AUDITORIA INFORMATICA 1

Departamento de Auditora, Planificacin y Estadstica

La auditora es un examen crtico y sistemtico que realiza una persona o grupo de personas independientes del sistema auditado, con el fin de evaluar la eficacia y eficiencia de una persona, seccin, organismo, entidad, sistema, proceso, proyecto, producto, etc.

Auditoria es una expresin generalmente utilizada para designar o nombrar a la auditoria externa de estados financieros, que es una auditoria realizada por un profesional experto en contabilidad.CONCEPTO DE AUDITORA

La palabra Auditora proviene del Latn AUDITORIUS; que significa or, y de esta proviene la palabra Auditor, que se refiere a todo aquel que tiene la virtud de or.

El termino Auditoria se ha empleado incorrectamente con frecuencia ya que se ha considerado como una evaluacin cuyo nico fin es detectar errores y sealar fallas. A causa de esto, la frase auditoria es sinnimo de que en dicha entidad se han detectado fallas antes de realizar la misma.ETIMOLOGA DE LA AUDITORA

El requisito bsico para la realizacin de una auditoria es la independencia, que comprende los siguientes puntos:

INDEPENDENCIA MENTAL: El estado mental que permite proporcionar una opinin sin ser afectados por influencias que comprometan el juicio profesional y su direccin, permitiendo a una persona actuar con integridad, y ejercer objetividad y escepticismo profesional.

INDEPENDENCIA APARENTE: Cuando se evitan hechos y circunstancias que sean tan importantes que un tercero juicioso e informado, con conocimiento de toda la informacin relevante, incluyendo cualesquiera salvaguardas que se apliquen, concluira de manera razonable que la integridad, objetividad o escepticismo profesional del equipo auditor para atestiguar hubieran sido comprometidos.INDEPENDENCIA DE LA AUDITORA

TIPOS DE AUDITORA


Auditora Contable, la realizada por un profesional, experto en contabilidad, sobre los estados contables de una entidad.

Auditora Energtica, una inspeccin, estudio y anlisis de los flujos de energa en un edificio, proceso o sistema con el objetivo de comprender la energa dinmica del sistema bajo estudio.

Auditora Jurdica, la efectuada por un profesional del derecho, con capacidad y experiencia en derecho civil o militar que realiza la revisin, examen y evaluacin de los resultados de una gestin especfica o general de una institucin o cuerpo, con el propsito de informar o dictaminar acerca de ellas, realizando las observaciones y recomendaciones pertinentes para mejorar su eficacia y eficiencia en su desempeo.

Auditora Medioambiental, cuantificacin de los logros y la posicin medioambiental de una organizacin.

Auditora Social, proceso que una empresa u organizacin realiza con nimo de presentar balance de su accin social y su comportamiento tico.TIPOS DE AUDITORA

Auditora de Seguridad de Sistemas de Informacin, anlisis y gestin de sistemas para identificar y posteriormente corregir las diversas vulnerabilidades que pudieran presentarse en una revisin exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.

Auditora de Innovacin, proceso de obtencin informacin sobre la situacin actual de la empresa frente a la innovacin.

Auditora Poltica, revisin sistemtica de los procesos y actividades, orientadas ideolgicamente, de toma de decisiones de un grupo para la consecucin de unos objetivos, en beneficio de todos.

Auditora Electoral, la realizada a sistemas electorales de los diferentes pases con sistema democrtico y se realizan para darle confiabilidad y transparencia al sistema.

Auditora de Accesibilidad, revisin de la accesibilidad de un sitio web por parte de un experto.

Auditora de Marca, metodologa para medir el valor de una marca.TIPOS DE AUDITORA

Auditora de Cdigo de Aplicaciones, proceso de revisar el cdigo de una aplicacin para encontrar errores en tiempo de diseo.

Auditora de Sarbanes-Oxley, o Auditora SOx, revisin es practicada a las firmas de auditora de las compaas que cotizan en bolsa, de acuerdo a lo prescrito por la ley Sarbanes-Oxley.

