AUDITORIA DE SISTEMAS CA9-5: 2010

PLANEACIÓN DE LA AUDITORIA EN INFORMÁTICA

Para realizar una buena auditoria en informática es indispensable tener en cuenta varios aspectos para determinar las herramientas a utilizar además del tiempo y costos, entre otros valores.

La planeación es uno de los aspectos más importantes ya que aquí se determinan el examen y la evaluación de la informática.

La planeación debe ser documentada e incluirá aspectos como:

El establecimiento de los objetivos y el alcance de trabajo.
La obtención de información sobre las actividades que se auditaran.
La descripción de los recursos necesarios.
Descripción de las áreas a auditar.
La descripción de la dependencia a la cual va dirigida la auditoria y a quien le compete evaluar los resultados.

Es importante tener claro la información general sobre la organización y la función que se va a estudiar en la misma, por lo cual es indispensable que halla una investigación preliminar de estos aspectos.

Este proceso comprende establecer:

METAS: Se debe especificar de acuerdo al plan de trabajo y deben acompañarse de los criterios para medir su logro.
PROGRAMAS DE TRABAJO DE AUDITORIA: Se debe incluir las actividades se llevaran a cabo para auditar describiendo en ellos el tiempo que se va a utilizar y a quien va a estar dirigida.
PLANES DE CONTRATACION DE PERSONAL Y PRESUPUESTO FINANCIERO:para los empleados incluyendo loa auditores y su conocimiento.
INFORMES DE ACTIVIDADES

REVISIÓN PRELIMINAR

El objetivo de este proceso es obtener la información necesaria para que el auditor pueda tomar la decisión de cómo proceder en uno de los siguientes caminos:

DISEÑO DE AUDITORIA: puede haber problemas debido a la falta de competencias técnicas.
Realizar una información detallada de los controles internos de los sistemas con el fin de reducir el numero de consecuencias
Decidir el no confiar en los controles internos de la empresa, determinando el mayor beneficio en cuanto a costo-beneficio

En la revisión preliminar se utiliza técnicas para la recolección de evidencias tales como entrevistas al personal de la empresa, observación directa. Además se debe tener en cuenta que la revisión preliminar dada por el auditor interno es diferente a la dada por el auditor externo.

REVISION DETALLADA: La revisión detallada cumple con el objetivo de obtener la información que se necesita para que el auditor pueda tener una conducta de decisión frente a qué casos o procedimientos de alternos de auditoría pueden ser más apropiados.

A parte de esto la evaluación detallada es de vital importancia al identificar las causas de las perdidas existentes y los efectos causados por estas y como se puede reducir a un nivel tolerable.

Dentro de la revisión detallada se deben determinar las causas que alteran la eficiencia y eficacia y si los controles que se escogieron son óptimos, o si se pueden utilizar controles menos costosos y que arrojen resultados para obtener un nivel por lo menos admisible, por consiguiente el auditor debe realizar sugerencias o recomendaciones para mejorar los sistemas.

EXAMEN Y EVALUACIÓN DE LA INFORMACIÓN: Dentro del examen y evaluación de la información se debe:

Obtener la información necesaria, suficiente, selecta.la información bien recogida y que cumpla con las características anteriormente descritas es útil para que el auditor la aplique en beneficio de la organización y del cumplimiento de sus metas.
Los procedimientos de accesoria y en general las herramientas que el auditor necesite se deben elegir con anterioridad, después si el auditor lo ve necesario puede ampliar su selección.
El proceso de verificación de la información debe ser supervisada para tener la confiabilidad de que el auditor es neutral y que las metas de la auditoria están cumpliéndose.
Todo con lo que el auditor trabaje, debe ser revisado por la gerencia de auditoría, dentro de estos documentos deben plasmarse todos los hallazgos y las recomendaciones.

Antes de que el auditor realice su informe final, debe discutir lo plasmado y las recomendaciones que tiene acerca de los hallazgos, y estos informes deben ser lo más pulcros posibles, en presentación e información.

Dentro de los informes también se plasma el buen trabajo que la organización realiza o va a realizar y se aclara que el auditor interno se asegurara que las acciones que va a tomar son apropiadas frente a los hallazgos repoatados.

