ITAU CHILE ADMINISTRADORA GENERAL DE FONDOS S.A

Transcripción

1 ITAU CHILE ADMINISTRADORA GENERAL DE FONDOS S.A Recomendaciones destinadas a mejorar los procedimientos administrativo-contables Noviembre 2014

2 Santiago, 29 de noviembre de 2014 Señores Itau Chile Administradora General de Fondos S.A. Presente Como parte del proceso de planificación y ejecución de la etapa preliminar de nuestra auditoría a los estados financieros de Itaú Chile Administradora General de Fondos S.A. al 31 de diciembre de 2014, consideramos su estructura de control interno para determinar la naturaleza, oportunidad y alcance de nuestros procedimientos de auditoría, con el propósito de expresar una opinión sobre los mencionados estados financieros. Por lo tanto, en este contexto, nuestra consideración de la estructura de control interno, no necesariamente cubre la totalidad de las debilidades eventualmente existentes en las áreas sujetas a revisión, ni se indican aquellos numerosos procedimientos correctamente establecidos. Si el objetivo de esta revisión hubiese sido expresar una opinión sobre los sistemas de control interno, los procedimientos de evaluación habrían sido más extensos y específicos que los practicados. Por lo anterior, no se ha probado el cumplimiento y continuidad de todos los controles vigentes en Itau Chile Administradora General de Fondos S.A. y nuestras observaciones no incluyen necesariamente todas aquellas posibles sugerencias que se podrían poner de manifiesto por medio de un estudio especial sobre la materia. En el estudio y evaluación efectuado con el propósito antes descrito, notamos ciertos aspectos sobre el funcionamiento del control interno de la Sociedad, que consideramos deben ser incluidos en este informe, tanto para cumplir con normas de auditoría generalmente aceptadas en Chile, como para aportar a la administración elementos que puedan contribuir a salvaguardar en forma más efectiva los activos de la Sociedad, a mejorar la calidad de la información, a optimizar la eficiencia administrativa y a lograr una mejor adhesión a las políticas de la Sociedad. Es importante hacer presente que ningún sistema de control interno puede lograr eliminar totalmente el riesgo de que errores o irregularidades ocurran y no sean detectados oportunamente. La recomendación incluida en este memorándum ha sido analizada con los responsables correspondientes, cuyo comentario se incluye a continuación de la recomendación.

3 Santiago, 29 de noviembre de 2014 Itau Chile Administradora General de Fondos S.A. 2 Este informe es únicamente para conocimiento y uso del Directorio y la Gerencia y, por lo tanto, no pretende ser un documento de carácter público. Queremos expresar nuestros agradecimientos tanto a los ejecutivos como al personal de Itau Chile Administradora General de Fondos S.A., por la importante colaboración que nos han prestado durante el desarrollo de este trabajo. Roberto J. Villanueva B.

4 I CONTROLES GENERALES COMPUTACIONALES 1. Eliminar los privilegios de securityadmin en las base de datos SQL Server de usuarios administradores del sistema operativo del servidor Durante nuestra revisión a las bases de datos SQL Server 2008 R2 de los servidores CLSTGBLSRVP06 y CLSTGSQLP18v9 que soportan los sistemas Unipass y SAP Bussines One respectivamente, observamos que existen tres (3) usuarios: CRSA2376, CFGA7526 y NBKU7AV, con privilegios de securityadmin en estos servidores; con lo cual pueden administrar los logins del servidor SQL no siendo esto parte de sus funciones según su cargo dentro de la Compañía. - Accesos a información privilegiada por parte de personal no autorizado. Se realizará la revisión del equipamiento indicado y se regularizarán las cuentas correspondientes. 2. Efectuar un mantenimiento correctivo a la configuración del sistema operativo Windows. a) Durante nuestra revisión a los sistemas operativo Windows del servidor CLSTGBLSRVP05, CLSTGBLSRVP06 y CLSTGSQLP18V9 que soportan la aplicación y la base de datos de los sistemas Unipass y SAP Bussines One, observamos que el parámetro "Password Must Meet Complexity Requirements" se encuentra deshabilitado, por consiguiente no se exige una contraseña compleja. Sin embargo, a lo largo de nuestra revisión, observamos la existencia y correcta operación de controles compensatorios como la configuración de bloqueo ante tres (3) intentos fallidos y acceso restringido a las dependencias de Itaú, por mencionar algunos. b) Observamos que los parámetros de auditoría del sistema operativo Windows del servidor CLSTGBLSRVP05 no se encuentran correctamente configurados para registrar los eventos fallidos y exitosos. c) Finalmente, dentro del grupo administrador del sistema operativo Windows de los servidores de base de datos: CLSTGBLSRVP06 y CLSTGSQLP18V9 ; observamos al grupo CHL_291_19_1_D del cual es miembro el usuario CLRS3631 quien cumple el cargo de DBA, por lo que no se cumple con una adecuada segregación de funciones dentro de la plataforma pudiendo llevar a cabo cualquier actividad en el servidor SQL y en el sistema operativo. Riesgos: - Eventuales accesos no autorizados al sistema operativo. - Actividades no autorizadas no serán detectadas y solucionadas de manera oportuna. a) Es una definición del Banco no utilizar contraseñas complejas. Se han implementado mecanismos de control que permiten mitigar adecuadamente el nivel de riesgo, como bloqueo de cuenta a los 3 intentos fallidos, largo de contraseña 8, entre otros. b) Respecto al SO se revisará la configuración de auditoría del sistema para integrar estos eventos al registro.

