UNIVERSIDAD MAYOR DE SAN ANDRES FACULTAD DE CIENCIAS PURAS Y NATURALES CARRERA DE INFORMÁTICA AUDITORIA INFORMÁTICA MODULO III 3.1. Conceptos básicos M. Sc. Miguel Cotaña Mier Lp, mayo de 2015 1
AUDITORIA Es la actividad consistente en la emisión de una opinión profesional sobre si el objeto que es sometido a análisis presenta adecuadamente la realidad que pretende reflejar y/o cumple con las condiciones que le han sido prescritas. 2
Conocimiento de la TI: tener conocimiento necesario y suficiente en TIC s, NTIC s y concentrarse en aquellos aspectos que puedan ser relevantes desde la perspectiva de la auditoria y de los procesos de negocio de la organización; Identificar expectativas: del área funcional auditada respecto al servicio que será prestado. 3
AUDITORIA INFORMATICA Es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de los datos y utiliza los recursos en forma eficiente. Mario G. Piattini 4
FUNCIONES DEL AUDITOR INFORMATICO Participar en las revisiones durante y después del análisis, diseño, realización, implantación y explotación; Revisar y juzgar los controles implantados, para verificar cumplimiento de la alta gerencia; Revisar y emitir opinión sobre el nivel de eficacia, utilidad, fiabilidad y seguridad de los equipos e información. 5
El trabajo de auditores se enmarcan: Responsabilidad; Autoridad; Independencia; Relacion organizacional; Etica Profesional; Competencia; Planificacion; Preparacion de informe; Actividades para el seguimiento. 6
OBJETIVOS DE LA A.I. La finalidad principal del auditor es evaluar y dar seguimiento oportuno al conjunto de proyectos de auditoria en informática que serán ejecutados en un plazo determinado con el fin de apoyar directa o indirectamente las estrategias de negocio, considerando factores internos y externos de la organización. 7
MODULO III 3.2 La Auditoria en Informática y su Entorno 8
La Auditoria en Informática es un proceso de evaluación y control en el uso de recursos tecnológicos para el logro de las estrategias. Por lo tanto, debe contemplar el entendimiento del entorno del negocio como parte de las actividades primarias. 9
especialidades herramientas proveedores métodos TECNOLOGIA INFORMATICA personal infraestructura proyectos redes La informática como herramienta del AF, fortalece el desarrollo personal en su actividad diaria. 10
La informática es utilizada en todo proceso contable; Es un nuevo condicionante para el auditor: ha de trabajar ante y con elementos de TI; Los libros o soporte de los documentos financieros se encuentran materializados en los archivos electrónicos; 11
El auditor financiero (AF) ve alterado el objeto de su actividad. Ahora esta en soporte magnético; La auditoria financiera sigue siendo auditoria y financiera, con la diferencia de que en su objeto, el mismo de siempre, es decir, en la información financiera, se ha introducido la TI; 12
El AF, puede acceder directamente a los archivos electrónicos y proceder a su análisis de forma tambien electrónica; El AF, ha de aplicar procedimientos que utilizan técnicas asistidas por computador; El AF, utilizando medios electrónicos incrementa en velocidad, eficiencia y seguridad; El AF, en la ejecución de su trabajo destacan la inspección, observación, averiguación, confirmación, calculo y análisis. 13
MODULO III 3.3 Ética del Auditor de Sistemas 14
INTRODUCCIÓN La moral individual esta enraizada en forma única y personalizada, la necesidad de relacionarse y convivir unos individuos con otros en comunidad exige adaptación de las diferentes concepciones morales individuales a unas determinadas normas éticas. Toda persona debe ceñir su conducta a sus propias normas morales internas y aceptar la imposición de unas normas externas impuestas por la sociedad.
ÉTICA Es una ciencia que tiene por objeto de estudio a la moral y la conducta humanas. Nosotros sabemos qué cosa es buena, qué otra cosa es mala, si alguien es respetable o corrupto, leal o indigno, gracias a la ética, que es la que propone la valoración moral de las personas, acciones o situaciones y por lo tanto será esta misma la que guiará nuestro comportamiento y la que aparezca en momentos que sea necesario obtener una guía de cómo se debe actuar en determinadas oportunidades. MORAL La ética es diferente de la moral, porque la moral se basa en la obediencia a las normas, las costumbres y preceptos o mandamientos culturales, jerárquicos o religiosos, mientras que la ética busca fundamentar la manera de vivir por el pensamiento humano.
