Objetivos de una auditoría:
- Salvaguardar activos
- Asegurar integridad de los datos
- Asegurar que los sistemas son efectivos
- Asegurar que los sistemas son eficaces
Para poder cumplir con los objetivos, se debe recolectar evidencia.
- Costos por pérdidas de datos: pérdida de cuentas corrientes, pérdida de los datos de los alumnos.
- Costos por toma de decisiones incorrectas:cálculo de amortización erróneo en un bien de poco valor
- Costos por abusos computacionales (hacking, virus, abuso de privilegio)
- Costos por errores de computación: Procesos automatizados que producen pérdida de dinero o incluso pérdida de vida humanas, daño al medio ambiente.
- Valor de hardware y software personal (Determinar el impacto que alguno de estos valores críticos pueda fallar)
- Evolución controlada de TI: La confiabilidad de los sistemas computarizados complejos no está garantizada.
- Mantenimiento de privacidad: Hoy en día se maneja gran información de los individuos: trabajo, residencia, tarjetas de crédito... Se podría utilizar datos de la genética humana de una persona para usarla en su contra. Prevenir la exposición de datos privados de los usuarios de un sistema.
2. Para cada uno de los siguientes interesados, presente un ejemplo de cómo un mal procesamiento de información realizado por un sistema informático, puede conducir a una toma de decisiones incorrecta:
-
Gerente de una empresa vinculada a la industria automotriz Un mal cálculo podría ocacionar información errónea sobre el stock disponible teniendo inconvenientes en el momento de entregar los vehículos.
-
Funcionario de ARBA Un fallo en el cálculo de los valores fiscales de bienes puede ocacionar un error de revalorización ocacionando pérdidas importantes de recaudación de la provincia.
-
Consejo Directivo de una facultad Una pérdida de datos relacionados con la historia académica de los alumnos.
Es un incidente relacionado con tecnología informática, en el cual una víctima sufre una pérdida, y un perpetrador podría lograr alguna ganancia. Las pérdidas por abusos computacionales suele ser sustancialmente mayor que la pérdida por fraudes convencionales
- Hacking
- Virus
- Acceso físico ilegal
- Abuso de privilegios
Las concecuencias pueden ser:
- Destrucción de activos
- Sustracción de activos
- Modificación de activos
- Violación de privacidad
- Interrupción de operaciones
- Uso no autorizado de activos
- Daño físico a personas
4. Explique al menos dos características que diferencien entre un abuso informático y otro tipo de fraude comercial.
Dado a que los sistemas controlan monitoreo de pacientes, cirugías, vuelo de misiles, reactores nucleares, etc un abuso informático puede resultar altamente peligroso e incluir (a diferencia de un fraude comercial):
- La pérdida de vidas humanas
- Daño al medio ambiente
Auditoría en los sistemas de información se entiende como la verificación y el control en los sistemas para que los mismos realicen de forma eficiente y segura la tarea para lo cual fueron programados.
La auditorías de sistemas de información es el proceso de recolectar y evaluar evidencia para determinar si:
- el sistema automático preserva los activos
- mantiene la integridad de los datos
- permite que los objetivos organizacionales se alcancen con eficacia
- usa los recursos con eficiencia
7. ¿Qué significa que la alta gerencia implemente un sistema de control interno? ¿Cómo se lleva a cabo?
Un sistema de control interno incluye:
- Separación de obligaciones (33)
- Delegación clara de autoridad y responsabilidades (34-36)
- Reclutamiento y entrenamiento de personal calificado (37-38)
- Sistema de autorizaciones (39)
- Documentos y registros adecuados (40)
- Control físico y documentación sobre activos (41-42)
- Chequeos independientes de performance (43)
- Comparación periódica de activos con registros contabilizados (44)
Control interno - Implementación
El uso de computadoras afecta de varias maneras la implementación de los componentes de un sistema de control interno.
Ejemplo:
- En un sistema automatizado deben existir registros
- Las funciones son realizadas por un programa
Un control es un sistema que previene, detecta, o corrige eventos ilegales.
