AUDITORÍA

EN CONTEXTOS
COMPUTARIZADOS.

MARCO REGLAMENTARIO

1
 Esquema de normativas
Internacionales
Iso Iso
27002/ 27001
Normas Normas Normas Normas
Gestión
COSO COBIT ITIL SOX
Segurid De la
ad Seguridad

CONTROL
SEGURIDAD
INTERNO

2
 RESOLUCIÓN TÉCNICA Nº 7
(FUENTE PRIMIGENIA)

•INFORME COSO – INTERNACIONAL - ENTIDADES

FINANCIERAS.

•INFORME COBIT – INTERNACIONAL – SIGEN; AGN

(COMBINA CON CMM); PROVINCIA DE MENDOZA y
OTRAS.

•INFORME Nº 6 - AREA AUDITORÍA – CECyT

•INFORME Nº15- AREA AUDITORIA - CECyT

3
Base Metodológica
R.T.7
NORMAS
INCLUIDAS:
• PERSONALES

• PROCEDIMIENTO DE TRABAJO
• CONSIDERACIONES SOBRE EL INFORME

4
 PASOS del
PROCEDIMIENTO DE TRABAJO

1 - CONOCIMIENTO del ENTE

2 - IDENTIFICACIÓN del OBJETO del EXAMEN y

de las AFIRMACIONES A SER EXAMINADAS.

3 - PLANIFICACIÓN del TRABAJO de AUDITORÍA

4 - OBTENCIÓN de ELEMENTOS de JUICIO VÁLIDOS y

SUFICIENTES.
5 - EMISIÓN del INFORME.

5
OBTENER ELEMENTOS de JUICIO VÁLIDOS y SUFICIENTES
• EVALUACIÓN de las ACTIVIDADES de CONTROL
de los SISTEMAS
• COTEJAR ESTADOS CONTABLES
CON LOS REGISTROS CONTABLES
•REVISAR LA CORRELACIÓN ENTRE REGISTROS y la
DOCUMENTACIÓN COMPROBATORIA
• COMPROBACIONES MATEMÁTICAS

INSPECCIONES OCULARES, CONFIRMACIONES DIRECTAS de TERCEROS,

REVISIONES CONCEPTUALES, COMPROBACIÓN de INFORMACIÓN
RELACIONADA, COMPROBACIONES GLOBALES de RAZONABILIDAD,
EXAMEN de DOCUMENTOS IMPORTANTES, PREGUNTAS a
FUNCIONARIOS y EMPLEADOS
y CARTA de EMPRESA.
6
 NORMAS QUE AFECTAN LA ACTIVIDADES DE LA
AUDITORÍA EXTERNA

1973 - (U.S.A.) DESFALCO DE LA EQUITY FUNDING.

(Vaciamiento de Compañía de Seguros).

S.A.S. N° 3 - Primer estándar de auditoría para la

verificación de Sistemas EDP complejos (en línea y
tiempo real).
1988 - S.A.S. 55 - “Si el auditor decide que no debe
analizar el sistema de Control Interno como parte de sus
trabajos de revisión, deberá ubicarse en el NIVEL
MÁXIMO DE RIESGO DE CONTROL, para la obtención de
evidencias comprobatorias válidas y suficientes con las
que respaldar su informe.

7
1997 - S.A.S. 78 - A partir de los Balances correspondientes a ejercicios
iniciados desde Enero de 1997, serán de aplicación las NORMAS C.O.S.O.
(Comitte of Sponsoring on Treadways Comission). (AICPA, IIA, Instituto
de Ejecutivos de Finanzas, Asociación de Gerentes Contables).

NOTA: Desde abril de 1997 - B.C.R.A. De Argentina pone en vigencia

nuevas Normas, tomadas de las citadas: Circ. “A” 2525, 2527, 2529,
3198 . A 4609 12/06, nuevo “texto ordenado” de las anteriores.
Tanto las Normas COSO, como las emitidas por el Banco Central,

contienen detallados aspectos relacionados con la Tecnología

Informática.
8
Monitoreo:

Es la evaluación de la calidad del

control interno, a lo largo del
tiempo. Monitoreo en marcha,
evaluaciones separadas o una
combinación de ambas modali-
dades.