5 c) Se revisará el perfil asociado a este usuario para evitar el incumplimiento de la segregación funcional Registrar la fecha de creación, modificación y eliminación de las cuentas en los sistemas Unipass y SAP Bussines One. Durante nuestra revisión al proceso de creación, modificación y eliminación de cuentas, observamos que el sistema Unipass y SAP Bussines One no registra la fecha de creación, modificación y eliminación de cuentas de usuarios. Recomendamos evaluar la factibilidad de registrar en el sistema la fecha de creación, modificación y eliminación de la cuenta con el fin de mantener un mejor control de éstas. - Accesos no autorizados a los sistemas. Se evaluará la factibilidad de implementar esta recomendación. II. REVISIÓN DE USUARIOS Y PERFILES 4. Reforzar el control relacionado con la certificación de las políticas de suministros y efectuar un mantenimiento correctivo a los actuales listados de usuarios y perfiles del sistema Unipass y SAP BO que tienen relación con los accesos de usuarios configurados en los sistemas. Durante nuestra revisión observamos que anualmente se realiza un control en el que los owner de cada área certifican usuarios v/s el perfil asignado, sin embargo no se efectúa una adecuada certificación de las políticas de suministro, las cuales definen los accesos a cada perfil en los diferentes sistemas de la Compañía. Como parte de nuestra revisión, se efectuó la validación a los listados de usuarios y sus accesos en el sistema Unipass y SAP BO, observando las siguientes situaciones: a) Perfiles de usuarios con accesos al sistema Unipass que no están identificados en las Matrices de Regularización. MÓDULO MENÚ ACCESO UNIPASS PERFIL EJECUTIVOS Permite Modificar Participe Fondos SUPERVISOR GESTION COMERCIAL Participes Mutuos ADM OPERACIONES CORREDORA Mantención Cta. Cte. Cliente ADMINISTRATIVO APV Fondos Ingreso de Solicitudes de Inversión ADMINISTRATIVO APV Mutuos Solicitudes Solicitudes de Rescate ADMINISTRATIVO APV Trader (margen) Pantalla de Valorización Nacional Money Front Office Pantalla de Valorización Extranjero Ingreso IPC - Calculo UF JEFE CONTABILIDAD Y PARTICIPES SUBGERENTE OPERACIONES Recepción Archivos Charles River & OT5 Money Back Office Contabilización Operaciones ANALISTA MIDDLE

6 b) Inconsistencias en segregación de funciones para los accesos detallados a continuación: - Crear Nuevos Participes y Aprobar Participes 3 JEFE OPERACIONES APV JEFE PROYECTOS OPERATIVOS Y MIDDLE - Solicitar rescates y Autorizar rescates JEFE OPERACIONES APV JEFE PROYECTOS OPERATIVOS Y MIDDLE - Asignar operaciones y aprobar operaciones SUBTESORERO TESORERO c) Durante nuestra revisión se efectuó la validación a los listados de usuarios y perfiles del sistema Unipass observando un usuario que modificó su cargo, sin embargo permanece con accesos activos en el sistema Unipass, los que según su perfil no corresponden: User ID Perfil Estatus CWGD3464 GERENTE GENERAL ACTIVO El perfil Gerente General posee acceso a las siguientes transacciones sensitivas: Módulo Menú Acceso Fondos Mutuos Partícipes Ingreso de Solicitudes - Solicitudes por Aprobar Fondos Mutuos Ejecutivos Botón de Cierre Fondos Mutuos Ejecutivos Permite eliminar forma de pago Money Front Office Botón cierre d) Se observaron 3 usuarios con acceso al sistema SAP BO que no tienen relación con el área contable, de los cuales dos de ellos poseen amplios perfiles y el otro no se puede identificar su perfil ya que por sistema se encuentra en blanco. UserName Perfil Nombre Cargo Professional User TBZR2609 SAP AddOns ZENTENO RUBIO, B1i BLANCA CAROLINA SDK Tools ANALISTA SISTEMAS tris4008 COGM7578 Limited Financials User Indirect Access User Professional User SAP AddOns Workflow B1i SDK Tools IBAÑEZ SAAVEDRA, RODOLFO RAMIRO GARRIDO MARIN, OSCAR SAMUEL INGENIERO DE SEGURIDAD DE PROYECTOS ADMINISTRADOR DE ACCESOS

