Auditoria Continua: el Desafío de generar pistas digitales eficaces para controles Lic. Héctor Rubén Morales – hruben.morales@gmail.com Dr. Ricardo Justo Castello - castello@eco.unc.edu.ar Facultad Ciencias Económicas - U.N.C.
¿puede estar seguro que es así? Informe del Auditor El auditor afirma que la información es: Razonable Confiable Integra ¿puede estar seguro que es así? Surge INCERTIDUMBRE sobre la información que utiliza el auditor
El Problema del Auditor en entornos computarizados Controles embebidos para detectar inconsistencias. Tablas de auditoría (triggers) Extracción de pistas a otro ambiente (servidor) para análisis ???? PROCESAMIENTO SALIDA CAPA DE APLICACION INSERT UPDATE DELETE BASE DE DATOS CAPA DE DATOS
$1.000 $10.000 Pistas Eficaces-Evidencias Pistas eficaces = integras, confiables y suficientes Origen de la operación (desde la aplicación o de la BD) Fecha y Hora de la operación Tipo operación: Insert , Update (dato cambiado) o Delete Usuario que operó Terminal de la que operó Dato actual Dato/s anterior/es $10.000 $1.000 El 80% de las pruebas aportadas en juicio no son de validez legal
Propuesta
Contiene todas las operaciones para atender fallas Captura de Datos Contiene todas las operaciones para atender fallas
Programa colector Desarrollado con software libre Pistas: considera como esquema las tablas esenciales del negocio. Pistas eficaces: confiables, íntegras y suficientes.
Pruebas de funcionamiento SE BORRÓ FACTURA CAMBIO DE NOMBRE A DEUDOR MOROSO CAMBIO FECHA INGRESO EMPLEADO (DELETE DATOS) (UPDATE DE DATOS) BASE DATOS (PRUEBA) BORRAR DATOS DE AUDITORIA SE “PAGARON” FACTURAS (INSERT DATOS) (UPDATE) (UPDATE) (UPDATE) LOG SERVIDOR DE AUDITORIA B D AUDITORIA
Operaciones Detectables INSERTS de registros por fuera de la aplicación UPDATES (cambios) sobre datos UPDATES transitorios de información, de la forma (A B A) DELETES (eliminar) de datos permanentes DESCONEXION de triggers
Tablero para el auditor
Ante la INCERTIDUMBRE del auditor sobre la información Indicador Riesgo Ante la INCERTIDUMBRE del auditor sobre la información Indicador de Riesgo de la información (modelo de regresión): Variables a considerar: Cambios/eliminación de datos permanentes Cambios/eliminación en tablas de auditoria Desconexión de triggers Intervenciones sobre datos del DBA Ingresos datos dudosos
Ventajas- Conclusiones Entorno de Auditoria independiente del entorno de gestión y del Area de Sistemas Complementa a la Auditoría Tradicional Cumple con lo normado por Sarbanes- Oxley (monitoreo contínuo) Brinda la evidencia necesaria y suficiente
SI BUSCAS RESULTADOS DISTINTOS, NO HAGAS SIEMPRE LO MISMO. ALBERT EISTEIN
Gracias por su atención Facultad de Ciencias Económicas - U.N.C. Fin Gracias por su atención Facultad de Ciencias Económicas - U.N.C. www.eco.unc.edu.ar/auditserver