AUDITORÍA Modelo de Control Interno

AUDITORÍA MODELO DE CONTROL INTERNO

AUDITORÍA Modelo de Control Interno Auditoría Interna y Control Interno Marco Jurídico – Ley Define: Componentes del Sector Público Nacional. Sistemas de Administración Financiera. Sistemas de Control.

AUDITORÍA Modelo de Control Interno Componentes del Sector Público Nacional: Administración Nacional (conformada por Administración Central y Organismos Descentralizados). Empresas y sociedades del Estado. Entes públicos excluidos expresamente de la Administración nacional, con autarquía financiera, personalidad jurídica y patrimonio propio. Aquí encuadra la AFIP. Fondos Fiduciarios con mayoría del Estado Nacional. Auditoría Interna y Control Interno Marco Jurídico – Ley

AUDITORÍA Modelo de Control Interno Auditoría Interna y Control Interno Marco Jurídico – Ley Módulos de Administración Financiera: Sistema Presupuestario. Sistema de Crédito Público. Sistema de Tesorería. Sistema de Contabilidad. Cada uno a cargo de un órgano rector.

AUDITORÍA Modelo de Control Interno Módulos de Control: Sistema de Control Externo. Sistema de Control Interno: al que pertenece la Unidad de Auditoría Interna de la AFIP. Cada uno a cargo de un órgano rector. Auditoría Interna y Control Interno Marco Jurídico – Ley

AUDITORÍA Modelo de Control Interno SISTEMA DE CONTROL INTERNO: Es regido por la Sindicatura General de la Nación (SIGEN). Está compuesto por la SIGEN y las Unidades de Auditoría Interna (UAI). La SIGEN es el órgano de control interno del Poder Ejecutivo Nacional. Competencia: el control interno de las jurisdicciones del PEN y los OD y empresas y sociedades del Estado, sus métodos, normas, procedimientos y estructura. Auditoría Interna y Control Interno Marco Jurídico – Ley

AUDITORÍA Modelo de Control Interno Auditoría Interna y Control Interno Marco Jurídico – Ley SISTEMA DE CONTROL INTERNO: Las UAI serán creadas en cada una de las jurisdicciones y entidades dependientes del PEN. Dependencia: las UAI tienen una doble dependencia. Dependen funcionalmente de la SIGEN y jerárquicamente de la máxima autoridad de la jurisdicción o entidad.

AUDITORÍA Modelo de Control Interno Responsabilidad: es responsabilidad de la máxima autoridad del organismo el mantenimiento de un adecuado sistema de control interno. Auditoría Interna y Control Interno Marco Jurídico – Ley SISTEMA DE CONTROL INTERNO:

AUDITORÍA Modelo de Control Interno Por Resolución 107/98 (SIGEN) se adoptó el Modelo COSO, con sus cinco componentes: Ambiente de Control. Evaluación de Riesgos. Actividades de Control. Información y comunicación. Supervisión. Normas de Control Interno

AUDITORÍA Modelo de Control Interno Resolución 48/05 (SIGEN) Normas de Control Interno de TI Normas de Control Interno

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 1. Organización Informática PO Planificación y Organización 1. La responsabilidad debe recaer en una única unidad o comité de sistemas (unidad de TI) PO4.1 Comité de dirección o planificación de TI – V4.0 PO 4.3 PO4.9 Supervisión– V4.0 PO La ubicación dentro de la estructura debe garantizar su independencia. PO4.2 Ubicación de la función de servicios de información en la organización 3. Descripción documentada y aprobada de puestos de trabajo: autoridad y responsabilidad. Notificación del personal PO4.4 Roles y responsabilidades– V4.0 PO 4.6 PO4.12 Descripciones de los cargos o puestos del personal de TI– V4.0 PO Separación de funciones PO4.10 Separación de funciones– V4.0 PO Procedimientos para identificar y documentar las necesidades de capacitación (utiliza los servicios de TI). PO7.4 Capacitación del personal – V4.0 PO 7.5 PO7.5 Capacitación cruzada o personal de reemplazo– V4.0 PO 7.6

