UNIVERSIDAD NACIONAL DE EDUCACIÓN
ENRIQUE GUZMÁN Y VALLE “ALMA MATER DEL MAGISTERIO NACIONAL”
FACULTAD DE TECNOLOGÍA
TEMA: AUDITORÍA INFORMÁTICA
Especialidad: Electrónica e Informática
Presentado por: JESÚS IVANOV ARIAS LIMAYLLA La Cantuta - Chosica Febrero del 2013
1º INTRODUCCION INTRODUCCION. 2º OBJETIVOS DE LA INFORMATICA INFORMATICA. 3º OBJETIVOS DE LA AUDITORIA INFORMATICA. 4º PRINCIPIOS Y REGLAS DE AUDITORIA. 5º LOS MEDIOS DISPONIBLES Y ESPECIFICOS DE AUDITORIA. BIBLIOGRAFIA
INTRODUCCION : A finales del siglo XX, los Sistemas Informáticos se han constituido en las herramientas más poderosas para materializar uno de los conceptos más vitales y necesarios para cualquier organización empresarial, los Sistemas de Información de la empresa. La Informática hoy, está subsumida en la gestión integral de la empresa, y por eso las normas y estándares propiamente informáticos deben estar, por lo tanto, sometidos a los generales de la misma. En consecuencia, las organizaciones informáticas forman parte de lo que se ha denominado el "management" o gestión de la empresa. Cabe aclarar que la Informática no gestiona propiamente la empresa, ayuda a la toma de decisiones, pero no decide por sí misma. Por ende, debido a su importancia en el funcionamiento de una empresa, existe la Auditoría Informática. El término de Auditoría se ha empleado incorrectamente con frecuencia ya que se ha considerado como una evaluación cuyo único fin es detectar errores y señalar fallas. A causa de esto, se ha tomado la frase "Tiene Auditoría" como sinónimo de que, en dicha entidad, antes de realizarse la auditoría, ya se habían detectado fallas. El concepto de auditoría es mucho más que esto. La palabra auditoría proviene del latín auditorius, y de esta proviene la palabra auditor , que se refiere a todo aquel que tiene la virtud de oír. Por otra parte, el diccionario Español Sopena lo define como: Revisor de Cuentas colegiado. En un principio esta definición carece de la explicación del objetivo fundamental que persigue todo auditor: evaluar la eficiencia y eficacia. Si consultamos el Boletín de Normas de auditoría del Instituto mexicano de contadores nos dice: " La auditoría no es una actividad meramente mecánica que implique la aplicación de ciertos procedimientos cuyos resultados, una vez llevado a cabo son de carácter indudable." De todo esto sacamos como deducción que la auditoría es un examen crítico pero no mecánico, que no implica la preexistencia de fallas en la entidad auditada y que persigue el fin de evaluar y mejorar la eficacia y eficiencia de una sección o de un organismo. El auditor informático ha de velar por la correcta utilización de los amplios recursos que la empresa pone en juego para disponer de un eficiente y eficaz Sistema de Información. Claro está, que para la realización de una auditoría informática eficaz, se debe entender a la empresa en su más amplio sentido, ya que una Universidad, un Ministerio o un Hospital son tan empresas como una Sociedad Anónima o empresa Pública. Todos utilizan la informática para gestionar sus "negocios" de forma rápida y eficiente con el fin de obtener beneficios económicos y reducción de costes.
