Informe de Auditoria de Sistemas

La elaboración del informe representa el momento adecuado de separar lo significativo de lo no significativo, debidamente evaluados por su importancia y vinculación con el factor de riesgo, tarea eminentemente de carácter profesional y ético, según el leal saber y entender del Auditor Informático.

No existe un formato específico. Existen esquemas recomendados con los requisitos mínimos aconsejables respecto a estructura y contenido. El orden y la forma del Informe puede variar de acuerdo con la creatividad y estilo de los AI

El Informe de Auditoría deberá ser: 

- claro

- adecuado

- suficiente

- comprensible

El formato del Informe debe reflejar una presentación lógica y organizada. 

El informe debe incluir suficiente información para que sea comprendido por los destinatarios esperados y facilitar las acciones correctivas. 

Requisitos del Informe

Los requisitos de un Informe de Auditoría son:

1- Ser veraz

2- Estar documentado formalmente

3- Mostrar las observaciones (debilidades) encontradas

4- Tener recomendaciones y soluciones para cada observación

5- Reflejar las áreas de oportunidad y cursos de acción

Desarrollo del Informe

Los puntos esenciales de un Informe de Auditoría son:

1- Identificación del Informe: El título del Informe deberá identificarse como objeto de distinguirlo de otros informes

2- Identificación del Cliente: Debe identificarse a los destinatarios y a las personas que efectúen el encargo

3- Identificación de la Entidad auditada: Identificación de la entidad objeto de la Auditoría Informática

4- Objetivos de la Auditoría Informática: Declaración de los objetivos de la Auditoría para identificar su propósito, señalando los objetivos incumplidos.

5- Normativa aplicativa y excepciones: Identificación de las normas legales y profesionales utilizadas, así como las excepciones significativas de uso y el posible impacto en los resultados de la Auditoría

6- Alcance de la Auditoría: Concretar la naturaleza y extensión del trabajo realizado, área organizativa, período de auditoría, sistemas de información señalando limitaciones del alcance y restricciones del auditado

7- Conclusiones: Informe corto de opinión

Metodologia de Auditoria de Sistemas

Para llevar a cabo una auditoría de sistemas computacionales requiere una serie ordenada de acciones y procedimientos específicos, los cuales deberán ser diseñados previamente de manera secuencial, cronológica y ordenada, de acuerdo a las etapas, eventos y actividades que se requieran para su ejecución, mismos que serán establecidos conforme a las necesidades especiales de la institución.

Además, estos procedimientos se deben adaptar de acuerdo al tipo de auditoría de sistemas que se vaya a realizar, y con estricto apego a las necesidades, técnicas y métodos de evaluación del área de sistematización. Dichos métodos deberán seguirse también para la determinación de las herramientas e instrumentos de revisión que serán utilizados en la evaluación.

1. Origen de la auditoría

2. Visita preliminar

3. Establecer objetivos

4. Determinar los puntos que deben ser evaluados

5. Elaborar planes, presupuestos y programas

6. Seleccionar las herramientas, técnicas, métodos y procedimientos que serán utilizados en la auditoría

7. Asignar los recursos y sistemas para la auditoría

8. Aplicar la auditoría

9. Identificar desviaciones y elaborar borrador de informe

10. Presentar desviaciones a discusión

11. Elaborar borrador final de desviaciones

12. Presentar el informe de auditoría

Esta Metodología Tiene Tres Etapas Fundamentales

1ra. Etapa: Planeación de la Auditoria de Sistemas

2da. Etapa: Ejecución de la Auditoria de Sistemas

3ra. Etapa: Dictamen de la Auditoria de Sistemas

1ra. Etapa: Planeación de la Auditoria de Sistemas

El primer paso para realizar una auditoría en sistemas computacionales es definir las actividades necesarias para su ejecución, lo cual se logrará mediante una adecuada planeación de éstas; es decir, se deben identificar claramente las razones por las que se va a realizar la auditoría y la determinación del objetivo de la misma, así como el diseño de los métodos, técnicas y procedimientos necesarios para llevarla a cabo y para preparar los documentos que servirán de apoyo para su ejecución, culminando con la elaboración documental de los planes, programas y presupuestos para dicha auditoría.

