El Proceso de Auditoría1Copyright 2008 Tecnotrend SC El Proceso de Auditoría de Sistemas de Información
El Proceso de Auditoría2Copyright 2008 Tecnotrend SC
El Proceso de Auditoría3Copyright 2008 Tecnotrend SC 2 Temas a Cubrir Establecer y aprobar la carta de constitución de la Auditoría Planeación Previa Realizar una evaluación de riesgos de la Auditoría Determinar si la Auditoría es posible Realizar la Auditoría Jerarquía de Controles Internos Recopilación de evidencia para la Auditoría Realizar pruebas a la Auditoría Hallazgos (conclusiones) de la Auditoría
El Proceso de Auditoría4Copyright 2008 Tecnotrend SC 2.1 Establecer y Aprobar la carta de Constitución de la Auditoría El Rol del Comité de Auditoría Carta Compromiso
El Proceso de Auditoría5Copyright 2008 Tecnotrend SC El Rol del Comité de Auditoría
El Proceso de Auditoría6Copyright 2008 Tecnotrend SC Carta Compromiso Todos los puntos esbozados en la carta de constitución de la auditoría Independencia del Auditor (responsabilidad) Evidencia de un acuerdo sobre términos y conciciones (autoridad) Fechas acordades de finalización (rendición de cuentas)
El Proceso de Auditoría7Copyright 2008 Tecnotrend SC 2.2 Planeación Previa Identificar restricciones en el alcance Entender la variedad de auditorías Recopilar requerimientos detallados de la Auditoría Usar un enfoque sistemático en la Planeación Comparar Auditoría con Evaluación y Auto- evaluación de control Escoger la estrategia de Gestión de Riesgos
El Proceso de Auditoría8Copyright 2008 Tecnotrend SC
El Proceso de Auditoría9Copyright 2008 Tecnotrend SC Identificar restricciones en el alcance Ejemplos de Restricciones: La dirección pone restricciones excesivas en el uso de la evidencia o procedimientos de auditoría que pueden minar el objetivo de la auditoría Incapacidad de obtener evidencia suficiente por cualquier motivo Falta de recursos o tiempo suficientes Procedimientos de Auditoría ineficaces
El Proceso de Auditoría10Copyright 2008 Tecnotrend SC Entender la variedad de auditorías Producto o Servicio Procesos Sistemas Controles Generales Planes Organizacioneles
El Proceso de Auditoría11Copyright 2008 Tecnotrend SC Recopilar requerimientos detallados de la Auditoría Obligaciones del Cliente Obligaciones del Auditado
El Proceso de Auditoría12Copyright 2008 Tecnotrend SC Usar un enfoque sistemático en la Planeación
El Proceso de Auditoría13Copyright 2008 Tecnotrend SC Comparar Auditoría con Evaluación y Auto-evaluaciónde control Auditoría Tradicional: El auditor profesional la administra de inicio a fin y rinde una opinión final Evaluación: Menos formales. Ayudan al personal a mejorar Auto evaluación de control: Prueba su propioprograso
El Proceso de Auditoría14Copyright 2008 Tecnotrend SC Escoger la estrategia de Gestión de Riesgos Para identificar apropiadamente los riesgos el auditor necesita identificar: Activos a proteger Exposición de estos activos Amenazas a esos activos Fuentes internas y externas de amenazas Cuestiones de seguridad que necesitan resolverse Respuestas al Riesgo: Aceptar Mitigar Transferir Evitar
El Proceso de Auditoría15Copyright 2008 Tecnotrend SC
El Proceso de Auditoría16Copyright 2008 Tecnotrend SC 2.3 Realizar una evaluación de riesgos de la Auditoría Riesgos inherentes Riesgos de Detección Riesgos de Control Riesgos del Negocio Riesgos Tecnológicos Riesgos Operativos Riesgos Residuales Riesgos de Auditoría
El Proceso de Auditoría17Copyright 2008 Tecnotrend SC 2.4 Determinar si la Auditoría es posible
El Proceso de Auditoría18Copyright 2008 Tecnotrend SC 2.5 Realizar la Auditoría Asignación del Personal Creación de una Matriz de Habilidades Uso del trabajo de otras personas Asegurar el control de calidad de la Auditoría Definir las comunicaciones con el Auditado Uso de técnicas de recolección de datos
El Proceso de Auditoría19Copyright 2008 Tecnotrend SC Asignación del Personal Creación de un plan de recursos del personal Creación de un plan de capacitación del personal
El Proceso de Auditoría20Copyright 2008 Tecnotrend SC Creación de una Matriz de Habilidades
El Proceso de Auditoría21Copyright 2008 Tecnotrend SC Uso del trabajo de otras personas El Auditor puede usar el trabajo de otros si: Se valora la objetividad e independencia del proveedor Si se determina su competencia profesional, capacidades y experiencia Si se determina el nivel de revisión y supervisión requerido
El Proceso de Auditoría22Copyright 2008 Tecnotrend SC Asegurar el control de calidad de la Auditoría Calidad: Cumplimiento con las especificaciones Planeación y prevención crean Calidad El estándar de rendimiento es cero defectos
El Proceso de Auditoría23Copyright 2008 Tecnotrend SC Definir las comunicaciones con el Auditado Puntos a considerar para ser efectivo en su comunicación: Describir el propósito, servicio y alcance de la auditoría Enfrentar problemas, restricciones y retrasos Responder a las preguntas y quejas del cliente Enfrentar cuestiones fuera del alcance de esta auditoría Entender tiempos y horarios Seguir el proceso de reportes Legar a un acuerdo en sus hallazgos con su cliente Implementar confidencialidad y el principio del menos privilegiado Proporcionar manejo especial de evidencias de irregularidades o posibles actos ilegales
