PUERTO MONTT,

Transcripción

1

2 CTRL C.E. N 1504/2010 C/REF.: /2010 RRS./psv. REMITE INFORME DE FINAL, SOBRE FISCALIZACION EFECTUADA EN LA UNIVERSIDAD DE LOS LAGOS. PUERTO MONTT, Adjunto sírvase encontrar ejemplar del Informe Final debidamente aprobado, sobre Auditoria de Tecnologías de Información efectuadas en esa Universidad. Saluda atentamente a Ud.. PROVCSIE A CON um x, a.n u 108 LA603 AL SEÑOR RECTOR UNIVERSIDAD DE LOS LAGOS OSORNO / ME. frici. Informe 34 de ANTECED.

3 PREG: 10033/2010 INFORME FINAL N 34 DE SOBRE AUDITORIA DE TECNOLOGÍAS DE INFORMACIÓN EN LA UNIVERSIDAD DE LOS LAGOS. PUERTO MONTT, 2 2 DIC En cumplimiento del plan anual de fiscalización de esta Contraloría Regional para el año 2010, se efectuó una auditoría de Tecnologías de la Información y las Comunicaciones en la Universidad de Los Lagos_ Objetivo La auditoria tuvo por finalidad revisar y evaluar aspectos que se relacionan con las políticas, normas, prácticas y procedimientos de control que se vinculan con los sistemas basados en las tecnologías de información y comunicaciones (TIC). Metodología La revisión fue practicada en conformidad con las normas y procedimientos aceptados por esta Entidad Fiscalizadora, incluyendo pruebas de validación y otros medios técnicos considerados necesarios en las circunstancias. Alcance áreas: La revisión se circunscribió a las siguientes Estructura Organizacional Tecnologías de la Información, en adelante. (TI). Control Interno sobre procesos TI. Controles específicos asociados a aplicaciones de procesos significativos. Controles generales de las TI: Control de bienes TI. - Control de cambios a los Sistemas. Seguridad organizacional. Seguridad física. Políticas de Seguridad. Plan de Contingencia Contratos tecnológicos vigentes. AL SEÑOR RICARDO PROVOSTE ACEVEDO CONTRALOR REGIONAL PRESENTE AVS j /

4 Antecedentes Generales La Universidad de Los Lagos fue creada por la Ley N Es una Institución de Educación Superior del Estado, autónoma, con personalidad jurídica y patrimonio propio. Su representante legal es el Rector. Asimismo, goza de autonomía académica, económica y administrativa. El organismo colegiado de mayor jerarquía lo constituye el Consejo Superior, integrado por nueve miembros con derecho a voto, esto es, tres consejeros designados por el Presidente de la República, cinco consejeros académicos y el Rector. también nombrado por el Presidente de la República. Además, participan con derecho a voz, un representante de los estudiantes y otro de los funcionarios no académicos. Entre las funciones y atribuciones del Consejo Superior se encuentra la aprobación de la política global de desarrollo de la Universidad; aprobar y modificar la estructura orgánica de la Universidad. El Consejo Universitario es el segundo cuerpo colegiado al interior de la Universidad de Los Lagos, y entre sus tareas está el planear, supervisar y evaluar el desarrollo académico de la institución. Su funcionamiento se estructura en dos unidades técnicas, la académica y la económica. La estructura organizacional se compone de la Rectoría. Vicerrectoría Académica, Vicerrectoría de Administración y Finanzas, Vicerrectoría de Planificación y Desarrollo y Vicerrectoría de Investigación y Postgrado. Cabe señalar que en forma previa a la emisión del presente Informe, se confeccionó un Preinforme de Observaciones, el cual fue remitido a la Universidad de Los Lagos mediante oficio N 6520, de en el que se incluyeron las observaciones constatadas en la auditoría, con el objeto de que dicha Universidad formulara los alcances y precisiones que a su juicio procedieran, el cual fue respondido por oficio ordinario N 080, de permitió establecer lo siguiente: El resultado de la fiscalización practicada I. AMBIENTE TI ACTUAL DE LA UNIVERSIDAD DE LOS LAGOS Estructura Organizacional Por medio del decreto universitario N 3924, de 31 de diciembre de 2009, se aprobó una 'Reorganización del Gobierno Universitario y Estructura Académica-Administrativa", definiendo una nueva estructura para la Dirección de Informática y Nuevas Tecnologias, así como sus funciones. 2

5 La citada Dirección, dentro del nuevo organigrama depende de la Vicerrectoría de Administración y Finanzas y se compone de tres Unidades Soporte de Sistemas de Gestión Económica y Administrativa. Plataformas Tecnológicas y Soporte Tecnológico, y Redes y Comunicación de datos. Con fecha 9 de junio de 2010, a través de los decretos universitarios N s. 8480, 8481 y se designaron para cumplir labores a los funcionarios, don Sergio Fierro Jara, como Jefe de la Unidad de Desarrollo de Sistemas y Administración de Plataformas. a don Mauricio Moraga Dorner. como Jefe de la Unidad de Redes y Comunicaciones y a doña Alejandra Sepúlveda Andrade, como Jefe de la Unidad de Soporte de Usuarios y Telefonía. Al respecto. cabe señalar que las unidades individualizadas no son coincidentes con las nominaciones establecidas en el decreto universitario N 3924, de 2009, antes mencionado. Por otra parte. los roles y responsabilidades del personal de la Dirección de Informática y Nuevas Tecnologias no han sido establecidas en un manual de funciones que describa los cargos para el desempeño de cada función. En su respuesta. la Universidad de Los Lagos indica que mediante decreto universitario N 3429 de 27 de octubre de modificó la individualización de las unidades señaladas en los decretos universitarios N s. 8480, 8481 y 8482, todos de 9 de junio de Asimismo, señala que por decreto universitario N 3918 de 22 de noviembre de aprobó la estructura, cargos y funciones de la Dirección de Informática y Nuevas Tecnologías. razón por la cual se levantan las observaciones Control Interno sobre procesos TI En la Universidad de Los Lagos no se han realizado auditorias sobre las Tecnologías de Información. Las actividades que realiza la Universidad para validar la información de sus sistemas de información consisten en solicitar a la Unidad de Soporte de Sistemas de Gestión Económica y Administrativa, reportes personalizados cuando los usuarios presentan la necesidad de información. y los mismos son validados por los usuarios solicitantes, actividad que no se encuentra establecida formalmente. Por otra parte. en relación con el proceso de inscripción de dominios se comprobó que diversos Departamentos, Comisiones o Sedes han inscrito dominios a nombre de la Universidad de Los Lagos, sin contar con la autorización de la Dirección de Informática y Nuevas Tecnologías, provocando la existencia de diversos sitios web con nombres alusivos a la Institución. Asimismo, se comprobó que el dominio udeloslagos.cl. no se encuentra en servicio, pero el registro de su nombre permanece vigente en Network Information Center (NIC) Chile hasta el 18 de octubre de en tanto que el dominio universidaddeloslagos.cl se encuentra eliminado. 3

