Planificación de Auditorías de Sistemas Carlos Mauricio Fiallos L. CISA ID:12105212 ISACA ID:390000 COBIT FC

Clasificación de las Auditorías Auditorías Financieras Auditorías Operativas Auditorías Integradas Auditorías Administrativas Auditorías de SI Auditorías Especializadas Auditoría de Proyectos Auditoría de Proceso Auditoría (Statement on Standards for Attestation Engagements No. 16-SSAE 16) antes (Statement on Auditing Standards No. 70-SAS 70) Auditorías Forenses

Ejemplo de Planificación de Auditorías de Sistemas

Unidades Auditables en Base a Matriz de Riesgos

Pérdida Financiera Inmensa Última Revisión Tipo Regulatorio Calificación Puntaje Nunca 5 Mayor de 3 años 4 Mayor de 2 años 3 Mayor de 1 año 2 Mayor a 6 Meses 1 Nivel de Consecuencia Puntaje Descripción Catastrófica 5 Pérdida Financiera Inmensa Mayor 4 Perdida de la capacidad de producción, Perdidas Financieras Mayores Moderada 3 Pérdidas Financieras Altas Menor 2 Pérdidas Financieras Moderadas Insignificante 1 Pérdidas Financieras bajas Impacto en el Servicio Tipo Regulatorio Tipo de Evaluación Puntaje Interrupción en el Servicio 5 Servicio Degradado Alto 4 Servicio Degradado Moderadamente 3 Servicio Degradado Mínimamente 2 No Altera el Nivel de Servicio 1 Calificación Puntaje Comunicados, en vigencia, no aplicados 5 Comunicados en vigencia en proceso 4 Comunicados y no en vigencia en proceso 3 No existen pero se han identificado 2 Esta comunicado, en vigencia y aplicado 1

Por debajo del nivel aceptado Última Calificación Calificación Puntaje Descripcion Insatisfactorio 5 • Deficiencias de control significativas, cuyo impacto sería que el equipo de procesamiento esté en grave riesgo • Las áreas de negocio que reciben el soporte han incurrido o pueden incurrir en pérdidas financieras Por debajo del nivel aceptado 4 • Se identificó un gran número de deficiencias, incluyendo problemas críticos • Se encontró que el control es deficiente con riesgo de pérdida de los equipos de procesamiento que soportan al negocio Satisfactorio 3 • Un nivel de control aceptable pero que puede mejorarse aún más • Se identificaron varias deficiencias, algunas de las cuales pueden ser críticas, en el equipo de procesamiento o en los sistemas pero que no ponen en grave riesgo a la operación/aplicación Bueno 2 • Se identificaron varias deficiencias pero ninguna que ponga en riesgo la disponibilidad de los equipos de procesamiento o los sistemas que soportan el negocio. • El control administrativo se considera eficiente en su totalidad Excelente 1 • No se identificaron deficiencias que ponga en riesgo la disponibilidad de los equipos de procesamiento o los sistemas que soportan el negocio.

Unidades Auditables en Base a Matriz de Riesgos

Unidades Auditables en Base a Matriz de Riesgos

Auditorías Año 1

Auditorías Año 2

Auditorías Año 3

TIEMPO EFECTIVO EN EL AÑO Dia Semana (Varios elementos) Feriado NO Cuenta de Fecha   Mes Total 1 23 2 20 3 21 4 17 5 6 7 8 9 10 11 12 Total general 249

Calendario Semana Santa AÑO DOMINGO LUNES MARTES MIERCOLES JUEVES VIERNES SABADO   DE RAMOS SANTO RES. 1997 23-mar 24-mar 25-mar 26-mar 27-mar 28-mar 29-mar 30-mar 1998 05-abr 06-abr 07-abr 08-abr 09-abr 10-abr 11-abr 12-abr 1999 31-mar 01-abr 02-abr 03-abr 04-abr 2000 16-abr 17-abr 18-abr 19-abr 20-abr 21-abr 22-abr 23-abr 2001 13-abr 14-abr 15-abr 2002 2003 2004 2005 20-mar 21-mar 22-mar 2006 2007 2008 16-mar 17-mar 18-mar 19-mar 2009 2010 2011 24-abr 2012 2013 2014 2015 2016 2017 2018 2019 2020

Días por Auditoría

Distribución de Auditorías Tiempo efectivo

Plan Tabulado

Que sigue?

