Proceso de Auditoría

Página 1

Proceso de Auditoría

La asociación de contadores públicos de los Estados Unidos, AICPA (American Institute of Certified Public Accountants), dedicada a desarrollar estándares técnicos y profesionales, ha adoptado el estándar GAAS (Generally Accepted Auditing Standards) para los profesionales que se dedican a las tareas de auditoría externa. Este modelo es el más conocido y de mayor aplicación en las auditorías financieras. Sin embargo, este estándar puede ser aplicado a la auditoría de sistemas de información con algunas adaptaciones necesarias.

Resulta de mucha utilidad aplicar los principios descriptos por el GAAS en cualquier tipo de auditoría, los siguientes son sus puntos principales:

Estándares Generales:

El auditor debe contar con la capacitación técnica y la competencia adecuada para realizar la auditoría.

El auditor debe mantener la independencia en la actitud mental en todos los aspectos relacionados con la auditoría.

El auditor debe ejercer la debida profesionalidad en el desempeño de la auditoría y en la preparación del informe.

Estándares de Trabajo de Campo:

El auditor debe planear debidamente el trabajo y supervisar correctamente a cualquier asistente.

El auditor debe obtener la necesaria comprensión de la entidad y de su entorno, incluyendo su control interno.

El auditor debe obtener las suficientes evidencias mediante la realización de procedimientos de auditoría, para proporcionar una base razonable a su opinión sobre el material auditado.

Estándares de Presentación del Informe:

El auditor deberá indicar en el informe, si las declaraciones se presentan de conformidad con los principios aceptados por las mejores prácticas y normas aplicables.

El auditor debe determinar en el informe aquellas circunstancias en que tales principios no se han observado de forma consistente, en el período actual en relación con el período anterior.

Cuando el auditor determina que la divulgación informativa no es razonablemente adecuada, deberá hacerlo constar en el informe.

En el informe, el auditor debe expresar una opinión respecto a las declaraciones auditadas en su conjunto, o declarar que una opinión profesional no puede ser expresada. Cuando el auditor no puede expresar una opinión general, debe exponer las razones de ello.

Etapas del Proceso de Auditoría

1. Planificación:

También llamada Diagnóstico Preliminar o Programación. Algunas de sus actividades más importantes incluyen una visita previa con un diagnóstico preliminar, revisión de la documentación de auditorías anteriores, creación del plan de auditoría, redacción de cuestionarios de control interno y elaboración del programa de auditoría.

2. Ejecución o trabajo de campo:

Sus actividades abarcan el análisis de la organización cliente con su sistema de control interno, la aplicación de los procedimientos de auditoría, la elaboración de los papeles de trabajo y la comunicación constante con la dirección.

3. Conclusión:

Informe de resultado o reporte de la auditoría. Incluye la preparación y presentación de un informe borrador sobre hallazgos y recomendaciones, así como la presentación del reporte final que contendrá un detalle de los hallazgos y las recomendaciones respectivas.

Página 2

1. Etapa de Planificación

“El auditor de SI debe planear la cobertura de la auditoría de sistemas de información para cubrir los objetivos de la auditoría y cumplir con las leyes aplicables y las normas profesionales de auditoría.

El auditor de SI debe desarrollar un programa y/o plan de auditoría detallando la naturaleza, los plazos y el alcance de los procedimientos

requeridos para completar la auditoría.”

La primera tarea que se debe realizar en un proceso de auditoría, es establecer el contrato o acuerdo entre el auditor y la organización. En cada caso debe definirse claramente cuál será el alcance y el objetivo del trabajo, debe asentarse por escrito temas como la profundidad, la independencia y los entregables de la auditoría con fechas específicas. Además, debe definirse con cuánta responsabilidad contará el auditor y cuál será el nivel autoridad que tendrá para examinar la información corporativa.

Una vez cerrado el acuerdo para que se realice la auditoría, el auditor debe lograr un entendimiento de la organización y del entorno en que se

encuentra.

Riesgos

En este punto, el auditor realiza un juicio preliminar sobre los riesgos del cliente con el fin de establecer el alcance de la auditoría y poder planificarla.

Riesgo de Auditoría: es el riesgo de llegar a una conclusión errónea en base a los resultados de la auditoría. Abarca a los siguientes riesgos:

Riesgo Inherente: es la posibilidad de que las áreas auditadas contengan errores que puedan materializarse en fallas, independientemente de la existencia de los sistemas de control.

Riesgo de Control: se refiere a que existan errores materializados, que no hayan podido ser prevenidos ni detectados, debido fallas o debilidades en los controles realizados. Por ejemplo, la inexistencia de procedimientos de autorización.