2da. Etapa: Ejecución de la Auditoria de Sistemas

El siguiente paso después de la planeación de la auditoría es su ejecución, la cual estará determinada por las características concretas, los puntos y requerimientos que se estimaron en la etapa de planeación.

Debido a que esta etapa es de realización especial, de acuerdo con la planeación de la auditoría, en este inciso sólo se indican sus puntos más importantes, en la inteligencia de que se aplicará verdaderamente de acuerdo a las características específicas de la auditoría que se trate. 

3ra. Etapa: Dictamen de la Auditoria de Sistemas

El último paso de la metodología que hemos estudiado es emitir el dictamen, el cual es el resultado final de la auditoría de sistemas computacionales. Para ello presentamos los siguientes puntos:

• La información y elaborar un informe de situaciones detectadas
• Elaborar el dictamen final
• Presentar el informe de auditoría

Una vez que el auditor determinó las desviaciones encontradas durante la evaluación, debe elaborar un documento que contenga todas las desviaciones detectadas, o lo puede elaborar con cada una de las desviaciones por separado, de acuerdo a las necesidades de la empresa. Una vez hecho esto, es obligación del auditor comentarlas con las personas que están involucradas directamente en las desviaciones, a fin de encontrar de manera conjunta las causas que las originaron y, derivado de este intercambio de opiniones, debe determinar las posibles soluciones para cada una de estas causas.

Proceso de Auditoria de Sistemas

Para realizar una auditoría de sistemas se requiere planear una serie ordenada de acciones y procedimientos específicos, que deben ser ejecutados de forma secuencial, cronológica y ordenada, teniendo en cuenta etapas, eventos y actividades que se requieran para su ejecución que serán establecidos de acuerdo a las necesidades de la empresa.

Etapa de Planeación de la Auditoría

El primer paso para realizar una auditoría de sistemas es la planeación de cómo se va a ejecutar la auditoría, donde se debe identificar de forma clara las razones por las que se va a realizar la auditoría.

Identificar el origen de la auditoría: este es el primer paso para iniciar la planeación de la auditoría, en esta se debe determinar por qué surge la necesidad o inquietud de realizar una auditoría.

Visita Preliminar al Área informática: este es el segundo paso en la planeación de la auditoría y consiste en realizar una visita preliminar al área de informática que será auditada, luego de conocer el origen de la petición de realizar la auditoría y antes de iniciarla formalmente.

Establecer los Objetivos de la Auditoría: los objetivos de la planeación de la auditoría son:

El objetivo general, que es el fin global de lo que se pretende alcanzar con el desarrollo de la auditoría informática y de sistemas, en el se plantean todos los aspectos que se pretende evaluar.

Los objetivos específicos, que son los fines individuales que se pretenden para el logro del objetivo general, donde se señala específicamente los sistemas, componentes o elementos concretos que deben ser evaluados.

Determinar los puntos que serán evaluados: una vez determinados los objetivos de la auditoría se debe relacionar los aspectos que serán evaluados, y para esto se debe considerar aspectos específicos del área informática y de los sistemas computacionales tales como: la gestión administrativa del área informática y el centro de cómputo, etc.

Elaborar planes, programas y presupuestos para realizar la auditoría: para realizar la planeación formal de la auditoría informática y de sistemas, en la cual se concretan los planes, programas y presupuestos para llevarla a cabo se debe elaborar los documentos formales para el desarrollo de la auditoría, donde se delimiten las etapas, eventos y actividades y los tiempos de ejecución para el cumplimiento del objetivo, anexando el presupuesto con los costos de los recursos que se utilizarán para llevarla a cabo.

Identificar y seleccionar los métodos, herramientas, instrumentos y procedimientos necesarios para la auditoría: en éste se determina la documentación y medios necesarios para llevar a cabo la revisión y evaluación en la empresa, seleccionando o diseñando los métodos, procedimientos, herramientas, e instrumentos necesarios de acuerdo a los planes, presupuestos y programas establecidos anteriormente para la auditoría.