Hay tres aspectos claves en esta definición:
- Un control es un sistema
- Eventos ilegales
- Los controles son usados para prevenir, detectar o corregir eventos ilegales.
Un control es un sistema -> Habitualmente tendemos a nombrar los controles, teniendo en cuenta sólo un aspecto del control.
Una password se convierte en control, solo en el contexto de un sistema que asegure:
- Seguridad para elegir password
- Correcta validación de password
- Almacenamiento seguro de las password
- Seguimiento en el uso indebido de passwords
9. Explicar las diferencias entre un control preventivo, control detectivo, y control correctivo. Provea ejemplos para cada tipo de control.
Ej:
- Control preventivo: Instrucciones de cómo completar un formulario. Las instrucciones no son el control.
- Control detectivo: Un programa que valida datos de input, rechazando los erróneos.
- Control correctivo: Un programa que detecta el ruido en comunicaciones y permite corregir datos corruptos.
Los controles preventivos reducen la probabilidad que ocurran eventos ilegales. Los controles detectivos y correctivos reducen la cantidad de pérdidas cuando los eventos ilegales ocurren.
Determinar si los controles están ubicados y funcionan para prevenir los eventos ilegales.
11. Explique desde el punto de vista de auditoría de sistemas de información el concepto de “factorizar en subsistemas” y qué criterio(s) se aplica(n) para factorizar un sistema en subsistemas.
Para administrar la complejidad se sugiere:
- Factorizar el sistema en subsistemas
- Determinar la confiabilidad de cada subsistema, y las implicancias de cada uno de ellos en el nivel de confiabilidad general del sistema.
Un subsistema es un componente de un sistema que:
- Realiza ciertas funciones básicas necesarias para el sistema en general
- Le permite atender sus objetivos fundamentales
Los subsistemas son componentes lógicas y no físicas. El proceso de particionar en subsistemas se denomina factorización.
Es necesario un criterio para poder factorizar. Los auditores deben identificar primero, las principales funciones que el sistema realiza para cumplir sus objetivos.
El proceso de factorización termina cuando se han particionado el sistema en partes lo suficientemente pequeñas, de tal modo que puedan ser atendidas y evaluadas.
Además de las funciones, existen otras dos guías:
- Acoplamiento:
- Cada subsistema debería ser relativamente independiente de otros subsistemas.
- Sistemas con poco acoplamiento son mas fáciles de comprender
- Cohesión:
- Cada subsistema debe ser internamente cohesivo.
- Todas las actividades realizadas por el sistema apuntan a cumplir la función principal del subsistema.
Para realizar una auditoría se debe factorizar en subsistemas:
- Funciones gerenciales
- Funciones de aplicación
Los auditores deben recolectar evidencias sobre la existencia y confiabilidad de los controles, para determinar si las pérdidas por los eventos ilegales se reducen a niveles aceptables
Para cada evento ilegal, se debe considerar:
- Cómo los controles cubren a este tipo de evento.
- Cuánto de confiable son los controles.
- Si puede ocurrir un error material o una irregularidad.
Se publican listas que ayudan a realizar esta tarea. Estas listas muestran, por ejemplo:
- Las caídas en los sistemas de información
- Errores e irregularidades que ocurren en diferentes tipos de transacciones.
Las listas muestran los controles que se pueden realizar para reducir las pérdidas esperadas por errores o irregularidades.
- Se deben identificar todos los posibles tipos de eventos que pueden ocurrir en el subsistema.
- Se deben considerar todos los eventos válidos o ilegales.
Para identificar los eventos, hay que considerar las principales funciones que realiza el subsistema.
Ejemplo de la tabla (transparencia Auditoria - Clase 2 - 31)
| Controles/Errores-irregularidades | Cantidad incorrecta | Precio incorrecto |
|---|---|---|
| Operador bien entrenado | M | M |
| Revisión gerencial de ventas | B | M |
Efectividad del Control: A: Alta; M: Media; B: Baja
Para estimar la confiabilidad: En cualquier nivel de la estructura, los pasos de evaluación son:
- Identificar las transacciones que ingresan al sistema
- Considerar los eventos legales e ilegales que puedan ocurrir
- Asegurar la confiabilidad de los controles que detectan los eventos ilegales.
