Optimización de Procedimientos de Auditoría de Software: Adquisición y Calidad

Controles de Procedimiento para la Gestión de Software

Controles de Instalación y Desinstalación de Programas

1. Verifique que el procedimiento considere un proceso seguro para instalar y desinstalar un programa que haya sido o vaya a ser modificado.
2. Cerciórese de que el procedimiento prohíbe y/o restringe a los operadores del computador realizar cambios, incluso si son menores, a programas y/o procedimientos operativos.

Referencia de Control: C-31 - Adquisición de Software

Objetivo de la Prueba

Determinar la existencia de un procedimiento formal (un estudio de factibilidad) que asegure que las nuevas aplicaciones cumplirán los requisitos de información solicitados por los usuarios, proporcionarán más beneficios que costos y garantizarán la transparencia en la compra o adquisición de nuevo software. (Aplicable a aplicaciones importantes y de magnitud sustancial)

Procedimiento de Auditoría

1. Solicite la documentación que evidencie el proceso de desarrollo o la realización de un estudio de factibilidad de una aplicación desarrollada recientemente y verifique la existencia de los siguientes elementos:
   • Requerimientos de los usuarios.
   • Análisis técnico y económico.
   • Alternativas de solución y/o de procesos.
2. Verifique que los sistemas adquiridos han sido evaluados y certificados por entidades competentes y confiables.
3. Verifique que existen consideraciones adecuadas para la adquisición de software adquirido o desarrollado externamente:
   • En la medida de lo posible, se utilicen los paquetes de software sin modificaciones.
   • Posibilidad de obtener los cambios requeridos como actualizaciones normales de los programas del proveedor.
   • Si se efectúan cambios a los paquetes de software, se debe obtener el consentimiento del proveedor.
4. Solicite la documentación de respaldo existente en un proceso de adquisición sustancial de software de aplicación y verifique la existencia de:
   • Requerimientos de necesidades de los usuarios.
   • Análisis técnico y económico de los requerimientos de los usuarios.
   • Proceso transparente de licitación en la compra del software, tales como:
     • Determinación de posibles proveedores.
     • Revisión uniforme de requerimientos.
     • Recepción uniforme de ofertas.
     • Proceso transparente de apertura de ofertas.

Referencia de Control: C-32 - Control de Calidad de Aplicaciones

Objetivo de la Prueba

Determinar la existencia de un eficiente procedimiento de control de calidad en el desarrollo de las aplicaciones antes de su puesta en funcionamiento o entrega al usuario, verificando que los sistemas de información satisfagan las siete características de información de COBIT: Eficiencia, Efectividad, Integridad, Confidencialidad, Disponibilidad, Confiabilidad y Cumplimiento con Leyes y Regulaciones.

Procedimiento de Auditoría

1. Solicite el procedimiento de control de calidad de nuevas aplicaciones y determine lo siguiente:
   • Esté actualizado.
   • Sea del conocimiento del personal responsable.