6 En su respuesta la Universidad adjunta el "Instructivo para la emisión de reportes personalizados extra sistemas', vigente desde el 24 de noviembre de En relación con el proceso de inscripción de dominios se emitieron los decretos universitarios N s y 3923, ambos de 22 de noviembre de 2010, que aprueba "Reglamento de inscripción de dominios y administración de servidores de nombres de la Universidad de Los Lagos" y designa contactos administrativos y técnicos, respectivamente, atendido lo cual se dan por subsanadas las observaciones sobre dichas materias. Por otra parte. el dominio udeloslagos.c1 se encuentra direccionado a ulagos.cl. que corresponde al dominio institucional, por lo que se da por subsanada la observación al respecto Controles Generales de TI Control de Bienes TI La Universidad de Los Lagos para el registro del inventario de sus bienes utiliza el módulo -activo fijo". del Sistema de Información Integrado edelfos, existiendo un procedimiento de alta. traslado y baja de bienes. Al respecto. se observó que los Sistemas Informáticos no se clasifican para indicar la necesidad, prioridad y grado de protección. incumpliendo el artículo 13 del decreto supremo N 83, de 2004, del Ministerio Secretaría General de la Presidencia, que aprueba la norma técnica para los órganos de la Administración del Estado sobre seguridad y confidencialidad de los documentos electrónicos. Además, no se identifican claramente los bienes asociados a cada sistema de información. tales como bienes de información y de software. además de los bienes físicos, como lo indica el artículo 37 c) del mencionado Decreto. En su respuesta. la Universidad acompaña la nómina de servidores con su respectiva clasificación. rotulación de los servidores y la denominación de un encargado de dichas labores, atendido lo cual se levanta la observación. Sobre la eliminación de los dispositivos en desuso, en el Sistema edelfos queda un registro de la baja del bien: sin embargo. no se registra si el bien fue rematado o destruido. Por otro lado, al constatar la existencia de bienes asignados a la Sala de Servidores se comprobó que éstos no se encontraban con su respectiva placa de inventario. En su respuesta la Universidad demostró la incorporación en el sistema edelfos de dos nuevos "tipos de movimientos" asociados a la baja de los dispositivos, individualizándose su baja por "remate" o "destrucción". A su vez, adjunta fotografías de bienes de la sala de servidores con su correspondiente placa de inventario. Al respecto. corresponde subsanar la observación. debiendo esa Entidad de Educación Superior, mantener actualizado el inve 'o con sus respectivas placas. lo que será validado en la próxima f----- iscalizaa n 4

7 Control de Cambios a los Sistemas Las observaciones que se señalan a continuación, no cumplen con lo especificado en el artículo 37 f) del citado decreto supremo N' 83. de La Universidad no tiene estipulado un proceso formal y documentado respecto del control de cambios aplicables a sus sistemas de información. en el cual se establezcan procedimientos relativos a los usuarios autorizados para solicitar un cambio, identificación del software. información, entidades de bases de datos y hardware que requerirán de corrección. minimización de la interrupción del negocio producto del cambio y divulgación de los cambios relevantes a los usuarios finales. Actualmente se llevan a cabo algunas de estas acciones pero de manera informal. No existe un procedimiento establecido que asegure que la documentación del sistema se actualice cuando se complete un cambio. En efecto, los cambios son efectuados por la empresa Sistemas Relacionales Ltda., en adelante SISREL Ltda., desarrolladora y propietaria del Sistema de Información Delfos (edelfos/idelfos). quien ha entregado los manuales actualizados a diciembre de 2009 A la fecha de la visita y posterior a la fecha de cierre del proyecto. esto es. 28 de enero de 2010, se han efectuado alrededor de 75 cambios al Sistema edelfos. siendo afectados principalmente los menú de Activo Fijo. Asistencias, Compras, Inventario, Proveedores. Recursos Humanos y Honorarios. además de las mejoras por errores detectados y mejoras de validación. sin existir especificación del grado de importancia de la modificación que implique una actualización en los manuales de usuario. c) La Universidad no dispone de informes formales de evaluación de impacto al realizar cambios significativos a los sistemas. Adicionalmente. tampoco dispone de un procedimiento formal orientado a recuperar la condición inicial de un sistema, antes de ser afectado por cambios no exitosos. Asimismo, la empresa SISREL Ltda., es quien mantiene las versiones históricas. En su respuesta la Universidad de Los Lagos adjunta el "Instructivo para la gestión de requerimientos de sistemas de información" que incluye procedimientos respecto del control de cambios a los sistemas, el que fue dado a conocer a los funcionarios académicos y administrativos mediante circular N' 1, de 24 de noviembre de 2010 Así también. se adjunta oficio N' 2 de 24 de noviembre de 2010, que solicita a la empresa SISREL Ltda., la actualización de los manuales de usuario del sistema edelfos; sin embargo, no se establece un plazo definido para su cumplimiento. Las medidas adoptadas se validarán en la próxima fiscalización Seguridad Organizacional Se constató que no se ha designado formalmente, mediante decreto universitario, al Encargado de Seguridad Informática, función que en la actualidad está encargada al señor Yuri González Farías. Además. no se encuentran formalmente definidas s actividades del desarrollo de políticas de seguridad al interior de la

