Unidad III Auditora de la Funcin Informtica

OBJETIVO: El alumno establecer los procedimientos de una auditora en

informtica para contribuir a la optimizacin de los recursos
informticos.
A finales del siglo XX, los Sistemas Informticos se han constituido en las
herramientas ms poderosas para materializar uno de los conceptos
ms vitales y necesarios para cualquier organizacin empresarial, los
Sistemas de Informacin de la empresa.
La informtica hoy, esta subsumida en la gestin integral de la empresa,
y por eso las normas y estndares propiamente informticos deben de
estar, por lo tanto, sometidos a los generales de la misma. En
consecuencia, las organizaciones informticas forman parte de lo que se
ha denominado el management o gestin de la empresa. Cabe aclarar
que la informtica no gestiona propiamente la empresa, ayuda a la toma
de decisiones, pero no decide por s misma. Por ende, debido a su
importancia en el funcionamiento de una empresa, existe la Auditoria
Informtica.
El trmino de Auditora se ha empleado incorrectamente con frecuencia
ya que se ha considerado como una evaluacin cuyo nico fin es
detectar errores y sealar fallas. A causa de esto se ha tomado la frase
Tiene Auditoria como sinnimo de que, en dicha entidad, antes de
realizarse la auditora, ya se haban detectado fallas.
El concepto de auditora es mucho ms que esto. La palabra auditoria
proviene del latn auditorius, y de esta proviene la palabra auditor, que
se refiere a todo aquel que tiene la virtud de or.
La auditora es un examen crtico pero no mecnico, que no implica la
preexistencia de fallas en la entidad auditada y que persigue el fin de
evaluar y mejorar la eficacia y eficiencia de una seccin o de un
organismo.
El auditor informtico ha de velar por la correcta utilizacin de los
amplios recursos que la empresa pone en juego para disponer de un
eficiente y eficaz Sistema de Informacin. Claro est, que para la
realizacin de una auditora informtica eficaz, se debe entender a la
empresa en su ms amplio sentido, ya que una Universidad, un
Ministerio o un Hospital son tan empresas como una Sociedad Annima
o Empresa Pblica. Todos utilizan la informtica para gestionar sus
negocios de forma rpida y eficiente con el fin de obtener beneficios
econmicos y reduccin de costes.

Por eso, al igual que los dems rganos de la empresa (Balances,

Cuentas de Resultados, Tarifas, Sueldos, etc. ), Los Sistemas
Informticos estn sometidos al control correspondiente, o al menos
debera estarlo
3.1 Fundamentos de Auditora de la Funcin Informtica
Los principales objetivos que constituyen a la Auditora Informtica son:

El control, de la funcin Informtica

El anlisis de la eficacia del Sistema Informtico
La verificacin de la implantacin de la Normativa
Revisin de la gestin de los recursos informticos

La importancia de llevar un control de esta herramienta se puede

deducir de varios aspectos. He aqu algunos:

Las computadoras y los centros de procesos de datos se

convirtieron en blancos apetecibles no solo para el espionaje, sino
para la delincuencia y el terrorismo. En este caso interviene la
Auditora Informtica de Seguridad.
Las computadoras creadas para procesar y difundir resultados o
informacin elaborada pueden producir resultados o informacin
errnea si dichos datos son, a su vez errneos. Este concepto
obvio es a veces olvidado por las mismas empresas que terminan
perdiendo de vista la naturaleza y calidad de los datos de entrada
a sus Sistemas Informticos, con la posibilidad de que se provoque
un efecto cascada y afecte a Aplicaciones independientes. En este
caso interviene la Auditora Informtica de Datos.
Un Sistema Informtico mal diseado puede convertirse en una
herramienta muy peligrosa para la empresa: como las maquinas
obedecen ciegamente a las rdenes recibidas y la modelizacin de
la empresa est determinada por las computadoras que
materializan los Sistemas de Informacin, la gestin y la
organizacin de la empresa no puede depender de un software y
Hardware mala diseados.

Estos son solo algunos de los varios inconvenientes que puede presentar
un Sistema Informtico, por eso, la necesidad de la Auditora de
Sistemas.
Auditora Interna y Auditora Externa
La Auditora interna es la realizada con recursos materiales y personas
que pertenecen a la empresa auditada. Los empleados que realizan esta

tarea son remunerados econmicamente. La Auditora interna existe por

expresa decisin de la empresa, o sea, que puede optar por su
disolucin en cualquier momento.