Programas de Auditoría Los programas de auditorías financieras, operativas, integradas, administrativas y de sistemas de información se basan en el alcance y el objetivo de la asignación en particular. Se evalúan a menudo las funciones y los sistemas de TI desde perspectivas diferentes, tales como la seguridad (confidencialidad, integridad y disponibilidad), la calidad (efectividad, eficiencia), fiduciaria (cumplimiento, confiabilidad), el servicio y la capacidad, trazabilidad El programa de trabajo de auditoría es la estrategia de auditoría y el plan de auditoría identifica el alcance, los objetivos y los procedimientos de auditoría para lograr evidencia suficiente, competente y confiable para obtener y sustentar las conclusiones y opiniones de auditoría.

Procedimientos Generales Los procedimientos generales de auditoría son los pasos básicos en la ejecución de una auditoría y habitualmente incluyen lo siguiente: Obtención y documentación del conocimiento sobre el área/ objeto de la auditoría Evaluación de riesgos y planificación general de la auditoría y cronograma Una planificación de auditoría detallada que incluiría los pasos de auditoría necesarios y un desglose del trabajo planificado en un cronograma anticipado Revisión preliminar del área/objeto de la auditoría Evaluación del área/objeto de la auditoría Verificación y evaluación de la pertinencia de los controles diseñados para cumplir los objetivos de control Pruebas de cumplimiento (pruebas de la implementación de controles y su aplicación consistente) Pruebas sustantivas (que confirmen la exactitud de la información) Reporte (comunicación de los resultados) Seguimiento en casos en los que hay una función de auditoría interna

El auditor de SI debe entender los procedimientos para la prueba y evaluación de los controles de SI. Estos procedimientos podrían incluir: El uso de software generalizado de auditoría El uso de software especializado Técnicas de elaboración de diagramas El uso de registros (logs)/informes de auditoría disponibles Revisión de la documentación Observación y consultas Inspección y verificación. Revisión del rendimiento de controles

Metodología de Auditoría Una metodología de auditoría es un conjunto de procedimientos documentados de auditoría diseñados para alcanzar los objetivos de auditoría planificados . Debería ser establecida y aprobada por la gerencia de auditoría para lograr consistencia en el enfoque de auditoría. Sujeto de la auditoría Objetivo de auditoría Alcance de la auditoría Planificación de pre-auditoría Procedimientos de auditoría y pasos para recolección de datos Procedimientos para evaluar los resultados de la prueba o la revisión Procedimientos para las comunicaciones con la gerencia Preparación del reporte de auditoria

Otros Aspectos Auditoria basada en el riesgo Evaluación y tratamiento de riesgos Objetivos de la Auditoría Pruebas de cumplimiento vs. pruebas sustantivas Evidencia Entrevista y observación Muestreo Uso de los Servicios de Otros Auditores y Expertos Técnicas de auditoría asistidas por computadora Evaluación de las Fortalezas y Debilidades Comunicación de los Resultados de la Auditoría Implementación de las Recomendaciones por Parte de la Gerencia Documentación de la auditoría

Conclusiones

Planificación de Auditorías de Sistemas Carlos Mauricio Fiallos L. MUCHAS GRACIAS Planificación de Auditorías de Sistemas Carlos Mauricio Fiallos L. CISA ID:12105212 ISACA ID:390000 COBIT FC Ref. Manual de Preparación para Examen de Certificación CISA (Certified Information System Auditor) Material: ISACA