Auditoría a distancia y Auditoría continua

Transcripción

1 nuevas tecnoogías Auditoría tecnoógicamente avanzada: Auditoría a distancia y Auditoría continua Estas técnicas de auditoría se están extendiendo en as organizaciones. Es a evoución ógica resutante de a mecanización de as pruebas de auditoría tradicionaes. A pesar de os mútipes beneficios que aportan, su apicación no es simpe e impica un cambio estratégico reevante para a función de auditoría 42

2 Manue Mendioa Antona Certificado CIA, CISA y CISM Director IT Advisory KPMG Aunque a auditoría tradiciona basada en pruebas sustantivas sobre una muestra de a pobación a anaizar está dando paso a un enfoque orientado a anáisis de os riesgos y controes existentes en a organización, e enfoque sustantivo sigue siendo necesario. En ocasiones, e auditor no tiene suficiente confianza en os controes existentes, se producen cambios estructuraes o técnicos que impican nuevos riesgos que tardan un tiempo en gestionarse, o simpemente agún factor imprevisto hace que se origine una incidencia materia debido a un riesgo teóricamente controado. A mismo tiempo, as auditorías internas y/o externas, se enfrentan a organizaciones cada vez más grandes, con un mayor voumen de operaciones y con unos procesos cada vez más automatizados. Incuso en una auditoría enfocada excusivamente a a revisión de controes, a vaidación de os mismos puede suponer una carga de trabajo enorme para cubrir un umbra de riesgo razonabe y probar adecuadamente e funcionamiento de os controes seeccionados. Por eo, es necesario pantearse técnicas que permitan afrontar esta situación con éxito. La auditoría tecnoógicamente avanzada aprovecha a potencia que ofrecen os sistemas de información para pantear a automatización de as pruebas, o que permite incrementar a función de contro de auditoría interna, mejorando su acance, profundidad, efectividad y periodicidad a a vez que, normamente, se reduce su coste o se incrementa su eficiencia. Si bien es cierto que desde hace más de veinte años que existen herramientas para esta abor, su utiización suee ser aperiódica, según surge aguna necesidad puntua, y sin un pan de acción o incuso metodoogía de trabajo definido. E enfoque de auditoría tecnoógicamente avanzada es un primer paso que permite, si a organización o desea, adoptar modeos de auditoría a distancia y auditoría continua. La auditoría a distancia pretende faciitar e seguimiento de os diversos riesgos sin necesidad de reaizar una visita in situ a a ubicación física objeto de a auditoría centros de procesamiento de datos, sucursaes, etc.. FICHA RESUMEN Autores: Manue Mendioa Antona Títuo: Auditoría tecnoógicamente avanzada: Auditoría a distancia y Auditoría continua Fuente: Partida Dobe, núm. 204, inas 42 a 47, noviembre 2008 Locaización: PD Resumen: E autor hace hincapié en os beneficios de uso de modeos y pataformas de auditoría a distancia y/o continua, dado que incrementa notabemente e contro sobre os procesos de negocio, ayudando a centraizar y faciitar pruebas críticas y recurrentes, así como priorizar as acciones a tomar. No obstante, advierte que su apicación no es simpe, e impica un cambio estratégico reevante en e que habrá que considerar aspectos como e ámbito de actuación a cubrir, a impicación de as áreas de tecnoogía, recursos técnicos y humanos reacionados con e seguimiento de os eventos, canaes de comunicación con as unidades, anáisis funcionaes, anáisis técnicos, etc. Descriptores ICALI: Auditoría. Tecnoogía. Sistemas integrados de gestión. 43