El programa que el director de auditoría debe contemplar contiene lo siguiente:

Descripciones de los puestos teniendo en cuenta la auditoría en informática.
La selección de los individuos que van a intervenir.
La capacitación de cada uno de los auditores.
Evaluación por lo menos una vez al año del trabajo de los auditores.

Asesorías a los auditores con respecto al trabajo que realizan.

El director de auditoría realiza este programa de control para cumplir con las normas establecidas con el propósito de mantener una seguridad frente al trabajo de auditoría que se está realizando en todas las etapas del programa: supervisión para revisar si están trabajando con las normas, políticas y programas de auditoría en informática;revisiones internas que se realizan periódicamente por el departamento de auditoría interna para evaluar el trabajo de la auditoria que se realizó y las revisiones externaspara evaluar la calidad del trabajo de auditoría en informática.

PRUEBAS DE CONSENTIMIENTO

Se determina si los controles internos funcionan como se diseñaron para que lo hagan. El auditor debe a recurrir a recolección de información por medio de computadora para determinar existencia y confiabilidad de los controles.

PRUEBAS DE CONTROLES DEL USUARIO

En algunas ocasiones el auditor puede no confiar en los controles internos de las instalaciones informáticas ya que se encuentran debilidades en donde el usuario utiliza controles que las compensan. Para determinar esto, se utilizan cuestionarios, entrevistas, entre otros.

PRUEBAS SUSTANTIVAS

Su objetivo es obtener evidencia suficiente que le permita al auditor emitir un juicio acerca de cuando pueden ocurrir pérdidas materiales durante el proceso de la información. Este juicio se expresará en forma de opinión e indicará cuándo puede existir falencias en un proceso, o en el control de la información. Se puede identificar ocho pruebas sustantivas:

Pruebas para identificar errores en el procesamiento o falta de seguridad o confidencialidad.

Pruebas para asegurar la calidad de datos.

Pruebas para identificar la inconsistencia de los datos.

Pruebas para comparar con los datos o contadores físicos

Confirmación de datos con fuentes externas.

Pruebas para confirmar la adecuada comunicación.

Pruebas para determinar falta de seguridad.

Pruebas para determinar problemas de legalidad.

Es necesario identificar el costo del beneficio de tener un excesivo control, frente al costo por fallas en el sistema, para establecer cuanto cuesta la implementación de controles y recuperación de información.

El auditor debe participar en tres estados del sistema:

Durante la fase de diseño.

Durante la fase de operación.

Durante la fase posterior a la auditoría.

Para el gerente no es conveniente que el auditor participe en el diseño, puesto que no tendría independencia, pero existen varias formas en las cuales se puede eliminar esto:

Aumentando los conocimientos en informática del autor.

Asignar diferentes auditores a la fase de diseño, al trabajo de auditoría y al posterior a la auditoría.

Crear una sección de auditoría en informática dentro del departamento de auditoría interno, especializado en auditoría en informática.

Obtener mayor soporte de la alta gerencia.

Para que un auditor logre su objetivo es necesario dividir los sistemas en subsistemas y evaluar cada uno de sus componentes para obtener una evaluación global sobre la confianza total del sistema.

Pasos para una auditoría en informática:

Investigación del área de informática, su administración y principales sistemas que son procesados.

Investigación detallada de los controles internos del sistema.

Probar la confianza sobre aquellos controles que son críticos.

Pruebas sustantivas de los procedimientos.

Finalmente se emite una opinión.

AUDITORIA DE SISTEMAS CA9-5

Datos personales

martes, 7 de diciembre de 2010

descarga

martes, 9 de noviembre de 2010

MAPAS CONCEPTUALES Y MENTALES DE DIFERENTES AUDITORIAS

MAPAS CONCEPTUALES Y MENTALES AUDITORIA DE SISTEMAS( VIDEO 2)

MAPAS CONCEPTUALES DE SEGURIDAD INFORMÁTICA (VIDEO 1)

viernes, 29 de octubre de 2010

LA AUDITORIA EN LA INFORMATICA

martes, 19 de octubre de 2010

MAPA CONCEPTUAL DE SEGURIDAD INFORMATICA EN GENERAL

mili manili