Monica Soto Control 6

Administración del proceso de Auditoría Informática
Mónica Soto Oyarzun
Auditoria de Sistemas
Instituto IACC
04 de agosto 2021
DESARROLLO DE LA TAREA
Usted trabaja en una empresa de auditorías de sistemas y le llaman a una reunión para
plantearle la siguiente situación: Nos contactó un cliente, cuyo giro es Instituto Profesional
y nos pide realizar una auditoría de sistemas. El cliente nos indicó que no ha realizado
nunca antes auditorías, salvo las tradicionales a los estados financieros, según exige la
norma.
Ante esto, su jefe le pide que haga lo siguiente:
- Un esquema en el cual presente al cliente de qué se trata la auditoría que se debe aplicar,
las etapas y aspectos relevantes, como el alcance y limitaciones.
- Explicar, a través de ejemplos, lo que se realizará en las etapas de planificación, trabajo
de campo y documentación y seguimiento.
- Informar sobre el producto final que se entregará para comunicar los resultados del
examen a aplicar.
Características del proceso de Auditoría Informática en relación a sus etapas
Tenemos 4 etapas de auditoria:
1) Investigación
2) Determinación del alcance
3) Determinación de la estrategia de auditoría
4) Creación de una lista de chequeos y procedimientos de auditoría

Planeación de la Auditoria de Sistemas:
 Identificar el origen de la auditoría.
 Realizar una visita preliminar al área que será evaluada.
 Establecer los objetivos de la auditoría.
 Determinar los puntos que serán evaluados en la auditoría.
 Elaborar planes, programas y presupuestos para realizar la auditoría.
 Identificar y seleccionar los métodos, herramientas, instrumentos y procedimientos
necesarios para la auditoría.
 Asignar los recursos y sistemas computacionales para la auditoría.
Ejecución de la Auditoria de Sistemas:
 Realizar las acciones programadas para la auditoría.
 Aplicar los instrumentos y herramientas para la auditoría.
 Identificar y elaborar los documentos de oportunidades de mejoramiento
encontradas.
 Elaborar el dictamen preliminar y presentarlo a discusión
 Integrar el legajo de papeles de trabajo de la auditoría
Dictamen de la Auditoria de Sistemas:
 Analizar la información y elaborar un informe de situaciones detectadas.

 Elaborar el Dictamen final.
 Presentar el informe de auditoría.
PLANIFICACIÓN DE AUDITORÍA: CREACIÓN DE CHECKLIST Y PROCEDIMIENTOS DE AUDITORÍA
Ahora, lo importante es verificar los controles y en debe enfatizarse al momento de elaborar
las pruebas de auditoría. Los controles más importantes son:
 De autenticidad
 De exactitud
 De totalidad
 De redundancia
 De privacidad
 De existencia
 De protección de activos
 De efectividad
 De eficiencia
 De tipo automáticos o lógicos
 De combinación alfanumérica en claves de acceso
Planificación
Las acciones tomadas en el momento anterior a la realización de la auditoría son determinantes
para el éxito de las actividades. La planificación comienza con la elaboración de un plan, que
orientará la ejecución de la auditoría. Ese plan deberá presentar todas las actividades en una línea
del tiempo, además del alcance, con procesos, departamentos o productos que serán auditados.
En esta etapa también es importante que el auditor identifique toda la documentación
relacionada, tales como políticas o procedimientos de calidad. Aún en esta etapa, puede ser
elaborada la lista preliminar de las personas que serán entrevistadas.