Auditoria Cientfico-Tcnica, realizada a instituciones encargadas de la investigacin cientfica y tcnica en las diferentes reas del trabajo humano.

Auditoria Forense, cuando se revisan datos y documentos histricos de empresas y se comparan con el fin de detectar principalmente fraudes, robos, trucos fiscales, trucos contables o cualquier otra situacin anmala en la que se investiga a los involucrados intelectuales y materiales del hecho; regularmente se hacen estimaciones en dinero de las cifras malversadas.

Auditora de Accidentes a causa del Rayo, la realizada por un especialista, experto en accidentes de rayos.TIPOS DE AUDITORA

Auditora Informtica, proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema de informacin salvaguarda el activo empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organizacin y utiliza eficientemente los recursos.TIPOS DE AUDITORA

La auditora informtica es un proceso llevado a cabo por profesionales especialmente capacitados para el efecto, y que consiste en recoger, agrupar y evaluar evidencias para determinar si un sistema de informacin salvaguarda el activo empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organizacin, utiliza eficientemente los recursos, y cumple con las leyes y regulaciones establecidas. Permiten detectar de forma sistemtica el uso de los recursos y los flujos de informacin dentro de una organizacin y determinar qu informacin es crtica para el cumplimiento de su misin y objetivos, identificando necesidades, duplicidades, costes, valor y barreras, que obstaculizan flujos de informacin eficientes. AUDITORA INFORMTICA

En si la auditoria informtica tiene 2 tipos las cuales son:

AUDITORIA INTERNA: es aquella que se hace adentro de la empresa; sin contratar a personas de afuera.

AUDITORIA EXTERNA: como su nombre lo dice es aquella en la cual la empresa contrata a personas de afuera para que haga la auditoria en su empresa. Auditar consiste principalmente en estudiar los mecanismos de control que estn implantados en una empresa u organizacin, determinando si los mismos son adecuados y cumplen unos determinados objetivos o estrategias, estableciendo los cambios que se deberan realizar para la consecucin de los mismos. Los mecanismos de control pueden ser directivos, preventivos, de deteccin, correctivos o de recuperacin ante una contingencia.CLASES DE AUD. INF.

Los objetivos de la auditora Informtica son:

El anlisis de la eficiencia de los Sistemas Informticos

La verificacin del cumplimiento de la Normativa en este mbito.

La revisin de la eficaz gestin de los recursos informticos.

OBJETIVOS DE LA AUD. INF.

Sus beneficios son:

Mejora la imagen pblica.Confianza en los usuarios sobre la seguridad y control de los servicios de TI.Optimiza las relaciones internas y del clima de trabajo.Disminuye los costos de la mala calidad (reprocesos, rechazos, reclamos, entre otros).Genera un balance de los riesgos en TI.Realiza un control de la inversin en un entorno de TI, a menudo impredecible.BENEFICIOS DE LA AUD. INF.

BENEFICIOS DE LA AUD. INF.

Generalmente se puede desarrollar en alguna o combinacin de las siguientes reas:

Gobierno corporativoAdministracin del Ciclo de vida de los sistemasServicios de Entrega y SoporteProteccin y SeguridadPlanes de continuidad y Recuperacin de desastresBENEFICIOS DE LA AUD. INF.

Dentro de la auditora informtica destacan los siguientes tipos (entre otros):

Auditora de la gestin: la contratacin de bienes y servicios, documentacin de los programas, etc.Auditora legal del Reglamento de Proteccin de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgnica de Proteccin de Datos.Auditora de los datos: Clasificacin de los datos, estudio de las aplicaciones y anlisis de los flujogramas.Auditora de las bases de datos: Controles de acceso, de actualizacin, de integridad y calidad de los datos.Auditora de la seguridad: Referidos a datos e informacin verificando disponibilidad, integridad, confidencialidad, autenticacin y no repudio.TIPOS DE AUD. INF.

Auditora de la seguridad fsica: Referido a la ubicacin de la organizacin, evitando ubicaciones de riesgo, y en algunos casos no revelando la situacin fsica de esta. Tambin est referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.

