1

MODELOS DE
CONTROL EN LA
AUDITORIA.
 2

OBJETIVOS

Objetivo General:

 Conocer los modelos de control que sirven para auditar sistemas, sus

características, funcionamiento y beneficios.

Objetivos Específicos:

 Comprender cuales son los modelos de control de la auditoria de sistemas

informáticos.

 Detallar el proceso que cumple cada modelo de control de auditoria de sistemas

informáticos.

 Conocer los beneficios que ofrecen los modelos de control de auditoria.

 3

INTRODUCCIÓN.

Los Sistemas Informáticos se han constituido en las herramientas más poderosas para

materializar uno de los conceptos más vitales y necesarios para cualquier organización

empresarial, los Sistemas de Información de la empresa, así la Informática hoy, está subsumida

en la gestión integral de la empresa, y por eso las normas y estándares propiamente informáticos

deben estar, por lo tanto, sometidos a los generales de la misma. En consecuencia, las

organizaciones informáticas forman parte de lo que se ha denominado la gestión de la empresa.

Cabe aclarar que la Informática no gestiona propiamente la empresa, ayuda a la toma de

decisiones, pero no decide por sí misma. Por ende, debido a su importancia en el funcionamiento

de una empresa, existe la auditoria Informática.

La auditoría es un examen, que no implica la preexistencia de fallas en la entidad

auditada y que persigue el fin de evaluar y mejorar la eficacia y eficiencia de una sección o de un

organismo. El auditor informático ha de velar por la correcta utilización de los amplios recursos

que la empresa pone en juego para disponer de un eficiente y eficaz sistema de información.

Claro está, que para la realización de una auditoria informática eficaz, se debe entender a la

empresa en su más amplio sentido, no importa al sector al cual pertenezca el ente que va a ser

auditado sea público o privado, ambos utilizan la informática para gestionar sus negocios de

forma rápida y eficiente, con el fin de obtener beneficios económicos y reducción de costes.
 4

MARCO TEÓRICO

MODELOS DE CONTROL DE AUDITORIA.

Modelo de control.

Dentro de la auditoria un modelo de control es necesaria para desarrollar cualquier

proyecto que nos propongamos de manera ordenada y eficaz. La auditoría informática solo

identifica el nivel de “exposición” por la falta de controles mientras el análisis de riesgos facilita

la evaluación de los riesgos y recomienda acciones en base al costo-beneficio de la misma. Todas

las metodologías existentes en seguridad de sistemas van encaminadas a establecer y mejorar un

entramado de contramedidas que garanticen que la productividad de que las amenazas se

materialicen en hechos sea lo más baja posible o al menos quede reducida de una forma

razonable en costo-beneficio.

Todas las metodologías existentes desarrolladas y utilizadas en la auditoría y el control

informático, se puede agrupar en dos grandes familias:

 Cuantitativas:

Basadas en un modelo matemático numérico que ayuda a la realización del

trabajo, están diseñadas para producir una lista de riesgos que pueden compararse

entre sí con facilidad por tener asignados unos valores numéricos. Estos valores

son datos de probabilidad de ocurrencia de un evento que se debe extraer de un

riesgo de incidencias donde el número de incidencias tiende al infinito.

 5

 Cualitativas:

Basadas en el criterio y raciocinio humano capaz de definir un proceso de trabajo,

para seleccionar en base a la experiencia acumulada. Puede excluir riesgos

significantes desconocidos (depende de la capacidad del profesional para usar el

check-list/guía). Basadas en métodos estadísticos y lógica borrosa, que requiere

menos recursos humanos / tiempo que las metodologías cuantitativas.

Modelo COBIT.

Objetivos de Control para la Información y Tecnologías Relacionadas, es un marco de

referencia publicado en el año 1996 por ISACA; aunque en sus inicios contaba con herramientas

para la Auditoría Informática y la actualidad se encuentra en la versión Nro. 5, abarcando

inclusive lo referente al Gobierno Corporativo de TI. Se basa en 5 principios y está compuesta

por 4 Dominios Principales: alinear, planificar y organizar plan y 32 procesos de estos Dominios.