CÓDIGO DEONTOLÓGICO CONCEPTO Es el tratado de los DEBERES determinados por la ética que, en definitiva, fija íntimamente nuestras obligaciones en relación con la bondad o malicia de las acciones libremente ejecutadas. FINALIDAD Incidir en sus comportamientos profesionales estimulando que estos se ajusten a determinados principios morales que deben servirles de guía
PRINCIPIOS DEONTOLÓGICOS APLICACABLES A LOS A.I. Estos principios deben concordar con los del resto de profesionales y más con los de quienes cuya actividad presenten mayores relaciones con la de la auditoria. Los principios deontológicos son:
PRINCIPIO DE BENEFICIO DEL AUDITADO La actividad del auditor debe estar en todo momento dirigido a orientar el máximo provecho de su cliente; Cualquier actitud que anteponga intereses personales del auditor al auditado deberá considerarse como no ética; El auditor deberá evitar estar ligado en cualquier forma a intereses de determinadas marcas, productos o equipos del auditado con los de otros fabricantes; El auditor deberá abstenerse de recomendar actuaciones innecesarias o que generen riesgos injustificados para el auditado.
PRINCIPIO DE CALIDAD En caso de que los medios impidan o dificulten la realización de la auditoria deberá negarse a realizarla hasta que se le garantice un mínimo de condiciones técnicas que no comprometan la calidad de sus servicios. Si el auditor considera conveniente ganar el informe de otros técnicos mas cualificados sobre algún aspecto que supere su capacitación profesional deberá remitirlo a un especialista para mejor calidad de la auditoria.
PRINCIPIO DE CAPACIDADAD Principio relacionado con el de formación continúa; El auditor debe estar plenamente capacitado para la realización de la auditoria; El auditor puede incidir en la toma de decisiones de la mayoría de sus clientes con un elevado grado de libertad dada la dificultad practica del auditado; Debe ser consciente del alcance de sus conocimientos y de su capacidad y aptitud para desarrollar la auditoria evitando que una sobreestimación personal pudiera provocar el incumplimiento parcial o total de la misma; El auditor deberá procurar que sus conocimientos evolucionen con el desarrollo de las tecnologías de la información.
PRINCIPIO DE CAUTELA Sus recomendaciones deben estar basadas en la experiencia; Debe estar al corriente del desarrollo de las tecnologías de la información e informar al auditado de su evolución; Debe actuar con cierto grado de humildad evitando dar la impresión de estar al corriente de una información privilegiada.
PRINCIPIO DE COMPORTAMIENTO PROFESIONAL El auditor deberá actuar conforme a las normas implícitas o explicitas de dignidad de la profesión; Debe cuidar la moderación de la exposición de sus juicios u opiniones evitando caer en exageraciones o atemorizaciones; Debe transmitir una imagen de precisión y exactitud en sus comentarios; El comportamiento profesional exige del auditor una seguridad en sus conocimientos técnicos; El auditor debe guardar respeto por la política empresarial del auditado.
PRINCIPIO DE CONCENTRACIÓN EN EL TRABAJO El auditor deberá evitar que el exceso de trabajo supere sus posibilidades de concentración y precisión en cada una de las tareas; Deberá calcular las posibles consecuencias de la acumulación de trabajos; Evitar la practica de ahorro de esfuerzos basada en la reproducción de partes significativas de conclusiones obtenidos de trabajos anteriores.
PRINCIPIO DE CONFIANZA El auditor deberá facilitar e incrementar la confianza del auditado en base a una actuación de transparencia en su actividad profesional; Para que haya confianza se requiere una disposición de dialogo que permita aclarar las dudas por las dos partes; Debe adecuar su lenguaje a nivel de comprensión del auditado, si es necesario detallar su explicación.
PRINCIPIO DE CRITERIO PROPIO Este principio esta relacionado con el principio de independencia; El auditor deberá actuar con criterio propio y no permitir que este dependa de otros profesionales aún de reconocido prestigio; En caso de que aprecie diferencias de criterio con otros profesionales deberá reflejar dichas diferencias dejando de manifiesto su criterio.