Auditora de la seguridad lgica: Comprende los mtodos de autenticacin de los sistemas de informacin.

Auditora de las comunicaciones. Se refiere a la auditoria de los procesos de autenticacin en los sistemas de comunicacin.

Auditora de la seguridad en produccin: Frente a errores, accidentes y fraudes.TIPOS DE AUDITORA

La auditora permite a travs de una revisin independiente, la evaluacin de actividades, funciones especficas, resultados u operaciones de una organizacin, con el fin de evaluar su correcta realizacin. Independiente, debido a que el auditor debe mantener independencia mental, profesional y laboral para evitar cualquier tipo de influencia en los resultados de la misma.

Los procesos de auditora, estn conformadas por equipos multidisciplinarios formados por titulados en Ingeniera Informtica e Ingeniera Tcnica en Informtica y licenciados en derecho especializados en el mundo de la auditora.IMPORTANCIA DE AUD. INF.

En la realizacin de una auditora informtica el auditor puede realizar las siguientes pruebas:

Pruebas sustantivas: Verifican el grado de confiabilidad del SI del organismo. Se suelen obtener mediante observacin, clculos, muestreos, entrevistas, tcnicas de examen analtico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez de la informacin.

Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo revelado mediante el anlisis de la muestra. Proporciona evidencias de que los controles claves existen y que son aplicables efectiva y uniformemente.HERRAMIENTAS DE LA AUD. INF.

Las principales herramientas de las que dispone un auditor informtico son:

ObservacinRealizacin de cuestionariosEntrevistas a auditados y no auditadosMuestreo estadsticoFlujogramasListas de chequeoMapas conceptuales

HERRAMIENTAS DE AUDITORA

Dentro del proceso de auditora es importante asegurar que se cumplan por lo menos los principios bsicos de un proceso formal. Los elementos indispensables para cumplir este requisito son: la planeacin, el control y el seguimiento del desempeo, que debern garantizar lo siguiente:

Que los recursos de informtica sean orientados al logro de los objetivos y las estrategias de las organizaciones.

La elaboracin, difusin y cumplimiento de las polticas, controles y procedimientos inherentes a la AI.

Que se den los resultados esperados por la institucin mediante la coordinacin y apoyo reciproco con: auditora, asesores externos, informtica, y la alta direccin.

FUNCIONES DE LA AUDITORA INFORMTICA

Serafn Caridad Simn, en su obra Auditora Informtica, considera a la Auditora Informtica (AI) como la interseccin de cuatro disciplinas: Auditora Tradicional, Ciencias del Comportamiento, Gestin de Sistemas de Informacin e Informtica.

BASES DE LA AUDITORA INFORMTICAAUDITORIA INFORMTICAGESTIN DE SISTEMAS DE INFORMACINAUDITORA TRADICIONALINFORMATICACIENCIAS DEL COMPORTAMIENTO

Un sistema de informacin es un conjunto de elementos orientados al tratamiento y administracin de datos e informacin, organizados y listos para su uso posterior, generados para cubrir una necesidad o un objetivo. SISTEMAS DE INFORMACIN

DATO:

El Dato es una representacin simblica (numrica, alfabtica, algortmica, entre otros.), un atributo o caracterstica de una entidad . Los Datos describen hechos empricos, sucesos y entidades.

INFORMACIN:

En sentido general, es un conjunto organizado de datos procesados, que constituyen un mensaje que cambia el estado de conocimiento del sujeto o sistema que recibe dicho sistema.SISTEMAS DE INFORMACIN

Hay tres actividades en un sistema de informacin que producen la informacin que las organizaciones necesitan para tomar decisiones, controlar operaciones, analizar problemas y crear nuevos productos o servicios.

Entrada: captura o recolecta datos en bruto tanto del interior de la organizacin como de su entorno externo.Procesamiento: convierte esa entrada de datos en una forma ms significativa.Salida: transfiere la informacin procesada a la gente que la usar o a las actividades para las que se utilizar.

