Introducción

Hoy en día, las tecnologías de la información están presentes en todas las áreas de las organizaciones. Esta implantación generalizada de SI se ha realizado en muchos casos sin la necesaria planificación, en parte porque los conceptos necesarios no estaban suficientemente desarrollados. La tendencia hacia los sistemas abiertos, la interconexión global y el deseo por parte de los consumidores de independizarse de los fabricantes traen consigo la necesidad de un estudio más profundo de los SI antes de tomar decisiones. Por lo tanto, se hace necesario mejorar la planificación de futuras implementaciones, la compatibilidad entre sistemas y la organización del personal y de la empresa.

En los últimos tiempos el ejercicio en las actividades de auditoria y control en tecnologías informáticas, ha auspiciado un desenvolvimiento mas que acelerado de todas las demás actividades inmersas en la economía de un país. Esto, da pie a pensar que las tareas realizadas por ellas han de ser igualmente auditadas.

En las organizaciones modernas, tanto públicas como privadas, la misión de las tecnologías de la información es facilitar la consecución de sus objetivos estratégicos. Para ello, se invierte una considerable cantidad de recursos en personal, equipos y tecnología, además de los costos derivados de la posible organización estructural que muchas veces conlleva la introducción de estas tecnologías. Esta importante inversión debe ser constantemente justificada en términos de eficacia y eficiencia. Por tanto, el propósito a alcanzar por una organización que contrata la auditoria de cualquier parte de sus SI es asegurar que sus objetivos estratégicos son los mismos que los de la propia organización y que los sistemas prestan el apoyo adecuado a la consecución de estos objetivos, tanto en el presente como en su evolución futura.

Definición de Auditoria

La auditoría puede definirse como el examen comprensivo y constructivo de la estructura organizativa de una empresa de una institución o departamento gubernamental; o de cualquier otra entidad y de sus métodos de control, medios de operación y empleo que dé a sus recursos humanos y materiales.

¿Qué es Auditoría en Informática?

Auditoría en Informática es la revisión y evaluación de los controles, sistemas, procedimientos de informática, de los equipos de cómputo, su utilización, eficiencia y seguridad, de la organización que participan en el procesamiento de la información, a fin de que por medio del señalamiento de cursos alternativos se logre una utilización más eficiente y segura de la información que servirá para la adecuada toma de decisiones.

Bases sobre las que se sustenta la Auditoría en SI

En la actualidad los temas relativos a la auditoría informática cobran cada vez más relevancia, debido a que la información se ha convertido en el activo más importante de las empresas, representando su principal ventaja estratégica, por lo que estas invierten enormes cantidades de dinero y tiempo en la creación de sistemas de información, con el fin de obtener la mayor productividad y calidad posibles.

Hoy, a las puertas del siglo XXI, estamos inmersos en un profundo cambio, las empresas y organizaciones dependen de las pautas económicos, industriales, y sociales en las que se encuentran inmersas, por lo tanto, si las tendencias tecnológicas y los entornos económicos e industriales cambian, deben adaptarse rápidamente a las nuevas circunstancias para sobrevivir.

Este cambio es muy rápido, está afectando al mundo entero, y su comprensión es fundamental para las organizaciones de todo tipo, particularmente en el contexto de los sistemas y tecnologías de información. Aunque los avances tecnológicos de los últimos veinte años han sido constantes y espectaculares, en los últimos cinco se ha producido una verdadera revolución tecnológica de gran envergadura e impacto para la propia industria informática, así como de consecuencias importantes para el resto de sectores.

Cada vez, con mayor frecuencia, un mayor número de organizaciones considera que la información y la tecnología asociada a ella representan sus activos más importantes. Entonces, de igual modo que se exige para los otros activos de la empresa, los requerimientos de calidad, controles, seguridad e información, son indispensables. La gerencia, por ende, debe establecer un sistema de control interno adecuado y tal sistema debe soportar debidamente los procesos del negocio.

Haciendo eco de estas tendencias, la Organización ISACA (Information Systems Audit and Control Association), a través de su Fundación, publicó en diciembre de 1995 el COBIT, como resultado de cuatro años de intensa investigación y del trabajo de un gran equipo de expertos internacionales. Siendo está metodología el marco de una definición de estándares y conducta profesional para la gestión y el control de los SI, en todos sus aspectos, unificando diferentes estándares, métodos de evaluación y controles anteriores. Adicionalmente, esta metodología aporta la orientación hacia el negocio y está diseñada no solo para ser utilizada por usuarios y auditores, sino también como una extensa guía para gestionar los procesos de negocios.

Hacia la apertura interdisciplinaria de la Auditoria

Toda entidad tiene que hacer frente a riesgos de la más variada índole, que le pueden afectar de la más diversas formas posibles dentro de la actividad de la empresa. Las empresas deben determinar cuáles son los niveles de riesgo aceptables y tratar de evitar que sobrepasen esos límites.

Pero, antes de determinar los riesgos, hay que determinar los objetivos. Cada entidad debe determinar sus objetivos, sus puntos fuertes y débiles y las oportunidades y amenazas del entorno. De esta manera obtendrá un plan estratégico que identificará los factores de éxito o condiciones para alcanzar sus objetivos. Los objetivos pueden clasificarse entre objetivos operacionales, objetivos relacionados con la información financiera y objetivos de cumplimiento.

Una vez identificados los objetivos, podemos pasar a la identificación y el análisis de riesgos. La dirección debe identificar los riesgos existentes en todos los niveles de la empresa, hay muchos procedimientos para proceder a su identificación pero no es relevante cuál de ellos se use. Una vez identificados, la dirección debe realizar un análisis de los factores que generan los riesgos, de manera que debe estimar la importancia de los mismos, evaluar la probabilidad de que se den y analizar cómo han de gestionarse (estableciendo medidas que tiendan a limitarlos o reducirlos).