TRABAJO DE CAMPO Y DOCUMENTACIÓN
1) Si se ha hecho la planificación de la auditoría apropiada, el trabajo en terreno debe ser
relativamente simple de hacer. Mientras se conducen todos los aspectos de la auditoría, y
quizás especialmente el trabajo en terreno, se debe mantener la integridad como auditor.
¿Qué significa esto? Significa que se deben señalar los hechos como los encuentra. Si
durante el curso de la auditoría se descubre, por ejemplo, que hay una cuenta existente para
un individuo que se ha despedido, se debe señalar incluso si el administrador que le asiste
para auditar remueve la cuenta. El trabajo del auditor es señalar los hechos como los
encuentra.
2) Mantener un comportamiento profesional. Aunque las personas a las que se está
auditando parezcan pares de negocio, se debe mantener una cierta distancia profesional. Por
ejemplo, tal vez pueda sentir que mantiene la distancia apropiada y de separación
profesional, incluso si comparte con los administradores de sistema el almuerzo, pero salir
a comer o tomar algo después del trabajo probablemente no sea la mejor idea.
3) Otras cosas para recordar mientras se realiza el trabajo en terreno es esforzarse en
mantener el foco e intentar ser razonable. No se puede permitir distracciones por resultados
extraños o distintos a lo que se espera de la auditoría. Aquí es donde el alcance es
importante. Mientras que algunos “extras” pueden ser reportados, no es recomendable
quedar empantanado en detalles que están claramente más allá del alcance. Increíblemente,
entregar más información de la que fue pedida no es siempre bienvenido.
En cuanto a la documentación, se refiere a la recopilación de la evidencia, la cual como ya
se ha dicho debe ser suficiente y competente. Durante el trabajo de campo, el auditor
elaborará los papeles de trabajo que son la base de su informe, pues en ellos tendrá toda la
evidencia del trabajo realizado, además de las anotaciones de los hallazgos y resultados de
las pruebas aplicadas. Junto a esto deberá adjuntar los documentos pertinentes a sus
observaciones, como los checklist, cuestionarios, informes, etc. En este punto, de vez en
cuando los auditores incurren en algunas equivocaciones. A veces sienten que pueden
comprometer la integridad de la auditoría si otras personas los asisten. ¿Qué significa esto?
Significa que un auditor sentirá a veces que pedir al administrador de un sistema Unix, por
ejemplo, imprimir una lista de los usuarios actuales en un sistema compromete la integridad
de la auditoría solo porque el auditor no lo hizo por sí mismo. Por ello, es importante
entender que no todos en el mundo son administradores de firewalls, y tampoco cada
administrador de firewalls es también un analista de IDS. Y probablemente haya pocas
personas que sean administradores de firewalls y analistas de IDS y que también sean
administradores eficaces de bases de datos Oracle. Mientras que el auditor debe ciertamente
tener un cuadro claro respecto de qué es lo que él o ella está auditando, no hay nada que
diga que necesita saber hacerlo todo.
Elementos que debe contener el informe:
EL informe debe contener información muy importante sobre el desarrollo de la auditoría,
los resultados obtenidos y las recomendaciones y sugerencias del auditor. EL documento en
sí incluye:
1) Fecha de emisión.
2) Alcance, limitaciones y objetivos de la auditoría establecidos.
3) Descripción de la metodología aplicada en la ejecución del proceso.
4) Documentación revisada y también la elaborada por el auditor
5) Pruebas realizadas.
6) Fechas en que se realizó el trabajo de campo, entrevistas, reuniones, etc.
7) Limitaciones detectadas al realizar las pruebas que impiden la emisión de un juicio sobre
ciertos aspectos de la seguridad del sistema informático.
8) Informe ejecutivo que incluya aspectos destacables y el cumplimiento de los objetivos
de auditoría.
9) Sección de recomendaciones, las que deben ser abiertas (presentar varias alternativas de
solución) e indicar los riesgos si es que existen.
10) Anexos, que son el detalle y los resultados de las pruebas.
11) Opinión del auditor (la cual podría omitirse en el caso que el auditor se abstenga),
incluyendo las no conformidades.
12) Firma del auditor