Por eso, al igual que los demás órganos de la empresa (Balances y Cuentas de Resultados, Tarifas, Sueldos, etc.), los Sistemas Informáticos están sometidos al control correspondiente, o al menos debería estarlo. La importancia de llevar un control de esta herramienta se puede deducir de varios aspectos. He aquí algunos: Las computadoras y los Centros de Proceso de Datos se convirtieron en blancos apetecibles no solo para el espionaje, sino para la delincuencia y el terrorismo. En este caso interviene la Auditoría Informática de Seguridad. Las computadoras creadas para procesar y difundir resultados o información elaborada pueden producir resultados o información errónea si dichos datos son, a su vez, erróneos. Este concepto obvio es a veces olvidado por las mismas empresas que terminan perdiendo de vista la naturaleza y calidad de los datos de entrada a sus Sistemas Informáticos, con la posibilidad de que se provoque un efecto cascada y afecte a Aplicaciones independientes. En este caso interviene la Auditoría Informática de Datos. Un Sistema Informático mal diseñado puede convertirse en una herramienta harto peligrosa para la empresa: como las maquinas obedecen ciegamente a las órdenes recibidas y la modelización de la empresa está determinada por las computadoras que materializan los Sistemas de Información, la gestión y la organización de la empresa no puede depender de un Software y Hardware mal diseñados. •
•
•
Estos son solo algunos de los varios inconvenientes que puede presentar un Sistema Informático, por eso, la necesidad de la Auditoría de Sistemas.
OBJETIVOS DE LA INFORMATICA: El término informática es un neologismo creado en Francia en 1962 por Philippe Dreyfus. El término frances es informatique y está formado por la contracción de las palabras infor mation automatique. Este término fue aceptado en el resto de países. En España se tradujo por informática (información automática), aunque en los países anglosajones se utiliza el termino computer science (ciencia de las computadoras). Existen muchas definiciones posibles de informática. La Academia Francesa de la Lengua la define en 1966 como “la ciencia del tratamiento racional, por medio de maquinas automáticas, de la información, considerada ésta como soporte de los conocimientos humanos y de las comunicaciones, en los campos técnicos, económico y social”. La definición que nos da la Real Academia Española de la Lengua nos dice que la informática es “el conjunto de conocimientos científicos y técnicas que hacen posible el tratamiento automático de la información por medio de computadoras electrónicas”. De ambas definiciones podemos obtener una tercera, más completa, que nos define la informática como “la ciencia que estudia el tratamiento automático y racional de la información mediante el uso de computadoras electrónicas”. En esta definición hablamos de tratamiento automático porque son las propias máquinas las que realizan las tareas de captura, proceso y presentación de la información, y también hablamos de tratamiento racional porque todo el proceso está regulado a través de una secuencia de instrucciones. El hombre se ha tenido que enfrentar a problemas, ue han justificado el hecho de automatizar las más diversas tareas humanas. Enumeremos las principales razones que han obligado a la automatización del tratamiento de las informaciones, que son a la postre los objetivos perseguidos por la informática: La primera, es el tener que realizar funciones que el hombre por sí solo no puede cubrir, como serían las comunicaciones a largas distancias, el radar, el sonar, etc. A veces es necesario realizar funciones que el hombre puede aboradar por sí mismo, pero llevarían un tiempo muy largo incluso si son ejecutadas por muchos individuos juntos, de tal modo que se conseguiria la operatividad y el fin perseguido. Podría ser el caso de unos cálculos muy complejos, necesarios en el seguimiento y control de naves espaciales. La necesidad de obtener una seguridad en algunas tareas, sobre todo en aquellas de tipo reiterativo, en las que el hombre comete errores con alguna frecuencia, los cuales estánpaliados por la perfección de las máquinas. La sustitución de mano de obra para tareas monótonas que no desarrollan las facultades nobles del hombre. Mediante la automatización se pueden abandonar dichas tareas, pudiendo entonces •
•
•
•