8 s' h. CONTRALORÍA GENERAL DE LA REPÚBLICA CONTRALORIA REGIONAL DE LOS LAGOS institución, el control de su implementación, la supervisión de la correcta aplicación de dicha política, la respuesta a incidentes computacionales y los puntos de enlace con encargados de seguridad de otros organismos públicos. Todo lo anterior, no se aviene a lo consagrado en el artículo 12 del citado decreto N 83, de 2004, de la Secretaria General de la Presidencia. Finalmente. el articulo 37 b) del citado decreto, indica que se debería constituir un comité de gestión de seguridad de la información que revise y monitoree los incidentes de seguridad de la información. lo cual no existe en esa Casa de Estudios Superiores. En su respuesta la Universidad adjunta el decreto universitario N de 22 de noviembre de que designa a don Yuri González Farías como encargado de seguridad informática, a contar del 1 de diciembre de 2010, y mediante decreto universitario N de la misma fecha, se aprueba la creación del "Comité de gestión de seguridad de la información y contingencia", estableciendo sus funciones y designa integrantes. Atendido lo anterior, se levantan las citadas observaciones, sin perjuicio de validar su aplicación en la próxima fiscalización Seguridad Física Se determinó que en los controles físicos de entrada al perímetro de la sala de servidores no se utiliza la cédula de identidad como identificación válida y no queda constancia por escrito del ingreso y autorización de cualquier persona a la sala de servidores, incumpliendo el artículo 37 e) del decreto N 83, de 2004, de la Secretaria General de la Presidencia. Así también, existe riesgo de robo y daño en la segunda sala de servidores que se encuentra contigua a una dependencia con un ventanal sin protección externa, particularmente por cuanto se ubica en el primer piso. No se observaron publicaciones, respecto a instrucciones relativas al consumo de alimentos. bebidas y tabaco en las cercanías de sistemas informáticos, en contravención a lo indicado en el artículo 18 del mencionado decreto. Las salas de servidores no cuentan con sistemas de alarmas y detección que cubran las puertas y las ventanas en caso de siniestro, detectores de humo, luces de emergencia. Además, no existe una bitácora de mantenciones realizadas a los equipos de la sala de servidores, solo queda registro de los comprobantes de recepción conforme de trabajos realizados por personal técnico externo. Lo anterior, no se aviene a lo establecido en el artículo 37 e) al decreto N 83, de 2004, de la Secretaría General de la Presidencia, antes citado. En la sala de servidores está instalado un sistema de UPS (Uninterruptible Power Supply), pero no hay registros o no se han documentado las pruebas a dichos equipos. Existe un grupo electrógeno marca Taiyo Electric con un estanque diesel de 16 litros, verificándose en terreno que se encontraba el tambor de combustible. en la mitad de su capacidad. equipo que tiene 6

9 por objeto el respaldo de la central telefónica y de los servidores centrales de servicios institucionales, no cubriendo a la totalidad de los servidores que prestan distintos servicios, como por ejemplo. el Sistema de Biblioteca, Werken-Epu, servidores de las dependencias de aulas virtuales, indicándose por parte de la Dirección de Informática y Nuevas Tecnologías que el funcionamiento de ese equipo se hace de acuerdo a los eventos de interrupción de energía. situación que no está documentada. En la visita en terreno se constató también un grupo electrógeno diesel de 8 KW/12 KWA, Marca Diperk FG Wilson, Modelo P13.5E2. Serie FGWPEPP3HPD adquirido el año 2006 al Proveedor Adexus S.A. por un monto de $ el que no se encuentra instalado ni está siendo utilizado. (Anexo N 2). De acuerdo al comprobante de ingreso de activo fijo, dicho bien. fue recepcionado el 1 de junio de 2006, a través del Proyecto Mecesup. subproyecto "Mejoramiento de la Calidad y Nivel de los Servicios Tecnológicos de Apoyo a la Docencia -. Contrato: AUS0307/ "Suministro e Instalación de equipos. de comunicaciones y apoyo a la operación, para la red G- REUNA". En su respuesta la Universidad de Los Lagos adjunta la circular N 4, de 24 de noviembre de 2010, y fotografías del perímetro de la sala de servidores con lo cual se levanta la observación relativa a publicaciones e instrucciones que señala el articulo 18 del decreto N 83, de 2004, ya mencionado. Adicionalmente, se emitió el decreto universitario N 3926, de 22 de noviembre de 2010, que aprueba el procedimiento de control de acceso a la sala de servidores que incluye la implementación de bitácora de entrada/salida y mantención del equipamiento de la sala de servidores. dándose por subsanada la observación al respecto. sin perjuicio de validar su aplicación en la próxima fiscalización. Además, esa Casa de Estudios Superiores en su respuesta indicó que el grupo electrógeno Diperk FG Wilson, citado anteriormente, ha sido destinado como equipo de respaldo de las calderas que entregan calefacción a Medioteca. Pabellones Lago Puyehue. Lago Ranco y Lago Maihue del Campus Chuyaca. según lo indicado en oficio ord. N - 95, de 18 de noviembre de 2010, dirigido al Director de Gestión y Administración de Campus por el Jefe de Control de Bienes. situación que será validada en la próxima fiscalización Políticas de Seguridad observaciones. Se determinaron las siguientes No existe una politica de seguridad oficial. Ausencia de instrucciones oficiales con respecto a la prohibición de instalación de software no autorizado. documentos y archivos guardados en el computador. uso de la red interna, uso de Internet. uso del correo electrónico, acceso a servicios públicos. recursos compartidos, servicios de mensajería y comunicación remota. 7