PRINCIPIO DE ECONOMÍA El auditor deberá proteger los derechos económicos del auditado evitando generar gastos innecesarios; Debe procurar evitar retrasos innecesarios en la realización de la auditoria; Tener en cuenta la economía de medios materiales o humanos; Debe delimitar de forma concreta el alcance y limites de la auditoría; Deberá rechazar las ampliaciones de trabajo que no estén directamente relacionados con la auditoria aún a petición del auditado.
FORTALECIMIENTO Y RESPETO DE LA PROFESIÓN Deberá cuidar del reconocimiento del valor de su trabajo; La remuneración por su actividad profesional debería estar acorde con la preparación del auditor; Debe evitar competir deslealmente con sus compañeros rebajando sus precios a límites impropios; Deberá promover el respeto mutuo y la no confrontación entre compañeros.
PRINCIPIO DE INTEGRIDAD MORAL Obliga al auditor a ser honesto, leal y diligente en el desempeño de su misión; Evitar participar voluntaria o inconscientemente en cualquier acto de corrupción personal o de terceras personas; No aprovechar los conocimientos adquiridos durante la auditoria para utilizarlos en contra del auditado; Deberá emplear la máxima diligencia, dedicación y precisión utilizando su saber y entender.
PRINCIPIO DE LEGALIDAD El auditor deberá evitar utilizar sus conocimientos para facilitar a los auditados o terceras personas la desobediencia de la legalidad vigente; No consentirá ni colaborará en la eliminación de dispositivos de seguridad ni intentará obtener códigos o claves de acceso a sectores restringidos de información; Debe abstenerse de intervenir líneas de comunicación o controlar actividades que generen vulneración.
PRINCIPIO DE PRECISIÓN Relacionado con el principio de calidad exige al auditor la no conclusión de su trabajo hasta estar convencido; En la exposición de sus conclusiones debe ser critico; Debe indicar como ha evaluado únicamente aquello que haya comprobado u observado de forma absoluta.
PRINCIPIO DE RESPONSABILIDAD El auditor debe responsabilizarse de lo que haga, diga o aconseje; Está obligado a hacerse cargo de daños o prejuicios que pueden derivarse de una actuación culpable.
PRINCIPIO DE SECRETO PROFESIONAL La confidencia y confianza son características esenciales de las relaciones entre el auditor y el auditado; El auditor no debe difundir a terceras personas ningún dato que haya visto, oído o deducido durante el desarrollo de su trabajo; Imponer medidas y mecanismos de seguridad para garantizar al auditado que la información documentada va ha estar segura.
PRINCIPIO DE VERACIDAD Debe siempre asegurar la veracidad de sus manifestaciones con los limites impuestos por los deberes de respeto, corrección y secreto profesional.
CÓDIGO DE ÉTICA PROFESIONAL DE ISACA Rige la conducta de los auditores informáticos certificados y miembros de dicha asociación. Los Miembros y los tenedores de certificación de ISACA deberán: Soportar la implementación de, y fomentar el cumplimiento de, las normas, los procedimientos, controles apropiados, seguridad y riesgos para los sistemas de información; Ejecutar sus deberes con objetividad, debida diligencia y atención profesional, en conformidad con las normas y mejores prácticas profesionales;
CÓDIGO DE ÉTICA PROFESIONAL DE ISACA Servir en el interés de los accionistas en una forma legal y honesta, y al mismo tiempo mantener altos estándares de conducta y de carácter, y no dedicarse a actos que puedan deshonrar la profesión; Mantener la privacidad y la confidencialidad de la información obtenida en el curso de sus funciones a menos que la autoridad legal requiera su revelación. Dicha información no será usada para beneficio personal ni revelada a terceros inapropiados.
CÓDIGO DE ÉTICA PROFESIONAL DE ISACA Mantener competencia en sus campos respectivos y acordar emprender únicamente las actividades que ellos puedan razonablemente esperar realizar con competencia profesional. Informar a las personas apropiadas sobre los resultados del trabajo realizado, revelando todos los hechos significativos de los que ellos tengan conocimiento. Soportar la educación profesional de los accionistas para aumentar su comprensión de la seguridad y el control de los sistemas de información.