Procedimientos de Auditoría para el Control de Sistemas de Información

1 Pruebas de cumplimiento para verificar las actividades de control generales

Técnicas de auditoría:

a) Desarrollo o adaptación de nuevos programas y sistemas:

• Indagación con los usuarios para comprobar que comprenden los sistemas y están satisfechos con los mismos.
• Inspección de las minutas de reuniones entre los analistas de sistemas y los usuarios, y entre los analistas de sistema y los auditores internos.
• Indagación con los auditores internos para conocer si son consultados cuando se desarrolla un nuevo programa o sistema en la entidad.
• Inspección de los documentos de las pruebas realizadas al programa o sistema.
• Inspección de la aprobación del programa o sistema por parte de la gerencia de informática.
• Inspección de la documentación soporte del sistema o programa preparada por los programadores de aplicaciones.

b) Cambios en programas y sistemas existentes:

• Inspección de los registros de solicitudes de cambios y hojas de modificaciones.
• Inspección de la aprobación de los cambios en los programas o sistemas por parte de la gerencia de informática.
• Inspección de los documentos de las pruebas realizadas al programa o sistema.
• Inspección de la documentación soporte del sistema o programa para corroborar que se corresponda con la versión en uso.

c) Acceso a los programas e información:

c.1) Controles de sistemas:

• Indagación con los usuarios preguntándoles sobre la existencia y uso de nombre de usuario y contraseña, así como la privacidad con que se guardan estos datos y la frecuencia del cambio de contraseña.
• Indagación con los usuarios sobre si mantienen actualizadas las listas de identificación de los usuarios y sobre el uso de controles de transmisión de información.
• Inspección de los registros de intentos de accesos fallidos y fuga de información para determinar si existe revisión y seguimiento por parte del sub-departamento de telecomunicaciones.

c.2) Controles físicos:

• Inspección física de las instalaciones donde se encuentra el computador central.

d) Operación del computador:

• Indagación con la gerencia del departamento de informática en cuanto al suministro de documentación del sistema a los operadores.
• Inspección del registro de operaciones y de los informes realizados por el sub-departamento de control de información con respecto a la evaluación y seguimiento realizado a los operadores.
• Observación de operadores durante la realización de sus funciones.