AUDITORIA V FUENTE: Muñoz Razo METODOLOGIA PARA REALIZAR AUDITORIAS DE SISTEMAS COMPUTACIONALES CAPITULO 5

AUDITORIA V ORIGEN DE LA AUDITORIAVISITA PRELIMINAR ASIGNAR LOS RECURSOS DE AUDITORIA Y SISTEMAS ESTABLECER OBJETIVOS DETERMINAR PUNTOS A EVALUAR APLICAR AUDITORIA ELABORAR PLANES, PRESUPUESTOS Y PROGRAMAS IDENTIFICAR Y SELECCIONAR HERRAMIENTAS, METODOS TECNICAS Y PROCEDIMIENTOS IDENTIFICAR DESVIACIONES Y ELABORAR BORRADOR DEL INFORME PRESENTAR DESVIACIONES A DISCUSION ELABORAR BORRADOR FINAL DE DESVIACIONES PRESENTAR EL INFORME DE AUDITORIA METODOLOGIA PARA REALIZAR AUDITORIAS DE SISTEMAS COMPUTACIONALES

AUDITORIA V Llevar a cabo una auditoría de sistemas computacionales requiere una serie ordenada de acciones y procedimientos específicos, los cuales deberán ser diseñados previamente de manera secuencial, cronológica y ordenada, de acuerdo a las etapas, eventos y actividades que se requieran para su ejecución, mismos que serán establecidos conforme a las necesidades especiales de la institución. Llevar a cabo una auditoría de sistemas computacionales requiere una serie ordenada de acciones y procedimientos específicos, los cuales deberán ser diseñados previamente de manera secuencial, cronológica y ordenada, de acuerdo a las etapas, eventos y actividades que se requieran para su ejecución, mismos que serán establecidos conforme a las necesidades especiales de la institución. METODOLOGIA PARA REALIZAR AUDITORIAS DE SISTEMAS COMPUTACIONALES

AUDITORIA V 1era. ETAPA PLANEACION DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES  Identificar el origen de la Auditoría.  Realizar una visita preliminar al área que será evaluada.  Establecer los objetivos de la Auditoría.  Determinar los puntos que serán evaluados en la Auditoría.  Elaborar planes, programas y presupuestos para realizar la Auditoría.  Identificar y seleccionar los métodos, procedimientos, instrumentos y herramientas necesarios para la Auditoría.  Asignar los recursos y sistemas computacionales para la Auditoría.

AUDITORIA V IDENTIFICAR EL ORIGEN DE LA AUDITORIA 1.Por solicitud expresa de procedencia interna.  A petición de accionistas, socios y dueños.  Por orden de la dirección general. 2.Por solicitud expresa de procedencia externa.  Por mandato de autoridades judiciales.  Por ordenamiento de las autoridades fiscales. 3.Como consecuencia de emergencias y condiciones especiales.  De incidencia interna.  De incidencia externa. 4.Por riesgos y contingencias informáticas.  Riesgos y contingencias del personal informático.  Riesgos y contingencia de software.  Riesgos y contingencias en las bases de datos. 5.Como resultado de los planes de contingencia.  Por la carencia de planes de contingencia.  Por la elaboración de planes de contingencia.

AUDITORIA V DETERMINAR LOS PUNTOS QUE SERAN EVALUADOS EN LA AUDITORIA 1.Evaluación de la seguridad de los sistemas de información. 2.Evaluación de la información, documentación y registros de los sistemas.

AUDITORIA V IDENTIFICAR Y SELECCIONAR LOS METODOS, HERRAMIENTAS, INSTRUMENTOS Y PROCEDIMIENTOS NECESARIOS PARA LA AUDITORIA 1.Definir las áreas y puntos de sistemas que serán auditados. 2.Elaborar los documentos necesarios para la Auditoría.  Diseñar los instrumentos de recopilación de información para la Auditoría.  Diseñar las guías para realizar entrevistas.  Diseñar los métodos e instrumentos de muestreo. 3.Diseñar los sistemas, programas y métodos de pruebas para la Auditoría.  Determinar los puntos de interés, programas, bases de datos, archivos y sistemas que serán evaluados mediante programas y pruebas de cómputo.