Por otro lado, la auditora externa es realizada por personas afines a la

empresa auditada; es siempre remunerada. Se presupone una mayor
objetividad que en la Auditora Interna, debido al mayor distanciamiento
entre auditores y auditados.
La auditora informtica interna cuenta con algunas ventajas adicionales
muy importantes respecto de la auditora externa, las cuales no son tan
perceptibles como en las auditoras convencionales. La auditora interna
tiene la ventaja de que puede actuar peridicamente realizando
revisiones globales, como parte de su Plan Anual y de su actividad
normal. Los auditados conocen estos planes y se habitan a las
Auditoras, especialmente cuando
las
consecuencias
de
las
recomendaciones habidas benefician su trabajo.
En una empresa, los responsables de Informtica escuchan, orientan e
informan sobre las posibilidades tcnicas y los costes de tal sistema. Con
voz, pero a menudo sin voto, Informtica trata de satisfacer lo ms
adecuadamente posible aquellas necesidades. La empresa necesita
controlar su Informtica y sta necesita que su propia gestin est
sometida a los mismos Procedimientos y estndares que el resto de
aquella. La conjuncin de ambas necesidades cristaliza en la figura del
auditor interno informtico.
En cuanto empresas se refiere, solamente las ms grandes pueden
poseer una Auditora propia y permanente, mientras que el resto acuden
a las auditoras externas. Puede ser que algn profesional informtico
sea trasladado desde su puesto de trabajo sea trasladado desde su
puesto de trabajo a la Auditora Interna de la empresa cuando sta
existe. Finalmente, la propia informtica requiere de su propio grupo de
Control Interno, con implantacin fsica en su estructura, puesto que si
se ubicase dentro de su estructura Informtica ya no sera
independiente. Hoy ya existen varias organizaciones Informticas dentro
de la misma empresa, y con diverso grado de autonoma, que son
coordinadas por rganos corporativos de Sistemas Informacin de las
Empresas.

Una Empresa o Institucin que posee auditora interna puede y debe en

ocasiones contratar servicios de auditora externa. Las razones para
hacerlo suelen ser:

Necesidad de auditar una materia de gran especializacin, para

la cual los servicios
propios no estn suficientemente capacitados.
Contrastar algn informe interno con el que resulte del externo,
en aquellos supuestos
de emisin interna de graves recomendaciones que chocan con la
opinin generalizada
de la propia empresa.
Servir como mecanismo protector de posibles auditoras
informticas externas
decretadas de la misma empresa.
Aunque la auditora interna sea independiente del Departamento
de Sistemas, sigue
siendo la misma empresa, por lo tanto, es necesario que se le
realicen auditoras externas
como para tener una visn desde afuera de la empresa.
La auditora Informtica, tanto externa como interna, debe ser una
actividad exenta de cualquier contenido o matiz poltico ajeno a la
propia estratgica y poltica general de la empresa. La funcin auditora
puede actuar de oficio, por iniciativa del propio rgano, o a instancias de
parte, esto es, por encargo de la direccin o cliente.
3.2 Etapas y Lineamientos del proceso de Auditora Informtica
Metodologa de trabajo de Auditora Informtica
El Mtodo de trabajo del auditor pasa por las siguientes etapas:

Alcance y Objetivos de la Auditora Informtica

Estudio inicial del entorno auditable
Determinacin de los recursos necesarios para realizar la
auditoria
Elaboracin del plan y de los Programas de Trabajo
Actividades propiamente dichas de la Auditora
Confeccin y redaccin del Informe Final
Redaccin de la carta de Introduccin o Carta de Presentacin del
Informe Final.

Definicin de Alcance y Objetivos

El alcance de la Auditora expresa los lmites de la misma. Debe Existir un

acuerdo muy preciso entre auditores y clientes sobre las funciones, las
materias y las organizaciones a auditar.
A los efectos de acotar el trabajo, resulta muy beneficioso para ambas partes
expresar las excepciones de alcance de la auditora, es decir cuales materias,
funciones u organizaciones no van a ser auditadas.
Tantos los alcances como las excepciones deben figurar al comienzo del
Informe Final.
Las personas que realizan la auditora han de conocer con la mayor exactitud
posible los objetivos a los que su tarea debe llegar. Deben comprender los
deseos y pretensiones del cliente, de forma que las metas fijadas puedan ser
cumplidas.
Una vez definidos los objetivos (objetivos especficos), estos se aadirn a los
objetivos generales y comunes de toda auditora informtica: La operatividad
de los Sistemas y los Controles Generales de Gestin Informtica.
Estudio Inicial
Para realizar dicho estudio ha de examinarse las funciones y actividades
generales de la informtica.