AUDITORÍA Modelo de Control Interno Res. 48/05-SGN C O B I T 2. Plan Estratégico de TI PO Planificación y Organización 1. Plan informático estratégico. PO1.1 La tecnología de información como parte del plan de la organización a corto y largo plazo– V4.0 PO Plan informático PO1.2 Plan de TI a largo plazo– V4.0 PO El plan informático debe ser aprobadoPO1.3 Enfoque y estructura de la planificación de TI a largo plazo–V4.0 PO El plan informático debe mantenerse actualizado. PO1.4 Cambios del plan de TI a largo plazo– V4.0 PO 7.5 – V4.0 PO Presupuesto asociado a la ejecución del plan informático. PO1.3 Enfoque y estructura de la planificación de TI a largo plazo 6. Controlar el grado de avance del plan informático PO1.7 Monitoreo y evaluación de los planes de TI – V4.0 PO Adquisiciones de hardware, software o servicios informáticos alineados con el plan informático de la organización. Excepciones autorizadas y auditadas por la IAI. PO1.5 Planificación a corto plazo – V4.0 PO 1.5

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 3. arquitectura de la información PO2 Definición de la estructura de la información 1. Modelo de arquitectura de la información: datos organizados de forma homogénea y eficiente, garantizando oportunidad, integridad, exactitud y formato. PO2.1 Modelo de arquitectura de la información PO2.2 Diccionario de datos corporativo y reglas de sintaxis de los datos PO2.2 PO2.3 Esquema de clasificación de los datos PO2.3 PO2.4 Niveles de seguridad –V4.0 PO2.3

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 4. Políticas y Procedimientos PO6 Comunicación de los objetivos y directivas de la gerencia 1. Documentar y comunicar políticas y procedimientos de TI, manteniéndose actualizados. Especificando las tareas y controles a los distintos procesos, además de responsables y sanciones disciplinarias. PO6.2 Responsabilidad de la gerencia sobre las políticas V4.0 PO PO6.3 Comunicación de las políticas de la organización V4.0 PO PO6.4 Recursos para la implementación de políticas V4.0 Ídem PO6.5 Mantenimiento de políticas V4.0 PO6.3-4 PO6.6 Cumplim. de políticas, procedimientos y normas V4.0 PO PO6.7 Compromiso con la calidad V4.0 PO PO6.8 Política marco de seguridad y control interno V4.0 PO6.2 PO6.10 Políticas específicas V4.0 PO PO6.11 Comunicación de la concientización de seguridad de TI V4.0 PO

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 5. Cumplimiento de Regulaciones Externas PO8 Garantía del cumplimiento de los requisitos externos 1. Cumplimiento de las regulaciones relativas a privacidad de la información, propiedad intelectual del software, seguridad de la información. PO8.1 Revisión de los requerimientos externos V4.0 ME3.1 PO8.3 Cumplimiento de la normativa en materia de seguridad y ergonomía V4.0 ME Establecer convenios o contratos con aquellos terceros con los que existan intercambios de información o prestación de servicios (TI). PO8.4 Privacidad, propiedad intelectual y flujo de datos V4.0 ME3.1

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 6. Administración de Proyectos PO10 Administración de proyectos 6.1. Metodología de administración de proyectos que contemple mínimamente, lo siguiente: PO10.1 Marco de administración de proyectos V4.0 PO Documentación y aprobación de la justificación del proyecto, la definición del plan, y el presupuesto de los recursos a utilizar en el mismo. Plan de pruebas y de capacitación. PO10.11 Plan de pruebas V4.0 AI7.2 PO10.12 Plan de capacitación V4.0 AI7.1 PO10.14 Parte 2. Estudios de factibilidad pertinentes y análisis de los riesgos del proyecto. PO10.4 Definición del proyecto V4.0 PO10.5 PO10.5 Aprobación del proyecto 3. La participación de todas las áreas involucradas y de la unidad de auditoría interna Participación del departamento usuario en el inicio del Proyecto V4.0 PO Monitorear la ejecución del plan: cumplimiento de los objetivos, plazos y costos. PO10.13 Plan de revisión posterior a la implementación V4.0 PO10.5

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 7. Desarrollo, Mantenimiento /Adquisición de Software de Aplicación 7.1. Metodología para desarrollo, mantenimiento o adquisición de sistemas y aplicadas en forma complementaria a la de administración de proyectos. Debe contemplar procedimientos para : 1. La formulación y documentación de requerimientos de las áreas usuarias. AI2.4 Definición y documentación de los requerimientos de archivos, AI2.7 de entrada AI210 de procesamiento AI2.11de salida V4.0 AI Prioridades entre los distintos requerimientos 3. Solicitudes de emergencia AI6.4 Cambios de emergencia V4.0 AI Aprobación por las áreas usuarias, de las especificaciones de diseño elaboradas. AI5.13 Evaluación del cumplimiento de los requerimientos del usuario V4.0 AI La participación de la UAI durante el desarrollo. AI1.10 Diseño de pistas de auditoría V4.0 AI1.1-2

