METODOLOGIA PARA REALIZAR LA AUDITORIA DE SISTEMAS COMPUTACIONALES

...

La gerencia de informática son los responsables de diseñar los sistemas utilizados en la organización, pero es responsabilidad del auditor el evaluar y revisar su buen funcionamiento, para esto, los auditores deberán revisar:

- La manera en la que se salvaguardan los activos y si existen realmente, y

- Los métodos que se utilizan para salvaguardar estos activos.

La administración es la responsable de asignar y establecer estándares de operación que sirvan para medir la eficiencia y manera en que se utilizan los recursos, y es responsabilidad del auditor de verificar estos estándares se cumplan.

1ra. Fase – Planeación de la Auditoría.

La planeación en la auditoría, es una de las fases más importantes, debido a que de esta depende la correcta ejecución del trabajo profesional; esto se debe a que permite dimensionar el tamaño y características dentro del organismo a auditar, así como sus sistemas y equipos, con el fin de determinar lo necesario para llevar a cabo el trabajo de manera eficiente.

El trabajo de la auditoría deberá incluir la planeación de la auditoría, el examen y evaluación de la información, la comunicación de los resultados y el seguimiento.

La planeación siempre debe documentarse, en esta debemos incluir los siguientes aspectos:

- Los objetivos y alcances de la auditoría,

- La manera de obtener la información de las áreas a auditar,

- Establecer los recursos a utilizar,

- Como se comunicará la información,

- La forma de realizar la auditoría,

- La preparación del programa de auditoría,

- Como se comunicarán los resultados, y

- La aprobación del plan de auditoría.

En la auditoría informática, la planeación es un pilar fundamental, debido a que se debe realizar desde varios puntos de vista a evaluar, estos son:

- Evaluación administrativa,

- Evaluación de los sistemas y procedimientos,

- Evaluación del equipo de cómputo,

- Evaluación de los procesos de datos,

- Evaluación de la seguridad y confidencialidad de la comunicación, y

- Los aspectos legales de los sistemas.

El proceso de planeación requiere obtener información general sobre la organización y sobre los sistemas de informática a evaluar, por eso, es necesario que este proceso establezca:

- Las metas,

- Los programas de trabajo,

- Los planes de contratación de personal y presupuestos financieros, y

- Informes de actividad.

Todo lo anterior va relacionado, debido a que las metas deben establecerse de tal manera que se puedan cumplir, por medio de un programa de trabajo bien elaborado, sobre la base de los planes específicos de personal y presupuestos financieros, terminando con informes de los resultados que se obtuvieron de las actividades realizadas.

Revisión Preliminar

La revisión preliminar es el primer paso de la auditoría, luego de la planeación; y tiene como objetivo, el obtener la información necesaria para que el auditor pueda establecer el cómo ha de realizar la auditoría, al lograr esto, el auditor puede seguir uno de los siguientes caminos:

- El diseño de la auditoría,

- Revisión detallada de los controles internos de los sistemas, y

- Decidir el no confiar en los controles internos del sistema.

La revisión preliminar es la recolección de información por medio de entrevistas, de la observación, o de revisión de documentos preliminares.

Revisión Detallada

Tiene como objetivo el obtener la información necesaria para que el auditor tenga un profundo entendimiento de los controles usados dentro del área de informática; por medio de la revisión detallada, el auditor puede tomar la decisión de confiar en los controles utilizados en área de informática, o bien, si estos no confiar en los mismos, debido a que son deficientes para el área, provocando pérdidas de la información y fallas en los equipos.

Los métodos utilizados para llevar a cabo la revisión detallada es similar a los que se utilizan en la revisión preliminar, solamente que en esta se llevan a cabo de una manera más profunda, por esta razón el auditor debe evaluar los sistemas de control interno hasta poder asegurarse de que puedan cumplir con un valor razonable para la organización.

Examen y evaluación de la información

Para llevar a cabo este paso, se debe seguir el siguiente proceso:

- Obtener información de todos los asuntos relacionados con los objetivos y alcances de la auditoría,

- La información debe ser suficiente, competente, relevante y útil,

- Todos los procedimientos de auditoría deben ser establecidos con anterioridad,

- Se debe supervisar los procesos de recabar, analizar, interpretar y documentar la información, y

- Todos los documentos de la auditoría deben ser realizados por los auditores y revisados por la gerencia de auditoría.

Los auditores deben reportar los resultados de su auditoría a los niveles apropiados de la administración, antes de realizar su informe final; este informe debe ser objetivo, claro, conciso, constructivo y oportuno, conteniendo una opinión sobre la auditoría realizada, así como también las recomendaciones necesarias para la mejora de la organización. Seguir estas recomendaciones es responsabilidad de los auditores internos.

Programa de Auditoría

Es tarea del director de auditoría en informática, la elaboración de un programa para seleccionar y desarrollas recursos, este programa de auditoría deberá indicar