AUDITORIA V 1RA. ETAPA PLANEACIÓN DE LA AUDITORÍA DE SISTEMAS COMPUTACIONALES IDENTIFICAR EL ORIGEN DE LA AUDITORIA El primer paso formal para iniciar la planeación de una auditoría en el área de sistemas es identificar el origen de la misma, con el objetivo de saber por que surge la necesidad de realizar una auditoría.

AUDITORIA V 1. POSIBLES CAUSAS QUE DAN ORIGEN A UNA AUDITORIA EN SISTEMAS Por solicitud expresa de procedencia Interna Por solicitud expresa de procedencia Externa Como consecuencia de emergencias y condiciones especiales Por riesgos y contingencias informáticas Como resultado de los planes de contingencia Por resultados obtenidos de otras auditorias Como parte del programa integral de auditoria

AUDITORIA V 2. REALIZAR UNA VISITA PRELIMINAR Aspectos que se deben contemplar en una visita preliminar: Visita preliminar de arranque Contacto inicial con funcionarios y empleados del área. Identificar preliminar de la problemática de sistemas. Prever los objetivos iniciales de la auditoria. Calcular los recursos y personas necesarias para la auditoría.

AUDITORIA V PLANEACION DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES 2. REALIZAR UNA VISITA PRELIMINAR AL AREA QUE SERA EVALUADA 2. REALIZAR UNA VISITA PRELIMINAR AL AREA QUE SERA EVALUADA  IDENTIFICACIÓN PRELIMINAR DE LA PROBLEMÁTICA DE SISTEMAS Prever las posibles dificultades que hay en los sistemas de la empresa, la cual nos servirá para tener un panorama anticipado del área a auditar.  PREVER LOS OBJETIVOS DE LA AUDITORIA Con la visita preliminar nos ayudará a seleccionar los objetivos de la auditoría de sistemas.  CALCULAR LOS RECURSOS Y PERSONAS NECESARIAS PARA LA AUDITORIA. A través de la observación, entrevistas y pláticas informales, se pueden medir con mayor exactitud los recursos necesarios que se emplearán, tales como recurso humano, informático, material, técnico, económico, etc. 3.ESTABLECER LOS OBJETIVOS DE LA AUDITORIA El objetivo representa las condiciones futuras que pretenden alcanzar los individuos, grupos u organizaciones, lo cual es sumamente aplicable para el caso de la auditoría de sistemas,, ya que al establecer el objetivo de una auditoría se busca anticipar lo que se desea alcanzar.

AUDITORIA V PLANEACION DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES  3. DE ACUERDO A SU AMBIENTE DE APLICACIÓN, LOS OBJETIVOS DE LA AUDITORÍA DE SISTEMAS SE PUEDEN COMPLEMENTAR ASÍ:  OBJETIVO GENERAL: Es el fin global o integral que se pretende alcanzar con el desarrollo de la auditoría.  OBJETIVOS PARTICULARES: Son los fines individuales que se pretenden alcanzar con el desarrollo de la auditoría.  OBJETIVOS ESPECÍFICOS DE LA AUDITORÍA DE SISTEMAS COMPUTACIONALES: Es determinar en forma detallada, los fines que se pretenden alcanzar con la auditoría de sistemas, señalando concretamente las áreas a evaluar y, específicamente, los sitemas, componentes o elementos concretos que deben ser evaluados. Ejemplo: Evaluar la gestión administrativa del área de informática.

AUDITORIA V PLANEACION DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES  4. DETERMINAR LOS PUNTOS QUE SERAN EVALUADOS EN LA AUDITORIA Los puntos que será evaluados, se determinarán de acuerdo al origen de la auditoria y los objetivos que se pretenden alcanzar. a.Evaluación de las funciones y actividades del personal del área de sistemas b.Evaluación de las áreas y unidades administrativas del centro de cómputo. c.Evaluación de la seguridad de los sistemas de información. d.Evaluación de la información, documentación y registros de los sistemas. e.Evaluación de los sistemas, equipos, instalaciones y componentes.

