Metodologa para el Desarrollo e Implantacin de la Auditora en Informtica

Captulo 6

Metodologa de auditora de sistemas de informacin

Un camino estructurado de forma lgica para el xito de proyectos de auditora de informtica
Especifica el qu, cmo, cundo y quin Clarifica
Roles y responsabilidades Etapas Requerimientos para el xito del proyecto Tareas y productos terminados (por etapa y proyecto)

La auditora de SI al igual que otras funciones del negocio, efecta sus operaciones de acuerdo a una metodologa con el fin de que sea entendida por cada una de las personas involucradas. Tambin ha de contar con un desarrollo de actividades basado en un mtodo de trabajo formal, que sea entendido por los auditores en S.I y complementado con tcnicas y herramientas propias de la funcin.

Para obtener xito en la auditora se requiere tener un dominio y uso en los aspectos
Tcnicas Herramientas de productividad Habilidades y normas personales Conocimientos tcnicos y administrativos (informtica, auditora) Experiencia en los campos de auditora en SI y tendencias. Actualizacin o adaptacin permanente Conocimientos de los factores del negocio y medio externo al mismo Involucramiento y participacin con asociaciones nacionales e internacionales. Otras.

Qu elementos complementan la metodologa?

1.-Tcnicas
Documentacin

2.-Herramientas
Software de oficinas

Anlisis
Observacin Entrevistas Costo beneficio Control de proyectos

Aplicaciones
Hardware Comunicaciones Caats Control de proyectos

3.- Recomendaciones de asociaciones Profesionales

ISACA ALAPSI THEIIA IMCP/ICPNL

Consultas
http://www.imcp.org.mx/ IMCP
ICPNL. Instituto de Contadores Publicos de NL.www.icpnl.org.mx/ The Institute of Internal Auditors is the premier worldwide professional organization supporting and advocating the professional practice of internal www.theiia.org/

Consultas
The Institute of Internal Auditors (Theiia), fundado en 1941, constituye la principal asociacin, que acoge en el mbito mundial, a todos los profesionales en las diferentes ramas de la www.theiia.org/chapters/index.cfm?cid=123 http://www.imai.org.mx/eventos/cia.html

Consultas
Auditor Interno Certificado Certified Internal Auditor (CIA), es la nica designacin de certificacin globalmente aceptada para los auditores internos y mantiene el estndar a travs del cual los individuos demuestran sus competencias y profesionalismo en el campo de auditora interna. http://www.isaca.org/ CAAT refers to computer-assisted audit technique. This implies that an auditor's use of a computer-assisted audit technique is something specialnormally the techniques used by an auditor are not computer assisted. Today, in most large and medium-sized enterprises, there are few business processes that are not driven by computers. The business does not refer to them as computer-assisted business processing. The use of computers and information technology for doing business is taken for granted, so why should auditors talk about something special called CAAT?

VENTAJAS DEL USO DE UN PROCESO METODOLGICO EN LA FUNCIN DE AUDITORA EN INFORMTICA

Se elimina el proceso informal de trabajo. Los recursos orientan sus esfuerzos a la obtencin de productos y servicios de calidad, con caractersticas y requisitos comunes para todos los responsables. Las tareas y productos terminados de los proyectos se encuentren definidos y formalizados en un documento al alcance de los auditores en SI.

La razn para auditar informtica?

Todos los objetivos de ASI .

Asegurar ( totalidad, exactitud, mantenimiento, actualizacin y autorizacin).

Diagnosticar el estado de informtica. Asegurar continuidad en operaciones.

Apoyo en la calidad de informtica.

Establecimiento de polticas, controles y procedimientos de informtica. Orientar el cumplimiento de estndares definidos a nivel nacional e internacional.

Asesorar a los administradores de informtica para una

mejora continua.

CONDICIONES PARA EL XITO DEL PROCESO METODOLOGICO:

Aprobacin de la metodologa por la alta direccin. Adecuacin de la metodologa a los requerimientos especficos del negocio(cuidado con reduccin de tareas y eliminar productos importantes con el fin de ahorrar tiempo o por criterios personales; es til apoyarse en un asesor experto) Documentacin o actualizacin de la metodologa. Otros observados por la misma empresa en sus proyectos.

 Verificacin del uso formal de la metodologa en cada proyecto. Capacitacin formal del uso de la metodologa (de acuerdo con el perfil y nivel de participacin de cada individuo involucrado). Elaboracin de los planes de auditora SI segn la metodologa. Capacitacin formal para el personal de nuevo ingreso o cuando se lleva a cabo actualizaciones relevantes a la metodologa.

