viernes, 4 de marzo de 2011

Plan de auditorìa

El plan de auditoria es el documento que se elabora al final de la fase de planeamiento, en cuyo texto se resumen las decisiones más importantes relativas a la estrategia adoptada para el desarrollo de la auditoria administrativa.

Estructura del plan de auditoria
    • Origen de la auditoria
    • resultado de la revisión estratégica
    • objetivos de la auditoria
    • alcance de la auditoria.
    • recurso de personal
    • áreas a ser examinadas
    • objetivos y alcance de la auditoria
    • criterios de auditoria a utilizar
    • fuentes de obtención de evidencia de auditoria
    • equipo de trabajo
    • Información administrativa
    • informes a emitir y fechas de entrega
    • estructura del informe a emitir
    • presupuesto de tiempo
    • cronograma de actividades

El plan se elabora teniendo en cuenta, entre otros criterios, los siguientes:

a) Si la Revisión debe realizarse por áreas generales o áreas específicas. En el primer caso, la elaboración es más compleja y costosa.

b) Si la auditoría es global, de toda la Informática, o parcial. El volumen determina no solamente el número de auditores necesarios, sino las especialidades necesarias del personal.

* En el plan no se consideran calendarios, porque se manejan recursos genéricos y no específicos.
* En el Plan se establecen los recursos y esfuerzos globales que van a ser necesarios.
* En el Plan se establecen las prioridades de materias auditables, de acuerdo siempre con las prioridades del cliente.
* El Plan establece disponibilidad futura de los recursos durante la revisión.
* El Plan estructura las tareas a realizar por cada integrante del grupo.
* En el Plan se expresan todas las ayudas que el auditor ha de recibir del auditado.

Una vez elaborado el Plan, se procede a la Programación de actividades. Esta ha de ser lo suficientemente como para permitir modificaciones a lo largo del proyecto.

Programa de auditorìa

El programa de auditoría es un enunciado, lógicamente ordenado y clasificado, de los procedimientos de auditoría que han de emplearse, la extensión que se les ha de dar y la oportunidad en que se han de aplicar.  Dado que los programas de auditoría  se preparan anticipadamente en la etapa de planeación, estos pueden ser modificados en la medida en que se ejecute el trabajo, teniendo en cuenta los hechos concretos que se vayan observando.


Metodologìa

En la metodología debemos seguir los siguientes pasos:

  1. Estudio preliminar
  2. Revisión y evaluación de control y     seguridad
  3. Examen detallado de aéreas criticas
  4. Comunicación de resultados


ESTUDIO PRELIMINAR


Definir grupo de trabajo, programa de auditoria, visitas para conocer detalles, elaborar cuestionario para obtención de información, solicitud de plan de actividades, entre otros.

REVISIÓN DE DIAGRAMAS Y FLUJOS DE PROCESOS
Revisión de las aplicaciones de las áreas críticas

  • Backups
  • Documentación
  • Archivos y otras actividades
EXÁMEN DETALLADO DE ÁREAS CRÍTICAS.

Con las fases anteriores el auditor descubre las áreas críticas y sobre ellas establecerá motivos, objetivos, alcance, recursos, metodología de trabajo, duración, plan de trabajo y análisis del problema.

COMUNICACIÓN DE RESULTADOS

Se elaborará del borrador del informe a ser discutido con los ejecutivos de la empresa hasta llegar  al definitivo.

Debe contener:

  • Motivos de la auditoria
  • Objetivos
  • Alcance
  • Estructuras Orgánicas –Funcional del área informática
  • Configuración del Hardware y software instalado
Existen diferentes metodos para auditar como:

COBIT

  • Es un modelo de evaluación y monitoreo que enfatiza en el control de negocios y la seguridad IT y que abarca controles específicos de IT desde una perspectiva de negocios 
  • Propone un marco de acción donde se evalúan los criterios de información.
  • Se auditan los recursos que comprenden la tecnología de información  
  •  Está basado en la filosofía de que los recursos TI necesitan ser administrados por un conjunto de procesos naturalmente agrupados para proveer la información pertinente y confiable que requiere una organización para lograr sus objetivos.


ITIL


Esta metodología es la aproximación más globalmente aceptada para la gestión de servicios de Tecnologías de Información en todo el mundo, ya que es una recopilación de las mejores prácticas tanto del sector público como del sector privado.    

Propone:

  •  El establecimiento de estándares que nos ayuden en el control, operación y administración de los recursos (ya sean propios o de los clientes).
  • Para cada actividad que se realice se debe de hacer la documentación pertinente, ya que esta puede ser de gran utilidad para otros miembros del área

ISO 279001

Es un Estándar Internacional de Sistemas de Gestión de Seguridad de la Información (SGSI o ISMS) que permite a una organización evaluar su riesgo e implementar controles apropiados para preservar la confidencialidad, la integridad y la disponibilidad del valor de la información    


IS 9001

Es una norma internacional que se aplica a los sistemas de gestión de calidad (SGC) y que se centra en todos los elementos de administración de calidad con los que una empresa debe contar para tener un sistema efectivo que le permita administrar y mejorar la calidad de sus productos o servicios    

METODOLOGIA ESCOGIDA COBIT.  



Objetivos y alcances

                                                                      OBJETIVOS

Propósito o fin que persigue la auditoría, o la pregunta que se desea contestar por medio de la auditoría.
Pueden ser:

GENERALES:
Son aquellos que suelen ser globales, son la razón de ser de la auditoría de sistemas.

ESPECÍFICOS:

Son aquéllos que pueden llevados a cabo con menor son fácilmente evaluables. Estos deben corresponder a los efectos que se esperan conseguir  en la auditoría.
ALCANCE

Es el  marco o límite de la auditoría y las materias, temas, segmentos o actividades que son objeto de la misma.

Define con presición el entorno y los límites en que va a desarrollarse la auditoría de sistemas, debe figurar al comienzo y al final del informe, de modo que quede determinado no sólo hasta que punto se ha llegado, si no cuales materias fronterizas han sido omitidas.

TALLER PRÁCTIVO AUDITORIA DE SISTEMAS   


OBJETIVO GENERAL


Evaluar el proceso de compras que se lleva desde el Sistema Uno 8,5 , en invenatarios para el manejo físico y sistematico de la mercancías en la base de datos.


OBJETIVOS ESPECIFICOS


  • Identificar la participación de la función informática en el desarrollo organizacional de la empresa, es decir en la planeación, organización y puesta en marcha de programas concebidos para mejorar la efectividad con que la organización funciona y responde al cambio.

  • Determinar si hay establecidos documentos y directrices que orienten el uso adecuado de las destrezas tecnológicas y recomendaciones para obtener el mayor provecho de estas ventajas.

  • Determinar la existencia y adecuada utilización de mecanismos de salvaguarda de la información, así como los planes para prever situaciones de catástrofe y reaccionar ante ellas tanto para la protección remota de información, como para la continuidad del negocio.