UNIVERSIDAD NACIONAL

FEDERICO VILLARREAL
GNU-LINUX
AUDITORIA DE SISTEMAS

E.P. COMPUTACION Y SISTEMAS

X SEMESTRE

MS.c Julio Elmer Sotomayor Abarca

Agenda
 I. Campo de acción
 II. PLANEACION
 2.1 Fases
Planeación de la Auditoria en Informática.
A. Revisión Preliminar
B. Revisión detallada
C. Examen y evaluación de la información
D. Pruebas de consentimiento
E. Pruebas de controles del usuario
F. Pruebas sustantivas.
 2.2 Evaluación de los Sistemas de
acuerdo al riesgo
 I Campo de acción

A. Evaluación administrativa del Área de

informática
B. Evaluación de los sistemas y
procedimientos, y de la eficiencia que se
tiene en el uso de la información
C. Evaluación del proceso de datos, de los
sistemas y de los equipos de computo
(sw, hw, redes, bd, comunicaciones)
D. Seguridad y confidencialidad de la
información.
E. Aspectos legales de los sistemas y de la
información.
 Campo de acción

A Evaluación administrativa del Área de informática

 Los objetivos del departamento, dirección o

gerencia.
 Metas, planes, políticas y procedimientos de
procesos electrónicos estándares.
 Organización del Área y su estructura orgánica
 Funciones y niveles de autoridad y
responsabilidad del área de procesos electrónicos
 Integración de los recursos materiales y técnicos
 Dirección
 Costos y controles presupuestales
 Controles administrativos del área de procesos
electrónicos.
 Campo de acción
Evaluación de los sistemas y procedimientos,
B y de la eficiencia que se tiene en el uso de la información

 Evaluación del análisis de los sistemas y sus

diferentes etapas.
 Evaluación del diseño lógico del sistema
 Evaluación del desarrollo físico del sistema
 Facilidades para la elaboración de los sistemas
 Control de Proyectos
 Control de sistemas y programación
 Instructivos y documentación
 Formas de implantación
Continua …
 Campo de acción
Evaluación de los sistemas y procedimientos,
B y de la eficiencia que se tiene en el uso de la información

… sigue

 Seguridad física y lógica de los sistemas

 Confidencialidad de los sistemas
 Controles de mantenimiento y forma de
respaldo de los sistemas
 Utilización de los sistemas
 Prevención de factores que puedan causar
contingencias; seguros y recuperación en caso
de desastre
 Productividad
 Derechos de autor y secretos industriales
 Campo de acción
Evaluación del proceso de datos, de los sistemas
C y de los equipos de computo

 Controles de los datos fuente y manejo de

cifras de control
 Control de operación
 Control de salida
 Control de asignacion de trabajo
 Control de medios de almacenamiento
masivos
 Control de otros elementos de computo
 Control de medios de comunicación
 Orden en el centro de computo.
 Campo de acción

D Seguridad y confidencialidad de la información

 Seguridad física y lógica

 Confidencialidad
 Respaldos
 Seguridad del personal
 Seguros
 Seguridad en la utilización de los equipos
 Plan de contingencias y procedimientos de
respaldo para casos de desastres
 Restauración de equipo y de sistemas
 II PLANEACION

La Auditoria en Informática es el proceso

De recolección y evaluación de evidencias para
determinar:

A. ¿Cuándo son salvaguardados los activos

de los sistemas computarizados?
B. ¿De qué manera se mantiene la
integridad de los datos?
C. ¿Cómo se logran los objetivos de la
organización eficazmente? y
D. ¿Cómo se usan los recursos consumidos
eficientemente?
 Planeación

2.1 Fases de la Auditoría

Planeación de la Auditoria en Informática.

A. Revisión Preliminar
B. Revisión detallada
C. Examen y evaluación de la información
D. Pruebas de consentimiento
E. Pruebas de controles del usuario
F. Pruebas sustantivas.
 Planeación

Planeación de la Auditoria en Informática.