Asignar los recursos y sistemas computacionales para la auditoría: finalmente se debe asignar los recursos que serán utilizados para realizar la auditoría.

Etapa de Ejecución de la Auditoría

La siguiente etapa después de la planeación de la auditoría es la ejecución de la misma, y está determinada por las características propias, los puntos elegidos y los requerimientos estimados en la planeación.

Etapa de Dictamen de la Auditoría

La tercera etapa luego de la planeación y ejecución es emitir el dictamen, que es el resultado final de la auditoría, donde se presentan los siguientes puntos: la elaboración del informe de las situaciones que se han detectado, la elaboración del dictamen final y la presentación del informe de auditoría.

Analizar la información y elaborar un informe de las situaciones detectadas: junto con la detección de las oportunidades de mejoramiento se debe realizar el análisis de los papeles de trabajo y la elaboración del borrador de las oportunidades detectadas, para ser discutidas con los auditados, después se hacen las modificaciones necesarias y posteriormente el informe final de las situaciones detectadas.

Elaborar el Dictamen Final: el auditor debe terminar la elaboración del informe final de auditoría y complementarlo con el dictamen final, para después presentarlo a los directivos del área auditada para que conozcan la situación actual del área, antes de presentarlo al representante o gerente de la empresa.

Elaborar el Dictamen Formal: el último paso de esta metodología es presentar formalmente el informe y el dictamen de la auditoria al más alto de los directivos de la empresa, donde se informa de los resultados de la auditoría. Tanto el informe como el dictamen deben presentarse en forma resumida, correcta y profesional.

Certificaciones Mundiales

ISACA

Es el acrónimo de Information Systems Audit and Control Association (Asociación de Auditoría y Control de Sistemas de Información), una asociación internacional que apoya y patrocina el desarrollo de metodologías y certificaciones para la realización de actividades auditoría y control en sistemas de información.

ISACA fue fundada en el año 1967 cuando un grupo de auditores en sistemas informáticos percibieron la necesidad de centralizar la fuente de información y metodología para el área de operación. Fue en 1969 que el grupo se formalizó a asociación, originalmente incorporada como EDP Auditors Association.

En 1976 el nombre pasó a ser ISACA, por el que es actualmente conocida, y se estableció la primera certificación profesional de auditoría de sistemas de información.

CISA

Certificación de Auditor de Sistemas de Información (CISA), es la principal Certificación de ISACA, desde 1978.

CISA es una Certificación reconocida de forma global y adoptada a nivel mundial, como símbolo de excelencia. La certificación ha sido obtenida por más de114.000 profesionales en todo el mundo.

CISM

La Certificación en Gestión de Seguridad de la Información (CISM) es la certificación de ISACA introducida desde el año 2002 y dirigida específicamente a profesionales experimentados en la Seguridad de la Información. La certificación CISM está orientada a la gerencia de riesgos y gestión de seguridad de la información.

Los profesionales con experiencia en temas de Seguridad de la Información encontraron en esta certificación, una herramienta de gran valor para las empresas.

CGEIT

ISACA ha desarrollado la certificación denominada "Certified in the Governance of Enterprise IT" (CGEIT) que permite a las empresas disponer de profesionales capaces de aplicar las mejores prácticas y obtener los mejores resultados en la gestión de los Sistemas de Información y Comunicaciones.

Esta certificación se basa en las cinco áreas del conocimiento del gobierno TI, así como también en las normas que respaldan el buen gobierno de las TI (COBIT e ITIL).

El certificado está diseñado para profesionales que desempeñen su profesión en las áreas de Gestión, Asesoramiento o Auditoría del Gobierno de las TI.

CRISC

Introducido en 2010, el Certificado en Sistemas de Información de Riesgos y Control (CRISC) es una nueva certificación ofrecida por ISACA y se basa en la propiedad intelectual de la asociación, investigación de mercado independiente y los aportes de expertos en la materia de todo el mundo. La certificación ha sido diseñada para profesionales de TI y de negocios que identifiquen y gestionen los riesgos mediante la elaboración, implementación y mantenimiento de sistemas adecuados de información de los controles.