10 Falta de instrucciones oficiales respecto del uso seguro del correo electrónico, que incluyan advertencias sobre los peligros asociados a la apertura de archivos adjuntos y/o a la ejecución de programas que se reciban, responsabilidad de no divulgar contraseñas de acceso. indicaciones sobre la elección de contraseñas seguras de acceso y la recomendación sobre la conveniencia de que los usuarios tengan cuentas de correo electrónico distintas para su uso personal. No existen instrucciones con respecto a mantener la confidencialidad de las contraseñas asignadas. e) No existen procedimientos formales de autorización para determinar qué usuario tiene permitido acceder a qué redes y servicios de red. Lo anterior, infringe lo dispuesto en los artículos 11, 20, 25, 28 y 33 del decreto supremo N' 83 de 2004, de la Secretaría General de la Presidencia. En su respuesta, la Universidad de Los Lagos señala que ha tomado medidas correctivas a través la designación de un encargado de seguridad informática. quien, entre sus funciones, tiene a su cargo el desarrollo de las políticas de seguridad y la creación de un "Comité de gestión de seguridad de la información y contingencia que contempla entre sus funciones revisar y aprobar la política de seguridad de la información, además, mediante circular N 2. de 24 de noviembre de 2010, se han impartido instrucciones respecto de la utilización de recursos informáticos de hardware, software y de red a nivel institucional, subsanándose. por tanto, las observaciones formuladas, cuya efectividad será validada en la próxima fiscalización Plan de Contingencia Sobre este punto se constató lo siguiente: No existe información oficial y publicada de los contactos de apoyo ante dificultades técnicas u operacionales inesperadas de sistemas informáticos. No se respalda la información de los computadores personales de la institución que están asignados a los usuarios, a lo menos una vez al año. c) No existe un plan de contingencia para asegurar la continuidad de operaciones críticas. Lo anterior infringe lo dispuesto en los artículos 22, 24 y 35 del decreto supremo It 83 de de la Secretaría General de la Presidencia. Cabe agregar, que la letra d) del artículo 24 del referido decreto, señala que en ámbitos críticos para la institución. se deberán almacenar al menos tres generaciones o ciclos de información de respaldo, 8

11 comprobándose que. para el caso del Sistema edelfos, a contar de junio de 2010 se almacena una copia del respaldo del Data Center en la Unidad de Soporte de Sistemas de Gestión Económica y Administrativa y desde la entrada en explotación de dicho sistema. el 01 de enero de 2007 a mayo de 2010, copia de los respaldos del Data Center se encuentran en poder de la empresa desarrolladora del Sistema, SISREL Ltda.. según lo indicado por la Unidad de Soporte de Sistema de Gestión Económica y Administrativa. En su respuesta, la Universidad de Los Lagos indica que el comité de gestión de seguridad de la información y contingencia. recientemente creado. contempla entre sus funciones la elaboración de un plan de contingencia. Agrega. que mediante decreto universitario N' 3925, de 22 de noviembre de 2010, se aprueba el procedimiento de respaldo de la información de las diferentes unidades de la Universidad. En lo que se refiere a los respaldos históricos del sistema edelfos, en poder de la empresa desarrolladora del Sistema. SISREL Ltda., esa Universidad señala que mediante oficio N 3, de 24 de noviembre de 2010, hizo el requerimiento de dichos respaldos a la citada empresa con un plazo de entrega al 30 de diciembre de Atendido lo anterior, corresponde subsanar las observaciones. cuya efectividad será evaluada en una próxima fiscalización. II. CONTRATOS VIGENTES ASOCIADOS A TI 2.1. TELMEX Servicios Empresariales S.A. La Universidad de Los Lagos suscribió un contrato de prestación de servicios de telecomunicaciones con la empresa Telmex Servicios Empresariales S.A, signado con el N` 15/04. el que no consigna fecha de suscripción ni de inicio, estableciéndose un plazo de duración de 24 meses, renovables por igual período. Adicionalmente, existe un Anexo de Contrato, individualizado como N / de 1 de julio de 2008, que establece una duración de 48 meses, que renueva servicios e incorpora solución integral de comunicación y servicios tecnológicos, "enlace de datos, telefonía IP, Collocation, Internet Dedicado, Wifi, Servicios de Valor Agregado (Contact Center), Servicios Adicionales (Antivirus. Filtro de Contenido)". Ambos contratos no cuentan con los respectivos decretos de aprobación Además, se determinó que en los citados contratos no se detallan las características del "servicio de Collocation" en los Data Center de Telmex, para alojar el Sistema de Información Integrado Delfos (edelfos/idelfos) y asi resguardar la información, en atención a lo indicado en el artículo 37 b) del Decreto Supremo N 83 de de la Secretaría General de la Presidencia. considerando, además, que la cláusula décimo quinta del contrato N 15/04, establece que "TELMEX SSE no tendrá responsabilidad alguna ante el evento de cualquier menoscabo, daño u otro deterioro que sufra la información que se suministre a través de la red provista por TELMEX SSE por la acción de hackers, piratas informáticos o cualquier interrupción. suspensión o desperfecto de la propia red de Internet.. 9

