlasfunciones y actividades de lasáreas y de los sistemas de procesamiento de información. • Realizar la evaluación de lasáreas, actividades y funciones de unaempresa, apoyado en programasespecialespara la auditoría

14. Objetivos de la Auditoría de Sistemas • Asegurar la integridad, confidencialidad y confiabilidad de la información. • Minimizar existencias de riesgos en el uso de Tecnología de información • Conocer la situación actual del área informática para lograr los objetivos. • Seguridad, utilidad, confianza, privacidad y disponibilidad en el ambiente informático, así como también seguridad del personal, los datos, el hardware, el software y las instalaciones.

15. ¿PorquéhacerAuditoría de Sistemas? • Algunos de los varios inconvenientes que puede presentar un Sistema Informático son: • Las computadoras y los Centros de Proceso de Datos se convirtieron en blancos apetecibles no solo para el espionaje, sino para la delincuencia y el terrorismo ->Auditoría Informática de Seguridad.

16. ¿PorquéhacerAuditoría de Sistemas? • Las computadoras creadas para procesar y difundir resultados o información elaborada pueden producir resultados o información errónea si dichos datos son, a su vez, erróneos. -> Auditoría Informática de Datos

17. ¿PorquéhacerAuditoría de Sistemas? • Un Sistema Informático mal diseñado puede convertirse en una herramienta altamente peligrosa para la empresa: como las maquinas obedecen ciegamente a las órdenes recibidas y la modelización de la empresa está determinada por las computadoras que materializan los Sistemas de Información, la gestión y la organización de la empresa no puede depender de un Software y Hardware mal diseñados.

18. ¿PorquéhacerAuditoría de Sistemas? • Aumento considerable e injustificado del presupuesto del PAD (Departamento de Procesamiento de Datos) • Desconocimiento en el nivel directivo de la situación informática de la empresa • Falta total o parcial de seguridades lógicas y fisicas que garanticen la integridad del personal, equipos e información. • Descubrimiento de fraudes efectuados con el computador • Falta de una planificación informática • Organización que no funciona correctamente, falta de políticas, objetivos, normas, metodología, asignación de tareas y adecuada administración del Recurso Humano

19. ¿PorquéhacerAuditoría de Sistemas? • Descontento general de los usuarios por incumplimiento de plazos y mala calidad de los resultados. • Falta de documentación o documentación incompleta de sistemas que revela la dificultad de efectuar el mantenimiento de los sistemas en producción

20. Síntomas de Necesidad de una Auditoría Informática • Síntomas de descoordinación y desorganización • Síntomas de mala imagen e insatisfacción de los usuarios • Síntomas de debilidades económico-financiero • Síntomas de Inseguridad: Evaluación de nivel de riesgos

21. Requisitos de la Auditoría de Sistemas • Debeseguirunametodologíapreestablecida • Se realizará en unafechaprecisa y fija • Será personal extraño al servicio de informáticaperoespecializado en el área

22. Tipos de Auditoría

23. Tipos de Auditoría

24. Tipos de Auditoría

25. Tipos de Auditoría

26. Auditoría de SistemasComputacionales • Auditoría de la gestión: Referido a la contratación de bienes y servicios, documentación de los programas, etc. • Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas. • Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos. • Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio. • Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno. • Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información. • Auditoría de las comunicaciones. Se refiere a la auditoria de los procesos de autenticación en los sistemas de comunicación. • Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

27. Auditoría alrededor del computador • En este enfoque de auditoría, los programas y los archivos de datos no se auditan. • La auditoría alrededor del computador concentra sus esfuerzos en la entrada de datos y en la salida de información. • Es el más cómodo para los auditores de sistemas, por cuanto únicamente se verifica la efectividad del sistema de control interno en el ambiente externo de la máquina. Naturalmente que se examinan los controles desde el origen de los datos para protegerlos de cualquier tipo de riesgo que atente contra la integridad, completitud, exactitud y legalidad.

28. Auditoría alrededor del computador • La auditoría alrededor del computador no es tan simple como aparentemente puede presentarse, pues tiene objetivos muy importantes como: 1. Verificar la existencia de una adecuada segregación funcional. 2. Comprobar la eficiencia de los controles sobre seguridades físicas y lógicas de los datos. 3. Asegurarse de la existencia de controles dirigidos a que todos los datos enviados a proceso estén autorizados. 4. Comprobar la existencia de controles para asegurar que todos los datos enviados sean procesados. 5. Cerciorarse que los procesos se hacen con exactitud. 6. Comprobar que los datos sean sometidos a validación antes de ordenar su proceso. 7. Verificar la validez del procedimiento utilizado para corregir inconsistencias y la posterior realimentación de los datos corregidos al proceso. 8. Examinar los controles de salida de la información para asegurar que se eviten los riesgos entre sistemas y el usuario. 9. Verificar la satisfacción del usuario. En materia de los informes recibidos. 10. Comprobar la existencia y efectividad de un plan de contingencias, para asegurar la continuidad de los procesos y la recuperación de los datos en caso de desastres.

29. Auditoría a través del computador • Este enfoque está orientado a examinar y evaluar los recursos del software, y surge como complemento del enfoque de auditoría alrededor del computador, en el sentido de que su acción va dirigida a evaluar el sistema de controles diseñados para minimizar los fraudes y los errores que normalmente tienen origen en los programas. • Este enfoque es más exigente que el anterior, por cuanto es necesario saber con cierto rigor, lenguajes de programación o desarrollo de sistemas en general, con el objeto de facilitar el proceso de auditaje.

