Auditoría operacional de los sistemas administrativos

[pic 1][pic 2][pic 3]

AUDITORÍA

OPERACIONAL

DE LOS SISTEMAS

ADMINISTRATIVOS

Evaluación y Auditoría Administrativa de Negocios

         Bloque 5        

EAANA0420

El presente material recopila una serie de definiciones, explicaciones y ejemplos prácticos de autores especiali- zados que te ayudarán a comprender los temas principales de este bloque.

Las marcas usadas en la antología son única y exclusivamente de carácter educativo y de investigación, sin fines lucrativos ni comerciales.

[pic 4] [pic 5]

1. Auditoría operacional de los sistemas administrativos

[pic 6]

Se trata de un tipo de auditoría que busca revisar el estado de diversos elementos como sistemas de seguridad, seguridad física de los equipos, software, entre otros.

[pic 7]

  7.1. Concepto de sistema administrativo        

La revisión en la administración de sistemas busca evaluar:

• La eficiencia en la compra y uso de los recursos informáticos.
• La fiabilidad, la unidad, la seguridad y la veracidad en la información.
• La eficiencia de los sistemas de información (Castello, 2006).

Este tipo de auditoría es diferente a la financiera, ya que esta última revisa las prácticas contables, mien- tras que la de sistemas evalúa los protocolos de seguridad y los procesos de desarrollo o de supervisión, con la intención de proteger los activos de información, evaluar los riesgos e implementar controles. Engloba los subsistemas de teleproceso, entrada/salida y el software básico.

[pic 8]

  7.2. Objetivos        

El objetivo de la auditoría de sistemas consiste en:

• La colocación y mantenimiento de sistemas en la seguridad.
• La disminución de los riesgos que tienen que ver con los sistemas de información.
• El aumento de la fiabilidad de los usuarios internos y externos en los sistemas de información.

Este tipo de auditoría evita la toma de decisiones que perjudiquen el manejo de la seguridad en los sis- temas, disminuye el costo de las tecnologías en informática, protege el valor del hardware, software y al personal, así como la privacidad de datos personales y el hackeo en redes.

  7.3. Alcance de los sistemas administrativos en la organización        

El alcance define con precisión el entorno y los límites en que va a desarrollarse la auditoría informática, por lo que se deben plantear las siguientes preguntas: ¿se someterán los registros grabados a un control de integridad exhaustiva?, ¿se comprobará que los controles de validación de errores son adecuados y suficientes? (Universidad Autónoma del Estado de Hidalgo, s.f.).

Dentro de la auditoría informática se establecen tres áreas generales: de explotación, de sistemas, de comunicaciones y de desarrollo de proyectos (Universidad Autónoma del Estado de Hidalgo, s.f.):

• La auditoría de la explotación informática busca resultados en los sistemas de todo tipo: listados impresos, ficheros con grabación de soporte para otros informáticos u órdenes programadas, para mejorar procesos industriales, etcétera.
• La auditoría en los sistemas de redes se enfoca en la revisión de los tipos de red, para establecer mejoras y verificar los grados de eficiencia.
• La auditoría informática de desarrollo de proyectos o aplicaciones consiste en la revisión de los pasos para desarrollar proyectos por parte de la empresa auditada.

El análisis se basa en cuatro aspectos fundamentales según Betancourt (2015):

1. Revisión de las estrategias más útiles
2. Control interno de las aplicaciones: estudio de factibilidad de la aplicación

1. Definición lógica de la aplicación
2. Desarrollo técnico de la aplicación
3. Diseño de programas
4. Métodos de pruebas
5. Documentación

1. Equipos de programación
2. Satisfacción de usuarios
3. Control de procesos y ejecuciones de programas críticos.

Si los programas fuente y los programa módulo no coincidieran podría provocar graves y altos costos de mantenimiento, incluso fraudes, sabotaje, espionaje, etcétera.

  7.4. Revisión manual de procedimientos        

De acuerdo con Betancourt (2015), los manuales de procesos y procedimientos conforman uno de los elementos principales del sistema de control interno, ya que permiten un mayor desarrollo en la búsqueda del autocontrol, al dirigir de manera sistemática la ejecución del trabajo que se realiza en la unidad de auditoría interna.

Funcionan como una herramienta que permitirá a la unidad de auditoría interna integrar una serie de acciones encaminadas a agilizar el trabajo que se realiza, fomentando la calidad de las auditorías que se practiquen a través de lineamientos uniformes.

