Auditoria a un sistema en desarrollo Introducción El auditar un Sistema es el proceso de acumular y evaluar evidencia, realizando por una persona independiente y competente acerca de la informacióncuantificable de una entidad económica especifica, con el propósito de determinar e informar sobre el grado de correspondencia existente entre la información cuantificable y los criterios establecidos. Su importancia es reconocida desde los tiempos más remotos, teniéndose conocimientos de su existencia ya en las lejanas épocas de la civilización sumeria. El factor tiempo obliga a cambiar muchas cosas, la industria, el comercio, los servicios públicos, entre otros. Al crecer las empresas, la administración se hace más complicada, adoptando mayor importancia la comprobación y el control interno, debido a una mayor delegación de autoridades y responsabilidad de los funcionarios. Debido a todos los problemas administrativos sé han presentado con el avance del tiempo nuevas dimensiones en el pensamiento administrativo. Una de estas dimensiones es la auditoria administrativa la cual es un examen detallado de la administraciónde un organismo social, realizado por un profesional (auditor), es decir, es una nueva herramienta de control y evaluación considerada como un servicio profesional para examinar integralmente un organismo social con el propósito de descubrir oportunidades para mejorar su administración. Tomando en consideración todas las investigaciones realizadas, podemos concluir que la auditoria es dinámica, la cual debe aplicarse formalmente toda empresa, independientemente de su magnitud y objetivos; aun en empresas pequeñas, en donde se llega a considerar inoperante, su aplicación debe ser secuencial constatada para lograr eficiencia. Auditoría a un sistema en desarrollo Uno de los aspectos más importantes dentro de este tipo de auditoría es la evaluación del sistema de control interno, que permite conocer la situación actual del área de desarrollo de pruebas de auditoría, orientadas a levantar la evidencia requerida para sustentar las sugerencias de control interno dirigidas a la alta dirección. Como se trata de la auditoria operacional al área de informática, este estudio debe hacerse sobre la base de comprobar la aplicación permanente de los siguientes parámetros: economicidad, eficiencia y efectividad, lo cual implica una evaluación evidentemente con visión gerencial. Procedimientos de auditoría Con base en los resultados de la evaluación del sistema de control interno, definirán los procedimientos de pruebas de auditoría de tipo cumplimiento, sustantivas y de doble finalidad que se consideran pertinentes en las distintas circunstancias. Para guiar el diseño y ejecución de las pruebas de auditoría, se toman como puntos de referencia los elementos de control interno, en la forma expresada a continuación: Objetivos definidos: -
1. Analice los objetivos del área de desarrollo de sistemas y emita su opinión sobre su coherencia, alcance y posibilidad de cumplimiento. -
2. Compruebe que se produjeron sistemas eficientes y efectivos. -
3. Verifique si los usuarios están satisfechos con el trabajo del personal de sistema. -
4. Examine y evalué el sistema de control de calidad al desarrollo de sistemas. -
5. Cerciórese si los objetivos están actualizados y debidamente documentados.
Estructura de Organización Sólida: -
1. Verifique si la estructura organizacional se adapta a las reales necesidades de la unidad de desarrollo de sistemas y de la entidad en general. -
2. Analice los niveles jerárquicos y las líneas de autoridad y de responsabilidad. -
3. Evalué el grado de segregación funcional, en el área de desarrollo de sistemas. -
4. Analice los estándares vigentes para el desarrollo de sistemas. -
5. Compruebe que la estructura organizacional está cuidadosamente documentada.
Procedimientos Efectivos y Documentados Dentro de la filosofía del concepto de control total de calidad, la función de supervisión operativa deberá exigir que todo empleado sea consciente de su responsabilidad laboral y que en todas las especificaciones técnicas de su actividad, con el objeto de asegurar resultados completos, precisos y oportunos. Las siguientes pruebaspermitirán al auditor detectar el grado de información que posee el empleado en cuanto a su responsabilidad en la ejecución del trabajo y la protección de la cual goza ante los distintos riesgos que puedan afectarlo: -
1. Compruebe que los procedimientos adoptados por el área de desarrollo de sistemas son efectivos y están debidamente documentados. -
2. Verifique si el personal conoce, entiende y utiliza los manuales de procedimientos operativos. -
3. Evalué la metodología utilizada para el desarrollo de sistemas computarizados. -
4. Verifique si cada fase del desarrollo del sistema genera un producto técnicamente valido, en materia funcional y de control. -
5. Cerciórese si el comité de planeación, la herenciausuaria, el equipo del proyecto y el grupo de control de calidad pueden tomar decisiones en cada fase ya sea para continuar, modificar o suspender el proyecto. -
6. Investiguen si existen, por escrito, la funciones y responsabilidades de:
La gerencia general El comité de planeación El equipo del proyecto El grupo de control de calidad La auditoría interna El equipo del proyecto deberá estar integrado, por lo menos, por las siguientes personas: Analistas de sistemas Diseñadores de sistemas Programadores Administradores de información Expertos en control informático Usuarios del sistema -
7. Observe si están bien definidas las interfaces entre el comité de planeación, la gerencia usuaria el equipo de trabajo del proyecto, el grupo de control de calidad y la función de auditoría interna. -
8. Evalué la forma como se selecciona y asignan responsabilidades a los integrantes del equipo del proyecto. -
9. Verifique si la metodología utilizada para el desarrollo de sistemas a revisión periódicamente. -
10. Revise la metodología de desarrollo de sistemas para saber si están empleando las técnicas y los procedimientos corrientes sobre la materia. -
11. Cerciórese si se lleva un control de actualización de la metodología de desarrollo de sistemas. -
12. Analice las decisiones tomadas por el personal de sistemas y usuario para establecer si la metodología utilizada para el desarrollo de sistemas es técnicamente valida.
