µ ] } d v } o } P / v ( } u ] v

61
C.P.C. Eduardo Acuña Bañuelos Right solutions for your business 12 de septiembre de 2018 Tijuana, Mexico Auditoría de Tecnologías de Información

Transcript of µ ] } d v } o } P / v ( } u ] v

Page 1: µ ] } d v } o } P / v ( } u ] v

C.P.C. Eduardo Acuña Bañuelos

Right solutions for your business

12 de septiembre de 2018 Tijuana, Mexico

Auditoría de Tecnologías de Información

Page 2: µ ] } d v } o } P / v ( } u ] v

Auditoría de Tecnologías de Información

Page 3: µ ] } d v } o } P / v ( } u ] v

Agenda

Page 4: µ ] } d v } o } P / v ( } u ] v

Agenda

• Las Tecnologías de Información. • Enfoque y consideraciones de nuestra Presentación.• Fundamento profesional - IFAC.• Consideraciones de TI bajo US GAAS.• Consideraciones de auditoría en TI.• Auditoría en Tecnologías de Información.• Diferencias con la auditoría financiera.• Tipos de Auditorías de TI.• Aspectos históricos.• Controles de TI.• ISACA.• Normas, Guías y Procedimientos para la auditoría de TI.• Principales Certificaciones de ISACA.• CISA.• El Ciclo de Control Interno.

Page 5: µ ] } d v } o } P / v ( } u ] v

Las Tecnologías de Información

Page 6: µ ] } d v } o } P / v ( } u ] v

Las Tecnologías de Información

• La Tecnología de la Información (TI) es el uso de computadoras para almacenar, recuperar, transmitir y manipular datos o información, a menudo en el contexto de un negocio u otra empresa.

• Se considera que TI es un subconjunto de la tecnología de información y comunicación (TIC), término extensivo de TI que enfatiza el rol de las comunicaciones unificadas y la integración de telecomunicaciones (líneas telefónicas y señales inalámbricas), computadoras, software, almacenamiento y sistemas audiovisuales, que permiten a los usuarios acceder, almacenar, transmitir y manipular información.

• Tecnologías de la Información (TI) y Sistemas de Información (SI) representan lo mismo.

Page 7: µ ] } d v } o } P / v ( } u ] v

Las Tecnologías de Información

• La revolución iniciada por las TI en 1950 continua.

• El tamaño y capacidad de las TI crece de manera exponencial.

• Nuevas TI como las siguientes han cambiado el ambiente de hacer negocios:

Cómputo a través de la nube. Intercambio electrónico de datos (EDI). Transferencia electrónica de fondos. Comercio electrónico.

• El cambio radical en los negocios solo se equipara con el cambio en el entorno social.

Page 8: µ ] } d v } o } P / v ( } u ] v

Las Tecnologías de Información

• Se ha vuelto imposible existir sin las computadoras que asistan o funcionen en lugar de las operaciones manuales.

• El “siempre tenemos la opción de regresar a hacerlo de manera manual” es hoy una falacia.

• Con el uso de la computadora, se ha revolucionado el concepto de negocio pequeño.

Page 9: µ ] } d v } o } P / v ( } u ] v

Enfoque y consideraciones de nuestra Presentación

Page 10: µ ] } d v } o } P / v ( } u ] v

Enfoque y consideraciones de nuestra Presentación

• Se tratará a la Auditoría de Tecnologías de Información desde la perspectiva de una auditoría externa de estados financieros practicada por una Firma de Contadores Públicos Independientes.

• La presentación no cubre la capacitación en la Especialización entorno al ejercicio de la auditoría en Tecnologías de Información.

• Nuestro objetivo será ilustrar al Contador Público, en su ejercicio como responsable de la auditoría financiera, sobre el alcance y consideraciones generales que debe tener presente, en la utilización del trabajo de auditoría de TI desarrolladas por un Especialista miembro del equipo de auditoría externa.

• Nuestra presentación no trata el tema de Informática Forense.

Page 11: µ ] } d v } o } P / v ( } u ] v

Fundamento profesional - IFAC

Page 12: µ ] } d v } o } P / v ( } u ] v

Fundamento profesional - IFAC

Norma Internacional de Control de Calidad No. 1. Control de calidad para empresas que realizan auditorías y revisiones de estados financieros y otros compromisos de aseguramiento y servicios relacionados.

Asignación de equipos de compromiso

• Párrafo. 31. La Firma también debe establecer políticas y procedimientos para asignar el personal apropiado con la competencia y capacidades necesarias para:

(a) Realizar compromisos de acuerdo con las normas profesionales y los requisitos legales y reglamentarios aplicables; y

(b) Permitir que la Firma o los socios del encargo emitan informes que sean apropiados en las circunstancias (Ref. párrafo A31).