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 7. Desarrollo, Mantenimiento y Adqui- sición de Software de Aplicación - Cont. 6. La utilización de estándares de diseño, programación y documentación. AI2.1 Métodos de diseño AI2.4 Definición y documentación de los requerimientos de archivos, AI2.7 de entrada AI210 de procesamiento AI2.11de salida V4.0 AI La realización de pruebas suficientes en las distintas etapas del desarrollo, conforme al plan de pruebas y control de calidad, en un ambiente distinto al de producción. Criterios de aceptación y aprobación formal del usuario solicitante. AI5.6 Estrategias y planes de prueba AI5.7 Pruebas de cambios AI5.8 Criterios y ejecución de pruebas paralelas/piloto AI5.9 Prueba de aceptación final AI5.10 Pruebas y acreditación de seguridad AI5.11 Prueba de funcionamiento V4.0 AI El pasaje a producción Transición a producción V4.0 AI Control de las versiones del software AI6,7 Política de versiones de software V4.0 AI7.9

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 7. Desarrollo, Mantenimiento /Adquisición de Software de Aplicación- (Cont.) 10. Documentación de soporte para el usuario y el personal técnico. AI4.2 Manuales de procedimientos del usuario AI4.3 Manual de operaciones AI4.4 Materiales de capacitación V4.0 AI Capacitación para las áreas usuarias y de la unidad de TI. AI5.1Capacitación 7.2. La contratación de servicios externos de desarrollo de sistemas debe ser formal estipulándose que los mismos se sometan a prueba antes de la aceptación, propiedad intelectual del software y criterios de aceptación del producto. AI1.4 Requerimientos de los servicios de terceros V4.0 AI5.1-3

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 8. Adquisición y Mantenimiento de la Infraestructura Tecnológica AI3 Adquisición y mantenimiento de la infraestructura tecno- lógica 1. Estándares vigentes para la Administración Pública, cumpliendo con la normativa de contrataciones. 2. Analizados los productos antes de su aceptación. AI3.1 Evaluación del hardware y software nuevos V4.0 AI Planificar y realizar el mantenimiento preventivo periódico del hardware. AI3.2 Mantenimiento preventivo del hardware V4.0 DS Procedimientos documentados para gestión de licencias de software. 9. Seguridad 9.1. Se debe garantizar el cumplimiento de las normas establecidas en cuanto al deber de disponer de una política de seguridad de la información. PO6.8 Política marco de seguridad y control interno V4.0 AI7.10

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 10. Servicios de Procesamiento y/o Soporte Prestados por Terceros La decisión de contratar debidamente justificada, documentada y respaldada. ES2.5 Contratos de tercerización V4.0 AI Procedimientos, contrato formal, cumpliendo con normativa para Contrataciones. ES2.3 Contratos con terceros de tercerización V4.0 AI SLA, seguridad y cumplimiento de requisitos legales, propiedad de los datos. ES1.5 Revisión de los contratos y acuerdos de nivel de servicio de tercerización V4.0 DS Monitorear el servicio. ES2.8 Monitoreo de tercerización V4.0 DS Procesamiento de la información de la organización mediante sistemas que pertenecen al tercero. ES2.6 Continuidad de los servicios V4.0 DS2.3

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 11. Servicios de Internet/Extranet/Intranet 1. El contenido y la estructura del sitio web 2. SLA mínimo en comunicaciones. M3.3 Evaluación independiente de la eficacia de los servicios de TI V4.0 M Monitoreo de los Procesos M1 Monitoreo de los procesos 1. Se deben definir indicadores de desempeño para monitorear la gestión y las excepciones de las actividades de TI. M1.1 Recopilación de datos de monitoreo V4.0 M1.2 M1.2 Evaluación del desempeño V4.0 M1.4 M1.3 Evaluación de la satisfacción del cliente V4.0 M Informes periódicos de gestión a la dirección de la organización para que esta supervise el cumplimiento de los objetivos planteados. M1.4 Informes de gestión V4.0 M1.5 M2.3 Informe del nivel de control interno V4.0 M

AUDITORÍA Modelo de Control Interno Res. 48/05-SGNC O B I T 13. Auditoría Interna de Sistemas M4 Provisión de auditoría independiente Las unidades de auditoría interna definidas en la ley , deben contemplar la ejecución de auditorías de sistemas, debiendo reunir los responsables de llevarlas a cabo, los requisitos de competencia técnica, independencia y autoridad para efectuar revisiones objetivas de los controles informáticos y preparar informes sobre sus hallazgos y recomendaciones. M4.1 Estatuto de auditoría V4.0 M M4.2 Independencia V4.0 M M4.3 Ética y normas profesionales V4.0 M M4.4 Competencia V4.0 M M4.5 Planificación V4.0 M M4.6 Ejecución del trabajo de auditoría V4.0 M M4.7 Informes V4.0 M M4.7 Actividades de seguimiento V4.0 M