dedicarse el esfuerzo humano a funciones más decisivas. Pensemos por ejemplo en tareas repetitivas de la gestión administrativa o del control de las máquinas herramientas. Con todo esto podemos afirmar que son pocas las actividades humanas que nada tiene que ver con la informática, y aunque no nos demos cuenta está presente en casi todos los lugares: supermercados, oficinas,..., e incluso en nuestro propio hogar. Algunos campos de aplicación de la informática son las siquientes: •
Investigación científica y humanística
Se usan la las computadoras para la resolución de de cálculos matemáticos, recuentos numéricos, etc. Algunas de estas operaciones: - Resolución de ecuaciones - Análisis de datos de medidas experimentales,encuestas,.. - Análisis automáticos de textos •
Aplicaciones técnicas
Usa la computadora para facilitar diseños de ingeniería y de productos comerciales, trazado de planos, etc. Algunas de estas operaciones: - Análisis y diseño de circuitos de computadora - Cálculo de estructuras en obras de ingeniería - Minería - Cartografía •
Documentación e información
Es uno de los campos más importantes para la utilización de computadoras. Estas se usan para el almacenamiento de grandes cantidades de datos y la recuperación controlada de los mismos en bases de datos. Ejemplos de este campo de aplicación son: - Documentación científica y técnica - Archivos automatizados de bibliotecas - Bases de datos jurídicas •
Gestión administrativa
Automatiza las funciones de gestión típicas de una empresa. Existen programas que realizan las siguientes actividades: -
Contabilidad Facturación Control de existencias Nóminas
•
Inteligencia artificial
Las computadoras se programan de forma que emulen el comportamiento de la mente humana. Los programas responden como previsiblemente lo haría una persona inteligente. Aplicaciones como: •
Reconocimiento del lenguaje natural Programas de juego complejos (ajedrez)
Instrumentación y control
Instrumentación electrónica, electromedicina, robots industriales,... •
Otras aplicaciones
Otros campos de aplicación no vistos anteriormente: video-juegos, aplicaciones en el arte, procesamiento de imágenes.
OBJETIVOS DE LA AUDITORIA INFORMATICA: La Auditoría Informática la podemos definir como “el conjunto de procedimientos y técnicas para evaluar y controlar un sistema informático con el fin de constatar si sus actividades son correctas y de acuerdo a las normativas informáticas y generales prefijades en la organización”. La Auditoría Informática deberá comprender no sólo la evaluación de los equipos de cómputo, de un sistema o procedimiento específico, sino que además habrá de evaluar los sistemas de información en general desde sus entradas, procedimientos, controles, archivos, seguridad y obtención de información. Esta es de vital importancia para el buen desempeño de los sistemas de información, ya que proporciona los controles necesarios para que los sistemas sean confiables y con un buen nivel de seguridad. Además debe evaluar todo: informática, organización de centros de información, hardware y software. La Auditoría del Sistema de Información en la empresa, a través de la evaluación y control que realiza, tiene como objetivo fundamental mejorar la rentabilidad, la seguridad y la eficacia del sistema mecanizado de información en que se sustenta. En un principio hablaremos de todo lo relacionado con la seguridad, luego trateremos todo aquello relacionado con la eficacia y terminar con la evalución del sistema informático. Los aspectos relativos al control de la Seguridad de la Información tiene tres líneas básicas en la auditoria del sistema de información: •
•
•
Aspectos generales relativos a la seguridad. En este grupo de aspectos habría que considerar, entre otros: la seguridad operativa de los programas, seguridad en suministros y funciones auxiliares, seguridad contra radiaciones, atmósferas agresivas, agresiones y posibles sabotajes, seguridad físics de las instalaciones, del personal informático, etc. Aspectos relativos a la confidencialidad y seguridad de la información. Estos aspectos se refieren no solo a la protección del material, el logicial, los soportes de la información, sino también al control de acceso a la propia información (a toda o a parte de ella, con la posibilidad de introducir modificaciones en la misma). Aspectos jurídicos y económicos relativos a la seguridad de la información. En este grupo de aspectos se trata de analizar la adecuada aplicación del sistema de información en la empresa en cuanto al derecho a la intimidad y el derecho a la información, y controlar los cada vez más frecuentes delitos informáticos que se