12 En su respuesta. la Universidad de Los Lagos adjunta los decretos universitarios N`s y 3924, ambos de 22 de noviembre de 2010, que aprueban los contratos de prestación de servicios de telecomunicaciones con la empresa Telmex Servicios Empresariales S.A., atendido lo cual se da por subsanada la observación. Sin embargo, no se aportan antecedentes respecto de las caracteristicas del "servicio de Collocation" en los Data Center de Telmex: además, para resguardar apropiadamente el transporte de datos, cuentan con equipamiento especializado tales como firewall, sistemas de detección de intrusos IDS. así como personal dedicados a monitorear estos incidentes, cuyas medidas adoptadas se validarán en la próxima fiscalización RED UNIVERSITARIA NACIONAL (REUNA) La Universidad de Los Lagos celebró en el año 1998 un convenio de prestación de servicios con la Red Universitaria Nacional. (REUNA), el que no individualiza día ni mes de suscripción, donde se establece en la cláusula décimo tercera una duración de 20 años a contar del 1 de julio de 1997 hasta el 30 de junio de 2017, la cual no resulta concordante con el año de suscripción Además, dicho contrato no cuenta con su correspondiente decreto aprobatorio. A su vez, la cláusula décima del contrato libera de responsabilidad a REUNA, disponiendo que "los daños o perjuicios que afecten a la Universidad que deriven de la utilización de la red, daños respecto de datos de la Universidad causados a través de la red por terceras instituciones o personas, tales como: penetración en máquinas de la Universidad, virus, correo masivo no deseado. spam, modificación de servicios de información, suplantación de identidad. etc". "suspensión del funcionamiento y/u operación del servicio contratado por razones de fuerza mayor" asumiendo esa Casa de Estudios Superiores la responsabilidad de velar por el debido resguardo de la información. En su respuesta, la Universidad de Los Lagos acompaña los decretos universitarios N es y 3920, ambos de 22 de noviembre de que aprueban los contratos de prestación de servicios con la Red Universitaria Nacional, REUNA. atendido lo cual se da por subsanada la observación. Asimismo. la citada Casa de Estudios informa que para resguardar apropiadamente la información cuenta con equipamiento especializado tales como firewall, sistemas de detección de intrusos IDS, asi como personal dedicado a monitorear estos incidentes, por lo cual se da por subsanada, sin perjuicio de validar su aplicación en la próxima fiscalización SISTEMAS RELACIONALES, SISREL Mediante decreto afecto N 123, de 14 de octubre de 2005, la Universidad de Los Lagos aprobó la adjudicación de la licitación pública -Suministro e Instalación de Sistemas Integrados para la Modernización de la estión Administrativa-Financiera y Académica de la Universidad de Los Lagos'. a la 10

13 empresa Zenteno, Beckett y Compañía Ltda. que actúa bajo el nombre de fantasía SisRel, por un monto total de S El respectivo contrato, código ULA0204/ fue suscrito el 16 de agosto de 2005 y consta de tres anexos complementarios. todos de fecha 03 de octubre de 2005, los que parcializaron los servicios contratados y los montos a pagar, de la siguiente manera: Anexos del Contrato Monto $ Anexo N 1. Concesión Licencia de Uso de Aplicaciones edelfos Anexo N 2. Desarrollo de Aplicaciones Anexo N 3. Implantación y Servicios de Aplicaciones edelfos TOTAL Mediante decreto afecto N 202, de 25 de julio de 2007, se aprobó un aumento del precio del contrato por un monto de $ y aumento del plazo de ejecución hasta el 31 de diciembre de Posteriormente. mediante decreto universitario N 1368, de 25 de mayo de se aprueba el Anexo 4, de igual fecha, complementario al Anexo 1 Concesión Licencia de Uso de Aplicaciones edelfos", del contrato código ULA 0204/ , que fija plazo para entregar versión full-web en tecnología J2EE equivalente o superior, de acuerdo a cláusula novena del citado Anexo N 1. A través del decreto universitario N 307, de 28 de enero de se aprobó el cierre del Subproyecto de Implantación del Sistema edelfos, materializado por medio de acta de cierre de 22 de enero de 2010, estableciéndose un plazo máximo de 120 días para efectuar las actividades y/o adecuaciones pendientes de ejecutar a dicha data. Luego, por medio del decreto universitario N 1541, de 7 de junio de 2010, se extiende el plazo hasta el 30 de noviembre de Sobre el particular. cabe señalar que el Anexo 4 modifica y aclara lo concerniente a la entrega del desarrollo de la versión full-web prevista en la cláusula novena del Anexo 1. indicando que el plazo de tres años para dicho desarrollo se considerará desde el cierre del subproyecto de implantación, esto es, desde el 28 de enero de 2010, y no desde la instalación de faenas como se consideró originalmente. Además, se señala que a la Universidad le corresponderá efectuar. con sus medios, la instalación e implantación de la referida versión full-web y no a la empresa SISREL Ltda.. lo que contraviene el sentido original del proyecto. Cabe precisar que posterior a la fecha de cierre del subproyecto de implantación del Sistema edelfos se ha recepcionado una serie de aplicaciones y funcionalidades. Así también. existen otras aplicaciones y funcionalidades que a la fecha de la visita se encuentran pendientes de ejecución y que tienen como fecha máxima de entrega el 30 de noviembre de respecto de as las cuales se debe cautelar que estén desarrolladas en la versión full-web, en cumplimiénto de lo indicado en el Anexo 4, citado anteriormente. ) 11