A continuación se identifican los puntos de control que deben ser evaluados en cada una de las faces del desarrollo de sistemas: Estudio preliminar Participación de la gerencia Verifique la participación efectiva de la gerencia usuaria en el desarrollo de sistemas, mediante el examen de las catas del comité de planeación de sistemas. Compruebe la activa participación del departamento usuario en el desarrollo de sistemas. Revise el presupuesto del departamento de usuario asignado al desarrollo de sistemas de información. Definición del proyecto: Compruebe que la solicitud del proyecto se hizo por escrito y contenga por lo menos los siguientes elementos: Justificación Ambiente de la aplicación Alcance del proyecto Restricciones o limitaciones Beneficios del proyecto Verifique si el proyecto en revisión coincide con el aprobado por el comité de planeación del sistema. Compruebe que la documentación relacionada con la definición del proyecto está conforme a los estándares establecidos para tales efectos. Equipo de trabajo: Cerciórese de que la conformación del equipo de trabajo, para el desarrollo del proyecto sea coherente con la metodología adoptada por la entidad para el desarrollo del sistema. Analice las responsabilidades de todos los integrantes del equipo de desarrollo de sistemas. Evalué los antecedentes y capacidades en general de los miembros del equipo del proyecto. Investigue si el personal de sistemas y del usuario se identifica con los objetivos y alcance el proyecto. Requerimiento de información Compruebe que la descripcióndel sistema vigente es suficiente amplia para tomarla como base para estudiar las necesidades del nuevo sistema, y observe si se han identificado claramente las áreas problemas. Cerciórese de que se evalúan detenidamente los requerimientos del sistema, para asegurar la integridad la consistencia y la factibilidad del proyecto. Examine la documentación relacionada con los requerimientos del sistema, para asegurar la integridad, la consistencia y la factibilidad del procesamiento. Examine la documentación relacionada con los requerimientos de la información para comprobar que están de acuerdo con los estándares correspondientes. Aprobación del proyecto: Investigue si el equipo de trabajo prepara el informefinal cumpliendo con los lineamientos aprobados para este caso. Compruebe que el informe del equipo de trabajo sea revisado y aprobado por la gerencia, antes de pasar a la siguiente fase. Estudio de factibilidad Alternativas de acción: Evalué las alternativas de acción sugeridas por el equipo de trabajo y la posible factibilidad de cada uno de ellas. Determine si se sustenta adecuadamente la acción recomendada y si es realmente la mas factible. Factibilidad tecnológica: Analice el estudio de factibilidad tecnológica y verifique si se han desarrollado por lo menos los siguientes aspectos: -
1. Necesidades y disponibilidad de hardwarey software -
2. Restricciones que puedan presentarse y la manera de abordarlas -
3. Factibilidad operacional del proyecto, en relación con los recursos de hardware, software y ambiente de comunicaciones
Examine el informe de factibilidad tecnológica y verifique si se consideran los siguientes componentes legales: Factibilidad económica: Examine el estudio de costos para cada alternativa de acción y verifique si los costos del usuario y de sistemas cubren todas las fases del ciclo de desarrollo de sistemas. Verifique si el estudio de costos incluye: Compruebe que haya consenso, entre los usuarios finales de los sistemas, los diseñadores, los programadores y quienes implantan el sistema, acerca de los costos, los beneficios y los requerimientos contractuales del sistema. Aprobación del proyecto: Investigar si la gerencia recibió oportunamente el estudio de factibilidad para la correspondiente revisión y aprobación o desaprobación. Verifique si la gerencia tomo la decisión de continuar el proyecto con base en el estudio de factibilidad. Examine el calendario de trabajo para comprobar que la autorización de continuar con el proyecto se hizo por escrito. Plan maestro: Compruebe que se hayan identificado los puntos clave de control, en el ciclo de desarrollo de sistemas y que se han utilizado adecuadamente para el control del proyecto. Verifique la existencia y efectividad de los estándares de aceptación, en cada punto de control. Investigue los registros de control del proyecto para conocer la forma como se han llevado a cabo. Examine los informes del personal que controla el proyecto, con el objeto de establecer la información es importante y si se entrega oportunamente a la gerencia. Control de costos: Analice los informes de costos en sus componentes de tiempo de máquina, nomina y provisiones. Compruebe que los estudios de costos se apoyen en resúmenes de tiempo de máquina o informes de tiempo individuales de los empleados. Compruebe si los informes de costos se preparan y distribuyen oportunamente, observando los registros que llevan los usuarios, en cuanto a la fecha de recepción, revisión y aprobación respectivas. Diseño detallado del sistema Especificaciones de salida: Examine cuidadosamente, la documentación de las especificaciones de salida del sistema. Verifique si la documentación contempla por lo menos los siguientes elementos: -
