M. Sc. Miguel Cotaña Mier Lp, Noviembre 2012
AUDITORIA DE
SISTEMAS
INFORMATICOS
UNIVERSIDAD MAYOR DE SAN ANDRES
FACULTAD DE CIENCIAS ECONOMICAS Y FINANCIERAS
CARRERA DE AUDITORIA
MODULO III
3 Es la ciencia que estudia el tratamiento automático y racional de la información. INFORMATICA
4
La tecnología informática, traducida en
hardware, software, sistemas de
información, redes, bases de datos,
telecomunicaciones, es una
herramienta estratégica que brinda rentabilidad y ventajas competitivas a los negocios.
5
La informática, es el campo que se encarga del estudio y aplicación práctica de la tecnología, modelos de
proceso, métodos, técnicas y
herramientas relacionadas con los ordenadores y el manejo de la información por medios electrónicos.
Es garantía de confiabilidad,
6
Es la actividad consistente en la emisión de una opinión profesional sobre si el objeto que es sometido a análisis presenta adecuadamente la realidad que pretende reflejar y/o cumple con las condiciones que le han sido prescritas.
7
Se puede descomponer este concepto en los siguientes elementos:
1) Contenido: Una Opinión
2) Condición: Profesional
3) Justificación: Sustentada en determinadados procedimientos
4) Objeto: Una determinada informacion obtenida
en un cierto soporte
5) Finalidad: Determinar si presenta adecuadamente
8
4 y 5 distinguen de que clase o tipo de auditoria se trata, y la finalidad con que se realiza el estudio:
CLASES DE AUDITORIA
CLASE CONTENIDO OBJETO FINALIDAD
Financiera Opinión Cuentas anuales Presentan realidad
Informatica Opinión S.I, recursos
informáticos, planes de contingencia
Operatividad eficiente y según normas establecidas
Gestión Opinión Dirección Eficacia, eficiencia, economicidad
Cumplimiento Opinión Normas establecidas Las operaciones se
9
Controles mínimos: Es empírico con controles simples y sin procedimientos escritos ni formales;
Procedimientos empíricos: Existen
documentos internos y métodos empíricos para detectar fallas o errores;
Procedimientos técnicos: Se basan en estándares generalmente aceptados;
Procedimientos de fiabilidad:
Probabilidad de que un sistema funcionará como se espera en un periodo, dadas ciertas condiciones.
10
Seguridad física:
Cuida y protege bienes
de la organización;
Seguridad de datos:
Protege datos e
información de la organización, garantiza
su integridad y exactitud;
Seguridad
de
procedimientos:
garantiza que el personal se adhiere
totalmente a las normas y procedimientos
establecidos.
11
El auditor de sistemas informáticos debe considerar 3 pasos, antes de llevar adelante el trabajo de revisión:
1. Planificar y Ejecutar: un
enfoque de auditoria que responda de manera adecuada a los riesgos
presentes en los SI
automatizados;
12
La planificación de la auditoria contempla 3 etapas:
13 ESTRATEGIA Identificar el negocio principal; Riesgos inherentes; Conocer ambiente SI de la entidad; Conocer estructura; Conocer el ambiente de control; Leer material de antecedentes (informes de análsis y anuales). Trabajar en módulos; Planificar por áreas
funcionales y asignar responsabilidades a grupos de trabajo;
Entrevistar a los
gerentes claves para entender los problemas del negocio.
14
PLANIFICACION
Realizar una planificación a corto y
largo plazo de auditoria a un área funcional;
Considerar factores de riesgo
inherente y de control y agregar valor;
Obtener información adicional de
riesgos en Hw, Sw y Recursos Humanos;
15 Entender la misión, visión, objetivos,
procesos de negocio;
Identificar políticas, estándares,
procedimientos y estructura de la organización;
Llevar a cabo una revisión del control
interno;
Establecer el alcance y los objetivos
de la auditoria;
Asignar recursos de personal a la
auditoria y considerar los
16
PROGAMAS DE TRABAJO
En función del análisis e información
requerida se definen el conjunto de: Actividades;
Acciones y Tareas.
que serán aplicados y se elaboran los programas de trabajo.
17
2. Conocimiento de la TI: tener
conocimiento necesario y
suficiente en TIC´s, NTIC´s y concentrarse en aquellos aspectos que puedan ser relevantes desde la perspectiva de la auditoria y de los procesos de negocio de la organización;
3. Identificar expectativas: del
área funcional auditada respecto al servicio que será prestado.