3 nuevas tecnoogías nº 204 noviembre 2008 Una auditoría continúa (1) permite, además, detectar desviaciones respecto a una situación de normaidad casi en e momento que se producen, o que redunda en un mayor autocontro de os riesgos y un incremento en a sensación de contro por parte de auditado. Para eo, se recopian una serie de evidencias e indicadores eventos con una periodicidad determinada. Estos eventos, a su vez, generan un determinado voumen de ocurrencias que han de anaizarse posteriormente. Por ejempo, gran parte de as pruebas de auditoría que se reaizan en as visitas presenciaes a as sucursaes de as entidades financieras se podrían automatizar y ejecutar de forma centraizada, o que ahorraría tiempo y dinero en despazamientos y permitiría cubrir diariamente e 100% de as sucursaes que pueden ser mies, en vez de reaizar as pruebas sobre una muestra de eas una vez a año. ASPECTOS A CONSIDERAR En genera, se pueden distinguir cuatro tipos de eventos reacionados con estas técnicas: Preauditorías: ejecución de pruebas de auditoría predefinidas (simuaciones de procesos, anáisis de integridad ) y obtención de información a distancia sobre e departamento, unidad o función a evauar. Entre otros, es conveniente que esta pataforma tenga una serie de móduos que permitan a administración y parametrización de eventos, a consuta de resutados, a asignación de os mismos a os diferentes auditores, comunicación con as unidades auditadas, etc. También existen herramientas en e mercado orientadas a este tipo de enfoques, aunque es necesario evauar si reamente cubren nuestras necesidades por competo o nos conviene más evar a cabo un desarroo a medida. BENEFICIOS POTENCIALES E uso de estas técnicas impica numerosos beneficios. Entre otros cabe destacar: 3 Se puede egar a revisar e 100% de universo auditabe de a organización. 3 Se anaiza e 100% de as operaciones en vez de auditar muestras. 3 La revisión se puede reaizar con una periodicidad diaria. Permite a creación de un sistema de seguimiento permanente de a evoución de os riesgos. 3 E pan de auditoría se puede adecuar según os resutados obtenidos diariamente. KPI s (Key Performance Indicators): indicadores, anáisis y ratios cave para e diseño de pan de auditoría y a identificación y priorización de os trabajos más reevantes. Aarmas: aertas sobre cuaquier situación atípica, de riesgo que precisa una intervención puntua o pruebas en detae. 3 Permite reaizar pruebas adicionaes sobre a caidad, consistencia e integridad de a información. 3 Se incrementa a sensación de vigiancia en e área auditada. 3 Los auditores se pueden especiaizar en e anáisis de determinados tipos de ocurrencia. Excepciones: faos en transacciones, controes, seguridad, segregación de funciones, etc. Un modeo de auditoría a distancia y/o continua puede ser ago tan sencio como un conjunto de consutas a sistema informático panificadas para reaizarse cada cierto tiempo. 3 Se reduce e riesgo de auditoría. 3 Se pueden generar fácimente rankings, estadísticas y anáisis. 3 Faciita a detección de fraudes u operaciones erróneas a poco tiempo de producirse (auditoría preventiva). Sin embargo, un buen modeo supone mucho más. Se ha de enfocar como sistema de información o pataforma independiente desde e que se gestionen os diferentes eventos y se centraicen, distribuyan y anaicen os resutados. CARACTERÍSTICAS DEL DISEÑO En e diseño de a pataforma para a apicación de técnicas de auditoría a distancia y/o continua habrá que considerar tres aspectos fundamentaes: (1) No confundir con a monitorización continua, a cua se desarroa por diferentes departamentos de a organización como una actividad de contro. Aunque e funcionamiento puede ser simiar, no goza de a independencia que tiene a función de auditoría. Cuando una organización reaiza auditoría continúa y monitorización continua se puede ograr a seguridad continua). Ubicación de os datos: Se define si a pataforma obtiene a información necesaria para os eventos directamente de as bases de datos y ficheros de as apicaciones o bien se crea un repositorio específico en e 44