14 Asimismo, se encuentran pendientes de desarrollo y/o implementación diversas aplicaciones de los Subproyectos Académico Curricular, Ex-Alumnos, Dirección de Asuntos Estudiantiles y Fondo Solidario Crédito Universitario del Sistema idelfos. sin cumplir lo indicado en la cláusula sexta del Anexo 2 del contrato en cuestión, que establece un plazo de 12 meses extendibles hasta 18 meses, período comprendido desde el 2 de noviembre de de acuerdo a Acta de Instalación de Faenas. plazo que se encuentra latamente vencido y sin que a la fecha de la visita se hayan verificado prórrogas sobre este punto. Además, el contrato y las bases generales de la licitación pública no establecieron multas por atraso, solamente se contempla en la cláusula 22.2 de las condiciones generales de las bases de la licitación, que la Universidad puede evaluar la situación y a su discreción. prorrogar el plazo del suministro, con o sin liquidación de daños y perjuicios. en cuyo caso la prórroga será ratificada por las partes mediante enmienda del contrato. En su respuesta. la Universidad indica que se encuentra realizando gestiones con el proveedor con el objeto de establecer una modificación al anexo de contrato N 2, razón por la cual se mantiene la observación mientras no se materialicen las gestiones indicadas, lo cual será verificado en una próxima fiscalización. Por otra parte, en cuanto a las garantías del proyecto estas fueron establecidas en las bases de licitación en la sección V "Condiciones Especiales del Contrato", indicando que el monto de la garantía de cumplimiento, ascendería al 5% del monto del contrato, esto es, $ Sin embargo, originalmente la empresa SISREL Ltda., entregó una boleta de garantía por fiel cumplimiento de contrato por la suma de $ equivalente al 5% del contrato inicial, con fecha de vencimiento al 1 de abril de Posteriormente, se autorizó a la citada empresa la renovación de la caución sobre la base del 5% del saldo del precio pendiente, lo que determinó su reducción a mediante boleta de garantía N 985 del Banco Santander con fecha de vencimiento el 29 de agosto de 2009, situación que no era procedente y que fue observada en el Informe N 141 de 2009, de este Organismo de Control. La Universidad instruyó un sumario administrativo mediante el decreto universitario N 1059 del 10 de mayo de proceso a cargo del Fiscal don Luis Reyes Castro y se encuentra a la fecha en la etapa indagatoria. Luego. esa Casa de Estudios Superiores, mediante los Oficios N s. 1. de 8 de abril de 2009, 4, de 21 de agosto de 2009, 1. de 19 de marzo de 2010 y 4 : de 30 de agosto de solicitó a la empresa SISREL Ltda., una nueva boleta de garantía por el valor correspondiente a $ , gestiones que no han tenido resultado y a la fecha de la visita no se cuenta con la garantía solicitada acorde a las bases de la licitación pública. Por otra parte. actualmente, se ha pagado un 85% del total del proyecto, equivalente a $ quedando un saldo de $ , equivalente al 15%, cifras que se desglosan de la siguiente manera: 12

15 Detalle Monto Pactado S Monto Pagado S % Pagado Saldo por Pagar S % Saldo por Pagar Fecha Entrega (Cumplimiento) Licencia de Uso de Aplicaciones eüelfos (Anexo 1) Desarrollo de Aplicaciones 'Delfos (Anexo 2) Implantación y Servicios de Aplicaciones edeltos (Anexo 3) Aumento de Contrato (Decreto 202/ ) / Sin fecha (Plazo vencido) / T O T A L E S Sobre el particular, la Universidad no aporta nuevos antecedentes, debiendo adoptar las acciones para cumplir con los pagos pendientes, una vez recibidos los productos comprometidos. III. CONTROLES A LOS SISTEMAS DE INFORMACIÓN 3.1. Control de Accesos En lo que se refiere al control de acceso lógico a los sistemas no se han formalizado las políticas de control que instruyan la obligación de mantener en forma confidencial la asignación de usuario y contraseña; el cambio periódico de las mismas cuando existan indicios de un posible compromiso del identificador o del sistema: la recomendación de elegir contraseñas que tengan una longitud minima de ocho caracteres y fáciles de recordar: que contengan letras. mayúsculas, dígitos y caracteres de puntuación y no contengan elementos de fácil deducción a partir de datos relacionados con la persona -a saber, nombres, números telefónicos, cédula de identidad. fecha de nacimiento-: y que estén libres de caracteres idénticos consecutivos o grupos completamente numéricos o alfabéticos, entre otras. Las situaciones descritas precedentemente incumplen lo estipulado en el artículo 28 del Decreto Supremo N 83 de 2004, de la Secretaría General de la Presidencia. El artículo 37 g) de la citada norma legal establece que se debería entregar a los usuarios una declaración escrita de sus permisos de acceso, contar con un procedimiento formal de eliminación de usuarios, retirando inmediatamente los permisos de acceso de los usuarios a quienes cambiaron de trabajo o dejaron la organización, tener un proceso formal para revisar a intervalos regulares los permisos de acceso de los usuarios, todo lo cual no se cumplen esa Casa de Estudios Superiores. En su respuesta la Universidad de Los Lagos acompaña la circular N 3, de 24 de noviembre de 2010, que instruye sobre el uso, seguridad, confidencialidad, creación y eliminación de cuentas de usuarios de servio y sistemas informáticos, de acuerdo con lo cual se subsanan las 13

16 observaciones sobre la materia, sin perjuicio de validar su aplicación en futuras fiscalizaciones Integridad del Sistema En lo que respecta a las validaciones primordiales de los formularios de ingresos. éstas se ajustan a las normas establecidas sobre la materia. IV. AUDITORÍA PRACTICADA A LOS PROCESOS DEL SISTEMA DE INFORMACION edelfos 4.1. Proceso de Recaudación El proceso de recaudación tiene por objeto gestionar y mantener actualizado los compromisos financieros de los alumnos con la Universidad. Para ello, el flujo comienza con la recepción de la nómina de recaudación diaria proveniente del Banco. la cual se descarga de la plataforma web de la entidad financiera y se almacena en la carpeta "archivos_cargas" del Servidor. Posteriormente, se procede a validar dicho archivo en el sistema y si es consistente se procede a cargar en el edelfos, acción que permite rebajar automáticamente las deudas de los estudiantes. A continuación se generan los correspondientes comprobantes contables y presupuestarios y se contabilizan y registran los efectos presupuestarios. situaciones: En este proceso se observan las siguientes Se permite la carga del archivo de recaudación las veces que se desee realizar esta operación. sin validar que dicho archivo ha sido cargado al Sistema (Anexo N' 3). Esta situación se corrige a través del proceso de "reversa", mediante el cual se elimina el registro incorrectamente cargado. Sin embargo, esa corrección está sujeta a la habilidad de la usuaria para detectar la falla. En su respuesta, la Universidad de Los Lagos informa que solicitó a la empresa SISREL Ltda., la incorporación de una restricción en el sistema de manera que no permita la validación de un mismo archivo más de una vez dando como resultado que se produzcan cargas duplicadas. situación que será evaluada en una próxima fiscalización. Se admite la carga de un archivo con errores. por cuanto cuando se valida el archivo en el Sistema, el que entrega un número de batch. con el cual se efectúa la carga correspondiente, aunque contenga errores. Nuevamente esta acción está sujeta a la habilidad de la usuaria, quien con dicho número de batch debe proceder a buscar el error y corregir el archivo antes de cargarlo. En su respuesta. la Universidad de Los Lagos señala que actualmente el sistema no permitirla la carga de archivos de r caudación con errores, lo que será verificado en la próxima fiscalización. 14 (