7 4 Riesgos: - Accesos a transacciones no autorizadas. - Acceso a transacciones críticas por personal no adecuado. - Desconocimiento de los accesos que poseen los usuarios. Se revisarán los casos y se regularizarán según corresponda 5. Actualizar la matriz en la cual se definen los perfiles y acceso de los usuarios al sistema SAP BO. Durante nuestra revisión se observó que la Matriz de Regularización de Auditoría de SAP BO no posee registrados todos los perfiles asignados a los usuarios en el sistema, los cuales son: - B1i - B1iINDIRECT_MSS - Indirect Access User - Limited Financials User - Professional User - SAP AddOns - SDK Tools - Workflow Se recomienda actualizar la matriz de perfiles de acceso considerando la totalidad de los perfiles existentes en el sistema. Riesgos: - Accesos a transacciones no autorizadas. - Acceso a transacciones críticas por personal no adecuado. - Desconocimiento de los accesos que poseen los usuarios. Se actualizará la matriz de perfiles teniendo en consideración la totalidad de los perfiles en el sistema. III. PROCESOS DE NEGOCIO Ciclo de Mesa de Dinero 6. Efectuar mejoras a la seguridad de planillas electrónica de la Administradora de Fondos Mutuos. Durante nuestra revisión a los controles establecidos por Itaú Chile Administradora General de Fondos referente a la seguridad de las planillas electrónicas, como las que se mencionan a continuación: - Estadísticas diarias - Conciliación AGF_3.0 - Histórico de carteras Observamos que éstas no cuentan con un nivel adecuado de seguridad que permitan resguardar la confiabilidad de la información contenida.

8 Recomendamos implementar medidas de seguridad como por ejemplo: - Control de cambios. - Directorios bloqueados para resguardar los input de las planillas de cálculo - Modificación de información contenida en las planillas Se incorporaron claves de accesos a las planillas electrónicas. 7. Fortalecer el proceso de la realización de Conciliaciones Bancarias Durante nuestra revisión, se observó que las conciliaciones bancarias son realizadas por el área de conciliaciones de la Sociedad y donde las mencionadas conciliaciones no son revisadas por un control por oposición. - Registro de información inconsistente al sistema. Se efectuarán las gestiones correspondientes para establecer la revisión. Proceso Contable 8. Fortalecer los procesos para el traspaso de Asientos de Apertura al inicio del ejercicio. Durante la revisión de los Asientos de Diario, se observó que los saldos de cierre del 2013 de tres (3) cuentas del balance no fueron traspasados al inicio del ejercicio del 2014, sin embargo la situación fue solucionada en el periodo de revisión (25/11/2014). Las cuentas observadas son las siguientes: 5 CUENTA NOMBRE SALDO AL CIERRE DE DEUDORES VARIOS LINEAS DE CRÉDITO BANCO ITAU IMPUESTO DIFERIDO POR PAGAR IFRS Inconsistencias en la presentación de los saldos de las cuentas contables. Este era un error exclusivamente de presentación en el Balance, los mayores estaban con los saldos correctos, se generó un problema en el proceso automático de cierre de año el cual fue solucionado con la actualización de la versión y corriendo el proceso nuevamente.

9 6 9. Finalizar la implementación de la aprobación sistémica de los Vouchers contables en el sistema SAP BO. Durante nuestra revisión al proceso de registro de los vouchers contables al sistema SAP Business One observamos que no existe una aprobación posterior a la carga en el sistema. Recomendamos finalizar la implementación de la aprobación sistémica de los Vouchers contables en el sistema SAP BO que permita contar con una revisión y aprobación que certifique la integridad del proceso. Riesgos: - Voucher mal registrados. - Registros contables erróneos. La finalización del proceso de aprobación se hará una vez que comencemos a trabajar con el nuevo proveedor del Soporte de SAP BO. Sin embargo los riesgos son minimizados con los controles compensatorios que se hacen periódicamente dentro del mes, como análisis de cuentas y cuadraturas.