CAP. 12 PROPUESTA DE PUNTOS QUE SE DEBEN EVALUAR EN UNA AUDITORÍA DE SISTEMAS COMPUTACIONALES

En el desarrollo de sistemas se debe emplear la misma metodología que utilizan los
diseñadores de sistemas o el equipo de trabajo asignado. Mientras que el objetivo
primario del auditor es evaluar la suficiencia de los controles internos, el objetivo
del diseñador de sistemas es satisfacer las necesidades de los usuarios; ambos deberían
compartir el deseo de ver que se logran los objetivos de cada uno.


PARTICIPACION DEL AUDITOR

Aún cuando el auditor esté interesado en todos los aspectos del nuevo sistema, debe
velar porque se establezcan todos los controles de aplicación. Su principal función
es asegurar que los sistemas, recientemente implantados incluyan características
de control sólidas y confiables. En términos generales es ayudar a prevenir que
se implanten sistemas de aplicación que tengan riesgos importantes.

El auditor participa en el proceso de desarrollo de sistemas revisando la documentación
generada como producto final de ciertas actividades de desarrollo de sistemas.
En estas actividades su interés se concentrará primordialmente en el desarrollo
e implantación de controles de aplicación adecuados.

El auditor necesita reconocer que su participación durante el desarrollo de los
sistemas puede amenazar su independencia y deberá tomar medidas para evitar esta
pérdida. Estas medidas incluyen:
* Permanecer organizacionalmente independiente del grupo de sistema. Esto significa
que el auditor no es un miembro en propiedad del grupo de desarrollo de sistema
y no le quita la dirección del proyecto al gerente del grupo del proyecto.
* Redactar los informes independientemente del grupo del proyecto. Las opiniones
del auditor, sus recomendaciones y sus evaluaciones no deberían incluirse en los
informes de status del proyecto puesto que el emisor de los informes (usualmente
el gerente del grupo del proyecto) tiene autoridad editorial para modificar las
declaraciones del auditor.
* Investigar independientemente del grupo del proyecto. El grupo del proyecto puede
estar restringido a ciertos contactos y cierta autoridad, pero el auditor tiene
libre acceso a la información y al personal de la organización.


PROGRAMA DE TRABAJO

1. Establecer el planeamiento preliminar del trabajo de auditoría: En este primer
paso se obtiene un conocimiento inicial de las actividades del sistema y evaluarlas
en relación con los objetivos de auditoría, a fin de determinar el alcance preliminar.


2. Participación del Auditor en el Desarrollo de Sistemas: Determinar el grado de participación del auditor en cada fase del ciclo de vida del sistema, una vez
que ha sido identificado. Los auditores de sistema necesitan participar en el proceso
de desarrollo de los sistemas para garantizar que los nuevos sistemas de información
diseñen las medidas adecuadas de auditoría y de control. Los dos tipos de autorización
donde se involucra el auditor son: El auditor debe tener un grado de participación
mediante un acuerdo y revisión de las fases.


Acuerdo: Es el acuerdo formal con el contenido del producto tangible. En caso de
desacuerdo, la persona responsable de evaluar el producto tangible prepara un memorando
indicando su posición y los items que requieren solución y lo envía o remite al
siguiente nivel superior gerencial.
Revisión: Los productos tangibles son presentados para información solamente; pueden
hacerse comentarios pero ellos no son decisivos.


3. Revisión de Productos Finales: Acordar y revisar las actividades y el producto
final de cada fase del ciclo de vida del desarrollo del sistema. El auditor debe
revisar que las firmas de aprobación para todos los productos tangibles están plasmadas
en el control de aceptación de etapas. Así mismo el auditor debe preparar los papeles
de trabajo con el propósito de evidenciar y documentar los resultados de la investigación
del proyecto y que sirvan como material de referencia para esfuerzos futuros.


4. Identificar las fuentes de información para las revisiones y/o pruebas de auditoría:
Este paso incluye la identificación de las fuentes de información que se requieren
en los procesos de prueba y revisión. Las fuentes de información proveen los medios
para la revisión y documentación de las actividades de auditoría y verificación
de controles.