Los sistemas de informacin tambin requieren retroalimentacin, que es la salida que se devuelve al personal adecuado de la organizacin para ayudarle a evaluar o corregir la etapa de entrada.

ACTIVIDADES DE UN SISTEMA DE INFORMACIN

Conocimiento de la Organizacin. Analizar y conocer todos los sistemas que forman parte de la organizacin, as como los futuros usuarios del SI. En las empresas (fin de lucro presente), se analiza el proceso de negocio y los procesos transaccionales a los que dar soporte el SI.

Identificacin de problemas y oportunidades. El segundo paso es relevar las situaciones que tiene la organizacin y de las cuales se puede sacar una ventaja competitiva (Por ejemplo: una empresa con un personal capacitado en manejo informtico reduce el costo de capacitacin de los usuarios), as como las situaciones desventajosas o limitaciones que hay que sortear o que tomar en cuenta (Por ejemplo: el edificio de una empresa que cuenta con un espacio muy reducido y no permitir instalar ms de dos computadoras).

CICLO DE VIDA DE UN SISTEMA DE INFORMACIN

Determinar las necesidades. En el mismo, se procede identificar a travs de algn mtodo de recoleccin de informacin (el que ms se ajuste a cada caso) la informacin relevante para el SI que se propondr.

Diagnstico. En este paso se elabora un informe resaltando los aspectos positivos y negativos de la organizacin. Este informe formar parte de la propuesta del SI y, tambin, ser tomado en cuenta a la hora del diseo.

Propuesta. Contando ya con toda la informacin necesaria acerca de la organizacin, es posible elaborar una propuesta formal dirigida hacia la organizacin donde se detalle: el presupuesto, la relacin costo-beneficio y la presentacin del proyecto de desarrollo del SI.CICLO DE VIDA DE UN SISTEMA DE INFORMACIN

Diseo del sistema. Una vez aprobado el proyecto, se comienza con la elaboracin del diseo lgico del SI; la misma incluye: el diseo del flujo de la informacin dentro del sistema, los procesos que se realizarn dentro del sistema, el diccionario de datos, los reportes de salida, etc. En este paso es importante seleccionar la plataforma donde se apoyar el SI y el lenguaje de programacin a utilizar.

Codificacin. Con el algoritmo ya diseado, se procede a su reescritura en un lenguaje de programacin establecido (programacin) en la etapa anterior, es decir, en cdigos que la mquina pueda interpretar y ejecutar.CICLO DE VIDA DE UN SISTEMA DE INFORMACIN

Implementacin. Este paso consta de todas las actividades requeridas para la instalacin de los equipos informticos, redes y la instalacin de la aplicacin(programa) generada en la etapa de Codificacin.

Mantenimiento. Proceso de retroalimentacin, a travs del cual se puede solicitar la correccin, el mejoramiento o la adaptacin del SI ya creado a otro entorno de trabajo o plataforma. Este paso incluye el soporte tcnico acordado anteriormente.CICLO DE VIDA DE UN SISTEMA DE INFORMACIN

Debido a que el principal uso que se da a los SI es el de optimizar el desarrollo de las actividades de una organizacin con el fin de ser ms productivos y obtener ventajas competitivas, en primer trmino, se puede clasificar a los sistemas de informacin en:

Sistemas Competitivos

Sistemas Cooperativos

Sistemas que modifican el estilo de operacin del negocioTIPOS DE SISTEMAS DE INFORMACIN

Desde un punto de vista empresarialTIPOS DE SISTEMAS DE INFORMACIN

Esta clasificacin se basa en la jerarqua de una organizacin y se llam el modelo de la pirmide. Segn la funcin a la que vayan destinados o el tipo de usuario final del mismo, los SI pueden clasificarse en:

Sistema de procesamiento de transacciones (TPS).-

Sistemas de informacin gerencial (MIS).-

Sistemas de soporte a decisiones (DSS).-

Sistemas de informacin ejecutiva (EIS).-

Sistemas de automatizacin de oficinas (OAS).-

Sistemas de planificacin de recursos (ERP).-

Sistemas expertos (SE).-TIPOS DE SISTEMAS DE INFORMACIN

Sistema de procesamiento de transacciones (TPS).- Gestiona la informacin referente a las transacciones producidas en una empresa u organizacin, tambin se le conoce como Sistema de Informacin operativa.