Page 13: µ ] } d v } o } P / v ( } u ] v

Fundamento profesional - IFAC

Norma Internacional de Control de Calidad No. 1. Control de calidad para empresas que realizan auditorías y revisiones de estados financieros y otros compromisos de aseguramiento y servicios relacionados.

• Párrafo A31. La asignación de los equipos de compromiso de la empresa y la determinación del nivel de supervisión requerida incluyen, por ejemplo, la consideración del equipo del compromiso respecto a:

Conocimientos técnicos y experiencia, incluido el conocimiento de la Tecnología de la Información relevante.

Page 14: µ ] } d v } o } P / v ( } u ] v

Fundamento profesional - IFAC

Norma Internacional de Control de Calidad No. 1. Control de calidad para empresas que realizan auditorías y revisiones de estados financieros y otros compromisos de aseguramiento y servicios relacionados.

• Párrafo A31. La asignación de los equipos de compromiso de la empresa y la determinación del nivel de supervisión requerida incluyen, por ejemplo, la consideración del equipo del compromiso respecto a:

Conocimientos técnicos y experiencia, incluido el conocimiento de la Tecnología de la Información relevante.

Page 15: µ ] } d v } o } P / v ( } u ] v

Fundamento profesional - IFAC

Norma Internacional de Auditoría No. 220. Control de calidad para una auditoría de estados financieros.

Párrafo A11. Al considerar la competencia y las capacidades apropiadas que se esperan del equipo del compromiso en su conjunto, el socio del compromiso puede tomar en consideración asuntos tales del equipo como:

• Experiencia técnica, incluida la experiencia relevante con Tecnologías de la Información y áreas especializadas de contabilidad o auditoría.

Page 16: µ ] } d v } o } P / v ( } u ] v

Fundamento profesional - IFAC

Norma Internacional de Auditoría No. 300. Planeación de una auditoría de estados financieros.

Características del compromiso

• El efecto de las Tecnologías de la Información en los procedimientos de auditoría, incluida la disponibilidad de datos y el uso previsto de las técnicas de auditoría asistidas por computadora.

Page 17: µ ] } d v } o } P / v ( } u ] v

Consideraciones de TI bajo US GAAS

Page 18: µ ] } d v } o } P / v ( } u ] v

Consideraciones de TI bajo US GAAS

Determinar el alcance de la participación de profesionales que poseen habilidades especializadas

El auditor debe considerar si se necesitan habilidades especializadas para realizar la auditoría (AU-C 300.12). Por ejemplo, el auditor puede necesitar involucrar el uso de un especialista en tecnología de la información (TI) para:

• Determinar el efecto de TI en la auditoría.• Comprender los controles de TI.• Diseñar y realizar pruebas de controles de TI o procedimientos

sustantivos.

Page 19: µ ] } d v } o } P / v ( } u ] v

Consideraciones de TI bajo US GAAS

Para determinar si se necesita un profesional de TI, el auditor debe considerar factores como los siguientes (AU-C 300.A18):

• La complejidad del sistema de la entidad y los controles de TI y la manera en que se utilizan para llevar a cabo los negocios de la entidad.

• La importancia de los cambios realizados en los sistemas existentes o la implementación de nuevos sistemas.

• El grado en que los datos se comparten entre los sistemas. • El alcance de la participación de la entidad en el comercio

electrónico.• El uso de las tecnologías emergentes por parte de la entidad.• La importancia de la evidencia de auditoría que está disponible solo

en formato electrónico.

Page 20: µ ] } d v } o } P / v ( } u ] v

Consideraciones de auditoría en TI

Page 21: µ ] } d v } o } P / v ( } u ] v

Consideraciones de auditoría en TI

• Los sistemas de información deben ser controlables y dependientes.

• Se confía en los auditores para certificar tales atributos.

• Consecuentemente, los auditores requieren de mucho mayor conocimiento en materia de computadoras y auditoría de las mismas, que los auditores de tiempo atrás.

• Anteriormente, el auditor practicaba su examen alrededor del sistema porque otorgaba confianza al mismo.

• Dicha decisión nunca estuvo claramente fundamentada, consecuentemente, se ha convertido en una suposición “letal”.

Page 22: µ ] } d v } o } P / v ( } u ] v

Consideraciones de auditoría en TI

Los sistemas de cómputo son ahora:

• Más complejos que sistemas manuales.

• Procesan altos volúmenes de datos a altas velocidades de transmisión, incluso, entre continentes.