9
 NORMAS ESPECÍFICAS DE TECNOLOGÍA INFORMÁTICA.

Normas COBIT: (Control OBjectives for Information and

relatives Technologies) - I.S.A.C.A. ( Information System
Audit Control Association)

PRIMERA VERSIÓN: 1996, SEGUNDA VERSIÓN: 1998.

TERCERA VERSIÓN: 2000 Y SIGUIENTES: v.4.1. e 2012 v.5.0..

Establece una guía metodológica estándar para la evaluación

y comprobación de actividades de Control Interno, en el
campo específico.

MARCO CONCEPTUAL:

 LA INFORMACIÓN, CUMPLE CON LOS PROCESOS DE

NEGOCIOS, SIGUIENDO CRITERIOS DE:

 CALIDAD: EFICACIA Y EFICIENCIA,

 SEGURIDAD CONFIDENCIALIDAD, INTEGRIDAD Y
: DISPONIBILIDAD, y
 CONFIANZA: CUMPLIMIENTO DE DISPOSICIONES
Y CONFIABILIDAD.
10
 UTILIZANDO LOS RECURSOS DE LA TECNOLOGÍA
INFORMÁTICA:

 DATOS,
 APLICACIONES,
 TECNOLOGÍA,
 INSTALACIONES y
 PERSONAL.

 LAS ACTIVIDADES DE LOS PROCESOS INFORMÁTICOS,

SE ANALIZAN POR DOMINIOS:

 PLANIFICACIÓN Y ORGANIZACIÓN,
 ADQUISICIÓN E IMPLEMENTACIÓN,
 ENTREGA Y SOPORTE Y
 MONITOREO.

11
 COBIT - ANÁLISIS POR DOMINIOS:

PLANIFICACIÓN Y ORGANIZACIÓN:
 Definir un Plan Estratégico,
 Determinar la arquitectura de la Información,
 Definir la dirección tecnológica,
 Definir la organización y las relaciones,
 Administrar la Inversión,
 Comunicar los objetivos y la dirección de la Gerencia,
 Administrar los recursos humanos,
 Asegurar el cumplimiento de los requisitos externos,
 Evaluar el riesgo,
 Administrar proyectos y
 Administrar la calidad.
ADQUISICIÓN E IMPLEMENTACIÓN:
 Identificar soluciones,
 Adquirir y mantener software de aplicaciones,
 Adquirir y mantener la infraestructura tecnológica,
 Desarrollar y mantener procedimientos,
 Instalar y acreditar sistemas,
 Administrar cambios.
.
12
ENTREGA Y SOPORTE:
 Definir niveles de servicio,
 Administrar servicios de terceros,
 Administrar la performance y la capacidad,
 Asegurar un servicio contínuo,
 Asegurar la seguridad de los sistemas,
 Identificar y atribuir costos,
 Educar y capacitar a los usuarios,
 Administrar la configuración,
 Administrar problemas e incidentes,
 Administrar datos,
 Administrar instalaciones y
 Administrar operaciones.
MONITOREO:
 Monitorear el proceso,
 Evaluar el Control Interno,
 Obtener un aseguramiento independiente y
 Proveer una auditoría independiente

13
 ISO 27002/05
CAPITULOS QUE INCLUYE
(DIRECTRICES)

POLITICAS DE SEGURIDAD DE LA INFORMACION

ORGANIZACIÓN DE LA SEGURIDAD DE LA
INFORMACION.
GESTION DE ACTIVOS DE LA ORGANIZACIÓN
SEGURIDAD DE RECURSOS HUMANOS
SEGURIDAD FISICA Y DEL ENTORNO
GESTION DE COMUNICACIONES Y DE LAS OPERACIONES
CONTROL DE ACCESOS (SEG. LOGICA)
ADQUISICION, DESARROLLO Y MANTENIMIENTO DE
SISTEMAS DE INFORMACION
GESTION DE INCIDENTES DE SEGURIDAD
GESTION DE LA CONTINUIDAD DE NEGOCIOS
CUMPLIMIENTO DE NORMAS Y REGLAMENTOS