Riesgos de Detección: es el riesgo de que una falla no sea detectada debido a la aplicación incorrecta de un procedimiento por parte del auditor.

Materialidad de la Auditoría

“La debilidad en el control se considera “material” si la ausencia del mismo ocasiona que no exista una garantía razonable de que se cumplirá con el objetivo de control.

Una debilidad material es una deficiencia importante o una combinación de deficiencias importantes que originan, con una probabilidad más que remota, que un evento indeseado no sea prevenido o detectado.

Presupuesto de la Auditoría:

Está basado en el tiempo que tomará todo el proceso, incluyendo temas como las entrevistas, reuniones informativas, capacitación al personal auditor y preparación del informe, entre otros. Un factor que impacta profundamente al presupuesto es el grado de riesgos que se vaya a asumir en la auditoría.

Plan de Auditoría

Una vez entendida la naturaleza de las actividades de la organización y conocidos los riesgos presentes, el entorno y los objetivos de la auditoría, el auditor prepara el plan de auditoría propiamente. Este plan es el marco de referencia para todas las actividades de la auditoría

Página 3

2. Etapa de Ejecución

En esta etapa el auditor comienza su trabajo de campo, para ello diseña, selecciona, evalúa y documenta evidencias de la entidad analizada para

cumplir el objetivo de la auditoría

Estándar S6 de ISACA para la ejecución de la auditoría

Supervisión—El personal de auditoría de SI debe ser supervisado para brindar una garantía razonable de que se lograrán los objetivos de la auditoría y que se cumplirán las normas profesionales de auditoría aplicables.

Evidencia—Durante el transcurso de la auditoría, el auditor de SI debe obtener evidencia suficiente, confiable y pertinente para alcanzar los objetivos de auditoría. Los hallazgos y conclusiones de la auditoría deberán ser soportados mediante un apropiado análisis e interpretación de dicha evidencia.

Documentación—El proceso de auditoría deberá documentarse, describiendo las labores de auditoría realizadas y la evidencia de auditoría que respalda los hallazgos y conclusiones del auditor de SI.”

Todos los integrantes del equipo de auditoría deben tener definidos sus roles y responsabilidades antes de iniciarse el proceso. Cada actividad de la auditoría debe seguir los procedimientos descriptos y documentados en el plan de auditoría

Auditoría por Muestreo

Se realiza cuando el auditor está incapacitado para verificar el 100% de la población entidad del cliente, generalmente debido al gran tamaño de esta.

El auditor debe diseñar la selección de una parte de los elementos para ser auditados, la cantidad de los mismos se conoce estadísticamente como el tamaño de la muestra. Esta debe ser lo suficientemente grande para representar el comportamiento de la población, sin exceder los recursos (tiempo, dinero, personal) disponibles.

Riesgo

El riesgo consiste en que la conclusión del proceso realizada por muestreo no sea el mismo que la conclusión a la que se llegaría, si el proceso se hubiera realizado analizando toda la población.

El Riesgo de una Aceptación Incorrecta: el riesgo de que una evidencia se considere aceptable, cuando en realidad es errónea.

El Riesgo de un Rechazo Incorrecto: el riesgo de que una evidencia se considere inaceptable, cuando en realidad es correcta.

Métodos para mitigar el riesgo:

Métodos de Muestreo Estadístico:

Muestreo Aleatorio: con este método nos aseguramos que todas las combinaciones posibles de la población contengan la misma probabilidad de ser seleccionados. Para mitigar el riesgo de la conclusión errónea, se debe repetir varias veces este método y así poder representar mejor a la población.

Muestreo Sistemático: para aplicarlo se debe dividir a la población en intervalos, el primer intervalo se lo elige de manera aleatorio, y a partir de allí se van seleccionando en forma sistemática las muestras con un intervalo fijo.

Métodos de Muestreo No-Estadístico:

Muestreo al Azar: en este caso las muestras son escogidas sin seguir ningún patrón o estructura de selección.

Muestreo por Juicio: el auditor impone su juicio de experto para filtrar la selección, por ejemplo escogiendo sólo las muestras que se encuentren por arriba de cierto valor.

Recolección de la Evidencia

El auditor de SI debe obtener evidencias de auditoría suficientes y apropiadas para llegar a conclusiones razonables sobre las que basar los resultados de la auditoría

Evidencia Relevante: que tenga relación con el objetivo de la auditoría que se está llevando a cabo

Evidencia Apropiada: influye en las conclusiones del auditor de una manera cualitativa. Demuestra que el trabajo fue realizado cumpliendo con las normas, políticas y estándares aplicables.