Para hacer una adecuada Planeación, hay que seguir una serie de pasos
previos, que permitirán dimensionar:
 El tamaño
 Características del Área dentro del organismo a Auditar
 Sus Sistemas
 Organización y
 Equipos

Con ello podremos determinar:

 El numero de personal
 Características del personal de Auditoria
 Las herramientas necesarias
 El tiempo y costo

Entonces nos permitirá definir los alcances de la Auditoria, en función de

los objetivos planteados.
 Planeación

A. Revisión Preliminar (primer paso)

El objetivo de la Revisión Preliminar es:

 Obtener la información necesaria para que el Auditor pueda tomar la
decisión de cómo proceder en el Proceso de Auditoria. organismo a
Auditar
 Sus Sistemas
 Organización y
 Equipos

La revisión preliminar significa la recolección de evidencias por medio

de entrevistas con el personal de la instalación, la observación de las
actividades en la instalación y la revisión de la documentación
preliminar

Debemos de considera que esta será solo una información inicial que nos
permitirá elaborar el plan de trabajo, la cual se profundizara en el
desarrollo de la Auditoria.
 Planeación

B. Revisión detallada

El objetivo de la Revisión Detallada es:

 Obtener la información necesaria para que el auditor tenga un profundo
entendimiento de los controles usados dentro del Área de informática.

Pruebas de consentimiento:
Obtener mayor confianza por medio del Sistema de control interno

Pruebas compensatorias:
Proceder directamente a la revisión con los usuarios
Pruebas sustantivas y procedimiento
Es importante para el Auditor:
 Identificar las causas de las perdidas existentes dentro de la instalación y
 Los controles para reducir las perdidas y los efectos causados
Si los controles no son satisfactorios debe señalar las recomendaciones
para mejorar los controles de los sistemas.
 Planeación

C. Examen y evaluación de la información

Los auditores internos deberán, obtener, analizar, interpretar y

documentar la información para apoyar los resultados de la
Auditoria.
El proceso de examen y evaluación de la información es el siguiente:
 Se debe obtener la información de todos los asuntos relacionados con
los objetivos y alcances de la Auditoria.
 La información deberá ser suficiente, competente, relevante y útil para
que proporcione bases sólidas en relación con los hallazgos y
recomendaciones de la Auditoria.
 Los procedimientos de Auditoria, incluyen el empleo de las técnicas de
pruebas (Selectivas y el muestreo estadístico). Elegidas con anterioridad.
 El proceso de recabar, analizar, interpretar y documentar la
información deberá supervisarse para proporcionar una seguridad
razonable de que la objetividad de l auditor se mantuvo y que las metas
de auditoria se cumplieron
 Los documentos de trabajo de la auditoria deberán ser preparados por
los auditores y revisados por la gerencia de auditoria.
 Planeación

D. Pruebas de consentimiento

El objetivo de las pruebas de consentimiento es:

 Determinar si los controles internos operan como fueron diseñados

para operar
 El auditor debe de determinar si los controles declarados en realidad
existen y si realmente trabajan confiablemente.

 Por ejemplo: Para evaluar la existencia y confiabilidad de los controles

de un sistema de Red, se requerirá el entrar en la Red y evaluar
directamente el sistema.
 Planeación

E. Pruebas de controles del usuario

 Se utiliza cuando no se confía en los controles internos dentro de las

instalaciones informáticas.

 Las pruebas se pueden realizar mediante cuestionario, entrevistas, vistas

y evaluaciones hechas directamente con los usuarios.
 Planeación

F. Pruebas sustantivas.

El objetivo de las pruebas sustantivas es:

Obtener evidencia suficiente que permita al auditor emitir un juicio en las

conclusiones acerca de cuando pueden ocurrir perdidas materiales
durante el procesamiento de la información.

Se pueden identificar diferentes pruebas sustantivas:

 Para identificar errores en el procesamiento o de falta de seguridad o
confidencialidad.
 Para asegurar la calidad de los datos
 Para identificar la inconsistencia de los datos
 Confirmación de datos con fuentes externas
 Para conformar la adecuada comunicación
 Para determinar la falta de seguridad
 Para determinar problemas de legalidad
 Planeación

2.2 Evaluación de los Sistemas de acuerdo al riesgo

Una de las formas de evaluar la importancia que puede

tener para la organización un determinado sistema, ES
CONSIDERAR EL RIESGO es decir, la información:

 No ha sido utilizado adecuadamente,

 Existe pérdida o
 Se ha usado por personal ajeno a la organización
Gracias por
su atención
MS.c. Julio E. Sotomayor Abarca