Para su realizacin el auditor debe conocer lo siguiente:

Organizacin: Para el equipo auditor, el conocimiento de quien ordena,
quien disea y quien ejecuta es fundamental. Para realizar esto un
auditor deber fijarse en:
1 Organigrama
El organigrama expresa la estructura oficial de la organizacin a auditar.
Si se descubriera que existe un organigrama factico diferente al oficial,
se podr de manifiesto tal circunstancia.
2 Departamentos
Se entiende como departamento a los rganos que siguen
inmediatamente a la direccin. El equipo auditor describir brevemente
las funciones de cada uno de ellos.
3 Relaciones Jerrquicas y funciones entre rganos de la Organizacin

El equipo auditor verificara si se cumplen las relaciones funcionales y

Jerrquicas previstas por el organigrama, o por el contrario detectar,
por ejemplo, si algn empleado tiene dos jefes.
Las de jerarqua implican la correspondiente subordinacin. Las
funcionales por el contrario, indican relaciones no estrictamente
subordinables.
4 Flujos de Informacin
Adems de las corrientes verticales intradepartamentales, la estructura
organizativa cualquiera que sea, produce corrientes de informacin
horizontales y oblicuas extradepartamentales.
Los flujos de informacin entre los grupos de una organizacin son
necesarios para su eficiente gestin, siempre y cuando tales corrientes
no distorsionen el propio programa.
En ocasiones, las organizaciones crean espontneamente
canales
alternativos de informacin, sin los cuales las funciones no podran
ejercerse con eficacia; estos canales alternativos se producen porque
hay pequeos o grandes fallos en la estructura y en organigrama que los
representa.
Otras veces, la aparicin de flujos de informacin no previstos obedece
a afinidades personales o simple comodidad. Estos flujos de informacin
son indeseables y producen grandes perturbaciones en la organizacin.

5 Nmeros de Puestos de Trabajo

El equipo auditor comprobar que los nombres de los puestos de trabajo
de la organizacin corresponden a las funciones reales distintas.
Es frecuente que bajo nombres diferentes se realicen funciones
idnticas, lo cual indica la existencia de funciones operativas
redundantes.
Esta funcin pone de manifiesto deficiencias estructurales; los auditores
darn a conocer tal circunstancia y expresarn el nmero de puestos de
trabajo verdaderamente diferentes.
6 Numero de personas por puesto de trabajo

Es un parmetro que los auditores informticos deben de considerar. La

inadecuacin del personal determina que el nmero de personas que
realizan las mismas funciones rara vez coincida con la estructura oficial
de la organizacin.
Entorno Operacional
El equipo de auditora informtica debe de poseer una adecuada
referencia del entorno en el que va a desenvolverse.
Este conocimiento previo se logra determinando, fundamentalmente, los
siguientes extremos:
1 .Situacin geogrfica de los Sistemas: Se determinara la situacin
geogrfica de los distintos Centros de Proceso de Datos en la empresa. A
continuacin, se verificara la existencia de responsables en cada uno de
ellos, as como el uso de los mismos estndares de trabajo.
2. Arquitectura y configuracin de Hardware y Software: Cuando existen
varios equipos, es fundamental la configuracin elegida para cada uno
de ellos, ya que los mismos deben constituir un sistema compatible e
intercomunicado. La configuracin de los sistemas est muy ligada a las
polticas de seguridad lgica de las compaas.
3.Inventario de Hardware y Software: El auditor recabara informacin
escrita, en donde figuren todos los elementos fsicos y lgicos de la
instalacin. En cuanto a Hardware figuran las CPUS unidades de control
local y remoto, perifricos de todo tipo, ect.
4.Comunicacin y Redes de Comunicacin: En el estudio inicial los
auditores dispondrn del numero, situacin y caractersticas principales
de las lneas, as como de los accesos a la red pblica de
comunicaciones.
Igualmente poseern informacin de las Redes Locales de la Empresa.
5.Aplicaciones bases de datos y ficheros: El estudio inicial que han de
realizar los auditores se cierran y culmina con una idea general de los
procesos informticos realizados en la empresa auditada. Para ello
debern conocer lo siguiente:
Volumen antigedad y complejidad de las Aplicaciones.
Metodologa del diseo: Se clasificara globalmente la existencia
total o parcial de la metodologa en el desarrollo de las

aplicaciones. Si se han utilizado varias a lo largo del tiempo se

pondr de manifiesto.
Documentacin: La existencia de una adecuada documentacin de
las aplicaciones proporciona beneficios tangibles e inmediatos
muy importantes. La documentacin de programas disminuye
gravemente al mantenimiento de los mismos.
Cantidad y complejidad de Bases de datos y Ficheros: El auditor
recabara informacin de tamao y caractersticas de las bases de
datos, clasificndolas en relacin y jerarquas. Hallara un promedio
de nmero de accesos a ellas por hora o das. Esta operacin se
repetir con los ficheros, as como la frecuencia de actualizaciones
de los mismos. Estos datos proporcionan una visin aceptable de
las caractersticas de la carga informtica.

Determinacin de recursos de la Auditoria Informtica.

Mediante los resultados del estudio inicial realizado se procede a
determinar los recursos humanos y materiales que han de emplearse en
la auditora.