Detectar nuevos controles -> A medida que se evalúan los sistemas de mas alto nivel, se pueden encontrar nuevos controles
Def: El riesgo de auditoría es el riesgo de que un auditor fracase al detectar las pérdidas materiales reales, o potenciales, o los riesgos incorrectos.
- RDA: Riesgo deseado de Auditoría
- RI: Riesgo inherente
- RC: Riesgo de control
- RD: Riesgo de detección
RDA = RI * RC * RD
Riesgo deseado: el riesgo que se desea correr
Riesgo inherente: refleja la probabilidad que una pérdida material o una imputación errónea exista en algún segmento de la auditoría, antes que sea considerada la confiabilidad de los controles internos.
Riesgo de Control: refleja la probabilidad que en algún segmento de la auditoría, los controles internos no prevengan, detecten o corrijan pérdidas materiales o imputaciones erróneas que puedan surgir.
Riesgo de detección: refleja la probabilidad que los procedimientos de auditoría utilizados en algún segmento, fallen en detectar pérdidas materiales o imputaciones erróneas.
Una auditoría
Existen diferentes procedimientos de auditoria, dependiendo de lo que se desee controlar:
- Determinar si ocurrieron pérdidas materiales o la información financiera es errónea
- Determinar la eficiencia y eficacia de las operaciones
16. Enunciar cinco tipos de procedimientos de auditoría que pueden ser usados para recolectar evidencia en una auditoría.
Se usan los siguientes procedimientos para recolectar evidencia
- Procedimientos para comprender los controles
- Testeo de controles
- Testeos substantivos de detalle de transacciones
- Testeos substantivos de: 4.1) Balances Contables (Para el caso de determinar pérdidas materiales o información financiera errónea) 4.2) de resultados generales. (Para determinar eficiencia y eficacia de las operaciones. Ej.: testeos de performance.)
- Procedimientos de revisión analítica
- Testeo de controles
- Testeos substantivos de detalle de transacciones
- Testeos substantivos de: (resultados gerenciales o balances contables) 4.1) Balances Contables (Para el caso de determinar pérdidas materiales o información financiera errónea) 4.2) de resultados generales. (Para determinar eficiencia y eficacia de las operaciones. Ej.: testeos de performance.)
18. ¿Cómo se lleva a cabo la planificación de una auditoría? Diferencias entre auditoría interna y externa.
Planificación de una auditoría
La primera etapa es la planificación
Las tareas que se realizan en la etapa de planificación varían dependiendo si es una:
- Auditoría interna
- Asignar personal adecuado a las auditorías
- Obtener información del cliente
- Realizar procedimientos de revisión analíticos para comprender el negocio del cliente
- Identificar las áreas de riesgo
- Auditoría externa
- Investigar nuevos clientes
- Asignar personal adecuado a las auditorías
- Obtener el contrato
- Obtener información del cliente
- Realizar procedimientos de revisión analíticos para comprender el negocio del cliente
- Identificar áreas de riesgo
Los auditores externos se preocupan por el tamao de los errores en los estados financieros.
- Determinar el alcance de la auditoría
- Emitir una opinión sobre el RDA.
- Emitir una opinión sobre el RI.
- Emitir una opinión sobre el RC.
- Calcular el RD que se debe lograr para cumplir con el RDA,
- Recolectar evidencia
- Documentar evidencia
RDA: Riesgo deseado de auditoría RI: Riesgo Inherente RC: Riesgo de control RD: Riesgo de detección
Un informe típico debería incluir:
- Una introducción que describa los objetivos de la auditoría.
- El enfoque general utilizado.
- Un resumen de las conclusiones críticas.
- Recomendaciones para abordar las conclusiones críticas.
- Datos que respalden las conclusiones críticas.
Los estándares en varios países requieren que la opinión sea:
- Opinión excusada: En base al trabajo realizado no se puede emitir opinión.