El Proceso de Auditoría24Copyright 2008 Tecnotrend SC Uso de técnicas de recolección de datos Observación del Personal Revisión de Documentos Entrevistas Talleres Encuestas
El Proceso de Auditoría25Copyright 2008 Tecnotrend SC 2.6 Jerarquía de Controles Internos Revisión de Controles Existentes El secreto de los controles fuertes
El Proceso de Auditoría26Copyright 2008 Tecnotrend SC Revisión de Controles Existentes Preventivos Para detectar (detective) Correctivos Administrativos Técnicos Físicos
El Proceso de Auditoría27Copyright 2008 Tecnotrend SC
El Proceso de Auditoría28Copyright 2008 Tecnotrend SC
El Proceso de Auditoría29Copyright 2008 Tecnotrend SC El secreto de los controles fuertes Control Fuerte = múltiples controles preventivos + múltiples controles de detección + múltiples controles correctivos Control Débil =Control mínimo + implementación o no implementación
El Proceso de Auditoría30Copyright 2008 Tecnotrend SC 2.7 Recopilación de evidencia para la Auditoría El uso de evidencia para probar un punto Tipos de Evidencia Evidencia típica de las Auditorias de SI Uso de herramientas de Auditoría asistidas por computadora Descubrimiento Electrónico Calificación de la Evidencia Tiempo de la Evidencia Ciclo de Vida de la Evicencia Preparación de la documentación Selección de muestreos de la auditoría
El Proceso de Auditoría31Copyright 2008 Tecnotrend SC El uso de evidencia para probar un punto La evidencia prueba o no un punto La falta de evidencia es la falta de prueba
El Proceso de Auditoría32Copyright 2008 Tecnotrend SC Tipos de Evidencia Evidencia Directa Evidencia Indirecta
El Proceso de Auditoría33Copyright 2008 Tecnotrend SC Evidencia típica de las Auditorias de SI Evidencia documental Extracción de datos Afirmaciones del Auditado Análisis de planes, políticas y procedimientos Resultados de auditorías de cumplimiento (compliance) Observaciones del auditado al hacer su trabajo o repetir un proceso
El Proceso de Auditoría34Copyright 2008 Tecnotrend SC Uso de herramientas de Auditoría asistidas por computadora Herramientas para detección de vulnerabilidades Análisis de protocolos y redes usando un sniffer Pruebas de configuración de SW de aplicación Pruebas de cumplimiento de contraseñas
El Proceso de Auditoría35Copyright 2008 Tecnotrend SC Uso de CAAT para auditorías continuas en línea
El Proceso de Auditoría36Copyright 2008 Tecnotrend SC Descubrimiento Electrónico E-discovery es la investigación de registros electrónicos para usar la evidencia en la corte El dueño de los datos no tiene permitido usar códigos secretos para mantener las bases de datos secretas de los investigadores.
El Proceso de Auditoría37Copyright 2008 Tecnotrend SC Calificación de la Evidencia
El Proceso de Auditoría38Copyright 2008 Tecnotrend SC Fechado de la Evidencia ¿La evidencia se recibió cuando se solicitó o varias horas o días después?
El Proceso de Auditoría39Copyright 2008 Tecnotrend SC Ciclo de Vida de la Evicencia
El Proceso de Auditoría40Copyright 2008 Tecnotrend SC Preparación de la documentación de la Auditoría Los registros de la Auditoría deben contestar las siguientes preguntas: ¿Quién está involucrado? ¿Qué se auditó, cómo se obtuvo la evidencia y qué procedimiento de prueba se usó? ¿Cuándo ocurrió? ¿Dónde ocurrió? ¿Por qué (propósito de la auditorá)? ¿Cómo se ejecutaron los planes y procedimientos de la Auditoría?
El Proceso de Auditoría41Copyright 2008 Tecnotrend SC Selección de muestreos de la auditoría
El Proceso de Auditoría42Copyright 2008 Tecnotrend SC 2.8 Realizar pruebas a la Auditoría Pruebas de Cumplimiento Pruebas Sustantivas Tasa de error tolerable Registro de los resultados de las pruebas Análisis de los resultados Detección de Irregularidades y Actos Ilegales
El Proceso de Auditoría43Copyright 2008 Tecnotrend SC Pruebas de Cumplimiento Prueba la presencia o ausencia de algo y se basa en uno de los siguientes tipos de muestreo: Atribute sampling Stop-and-go samplinf Discovery sampling Precision or extended error rate
El Proceso de Auditoría44Copyright 2008 Tecnotrend SC Pruebas Sustantivas Busca verificar el contenido y la integridad de la evidencia y se basa en uno de los siguietntes tipos de muestreos de auditoría: Variable sampling Unstratified mean estimation Stratified mean estimation Difference estimation
El Proceso de Auditoría45Copyright 2008 Tecnotrend SC Tasa de error tolerable En pruebas de cumplimiento es la desviación mayor de un procedimiento que el auditor aceptará En pruebas sustantivas el auditor usa su juicio en relación a la relevancia material y concluye si se logró el objetivo de la auditoría
El Proceso de Auditoría46Copyright 2008 Tecnotrend SC Registro de los resultados de las pruebas Logro Sobresaliente Conformidad Oportunidad de mejora No Conformidad
El Proceso de Auditoría47Copyright 2008 Tecnotrend SC Análisis de los resultados Preocupaciones del Auditor en relación a las pruebas: Evidencia suficiente Evidencia Contradctoria
El Proceso de Auditoría48Copyright 2008 Tecnotrend SC Detección de Irregularidades y Actos Ilegales Fraude Robo Ocultación Racketeering Violaciones de Regulaciones