Resumencapitulo1
- 1. CONCEPTO DE AUDITORÍA EN INFORMÁTICA Y DIVERSOS TIPOS DE AUDITORIA CONCEPTOS AUDITORIA Con mucha frecuencia se ha escuchado hablar a diferentes personas que la auditoria tiene un único fin de detectar errores y señalar las fallas. Se ha llegado a definir que el “tener auditoria” es sinónimo de que, desde antes de realizarse, ya se encontraron fallas y que por lo tanto se está haciendo la auditoria. El concepto de auditoría es mucho más amplio abarcando y englobando factores como exámenes críticos que se realizan con el objeto de evaluar la eficiencia y la eficacia y en base a estos determinar cursos de acciones para mejorar dentro de una organización con el fin de llegar a cumplir la misión, los objetivos y las metas de la organización. Ahora bien definimos entonces que el auditor tiene el objetivo específico de evaluar la eficiencia y al eficacia con que hoy en día se está trabajando y operando dentro de una organización entonces definiremos la eficacia y eficiencia con base en el diccionario de la real academia que menciona: Eficiencia. f. Capacidad para lograr un fin empleando los mejores medios posibles. Eficacia. f. Capacidad para obrar o para conseguir un resultado determinado. La eficiencia y la eficacia tienen que ver con resultados y el logro de los objetivos es por eso que la auditoria está presente en estos puntos y no así en considerarla como una simple detección de errores sino ir más allá evaluando para mejorar lo existente corregir errores proponer alternativas de solución. INFORMATICA La percepción que se tiene por informática en la mayoría de casos también es errada, una gran parte de las personas tienen un concepto limitado como el simple uso de equipos de cómputo sin embargo este concepto es mucho más amplio, ya que considera el total del sistema y el manejo de la información, la cual puede usar los equipos electrónicos como una de sus herramientas. La academia francesa reconoció este nuevo concepto y lo definió del modo siguiente: “Ciencia del tratamiento sistemático y eficaz, realizado especialmente mediante maquinas automáticas, de la información contemplada como vehículo del saber humano y de la comunicación en los ámbitos técnicos”
- 2. Aun eso este concepto tiene sus limitaciones ya que no siempre este tratamiento sistemático será realizado por maquinas automáticas, posteriormente se redefine y se da una mejor percepción del concepto de informática como: “Aplicación racional, sistemática de la información para el desarrollo económico, social y político” No cabe duda que este concepto es mucho más extenso y abarca diversas posibilidades que el anterior concepto no tomaba en cuenta. En este ámbito otra forma común de confundir es el concepto de dato con el de información. Se toma en cuenta a la información como un conjunto de datos clasificados y ordenados con un objetivo común. Al dato se lo considera como un símbolo. Ahora bien la información ayuda a reducir la incertidumbre, no existe por si misma debe expresarse en algún objeto, si no es de esta manera tiende a desaparecer o deformarse. Como la información puede ser transmitida dentro del proceso de información se puede distinguir un proceso inicial de formación de los datos a ser transmitidos. En realidad, la emisión de un mensaje puede incluir varios elementos: Emisor Receptor El canal o medio de transmisión La información como tal denominado mensaje. En todas estas etapas es de suma importancia lograr los medios de seguridad apropiados para tal efecto. La información ha sido dividida en varios niveles. El primero es el nivel técnico, que considera los aspectos de eficiencia y capacidad de los canales de transmisión; el segundo es nivel semántico, que se ocupa de la información desde el punto de vista de su significado; el tercero es el pragmático, el cual considera al receptor en un contexto dado, y el cuarto nivel analiza la información desde el punto de vista normativo y de la parte ética, o sea considera cuándo, dónde, y a quién se destina la información o la difusión que se le dé. La informática debe abarcar los cuatro niveles de información.