Evidencia Fiable: Son las evidencias válidas y objetivas. El auditor tiene que analizar la fuente y la naturaleza de cada información recolectada para evaluar su fiabilidad.

Evidencia Suficiente: Influye de manera cuantitativa en las conclusiones del auditor. La suficiencia es una medida de la cantidad de evidencias de auditoría, mientras que lo apropiado es la medida de la calidad de la evidencia de auditoría, estando ambos conceptos relacionados entre sí.

Procedimientos de Recolección:

Consultas: generalmente son entrevistas a empleados para averiguar las actividades que realizan.

Observación: los auditores pueden mirar tanto la forma de trabajo del personal como la actividad del sistema informático.

Inspección: es cuando se analiza la documentación de la organización.

Monitoreo: ver los resultados o salidas de los procesos para analizar sus puntos de control y medir su desempeño o buscan posibles fallas.

Clasificación de Evidencia según su método de obtención:

Evidencia de Control: se obtiene con pruebas de cumplimiento del sistema de control interno informático. Permite verificar si los controles están operando correctamente. Ejemplo de estas pruebas son indagación al personal, verificación de documentación justificativa, observación de aplicación de controles.

Evidencia Material: se obtiene con las de pruebas de nivel de materialización. Con estas pruebas el auditor obtiene evidencia directa sobre la validez de la integridad de los datos procesados por los sistemas de información.

Evidencia Física: se obtiene al visualizar los activos tangibles, como los mecanismos de seguridad por hardware.

Evidencia Documental: se obtiene al examinar la documentación existente.

Evidencia Testimonial: puede obtenerse por fuentes internas o externas a la empresa. Pueden ser confirmaciones, indagaciones, documentos judiciales, entre otros.

Evidencia Analítica: se obtiene al analizar el comportamiento para identificar una actividad diferente de la esperada.

Evaluación de los Controles

En este momento de la auditoría es donde se debe verificar la estructura de los controles internos en los sistemas de información. El objetivo es

comprobar que estos controles aseguren las operaciones de la organización de una manera confiable, efectiva y eficiente.

Se deben analizar los siguientes cinco tipos de control interrelacionados:

Control del Ambiente: se refiere a las políticas, filosofía y forma de dirigir la empresa de la gerencia, proveen la base para el resto de los controles.

Evaluación de los Riesgos: son la identificación y análisis de los riesgos ya visto en los puntos anteriores.

Actividades de Control: son las tareas que realiza el personal de la empresa para cerciorarse que se cumplan las políticas y procedimientos de control organizativos. Debe verificarse la existencia de controles de tipo preventivo, de detección y correctivos.

Información y Comunicación: verificar que la información adecuada (oportuna y fehaciente) es comunicada al personal correspondiente en la organización.

Monitoreo: revisa los elementos de salida de los procesos (reportes, notificaciones, análisis) y las actividades que se ejecutan para generarlos.

Toda auditoría informática tiene que verificar los controles generales de los sistemas de procesamiento de información, ya que estos procesos son los que afectan en mayor medida el desenvolvimiento de las operaciones de la información corporativa. Los tipos principales de estos controles son:

Controles Organizacionales: incluyen la distribución de responsabilidades, delegación de autoridad, separación de funciones y medición evaluación de desempeño.

Controles de las Redes de Comunicaciones y el Almacenamiento de los Datos: estos son los controles sobre la integridad de los datos que son transmitidos, comunicados y almacenados en equipos informáticos.

Controles sobre el Hardware y Software: se controla la adquisición y el mantenimiento de los productos, así como se verifica el uso adecuado de los mismos.

Controles de Seguridad: se enfocan en la seguridad de los datos y los activos informáticos, sus puntos principales son el control de acceso a la información y la protección física de los equipos, del software y de los datos.

Controles de la Aplicaciones Informáticas: controla la confiabilidad de los procesos de desarrollo, adquisición, mantenimiento y soporte a las aplicaciones de los sistemas de información. Para este punto, existen técnicas de auditoría específicas en los estándares internaciones de calidad para el desarrollo y mantenimiento de los sistemas de información, como CMMI, ISO y Six Sigma.

Controles de Administración: son los controles sobre los accesos y manipulación de la información.

Además de auditar las actividades de los controles generales, la auditoría informática analiza los controles existentes específicamente en las aplicaciones de software:

Controles en la Entrada de Datos: para asegurar que las transacciones sean registradas correctamente en el sistema, tanto las aceptadas como las rechazadas.