AUDITORÍA Modelo de Control Interno Por Resolución 152/02 (SIGEN) se instauró un cuerpo de Normas de Auditoría Interna Gubernamental. Adopta los conceptos de las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna. Normas de Auditoría Interna

AUDITORÍA Modelo de Control Interno Fuente normativa: Decreto 971/93. Resolución 17/96 SIGEN. NAIG. Perfil del Auditor Interno

AUDITORÍA Modelo de Control Interno Se define: Carácter y retribución: extraescalafonario y máximo nivel de retribución. Designación: por autoridad máxima, con opinión de SIGEN. Estabilidad: depende de máxima autoridad. Comunicación a SIGEN. Perfil técnico y personal Perfil del Auditor Interno

AUDITORÍA Modelo de Control Interno Perfil Específico Estudios Titulo de Cs. Económicas, Derecho, o afín al ente. Experiencia Cinco años de actuación profesional. Tres años en el ejercicio de la auditoría interna. Conducción de grupos de trabajo. Perfil del Auditor Interno

AUDITORÍA Modelo de Control Interno Incompatibilidades Relaciones con proveedores o concesionarios Parentesco con la autoridad superior Condena por delito doloso o en perjuicio del estado Fallido, proceso penal o sumario pendiente Inhabilitación para cargos públicos Antecedente de exoneración Infractor electoral Ser deudor moroso del fisco Retiro voluntario improcedente ACTIVIDADES DE LINEA Perfil del Auditor Interno

AUDITORÍA Modelo de Control Interno Objetivo Documentar la Memoria Organizativa y facilitar su transferencia al momento de producirse cambios de autoridades. Informes de Control Interno y Gestión Metodología Formalización de adhesión Establecimiento de contenidos mínimos.

AUDITORÍA Modelo de Control Interno Contenidos Mínimos Propósito Resultados y beneficios alcanzados Resultados a alcanzar Compromisos y acciones pendientes o en proceso, detallando las más urgentes. Informes de Control Interno y Gestión

AUDITORÍA Modelo de Control Interno Destinatarios Nuevo titular en caso de reemplazo. UAI Resultados a alcanzar SIGEN, para su consolidación. Informes de Control Interno y Gestión

AUDITORÍA Modelo de Control Interno Lineamientos para Planificación Anual Instructivo para el Cierre de Ejercicio Auditoría de la Cuenta de Inversión Tratamiento de expedientes de consolidación de pasivos Instructivo sobre seguridad de la información. Seguimiento perjuicios patrimoniales Precios testigo Otras pautas de trabajo