Los 5 principios básicos de COBIT son:

 Satisfacción de las necesidades de los accionistas

 Considerar la empresa de punta a punta

 Aplicar un único modelo de referencia integrado

 Se considera el uso de Business Model for Information Security (BMIS) e IT

Assurance Framework (ITAF).

 Posibilitar un enfoque holístico

 6

Modelo ISO 27001.

Creadas por el British Standards Institution (BsI), en el año 1995, con el nombre BS

7799, cuyo objetivo era el de brindar un conjunto de buenas prácticas para la gestión de

seguridad de la información. Más tarde, en 1999 aparece la segunda parte de la norma BS 7799-

2, misma que contiene los requerimientos que debe completar un Sistema de Gestión de

Seguridad de la Información; fueron estas dos normativas, las adoptadas por la ISO para llegar a

ser la ISO 17799 en el año 2000. Finalmente, en el 2002 las normativas adoptaron la filosofía de

Sistemas de Gestión (ISO -International Organization for Standardization, 2011).

Modelo COSO.

COSO es un Marco de Referencia desarrollado por el Comité de Organizaciones que

patrocinan la comisión de Treadway, se trata de una organización privada de los Estados Unidos

que ha desarrollado este marco de referencia como un modelo a seguir de Control Interno para

que las organizaciones evalúen sus sistemas de control.

De esta forma, el Marco de Referencia COSO se publicó por primera vez en 1992 con 5

componentes de control interno, luego en el 2004 se publica COSO-ERM con 8 componentes de

control interno, hasta que en el año 2013 se actualiza el marco de referencia enfocándose más en

el reporte no financiero y riesgos de fraude. La normativa consta de 3 objetivos, 5 componentes,

17 principios y 85 puntos de foco.

 7

MODELO ISACA.

La naturaleza especializada de la auditoría y el aseguramiento de los sistemas de

información (SI), así como las habilidades necesarias para llevarlos a cabo, requieren de

estándares que sean específicamente aplicables a la auditoría y el aseguramiento de SI. El

desarrollo y la difusión de los estándares de auditoría y aseguramiento de SI son una piedra

angular de la contribución profesional de ISACA a la comunidad de auditoría.

Los estándares de auditoría y aseguramiento de SI definen los requerimientos obligatorios

para la auditoría, el reporte e informe de SI:

 Profesionales de auditoría y aseguramiento de SI con el nivel mínimo de desempeño

aceptable exigido para cumplir con las responsabilidades profesionales indicadas en el

Código de Ética Profesional de ISACA.

 La dirección y otras partes interesadas en las expectativas de la profesión con respecto al

trabajo de sus profesionales.

 Poseedores de la designación de Auditor Certificado de Sistemas de Información

(Certified Information Systems Auditor, CISA) de los requerimientos que deben cumplir.

El incumplimiento de estos estándares puede resultar en una investigación sobre la

conducta del poseedor del certificado CISA por parte del Consejo de dirección de ISACA

o del comité apropiado y, en última instancia, en sanciones disciplinarias.

 8

CONCLUSIONES

Una vez realizada esta investigación he llegado a las siguientes conclusiones:

 La auditoría informática es muy importante en las empresas de desarrollo de software, ya

que es la indicada para evaluar de manera profunda, una determinada organización a

través de su sistema de información automatizado y buscar cualquier tipo de falla o

anomalía que puedan afectar a la empresa.

 El proceso de auditoría es una parte fundamental de los marcos de referencia más

utilizados por las organizaciones a nivel mundial; ya que se trata de una herramienta para

verificar el correcto funcionamiento de un proceso dentro de la entidad para asegurar la

mejora continua.
 9

BIBLIOGRAFÍA

ISACA. (S/F). COBIT 5 Un Marco de Negocio para el Gobierno y la Gestión de las TI de

la Empresa . Disponible en: http://cotana.informatica.edu.bo/downloads/COBIT5-Framework-

Spanish.pdf. Revisado el 17 de agosto de 2021.

Instituto Nacional de Ciberseguridad. (S/F). Auditoria de sistemas. Disponible en:

https://www.incibe.es/sites/default/files/contenidos/politicas/documentos/auditoria-sistemas.pdf.

Revisado el 17 de agosto de 2021.