• Mantiene datos en dispositivos magnéticos, ya no en papel.

• Procesan datos con menos o nula intervención manual.

• Procesan de manera consistente conforme al programa establecido, previo corroborar que el control de cambio sea efectivo.

• Operan en un ambiente de nube, donde sus datos son endosados a un tercero que puede seguir otras regulaciones y/o leyes.

Page 23: µ ] } d v } o } P / v ( } u ] v

Consideraciones de Auditoría en TI

• En un ambiente manual, el control depende de la capacidad y experiencia del personal que lo ejecuta.

• La habilidad para hacer uso de debilidades en TI crece.

• Oportunidades de riesgo y control dentro del ambiente de TI.

Page 24: µ ] } d v } o } P / v ( } u ] v

Auditoría en Tecnologías de Información

Page 25: µ ] } d v } o } P / v ( } u ] v

Auditoría en Tecnologías de Información

• También conocida como Auditoría en Sistemas de Información (SI).

• Es un examen de los controles de la administración dentro de una infraestructura de TI. La evaluación de la evidencia obtenida determina si los sistemas de información están salvaguardando los activos, manteniendo la integridad de los datos y operando efectivamente para lograr las metas u objetivos de la organización.

• Estas revisiones pueden realizarse junto con una auditoría de estados financieros, auditoría interna u otra forma de compromiso de certificación.

Page 26: µ ] } d v } o } P / v ( } u ] v

Auditoría en Tecnologías de Información

• Las auditorías de TI también se conocen como "auditorías de procesamiento de datos automatizados (ADP)" y "auditorías informáticas".

• Anteriormente se los denominó "auditorías de procesamiento electrónico de datos (EDP)".

Page 27: µ ] } d v } o } P / v ( } u ] v

Diferencias con la auditoría financiera

Page 28: µ ] } d v } o } P / v ( } u ] v

Diferencias con la auditoría financiera

• El objetivo de una auditoría financiera es evaluar si los estados financieros presentan de manera razonable, en todos los aspectos materiales, la posición financiera, los resultados de las operaciones y los flujos de efectivo de una entidad de conformidad con un marco de reporte contable.

• El objetivo de una auditoría de TI es evaluar el diseño y efectividad del control interno del sistema. Esto incluye, entre otros, protocolos de eficiencia y seguridad, procesos de desarrollo y gobierno o supervisión de TI. La instalación de controles es necesaria pero no suficiente para proporcionar seguridad adecuada.

Page 29: µ ] } d v } o } P / v ( } u ] v

Diferencias con la auditoría financiera

• Las personas responsables de la seguridad deben considerar si los controles se instalan según lo previsto, si son efectivos o si se ha producido una violación de la seguridad y, de ser así, qué acciones se pueden tomar para evitar futuras violaciones.

• Estas preguntas deben ser respondidas por observadores imparciales. Estos observadores son los que realizan la auditoría de sistemas de información.

• En un entorno de Sistemas de Información (SI), una auditoría es un examen de los sistemas de información, sus entradas, salidas y procesamiento de datos.

Page 30: µ ] } d v } o } P / v ( } u ] v

Tipos de Auditorías de TI

Page 31: µ ] } d v } o } P / v ( } u ] v

Tipos de Auditorías de TI

1. Sistemas y aplicaciones: una auditoría para verificar que los sistemas y las aplicaciones son apropiados, son eficientes y están controlados adecuadamente para garantizar la entrada, el procesamiento y el resultado válidos, confiables, oportunos y seguros en todos los niveles de la actividad de un sistema.

Las auditorías de aseguramiento de sistemas y procesos forman un subtipo, que se centra en los sistemas de TI de negocios centrados en procesos de negocio. Dichas auditorías tienen el objetivo de ayudar a los auditores financieros.

Page 32: µ ] } d v } o } P / v ( } u ] v

Tipos de Auditorías de TI

2. Instalaciones de procesamiento de información: una auditoría para verificar que la instalación de procesamiento esté controlada para garantizar un procesamiento oportuno, preciso y eficiente de las aplicaciones en condiciones normales y potencialmente perturbadoras.

3. Desarrollo de sistemas: una auditoría para verificar que los sistemas en desarrollo cumplen con los objetivos de la organización y para asegurar que los sistemas se desarrollen de acuerdo con los estándares generalmente aceptados para el desarrollo de sistemas.

4. Administración de TI y Arquitectura Empresarial: una auditoría para verificar que la administración de TI haya desarrollado una estructura organizativa y procedimientos para garantizar un entorno controlado y eficiente para el procesamiento de la información.

