Organización del Departamento de Auditoría Informática

1

ORGANIZACIÓN DEL DEPARTAMENTO DE AUDITORÍA INFORMÁTICA

Antecedentes

Auditoría “alrededor del ordenador” Auditor verificaba los documentos de entrada al

ordenador y los informes producidos, sin entender lo que pasaba dentro del ordenador

Auditor verificaba la seguridad física (incendios, copias de seguridad, etc.)

Auditor financiero

Auditoría “a través del ordenador” Auditor financiero utiliza el ordenador como medio para

acceder a los datos (a través de paquetes)

Auditoría “con el ordenador” Utilizando sus posibilidades, utilidades, etc.

Control Interno

Controla que todas las actividades de S.I. sean realizadas cumpliendo los procedimientos, normas y estándares fijados por la Dirección

Comprende el plan de organización y coordinación de los métodos y las medidas adoptadas dentro de una empresa: Salvaguardar los activos (Hw, Sw, personas, suministros, etc.) Verificar la exactitud y fiabilidad de sus datos Promover la efectividad operativa Fomentar el seguimiento de las normas y políticas

establecidas

Es rutinario

Abarca todos los métodos y medidas diseñados para asegurar que se cumplen

Elementos del Control Interno

Ambiente de control Integridad, Ética y Capacidad del personal de la empresa

Factores de Evaluación Existencia e Implantación de Códigos de Conducta Presión para cumplir metas de eficacia poco realistas Descripción de los Puestos de Trabajo Análisis de conocimientos y Habilidades que se requieren

Participación de la Alta Dirección Responsabilidad de los empleados

Evaluación del Riesgo (progresos tecnológicos, cambios en el entorno operativo, nuevo personal, etc.) Actividades de Control (preventivos, correctivos, etc.)

Información y Comunicación de la InformaciónSupervisión de los controles internos para asegurarse

que el proceso funciona según lo previsto

Auditoría Interna

No puede tomar parte en funciones de tipo operativo

Control de los controles Evaluar la adecuación, grado de efectividad y eficiencia del

sistema de control interno de una empresa

Ayudar a la Dirección en el cumplimiento de sus responsabilidades y contribuir a que se logren en cada área resultados óptimos Prestar un servicio de asistencia y de crítica constructiva

Funciones principales con respecto al control interno Determinar si los Controles Internos proporcionan la

protección necesaria, así como la máxima eficacia operativa Comprobar si los procedimientos operativos y métodos se

utilizan tal y como está establecido en las normas de la empresa

Auditoría Interna no es:

Sitio de “retiro” para directivo en desgracia u obsoletosCentro de inquisidores (auditoría policíaca)Agrupación de “delatores”Proveedor de “mano de obra”, para solucionar situaciones de

emergencia de otros departamentosDepartamento de filtraciones, obtenidas a través de la actividad

auditoraAuxiliar de la auditoría externa o un enemigo permanente de éstaUn “apaga fuegos” para toda situación de emergenciaUn lugar de resentidos y descontentos, que se creen los más

capacitados y todo lo enjuician negativamenteUn departamento sin categoría ni prestigio en la empresa

Auditoría Externa

Realizada por alguien ajeno a la entidad auditada

Se centran en las deficiencias de los controles internos

Diferencias con la auditoría interna: Sujeto

Profesional independiente / Empleado de la empresa Objeto

Opinión independiente / Control y sugerencias de mejora Informe

Dictamen / Sólo recomendaciones internas Responsabilidad

Civil e incluso penal / Laboral Continuidad

Periódica / Continua

Auditor Informático

Es más fácil que un informático adquiera los principios del control, de la auditoría y de la seguridad, que un auditor financiero llegue a adquirir el nivel técnico informático necesario

En las grandes empresas, cada día existe más la tendencia de contar con especialistas en áreas de la auditoría informática

Para los auditores no informáticos puede ser frustrante auditar un entorno informático, debido p.e. a que jerga propia de cada empresa, de cada proyecto

Auditor Informático

Estándares relativos al mantenimiento de la profesionalidad en la relación de auditorías El auditor participará activamente en la revisión del diseño y

desarrollo de nuevas aplicaciones informáticas El auditor revisará los controles generales en los sistemas

informáticos, para determinar que se diseñado de acuerdo con las normas internas en vigor y los requerimientos legales aplicables

El auditor revisar los controles de las aplicaciones informáticas instaladas para evaluar su fiabilidad procesando datos a tiempo, de forma exacta y completa

Los auditores informáticos creados a partir de no-informáticos mediante cursos, necesitarán una actualización de sus conocimientos a medida que van surgiendo nuevas facetas de TI

Qué es la Auditoría Informática

A.I. es la revisión de la propia informática y de su entorno. Actividades que comprende: Análisis de riesgos: prevención y detección de fraudes informáticos

y virus entre otras cosas Plan de contingencia, ante una situación prevista Participación de desarrollo de aplicaciones: auditoría preventiva Asesoramiento, para la instalación de paquetes de seguridad Revisión de controles y cumplimiento de los mismos, así como de

las normas legales aplicables Evaluación de la gestión de recursos informáticos, así como

existencia de políticas y estándares Apoyo técnico e informático en auditorías generales

Entorno informático comprende: Todas o algunas de sus áreas (equipos, S.O., desarrollo, etc.) Los estándares y procedimientos en vigor El grado de satisfacción de los usuarios y directivos Los controles existentes