1. Formato y contenido de los informes -
2. Condiciones de entrega de los informes a los usuarios -
3. Periodos de retención de los informes -
4. Pistas de auditoria -
5. Periodo de retención de los archivos
Cerciórese de que las especificaciones de salida garanticen al usuario la integridad, la exactitud y la autorización de datos. Compruebe que la documentación de las especificaciones de salida, están conforme a los estándares de desarrollo de sistemas. Compruebe que la documentación de las especificaciones de salida, están conforme a los estándares de desarrollos de sistemas. Especificaciones de entrada: Examine cuidadosamente, la documentación de las especificaciones de entrada. Compruebe que la documentación de entrada contiene los siguientes elementos: -
1. Especificaciones de validación -
2. Controles de privacidad -
3. Autorizaciones de entradas y de actualizaciones
Verifique si la gerencia del departamento usuario ha revisado y aprobado por escrito, las especificaciones de entrada. Investigue si las especificaciones de entrada fueron documentadas con base en los estándares de desarrollo de sistemas. Especificaciones de los archivos: Compruebe si se han definido los archivos y los métodos de organización adecuados. En el evento de trabajar con bases de datos, verificar si definen las relaciones estructurales. Examine la documentación de las necesidades del usuario y los tipos de archivos para detectar si la gerencia usuaria las revisó y las aprobó, por escrito, como era su deber. Cerciórese si el administrador de la base de datos participó en la definición, documentación y organización de los archivos correspondientes. Verifique si la seguridad ha sido considerada en el proceso de la definición de los archivos. Compruebe que los periodos de retención de los archivos han sido incluidos en sus definiciones. Establezca si la documentación relacionada con las especificaciones de los archivos se ajusta a los estándares de desarrollo de los sistemas. Especificaciones de procesamiento Examine las especificaciones de procesamiento para ver si fueron preparadas de acuerdo con las políticas de la entidad. Compruebe si la gerencia usuaria ha revisado y aprobado por escrito las especificaciones de procesamiento. Verifique si la documentación de las especificaciones de procesamiento está de acuerdo con los estándares de desarrollo de sistemas. Documentos fuente: Observe las formas de los documentosfuente que se utilizan para recolectar datos con el objeto de establecer si el diseño responde a las necesidades del usuario. Examine las formas de los documentos fuentespara determinar si contienen todas las condiciones para efectos de control, tales como estar perfoliados y tener la autorización de la transacción. Analice las formas de los documentos fuente para ver si su diseño facilita la obtención de información para control y promoción de la exactitud de los procesos. Examine el formato de pantallas para establecer si facilita la obtención de información, y si tiene rutinas de edición cuando la entrada de datos se hace en línea. Diseño de controles: Examine las especificaciones del diseño detallado e identifique y pruebe los controles programados. Evalué los controles con base en las categorías de preventivos, defectivos y correctivos en cada punto de control. Verifique si se hizo análisis de costo-beneficio para definir los controles programados. Pistas de auditoría: Examine las especificaciones del diseño detallado e identifique la documentación intermedia y los listados previstos en el diseño. Evalué la exactitud de los documentos intermedios y en general, todos los listados, que puedan tener validos como pistas de auditorías. Analice la seguridad e integridad de todos los elementos considerados como pistas de auditoría. Documentación de los programas: Obtenga una copia de los estándares de la documentación de los programas y verifique si han sido probados por el comité de planeación de sistemas de información. Analice los estándares de la documentación de los programas y observe si se considera el tipo de equipo, el sistema operativo y los lenguajes de programación a utilizar. Compruebe si los estándares de documentación de la programación son conocidos y practicados por el personal en la forma en que han sido aprobados. Examine los programas a nivel individual y la correspondiente documentación para establecer si están acordes con los estándares predefinidos. Cerciórese si la gerencia de sistemas ha revisado la documentación de los programas para verificar si son adecuados y completos. Desarrollo e implantación Objetivo de la programación: Examine los objetivos de la programación para verificar si están adecuadamente