Fundamentos y Tipología de la Auditoría Informática: Objetivos, Roles y Estructura Organizacional

Causas y Motivaciones de la Auditoría Informática

• Desorganización.
• Insatisfacción de usuarios.
• Debilidades económico-financieras.
• Inseguridad de los SI (Sistemas de Información).
• Necesidad de Cumplimiento de la legalidad.

Objetivos y Beneficios de la Auditoría Informática

Objetivos Fundamentales

• Mantenimiento de la operatividad.
• La mejora de la eficiencia, la seguridad y la rentabilidad del SI sobre el que actúa.

Beneficios para la Entidad Auditada

• Refuerza la imagen pública.
• Otorga confianza en los usuarios sobre la seguridad y control de los servicios de T.I.
• Optimiza las relaciones internas.
• Reduce los costos de mala calidad.
• Proporciona un balance de los riesgos en TI.
• Realiza un control de la inversión en TI.

El Rol del Auditor Informático

Funciones y Deberes del Auditor

¿Qué debe hacer el auditor?

• Recomendar soluciones.
• Ser independiente y objetivo.
• Ser competente en A.I. (Auditoría Informática).
• Diagnosticar en base a verificaciones (evidencia).
• Mantenerse actualizado.

Acciones Prohibidas para el Auditor

¿Qué no debe hacer el auditor?

• Obligar o amenazar.
• Actuar en beneficio propio.
• Diagnosticar en base a suposiciones.
• Dejar obsoletos sus conocimientos.

Organización del Departamento de Auditoría Informática

El departamento de auditoría informática debe garantizar su independencia funcional.

Principios de Dependencia Jerárquica

• No debe depender del Responsable de Informática ni de ninguna de sus áreas, ni tampoco del Administrador de Seguridad.
• Podría depender de la Dirección General o del Director de Auditoría General.

Principios Organizacionales

La organización tipo de la A.I. debe contemplar los siguientes principios:

• Su localización puede estar ligada a la localización de la auditoría interna.
• Debe ser independiente de auditoría interna (a nivel funcional, aunque pueda compartir ubicación).

Clasificación de la Auditoría Informática

1. Según el Área de Aplicación

Auditorías Generales

• Dirección Informática.
• Usuarios.
• Auditoría Interna.
• Seguridad (actividades generales).

Auditorías Específicas

• Explotación.
• Desarrollo.
• Sistemas con Sistemas Operativos.
• Comunicaciones.
• Seguridad Física y Lógica.

2. Según los Realizadores (Origen del Auditor)

Auditorías Internas

Realizada por los empleados de la misma empresa.

• Ventaja: Lo realizan las personas de la empresa (conocimiento interno).
• Desventaja: Falta de objetividad.

Auditorías Externas

Realizada por personas externas a la empresa.

• Ventaja: Objetividad.
• Desventaja: Mayores costes y posible alejamiento de los problemas específicos de la empresa.

Auditorías Mixtas

Equipo mixto de auditores internos y externos.

3. Según el Ámbito de Aplicación

Cifras (Control de Datos)

• Control de entrada de datos.
• Control de tratamiento de datos.
• Control de salida de datos.

Procedimientos

• Adecuación de los métodos utilizados.
• Adecuación de la documentación.
• Adecuación de la norma aplicada.

Gestión

Evaluación de la administración y dirección de los recursos de TI.

4. Según Especificidad (Tipos de Cumplimiento)

• Cumplimiento de controles.
• Concienciación (dirección y usuarios).
• Cumplimiento de legislación.
• Remuneración de RRHH de SI (Sistemas de Información).