• La designación CRISC está diseñado para:
• Los profesionales de TI
• Profesionales de riesgo
• Análisis económico
• Los gerentes de proyecto
• Cumplimiento de los profesionales de la empresa

http://es.slideshare.net/makaonline/isaca-13271813

Estándares de Auditoria de Sistemas

Una auditaría se realiza con base a un patrón o conjunto de directrices o buenas prácticas sugeridas. Existen estándares orientados a servir como base para auditorias de informática. Uno de ellos es COBIT (Objetivos de Control de la Tecnologías de la Información), dentro de los objetivos definidos como parámetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estándar podemos encontrar el estándar ISO 27002,el cual se conforma como un código internacional de buenas prácticas de seguridad de la información, este puede constituirse como una directriz de auditoria apoyándose de otros estándares de seguridad de la información que definen los requisitos de auditoria y sistemas de gestión de seguridad, como lo es el estándar ISO 27001.

ESTÁNDARES GENERALES PARA LA AUDITORIA DE SISTEMAS DE INFORMACIÓN

Los diez (10) Estándares siguientes son aplicables para la auditoria  de Sistemas  de Información

INDEPENDENCIA

Estándar General No. 1 Actitud y Apariencia.

En todos los asuntos  relacionados con auditoría, El Auditor de Sistemas de Información. Deberá ser independiente del auditado en actitud y apariencia.

Estándar General No. 2. Relación Organizacional.

La función de auditoría de sistemas de información deberá ser lo suficientemente  independiente del área que está auditando, para  permitir la obtención del objetivo de la  Auditoría.

Estándar General No. 3. Código de Ética Profesional

El auditor de Sistemas deberá adherirse al Código  de Ética Profesional.

COMPETENCIA TÉCNICA

 Estándar General No. 4  Habilidades y Conocimiento.

El auditor  de Sistemas  de Información deberá ser técnicamente competente, y poseerá las capacidades  y conocimientos  necesarios  para desempeñar su trabajo  de Auditor.

Estándar General No. 5. Educación  Profesional  Continua.

El auditor  de Sistemas  de Información  deberá mantener competencia técnica mediante una  apropiada  educación continua.

EJECUCIÓN DE TRABAJO

Estándar General No. 6. Planeación y Supervisión.

Las Auditorias de Sistemas de Información deben ser planeadas y supervisadas para asegurar que los  objetivos de la auditoría  se alcanzan y se  satisface el cumplimiento de estos estándares.

Estándar General No. 7. Requerimiento de Evidencia

Durante el curso de la  auditoría, el auditor de Sistemas de Información deberá obtener  evidencia esencial y suficiente para soportar  los hallazgos y conclusiones reportados.

Estándar General No. 8. Debido cuidado Profesional.

El debido cuidado Profesional debe ser el ejercicio  en todos los aspectos del trabajo del Auditor de Sistemas de Información, incluyendo la observancia de auditoria aplicables.

REPORTE

Estándar  General No. 9. Reporte del Alcance  de la Auditoría.

En la preparación de  reportes,  el auditor de sistemas de información, deberá plantear  los objetivos de la auditoria, el periodo de cubrimiento y la naturaleza y extensión del trabajo  de auditoría ejecutado.

Estándar General No. 10. Reporte de hallazgos y conclusiones.

En la preparación  de reportes,  el auditor  de sistemas de información deberá plantear los hallazgos y conclusiones relacionados con el trabajo  de auditoría ejecutado,  al igual  que cualquier excepción ó calificación que el auditor tenga con respecto a la auditoría.

Auditoria de Sistemas (Tendencias y Clasificación)

Auditor

En tiempo histórico, auditor es aquella persona a quien le leían los ingresos gastos producidos por un establecimiento.

Proviene del latín audire, oír escuchar.

Se puede intuir que la primera auditoria nació en el momento en que fue necesario rendir cuentas de algún negocio y revisar que estas fueran correctas.

Auditoria de Sistemas

Conjunto de procedimientos y técnicas para evaluar y controlar total o parcialmente un sistema informático con el fin de proteger sus activos y recursos, verificar si sus actividades se desarrollan eficientemente de acuerdo con las normas informáticas y generales existentes en cada empresa.