cometen en la empresa. La propia dinamicidad de las tecnologías de la información y su cada vez más amplia aplicación en la empresa, ha propiciado la aparición de estos delitos informáticos. En general, estos delitos pueden integrarse en dos grandes grupos: delitos contra el sistema informático y delitos cometidos por medio del sistema informático. En el primer grupo se insertan figuras delictivas tipificadas en cualquier código penal, como hurto, robo, revelación de secretos, etc..., y otro conjunto de delitos que ya no es tan frecuente encontrar, al menos con carácter general, perfectamente tipifiados, como el denominado “hurto de tiempo”, destrucción de logiciales y datos, delitos contra la propiedad (material, terminales, cintas magneticas,...). En el conjunto de delitos informáticos cometido por medio de sistenas informáticos cabría señalar, siempre con carácter doloso, manipulaciones fraudulentas de logiciales, informaciones contenidas en bases de datos, falsificaciones, estafas, etc... Merece la pena por su frecuencia y la dificultad de prueba el llamado “hurto de uso”. Este delito suele producirse cuando se utilizan los eqipos informáticos de una organización para fines privados (trabajos externos, simple diversión,...). Los prejuicios, sobre todo económicos, que para la empresa puede significar esta modalidad de hurto de “tiempo máquina”, pueden ser cuantiso, sobre todo cuando en el mismo interviene además el elemento comunicaciones. Se trata, en definitiva, de la utilización de unos equipos si tener derecho a ello o para un uso distinto del autorizado, y en el que lo lesionado no es la propiedad, sino una de las facultadas inherentes a la misma. De la misma manera, a través de la auditoria del sistema de información sera necesario controlar el adecuado equilibrio entre riesgos y costes de seguridad y la eficacia del propio sistema. En cuanto a la Eficacia del Sistema, esta vendrá determinada, basicamente, por la aportación a la empresa de una información válida, exacta, completa, actualizada y oportuna que ayude a la adopción de decisiones, y todo ello medido en términos de calidad, plazo y coste. Sin el adecuado control, mendiante la realización de auditorías al sistema de información, esos objetivos serían díficiles de conseguir, con la siguiente repercusión en una adecuada dirección y gestión en la empresa. Uno de los aspectos más significativos de la Auditoría Informática se refiere a los datos relativos a la Rentabilidad del Sistema, homogeneizadas en unidades económicas de cuenta. La rentabilidad del sistema debe ser medida mediante el análisis de tres valores fundamentales: la evaluación de los costes actuales, la comparación de esos costes actuales con magnitudes representativas de la organización, y la comparación de los costes del sistema de información de la empresa con los de empresas similares, preferentemente del mismo sector de actividad.
Como evaluar de forma concreta estos tres aspectos fundamentales, que conforman la rentabilidad del sistema de información, es lo que se analiza seguidamente. 1) Evalución de los costes actuales. Conocer, en términos económicos, los costes que para una empresa supone su sistema de información, constituye uno de los aspectos básicos de la auditoría informática. Se trata de cuantificar los costes de los distintos elementos que configuran el sistema de información y que en términos generales son los siguientes: a) Hardware. Se trata de analizar la evolución histórica del hardware en la empresa, justificando dicha evolución. Es importante conocer el coste del material (unidad central, periféricos, soporte,...) durante los últimos cinco años. También será necesario analizar la utilización de cada elemento hardware de la configuración, cifrandola en horas/mes, asegurando que la configuración utilizada se corresponde con el menor valor utilización/coste, y examinar la coherencia del mismo. b) Software. Análisis de los costes relativos al sistema lógico, tanto en sus aspectos relativos a la esplotación (adecuación del sistema operativo, versión del software utilizado,...) como en los aspectos relativos a la programación de las distintas aplicaciones (prioridades de ejecución, lenguaje utilizado, ...). c) Capturas de datos. Análisis de los costes relativos a la captura de datos, de las fuentes de información, tanto internas como externas