Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Identificar y Evaluar los Controles Identificar los controles de respuesta al riesgo adoptados por la administración, ya sea de aceptar, evitar, compartir y/o reducir los riesgos inherentes asociados a la materia auditada. Evaluar el diseño de las actividades de control y/o monitoreo que permiten gestionar los riesgos, obteniendo una conclusión preliminar del riesgo que permitirá: Identificar los controles para evitar, reducir, compartir o aceptar los riesgos Evaluar si los controles diseñados mitigan el nivel de riesgo Evaluar el diseño de las actividades de control y/o monitoreo asociados.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Diseñar el programa de Pruebas Preparar un programa de pruebas para las actividades de control y/o monitoreo. Este programa tiene por objetivo específico confirmar o servir de base al auditor para mantener o modificar sus conclusiones sobre el nivel de riesgo. El programa debe establecer los objetivos específicos de las pruebas a efectuar, la descripción de la naturaleza (tipo de pruebas) y alcance de los procedimientos de auditoría (cuántos ítems, transacciones o eventos se examinarán). Algunas pruebas por ejemplo, se desarrollan para confirmar el diseño de las actividades de control y/o monitoreo y otras para obtener evidencia sobre el funcionamiento de los controles, la razonabilidad de los saldos y/o las funcionalidades de los sistemas, así como para identificar errores y otros asuntos que pudieran ser indicios de problemas respecto de la materia auditada.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Diseñar el programa de Pruebas (Continuación…) A continuación se detallan algunos procedimientos de auditoría que podrían emplearse al diseñar el programa de pruebas de las actividades de control y/o monitoreo: Indagación (encuesta, entrevista, etc.) Observación (arqueos, inventarios, etc.) Examen de evidencia física de documentos o títulos representativos de valores Recálculo de fórmulas (tasas de interés, cobro de comisiones, cálculo de impuestos, etc). Comparación de datos o información de distintas fuentes Análisis de la información (consistencia, excepciones) Cuadraturas (total auxiliar v/s mayor)

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Diseñar el programa de Pruebas (Continuación…) PRODUCTOS Programa de auditoría que permite probar la efectividad de las actividades de control y/o monitoreo para mitigar los riesgos asociados a la materia a auditar. Riesgo no cubierto por algún control, no genera pruebas, sino que origina directamente un hallazgo.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Ejecutar las Pruebas de Auditoría Ejecutar los procedimientos de auditoría a las actividades de control y/o monitoreo. Estas pruebas tienen por objetivo probar la eficacia de las actividades de control establecidos para mitigar los riesgos. ACTIVIDADES Ejecutar las pruebas a las actividades de control y/o monitoreo. Documentar la ejecución de las pruebas Concluir sobre los resultados de las pruebas

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Documentar la ejecución de las pruebas La realización de las pruebas debe documentarse en formulario “Programa de Pruebas”, adjuntando la documentación en papel o archivo computacional que las contenga y un resumen con los resultados obtenidos, de modo de concluir sobre la efectividad de las actividades de control y/o monitoreo. Las excepciones encontradas, que a juicio del auditor a cargo, ameriten ser consideradas como hallazgos.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Concluir sobre los resultados de las pruebas Una vez efectuada las pruebas de auditoría, el auditor concluirá sobre el grado de efectividad y eficiencia de las actividades de control y/o monitoreo diseñados para mitigar el riesgo registrado en la Matriz. Redactar observaciones y determinar el nivel de riesgo asociada a ellas Las observaciones tienen por finalidad comunicar a la administración los hallazgos de auditoría, los cuales deben quedar debidamente documentados en el formulario “Observaciones de auditoría”.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Observaciones respecto a Riesgos: Riesgos sin controles, donde el responsable de gestionarlo nunca las estableció y solicitó su aprobación (Hallazgo) Riesgos por actividades de control y/o monitoreo mal diseñados (oportunidad y/o eficiencia) Riesgos cuyos controles no funcionan (incumplimiento parcial o total) Observaciones respecto a mejoras: Actividades ineficaces o ineficientes Errores de cálculo o de información Ausencia o debilidades de actividades de control menores Cuando se trate de incumplimientos puntuales de normas y/o controles, más que redactar una observación, se deberá instruir regularizar la situación detectada.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo A continuación se presentan algunos lineamientos para la redacción de las observaciones, las cuales para su desarrollo, pueden agrupar uno o varios hallazgos. Título de la observación: El título debe estar relacionado al tipo de observación detectada, por ejemplo, si se detectó un riesgo sin control, éste debe hacer esa referencia. El título debe ser claro, preciso y conciso y con enfoque en riesgo. Que permita entender el problema; en lo posible, no debe exceder de dos líneas, siendo deseable una sola línea.

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Nivel y tipo de riesgo asociado a la observación El nivel y tipo de riesgo de cada observación deberá ser consistente con el riesgo final determinado en la matriz de los problemas o debilidades identificados. Efectos o consecuencias, incluyendo una descripción de los efectos directos e indirectos de los riesgos en la materia auditada y, cuando proceda, mostrar los efectos relacionados con otros componentes de la gestión de riesgos corporativos (ya sea estratégicos, operacionales, de información y/o de cumplimiento).

Auditoria Informática Unidad III Etapa II Ejecución del Trabajo Recomendaciones: Las recomendaciones por lo general deben establecer los requerimientos mínimos para que el riesgo se administre de mejor forma, en función de la naturaleza de lo observado. La recomendación debe sustentarse en los hallazgos y conclusiones específicas obtenidas en la auditoría y no en juicios o apreciaciones globales y/o subjetivas.

Auditoria Informática Unidad III Etapa III Comunicación de Resultados OBJETIVOS Los objetivos a cubrir en esta etapa son: Confeccionar el informe de auditoría, a partir de los resultados y conclusiones de las evaluaciones, pruebas y análisis del borrador de las observaciones. Informar los resultados mediante el informe Efectuar el cierre del proceso de auditoría