Un sistema informático mal diseñado puede convertirse en una herramienta peligrosa para la persona, puesto que las máquinas obedecen las órdenes recibidas y la modelización de la empresa está determinada por las computadoras que materializan los sistemas de información, por lo tanto la gestión y la organización de la empresa no pueden depender de un SOFTWARE o un HARDWARE mal diseñado.

Características de la Auditoria de Sistemas

La información de la empresa y para la empresa, siempre importante, se ha convertido en un Activo Real de la misma, como sus stocks o materias primas si las hay. Por ende, han de realizarse inversiones informáticas, materia de la que se ocupa la Auditoria de Inversión Informática.

Tendencias de la Auditoría de Sistemas

Entendemos que una tendencia es una inclinación hacia algo, en nuestro caso lo que nos interesa conocer es hacia qué está inclinada la auditoria de sistemas, es por ello que se nos hace necesario saber qué es y cómo funciona.

Clasificación de Tipos de Auditoria

Auditorías por su lugar de aplicación

Auditoría externa: La principal característica de este tipo de auditoría es que la realizan auditores totalmente ajenos a la empresa.

Auditoría interna: En la realización de estos tipos de evaluación, el auditor que lleva a cabo la auditoría labora en la empresa donde se realiza la misma.

Auditorías por su área de aplicación

Auditoría financiera: en este tipo de auditoría la principal actividad del auditor consiste en revisar la correcta y oportuna aplicación de los registros contables y operaciones financieras de las empresas.

•       Auditoría administrativa
•       Auditoría operacional
•       Auditoría integral
•       Auditoría gubernamental
•       Auditoría de sistemas

    Auditorías especializadas en áreas específicas
       
       Auditoría al área médica (evaluación médico-sanitaria)
•       Auditoría al desarrollo de obras y construcciones (evaluación de ingeniería)
•       Auditoría fiscal
•       Auditoría laboral
•       Auditoría de proyectos de inversión
•       Auditoría a la caja chica o caja mayor (arqueos)
•       Auditoría al manejo de mercancías (inventarios)
•       Auditoría ambiental
•       Auditoría de sistemas

   Auditoría de sistemas computacionales

•        Auditoría informática
•       Auditoría con la computadora
•       Auditoría sin la computadora
•       Auditoría a la gestión informática
•       Auditoría al sistema de cómputo
•       Auditoría alrededor de la computadora
•       Auditoría de la seguridad de sistemas computacionales
•       Auditoría a los sistemas de redes
•       Auditoría integral a los centros de cómputo
•       Auditoría ISO-9000 a los sistemas computacionales
•       Auditoría outsourcing
      Auditoría ergonómica de sistemas computacionales

Base de Datos

Definición

Una base de datos en una colección de archivos relacionados que permiten el manejo de la información de una compañía. Cada uno de dichos archivos puede ser visto como una colección de registros y cada registro está compuesto de una colección de campos.

Los sistemas que manejan base de datos se utilizan ampliamente para Organizar y Manipular grandes volúmenes de datos de las empresas.

Tipos de Datos en una Base de Datos:

Los datos pueden ser divididos en dos grandes  categorías:

• Numéricos
• Alfanuméricos

Los datos Numéricos están compuestos por los dígitos del 0 al 9, puntos decimal y signo.

Los datos Alfanuméricos consisten de carácter alfabético de la A-Z, caracteres numéricos 0-9 y algunos símbolos especiales $%.

Componentes de Un Sistema de Base de Datos:

Involucran los siguientes componentes:

·         Datos

·         Hardware

·         Software

·         Usuarios

Los Datos dentro de una base de datos están integrados y son compartidos.

El Hardware consiste básicamente  en la parte que se puede ver del computador, es decir todos los componentes de su estructura física. 

El Software son los programas informáticos que hacen posible la realización de tareas específicas dentro de un computador.

Los Usuarios se dividen en tres:

Programador de Aplicaciones

Usuario Final

Administrador de la Base de Datos