- 3. TIPOS DE AUDITORIA Y SU RELACION CON LA AUDITORIA EN INFORMATICA CONTROL INTERNO El auditor debe efectuar un estudio y evaluación del control interno que existe dentro de una organización entonces tomando en cuenta esta percepción el control interno debe cumplir objetivos básicos como: Protección de los activos Obtención de la información veraz, confiable y oportuna. Lograr que en la ejecución de las operaciones se cumplan las políticas establecidas por los administradores de la empresa. La promoción de la eficiencia en la operación del negocio Estos cuatro objetivos abarcan el aspecto de controles internos contables y controles internos administrativos. El control interno contable de una organización está diseñado en función de los objetivos de la organización se identifican dos niveles: Objetivos generales de control interno aplicables a todos los sistemas Objetivos de control interno aplicables a ciclos de transacciones A continuación se mencionará los objetivos generales del control interno de sistemas: Objetivos de autorización Todas y cada una de las operaciones debe realizarse de acuerdo con autorizaciones generales o especificaciones de la administración. Objetivos del procesamiento y clasificación de transacciones Toda operación y/o transacción debe ser registrada y clasificada para la aplicación de criterios de los estados financieros conforme con los principios de contabilidad general. Objetivo de salvaguarda física El acceso a los activos solo debe permitirse de acuerdo con autorizaciones de la administración. Objetivo de verificación y evaluación Se basa principalmente en la comparación de datos y resultados, y la posterior toma de medidas apropiadas respecto a sus diferencias. AUDITORIA ADMINISTRATIVA/OPERACIONAL
- 4. Hoy en día la estructura administrativa organizacional será verá afectada de forma directa por cambios que se susciten en la tecnología de información. El incremento de la tecnología de información ésta soportado por una restructuración organizacional alrededor de esta tecnología. La auditoria administrativa debe llevarse a cabo como parte de la auditoria del área de informática, se ha de considerar dentro del programa de trabajo de auditoría en informática, tomando principios de la auditoria administrativa para aplicarlos al área de informática. El departamento de informática se deberá evaluar de acuerdo con: Objetivos, metas, planes, políticas y procedimientos. Organización. Estructura Orgánica Funciones y niveles de autoridad y responsabilidad. AUDITORIA CON INFORMATICA Los procedimientos varían de acuerdo con cada organización y departamento de auditoría en particular, sin embargo existen técnicas y procedimientos que son compatibles en la mayoría de los ambientes de informática. Las dos técnicas antes mencionadas están en dos categorías las cuales podemos mencionar: Métodos manuales Métodos asistidos por computadora Técnicas de Auditoria Asistidas por computadora La mayoría de las veces el auditor utiliza la computadora como su herramienta de trabajo ganando tiempo y ampliando más cobertura a la hora realizar el examen. Existen paquetes computaciones que permiten elaborar auditorias a los sistemas financieros y contables que se encuentran en los medios informáticos. Todos los programas o paquetes empleados en la auditoria deben permanecer bajo estricto control del departamento de auditoría. Todos los cambios que se realice será responsabilidad del auditor. Donde se cuente con programas catalogados, los programas de auditoría pueden ser guardados utilizando contraseñas de protección con el objeto de que mientras se realice la auditoria deberán estar bajo control estricto del auditor con el fin de definir sus propósitos y objetivos. Ahora bien cuando los programas estén siendo procesados, los auditores internos deberán asegurarse de la integridad del procesamiento por medio de controles observando
- 5. directamente la aplicación, manteniendo el control sobre las especificaciones de los programas y desarrollando programas independientes de control y monitorización. Técnicas avanzadas de auditoría con informática Cuando se encuentren operando sistemas avanzados de computación se podría evaluar utilizando técnicas avanzadas de auditoría. Estas técnicas son realizadas por expertos por lo tanto no es apropiado si no se tiene el entrenamiento adecuado para realizarlo, sin embargo con se lo realizado de forma apropiada superan todas las expectativas. Las técnicas avanzadas que se pueden mencionar son: Pruebas integrales (Procesar datos y compararlo con resultados predeterminados Simulación (Desarrollo de programas y comparar resultados con aplicaciones reales). Revisiones de acceso (Conservar un registro de todos los accesos a determinados archivos). Operaciones en paralelo (Verificar la exactitud de la información sobre los resultados). Registros Extendidos (Agregar un campo de control a un registro determinado para controlar parte por