Informe De Auditoria

EL INFORME DE AUDITORIA

INTRODUCCION

El tema de este capítulo es el Informe de Auditoría Informática, que a su vez es el objetivo de la Auditoría Informática.

Para comprender ésta, en función del Informe que realiza un, digamos, experto o perito -al que llamaremos Auditor Informático-, conviene explicar someramente el contexto en el que se desenvuelve hoy su práctica.

La sociedad actual, está en fase tecnológica; apenas guarda recuerdo práctico de anteriores etapas evolutivas (la artesanal, por ejemplo); más aún, las va olvidando a creciente velocidad, generación tras generación.

El dominio de la tecnología como motor de cambio social acelerado y como catalizador de cambios tecnológicos que se superponen, se hace rabiosamente evidente en las llamadas Tecnologías de Información y Comunicaciones de uso en las organizaciones. (Tras el mainframe y los terminales tontos, surgieron los PC's y las redes, el EDI, los entornos distribuidos, las arquitecturas cliente/servidor, las redes TCP/IP -intranets, extranets, redes privadas virtuales , los accesos remotos y móviles mediante portátiles y teléfonos móviles, y, finalmente -por ahora-, se nos proponen terminales domésticos vinculados con el equipo de televisión y terminales cuasitontos de trabajo conectados a servidores dominantes descentralizados... Y todo en un período no superior a ¡treinta y cinco años!)

Está claro: las tecnologías de la información, al tiempo que dominan de modo imparable las relaciones humanas (personales, familiares, mercantiles, internacionales...), tienen un ciclo de vida cada vez más corto.

Sea como fuere, una de las consecuencias de lo dicho consiste en la dificultad de asimilación rápida y equilibrada en la empresa de los entornos tecnológico y de organización (referido el primero a las Tecnologías de Información y Comunicaciones, y el segundo a lo mercantil).

En este sentido, el Auditor Informático, en tanto que experto, lo tiene crudo (menos, sin embargo, que el Auditor de Cuentas), al tener que encarar profesionalmente y en el paisaje que estoy presentando, plagado de necesidades de reciclaje y formación, el llamado "desfase entre las expectativas de los usuarios y los informes de auditoría". Las cosas ya no son como eran, y algo habrá que hacer para encontrar un punto de equilibrio razonable entre el desfase mencionado y la contabilidad de los usuarios en el Informe (y en el Auditor Informático).

La complejidad de los sistemas de información crece con sus prestaciones y características (conectividad, portabilidad...); la necesidad de utilizarlos que tienen las organizaciones -públicas y privadas- en todos sus ámbitos, alcanza hoy un valor estratégico de competitividad y supervivencia... Podemos afirmar que nunca antes hemos sido tan dependientes de los sistemas de información. Y nunca antes hemos necesitado tanto a expertos eficientes (no infalibles) en Auditoría Informática.

Conviene mencionar, al respecto de la práctica de la Auditoría (Informática), y siempre en función del Informe de Auditoría, la existencia del fraude y del error, sobre todo si son significativos, así como la valoración de las garantías que aportan los informes de los auditores informático s a los usuarios, incluyendo gobiernos y organizaciones nacionales e internacionales.

La Informática es muy joven; por tanto, la Auditoría Informática lo es más (en España, por cierto, de modo superlativo). No está todo sin hacer; pero sí quedan muchos cabos por atar, y en esto el tiempo no es neutral.

En este capítulo (y en este contexto) vamos a tratar de fijar la práctica de la Au¬ditoría Informática en función, como queda dicho, del Informe. Para ello, repasaremos someramente aspectos previos fundamentales, como son las normas, el concepto de evidencia en auditoría, las irregularidades, los papeles de trabajo o documentación para, finalmente, encarar el Informe, sus componentes, características y tendencias detectadas. Intentaremos, también, ofrecer algunas conclusiones de interés, sin perder de vista en todo caso que en el mundo auditor de hoy todo ejercicio de predicción es, en principio, una temeridad.

LAS NORMAS

En 1996 la Unión Europea publicó el Libro Verde de la Auditoría, dedicado al papel, la posición y la responsabilidad del auditor legal. Su contenido afecta a la Auditoría Informática.

En principio, el Libro acepta las Normas Internacionales IFAC para su adaptación adecuada a la Unión Europea; por tanto, se transmitirán a través de las Directivas correspondientes a España para que se transformen en legislación positiva.

En lo referente al Tratamiento Automatizado de Datos de Carácter Personal -incluso disponiendo de una Ley orgánica-, el asunto se resolverá por los mismos cauces, con la trasposición de la actual Directiva de protección de datos personales y, quizá, de otra, en forma de propuesta todavía, relacionada con los servicios de telecomunicaciones apoyados en tecnología digital y especialmente Red Digital de Servicios Integrados.

Otra fuente de Normas Internacionales es ISACF, ya más específica de Auditoría Informática. Nuestro país está representado en ISACA por la Organización de Auditoría Informática, en lento take off.

Hoy por hoy, la normativa española oficial que afecta, en mayor o menor medida, a la Auditoría Informática, es la siguiente:

-ICAC: Normas Técnicas de Auditoría: punto 2.4.10, Estudio y Evaluación del Sistema de Control Interno.

-AGENCIA DE PROTECCIÓN DE DATOS: Instrucción relativa a la prestación de servicios sobre solvencia patrimonial y créditos. Norma cuarta: Forma de Comprobación.

Del artículo 9 de la LORTAD se desprende el desarrollo reglamentario de medi¬das técnicas y organizativas alusivas a la seguridad en lo que concierne a integridad y confidencialidad de los datos personales automatizados. Todavía no ha sido publicado tal reglamento, pero sería de esperar que se incluyera en su texto alguna referencia específica sobre Auditoría Informática.

También conviene reseñar que dentro de la Unión Europea, la FEE tiene en marcha el Proyecto EDIFICAS EUROPE, dentro del UN/EDIFACT, en el que España está representada por el IACJCE, que se estructura en cuatro grupos de trabajo: Mensajes, Auditoría (Guías de Auditoría de entornos de EDI), Promoción y Asuntos Especiales.

La Auditoría Informática no está muy desarrollada y, por añadidura, se encuentra en un punto crucial para la definición del modelo en que deberá implantarse y practicarse en la Unión Europea y, por tanto, España, vía directivas UE/Iegislación positiva y normas profesionales.

Maticemos este aspecto: hay

...