de la empresa. d) Grabación de datos. Es necesario conocer también los costes relativos a la transcripción de datos en los soportes adecuados (costes de personal, equipos y máquinas auxiliares). e) Explotación. Análisis de los costes imputados a los factores relativos a la explotación en sentido amplio (tratamiento manual, tiempos de realización de aplicaciones, tiempo de respuesta, control errores, etc...) f) Aplicaciones. Se trata de evluar los costes del análisis funcional, el análisis orgánico, la programación, las pruebas de programas, preparación de datos y costes de dasarrollo de cada aplicación medido en horas. g) Personal . Teniendo en cuenta el nivel cualitativo y cuantitativo (las distintas categorias, equilibrio entre esas categorias, remuneraciones salariales, horas extraordinarias), se trata de
analizar los costes de personal directamente relaciondo con el sistema de información. En este apartado deberán tenerse en cuenta también los costes relativos a la formación del personal. h) Documentación. Es necesario no sólo verificar que la documentación relativa al sistema de información sea clara, precisa, actualizada y completa, sino tambien los costes relativos a su elaboración y actualización. i) Difusión de la inlórmación. Se trata de evaluar los costes de difundir la información, es decir, hacer llegar a los usuarios del sistema la información demandada o aquella considerada necesaria en los distintos niveles de la organización. Se trata, en definitiva, de conocer y analizar los costes que para la empresa supone disponer del sistema de información.
2) Comparación de los costes actuales con magnitudes representativas de la organización. No es suficiente conocer los costes totales del sistema de información; es necesario, además, comparar este coste con magnitudes representativas de la empresa. Se trata de conocer los porcentajes que en relación con el coste total son imputables al hardware, al software, a la captura de datos, grabación, explotación, aplicaciones, suministros, mantenimiento, personal, documentación y difusión de la información. Conocer la relación de costes/ahorro/productividad del personal (analistas, programadores, operadores, auxiliares, etc.) y analizar la evolución del coste de la hora útil de la memoria central. Pero ese análisis de costes adquiere su especial significado cuando éstos se relacionan con magnitudes representativas de la empresa, por ejemplo: la cifra de negocios, la cifra de ventas, etc. El dato de costes del sistema y su comparación con otras magnitudes constituye una valiosa información que deberá ser especificada en las conclusiones de la auditoría informática y que tendrá una notable incidencia respecto a los planteamientos de futuro del sistema de información. 3) Comparación de los costes del sistema de información de la empresa con los de empresas similares. El análisis de costes y su comparación con otras magnitudes representativas, debe completarse, siempre que ello sea posible, con los costes de los sistemas de información de empresas similares a la que es objeto de auditoría. Es imprescindible conocer los costes que representa la obtención, tratamiento y difusión de la información en la empresa. La información es un recurso de la empresa y por lo tanto un activo de la misma. De ahí la importancia de poder disponer de una comparación de los costes del sistema de información con los de otras empresas. Esa comparación
debe realizarse con empresas del mismo sector. Ello permite comparar el nivel de costes del sistema de información de la empresa auditada con la media del sector. Los tres aspectos analizados en relación con los costes aportarán una importante información que permitirá adoptar correctas decisiones, a partir de la auditoría realizada sobre el sistema de información de la empresa.
PRINCIPIOS Y REGLAS DE AUDITORIA. •
Principio: auditar racionalmente significa explicitar sus finalidades, y deducir de éstas los medios y las acciones de investigación que se consideren necesarios y suficientes.
La auditoría informática sólo tiene sentido si se define su finalidad: examen de la eficacia o seguridad de un sistema, de la fiabilidad de una aplicación, verificación de la aplicación,etc... La finalidad está en emitir un juicio sobre el mangement del sistema de Informaciones. •
Regla : la auditoría informática consiste en comparar uno o varios actos de management, desde uno o varios puntos de vista, con los que deberían ser.