Recursos Materiales

Es muy importante su determinacin, por cuanto la mayora de ellos son

proporcionados por el cliente. Las herramientas Software propias del
equipo van a utilizarse igualmente en el sistema auditado, por lo que
han de convertirse en lo posible las fechas y horas de usos entre el
auditor y el cliente.
Los recursos materiales del auditor son de dos tipos:
Recursos Materiales Software

Programas propios de la auditoria: Son muy potentes y Flexibles.

Habitualmente se aaden a las ejecuciones de los procesos del cliente
para verificarlos.
Monitores: Se utilizan en funcin del grado de desarrollo observando en
la actividad de Tcnica de Sistemas del auditado y de la cantidad y
calidad de los datos ya existentes.
Recursos materiales Hardware
Los recursos Hardware que el auditor necesita son proporcionados por el
cliente.
Los procesos de control deben efectuarse necesariamente en las
computadoras del auditado.
Para lo cual habr de convertir, tiempo de mquina, espacio de disco,
impresoras ocupadas, etc.
Recursos Humanos
La cantidad de recursos depende del volumen auditable. Las
caractersticas y perfiles del personal seleccionado dependen de la
materia auditable.
Es igualmente reseable que la auditoria en general suele ser ejercida
por profesionales universitarios y por otras personas de probada
experiencia multidisciplinaria.
Perfiles Profesionales de los auditores Informticos.
Profesiones

Actividades y conocimientos
deseables
Informtico Generalista
Con experiencia amplia en ramas distintas.
Deseable
que
su
labor
se
haya
desarrollado en Explotacin y en Desarrollo
de Proyectos. Conocedor de Sistemas
Experto en Desarrollo de
Amplia experiencia como responsable de
Proyectos
proyectos. Experto analista Conocedor de
las metodologas de Desarrollo ms
importantes.
Tcnico de sistemas
Experto en Sistemas Operativos y Software
Bsico. Conocedor de los productos
equivalentes en el mercado. Amplios
conocimientos de Explotacin.
Experto en Bases de Datos y Con experiencia en el mantenimiento de

Administracin de las
mismas
Experto en Software de
Comunicacin
Experto en Explotacin y
Gestin de CPDS
Tcnico de Organizacin
Tcnico de Evaluacin de
costes

Bases
de
Datos.
Conocimiento
de
productos compatibles y equivalentes.
Buenos conocimientos de explotacin.
Alta especializacin dentro de la tcnica de
sistemas. Conocimientos profundos de
redes. Muy experto en Subsistemas de
teleproceso.
Responsable de algn Centro de Clculo.
Amplia experiencia en Automatizacin de
trabajos. Experto en relaciones humanas.
Buenos conocimientos de los sistemas.
Experto
organizador
y
coordinador.
Especialista en el anlisis de flujos de
informacin.
Economista
con
conocimiento
de
Informtica. Gestin de costes.

Elaboracin del Plan y de los Programas de Trabajo

Una vez asignados los recursos, el responsable de la auditora y sus
colaboradores establecen un plan de trabajo. Decidido este, se procede
a la programacin del mismo.
El plan se elabora teniendo en cuenta, entre otros criterios, los
siguientes:
a) Si la revisin debe realizarse por reas generales o reas especificas.
En el primer caso, la elaboracin es ms compleja y costosa
b) Si la auditora es global, de toda la informtica, o parcial. El volumen
determina no solamente el nmero de auditores necesarios, sino las
especialidades necesarias del personal.

En el plan no se consideran calendarios, porque se manejan

recursos genricos y no especficos.

En el plan se establecen los recursos y esfuerzos globales que van

a ser necesarios.

En el plan se establecen las prioridades de materias auditables, de

acuerdo siempre con las prioridades del cliente.

El plan establece disponibilidad futura de los recursos durante la

revisin.

El plan estructura las tareas a realizar por cada integrante del

grupo.

En el plan se expresan todas las ayudas que e auditor ha de recibir

del auditado.

Una vez elaborado el Plan, se procede a la Programacin de actividades.

Esta ha de ser lo suficientemente como para permitir modificaciones a lo
largo del proyecto.
Actividades de la Auditora Informtica
Auditora por temas generales o por reas especficas. Si se examina por
grandes temas, resulta evidente la mayor calidad y el empleo de ms
tiempo total y mayores recursos.
Cuando la auditora se realiza por reas especficas, se abarcan de una
vez todas las peculiaridades que afectan a la misma, de forma que el
resultado se obtiene ms rpidamente y con menor calidad.
Tcnicas de Trabajo:
-

Anlisis de la informacin recabada del auditado.