18
La informática es utilizada en todo
proceso contable;
Es un nuevo condicionante para el
auditor: ha de trabajar ante y con
elementos de TI;
Los libros o soporte de los documentos
financieros
se
encuentran
materializados
en
los
archivos
19
El auditor financiero (AF) ve alterado
el objeto de su actividad. Ahora esta
en soporte magnético;
La auditoria financiera sigue siendo
auditoria
y
financiera,
con
la
diferencia de que en su objeto, el
mismo de siempre, es decir, en la
información
financiera,
se
ha
20
El AF, puede acceder directamente a los archivos electrónicos y proceder a su análisis de forma tambien electrónica;
El AF, ha de aplicar procedimientos que utilizan técnicas asistidas por computador;
El AF, utilizando medios electrónicos incrementa en velocidad, eficiencia y seguridad;
El AF, en la ejecución de su trabajo destacan la
inspección, observación, averiguación,
confirmación, calculo y análisis. Por lo menos 4 se ejecutan de forma mas eficiente por medios informáticos.
21
Es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de los datos y utiliza los recursos en forma
eficiente.
Mario G. Piattini
22
Participar en las revisiones durante y
después del análisis, diseño,
realización, implantación y
explotación;
Revisar y juzgar los controles
implantados, para verificar
cumplimiento de la alta gerencia;
Revisar y emitir opinión sobre el nivel
de eficacia, utilidad, fiabilidad y
seguridad de los equipos e
información.
23
Es el proceso de evaluar la eficiencia y eficacia del área de:
Procesamiento Automático de Datos; Utilización correcta de recursos;
Desarrollo de sistemas; Instalaciones.
24
El A.S.I., tiene la capacidad de definir el marco de trabajo, acciones y tareas y los procesos, métodos y herramientas que serán necesarias para la realización de la auditoria de manera óptima y cumpliendo las normas de auditoria de sistemas y el Código de Ética Profesional.
25
En función a los relevamientos iniciales y considerando el objetivo
de la revisión, los riesgos
identificados y los controles
existentes, el ASI, podrá definir el tipo y las pruebas a aplicar, así como las características de la evidencia necesaria que sustente el trabajo realizado.
26
Buscar una mejor relación costo-beneficio de los sistemas computarizados diseñados e implementados por el PAD;
Incrementar la satisfacción de los usuarios; Asegurar una mayor integridad, confiabilidad y confidencialidad de la información mediante la recomendación de seguridades y controles;
Seguridad de personal, datos, hardware, software e instalaciones;
27
Minimizar existencias de riesgos en el uso de tecnologías de información;
Orientar en decisiones de inversión y gastos innecesarios;
Aplicación correcta de modelos de control;
Capacitación y educación sobre controles en los sistemas de información.
28
Aumento considerable e injustificado del presupuesto del PAD;
Falta total o parcial de seguridades físicas y lógicas que garanticen la integridad del personal, equipos e información;
Descubrimiento de fraudes efectuados con el ordenador;
Falta de una planificación informática;
29
Organización que no funciona
correctamente, falta de políticas, objetivos, normas, metodología, asignación de tareas y
adecuada administración del recurso
humano;
Descontento general de los usuarios por incumplimiento de plazos y mala calidad de los resultados;
Falta de documentación o documentación incompleta de sistemas para mantenimiento.
30
El trabajo de auditores se enmarcan:
Responsabilidad; Autoridad; Independencia; Relacion organizacional; Etica Profesional; Competencia; Planificacion; Preparacion de informe;
31
La Asociación de Auditoria y Control de Sistemas de Información (ISACA), guía la conducta de los ASI:
Soportar la implementación de, y
fomentar el cumplimiento de, las normas, los procedimientos y los controles apropiados para los SI;
Ejecutar sus deberes con objetividad,
debida diligencia y atención profesional, en conformidad con las normas y mejores prácticas;
32
Servir en el interés de los accionistas en
una forma legal y honesta, y al mismo tiempo mantener altos estándares de conducta y de carácter, y no dedicarse a actos que puedan desacreditar la profesión;
Mantener la privacidad y confidencialidad
de la información obtenida en el curso de sus funciones a menos que la autoridad legal requiera su revelación;
33
Mantener competencias y acordar
emprender únicamente actividades que ellos puedan razonablemente realizar con competencia profesional;
Informar a las partes apropiadas sobre los
resultados del trabajo realizado,
revelando todos los hechos significativos de los que ellos tengan conocimiento;
Soportar la educación profesional de los
accionistas para aumentar su
comprensión de la seguridad y el control de SI.