Page 33: µ ] } d v } o } P / v ( } u ] v

Tipos de Auditorías de TI

5. Cliente / Servidor, Telecomunicaciones, Intranets y Extranets:una auditoría para verificar que los controles de telecomunicaciones estén implementados en el cliente (servicios que reciben la computadora), el servidor y la red que conecta los clientes y servidores.

Page 34: µ ] } d v } o } P / v ( } u ] v

Aspectos históricos

Page 35: µ ] } d v } o } P / v ( } u ] v

Aspectos históricos

• El concepto de auditoría de TI se formó a mediados de la década de 1960. Desde entonces, la auditoría de TI ha sufrido numerosos cambios, en gran parte debido a los avances en la tecnología y la incorporación de la tecnología en los negocios.

• Actualmente, hay muchas empresas dependientes de TI que confían en la tecnología de la información para operar sus negocios, p.e. Empresas de Telecomunicaciones o Banca.

• Para los otros tipos de negocios, TI desempeña la mayor parte de la empresa, incluida la aplicación de flujo de trabajo en lugar de utilizar el formulario en papel, utilizando el control de la aplicación en lugar del control manual que es más confiable o la aplicación ERP para facilitar la organización mediante el uso de solo 1 aplicación. Según estos, la importancia de la auditoría de TI se incrementa constantemente.

Page 36: µ ] } d v } o } P / v ( } u ] v

Aspectos históricos

• Una de las funciones más importantes de la auditoría de TI es auditar el sistema crítico para respaldar la auditoría financiera o para respaldar reglamentaciones específicas anunciadas, p.e. SOX.

Page 37: µ ] } d v } o } P / v ( } u ] v

Controles de TI

Page 38: µ ] } d v } o } P / v ( } u ] v

Controles de TI

• En un ambiente de TI, el control se divide en dos tipos:

1. Controles generales.

2. Controles aplicativos.

Page 39: µ ] } d v } o } P / v ( } u ] v

Controles de TI

• Control general. Es un control, que no sea un control aplicativo, que se relaciona con el entorno en el que se desarrollan, mantienen y operan los sistemas de aplicación basados en computadora, y que, por lo tanto, es aplicable a todas las aplicaciones.

Sus objetivos son garantizar el correcto desarrollo e implementación de las aplicaciones y la integridad de los archivos de programas y datos y de las operaciones de la computadora.

Estos controles pueden ser manuales o programados. Ejemplos de estos controles incluyen el desarrollo y la implementación de una estrategia de SI y una política de seguridad de SI, la organización del personal de SI para segregar funciones conflictivas y la planificación para la prevención y recuperación de desastres informáticos.

Page 40: µ ] } d v } o } P / v ( } u ] v

Controles de TI

• Controles aplicativos. Son las políticas, procedimientos y actividades diseñados para proporcionar una garantía razonable de que se logran los objetivos relevantes para una solución (aplicación) automática dada.

Son procedimientos manuales o automatizados que normalmente operan a nivel de proceso de negocio. Pueden ser de naturaleza preventiva o detective y están diseñados para garantizar la integridad de los registros contables. En consecuencia, se relacionan con los procedimientos utilizados para iniciar, registrar, procesar y reportar transacciones u otros datos financieros.

Page 41: µ ] } d v } o } P / v ( } u ] v

ISACA

Page 42: µ ] } d v } o } P / v ( } u ] v

ISACA

• Information Systems Audit and Control Association (ISACA).

• Es una asociación profesional internacional enfocada en el gobierno de TI.

• Se originó en Estados Unidos en 1967, como la EDP AuditorsAssociation (EDPAA) cuando un grupo de personas que trabajaban en controles de auditoría en sistemas informáticos comenzó a ser cada vez más crítico con las operaciones de sus organizaciones.

• En 1994 la organización cambió su denominación a la actual.

Page 43: µ ] } d v } o } P / v ( } u ] v

ISACA

• Actualmente sirve a más de 220,000 profesionales (miembros y profesionales con certificaciones de ISACA) en más de 180 países.

• Los cargos de los miembros son: Auditor de SI. Consultor. Educador. Profesional de seguridad de SI. Regulador. Director de información. Director de seguridad de la información. Auditor interno.

Page 44: µ ] } d v } o } P / v ( } u ] v

ISACA

• Sus miembros trabajan en casi todas las categorías de la industria.

• Existe una red de asocaciones de ISACA con más de 200 asociaciones establecidos en más de 80 países.

• Las asociaciones proporcionan educación, uso compartido de recursos, abogacía, redes y otros beneficios.