El anlisis de la informacin puede definirse como la aplicacin de
tcnicas de procesamiento automtico del lenguaje natural, de
clasificacin automtica y de representacin grfica (cartografa)
del contenido cognitivo (conocimientos) y factual (fecha, lengua,
tipo de publicacin) de los datos bibliogrficos (o textuales).
En general, por anlisis de informacin se entiende a la fase de
interpretacin que el auditor realiza de una manera directa y
manual a la documentacin recabada durante la auditora.

Anlisis de la Informacin propia.

Cruzamiento de las informaciones anteriores
Entrevistas
La entrevista es una de las actividades personales ms importante
del auditor; en ellas, ste recoge mas informacin y mejor
matizada, que la proporcionada por medios propios puramente
tcnicos o por las respuestas escritas a cuestionarlos.
Aparte de algunas cuestiones menos importantes, la entrevista
entre auditor y auditado se basa fundamentalmente en el

concepto de interrogatorio. El auditor informtico experto

entrevista al auditado siguiendo un cuidadoso sistema
previamente establecido de una forma tal que la conversacin sea
correcta y lo menos tensa posible, el auditado conteste
sencillamente y con pulcritud a una serie de preguntas variadas,
tambin sencillas.
-

Simulacin
Se puede definir a la simulacin como la tcnica que imita el
funcionamiento de un sistema del mundo real cuando evoluciona
en el tiempo. Esto se hace por lo general al crear un modelo de
simulacin. Simular es, reproducir artificialmente un fenmeno o la
relacin entrada salida de un sistema. Por simulador entendemos
no solo un programa de simulacin y la computadora que lo
realiza, sino tambin un aparato que muestra visualmente y a
menudo fsicamente las entradas y salidas (resultados) de
simulacin.
- Muestreos
Es la tcnica para recoger una muestra a partir de una poblacin o
un subgrupo de esta el objetivo es estimar parmetros por
ejemplo, medidas, prevalecas etc.
Permite inferir sobre la poblacin basndose en la informacin de
la muestra.
Herramientas
-

Cuestionario general inicial

Cuestionario Checklist
Conjunto de preguntas elaboradas por el auditor con la finalidad
de obtener respuestas coherentes que permitan una correcta
descripcin de puntos dbiles y fuertes. Son preguntas muy
estudiadas que han de formularse flexiblemente.
Los cuestionarios o Checklist responden fundamentalmente a dos
tipos de filosofia de calificacin o evaluacin.

Checklist de rango: Contiene preguntas que el auditor debe puntuar

dentro de un rango preestablecido (por ejemplo, de 1 a 5, siendo 1 la
respuesta ms negativa y el 5 el valor ms positivo).
Checklist Binaria: Es la constituida por preguntas con respuesta nica y
excluyente: Si o No. Aritmticamente, equivalen a 1(uno) o 0 (cero)
respectivamente.

Estndares
Existen estndares orientados a servir como base para auditoras
de informtica. Uno de ellos es COBIT (Objetivos de Control de la
Tecnologa de la Informacin), dentro de los objetivos definidos
como parmetro, se encuentra el Garantizar la Seguridad de los
Sistemas . Adicional a este estndar podemos encontrar el
estndar ISO 27002, el cual se conforma como un cdigo
internacional de buenas prcticas de la seguridad de la
informacin que definen los requisitos de auditora y sistemas de
gestin de seguridad, como lo es el estndar ISO 27001analizado
por maritee.

Monitores
Simuladores (Generadores de Datos)
Paquetes de auditora (Generadores de Programas). Son
programas generalizados por computadora diseados para
desempear funciones de procesamiento de datos que incluyen
leer archivos de computadora, seleccionar informacin, realizar
clculos, crear archivos de datos e imprimir informes en un
formato especificado por el auditor. Son usados para control de
secuencias, bsquedas de registros, seleccin de datos, revisin
de operaciones lgicas y muestreo.
Matrices de Riesgo
Una matriz de riesgo es una herramienta de control y de gestin
normalmente utilizada para identificar las actividades (procesos y
productos) ms importantes de una institucin, el tipo y nivel de
riesgos inherentes a estas actividades y los factores exgenos que
engendran estos riesgos (factores de riesgo). Una matriz de riesgo
permite evaluar la efectividad de una adecuada gestin y
administracin de los riesgos financieros, operativos y estratgicos
que impactan la misin de la organizacin.

Informe Final
La funcin de la auditoria se materializa exclusivamente por escrito. Por
lo tanto la elaboracin final es el exponente de su calidad.
Resulta evidente la necesidad de redactar borradores e informes
parciales previos al informe final, los que son elementos de contraste
entre opinin entre auditor y auditado y que pueden descubrir fallos de
apreciacin al auditor.