  7.5. Estudio y evaluación de control interno        

El informe COSO (2019) define el control interno como las normas, los procedimientos, las prácticas y las estructuras organizativas diseñadas para proporcionar seguridad razonable de que los objetivos de la empresa se alcanzarán y que los eventos no deseados se preverán, detectarán y corregirán.

Los componentes del control interno son:

1. Actividades de control: son las políticas y procedimientos que ayudan a asegurar que se toman las medidas para limitar los riesgos.
2. Informática y comunicación: se debe identificar, ordenar y comunicar lo que los subordinados requieren para cumplir con su trabajo.
3. Supervisión: debe existir una vigilancia de que sistema de control interno funciona.

Las auditorías que se pueden aplicar, según el informe COSO (2019), son las siguientes:

• Auditoría de la gestión: contratación de bienes y servicios, documentación de los programas, etcétera.
• Auditoría legal del reglamento de protección de datos: cumplimiento legal de las medidas de seguridad exigidas por el reglamento de desarrollo de la Ley Federal de Protección de Datos Personales.

• Auditoría de los datos: clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas.
• Auditorías de las bases de datos: controles de acceso, de actualización, de integridad y calidad de los datos.
• Auditoría de la seguridad: disponibilidad, integridad, confidencialidad, autenticación y no repudio de datos.
• Auditoría de la seguridad física: se refiere a la ubicación de la organización, busca evitar ubicaciones de riesgo y en algunos casos no revela la situación física de ésta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etcétera) y protecciones del entorno.
• Auditoría de la seguridad lógica: comprende los métodos de autenticación de los sistemas de información.
• Auditoría de las comunicaciones: se refiere a la auditoría de los procesos de autenticación en los sistemas de comunicación.
• Auditoría de la seguridad en producción: frente a errores, accidentes y fraude.

Los controles internos se clasifican en:

1. Controles preventivos para evitar un evento no deseado en todas las áreas y en equipo de cómputo o sistemas de telecomunicaciones; por ejemplo, este sería un software que impida los accesos no autorizados al sistema.
2. Controles detectivos para descubrir errores posteriores, como registros de intentos de acceso no autorizados.
3. Controles correctivos para elaborar planes de contingencia, tal como una copia de seguridad.

Según Muñoz (2002), la metodología general para la auditoría es la siguiente:

• Planeación: consiste en la elaboración de los programas de trabajo que se llevarán a cabo durante la revisión.
• Trabajos preliminares: entrevistas para aclarar las características básicas del trabajo y lo que hará el auditor.
• Diagnóstico administrativo: proporcionar una panorámica de cómo la empresa percibe y practica la administración.
• Investigación previa: la idea es obtener una idea de cómo se encuentra la empresa y el trabajo que se deberá realizar.
• Elaboración del programa de la AI: planeación del trabajo con actividades a realizarse, tiempos y responsables.
• Atención de la información: uso de entrevistas, encuestas, observación dependiendo del tipo de información que se necesite.

• Análisis clasificación y evaluación de la información: uso de métodos estadísticos para la evaluación de la información.
• Informe: elaboración y presentación del informe final; presentación de los resultados
• Implementación y seguimiento: revisión de que las acciones se están siguiendo de acuerdo a lo planeado y funcionan.

Algunos de los problemas que se presentan regularmente en las áreas de sistema son:

1. Sistemas no integrales o aislados.
2. Deficiente comunicación entre usuarios y personal del procesos electrónicos de datos.
3. Escasez de personal profesional.
4. Expectativas no cumplidas, insatisfechas de los usuarios.
5. Ausencia de pistas de auditoría.
6. Falta de revisiones técnicas a detalle.
7. Entrenamiento deficiente.
8. Carencia o incompleta documentación de sistemas.
9. Desaprovechamiento tecnológico.

La auditoría del equipo de cómputo, según Muñoz (2002), debe incluir los siguientes aspectos:

1. Determinación del presupuesto.
2. Consideraciones financieras.
3. Requisitos de la aplicación.
4. Selección de posibles proveedores.
5. Petición formal de propuestas.
6. Licencias.
7. Plan de instalación.
8. Plan de implantación.

Muñoz (2002) menciona que la revisión del sistema operativo incluye:

1. Carga inicial del sistema.
2. Aplicación de actualizaciones o modificaciones.
3. Retención del registro de la actividad en consola y contabilidad del trabajo.

La revisión de la seguridad física incluye establecer medidas cuando suceden fenómenos naturales como incendios, terremotos, huracanes, tormentas, inundaciones o picos de voltaje, y cuando ocurran

...