interpretados. Observe las funciones, las entradas, las salidas y los archivos. Analice la coherencia entre los objetivos y los estándares de programación. Descripción de la programación: Observe los instructivos detallados de la programación para determinar si están de acuerdo con la definición original del sistema. Analice la descripción detallada de la lógica, con el objeto de establecer si está escrita en forma clara y concisa para que pueda ser entendida fácilmente su función. Establezca si los estándares de documentación requieren un diagrama de flujo del programa y si la documentación vigente lo contempla debidamente actualizado y ajustado a la definición del programa. Analice las descripciones de los archivos correspondientes a los programas seleccionados con el objetivo de establecer si se describen con precisión los registros y los campos para los datos, incluyendo las definiciones de los códigos y de los registros. Compruebe si las descripciones de los archivos están de acuerdo con los estándares de la documentación. Examine, cuando se trate de base de datos, los registros del administrador de la base de datos y el diccionario, para verificar si los elementos utilizados por los programas seleccionados, tiene asignaciones de propietarios, están debidamente describe y si no alteran otras definiciones del sistema. Software estandarizado: Examine los informes del estudio de factibilidad para verificar si se tuvieron en cuenta las recomendaciones relacionadas con los paquetes de software aplicativo. Analice los contratos de adquisición de software estandarizados, con el objeto de establecer si las condiciones son congruentes con las políticas de la entidad. Verifique si el software adquirido fue revisado y aprobado antes de usarlo y pagarlo. Analice el software adquirido y toda su documentación para establecer su adaptación y validez del sistema de control incorporado. Programación por contrato: Examine los términos del contrato para programación de aplicaciones, con el objeto de establecer si son adecuados y si intervino el gerente de sistemas en su aprobación. Analice la documentación de los servicios de programación por contrato, para ver si se cumplieron las políticas de la entidad sobre la materia. Examine el contrato en relación con los servicios esperados, para determinar si están claramente expresados y si se encuentran bien definidas las situaciones de contingencia. Verifique si quien está haciendo el trabajo de programación ha sido suficientemente instruido en cuanto a los estándares de documentación para la programación y sobre los objetivos definidos por la organización Compruebe si el grupo de control de calidad y el de sistemas de información, han aprobado los códigos, la documentación y los controles en los programas desarrollados por contrato y si se tuvieron en cuenta los estándares de documentación de los programas definidos por la entidad. Analice la documentación de los programas desarrollados por contrato para determinar si fueron probados con base en los estándares de la organización. Examine los pagos por servicio de programación para verificar si han sido debidamente aprobados y si están de acuerdo con el respectivo contrato. Manual de Operaciones -
Cerciórese de que los estándares de documentación de los programas permitan la definición completa de la documentación para cada aplicación. -
Compruebe la existencia de manuales de operación para cada programa y observe si se ajustan a los estándares de documentación establecidos. -
Verifique si la documentación de cada programa cumple con lo siguiente:
-
1. Función del programa. -
2. Especificaciones de hardware. -
3. Relación de todos los mensajes de consola, junto con la respuesta que ha de dar el operador. -
4. Creación de las salidas y su uso. -
5. Identificación de las etiquetas de los archivos de salida -
6. Punto de reinicio -
7. Procedimientos para tratar los errores
Compruebe que los manuales de operación son utilizados en los procedimientos de prueba. Cerciórese que los manuales de operación sean leídos y utilizados por los operadores. Manual de Usuario -
Compruebe que existan manuales de usuario y toda documentación requerida por la aplicación para el adecuado procesamiento de los datos. -
Cerciórese de que los estándares de documentación de los programas definan claramente la documentación que necesita el usuario en cada aplicación. -
Verifique si el manual del usuario contiene el instructivo para preparar los datos de entrada. -
Investigue si en cada manual de usuario, la documentación contiene:
Bibliografía Alvin A. Arens. Año 1995. Auditoria Un enfoque Integral Editorial Océano. Enciclopedia de la Auditoria. Francisco Gómez Rondon. Auditoria Administrativa Joaquín Rodríguez Valencia. Año 1997. Sinopsis de Auditoria Administrativa Profesor A. López de SA. Año 1974. Curso de Auditoria Víctor Lázzaro. Sistemas y Procedimientos William P. Leonard. Auditoria Administrativa Autor: Maria Fernanda Rodríguez Fuente:monografias.com
|