Qué no es la Auditoría Informática

Confusión con auditoría de cuentas con ayuda del ordenador Objeto a examinar: balances, estados de cuentas,

etc. Herramienta: el ordenador

Asociación de la auditoría informática con PCs, confundiendo la herramienta con el objetivo principal de la auditoría informática Auditoría informática la que realiza un auditor

financiero que se ayuda de un ordenador para escribir su informe

Auditoría Informática - 1

Trata de evaluar la adecuada utilidad, eficiente, fiabilidad y salvaguarda de la información mecanizada que se produce en una empresa, así como la organización de los servicios que elaboran y procesan

Objetivos Verificar el Control Interno de la Función Informática Asegurar a la Alta Dirección y al resto de áreas que la información

que les llega es la necesaria en el momento oportuno, es fiable y sirve de base para tomar decisiones

Eliminar al máxima la posibilidad de pérdida de información por Fallos en los Equipos, en los Procesos o por una Gestión inadecuada de los archivos de datos

Detectar y prevenir fraudes por manipulación de la información o por acceso de personas no autorizadas a transacciones que exigen trasvases de fondos

Auditoría Informática - 2Auditoría de la Función Informática

Examinar organización existente para determinar si responde a los criterios fijados por la Dirección y a las necesidades actuales, y asegurar la salvaguarda física de la información de la empresa (Funciones Básicas de Gestión, Administración, Organización, Normativa General)

Procedimientos de trabajo de Desarrollo, Explotación y Mantenimiento

Verificar Controles globales del Sistema Informático y las medidas de Seguridad del equipo, los programas y los datos (Seguridad Física de Instalaciones y Datos)

Auditoría de los Sistemas Informáticos Evaluar en qué medida se está garantizando el control interno

con la utilización de esa aplicación, la seguridad de los datos y programa y el rendimiento de la misma en términos costo/eficiencia

Perfiles Profesionales de la Función de A. Informática

Responsabilidades Auditar aplicaciones financieras y seguridad física Ofrecer soporte con limitaciones a los auditores financieros y externos

Persona con alto grado de calificación técnica y al mismo tiempo estar integrados en las corrientes organizativas empresariales

Perfil Formación básica con una mezcla de conocimientos de auditoría

financiera y de informática en general (p.e. Desarrollo de aplicaciones, C.V., gestión de proyectos, BD, S.O., redes, etc.)

Especialización en función del entorno empresarial Gestión del Cambio Calidad Total, que hará que su trabajo sea reconocido como un elemento

valioso dentro de la empresa y que los resultados sean aceptados en su totalidad

Dimensiones del Trabajo del Auditor Informático - 1

Revisión de Controles de las Aplicaciones (19%) Determinar que los sistemas producen la información a tiempo,

exacta y completa

Revisión de Integridad de Datos (13%) Compleción, consistencia y exactitud

Revisión de C.V. de Desarrollo (5%) Determinar la adherencia a los estándares de CV de desarrollo

aceptados

Revisión de Controles Generales de los Procedimientos Operacionales (12%) Determinar que las aplicaciones se procesan en un entorno

controlado

Revisión de Seguridad (14%) Asegurar la protección adecuada de los programas, de los datos

y de la instalación de procesamiento de datos

Dimensiones del Trabajo del Auditor Informático - 2

Revisión Software de los Sistemas (5%) Determinar el cumplimiento con las políticas de la organización

Revisión de Mantenimiento (6%) Determinar que los sistemas se han modificado de acuerdo con las

políticas de la organización

Revisión de Adquisición (3%) Determinar que los recursos de la organización se están utilizando

de forma económica

Revisión de la Gestión de Recursos del Procesamiento de Datos (5%) Determinar su adecuación en el cumplimiento de los objetivos

organizativos

Gestión de Auditoría Informática (9%) Utilizar de forma efectiva los recursos disponibles de la función de

la auditoría informática y para cumplir el requisito de auditoría informática de la organización

Organización de la Función de Auditoría Informática

Auditor informático es auditor y consultor de la empresa en materia de Seguridad, Control interno operativo, Eficiencia y

eficacia, Tecnología informática, Gestión de riesgos, etc.

La concepción típica de la función de Auditoría Informática es dentro de la función de Auditoría Interna Nacimiento histórico de la auditoría informática Dificultad de separar el elemento informático de la

auditoría operativa y financiera

Principios de la Función de Auditoría InformáticaLocalización ligada a la de auditoría interna, con

independencia de objetivos, de planes de formación y de presupuestos

Grupo independiente del de auditoría interna, con total accesibilidad a los sistemas informáticos

Dependencia del máximo responsable operativo de la organización

Recursos humanos mezcla equilibrada entre personas con formación en auditoría y organización, y personas con perfil informático

Personal con titulación CISAEl tamaño sólo se puede precisar en función de los

objetivos de la función.

Organización Interna

Jefe Del departamento: Desarrolla el plan operativo del departamento,

las descripciones de puestos de trabajo, las planificaciones de actuación a un año, los métodos de gestión del cambio en su función y los programas de formación individualizados, gestiona los programas de trabajo, los cambios en los métodos de trabajo, evalúa la capacidad de las personas a su cargo.

Organización Interna (II)

Gerente o supervisor de auditoría informática: Trabaja estrechamente con el Jefe de departamento

en las tareas operativas diarias. Ayuda en la evaluación del riesgo de cada uno de los

trabajos, realiza programas de trabajo, dirige y supervisa directamente a las personas en cada de los trabajos de los que es responsable.

Realiza formación sobre el trabajo Apoya la jefatura de la obtención del mejor resultado ,

entroncando los conceptos de valor añadido y gestión del cambio.

Es el que más vende la función con el auditado.

Organización Interna (III)

Auditor Informático: Son responsables de la ejecución directa del

trabajo. Deben tener una especialización genérica,

pero también una específica. Debe obtener la información , realzar las

pruebas, documentación del trabajo, evaluación y diagnóstico de resultados