AUDITORIA V PLANEACION DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES 4.2 ELEGIR LOS TIPOS DE AUDITORIA QUE SERAN UTILIZADOS Después de determinar los puntos a evaluar, es necesario que se determine los tipos de auditoria o sea las herramientas, instrumentos y los métodos de evaluación que se utilizará para dictaminar acerca del funcionamiento del área de sistemas 4.3 DETERMINAR LOS RECURSOS QUE SERAN UTILIZADOS EN LA AUDITORIA A. PERSONAL PARA LA AUDITORIA DE SISTEMAS. B. PERSONAL DEL ÁREA QUE SERÁ EVALUADA. C. APOYO DE LOS SITEMAS Y EQUIPOS TÉCNICOS E INFORMÁTICOS

AUDITORIA V PLAN DE AUDITORIA DE SISTEMAS  Ìndice de Contenido: Es conveniente que en estos documentos siempre se incluya una sección en donde se señalen todos los puntos en que se dividió el plan de autitoria.  Definici ó n de Objetivos: Es la definició formal, por escrito, de los objetivos que se pretenden alcanzar con la auditoria.  Delimitaci ó n y estrategia para el desarrollo de auditoria: Contiene las estrategias para las diferentes partes de auditoria de sistemas.  Planes de auditoria: En ellos se detalla cada una de las acciones para la evaluación, estos se presentan da acuerdo a las preferencias y necesidades especificas de auditoria de la empresa. 5. ELABORAR PLANES, PRESUPUESTOS Y PROGRAMAS

AUDITORIA V CONTENIDO DE LOS PLANES PARA REALIZAR LA AUDITORIA Este documento debe contener detalladamente las fases, etapas, actividades, recursos y tiempo para realizar la auditoria. Es evidente que el auditor determinara su contenido mínimo en base a sus conocimientos y experiencias, cuando menos debe de considerar los siguientes aspectos.  Definir los Objetivos finales de la Auditoria.  Establecer Estrategias para realizar la auditoria.  Diseñar las etapas, eventos y tareas en que se dividirá la auditoria.  Calcular la duración de las tareas y eventos para satisfacer los objetivos de la auditoria.  Distribuir los recursos que serán utilizados en las diferentes etapas, actividades y tareas de la auditoria.  Confeccionar los planes concretos para la auditoría.  Elaborar el documento formal de los programas de auditoria (a través de un cronograma de actividades).  Definir las etapas y eventos que se llevaran a cabo.  Definir las actividades y tareas.  Elaborar los programas de actividades para realizar la auditoria.

AUDITORIA V FECHAHOJA de 29 Auditoria de Sistemas Empresa:USAC Período:01 al 16 de marzo de 2005 Auditor:William Morales Àrea Auditada:Depto. de Informática.

AUDITORIA V  Elaborar los documentos necesarios para la auditoria  Determinar herramientas, métodos y procedimientos para la auditoria de sistemas  Diseñar los sistemas, programas y métodos de pruebas para la auditoria. 6. IDENTIFICAR Y SELECCIONAR LOS METODOS, HERRAMIENTAS, INSTRUMENTOS Y PROCEDIMIENTOS NECESARIOS PARA LA AUDITORIA.

AUDITORIA V 7. ASIGNAR LOS RECURSOS Y SISTEMAS COMPUTACIONALES PARA LA AUDITORIA  7.1 Asignar los recursos humanos para la realización de la auditoria  7.2 Asignar los recursos informáticos y tecnológicos para la realización de la auditoria  7.3 Asignar los recursos materiales y de consumo para la realización de la auditoria.  7.4 Asignar los demás recursos para la realización de la auditoria.