Controles en la Validación de Datos: para asegurar que los datos sean validados antes de ser procesados.

Controles en el Procesamiento: para asegurar el correcto procesamiento de la información.

Controles en la Salida de Datos: para asegurar que la información resultante de los procesos sólo es accedida por el personal autorizado.

Controles de Errores: para asegurar que los errores sean corregidos y los procesos puedan continuar su normal desenvolvimiento.

Técnicas para Ejecutar la Auditoría

Verificación Ocular

Controles en la Entrada de Datos: para asegurar que las transacciones sean registradas correctamente en el sistema, tanto las aceptadas como las rechazadas.

Controles en la Validación de Datos: para asegurar que los datos sean validados antes de ser procesados.

Controles en el Procesamiento: para asegurar el correcto procesamiento de la información.

Controles en la Salida de Datos: para asegurar que la información resultante de los procesos sólo es accedida por el personal autorizado.

Controles de Errores: para asegurar que los errores sean corregidos y los procesos puedan continuar su normal desenvolvimiento.

Verificación Verbal:

Indagación: Consiste en obtener información verbal a través de averiguaciones, conversaciones, entrevistas, etc. Los resultados de esta técnica por si misma no constituye una evidencia suficiente y competente.

Verificación Física:

Inspección: Examen físico y ocular de activos, documentos y valores, con el objetivo de demostrar su existencia y autenticidad.

Verificación Documental:

Comprobación: Consiste en examinar verificando la evidencia que apoya a una transacción u operación demostrando autoridad, legalidad, propiedad y certidumbre.

Computación: Consiste en verificar la exactitud matemática de las operaciones.

Análisis: Consisten en separar en elementos o partes las transacciones u operaciones que están sometidas a exámenes.

Confirmación: Consiste en obtener contestación de una fuente independiente de la entidad bajo examen y sus registros.

Procedimientos para Ejecutar la Auditoría

1. Inspeccionar el inventario de la organización.

2. Observar los procedimientos de producción, fabricación o desarrollo.

3. Indagación para conocer la situación de los proyectos actualmente en desarrollo.

4. Comprobar la legalidad de la documentación de tales proyectos.

Otra clasificación los divide en procedimientos de control y procedimientos analíticos: Procedimientos de Control: son los procedimientos que

permiten atenuar el riesgo material, incluyendo al riesgo inherente y al riesgo de control. Se puede realizar de tres formas:

1. Al conocer el ambiente de la organización, con el propósito de lograr una evaluación razonable del riesgo material existente.

2. Al conocer los procesos existentes de control interno de la organización.

3. Al verificar la eficiencia operativa del control interno en la prevención y detección de errores materiales.

Procedimientos Analíticos: son los procedimientos destinados a disminuir los riesgos analíticos, también denominados sustantivos. Son

verificaciones detalladas y específicas de algún proceso o componente del sistema de información.

Página 4

3. Etapa de Conclusión

Esta es la última etapa de la auditoría, en donde el auditor analiza las evidencias recolectadas, alcanza las conclusiones y documenta e informa los resultados de los procedimientos de la auditoría en el reporte.

El estándar ISACA S7 describe las tareas que deben realizase en esta parte de la auditoría:

El auditor de SI debe suministrar un informe, en un formato apropiado, al finalizar la auditoría. El informe debe identificar la organización, los destinatarios previstos y respetar cualquier restricción con respecto a su circulación.

El informe de auditoría debe indicar el alcance, los objetivos, el período de cobertura y la naturaleza, plazo y extensión de las labores de auditoría realizadas.

El informe debe indicar los hallazgos, conclusiones y recomendaciones, así como cualquier reserva, calificación o limitación que el auditor de SI tuviese en cuanto al alcance de la auditoría.

El auditor de SI debe tener evidencia de auditoría suficiente y apropiadapara respaldar los resultados reportados.

Al emitirse, el informe del auditor de SI debe ser firmado, fechado y distribuido de acuerdo con los términos del estatuto de auditoría o carta de compromiso.

Actividades de Seguimiento

“Después de informar/reportar sobre los hallazgos y las recomendaciones, el auditor de SI debe solicitar y evaluar la información relevante para

concluir si la gerencia tomó las acciones apropiadas de manera oportuna.”

Dependiendo de la importancia e impacto del hallazgo encontrado, las actividades de seguimiento tendrán un tiempo de ejecución variable. Se deben priorizar las actividades de acuerdo con el tipo y magnitud del riesgo y con los costos asociados a él.