4 Auditoría tecnoógicamente avanzada: Auditoría a distancia y Auditoría continua que se deposita periódicamente toda a información necesaria. En os siguientes cuadros se recoge un resumen de beneficios e inconvenientes de cada una de estas aternativas: Definición de eventos: Hay que identificar a estrategia a seguir en e desarroo de eventos para a pataforma. Eventos fijos: Definidos por e persona de Auditoría y desarroados por e departamento de Tecnoogía, un proveedor externo, etc. Cada vez que se quiera crear un nuevo tipo de evento fijo, habría que encargar un desarroo a medida. Eventos dinámicos: Serían definidos, desarroados y parametrizados por os propios usuarios de Auditoría. Para eo, os auditores podrán programar eventos mediante e uso de una serie de comandos simiares (aunque más sencios) a os que se utiizan en a creación de consutas a bases de datos. E departamento de Tecnoogía soo participará en caso de que se necesite desarroar e acceso o a incorporación a repositorio de un atributo de información no recogido hasta ese momento. Repositorio de información Faciita a generación de históricos. No impacta en e desarroo de negocio. Más sencio. Modeo de datos a medida. Faciita independizar e diseño de a pataforma de diseño de as apicaciones. Fáci de mantener en caso de cambios reevantes en a estructura de a información de as apicaciones. Compejidad en a extracción de grandes cantidades de datos. UBICACIÓN DE LOS DATOS Acceso directo a bases de datos de as apicaciones No es necesario extraer os datos de entorno de as apicaciones de a organización. No se dupica a información. Ocupa menos espacio en disco. Se reduce e riesgo de faos en a integridad de a información. Se incrementa a seguridad de a información. Tiempo de ejecución más rápido. Es más compejo impantar a opción de eventos dinámicos. Actuaización de resutados: En a auditoría continua habrá que definir a frecuencia de actuaización de os resutados de os eventos, a cua puede ser instantánea (Auditoría recibe información de evento según se produce) o periódica se recibe esta información con una frecuencia superior, ya sea diaria, semana, etc.. FIGURA 1 ASPECTOS BÁSICOS A EVALUAR EN EL DISEÑO DE HERRAMIENTAS DE AUDITORÍA A DISTANCIA Y/O CONTINUA Ubicación de os datos Eventos Fijos La compejidad de impantación es baja. Iniciamente se puede definir e impementar un conjunto de eventos. Cada nuevo tipo de evento requiere un desarroo posterior, raentizándose su disponibiidad. DEFINICIÓN DE EVENTOS Eventos Dinámicos E número de eventos definibes es iimitado (dependiendo de a riqueza de información de os sistemas o e repositorio). Independencia casi tota de áreas de Tecnoogía. Se minimiza e mantenimiento y maximiza a potencia de a herramienta. Compejidad de impantación ata. Definición de Eventos Acceso directo BD apicaciones Eventos Fijos Eventos Dinámicos Repositorio Instantánea Periódica Actuaización Resutados ACTUALIZACIÓN RESULTADOS Instantánea La información de os eventos se actuaiza en tiempo rea. Posibiidad de responder sin demora ante faos críticos. Habituamente, esta opción no permite e uso de repositorios. Periódica Los procesos de generación de eventos se pueden retrasar a os momentos en que os sistemas tienen menos trabajo. La antigüedad de a información se puede graduar según a urgencia de evento (por ejempo, un día para os críticos). Los errores en os procesos son más sencios de gestionar. 45

5 nuevas tecnoogías nº 204 noviembre 2008 En e siguiente cuadro se recoge un resumen de estos enfoques orientados a tres posibes modeos de impantación: EVENTO FIJO PERIÓDICA REPOSITORIO TIPO PLATAFORMA EVENTO DINÁMICO INSTANTANEA BASES DE DATOS EVENTO DINÁMICO PERIÓDICA REPOSITORIO Coste impantación Muy Bajo Ato Muy Ato Coste mantenimiento Ato Bajo Muy Bajo Potencia Baja Muy ata Ata Impacto en os Sistemas de Información Muy Bajo Ato Bajo Naturamente, a estrategia a seguir depende de varios res como e tamaño de a organización, necesidades, objeti- facto- FIGURA 2 FASES DE UNA POSIBLE IMPLANTACIÓN DE vos estabecidos, cada cuanto es necesario incorporar o modificar eventos, etc. UNA PLATAFORMA DE AUDITORÍA A DISTANCIA Y CONTINUA Además de os aspectos mencionados, es conveniente que una pataforma de auditoría a distancia y/o continua reúna as siguientes características: Diseño de a pataforma Definición de eventos iniciaes 3 Se puedan modificar todos os parámetros de evento que se desee vaores que generan ocurrencia, periodicidad de ejecución, importancia. 3 Se pueda ajustar a gravedad de un determinado evento en función de departamento o unidad auditada. 3 Se puedan excepcionar situaciones especiaes para que no generen ocurrencias. 3 Se pueden definir diversos tipos de rankings. 3 Las ocurrencias se asignen a os distintos auditores y equipos, siendo posibe supervisar su anáisis. 3 Se puedan crear soicitudes automáticas de información a as unidades auditadas. 3 Ejecución de eventos en modo Pruebas que permita evauar diversas combinaciones de parámetros hasta encontrar a que se ajusta a voumen de ocurrencias esperado/gestionabe. 3 Ha de ser escaabe y adaptabe a situaciones y requerimientos futuros 3 En genera, e funcionamiento de a pataforma sea simpe e intuitivo. 5. FASES IMPLANTACIÓN Aunque existen diversas metodoogías para e desarroo de estas pataformas, un posibe ejempo sería e que se recoge en a Figura 2. Identificación de atributos Desarroo de a pataforma Formación Impantación A continuación se recoge un posibe conjunto de actividades a reaizar en cada fase (2) : DISEÑO DE LA PLATAFORMA Identificación de requerimientos de os usuarios. Anáisis de a soución técnica voúmenes de datos, dimensionamiento hardware. Vaidación de os requisitos. Operativa de negocio y funcionamiento. Diseño de funcionamiento de pantaas, interfaces, etc. Vaidación con e usuario. Diseño de modeo de datos de a pataforma. Definir e proceso de extracción de a información, su posterior ubicación y nomencatura. (2) En este ejempo se ha supuesto e desarroo competo de una pataforma basada en un repositorio, eventos dinámicos y una actuaización de resutados periódica. 46