La auditoría informática siempre llegará a una conclusión cuando los medios asignados sean suficientes y las acciones sean posibles. La auditoría informática jamás debe empañar su finalidad ni limitarse a lo que es más sencillo de examinar,so pena de que el juicio que emita carezca de valor al caer fuera de la cuestión verdadera. Debe ser completa en su finalidad, ya que basta una laguna para que deje de estar garantizada la solidez de todo el control.
•
Regla: los medios y las acciones elegidas por el auditor deben adaptarse exclusivamente a la finalidad de la auditoría, siendo coherentes entre sí y, desde luego,fiables y seguros.
En determinados casos la tarea del auditor puede ser muy compleja, para ello deberá dividirla en funciones obteniendo conclusiones parciales de éstas y establecer un plan de aquellas que resulten ser más significativas. Pese a la apariencia de complejidad de la auditoría informática apreciamos cómo el buen uso del ordenador proporciona una mayor garantía y fiabilidad que cuando éste no es utilizado.
MEDIOS DISPONIBLES Y ESPECIFICOS DE AUDITORIA. MEDIOS TECNICOS:
A)
A.1) Equipo físico y locales. A.2) Software básico. B)
MEDIOS HUMANOS .
C)
MEDIOS FINANCIEROS.
A.1) Equipo físico y locales:
•
Comprende el ordenador propiamente dicho, el hardware anejo y los soportes físicos de los ficheros, así como los locales donde se instalan estas máquinas.
Aspectos a tener en cuenta:
•
1.- Los equipos físicos y locales han de adaptarse a la finalidad, es decir, a las aplicaciones, tanto cualitativas como cuantitativas. 2.- Dada la evolutividad de los objetivos el equipo físico debe ser también evolutivo sin dejar de resultar adecuado y modular. 3.- Cada componente del equipo físico de formar parte de un todo homogéneo. 4.- Otros criterios de elección son la fiabilidad del material y la rapidez de las restauraciones. 5.- Para garantizar la consecución de la finalidad se hace necesario garantizar la seguridad del hardware. Es conveniente disponer de un plan preventivo y curativo para garantizar esa seguridad. El plan preventivo debe prever catástrofes generales ( incendio, inundación,...) así como otros sucesos ( cortes de fluído eléctrico, aumentos de tensión, presencia de polvo,...). El plan curativo está formado por soluciones de emergencia en circunstancias diversas. Resulta fundamental la salvaguarda en lugares distintos de un
número suficiente de generaciones de ficheros, de programas y su modo de empleo.
6.Una documentación actualizada y disponible debe describir las característica técnicas del equipo físico.
•
Herramientas de auditoría específica:
a) La auditoría del equipo físico debe comprobar si se aplican las reglas anteriores: adaptabilidad, homogeneidad, seguridad, fiabilidad,... Para ello, el auditor debe estar provisto de unos conocimientos técnicos sólidos. b) El auditor valorará la adaptación a los objetivos y a las acciones tomando como base de juicio la evolución histórica. c) El interés del auditor por las ejecuciones trás la adaptación a las finalidades. d) Estimación de la homogeneidad de los componentes y su fiabilidad atendiendo a las estadísticas de tiempo de utilización y la conservación de grabaciones en caso de fallos. e) El estudio del presupuesto de seguridad evaluando los medios en función del sevicio que prestan y conforme a la probabilidad de fallo que pueden tener. También se examinará la seguridad del material suplementario y los formularios que contienen talonarios y letras. La conservación se evalúa a partir de los contratos y de los informes de indisponibilidad. Puede ser preventiva (mantenimiento) o curativa (restauración).
A.2) Software básico:
Constituye una parte creciente del coste de un sistema. Tiene una importancia primordial en la seguridad de las operaciones pero a medida que va creciendo más compleja es su evaluación. •
•
Aspectos a tener en cuenta:
1.-El software básico se adapta a las finalidades siempre y cuando permita una correcta utilización del hardware con el lenguaje y en el modo de explotación elegidos para ejecutar las aplicaciones. El software posee muchas posibilidades pero lo más interesante a nivel práctico es la posibilidad de poder incorporarse en gran parte al equipo físico.