Conclusión
La Auditoría Informática es un proceso llevado a cabo por profesionales especialmente

capacitados para el efecto, y que consiste en recoger, agrupar y evaluar evidencias para
determinar si un Sistema de información salvaguarda el activo empresarial, mantiene la integridad
de los datos ya que esta lleva a cabo eficazmente los fines de la organización, utiliza
eficientemente los recursos, cumple con las leyes y regulaciones establecidas.
Permiten detectar de Forma Sistemática el uso de los recursos y los flujos de información dentro
de una Organización y determinar qué Información es crítica para el cumplimiento de su Misión y
Objetivos, identificando necesidades, falsedades, costes, valor y barreras, que obstaculizan flujos
de información eficientes. En si la auditoría informática tiene 2 tipos las cuales son: Auditoría
Interna y Auditoría externa.
Bibliografía
IACC (2019). Administración del proceso de auditoría informática. Auditoría de Sistemas.
Semana 6.
https://blog.softexpert.com/es/las-4-etapas-esenciales-en-auditorias-de-calidad
https://es.wikipedia.org/wiki

Monica Soto Control 6

Cargado por

Copyright:

Formatos disponibles

Monica Soto Control 6

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Monica Soto Control 6

Cargado por

Copyright:

Formatos disponibles

Administración del proceso de Auditoría Informática

Mónica Soto Oyarzun

Ante esto, su jefe le pide que haga lo siguiente:

las etapas y aspectos relevantes, como el alcance y limitaciones.

- Explicar, a través de ejemplos, lo que se realizará en las etapas de planificación, trabajo

de campo y documentación y seguimiento.

Características del proceso de Auditoría Informática en relación a sus etapas

Tenemos 4 etapas de auditoria:

2) Determinación del alcance

3) Determinación de la estrategia de auditoría

4) Creación de una lista de chequeos y procedimientos de auditoría

Dictamen de la Auditoria de Sistemas:

 Analizar la información y elaborar un informe de situaciones detectadas.

las pruebas de auditoría. Los controles más importantes son:

 De tipo automáticos o lógicos

 De combinación alfanumérica en claves de acceso

Las acciones tomadas en el momento anterior a la realización de la auditoría son determinantes

En esta etapa también es importante que el auditor identifique toda la documentación

elaborada la lista preliminar de las personas que serán entrevistadas.

1) Si se ha hecho la planificación de la auditoría apropiada, el trabajo en terreno debe ser

relativamente simple de hacer. Mientras se conducen todos los aspectos de la auditoría, y

quizás especialmente el trabajo en terreno, se debe mantener la integridad como auditor.

un individuo que se ha despedido, se debe señalar incluso si el administrador que le asiste

2) Mantener un comportamiento profesional. Aunque las personas a las que se está

3) Otras cosas para recordar mientras se realiza el trabajo en terreno es esforzarse en

extraños o distintos a lo que se espera de la auditoría. Aquí es donde el alcance es

importante. Mientras que algunos “extras” pueden ser reportados, no es recomendable

entregar más información de la que fue pedida no es siempre bienvenido.

En cuanto a la documentación, se refiere a la recopilación de la evidencia, la cual como ya

se ha dicho debe ser suficiente y competente. Durante el trabajo de campo, el auditor

entender que no todos en el mundo son administradores de firewalls, y tampoco cada

administrador de firewalls es también un analista de IDS. Y probablemente haya pocas

diga que necesita saber hacerlo todo.

Elementos que debe contener el informe:

EL informe debe contener información muy importante sobre el desarrollo de la auditoría,

los resultados obtenidos y las recomendaciones y sugerencias del auditor. EL documento en

2) Alcance, limitaciones y objetivos de la auditoría establecidos.

3) Descripción de la metodología aplicada en la ejecución del proceso.

4) Documentación revisada y también la elaborada por el auditor

ciertos aspectos de la seguridad del sistema informático.

8) Informe ejecutivo que incluya aspectos destacables y el cumplimiento de los objetivos

solución) e indicar los riesgos si es que existen.

10) Anexos, que son el detalle y los resultados de las pruebas.

incluyendo las no conformidades.

12) Firma del auditor

La Auditoría Informática es un proceso llevado a cabo por profesionales especialmente

IACC (2019). Administración del proceso de auditoría informática. Auditoría de Sistemas.

También podría gustarte