ORGANIZACIÓN DEL DEPARTAMENTO DE AUDITORÍA INFORMÁTICA

EL INFORME DE AUDITORÍA

INTRODUCCIÓN

El tema de este capítulo es de el Informe de Auditoría, el cual está enfocado en la informática, decimos que la informática es muy joven, y debido a la complejidad de los sistemas de información crecen sus prestaciones y características; la necesidad de utilizar, los que tienen las organizaciones –públicas y privadas- en todos sus ámbitos, alcanza hoy un valor estratégico de competitividad y supervivencia.

El informe del auditor es el medio a través del cual se emite un juicio sobre el objeto que se ha examinado en un ente, qué conclusión le merece su auditoría, por lo cual se le debe asignar un extremo cuidado verificando que sea técnicamente correcto y adecuadamente presentado de acuerdo con las áreas informáticas existentes.

Además el informe debe contener uno de los siguientes tipos de opinión: favorable, con salvedades, desfavorable, denegada, de acuerdo con los resultados en los que se ha llegado con el trabajo de auditoría informática.

Las Normas

En 1996 la Unión Europea publicó el Libro Verde de la Auditoría, dedicado al papel, la posición y la responsabilidad del auditor legal. Su contenido afecta a la auditoría informática. En principio el libro acepta las normas internacionales IFAC para su adaptación a la Unión Europea.

Otra fuente de Normas Internacionales es ISACF, ya más específica de Auditoría Informática.

Hoy por hoy, la normativa española oficial que afecta, en mayor o en menor medida, a la auditoría informática es la siguiente:

ICAC: Normas Técnicas de Auditorías

Agencia de Protección de Datos: Instrucción relativa a la prestación de servicios sobre solvencia patrimonial y créditos.

Hay dos tendencias legislativas y de práctica de disciplina: la anglosajona, basada en la Comumon Law, con pocas leyes y jurisprudencia relevante: y la latina basada en el Derecho Romano, de legislación muy detallada.

La Evidencia

Tratemos de recordar en qué consiste la evidencia en Auditoría Informática, así como las pruebas que avalan, sin olvidar la importancia relativa y el riesgo probable, inherente y de control.

La evidencia tiene una serie de calificativos a saber:

- La evidencia relevante, que tiene una relación lógica con los objetivos de la auditoría.

- La evidencia fiable, que es válida u objetiva, aunque con nivel de confianza.

- La evidencia suficiente, que es de tipo cuantitativo para soportar la opinión profesional del auditor.

- La evidencia adecuada, que es de tipo cualitativo para afectar a las conclusiones del auditor.

En principio las pruebas son de cumplimiento o sustantivas.

Las Irregularidades

Las irregularidades preocupan tanto que aparece con en énfasis y en el ya citado Libro Verde de la Auditoría.

En los organismos y en las empresas, la Dirección tiene la responsabilidad principal y primaria de la detección de irregularidades, fraudes y errores; la responsabilidad del auditor se centra en planificar, llevar a cabo y evaluar su trabajo para tener una expectativa razonable de su detección.

Es necesario diseñar pruebas de antifraude, que lógicamente incrementarán el coste de la auditoría, previo al análisis de riesgos (amenazas, importancia relativa).

La Documentación

En el argot de auditoría se conoce como papeles de trabajo la “totalidad de los documentos preparados o recibidos por el auditor.

El informe de auditoría, si se precisa que sea profesional, tiene que estar basado en la documentación o papeles de trabajo, como utilidad inmediata, previa supervisión.

La documentación es fuente en algunos casos en los que la corporación profesional puede realizar un control de calidad, o hacerlo algún organismo oficial. Los papeles de trabajo pueden llegar a tener valor en los tribunales de justicia.

Los trabajos utilizados en el curso de una labor, de otros auditores externos y/o expertos independientes, así como de los auditores internos, se reseñen o no en el informe de Auditoría Informática.

4.6. El Informe

Se ha realizado una visión rápida de los aspectos previos para tenerlos muy presentes al redactar el Informe de Auditoría Informática, esto es, la comunicación del auditor informático al cliente, formal y, quizá solemne, tanto del alcance de la autoría; (objetivos, periodo de cobertura naturaleza y extensión del trabajo realizado) como de los resultados y conclusiones.

Es cuestión previa para decidir si el informe es largo o, por el contrario corto, por supuesto con otros informes sobre aspectos, bien mas detallados, bien mas concretos, como el informe de debilidades del control interno, incluso de hechos o aspectos; todo ello teniendo en cuenta tanto la legislación vigente como el contrato con el cliente.

Los puntos esenciales, genéricos y mínimos del Informe de Auditoría Informática, son los siguientes:

1. Identificación del Informe

El título del Informe deberá

...