Estructura del Informe Final

El informe comienza con la fecha de comienzo de la auditoria y la fecha
de redaccin del mismo. Se incluyen los nombres del equipo auditor y
del nombre de todas las personas entrevistadas, con indicacin de la
jefatura, responsabilidad y puesto de trabajo que ostente.
Enumeracin de Temas Considerados.
Antes de tratarlos con profundidad se enumerarn lo
exhaustivamente posible todos los temas objeto de la auditora.

ms

Cuerpo Expositivo
Para cada tema, se seguir el siguiente orden a saber:
a)Situacin actual. Cuando se trate de una situacin peridica, en la que
se analiza no solamente una situacin sino adems su evolucin en el
tiempo, se expondr la situacin prevista y la situacin real.
b)Tendencias. Se trataran de hallar parmetros que permitan establecer
tendencias futuras.
c)Puntos dbiles y amenazas.
d)Recomendaciones y planes de accin. Constituyen junto con la
exposicin de puntos dbiles, el verdadero objetivo de la auditoria
informtica.
e)Redaccin posterior de la Carta de Introduccin o Presentacin.
Modelo Conceptual de la exposicin del Informe Final
-

El informe debe de incluir solamente hechos importantes.

La inclusin de hechos pocos relevantes o accesorios desva la
atencin del lector.

El informe debe de consolidar los hechos que se describen en el

mismo.
El trmino de Hechos consolidados adquiere un especial
significado de verificacin objetiva y de estar documentalmente
probado y soportado. La consolidacin de los hechos debe
satisfacer, al menos los siguientes criterios:
1.El hecho de ser sometido a cambios.
2.Las ventajas del cambio deben superar los inconvenientes
derivados de mantener la situacin.

3.No deben de existir alternativas viables que superen al cambio

propuesto.
4. La recomendacin del auditor sobre el hecho debe mantener o
mejorar las normas y estndares existentes en la instalacin.
La aparicin de un hecho en un informe de auditora implica
necesariamente la existencia de una debilidad que ha de ser corregida.
Flujo del hecho o debilidad:
1-Hecho encontrado
- Ha de ser relevante para el auditor y para el cliente.
- Ha de ser exacto y convincente.
- No deben existir hechos repetidos.
2-Consecuencias del hecho:
- Las consecuencias deben de redactarse de modo que sean
directamente deducibles del hecho.
3-Repercucin del hecho.
- Se redactan las influencias directas que el hecho pueda tener
sobre otros aspectos informticos u otros mbitos de la empresa.
4-Conclusin del hecho:
- No deben de redactarse conclusiones ms que en los casos en que
la exposicin haya sido muy extensa o compleja.
5-Recomendacin del auditor informtico:
- Deber entenderse por s sola.
- Deber estar suficientemente soportada en el propio texto.
- Deber ser concreta y exacta en el tiempo, para que pueda ser
verificada su implementacin.
- La recomendacin se redactar de forma que vaya dirigida
expresamente a la persona o personas que puedan implementarla.

Carta de Introduccin o presentacin del Informe Final.

La carta de introduccin tiene especial importancia porque en ella ha de

resumirse
la auditora realizada. Se destina exclusivamente al
responsable mximo de la empresa, o a la persona concreta que
encargo o contrato la auditora.
As como pueden existir tantas copias del Informe final como solicite el
cliente, la auditora no har copias de la citada carta de introduccin.
La carta de Introduccin poseer los siguientes atributos:
-

Tendr mximo 4 folios.

Incluir fecha, naturaleza, objetivos y alcance.
Cuantificara la importancia de las reas analizadas.
Proporcionara una conclusin general, concretando las reas con
gran debilidad.
Presentara las debilidades en orden de importancia y gravedad.
En la carta de Introduccin nunca se escribirn recomendaciones.

CRMR (Computer Resource Management Review)

Definicin de la metodologa CRMR
CRMR son las siglas de Computer Resource Management Review; su
traduccin ms adecuada, Evaluacin de la gestin de recursos
informticos. En cualquier caso esta terminologa quiere destacar la
posibilidad de realizar una evaluacin de eficiencia de utilizacin de los
recursos por medio del management.
Una revisin de esta naturaleza no tiene el grado de profundidad de una
auditora informtica global, pero proporciona soluciones ms rpidas a
problemas concretos y notorios.
Supuestos de Aplicacin
En funcin de la definicin dada la metodologa dada CRMR es aplicable
mas a deficiencias organizativas y gerenciales que a problemas de tipo
tcnico, pero no cubre cualquier rea de un centro de Procesos de Datos.
El mtodo CRMR puede aplicarse cuando se producen algunas de las
situaciones que se citan:

Se detecta una mala respuesta a las peticiones y respuestas de

las necesidades de los usuarios.
Los Resultados del centro de Procesos de Datos no estn a
disposicin de los usuarios en el momento oportuno.

