Controles Esenciales para la Gestión de Cambios y Desarrollo de Software en Entornos de Producción

Controles de Implementación y Mantenimiento de Software

1. No se debe implementar un programa ejecutable en un sistema en producción sin evidencia del éxito de las pruebas, la aceptación del usuario y la actualización de las librerías de código fuente.
2. Se debe mantener un registro de auditoría y control de todas las actualizaciones a las librerías de programas en entornos de producción.
3. Se deben retener versiones anteriores de software como medida de precaución para contingencias.

Referencia de Control: C-29

Objetivo de la Prueba:

Determinar la efectiva participación de los Departamentos de origen, usuarios, Auditoría y la gerencia en todas las etapas del Ciclo de Desarrollo de Sistemas (SDLC), así como la aprobación y autorización de la gerencia y dueños de las aplicaciones.

Procedimiento de Auditoría:

1. Investigar en el archivo de correspondencia pertinente o en la documentación técnica la existencia de evidencia escrita que soporte la participación y aprobación de los Departamentos de origen, usuarios, Auditoría y la gerencia en cada una de las fases del Ciclo de Desarrollo de Sistemas.
2. Mediante entrevistas con los Departamentos de origen, usuarios, Auditoría y la gerencia, confirmar su efectiva participación en el desarrollo de las aplicaciones.
3. Verificar en el expediente o en la documentación técnica la existencia de una carta o memorando que evidencie la aprobación del funcionamiento u operación de las aplicaciones por parte de los Departamentos de origen y/o usuarios dueños, así como la confirmación de que la nueva aplicación cumple con todos los requerimientos solicitados.

Papeles de Trabajo:

1. Descripción y/o copia de la documentación escrita que sustenta la participación de los Departamentos mencionados en el desarrollo de aplicaciones.
2. Nombres del personal entrevistado que confirma su participación en el desarrollo de aplicaciones.
3. Análisis de los resultados obtenidos.

Referencia de Control: C-30

Objetivo de la Prueba:

Determinar la existencia de procedimientos definidos para solicitar y efectuar modificaciones a los programas, con el fin de garantizar que se realicen correctamente y minimizando la probabilidad de errores o fraudes.

Procedimiento de Auditoría:

1. Solicitar el manual de procedimientos para la gestión de modificaciones de programas y verificar:
   1. Que esté actualizado y sea de conocimiento de los analistas y programadores.
   2. Si el procedimiento contempla el uso de un formato especial con todos los datos de control pertinentes, tales como:
      • Departamento solicitante.
      • Aprobación del Departamento dueño de la aplicación.
      • Aprobación técnica del jefe de Sistemas.
      • Evidencia del responsable del cambio.
      • Evidencia del revisor y supervisor del cambio.
      • Evidencia del usuario que recibió a satisfacción el cambio o modificación.
   3. Si el procedimiento indica que las modificaciones o cambios se efectúen en la librería de código fuente.