AUDITORIA V 2ª. ETAPA: EJECUCIÓN DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES Realizar las acciones programadas para la auditoria Aplicar los instrumentos y herramientas para la auditoria Asignar los recursos y actividades conforme a los planes y programas Identificar y elaborar los documentos de desviaciones Elaborar los Documentos y presentarlos a discusión Integrar el legajo de papeles de trabajo de la auditoria Integrar los documentos y pruebas en papeles de trabajo. Elaborar el borrador de desviaciones Recopilar la documentacion y Evidencia s de la auditoria

AUDITORIA V 2ª. ETAPA: EJECUCIÓN DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES Continuación………..  Realizar las acciones programadas para la auditoria  Aplicar los instrumentos y herramientas para la auditoria  Identificar y elaborar los documentos de desviaciones encontradas  Elaborar el dictamen preliminar y presentarlo a discusión  Integrar el legajo de papeles de trabajo:

AUDITORIA V 3ª. ETAPA: DICTAMEN DE LA AUDITORIA DE SISTEMAS COMPUTACIONALES  La información, y elaborar un informe de situaciones detectadas  Elaborar el Dictamen final  Presentar el Informe de Auditoria

AUDITORIA V CASO PRÁCTICO SOBRE LA METODOLOGÍA DE UNA AUDITORIA EN SISTEMAS

AUDITORIA V PRIMERA ETAPA El día 1 de febrero de 2004, la Junta Directiva de la Empresa S-3 “101”, S. A., solicita a la firma de Auditores Externos Robledo, Soto y Asociados para que realice una Auditoria en Informática.

AUDITORIA V VISITA PRELIMINAR El día 5 de febrero, el socio Juan Soto encargado de la auditoria, realiza una visita preliminar a la empresa XY con el propósito de tener contacto con los funcionarios, empleados y usuarios del área de sistemas.

AUDITORIA V OBJETIVO Evaluar la utilización y aprovechamiento del equipo, las instalaciones y mobiliarios del centro de cómputo, así como del uso de sus recursos técnicos y materiales para el procesamiento de la información.

AUDITORIA V PUNTOS A EVALUAR  La seguridad física del hardware y del personal del área de sistemas.  El aprovechamiento del hardware y software.  Las funciones y actividades del personal del área de sistemas.

AUDITORIA V PROGRAMA DE AUDITORIA Actividades a Realizar  Evaluación de los lenguajes, programas y demás software utilizados en la empresa.  Evaluar el control para evitar el robo de información.  Evaluar los Manuales de operación y procedimientos del sistema.

AUDITORIA V PROGRAMA DE AUDITORIA Continuación…  Evaluar el control de acceso al sistema así como la restricción del acceso a personas no autorizadas al centro de cómputo.  Evaluar el nivel de prevención de virus y protección de programas piratas.

AUDITORIA V PROGRAMA DE AUDITORIA Continuación…  Evaluar la organización del departamento de sistemas.  Evaluar la capacitación del personal de sistemas y de los usuarios.  Determinar la actualización periódica respecto a cambios en tecnología informática.

AUDITORIA V PROGRAMA DE AUDITORIA Continuación…  Evaluar la correcta operación de la información que se ingresa en los sistemas, así como los resultados que se desean obtener.  Revisión del inventario del software, licencias y componentes internos y externos.

AUDITORIA V PROGRAMA DE AUDITORIA Continuación…  La auditoria será realizada por 1 encargado y dos auxiliares.  El tiempo estimado para la realización del trabajo de campo son 3 semanas y 2 para la emisión del informe.  Los honorarios que se cobrarán ascenderán a Q.50,000 más IVA.

AUDITORIA V INSTRUMENTOS Y HERRAMIENTAS NECESARIOS  Cuestionarios  Entrevistas  Observación  Conteo físico (Inventario)  Inspección  Confirmación  Comparación

AUDITORIA V SEGUNDA ETAPA Ejecución de la auditoria  El trabajo de campo fue realizado del 8 al 28 de febrero.  El dictamen preliminar fue realizado del 2 al 5 de marzo y presentado para su discusión el 8 de ese mismo mes.

AUDITORIA V TERCERA ETAPA  Luego de la discusión del informe, se le hicieron las modificaciones necesarias.  El 17 de marzo, se presentó el informe definitivo a la junta directiva de la Empresa XY, S. A.

AUDITORIA V GRACIAS POR SU ATENCION  PREGUNTAS Y RESPUESTAS