17 El Sistema permite ingresar archivos que no son idénticos a la cartola de recaudación, por ejemplo, con menos registros. Esto ocurre porque el Banco a veces emite archivos con menos información, es decir, menos movimientos, que la cartola de recaudación, situación que es habitual con pagos efectuados en la empresa Servipag. En su respuesta, la Universidad de Los Lagos manifiesta que el control de lo observado se realiza a través del proceso de conciliación bancaria, lo cual será comprobado en la próxima fiscalización. El Sistema admite hacer varios pagos con un mismo documento. Cuando se debe utilizar la Caja Back Office para pagos manuales, que no han sido incluidos en los archivos emitidos por el Banco. se presenta el riesgo de que el Sistema permite registrar el pago de varias cuotas con un mismo documento, es decir, folio, que puede ser un número de cupón, depósito, etc. El Sistema no bloquea el documento de pago (folio), que se digita manualmente, con la cuota que se está pagando (Anexo N 4). En su respuesta, la Universidad de Los Lagos informa que requirió a la empresa SISREL Ltda., la implementación de validaciones que den solución a la situación observada, lo que comprobará esta Contraloría en la próxima fiscalización. e) Por otro lado, cabe señalar que doña Ana Soto Triviño, Encargada de Recaudación, no cuenta con nombramiento en dicho cargo, tampoco cuenta con una descripción de funciones en la cual se especifiquen sus labores, toda vez que es la única autorizada para realizar dichas labores. en su ausencia la funcionaria que la reemplaza ejecuta algunas tareas del proceso actuando en el Sistema con el usuario y contraseña de doña Ana Soto Triviño. lo cual resulta improcedente. Asimismo, tal como ya se detalló la buena ejecución del proceso se encuentra supeditado a que la citada usuaria realice controles manuales y no producto de validaciones que contenga el Sistema. En su respuesta. la Universidad de Los Lagos adjunta el decreto universitario N 3931, de 23 de noviembre de 2010, que designa a doña Ana Soto Triviño. a cumplir funciones de encargada de recaudaciones a contar del 1 de diciembre de 2010 y designa como subrogante a doña Viviana Torres Ovando, atendido lo cual se da por subsanada la citada observación Proceso de Asignación de Beneficios En el proceso de matrícula del alumno, existe una instancia de asignación de beneficios, por lo tanto, cuando el alumno se matricula se le genera un pagaré por el valor total de la carrera anual y luego de que se le aplican los descuentos correspondientes a los beneficios con los cuales ha sido favorecido y se le hacen entrega de la cuponera con el valor a pagar por el alumno. En el proceso aludido de asignación de beneficios. tales como, becas, fondo solidario de crédito universitario. crédito con aval del Estado. para el caso de alumnos nuevos, la Universidad envía la nómina de s postulantes matriculados al Ministerio de Educación, por medio de un archivo 15

18 Excel con el formato indicado por dicho Secretaría de Estado. Para el caso de alumnos antiguos. el Ministerio de Educación envía un archivo con los alumnos candidatos a renovación, el cual es revisado en la Universidad y también enviado a esa Cartera Ministerial. Posteriormente. ese Ministerio pone a disposición de esa Casa de Estudios Superiores la nómina de alumnos favorecidos con algún tipo de beneficio. la que debe ser cargada al Sistema para que se efectúe la rebaja correspondiente en la deuda del alumno. observaciones: Este proceso presenta las siguientes Cuando se efectúa el proceso de renovación de beneficios, el Ministerio de Educación a través de su plataforma pone a disposición un archivo con extensión csv con la nómina de alumnos candidatos a renovar el beneficio, la cual es enviada a la Unidad de Soporte de Sistemas de Gestión Económica y Administrativa para agregarle los datos académicos obtenidos del Sistema edelfos. Posteriormente al revisar dicho archivo se detectaron inconsistencias relativas principalmente con las notas del alumno. Ante esta situación, las profesionales de la Unidad de Gestión de Becas y Beneficios han optado por consultar personal o telefónicamente al estudiante afectado con el objeto de clarificar su situación y orientarlo a la solución del problema en las instancias que corresponda. En su respuesta, la Universidad de Los Lagos señala que. con el objeto de establecer un mejor control sobre los datos y mejorar los accesos a la información, adoptará como medida la consolidación de la información académica desde el año 2004 a la fecha en el sistema idelfos, en un plazo que no supere el 31 de marzo de lo que será verificado en la próxima fiscalización. Por otra parte. una vez que el Ministerio de Educación pone a disposición la nómina de alumnos favorecidos con uno o varios beneficios, se envía el archivo Excel a la Unidad de Soporte de Sistemas de Gestión Económica y Administrativa para que proceda a cargar dichos datos en el Sistema edelfos quedando los registros en estado -Registrado". Posteriormente las funcionarias de la Unidad de Gestión de Becas y Beneficios. Asistentes Sociales, proceden a comparar cada uno de los alumnos indicados en el archivo provisto por el Ministerio de Educación con lo registrado en el Sistema edelfos, encontrándose diversos casos en que el Sistema no calcula correctamente el monto del beneficio, situaciones que corrigen individualmente en el mismo registro o eliminándolo e ingresando los datos nuevamente, no obstante lo anterior, quedan algunos casos con diferencias en pesos. Cuando se han revisado todos los alumnos se procede a cambiar el estado de los registros a "Procesado". acción con la cual se ejecuta el descuento del beneficio en la cuenta del alumno. Al respecto, el no poder confiar en la integridad de los datos del sistema obliga a las funcionarias a revisar cada uno de los alumnos beneficiados individualmente, lo que significó en el primer proceso de este año 2010 revisar a alumnos renovantes y 486 alumnos nuevos. 16

