Proceso Auditoria de Sistemas

PROCESO DE AUDITORIA DE SISTEMAS

El proceso de auditoria son los pasos necesarios para poder desarrollar una auditoria las cuales son la planeación, ejecución y dictamen. Estas son las grandes etapas y en cada uno de ellas está integrado por varios procesos.

PLANEACIÓN DE LA AUDITORIA

La primera etapa de una auditoria de sistemas es definir las actividades necesarias para su ejecución lo cual se logra mediante una planeación, en la cual se debe identificar las razones por las que se realizara una auditoria, los objetivos, así como los métodos, técnicas y procedimientos necesario para llevarla a cabo. Se deberá considerar las siguientes preguntas:

¿Por qué se realizará la auditoria? ¿Se debe hacer una visita preliminar al área? ¿Cuál es el objetivo que se pretende alcanzar con esta auditoria?

Las siguientes fases pertenecen a la etapa de la planeación de una auditoria de sistemas:

·         Identificar el origen de la auditoria: El primer paso de la planeación es identificar el origen de la auditoria, esto debido que proporciona elementos necesarios para hacer una buena planeación de la revisión, ayuda a definir los elementos de juicio que contribuirán con los criterios de evaluación.

Entre las posibles causas que originan una auditoria de sistemas son:

o   A petición de accionistas, socios y dueños,

o   Por solicitud de la dirección general

o   Por gerencias de nivel superior

o   A solicitud de funcionaros y empleados de otros niveles

o   Por mandato de autoridades judiciales

o   Por ordenamiento de las autoridades fiscales

o   Como consecuencia de emergencias y condiciones especiales

o   Por riesgos y contingencias informáticas

o   Como resultado de los planes de contingencia

o   Por resultados obtenidos de otras auditorias

o   Como parte de un programa integral de auditoria

·         Realizar una visita preliminar al área a evaluar: Es primordial que se realice una visita preliminar al área de informática que será auditada, el propósito es que se tenga un contacto inicial con el personal del área y se observe como están distribuidos los sistemas, cuántos y cuáles son los equipos con los que se cuentan en la empresa, las instalaciones, medidas de seguridad visibles, se debe contemplar los siguientes aspectos:

o   Visita preliminar de arranque

o   Contacto inicial con funcionarios y empleados del área

o   Identificación preliminar de la problemática de sistemas

o   Prever los objetivos iniciales de la auditoria

o   Calcular los recursos y personas necesarias para la auditoria

·         Establecer los objetivos: El propósito de los objetivos es establecer claramente lo que se busca con la auditoria.

El objetivo general es lo que se busca alcanzar a nivel global con el desarrollo de la auditoria.

Los objetivos específicos de la auditoria de sistemas computacionales es la determinación concreta de las áreas a evaluar y específicamente los sistemas, componentes o elementos que deben ser evaluados.

·         Determinar los puntos que serán evaluados: La definición y establecimiento de los puntos que se deben evaluar es elemento fundamental de apoyo del auditor, debido a que esto es producto de un análisis previo, tanto del origen de la auditoria y de la visita previa como de los objetivos que se pretenden satisfacer. En este paso de la planeación se debe establecer aquellos aspectos de sistemas que se van a evaluar para aplicar las herramientas y la forma en que se realizara la evaluación.

Los puntos a evaluar deben ser establecidos de acuerdo a las necesidades de evaluación de la empresa, del equipo y del sistema operativo, así como a la forma de procesamiento de información que se tiene establecida, a la experiencia, conocimientos y características profesionales del auditor.

Algunos puntos de evaluación podrían ser:

o   Evaluación de la información, documentación y registros de los sistemas.

o   Evaluación de equipos, instalaciones y componentes.

o   Evaluación de los recursos humanos del área de sistemas

o   Evaluación del hardware

o   Evaluación de la información y las bases de datos.

·         Elaborar planes, programas y presupuestos: En esta fase se deben elaborar los documentos que contemplen los planes formales para el desarrollo de la auditoria, los programas en donde se delimiten las etapas, eventos, actividades y los tiempos de ejecución para cumplir con el objetivo, así como los presupuestos de la auditoria, documentos donde se deben asignar los costos de los recursos que serán utilizados. En esta fase se debe elaborar:

o   Elaborar el documento formal de los planes de trabajo para la auditoria.

o   Contenido de los planes para realizar la auditoria.

o   Elaborar el documento formal de los programas de auditoria.

o   Elaborar los programas de actividades para realizar la auditoria

o   Elaborar los presupuestos para la auditoria.