MODULO III
35
La Auditoria en Informática es un proceso de evaluación y control en el uso de recursos tecnológicos para el logro de las estrategias.
Por lo tanto, debe contemplar el entendimiento del entorno del negocio como parte de las actividades primarias.
36
Es el conjunto de características dominantes del mercado en cada una de las ramas o criterios relacionados con la tecnología informática, mismas que definen el rumbo de ésta en gran parte de los negocios.
37 TECNOLOGIA INFORMATICA proveedores especialidades métodos redes proyectos personal infraestructura
La informática como herramienta del AF, fortalece el desarrollo personal en su actividad diaria.
38
No todo lo que ofrece el mercado como estándares y soluciones tecnológicas garantiza el desempeño eficiente de la
función informática en una
organización, el AI deberá verificar la existencia de un análisis costo/beneficio en cada proyecto de inversión orientado a la adquisición de nueva tecnología
39
El entorno de la Informática es una de las disciplinas con mayor ritmo de crecimiento:
Hardware; Software;
Telecomunicaciones;
Métodos, metodologías centrados
en el usuario;
Herramientas CASE;
40
La finalidad principal del auditor es evaluar y dar seguimiento oportuno al conjunto de proyectos de auditoria en informática que serán ejecutados en un plazo determinado con el fin de apoyar directa o indirectamente las estrategias
de negocio, considerando factores
internos y externos de la organización.
MODULO III
42
La alta gerencia de cualquier
organización tiene que estar consciente de que la función de auditoria se debe ejercer con independencia personal jerárquica.
La función de AI debe ubicarse en un nivel organizacional que le asegure la independencia y soporte requerido
43
La Gerencia Nacional de Informática y Telecomunicaciones de Impuestos, es la encargada de dirigir, coordinar y supervisar las actividades de análisis, diseño, desarrollo, control de calidad, implantación y mantenimiento de sistemas informáticos y procesar datos e información generados por los distintos procesos tributarios, garantizando la disponibilidad y seguridad de las bases de datos.
La GNIyT del SIN es la encargada de dirigir, coordinar y supervisar las actividades de análisis, diseño, desarrollo, control de calidad, implantación y mantenimiento de sistemas informáticos y procesar datos e información generados por los distintos procesos tributarios, garantizando la disponibilidad y seguridad de las bases de datos.
46
Definir un mecanismo de administración y control de la función. Que todos los recursos y proyectos involucrados en el proceso de desempeño y gestión de la AI, obedezcan los principios básicos de un proceso administrativo:
Planeación; Personal;
Control;
Seguimiento.
47
Los conocimientos, habilidades y
capacidades profesionales y personales del A.I., tiene una función clave durante el desarrollo de sus tareas.
Conocer teóricamente las normas,
políticas y estándares tanto de auditoria como de informática no son garantía de seguridad ni confianza en las áreas sujetas a revisión.
48
La experiencia se adquiere con la práctica, disciplina, orden y objetividad que deben ser factores innatos.
Hoy en día las organizaciones, buscan colaborar inclusive con la competencia, ofreciendo productos y servicios en línea. En otras palabras, las organizaciones tienden a digitalizar sus procesos de negocio.
Se apoyan en información casi instantanea para suministrar productos y servicios personalizados en serie
Flexibilidad;
Aplanamiento;
Descentralización;
Independencia de ubicación;
Bajos costos de transacción y
coordinación;
Trabajo colaborativo y en equipo; Facultamiento.
TRANSFORMACION DE LA EMPRESA
Permiten dar razón del grado de cumplimiento de los cambios generados a nivel de actividades y la utilización de recursos necesarios para conseguir los objetivos funcionales:
Eficacia Eficiencia Efectividad Productividad Gestión VPN (trema) Costo / actividad Costo de oportunidad operativo Costo de oportunidad financiero Análisis de costos Cantidad de quejas Satisfacción del cliente Cantidad de soluciones planteadas Cantidad de productos defectuosos Tiempo de ciclo Tiempo x actividad Financieros Calidad Tiempo 50