30. Auditoría a través del computador • Objetivos de esta auditoría 1. Asegurar que los programas procesan los datos, de acuerdo con las necesidades del usuario o dentro de los parámetros de precisión previstos. 2. Cerciorarse de la no-existencia de rutinas fraudulentas al interior de los programas. 3. Verificar que los programadores modifiquen los programas solamente en los aspectos autorizados. 4. Comprobar que los programas utilizados en producción son los debidamente autorizados por el administrador. 5. Verificar la existencia de controles eficientes para evitar que los programas sean modificados con fines ilícitos o que se utilicen programas no autorizados para los procesos corrientes. 6. Cerciorarse que todos los datos son sometidos a validación antes de ordenar su proceso correspondiente. • Informe de Auditoría: deberá orientarse a opinar sobre la validez de los controles, en este caso de software, para proteger los datos en su proceso de conversión en información.

31. Auditoría con el computador • Este enfoque va dirigido especialmente, al examen y evaluación de los archivos de datos en medios magnéticos, con el auxilio del computador y de software de auditoría generalizado y /o a la medida. • Este enfoque es relativamente completo para verificar la existencia, la integridad y la exactitud de los datos, en grandes volúmenes de transacciones. • La auditoría con el computador es relativamente fácil de desarrollar porque los programas de auditoría vienen documentados de tal manera que se convierten en instrumentos de sencilla aplicación.

32. Auditoría con el computador • Normalmente son paquetes que se aprenden a manejar en cursos cortos y sin avanzados conocimientos de informática. Los paquetes de auditoría permiten desarrollar operaciones y prueba, tales como: 1- Recálculos y verificación de información, como por ejemplo, relaciones sobre nómina, montos de depreciación y acumulación de intereses, entre otros. 2- Demostración gráfica de datos seleccionados. 3- Selección de muestras estadísticas. 4- Preparación de análisis de cartera por antigüedad. • Informe de Auditoría: Este informe deberá versar sobre la confiabilidad del sistema de control interno para proteger los datos sometidos a proceso y la información contenida en los archivos maestros. • Los tres (3) enfoque de auditoría vistos, son complementarios, pues ninguno de los tres, es suficiente para auditar aplicaciones en funcionamiento.

33. AuditoríaExterna • Es la revisiónindependientequerealiza un profesional de la auditoría, con total libertad de criterio y sin ningunainfluencia, con el proposito de evaluar el desempeño de lasactividades, operaciones y funcionesque se realiza en la empresaque lo contrata. • La auditoría externa es realizada por auditores ajenos a la empresa auditada; es siempre remunerada.

34. Ventajas y Desventajas de la AuditoríaExterna

35. AuditoríaInterna • Es la revisiónquerealiza un profesional de la auditoría, cuyarelación de trabajoesdirecta y subordinada a la institucióndonde se aplicará la auditoría, con el proposito de evaluar en forma interna el desempeño y cumplimiento de lasactividades, operaciones y funcionesque se realiza en la empresa. • La auditoría interna existe por expresa decisión de la Empresa, o sea, que puede optar por su disolución en cualquier momento.

36. Ventajas y Desventajas de la AuditoríaInterna

37. Auditoria Interna y Externa • Una Empresa o Institución que posee auditoría interna puede y debe en ocasiones contratar servicios de auditoría externa. • Las razones para hacerlo suelen ser: • Necesidad de auditar una materia de gran especialización, para la cual los servicios propios no están suficientemente capacitados. • Contrastar algún Informe interno con el que resulte del externo, en aquellos supuestos de emisión interna de graves recomendaciones que chocan con la opinión generalizada de la propia empresa. • Servir como mecanismo protector de posibles auditorías informáticas externas decretadas por la misma empresa. • Aunque la auditoría interna sea independiente del Departamento de Sistemas, sigue siendo la misma empresa, por lo tanto, es necesario que se le realicen auditorías externas como para tener una visión desde afuera de la empresa.

38. Reglas de la Auditoría • La auditoría informática consiste en comparar uno o varios actos de gestión, desde uno o varios puntos de vista, con los que deberían ser. • Los medios y las acciones elegidas por el auditor deben adaptarse exclusivamente a la finalidad de la auditoría, siendo coherentes entre sí y, desde luego, fiables y seguros.

39. Normas de la Auditoría • Las Normas de Auditoría son los lineamientos básicos que el auditor debe seguir en el cumplimiento de la labor de auditoría. • El organismo encargado de elaborar estas normas para la ejecución de tareas de auditoría es el Comité Internacional de Prácticas de Auditoría cuya sigla en inglés es IAPC (International AuditingPracticesComittee)

40. Normas de Auditoría • Son los requisitos mínimos de calidad relativos a la personalidad de auditor, al trabajo que desempeña y a la información que rinde como resultado de su trabajo. • Las normas de Auditoría se clasifican en: • Normaspersonales • Normas de ejecución de trabajo • Normas de la información

41. Normaspersonales • Se refieren a las cualidades que el auditor debe tener para poder asumir, dentro de las exigencias que el carácter profesional de la auditoria impone, un trabajo de este tipo. • Entrenamiento técnico y capacidad profesional • Cuidado y diligencia profesionales • Independencia

42. Normas de ejecución de trabajo • Planeación y supervisión • Estudio y evaluación del control interno • Obtención de evidencia suficiente y competente.

43. Normas de la información • El resultado final del trabajo del auditor es su dictamen o informe. Mediante este, pone en conocimiento de las personas interesadas los resultados de su trabajo y la opinión que se ha formado a través de su examen. • Debepresentarsesiguiendolasnormas de auditoría • Presentalasobservacionesque se hayandetectadodurante el periodo de evaluación, destacandoaquellasdesviaciones de los procedimientosnormales • Contienen la opiniónrazonadadel auditor

44. Auditoría y Consultoría