METODOLOGA DE AUDITORA DE INFORMTICA (MAI).

DIAGNSTICO NEGOCIO INFORMTICA JUSTIFICACIN REAS DE AUDITAR PLAN PROPUESTO REVISIN INFORMAL

ADECUACIN MTODO TCNICAS

FORMALIZACIN

APROBACIN
ARRANQUE

REVISIN FORMAL

HERRAMIENTAS

Desarrollo Entrevistas Observaciones Recomendaciones Aprobacin formal INFORME FINAL Implementacin Acciones Seguimientos

PROCESO METODOLGICO......

TABLA DE PROCESO METODOLGICO

TABLA 6.1

DiagnosticoDIAGNSTICO Del Negocio

INFORMACIN REQUERIDA Negocio Estrategias Funciones de negocio Admn. de informtica Proyectos Imgenes de informtica Otros

PRODUCTOS TERMINADOS Fuerzas y debilidades Admn. Y organizacin Grado de satisfaccin Presupuestos Expectativas y requerimientos Tendencias Proyectos actuales y futuros de informtica
CONSIDERACIONES No sobre analizar Evaluar servicios externos Proceso rpido de objetivos Entrevistas con los niveles

DIAGDiagnstico de Informtica NSTICO

INFORMACIN REQUERIDA Informtica Proceso de gestin Productos Servicios Control interno Imagen de informtica Outsourcing Auditorias previas INVENTARIOS HW SW Aplicaciones Usuarios / reas

PRODUCTOS TERMINADOS Procesos Admn. y organizacin Presupuestos Plan de informtica Respeto al control interno Proyectos actuales y futuros de informtica otros CONSIDERACIONES No sobre analizar Evaluar servicios externos Proceso rpido de objetivos Entrevistas con los niveles claves

JUSTIFICACINDDDDddddN
INFORMACIN REQUERIDA Diagnstico Negocio Informtica Productos Terminados Plan de auditoria etapas Tareas Productos terminados Responsables involucrados REAS DE OPORTUNIDAD MATRIZ DE RIESGOS reas a auditar Componentes CONSIDERACIONES validar responsable del proyecto Estimar proceso de adecuacin a la empresa

Datos Complementarios Auditorias previas Medio ambiente tecnolgico Planes de auditoria Entrevistas adicionales usuarios claves del negocio Vista a centros de computo

ADECUACINN
INFORMACIN REQUERIDA PRODUCTOS TERMINADOS Objetivos y requerimientos de xito para la auditoria Plan del proyecto de actualizado y detallado JUSTIFICACIN reas de oportunidad Matriz de riesgos Plan general del proyecto Compromiso inicial
Etapas / tareas Responsabilidades involucrados Productos terminados Revisiones Fechas de auditorias

Diagnstico
Negocio Informtica

Componentes de cada rea seleccionada

Definir y actualizar estndares, polticas y procedimientos por reas

Cuestionarios por rea

FORMALIZACIN
Informacin requerida Diagnstico
Negocio Informtica

Productos terminados Plan aprobado

Adecuaciones Vo.Bo. por escrito Compromiso de los ejecutivos Difusin formal : Informtica Usuarios Externos Auditora

Justificacin
Matriz de auditora Plan de auditora e informtica propuesto

Adecuacin Prioridades del negocio

Consideraciones
Aprobacin formal de direccin Proceso rpido Compromiso de los involucrados

DESARROLLO
Informacin requerida Justificacin
Matriz de auditora Plan de auditora

Productos terminados reas auditadas por:

Cuestionarios Entrevistas Visitas-otros

Requerimientos por rea que se auditar

Tcnicas de auditora Herramientas Cuestionarios/entrevistas Control objetives-

Informe final

Otras fuentes

Informacin tcnica Normas y procedimientos recomendados por IMCP

Consideraciones

Observaciones Recomendaciones reas de oportunidad Acciones inmediatas Plan de implantacin

Aprobacin formal de direccin Proceso ms rpido y documentado Compromiso de los involucrados

IMPLANTACIN/SEGUIMIENTO
Informacin requerida
Desarrollo Informe final Plan de implantacin Sugerencias de auditora tradicional

Productos terminados
Implantacin de:
Acciones inmediatas Acciones a corto, mediano, y largo plazo

Seguimiento:

Aseguramiento de calidad Informe de avance sugerencias

Alta involucracin de informtica y de los usuarios en la implantacin Auditora debe dar seguimiento oportuno y orientarse hacia la calidad

Consideraciones