Auditoría informática

¿Qué es la auditoria informática?
1. "La auditoría informática es el proceso metodológico ejecutado por especialistas del área de auditoria y de informática. Está orientada a la verificación y aseguramiento de que las políticas y procedimientos establecidos para el manejo y uso adecuado de la tecnología de la información, se lleven a cabo de manera oportuna y eficiente. Que operen en un ambiente de seguridad y control para generar confiabilidad, integridad y exactitud en los datos."
Los objetivos de la auditoria informática son:
1.  El control de la función informática
2.  El análisis de la eficiencia de los Sistemas Informáticos
3.  La verificación del cumplimiento de la Normativa en este ámbito
4.  La revisión de la eficaz gestión de los recursos informáticos
La auditoría informática sirve para mejorar ciertas características en la empresa como
1. Eficiencia
2. Eficacia
3. Rentabilidad
4. Seguridad
Beneficios
1. Ventajas en materia de análisis
  1. Te da información sobre cómo funciona la empresa: Porque analiza los equipos y funciones usadas para el desarrollo de la actividad. Así podrás disponer de una visión global de las herramientas usadas en tu empresa.
  2. Estudia aspectos clave como la seguridad: No solo se valoran cuestiones de rentabilidad del trabajo, sino también la protección frente a desastres o pérdida de datos.
  3. Tiene en cuenta temas legales: De esta forma, una asesoría informática te ayuda a determinar si las acciones llevadas a cabo a través de estos medios cumplen con la legislación vigente.
  4. Te ayuda a valorar los riesgos TI a los que se enfrenta tu empresa, teniendo en cuenta sus labores y las herramientas utilizadas para desempeñarlas.
2. Ventajas en materia de asesoramiento
  1. Utiliza la información analizada para dar soluciones concretas de rentabilidad en el trabajo, como adquisición de nuevos equipos, componentes o compras de licencias o instalación de software.
  2. Da consejos sobre una utilización más eficiente de los recursos, lo que evita errores de gestión y por lo tanto ahorra tiempo y dinero.
  3. Te permite poner en marcha mecanismos de protección ante los riesgos derivados del uso de las nuevas tecnologías, lo que supone un valor añadido para las organizaciones.
  4. Mejora las relaciones entre departamentos, al proponer sinergias en cuestiones informáticas para hacer más rentable la comunicación entre diferentes trabajadores.
3. Una auditoría informática no solo te permite hacer un balance del trabajo de la compañía en este sentido, sino que te asesora en temas de rentabilidad informática, reducción de costes, seguridad de los procesos y riesgos TI así que sin duda es una buena inversión de cara a la prevención y buen funcionamiento de tu negocio. Además, existe una gran variedad de empresas que se dedican a este campo, por lo que seguro que encuentras una opción adaptada a tu presupuesto y que se convierta en una alternativa de confianza para cuando necesites información sobre la rentabilidad de las acciones de tu negocio.
¿Qué es lo que se evalúa en la auditoria informática?
1. Aspectos económicos como gastos, presupuestos, costes materiales y humanos, etc.
2. Documentos de organización interna.
3. Organigrama de la empresa y en especial del servicio informático
4. Actividades desarrolladas por el personal propio o por terceros.
5. Estudios informáticos realizados y en curso.
6. Plannigs.
7. Configuraciones de máquina: ordenadores, unidades de disco, comunicaciones, etc
8. Listados operación de consola.
9. Documentos de input de datos.
10. Y por último, en una lista que podrá alargarse aún más, se pueden citar para las aplicaciones existentes: el análisis funcional y orgánico, los cuadernos de carga, el diseño de ficheros, los juegos de ensayo, las pruebas de programas, etc.
Planificación de la auditoria
1. a). Comprensión del negocio y de su ambiente
  1. Al planificar una auditoria, el auditor informático debe tener una comprensión de suficiente del ambiente total que se revisa. Debe incluir una comprensión general de las diversas prácticas comerciales y funciones relacionadas con el tema de la auditoria, así como los tipos de sistemas que se utilizan. El auditor informático también debe comprender el ambiente normativo en el que opera el negocio. Por ejemplo, a un banco se le exigirá requisitos de integridad de sistemas de información y de control que no están presentes en una empresa manufacturera.
  2. Los pasos que puede llevar a cabo un auditor informático para obtener una comprensión del negocio son:
    1. Recorrer las instalaciones del ente.
    2. Lectura de material sobre antecedentes que incluyan publicaciones sobre esa industria, memorias e informes financieros.
    3. Entrevistas a gerentes claves para comprender los temas comerciales esenciales.
    4. Estudio de los informes sobre normas o reglamentos.
    5. Revisión de planes estratégicos a largo plazo.
    6. Revisión de informes de auditorías anteriores.
2. b). Riesgo y materialidad de auditoria
  1. Se pueden definir los riesgos de auditoria como aquellos riesgos de que la información pueda tener errores materiales o que el auditor de sistemas no pueda detectar un error que ha ocurrido.