14
EJEMPLOS DEL MARCO
NORMATIVO
ARGENTINO

15
 INFORME No 6 – AREA DE AUDITORÍA -CECyT

PAUTAS PARA EL EXAMEN DE ESTADOS CONTABLES EN UN

CONTEXTO COMPUTARIZADO.

1. INTRODUCCIÓN

2. EVALUACIÓN DE LAS ACTIVIDADES DE CONTROL

 DESCRIPCIÓN DE LOS CONTROLES

 METODOLOGÍA

 RELEVAMIENTO GENERAL
 RELEVAMIENTO DETALLADO
 EVALUACIÓN DE LAS ACTIVIDADES RELEVADAS
 PRUEBA Y EVALUACIÓN DEL FUNCIONAMIENTO. TÉCNICAS.

16
 INFORME No 15 – AREA DE AUDITORÍA –CECyT
APROBADO Y PUBLICADO (2007)

AUDITORIA EN AMBIENTES COMPUTARIZADOS

1. INTRODUCCIÓN

2. EL AMBIENTE DE RIESGOS Y CONTROLES

 EVALUACION DE LOS PROCEDIMIENTOS GRALES. DE CONTROL

 EVALUACION DE LOS PROCEDIMIENTOS DE CONTROL

INCORPORADOS A LAS APLICACIONES
 CRITERIOS DE TOTALIDAD Y EXACTITUD

 CRITERIOS SOBRE VALIDEZ, PERTINENCIA Y AUTORIZACION.

 CRITERIOS SOBRE ACTULIZACION, ACUMULACION Y ALMAC. DE INF.

 CRITERIOS PARA EL CONTROL DE LA INFO. RELACIONADA CON

OTRAS APLICACIONES.

17
3. ACTIVIDADES DE AUDITORIA DE SISTEMAS.

• PRUEBA DE CUMPLIMIENTO DE LOS CONTROLES

• DEFINICION DE OBJETIVOS Y ALCANCES.
• TECNICAS DE VERIFICACION Y HERRAMIENTAS
APLICABLES
• PRUEBAS DE CUMPLIMIENTO
..
•PRUEBAS SUSTANTIVAS S/ LA INFORMACION
• DEFINICION DE OBJETIVOS Y ALCANCES.
• TECNICAS DE VERIFICAION Y HERRAMIENTAS APLICABLES.
• CONSIDERACIONES Y UTILIZACION DE LAS TAACS
• CONTROL DE APLICACIÓN DE LAS TAACS.
• METODOLOGIA DE TRABAJO.

18
 NORMAS DEL B.C.R.A.
CONSIDERACIONES DE TECNOLOGÍA INFORMÁTICA

ORGANIZACIÓN Y CONTROL INTERNO DEL ÁREA.

• ADECUACIÓN DE LA ORGANIZACIÓN.
• ADECUACIÓN DE LAS NORMATIVAS.
• CONTROL DE LAS OPERACIONES COMPUTADORI-
ZADAS.
• DEPENDENCIA DE PROVEEDORES EXTERNOS.
• CONTROL DE INTEGRIDAD Y VALIDEZ DE LA IN-
FORMACIÓN PROCESADA.

19
 NORMAS DEL B.C.R.A.
CONSIDERACIONES DE TECNOLOGÍA INFORMÁTICA
Comunicación A - 4609

• SEGURIDAD LÓGICA IMPLANTADA.

• CONTINUIDAD DEL PROCESAMIENTO DE DATOS.

• ADECUACIÓN DEL TELEPROCESAMIENTO.

• SISTEMAS APLICATIVOS.

20