Hay que tener en cuenta que los cambios producidos en la economía, el sector de actividad, la reglamentación y las actividades de las empresas hacen que un sistema de control interno que se considera eficaz en un contexto determinado quizás no lo será en otro. El análisis de riesgos es, por tanto, una actividad que debe renovarse de forma continuada. La dirección debe estar permanentemente alerta para detectar las circunstancias que van modificando el entorno y por consiguiente los riesgos a enfrentar.

Las actividades de control, junto con ciertas actividades de gestión, nos ayudarán a evitar que los riesgos a los que está sujeta la entidad se lleguen a materializar y produzcan efectos negativos en ésta. Las actividades de control se traducen en políticas (lo que debe de hacerse) y procedimientos (mecanismos concretos de control).

Conceptualmente, la auditoría, sea está de cualquier tipo, consistente en la emisión de una opinión profesional sobre si el objeto sometido a análisis, presenta adecuadamente la realidad que pretende reflejar y cumple las condiciones que le han sido prescritas. Con base en lo anterior, podemos descomponer este concepto en los siguientes elementos fundamentales:

contenido: una opinión

condición: una observación profesional

justificación: sustentada en determinados procedimientos

objeto: una determinada información obtenida de un soporte

finalidad: determinar si presenta adecuadamente la realidad o ésta responde a las expectativas que le son atribuidas, es decir, su fiabilidad

En todo caso es una función que se realiza luego, en relación con actividades ya realizadas, sobre las que hay que emitir una opinión.

El objeto sometido a estudio, sea cual sea su soporte, por un lado, y la finalidad con que se realiza el estudio, por otro, definen el tipo de auditoría que se esta manejando. De esta manera podríamos clasificar los tipos de auditoria según la siguiente tabla:

Clase	Objeto a evaluar	Finalidad
Financiera	Cuentas anuales	Presentan realidad
Informática	Sistemas de aplicación, recursos informáticos, planes de contingencia, etc.	Operatividad eficiente y según normas establecidas.
Gestión	Dirección	Eficacia, eficiencia, económica
Cumplimiento	Normas establecidas	Las operaciones se adecuan a estas normas

Modelo de metodología COBIT, para la implementación de la auditoría en cualquier negocio.

La misión y objetivo principal de COBIT es investigar, desarrollar, publicar y promocionar objetivos de control de TI internacionales, actualizados a la realidad actual para ser usados por los gerentes de negocios y auditores.

COBIT ha sido desarrollado como estándares generalmente aplicables y aceptados para mejorar las prácticas de control y seguridad de las TI, que provean un marco de referencia para la administración, los usuarios y los auditores de cualquier tipo. Básicamente consta de 4 pasos, los cuales conforman el planeamiento y realización de una auditoria, ellos son:

Resumen Ejecutivo

El Resumen Ejecutivo se basa en una visión ejecutiva, la cual provee a la administración un entendimiento de los principios y conceptos claves de COBIT, así como el marco que provee a la administración con más detalle y entendimiento de COBIT y define cuatro dominios con sus correspondientes procesos de TI, 34 en total.

Antecedentes y Marco de Referencia

El Marco describe en detalle los 34 Objetivos de Control de TI a un nivel macro, e identifica los requerimientos del negocio para la información e impactos preliminares de recursos de TI para cada objetivo de control.

Los objetivos de control contienen declaraciones de los resultados deseados o propósitos a ser alcanzados para la implementación de 302 objetivos de control específicos, a través de los 34 Procesos de TI.

Guías de Auditoría

Las Guías de Auditoría, las cuales contienen pasos de auditoría sugeridos, correspondientes a cada uno de los 34 Objetivos de Control macro para asistir a los auditores de sistemas de información en revisar los procesos de TI, junto a los 302 detalles de objetivos de control para proveer seguridad a la administración y recomendar sus mejoras.

Herramientas de Implementación

Las Herramientas de implementación, las cuales contienen el conocimiento de la administración y diagnóstico de control de TI, una guía de implementación. Esta nueva herramienta es diseñada para facilitar la implementación de COBIT y relacionar sesiones aprendidas desde organizaciones que rápidamente y exitosamente aplicaron COBIT en sus ambientes de trabajo.

Conclusiones

Los cambios en la tecnología influyen en qué auditar y en cómo auditar, por lo que inevitablemente, la auditoría ha cambiado de manera drástica en los últimos años con el gran impacto que han generado las técnicas informáticas en la forma de procesarla.

Los procesos de negocios, que se llevan a cabo dentro de las unidades de una organización, se coordinan en función de los procesos de gestión básicos de planificación, ejecución y supervisión. El control que provee la auditoria es parte de dichos procesos y está integrado en ellos, permitiendo su funcionamiento adecuado y supervisando su comportamiento y aplicabilidad en cada momento, con lo que, constituye una herramienta útil para la gestión, pero no un sustituto de ésta.

Esta conceptuación del control se aleja de la antigua perspectiva, que veía el control como un elemento inmerso en las actividades de una entidad o como una carga inevitable, impuesta por los organismos reguladores o por los dictados de burócratas excesivamente celosos. Los controles impuestos por la auditoria, deben ser incorporados a toda la infraestructura de una entidad, no deben ser añadidos, de manera que no deben entorpecer, sino favorecer la consecución de los objetivos de la entidad.

Bibliografía disponible.

De La Fuente, Reynaldo. "El carácter multidisciplinario de la Auditoría y el control en TI", p 32, Revista Percepciones N° 3, Octubre 2000, Montevideo, Uruguay.