Auditoría continua (CA) - Monitorización Continua (CM)

Auditoría continua (CA) - Monitorización Continua (CM)

Objetivo: Evaluar controles y riesgos en tiempo real o al menos de forma suficientemente continua como para tener visibilidad constante del riesgo al que se ve expuesta la organización, pudiendo asegurar un tratamiento más eficiente y con una exposición al riesgo menor.

Requerimiento: Para su implantación se requiere la ejecución de 3 procesos de supervisión:

• Aseguramiento continuo de datos (CDA): Asegura que la organización haga uso de la información correcta.
• Monitorización continua de controles (CCM): Permite validar la efectividad de los controles desplegados en la organización.
• Monitorización y evaluación continua de riesgos (CRMA): Permite asegurar que los riesgos se encuentren en todo momento dentro de los niveles esperados.

Retos:

• Obtener y mantener el apoyo del Comité de Auditoría y de la Dirección.
• Negociación de contrato con proveedores cloud puede ser más rigurosa a fin de conseguir mayor información para las auditorías.
• Conocimiento técnico y tiempo para el desarrollo de pruebas automatizadas.
• Se deberá contar con perfiles especializados en el uso de herramientas de analítica de datos.
• Requiere una mayor involucración con las áreas ya que deben proporcionar información y feedback de manera más frecuente.
• Los resultados de CA&CM deben integrarse en los procesos de decisión del resto de la organización. Debe haber alto compromiso por perfiles a cargo de áreas principales.
• Los procesos de reportes y seguimiento de conclusiones y recomendaciones pueden ser más complejos
• Especial cuidad en obtener información de fuentes confiables
• Debido a que la automatización no se dará en todos los casos, lo cual podría dificultar el aporte de valor de CA&CM.
• Si los reportes no son suficientemente procesados y adaptados a la audiencia objetivo, el aporte de CA&CM se verá reducido.

Consideraciones mínimas:

• Conocimiento para ejecutar y automatizar procesos de CA &CM
• La información que será usada debe ser fiable y de calidad.
• El nivel de automatización de los procesos de CA&CM debe ser el suficiente como para que su ejecución sea costo-efectiva.
• Proceso de normalización de información (así sea de origen heterogéneo debe ser integrada).
• La recopilación automatizada no debe comprometer los sistemas que brindarán la información
• Elevada comprensión de los procesos de negocio
• Identificar las fuentes de información mas eficientes, puntos clave de procesos para evaluar riesgos y controles
• Elementos clave a supervisar debe ser coherente y consistente de manera que permita concluir sobre los controles y riesgos evaluados.
• Previo al reporte se debe investigar y entender las excepciones y desviaciones identificadas para garantizar un reporte adecuado.
• Se debe mostrar una visión cuantificada y acumulada del riesgo identificado al que se expone la organización
• Los procesos de CA&CM deben ser analizados periódicamente, de forma que se modifiquen cuando se detecten aspectos que deben ser corregidos.
• Considerar enfoque costo-efectivo y exposición de riesgo de la organización al elegir puntos clave de evaluación de controles y riesgos.
• Priorización al plan de acción y tratamiento a los riesgos identificados.
• Mantener la integridad de los procesos de CA&CM, asegurando que no se lleven cambios no controlados que comprometan la validez de las conclusiones obtenidas.

Cómo implementar CDA

• Entender datos clave a analizar y crear estrategias diferenciadas por cada tipo de dato
• Diseñar patrones de comportamiento adaptados a los datos almacenados y la actividad de los usuarios con éstos.
• Identificarse los puntos dentro de los procesos donde sea necesario ejecutar CDA
• CDA puede ser útil para la detección temprana de APTs
• Análisis de riesgo integral y multi-dimensional considerando riesgos tecnológicos, de cumplimientos, operativos,etc.
• Usar enfoque iterativo que permita incrementar la supervisión según la madurez de CDA

Cómo implementar CCM

• Centrarse en lograr incrementar la periodicidad de los análisis de forma progresiva
• Existirán controles que no sean automatizables, en estos casos debe evaluarse su relevancia a la hora de determinar un riesgo para la organización.

Si es importante debería incluirse como un control de revisión semiautomática o manual.

...