Global Technology Audit

Guide
GUIA 02:
Cambiar y corregir
administración de controles
 Rol de CAE
• Riesgos de TI forman parte del riesgo empresa,
el CAE debe comprender los riesgos aun
cuando no conozca el detalle.

• Un pobre manejo del cambio:

– Cambios no autorizados.
– Tiempos de receso no planeados.
– Bajo resultado de los cambios.
– Grandes cambios de emergencia.
– Aplazar implementación de proyectos.

GTAG – Global Technology Audit Guide

 Modelo de madurez
Organization controls the
changes: 4 - Continuously
Improving
Changes control the
3 - Closed-Loop Process • <5% of time
organization: spent on
• 15-35% of time
spent on unplanned work
unplanned work • Change success
2 - Using Honor rate is very high
System • Some ticketing /
workflow system in • Service levels are
• 35-50% of time
Effectiveness

place world class

1 - Reactive spent on • IT operating costs
• Changes
• Over 50% of time unplanned work are under control
documented and
spent on • Some technology approved • Can scale IT
unplanned work deployed • Change success capacity rapidly
• Chaotic • You have the right rate is high with marginal
environment; lots of vision but no • Service levels are increases in IT
fire fighting accountability good & becoming costs
• MTTR is very long; • Server-to-admin world class • Change review
ratio is way too • Server-to-admin and learning
poor service levels processes are in
low ratio is good, but
• Can only scale by • IT costs are too place
not BoB
throwing people at high • Able to increase
the problem • IT costs are
• Process subverted improving capacity in a cost-
Closed-Loop Continuously
effective way
Reactive Using
by The Honor
talking to System
the • Security incidents Improving
Change Mgt
“right” people down

GTAG – the
Based on Global Technology
IT Process Audit
Institute’s “Visible Ops”Guide
Framework
 Posibles problemas
• Ejecución y resultados inadecuados de
software de aplicación.
• Downtime de servicios vitales, tales como
administradores de bases de datos, bases
de datos, intranet, servicios web u otros
relacionados.
• Servicios no disponibles, aun por
pequeños periodos de tiempo.

GTAG – Global Technology Audit Guide

 Rol del Auditor Interno
• Asegurar que la administración tiene
claros los riesgos involucrados o
asociados a los cambios en los controles,
los cuales (riesgos) pueden impedir el
logro de los objetivos empresariales.
Procesos robustos deben estar
disponibles para administrar el riesgo de
manera efectiva.

GTAG – Global Technology Audit Guide

 Ejemplos
• Control preventivo:
– Autorizaciones apropiadas.
– Segregación de funciones.
– Supervisiones.
• Control detectivo:
– Detectar cambios no autorizados.
• Control correctivo:
– Revisión de actividades generales (muestreo).
– Revisión de actividades especificas

GTAG – Global Technology Audit Guide

 Ejemplos
• Preguntas al administrador de TI, tablas
de paginas 20, 21, 22.

GTAG – Global Technology Audit Guide

 ¿Donde comenzar?
• El Auditor Interno debe generar controles
que permitan resguardar cuatro puntos
clave:
– Cumplimiento
– Estrategia.
– Reportes.
– Operación.
• Control:
– Preventivo, detectivo, correctivo.

GTAG – Global Technology Audit Guide

 Information System Auditing – Richard Cascarino
GTAG – Global Technology Audit Guide
 esquema
• Preventivos:
– Cambio de autorización:
• Cambios documentados.
• Detallar niveles de dueños de procesos.
– Separar roles:
• Diferenciar niveles de autoridad.
• Políticas claras de aprobación y cambios.
– Supervisión y control:
• Respaldo de control sobre procesos.
• Identificación individual de cambios.

GTAG – Global Technology Audit Guide

 • Detectivos:
– Supervisión y control:
• Registro automático de cambios en actividades o
infraestructura.
• Registro de cambios realizados y su aceptación.
– Conciliación entre presup. y real:
• Alcance correcto.
• Para trabajo correcto y necesario.

GTAG – Global Technology Audit Guide

 • Correctivos:
– Cada cambio es documentado en extenso.
– Identificación de los riesgos.
– Fallo, reparación y revisión de ciclos e
infraestructura.

GTAG – Global Technology Audit Guide

 ¿Preguntas?

GTAG – Global Technology Audit Guide

 SOX sección 404

GTAG – Global Technology Audit Guide