2.-La evolutividad del software exige una transparencia de su dependencia con respecto a las aplicaciones del equipo físico.
Los límites de las posibilidades del software deben encontrarse bastante alejados, así como los obstáculos no deben ser tan rígidos. Tanto las opciones del software como sus modificaciones futuras deben anotarse dentro de un estudio como ya ocurre con el hardware. 3.-Los componentes del software básico deben estar adaptados entre sí y con la configuración del equipo físico siempre en función de la finalidad. Por otro lado, también ha de adaptarse a los medios humanos, tanto para aquellos que desarrollan las aplicaciones como también para los que las usan. 4.-La fiabilidad del software básico se consigue mediante el registro de las anomalías para su posterior análisis y rectificación por el constructor aunque el software debe emplear “ ayudas” para diagnóstico de fallos. Resulta esencial que el software permita implantar los puntos de enlace eficazmente utilizables mediante la reinicialización en la eventualidad de un mal funcionamiento, como una adecuada recuperación de los ficheros. En definitiva, la fiabilidad de una base de datos está señalada en su sistema de gestión. 5.-Para la seguridad del software básico se requiere una protección contra los accesos prohibidos, especialmente en el modo interactivo y en un sistema de base de datos. Se aconseja la protección de los programas y datos temporales alojados en la memoria central, así como recomendable la rápida destucción de ficheros con información confidencial. Las distintas protecciones del software deben registrar el intento de acceso ilegal. Aunque resulta difícil obtener una protección eficaz contra el acceso no autorizado en pequeños sistemas debiendo colocar los ficheros en soportes que sólo se manejen a la hora de su empleo. 6.-Resulta importante que el software contenga una documentación completa y actualizada que le sirva de referencia al usuario.
•
Herramienta de auditoría específica:
a) La auditoría del software básico, en primer lugar, puede tener por fin la evaluación de su adaptación y de su evolutividad así como de su homogeneidad con los otros componentes. Igualmente, la auditoría del software básico puede versar sobre la fiabilidad y/o la seguridad.
b) El auditor ha de ser realista pues al examinar el software directamente no puede hacer más que comprobar reducidos fragmentos, incluso cuando la documentación existe y está bien hecha.
Es indispensable que el auditor adquiera los conocimientos para comprender el funcionamiento y poder intentar encontrar las deficiencias o la mala realización como si fuera un sistema de gestión de ficheros ordinarios. c) El auditor ha de examinar la consulta de la documentación pues ésto le indica la complejidad del software o bien su falta de actualización.
B) Medios humanos.
•
Aspectos a tener en cuenta:
1.- Las personas tienen su propia finalidad la cuál tratan de satisfacer, aún así en una empresa se ha de respetar la realización de los objetivos definidos, sin quedar bloqueado por la reticencia de rutina y por la ostilidad particular. 2.- Es necesario un reparto de las responsabilidades de forma arborescente, cada equipo ha de contar con un escaso número de miembros, incluso resulta aconsejable una rotación de las responsabilidades. 3.- Se requiere buenas relaciones entre los miembros del personal, lo que cada uno hace debe ser conocido globalmente por todos, y estar accesible de forma detallada. A su vez, debe ser un trabajo organizado y revisado racionalmente. También es importante una formación y una información suficiente para que el personal tenga una visión bastante amplia de los problemas y de las interrelaciones. 4.- Se ha de proceder a una verificación de las informaciones transmitidas y tratadas por cada miembro del personal. Las comprobaciones deben ser tales que se detecte con rapidez el error humano y se rectifique antes de que se produzcan grandes consecuencias. La documentación e información recíprocas deben ser suficientes para que nadie resulte insustituible. 5.- La seguridad comienza por la selección del personal y continúa por el control mutuo en la realización de las tareas más importantes. Aún así, es preciso precaverse contra un posible sabotaje directo o indirecto. 6.- Sin información no hay motivación, por tanto los fines y métodos adoptados han de ser comprendidos y aceptados, a la vez que la formación del personal es en sí mismo una finalidad.