6 Auditoría tecnoógicamente avanzada: Auditoría a distancia y Auditoría continua DEFINICIÓN DE EVENTOS INICIALES Definición de as tipoogías de evento a incuir indicadores, aarmas, KPIs, información de gestión. Identificación de os procesos de negocio invoucrados, sus riesgos y os controes existentes actuamente. Identificación y pre-definición de os eventos iniciaes a incuir en a pataforma. Contraste con os programas de trabajo de auditoría y a operativa habitua para confirmar que no dejan aspectos susceptibes de automatizar. Definición de parámetros iniciaes. Estimación de sus vaores idóneos. FORMACIÓN Desarroo de materia de formación que permita: 3 Proporcionar a administrador de a herramienta os conocimientos necesarios para gestionara, configurara, añadir nuevos eventos o parámetros, etc. 3 Proporcionar a os auditores os conocimientos necesarios para navegar por a pataforma, ejecutar as pruebas e interpretar os resutados. 3 Proporcionar os conocimientos necesarios para e mantenimiento técnico de a pataforma -nuevas funciones, cambios de diseño, etc.-. IMPLANTACIÓN IDENTIFICACIÓN DE ATRIBUTOS Identificar y anaizar os diferentes atributos de información invoucrados en as diferentes tipoogías de eventos. Identificar os campos existentes en os diferentes ficheros y bases de datos de as apicaciones que proporcionarán os atributos de información requeridos. Definición de pruebas de integridad sobre a información extraída. Diseño de repositorio, su ubicación y os requerimientos de acceso y capacidad. Diseño de os móduos de conexión entre e repositorio y as diferentes apicaciones de as que se extraerá a información. DESARROLLO DE LA PLATAFORMA Desarroo de os móduos de conexión de repositorio con cada una de as apicaciones para evar a cabo a descarga de información. Gestión de probemas voúmenes ingentes de información, ausencia de información histórica. Programación de a pataforma -móduos de administración, consuta, comunicaciones, etc.-. Reaización de pruebas técnicas y de usuario sobre todo e sistema. Pruebas de diseño de os eventos. Ajuste inicia de parámetros. Eaboración de manuaes. Puesta en marcha de a pataforma. Pruebas finaes. Ajustes finaes de a herramienta (eventos y parámetros). Revisión de procedimiento de eaboración de a panificación anua de auditoría. Cambios organizativos en e departamento de Auditoría Cambios metodoógicos en os enfoques de auditoría. Cambios metodoógicos en os programas de trabajo 6. CONCLUSIONES E uso de modeos y pataformas de auditoría a distancia y/o continua incrementa notabemente e contro sobre os procesos de negocio, ayudando a centraizar y faciitar pruebas críticas y recurrentes, así como priorizar as acciones a tomar. No obstante, su apicación no es simpe, e impica un cambio estratégico reevante en e que habrá que considerar aspectos como e ámbito de actuación a cubrir, a impicación de as áreas de tecnoogía, recursos técnicos y humanos reacionados con e seguimiento de os eventos, canaes de comunicación con as unidades, anáisis funcionaes, anáisis técnicos, etc. En función de umbra de toerancia de cada evento, e voumen de ocurrencias será mayor o menor. Esto determinará e voumen de persona necesario para anaizar os resutados obtenidos o a revés, en función de os recursos disponibes se estabecerá e umbra de toerancia. Su éxito no se mide en una reducción de voumen de auditores de departamento, sino en una mayor cobertura de os riesgos. Por eo, estos proyectos han de pantearse como estratégicos para a función de auditoría, dotándoos de un voumen de recursos y tiempo muy reevante para su desarroo y utiización. 47