parte los resultados de un sistema). Totales aleatorios de ciertos programas (Se consiguen totales en algunas partes del sistema para verificar su exactitud). Selección de determinado tipo de transacciones como auxiliar en el análisis de un archivo histórico (Con esta metodología se puede analizar parciamente el archivo histórico de un sistema). Resultados de ciertos cálculos para comparaciones posteriores (Con el fin de realizar las debidas comparaciones de totales en diferentes fechas). Estas técnicas anteriormente mencionadas ayudan al auditor a establecer una metodología para la revisión de los sistemas de aplicación de una institución empleando como herramienta el mismo equipo de cómputo. PLANEACION DE LOS PROCEDIMIENTOS DE AUDITORIA CON INFORMATICA En este punto se determina las actividades a realizar dentro de una auditoria. Se debe examinar este plan con el fin de establecer los requerimientos de auditoría necesarios. La planeación de los procedimientos se basada en que el auditor cuente con las herramientas necesarias para verificar que el sistema este realizando las funciones que supuestamente debe ejecutar, las mismas le deben permitir detectar los errores y corregirlos posteriormente. DEFINICION DE AUDITORIA EN INFORMATICA
- 6. CONCEPTO DE AUDITORIA EN INFORMATICA Se pueden mencionar las siguientes definiciones: “Es una función que ha sido desarrollada para asegurar la salvaguarda de los activos de los sistemas de computadoras, mantener la integridad de los datos y lograr los objetivos de la organización en forma eficaz y eficiente.”1 “Auditoría en informática es la verificación de los controles en las siguientes tres áreas de la organización (informática): Aplicaciones (programas de producción) Desarrollo de sistemas Instalación del centro de proceso”2 Concluyendo con las anteriores definiciones se puede mencionar que la auditoría en informática evalúa y revisa los controles, sistemas y procedimientos de la informática; de los equipos de cómputo, su utilización, eficiencia y seguridad. Al evaluar y revisar estos elementos se lograría una utilización más eficiente, confiable y segura de la información que servirá para una adecuada toma de decisiones. La información es un recurso necesario para la organización y para la continuidad de las operaciones, ya que provee de una imagen de su ambiente actual, su pasado y su futuro. En el proceso de la información se debe detectar sus errores u omisiones, y evitar su destrucción de cualquier contingencia que pudiera suscitarse. La auditoría en informática deberá comprender no solo la evaluación de los equipos de cómputo o de un sistema o procedimiento especifico, sino que además habrá de evaluar los sistemas de información en general que están operando en la organización desde sus entradas, procedimientos, comunicación, controles, archivos, seguridad, personal (desarrollador, operador, usuarios) y obtención de información. CAMPO DE LA AUDITORIA EN INFORMATICA El campo de acción de la auditoría en informática es: La evaluación administrativa del área de informática La evaluación de los sistemas y procedimientos, y de la eficiencia y eficacia con la que se trabaja. La evaluación del proceso de datos, de los sistemas y de los equipos de computo (software, hardware, redes, base de datos, comunicaciones). Seguridad y confidencialidad de la información. 1 Definición de Ron Weber en Auditing Conceptual Foundations and Practice 2 Definición de Mair William
- 7. Aspectos legales de los sistemas y de la información. Los principales objetivos de la auditoría en informática son los siguientes: Salvaguardar los activos. Se refiere a la protección del hardware, software y recursos humanos. Integridad de datos. Los datos deben mantener consistencia y no duplicarse. Efectividad de sistemas. Los sistemas deben cumplir con los objetivos de la organización Eficiencia de sistemas. Que se cumplan los objetivos con los menores recursos. Seguridad y confidencialidad. La auditoria de sistemas debe evaluar todo (informática, organización del centro de computo, computadoras, comunicación y programas), con auxilio de los principios de auditoría administrativa, auditoría interna, auditoría contable/financiera y, a su vez puede proporcionar información a esos tipos de auditoría. Las computadoras deben ser una herramienta para la realización de cualquiera de las auditorias. AUDITORIAS DE PROGRAMAS La auditoria de programas tiene un mayor grado de profundidad y de detalle que la auditoría en informática, ya que analiza y evalúa la parte central del uso de las computadoras, que es el programa, aunque se puede considerar como parte de la auditoría en informática. Para lograr que la auditoria de programas sea eficiente, se deberá tener conocimientos profundos sobre sistemas operativos, sistemas de administración de base de datos, lenguajes de programación bases de datos, etc. Así mismo se deberá comenzar con la revisión de la documentación del mismo.