La Auditoría de Sistemas de Información como elemento de Control

La Auditoría de Sistemas de Información como elemento de Control

1. 1. La relación entre Auditoría y Sistemas de Información

   • 1.1 Auditoria
     • Definición
       • ¿Qué es?
         • Proceso de acumular y evaluar evidencia
       • ¿Quién lo realiza?
         • Realizado por una persona independiente y competente acerca de la información cuantificable de una entidad económica especÍfica
       • Propósitos
         • Determinar e informar sobre el grado de correspondencia existente entre la información cuantificable y los criterios establecidos.
     • El ejercicio de la auditoría de Sistemas de Información
       • Importancia
         • Elemento adicional de control en las organizaciones
         • Lugar estratégico en la gestión
       • Causas
         • Los altos índices de fraude informático a que han estado expuestas las empresas.
       • Propósito
         • Minimizar los fraudes electrónicos e inconsistencias sustanciales que tienen origen en los programas computacionales.
   • 1.2 Auditoria como Elemento de Control
     • Deber del auditor
       • Entender la estructura de control interno para planear la auditoría.
       • Para determinar:
         • Naturaleza, objetivos, diseños de programas y alcance.
     • Nuevas definiciones
       • Actividad por pasos que permite la evaluación del control interno para establecer el grado de confiabilidad de los procesos.
       • Proceso de acumular y evaluar evidencia.
       • ICPA: examen independiente de la información de cualquier entidad para expresar una opinión sobre dicha información.
     • Tipos de controles
       • Generales: externos a la aplicación y no dependen de sus características.
       • Específicos: dependen completamente de las características de la aplicación.
   • 1.3 Enfoque General de Sistemas de Información
     • Tendencias
       • Especialización
         • Ámbito Técnico
         • Conocimiento
     • ¿Pasos a seguir?
       • Primero hay que diferenciar entre los conceptos de dato y de información, puesto que de esa distinción depende que se logre entender la importancia de la información a nivel gerencial. Los datos consisten en hechos económicos y cifras cuantificables que sin ser procesadas no hacen parte del de toma de decisión.
   • 1.4 Auditoría Informática
     • Definición
       • Es entendida como el proceso de recoger,agrupar y evaluar evidencias para determinar si un sistema computarizado salvaguarda los activos involucrados en el sistema de información manteniendo la integridad de los datos.
     • Objetivos tradicionales
       • Objetivos de protección de activos e integridad de datos.
       • Objetivos de gestión que abarca, no solamente los de protección de los activos sino también los de eficacia y eficiencia.
     • ¿Como se establecen y que realizan?
       • Se pueden establecer tres grupos de funciones a realizar por un auditor informático: Participar en las revisiones durante y después del diseño, desarrollo, implantación y post – implementación de aplicaciones informáticas, así como en las fases de cambios importantes.
       • Asesoran en el diseños de los controles específicos de la aplicación por computadora. Definir los requerimientos de información para la organización y el por el cumplimiento de las políticas, procedimientos de la compañía, desarrollo de software instalación de sistemas computarizados.
       • Revisan y juzgan los controles plantados en los sistemas informáticos para verificar su adecuación órdenes e instrucciones de la Dirección, requisitos legales, protección, confidencialidad y en lo posible prevenir errores, omisiones o fraudes. Revisa y juzgar el nivel de utilidad, fiabilidad y seguridad de los equipos y la información.

2. 2. La gerencia y su relación con el Control Informático y la Auditoría de Sistemas

   • 2.1 El Software Legal como Rol Protagónico de Sistemas de Información
   • 2.2 La Administración del Software en las Empresas
     • La gerencia debe regular el uso del hardware y de software, contemplando algunas normas Solo se puede hacer uso de software y hardware que la empresa haya instalado y oficializado:
       • El departamento de TI tiene el control de Hardware y Software.
       • El departamento de TI instalará el software en cada equipo y entregará manuales
       • Se compran e instalan equipos autorizados por el departamento de TI
     • El departamento de sistemas instalará el software en cada computador y entregará al área usuaria los manuales pertinentes los cuales quedarán bajo la responsabilidad del Jefe del departamento respectivo.
     • El gerente se debe de coordinar con Auditor de sistemas para realizar una inspección en forma periódica del software instalado Para la inspección la BSA (Business Software Alliance) recomienda
       • Recopilar y revisar licencias
       • Seleccionar fecha de inspección interna y decidir si los empleados serán notificados
       • Recopilar y revisar registros de adquisición de software
       • Determinar quién estará involucrado
   • 2.3 La gerencia y el Sistema de Control
     • Diferentes definiciones del control interno:
       • El sistema de control interno es una herramienta de gestión gerencial
       • Administración - Es una actividad que sigue, verifica y evalúa el grado de conformidad en las acciones realizadas
       • AICPA - El control interno abarca el plan de organización, los métodos coordinados y medidas adoptadas dentro de la empresa
       • Es una herramienta de la administración y no un sustituto
       • COSO - Es un proceso efectuado por la junta directiva, la administración y otra persona, para proporcionar seguridad
     • Las tendencias externas que influyen en las empresas son:
       • Diversificación de actividades
       • Globalización
       • Nuevos productos
     • Ante los cambios los directores deben revaluar y reestructurar sus sistemas de control interno.
     • Los directores deben de actuar de manera proactiva para garantizar que los controles internos están bien diseñados para hacer frente a los retos futuros.
   • ¿Que realizan?
     • Las empresas como integrados de capitales, personas y técnicas deberán conjugar un rol protagónico en la defensa de los derechos de autor y la propiedad intelectual, el Estado Colombiano ha desarrollado un conjunto de normas que regulan, protegen y penalizan a aquellas personas que violen estos derechos.

3. Conclusiones

   • La implementación de un centro de información es un forma para facilitar a los usuarios que satisfagan sus necesidades de información a corto plazo
   • El objetivo de un centro de información es dar soporte a los usuarios internos de una organización
   • Entre más grande sea la organización aumenta la complejidad y las necesidades de control interno y auditoría
   • El control interno informático controla que las actividades de sistemas de información sean realizadas cumpliendo las normas
   • Los controles se usan para reducir la posibilidad de ataque a la seguridad de las computadoras
   • Es importante determinar la relación costo-beneficio
   • El sistema de información debe proporcionar a cada nivel gerencial, información exacta de manera eficaz.