Sistemas de informacin gerencial (MIS).- Orientados a solucionar problemas empresariales en general.

Sistemas de soporte a decisiones (DSS).- Herramienta para realizar el anlisis de las diferentes variables de negocio con la finalidad de apoyar el proceso de toma de decisiones.

Sistemas de informacin ejecutiva (EIS).- Herramienta orientada a usuarios de nivel gerencial, que permite monitorizar el estado de las variables de un rea o unidad de la empresa a partir de informacin interna y externa a la misma. Es en este nivel cuando los sistemas de informacin manejan informacin estratgica para las empresas.

TIPOS DE SISTEMAS DE INFORMACIN

Evolucin de los Sistemas de Informacin en el TiempoTIPOS DE SISTEMAS DE INFORMACIN

Sistemas de automatizacin de oficinas (OAS).- Aplicaciones destinadas a ayudar al trabajo diario del administrativo de una empresa u organizacin.Sistema Planificacin de Recursos (ERP).- Proviene de las primeras letras: Enterprise Resource Planning: cuyo objetivo es la planificacin de los recursos de una organizacin. Tpicamente esto se lo ha utilizado en empresas productivas que han seguido metodologas de planificacin MRPII. El objetivo es tener claramente identificado como llegar a los productos finales desde la materia prima; es decir desde un inventario de materia prima e insumos poder determinar la cantidad que llegaremos a generar de productos finales para ponerlos a disposicin del mercado. Integran la informacin y los procesos de una organizacin en un solo sistema.Sistema experto (SE).- Emulan el comportamiento de un experto en un dominio concreto.

TIPOS DE SISTEMAS DE INFORMACIN

Los sistemas de informacin tratan el desarrollo, uso y administracin de la infraestructura de la tecnologa de la informacin en una organizacin.

En la era post-industrial, la era de la informacin, el enfoque de las compaas ha cambiado de la orientacin hacia el producto a la orientacin hacia el conocimiento, en este sentido el mercado compite hoy en da en trminos del proceso y la innovacin, en lugar del producto. El nfasis ha cambiado de la calidad y cantidad de produccin hacia el proceso de produccin en s mismo, y los servicios que acompaan este proceso.APLICACIN DE LOS SISTEMAS DE INFORMACIN

El mayor de los activos de una compaa hoy en da es su informacin, representada en su personal, experiencia, conocimiento, innovaciones.

Para poder competir, las organizaciones deben poseer una fuerte infraestructura de informacin, en cuyo corazn se sita la infraestructura de la tecnologa de informacin.

Un sistema de informacin debe brindar la totalidad de los elementos que conforman los datos, en una estructura robusta, flexible ante los futuros cambios y homognea.APLICACIN DE LOS SISTEMAS DE INFORMACIN

Se contemplan las siguientes fases:

Fase 1. Identificar el alcance y los objetivos de la Auditora Informtica.

En esta fase se determinan los lmites y el entorno en que se realizar la auditora, debe existir un acuerdo muy preciso entre autoridades y auditores. El xito del proceso depende de una clara definicin de esta etapa.

METODOLOGA DE DESARROLLO DE LA AUDITORA INFORMTICA

Fase 2. Realizar el estudio inicial del entorno a auditar

En esta fase es necesario examinar las funciones y actividades generales de la organizacin a auditar y en particular de las relacionadas con las tecnologas de la informacin. Se debe definir el organigrama, los departamentos, las relaciones funcionales y jerrquicas entre las distintas reas de la organizacin, el flujo de informacin, el nmero de puestos de trabajo y personas por puesto de trabajo, la estructura organizativa del departamento de informtica, caractersticas de hardware y software, las metodologas de desarrollo y mantenimiento de aplicaciones, y aspectos relacionados con la seguridad.