·         Identificar y seleccionar los métodos, herramientas, instrumentos y procedimientos necesarios: Es determinar los documentos y medios con los cuales se llevará a cabo la revisión a los sistemas de la empresa, lo cual se logrará a través de la selección o diseño de los métodos, procedimientos, herramientas e instrumentos necesarios de acuerdo a los planes, presupuestos y programas establecidos para la auditoria. En esta fase se debe tomar en cuenta lo siguiente:

o   Establecer la guía de ponderación de los puntos que serán evaluados

o   Elaborar la guía de la auditoria, es el documento en donde se anotan los puntos que serán evaluados, así como la técnica y forma en que será evaluado cada punto.

o   Elaborar los documentos necesarios para la auditoria, tales como cuestionarios, entrevistas, formularios, formatos de inventarios, instrumentos de muestreo.

o   Determinar herramientas, métodos y procedimientos para la auditoria de sistemas.

o   Diseñar los sistemas, programas y métodos de pruebas para la auditoria.

·         Asignar los recursos y sistemas computacionales para la auditoria: La asignación de recursos se realiza conforme los aspectos establecidos en las fases anteriores y con estos se llevará a cabo la auditoria. Se debe considerar las siguientes asignaciones:

o   Asignar los recursos humanos.

o   Asignar los recursos informáticos y tecnológicos.

o   Asignar los recursos materiales y de consumo.

o   Asignar demás recursos necesarios.

EJECUCIÓN DE LA AUDITORIA:

La ejecución estará determinada por las características concretas, los puntos y requerimientos que estimaron en la etapa de la planeación.

·         Realizar las acciones programadas:  Cada auditor realizara las actividades que le corresponden conforme fueron diseñadas, en la cronología que le fue asignada cada una, con los tiempos y recursos que le corresponde utilizar.

·         Aplicar los instrumentos y herramientas: Se deben utilizar los instrumentos, herramientas elegidos para llevar a cabo la evaluación ya sea mediante la recopilación y análisis, observación, pruebas, etc.

·         Identificar y elaborar los documentos de desviaciones encontradas: Se buscan las posibles desviaciones y se procede a elaborar los documentos de desviaciones, en los cuales se anotan las situaciones encontradas, las causas que las originaron y sus posibles soluciones, así como el responsable de solucionar dichas desviaciones y las posibles fechas para realizarlo.

·         Elaborar el dictamen preliminar y presentarlo a discusión: Se debe elaborar el documento que contengas todas las desviaciones detectadas y comentarlas con las personas involucradas directamente en las desviaciones para que dichas personas puedan emprender las acciones necesarias para corregirlas.

·         Integrar el legajo de papeles de trabajo de la auditoria: Se debe conservar el legajo de papeles con cada uno de los instrumentos aplicados en la evaluación, con el propósito de sustentar las observaciones reportadas.

DICTAMEN DE LA AUDITORIA:

Es el resultado final de la auditoria de sistemas computacionales y el que consta de las siguientes fases:

·         Analizar la información y elaborar un informe de situaciones detectadas: En esta fase se debe analizar los papeles de trabajo con el propósito de detectar las posibles desviaciones en la operación normal del área que se está auditando, el propósito es que el auditor elabore su borrador y comente las desviaciones con los auditados, después de comentarlas debe elaboras las modificaciones pertinentes y el informe definitivo de las situaciones encontradas.

·         Elaborar el dictamen final: El auditor debe terminar de elaborar el informe de las desviaciones encontradas, especificándolo por áreas, por servicio, etc El cual debe ser comentado con los directivos del área de sistemas después de comentarlo el auditor podrá ratificar o rectificar las observaciones presentadas.

·         Presentar el informe de auditoría: El último paso del proceso de auditoria es presentar formalmente el dictamen de la auditoria al más alto directivo de la empresa, con el propósito de informarle los resultados de dicha auditoria.

El informe de auditoría debe contener lo siguiente:

La carta de presentación

El dictamen de la auditoria

El informe de situaciones relevantes

Anexos y cuadros adicionales.