19 CONTRALORIA REGIONAL DE LOS LAGOS En su respuesta. la Universidad de Los Lagos informa que solicitó a la empresa SISREL Ltda.. la solución de lo observado, lo que será verificado en la próxima fiscalización. En la etapa de reconsideración de beneficios, el Ministerio de Educación incluyó en la nueva nómina de beneficiados alrededor de 62 alumnos con rebaja en los montos de beneficios en comparación a los informados en la nómina primitiva del mes de julio de este año, situación que a la fecha de la visita se estaba analizando y aclarando con esa Secretaria de Estado. Dicha situación provoca un problema en el Sistema ya que se encuentran emitidas las respectivas cuponeras de pago y se han hecho las rebajas de aranceles de los estudiantes con dichos montos. En su respuesta, la Universidad señala que la situación descrita se encuentra resguardada con la emisión de una nueva cuponera con los nuevos saldos a pagar por el alumno, razón por la cual se levanta la observación, sin perjuicio de validar su aplicación en una próxima fiscalización. Los datos registrados en la Ficha del Alumno del Sistema edelfos son básicos y no contempla por ejemplo: puntaje PSU, vía de ingreso, colegio de procedencia, promedio de notas de enseñanza media y lo más relevante que no contempla información socio-económica. la cual se debe registrar en una aplicación de desarrollo local de antigua data, creada a instancias de las profesionales de la Unidad de Gestión de Becas y Beneficios con el objeto de contar con una base de datos que permita sistematizar información primordial para las asistentes sociales. Cabe señalar, que cuando se instaló el Sistema edelfos, acorde a lo manifestado por personal de la citada Unidad, la versión actualmente en uso para las materias expuestas sería de prueba y que una nueva versión definitiva contendría información socio-económica, situación que a la fecha no ha ocurrido. En su respuesta. la Universidad de Los Lagos indica que el Sistema idelfos. actualmente en proceso de implantación. permitirá gestionar información socio-económica de los alumnos, lo que será validado en una próxima fiscalización. En la Ficha del Alumno, sección Historial/Eventos, campo Evento, no se visualiza la información completa, por cuanto el cursor no recorre dicho campo. En su respuesta, la Universidad de Los Lagos indica que el Sistema idelfos gestionará los eventos académicos y el historial de los alumnos, funcionalidades que actualmente se encuentran en etapa de prueba y se proyecta su explotación a partir de marzo de lo que será verificado en la próxima fiscalización. El Sistema edelfos presenta dificultad para determinar la asignación de beneficios internos, tales como becas de alimentación, de residencia y de trabajo, en el sentido que el Sistema no muestra el promedio de notas de los alumnos, dato que es necesario respecto de los postulantes para verificar que cumplan con el requisito académico, visualizándose en ---fbffria\desordenada las notas del primer y segundo semestre debiendo las (17i 17

20 funcionarias de la Unidad de Gestión de Becas y Beneficios, calcular los promedios manualmente. Tampoco se visualiza el porcentaje de aprobación anual para evaluar la renovación de becas y créditos como lo exige el Ministerio de Educación, motivo por el cual se debe recurrir a la Unidad de Soporte de Sistemas de Gestión Económica y Administrativa. En su respuesta. esa Universidad señala que también el Sistema idelfos proporcionará la información señalada en las letras e y g) del presente punto. a través del reporte "cohorte de estudiantes", funcionalidad que entrará en producción en diciembre de cuya aplicación será verificada en una próxima fiscalización. El Sistema edelfos presenta dificultades en cuanto al registro de las Becas de Arancel que se asignan en forma semestral. representando mayor notoriedad la Beca DAEL. En efecto, el dato que se ingresa en el campo que corresponde al monto del beneficio debe ser el doble del monto real para que el Sistema efectúe el cálculo correctamente y además en algunos casos se presentan diferencias, generando deuda al alumno (Anexo N 5). En su respuesta, la Universidad señala la lógica del sistema para la asignación de beneficios, sin aportar antecedentes respecto de los errores detectados en los casos señalados en el anexo N 5, por lo que se reitera la observación en lo que se refiere a las diferencias que se presentan en algunos casos y que ocasiona deuda al alumno. cuya corrección será verificada en la próxima fiscalización. i) Adicionalmente. se debe tener la precaución de ingresar primero el monto del beneficio correspondiente a los aranceles y posteriormente el que corresponde a matricula, ya que de lo contrario el sistema no logra entregar el monto correcto del beneficio. La Universidad indica que lo observado se produce por fallas administrativas y de operación de un proceso previo, por lo que a través del oficio ft 1. de 24 de noviembre de 2010, dirigido a la Directora de Desarrollo Estudiantil del Director de Informática y Nuevas Tecnologías, instruyó respecto de la forma de proceder, lo cual será validado en la próxima fiscalización. La normalidad de los registros implica un extenso proceso manual y destinación de muchas horas de trabajo efectuado por las funcionarias de la Unidad de Gestión de Becas y Beneficios de manera de asegurar la veracidad de la información que por sí el Sistema no entrega Proceso de Adquisiciones El proceso de compras o adquisiciones tiene por objeto controlar y administrar los requerimientos de insumos de la Entidad de Estudios Superiores. La solicitud de compra la realiza una jefatura o persona autorizada de un Centro de Responsabilidad, la cual es autorizada por el Jefe de Abastecimiento, se realizan las cotizaciones pertinentes y se genera en el Sistema la respectiva orden de compra, la que es enviada al proveedor y se adquieren los 18