AUDITORÍA Modelo de Control Interno La Sindicatura General de la Nación ha establecido la realización de una prueba piloto de autoevaluación de procesos en la administración pública Fuente Normativa: Resolución 95/06 (SIGEN) Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno ANEXO I Metodología de Autoevaluación Formulario 1: Carátula por organismo/entidad Nombre del organismo/entidad: Misión y objetivos generales: Se elabora una carátula por organismo, detallando la misión y objetivos generales Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Se enumeran los procesos que lleva a cabo la organización para alcanzar la misión y los objetivos expuestos anteriormente Se indica la relevancia estratégica de cada proceso, considerando el nivel de impacto sobre el cliente/ciudadano e incidencia del proceso en el logro de los objetivos institucionales: alta, media o baja. Ver formulario siguiente Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno ProcesoTipo: Conducción/ Sustantivo/Apoyo Relevancia estratégica Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Para cada proceso, se detallan Objetivos y Área responsable Ver formulario siguiente Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Formulario 2: Información detallada por proceso Por cada proceso, completar lo siguiente: Nombre del proceso: Objetivos del proceso: Áreas responsables del proceso: Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Aspectos a considerar: Cumplimiento de objetivos Si / No / Parcialmente / No Aplicable Describir / Referencia Madurez asociada 1.Los objetivos definidos para el proceso ¿se sustentan en estudios de mediano y largo plazo? ¿Se revisan periódicamente? 4 2.Los objetivos del proceso ¿se encuentran definidos de modo de contribuir al logro de los objetivos de la institución? 2 3. ¿Existen mecanismos para medir el cumplimiento de los objetivos del proceso? ¿Se definieron objetivos cuantificables a alcanzar en un determinado plazo? 2 4. Cumplimiento de objetivos: 4.1. ¿Se encuentran definidos los objetivos para el año en curso? ¿Se cumplieron razonablemente los objetivos para el año en curso?. Si hubo desvíos, indicar las causas principales. 3 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno 4.3. ¿Se cumplieron razonablemente los objetivos de los últimos 5 años? Si hubo desvíos, indicar las causas principales. 3 5.¿Las autoridades superiores reciben información periódica sobre los avances en el logro de los objetivos y metas? Esa información es: Oportuna 3 Suficiente3 presenta el formato adecuado4 confiable3 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Aspectos a considerar: Controles Si / No / Parcialmente[1] / No Aplicable[1] Describir / Referencia Nivel asociado 6.Existe una adecuada: Definición del organigrama 2 Asignación de autoridad y responsabilidad 2 Políticas y prácticas en personal3 Separación de tareas y responsabilidades 2 Coordinación entre áreas3 Registro oportuno de transacciones2 Acceso restringido a los recursos, activos y registros 3 Documentación de respaldo de las operaciones 4 Procedimientos y prácticas para el desarrollo de las actividades que incorporen instrumentos de control 3 Control de la tecnología de información4 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno 7. Las actividades del proceso ¿aseguran el cumplimiento de la normativa vigente? 2 8. ¿Se regularizan en tiempos razonables las observaciones formuladas por auditores internos y externos? 4 9. Indicar si existe algún otro aspecto de relevancia, no considerado en las preguntas previas, que afecte el adecuado desarrollo del proceso 3 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Para cada proceso, se determina el Nivel de Madurez, según la siguiente escala: Nivel de Madurez 1 – Grado de riesgo ALTO Nivel de Madurez 2 – Grado de riesgo MEDIO Nivel de Madurez 3 – Grado de riesgo BAJO Nivel de Madurez 4 – Grado de riesgo MÍNIMO Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno NIVEL DE MADUREZ 1 – RIESGO ALTO No se alcanzan a cumplir los requisitos del nivel 2 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno NIVEL DE MADUREZ 2 – RIESGO MEDIO Cumple todo lo siguiente: Se encuentran definidos los objetivos del proceso. Los objetivos del proceso se encuentran definidos de modo de contribuir al logro de los objetivos de la institución (según 2). Existen mecanismos para medir el cumplimiento de los objetivos del proceso. Se definen objetivos cuantificables (según 3). El organigrama se encuentra razonablemente definido (según 6.a). Se ha realizado una razonable asignación de autoridad y responsabilidad (según 6.b) Existe una razonable separación de tareas y responsabilidades (según 6.d). Se registran oportunamente las transacciones (según 6.f). Se asegura el cumplimiento de la normativa vigente (según 7). No se alcanzan a cumplir los requisitos del nivel 3 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno NIVEL DE MADUREZ 3 – RIESGO BAJO Cumple los requisitos del Nivel 2 y todo lo siguiente: Se encuentran definidos los objetivos para el año en curso (según 4.1.). Se cumplieron razonablemente los objetivos para el año en curso (según 4.2). Se cumplieron razonablemente los objetivos de los últimos 5 años (según 4.3). Las autoridades reciben información periódica sobre los avances en el logro de los objetivos y metas. Esa información es oportuna, suficiente y confiable (según 5, 5.1.a, b y d). Existen adecuados procedimientos para llevar a cabo las actividades del proceso, que incorporen instrumentos de control (según 6.i) Existen razonables políticas y prácticas en personal (según 6.c). Existe una razonable coordinación entre áreas (según 6.e). Se restringe el acceso a los recursos, activos y registros (según 6.g). No existe algún otro aspecto de relevancia que afecte el adecuado desarrollo del proceso (según 9). No se alcanzan a cumplir los requisitos del nivel 4 Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno NIVEL DE MADUREZ 4 – RIESGO MINIMO Cumple los requisitos del Nivel 3 y todo lo siguiente: Los objetivos definidos para el proceso se sustentan en estudios de mediano y largo plazo (según 1). La información remitida periódicamente a las autoridades superiores se presenta en formato adecuado (según 5.1.c.). Existen controles razonables sobre la tecnología de información (según 6.j). Se resguarda documentación de respaldo de las operaciones (según 6.h). Se regularizan en tiempos razonables las observaciones formuladas por auditores internos y externos (según 8). Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Finalmente, se elabora un cuadro resumen por organismo, con el resultado de todos los procesos, según se detalla a continuación Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno Modelo de Autoevaluación

AUDITORÍA Modelo de Control Interno

AUDITORÍA