Se genera con alguna frecuencia informacin errnea por fallos de

datos o proceso.
Existen sobrecargas frecuentes de capacidad de proceso.
Existen costes excesivos de proceso en el centro de Procesos de
Datos.

Efectivamente, son estas y no otras las situaciones que el auditor

informtico encuentra con mayor frecuencia. Aunque pueden existir
factores tcnicos que causen las debilidades descritas, hay que convenir
en la mayor incidencia de fallos de gestin.
reas de Aplicacin
Las reas en que el mtodo CRMR puede ser aplicado se corresponden
con las sujetas a las condiciones de aplicacin sealadas en punto
anterior:

Gestin de Datos
Control de operaciones
Control y utilizacin de recursos materiales y humanos
Interfaces y relaciones con usuarios
Planificacin
Organizacin y Planeacin

Ciertamente el CRMR no es adecuado para evaluar la procedencia de

adquisicin de nuevos equipos o para realizar muy a fondo los caminos
crticos o las holguras de un proyecto complejo.
Objetivos
El CRMR tiene como objetivo fundamental evaluar el grado de bondad o
ineficiencia de los procedimientos y mtodos de gestin que se observan
en un centro de procesos de datos.
Las recomendaciones que se emitan como resultado de la aplicacin del
CRMR, tendrn como finalidad algunas de las que se relacionan:

Identificar y fijas responsabilidades

Mejorar la flexibilidad de realizacin de actividades
Aumentar la productividad
Disminuir costes
Mejorar los mtodos y procedimientos de Direccin

Alcance
Se fijaran los lmites que abarcar el CRMR, antes de comenzar el
trabajo se establecen tres clases:
Reducido. El resultado consiste en sealar las reas de actuacin
con potencialidad inmediata de obtencin de beneficios.
Medio. En este caso, el CRMR ya establece conclusiones y
recomendaciones tal cual se hace en la auditora informtica
ordinaria.
Amplio. CRMR incluye planes de accin, aportando tcnicas de
implementacin de las recomendaciones , a la par de cmo se
desarrollan las conclusiones.
Informacin necesaria para la evaluacin del CRMR
Se determinan en este punto los requisitos necesarios para que esta
simbiosis de auditora y consultora pueda llevarse a cabo con xito.
1-El trabajo de campo del CRMR ha de realizarse completamente
integrado en la estructura del centro de proceso de datos del cliente, y
con los recursos de este.
2-Se deber cumplir un detallado programa de trabajo por tareas.
3-El auditor consultor recabara determinada informacin necesaria del
cliente.
Se tratan a continuacin los tres requisitos expuestos:
1-Integracin del auditor en el centro de procesos de datos a revisar.
No deben olvidarse que se estn evaluando actividades desde el punto
de vista gerencial. El contacto permanente del auditor con el trabajo
ordinario del centro de procesos de datos permite a aquel determinar el
tipo de esquema organizativo que se sigue.
2-Programa de trabajo clasificado por tareas.
Todo trabajo habr de ser descompuesto en tareas. Cada una de ellas se
someter a la siguiente sistemtica:
Identificacin de la tarea
Descripcin de la tarea
Descripcin de la funcin de direccin cuando la tarea se realiza
incorrectamente

 Descripcin de ventajas, sugerencias y beneficios que puede

originar un cambio o modificacin de tarea
Test para la evaluacin de la prctica directiva en relacin con la
tarea
Posibilidades de agrupacin de las tareas
Ajustes en funcin de las peculiaridades de un departamento
concreto
Registro de resultados, conclusiones y Recomendaciones
3- Realizacin necesaria para el CRMR
El cliente es el que facilita la informacin que el auditor contrastar con
su trabajo de campo. SE exhibe a continuacin un Checklist completa de
los datos necesarios para confeccionar el CRMR:

Datos de mantenimiento preventivo de hardware

Informes de anomalas de los sistemas
Procedimientos estndar de actualizacin
Procedimientos de emergencia
Monitorizacin de los sistemas
Informes del rendimiento de los sistemas
Mantenimiento de las libreras de los programas
Gestin de espacio en disco
Documentacin de entrega de Aplicaciones a Explotacin
Documentacin de alta de cadenas en Explotacin
Utilizacin de CPU, canales y discos
Datos de paginacin de los sistemas
Volumen total y libre de almacenamiento
Ocupacin media de disco
Manuales de procedimientos de explotacin

Esta informacin cubre ampliamente el espectro del CRMR y permite

ejercer el seguimiento de las recomendaciones realizadas.

Producto 3. Auditoria de la funcin informtica

UNIDAD TEMTICA:
OBJETIVO:
FECHA DE SOLICITUD:

Auditoria de la funcin Informtica

El alumno establecer los procedimientos de una
auditora en
informtica para contribuir a la
optimizacin de los recursos informticos.
FECHA DE ENTREGA:
PROCEDIMIENTO:

1. Organizarse en equipos de mximo 3 integrantes.

2. Desarrollar la actividad especificada.

Es importante mencionar que deben trabajar en equipo, sin embargo habr
necesidad de que cada integrante conozca todo el procedimiento de una
auditoria Informticas.