•
Herramientas de auditoría específica:
a) Es conveniente tener el historial general del servicio y de los movimientos del personal. b) Comprobar la adecuación al plan de los medios humanos por medio de los organigramas y fichas de función. c) Los medios humanos del sistema de informaciones son también piezas externas al servicio informático.
d) Se requiere que las acciones den fiabilidad de las realizaciones al igual que las hojas de consola nos indican la fiabilidad de las operaciones de explotación. La separación de funciones, un examen de todas las protecciones materiales y lógicas y un conocimiento de los modos operativos proporcionan en su conjunto la seguridad humana. La realización de cursos como la utilización de libros y revistas conllevan una mejor documentación y una mayor formación.
C) Medios financieros.
La elección de los medios financieros ha de considerarse de forma global. No sólo consiste en determinar qué equipos físicos, programas o realizaciones cuestan más o menos, sino también abarca otros aspectos, además del económico, tales como: fiabilidad, velocidad de procesamiento, rentabilidad, etc.... •
•
Aspectos a tener en cuenta:
1.- La adecuación de los medios financieros a la finalidad se mide por la proporción entre los gastos exigidos y los resultados (financieros o no) obtenidos. Los métodos de control de gestión y contabilidad presupuestaria clásicos sirven para prever y posteriormente controlar la adecuación a los objetivos. La evolutividad implica un presupuesto no sólo flexible sino modulado en el tiempo, ya que los costes son importantes. 2.- Los métodos clásicos de la contabilidad analítica permiten establecer los estándares de homogeneidad de los medios financieros. También es muy útil verificar periódicamente si los costes imputados son todavía competitivos con relación a un servicio exterior.
3.- Para elaborar un sistema equitativo sería preciso que dos servicios semejantes diera lugar a una misma valoración. Los costos deben ser registrados de forma fiable, completa y pertinente, y los cálculos y agrupaciones efectuados deben ser legítimos. El trabajo del personal debe ser registrado o repartido según conceptos para que las cifras conserven algún sentido. 4.- La seguridad financiera se obtiene por una rentabilidad duradera de la financiación de hardware y el software. A la hora de la entrega de los equipos informáticos, el contrato debe recoger un plan y un informe de gastos que condujo a su elección. La garantía de fiabilidad material reside en una cláusula que fija el plazo de intervención, en caso de avería, y el grado de fiabilidad de los componentes. También puede contratarse un seguro para una garantía eficaz de los equipos. 5.- Tanto los contratos de adquisición y seguro como los documentos contables comprenden la documentación sobre los medios financieros.
•
Herramientas de auditoría específica:
a) Unos mínimos conocimientos por el auditor a nivel de contabilidad analítica y presupuestaria así como de derecho comercial y seguros, con lo que podrá comprobar la existencia y la adecuación de los presupuestos de inversión, la corrección de las previsiones y medios de control, así como la forma de financiación. b) Para la seguridad de los medios financieros el auditor consultará todos los documentos contractuales que vinculan a la empresa.
BIBLIOGRAFIA: •
•
•
•
•
Fundamentos Informáticos Universidad de Cádiz, Servicio de Publicaciones, 1996 Informática Instituto Hidrográfico de la Marina, Servicio de Publicaciones de la Armada, 1990 Llacer Rubio, Enrique; Informática y Empresa Editado por la Caja Rural Provincial de Sevilla, 1983 Santodomingo, Adolfo; Introducción a la informática Editorial Ariel S.A., 1997
Thorin, Marc; La Auditoría Informática: métodos, reglas, normas Ed. Masson, S.A., 1989