Fase 3. Determinacin de los recursos necesarios para realizar la auditora informtica

Despus de realizar el estudio preliminar se debe determinar los recursos materiales y humanos necesarios para implementar el plan de auditora.

Fase 4. Elaborar el plan de trabajo

En esta fase se define el calendario de actividades a realizar, formalizando el mismo para la aprobacin por parte de las autoridades.


Fase 5. Realizar las actividades de auditora

Es el momento donde se efectivizan las actividades planificadas en la fase anterior, aplicando distintas tcnicas y utilizando herramientas que garanticen el cumplimiento de los objetivos planteados.

Fase 6. Realizar el informe final

La elaboracin del Informe Final es la nica referencia constatable de toda auditora, y el exponente de su calidad.

Fase 7. Carta de Presentacin

Es la ltima etapa de la auditora consta de un resumen del contenido del informe final, dirigido a las autoridades de la institucin.


Actualmente el desarrollo de una auditora informtica se basa en la aplicacin de normas, tcnicas, estndares y procedimientos que garanticen el xito del proceso.

La gran mayora de documentacin existente coincide en que las normas de auditora son requisitos mnimos de calidad, relativos a las cualidades del auditor, a los mtodos y procedimientos aplicados en la auditora, y a los resultados.

Las tcnicas de auditora en cambio, son todos aquellos mtodos que permiten al auditor evidenciar y fundamentar sus opiniones y conclusiones. La Figura siguiente resume las tcnicas aplicables ms comunes en el campo de la auditora.NORMAS, TCNICAS, ESTANDARES Y PROCEDIMIENTOS DE AI

Actualmente el Ecuador cuenta con un margo regulatorio y normativo reducido en materia informtica, es por ello que se estudiarn las normas y organizaciones internacionales ms relevantes en este mbito.

Las organizaciones ms importantes son:

Institute of InternalAuditors (IIA), e InformationSystemAudit and Control Association (ISACA)

Las organizaciones antes mencionadas, han desarrollado normas y estndares con el fin de establecer polticas y lineamientos que garanticen el proceso de auditora informtica. ORGANIZACIONES Y NORMAS DE AI MAS RELEVANTES

COBIT: Control Objectives for Information and Related Technology. Desarrollado por Information Systems Audit and Control Association(ISACA). Centra su inters en la gobernabilidad, aseguramiento, control y auditora para Tecnologas de la Informacin y Comunicacin (TIC).

ITIL: Information Technology Infrastructure Library. Recoge las mejores prcticas para administrar los servicios de Tecnologa de la Informacin (TI).

ORGANIZACIONES Y NORMAS DE AI MAS RELEVANTES

COSO: Committee of Sponsoring Organizations. Hace recomendaciones a los administradores de TI sobre cmo evaluar, informar e implementar sistemas de control, teniendo como objetivo la efectividad y eficiencia de las operaciones, la informacin financiera y el cumplimiento de las regulaciones, valoracin de riesgos, actividades de control, informacin y comunicacin y la verificacin.

ISO Serie 27000: Integra un conjunto de normas sobre Sistemas de Gestin de Seguridad de la Informacin (SGSI), que a travs de su aplicacin, permite administrar la informacin mediante el modelo de Demin Plan Do Check Act (PDCA) / Planificar hacer verificar actuar, o tambin llamado el espiral de mejora continua.

ORGANIZACIONES Y NORMAS DE AI MAS RELEVANTES

SAC: Systems Auditability and Control, ofrece una gua de estndares y controles a auditores internos sobre la forma de controlar y auditar los sistemas de informacin y tecnologa

MAGERIT: Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de Informacin, tiene un doble objetivo, primero estudiar los riesgos que soporta un determinado sistema de informacin y el entorno asociable con l, entendiendo por riesgo la posibilidad de que suceda un dao o perjuicio; y segundo recomendar las medidas apropiadas que deberan adoptarse para conocer, prevenir, impedir, reducir o controlar los riesgos investigados. ORGANIZACIONES Y NORMAS DE AI MAS RELEVANTES

Documents

AUDITORIA INFORMATICA 1