3. Propongan una planeacin de la auditoria informtica para una rea en

especifica de la carrea de TICs. de la Universidad Tecnolgica de Puebla.
Antes de elaborar el plan y los programas de trabajo debern definir :
El Alcance y objetivos de la auditoria Informtica.
El estudio inicial del entorno auditable.
Determinacin de los recursos.
Por ltimo elaboren el plan y los programas de trabajo. Utilicen alguna
plantilla o formato. Se les sugiere que revisen el subtema de Elaboracin
del plan y de los programas de trabajo de la antologa de esta
asignatura, para identificar los elementos que conforma el plan.
4. Seleccionen alguna Tcnica de trabajo para realizar las actividades de
la auditoria informtica. Para este punto identifiquen las tcnicas de
trabajo propuestas en su antologa.
5. De acurdo a su plan y la(s) tcnica(s) de trabajo seleccionada(s), diseen
sus herramientas (cuestionarios, checklist, matriz de riesgo, foda, etc.)
para utilizarlas en el desarrollo de la auditoria informtica.
6. Realicen la auditoria Informtica en el rea seleccionada, utilicen las
herramientas para obtener la informacin necesaria para el informe final.
7. Elaboren un informe final de la Auditoria. Se sugiere leer el tema
Informe final de su Antologa y elaboren una estructura del informe
final de la Auditoria que incluya la lista de temas y su cuerpo
expositivo. Solo incluyan hechos importantes.
8. Elaboren una Carta de Introduccin o presentacin del Informe final.
9. Realicen un reporte en Word que contenga lo siguiente:
a)

b)
c)
d)
e)

Portada
Nombre de la escuela
Nombre de la asignatura
Nombre del profesor de la asignatura
Nombre del trabajo
Nombre de los Integrantes
Fecha de entrega

Planeacin de la Auditora Informtica

Instrumentos (cuestionarios, checklist, matriz de riesgo, foda, etc)
Resultados de la Auditora.
Anexo de algunos elementos de los puntos 3 y 4 que no se
encuentran en sus formatos o plantillas. Revisar los elementos a
evaluar de la lista de cotejo.

10. El documento deber ser entregado en computadora.

11. Redactado sin faltas de ortografa.
DESCRIPCIN DE LA ACTIVIDAD:
I.

Lee con cuidado el tema Etapas y lineamientos del proceso de auditora

informtica de la unidad III de tu antologa de esta asignatura y posteriormente
realiza la auditoria informtica de alguna rea especfica de la carrera de TICs

II.

Entregar el documento al profesor de la asignatura en Tiempo y forma.

INDICADOR
O VARIABLE

Puntualidad
Trabajo en
equipo

LISTA DE COTEJO 3. AUDITORIA DE LA FUNCIN INFORMTICA.

CUMPLE
DESCRIPCIN
SI
NO
ACTITUD (SER)
Entrega del trabajo tiempo y forma
establecida
El alumno participa activamente en su
equipo aportando propuestas para la
realizacin del trabajo.

PORCENTAJ
E

5
5

CONOCIMIENTO (SABER)
Proceso
Auditoria
Plan de
Auditoria
Herramient
as
Reporte
final

Identifica cada una de las etapas y

tareas de la auditoria Informtica.
Identifica los elementos de un plan de
Auditoria Informtica.
Identifica las herramientas de apoyo
para una Auditoria Informtica.
Reconoce los elementos que forma un
reporte final de una auditoria
Informtica.

5
10
10
10

HABILIDAD (SABER HACER)

Alcance y
objetivos

Identifican correctamente el alcance y los

objetivos de la auditoria.

Estudio
inicial del
campo

Presentan informacin necesaria para

hacer la auditoria, como el
organigrama, puestos, funciones,
estructura de los equipos, etc del
rea especfica que auditaran.

10

Recursos

Determinan los recursos humanos,

fsicos y lgico a utilizar durante la
auditoria

10

Planeacin

Elaborar correctamente su planeacin

de la auditoria informtica

10

Tcnica y
herramient
as

Elaboran y Utilizan correctamente

alguna tcnica y herramienta para la
auditora Informtica

10

Presenta correctamente el informe final

de la Auditoria.

10

Informe
final

TOTAL

100

EVALUACIN: LA AUSENCIA PARCIAL O TOTAL DE ALGN INCISO TENDR UNA

PENALIZACIN ACORDE A LA PUNTUACIN SEALADA EN CADA INCISO

OBSERVACI
N:
EVALUADO
R
(NOMBRE Y
FIRMA)