  2. Los riesgos en auditoria pueden clasificarse de la siguiente manera:
    1. Riesgo Inherente: Cuando un error material no se pueda evitar que suceda porque no existen controles compensatorios relacionados que se puedan establecer.
    2. Riesgo de Control: Cuando un error material no puede ser evitado o detectado en forma oportuna por el sistema de control interno.
    3. Riesgo de Detección: Es el riesgo de que el auditor realice pruebas exitosas a partir de un procedimiento inadecuado. El auditor puede llegar a la conclusión de que no existen errores materiales cuando en realidad los hay.
  3. La palabra "material" utilizada con cada uno de estos componentes o riesgos, se refiere a un error que debe considerarse significativo cuando se lleva a cabo una auditoria. En una auditoria de sistemas de información, la definición de riesgos materiales depende del tamaño o importancia del ente auditado así como de otros factores. El auditor de sistemas debe tener una cabal comprensión de estos riesgos de auditoria al planificar. Una auditoria tal vez no detecte cada uno de los potenciales errores en un universo, Pero, si el tamaño de la muestra es lo suficientemente grande, o se utilizan procedimientos estadísticos adecuados se llega a minimizar la probabilidad del riesgo de detección.
    1. De manera similar, al evaluar los controles internos, el auditor informático debe percibir que en un sistema dado se puede detectar un error mínimo, pero ese error combinado con otros, puede convertirse en un error material para todo el sistema. La materialidad en la auditoria de sistemas debe ser considerada en términos del impacto potencial total para el ente en lugar de alguna medida basado en lo monetario.
3. Una planificación adecuada es el primer paso necesario para realizar auditorías de sistema eficaces. El auditor de sistemas debe comprender el ambiente del negocio en el que se ha de realizar la auditoria, así como los riesgos del negocio y control asociado.
4. c). Técnicas de evaluación de riesgos.
  1. Al determinar que áreas funcionales o temas de auditoria deben auditarse, el auditor de sistemas puede enfrentarse ante una gran variedad de temas candidatos a la auditoria, el auditor informático debe evaluar esos riesgos y determinar cuales de esas áreas de alto riesgo debe ser auditada.
  2. Existen cuatro motivos por los que se utiliza la evaluación de riesgos, estos son:
    1. Permitir que la gerencia asigne recursos necesarios para la auditoria.
    2. Garantizar que se ha obtenido la información pertinente de todos los niveles gerenciales, y garantiza que las actividades de la función de auditoria se dirigen correctamente a las áreas de alto riesgo y constituyen un valor agregado para la gerencia.
    3. Constituir la base para la organización de la auditoria a fin de administrar eficazmente el departamento.
    4. Proveer un resumen que describa como el tema individual de auditoria se relaciona con la organización global de la empresa así como los planes del negocio.
5. d). Objetivos de controles y objetivos de auditoria.
  1. El objetivo de un control es anular un riesgo siguiendo alguna metodología, el objetivo de auditoria es verificar la existencia de estos controles y que estén funcionando de manera eficaz, respetando las políticas de la empresa y los objetivos de la empresa.
6. e). Procedimientos de auditoria.
  1. Algunos ejemplos de procedimientos de auditoria son:
    1. Revisión de la documentación de sistemas e identificación de los controles existentes.
    2. Entrevistas con los especialistas técnicos a fin de conocer las técnicas y controles aplicados.
    3. Utilización de software de manejo de base de datos para examinar el contenido de los archivos de datos.
    4. Técnicas de diagramas de flujo para documentar aplicaciones automatizadas.
Desarrollo del programa de auditoria
1. Un programa de auditoria es un conjunto documentado de procedimientos diseñados para alcanzar los objetivos de auditoria planificados.
2. El esquema típico de un programa de auditoria incluye lo siguiente:
3. Tema de auditoria:
  1. Donde se identifica el área a ser auditada.
4. Objetivo de auditoria:
  1. Donde se indica el propósito del trabajo de auditoria a realizar.
5. Procedimientos de auditoria para:
  1. Recopilación de datos
  2. Identificación de lista de personas a entrevistar
  3. Identificación y selección del enfoque del trabajo
  4. Identificación y obtención de políticas, normas y directivas.
  5. Desarrollo de herramientas y metodología para probar y verificar los controles existentes.
  6. Procedimientos para evaluar los resultados de las pruebas y revisiones.
  7. Procedimientos de comunicación con la gerencia.
  8. Procedimientos de seguimiento.
6. Planificación previa:
  1. Donde se identifica los recursos y destrezas que se necesitan para realizar el trabajo así como las fuentes de información para pruebas o revisión y lugares físicos o instalaciones donde se va auditar.
7. Alcances de auditoria:
  1. Aquí se identifica los sistemas específicos o unidades de organización que se han de incluir en la revisión en un periodo de tiempo determinado.

Next up

Auditoría informática

Description

Resource summary

Similar

	Created by Miguel Reyes about 6 years ago