- Opinión adversa: Se concluye que han ocurrido pérdidas materiales o que los estados financieros están distorsionados.
- Opinión con calificación: Se concluye que han ocurrido pérdidas materiales o existen riesgos incorrectos, pero las cantidades no son considerables.
- Opinión sin calificación: El auditor considera que no han ocurrido pérdidas materiales o no existen registros incorrectos.
Concepto: La gobernanza de TI es un subconjunto de Gobierno Corporativo de las organizaciones que se centra en los sistemas TI, su desempeño y los riesgos asociados.
Gobernanza de TI:
- Trata con la relación entre el enfoque empresarial y la gestión de TI
- Destaca la importancia de las cuestiones de TI
- Promueve que las decisiones estratégicas de TI deben ser tomadas por una junta directiva corporativa.
Metas:
- Asegurar que las inversiones de TI generen valor
- Mitigar riesgos asociados con TI
Definiciones:
Son estructuras y procesos de liderazgo y organizativos que aseguran que las TI de la organización sostienen y extienden las estrategias y los objetivos de la organización. Instituto de gobernanza de TI
Se trata de especificar los derechos de decisión en el marco de rendición de cuentas para fomentar el comportamiento deseable en el uso de TI.
COBIT: Objetivos de control para información y tecnología relacionada (COBIT) es un conjunto de recursos que contienen toda la información que las organizaciones necesitan para adoptar un marco de gobernanza y control de TI.
- Auditoría
- Control
- Administración
- Gobernanza de TI
- Gobernanza de TI empresarial
Son dos conceptos diferentes.
Administración de TI: Se trata de tomar e implementar decisiones de TI.
Gobernanza de TI: Se trata de quién toma las desiciones de TI
- Quién tiene autoridad para tomar las decisiones importantes
- Quién tiene información para tomar las decisiones importantes
- Quién es responsable por implementar las decisiones importantes
- Satisfacer las necesidades de las partes interesadas.
- Cubrir la empresa de extremo a extremo
- Aplicar un marco integrado
- Habilitar un enfoque holístico
- Separar las funciones principales
COBIT 5* es un conjunto de recursos que contienen todas las organizaciones de información que necesitan para adoptar una gobernanza de TI y un marco de control. Los procesos de TI se dividen en 5 dominios (COBIT 5):
GOBERNANZA
- Evaluar, dirigir y monitorear ADMINISTRACIÓN
- Alinear, planear y organizar
- Construir, adquirir e implementar
- Entrega, servicio y soporte
- Monitorear y evaluar
Elementos sobre el enfoque de COBIT a la Gobernanza de TI
- Procesos de TI y dominios
- Objetivos de control
- Prácticas de control
- Guías de auditoría
- Guías de administración
- PROCESOS DE TI -> (auditados por) Guías de auditoría
- PROCESOS DE TI -> (satisfacen) Requerimientos de negocio
- PROCESOS DE TI -> (clasificados en) Dominios
- PROCESOS DE TI -> (control facilitado por) Objetivos de control -> (Considerando) Prácticas de control
- PROCESOS DE TI -> (administrados por) Guías de administración
COBIT clasifica la administración de TI en 4 dominios:
- Alinear, planear y organizar (APO): Proporciona direcciones a la entrega de soluciones y servicios.
- Construir, adquirir e implementar (BAI): Provee soluciones a DSS para la entrega de servcios.
- Entrega, servicio y soporte (DSS): Recibe soluciones y las hace utilizables para los usuarios finales.
- Monitorear y evaluar (MEA): Monitorea todos los procesos para asegurar que se siga la dirección provista.
Beneficios generales de aplicar COBIT:
- Permite a los administradores públicos cerrar la brecha entre los requisitos de control, los problemas técnicos y los riesgos comerciales.
- Permite un desarrollo claro de políticas y buenas prácticas para el control de TI en todas las organizaciones gubernamentales.
- Enfatiza el cumplimiento regulatorio.
- Ayuda a las organizaciones del sector público a aumentar el valor obtenido de TI
- Optimiza las inversiones en TI, garantiza una prestación de servicios efectiva y proporciona medidas