Page 45: µ ] } d v } o } P / v ( } u ] v

Principales publicaciones de ISACA

1. COBIT (Control Objectives for Information and Related Technologies, Objetivos de Control para la Información y las Tecnologías Relacionadas) es un marco de buenas prácticas creado por ISACA para la gestión y gobernanza de TI. COBIT proporciona un "conjunto de controles aplicables sobre TI y los organiza en torno a un marco lógico de habilitadores y procesos relacionados con TI".

2. Diario de Control del Sistema de Información (Information SystemControl Journal).

Page 46: µ ] } d v } o } P / v ( } u ] v

Principales publicaciones de ISACA

3. Riesgo de IT (Risk IT) proporciona una visión completa e integral de todos los riesgos relacionados con el uso de TI y un tratamiento similar de la gestión de riesgos, desde el tono y la cultura en la parte superior de las organizaciones, hasta los problemas operativos. Fue publicado en 2009 por ISACA. Es el resultado de un grupo de trabajo compuesto por expertos de la industria y algunos académicos de diferentes naciones, procedentes de organizaciones como Ernst & Young, IBM, PwC, Risk Management Insight, Swiss Life y KPMG.

Page 47: µ ] } d v } o } P / v ( } u ] v

Principales publicaciones de ISACA

4. Normas, Guías y Procedimientos para la auditoría de sistemas de información (Standards, Guidelines and Procedures for informationsystem auditing). Las Guías fueron co-desarrolladas en conjunto con la Federación Internacional de Contadores (IFAC).

5. Funciones de Seguridad, Auditoría y Control en SAP-ERP.

6. Val TI (Val IT, Obtener el Mejor Valor de las Inversiones en TI).

Page 48: µ ] } d v } o } P / v ( } u ] v

Normas, Guías y Procedimientospara la auditoría de TI

Page 49: µ ] } d v } o } P / v ( } u ] v

Normas, Guías y Procedimientos para la aud. de TI

Normas Generales1001 Estatuto de la función de auditoría 1002 Independencia organizacional1003 Independencia profesional1004 Expectativa razonable1005 Debido cuidado profesional1006 Competencia1007 Afirmaciones1008 Criterios

Normas de Ejecucción1201 Planificación de la asignación1202 Evaluación de riesgo en

planificación

Normas de Ejecucción (continúa)1203 Desempeño y supervisión1204 Materialidad1205 Evidencia1206 Uso del trabajo de otros

expertos1207 Irregularidades y actos ilegales

Normas de Reporte1401 Reportes1402 Actividades de seguimiento

Page 50: µ ] } d v } o } P / v ( } u ] v

Normas, Guías y Procedimientos para la aud. de TI

Guías Generales2001 Estatuto de la función de auditoría 2002 Independencia organizacional2003 Independencia profesional2004 Expectativa razonable2005 Debido cuidado profesional2006 Competencia2007 Afirmaciones2008 Criterios

Guías de Ejecucción2201 Planificación de la asignación2202 Evaluación de riesgo en

planificación

Guías de Ejecucción (continúa)2203 Desempeño y supervisión2204 Materialidad2205 Evidencia2206 Uso del trabajo de otros

expertos2207 Irregularidades y actos ilegales

Guías de Reporte2401 Reportes2402 Actividades de seguimiento

Page 51: µ ] } d v } o } P / v ( } u ] v

Normas, Guías y Procedimientos para la aud. de TI

• Última publicación de Normas y Guías hecha por ISACA el 1 de noviembre de 2013.

• Se deja liga de las Normas, Guías y Procedimientos publicados por ISACA en su portal de internet en la siguiente dirección:

www.isaca.org/standards

• Se deja liga de Glosario de términos completo publicados por ISACA en su portal de internet en la siguiente dirección:

www.isaca.org/glossary

Page 52: µ ] } d v } o } P / v ( } u ] v

Principales Certificaciones de ISACA

Page 53: µ ] } d v } o } P / v ( } u ] v

Principales Certificaciones de ISACA

• Auditor de Sistemas de Información Certificado (CISA, CertifiedInformation Systems Auditor).

• Gerente de Seguridad de la Información Certificado (CISM, CertifiedInformation Security Manager).

• Certificado en Gobierno de TI Empresarial (CGEIT, Certified in theGovernance of Enterprise IT).

• Certificado en Control de Sistemas de Riesgo e Información (CRISC, Certified in Risk and Information Systems Control).

Page 54: µ ] } d v } o } P / v ( } u ] v

Principales Certificaciones de ISACA

• Practicante de Cyber Seguridad en Nexus (CSX-P, CybersecurityNexus Practitioner).

CSX-P, es la primera certificación de ciberseguridad de ISACA, se presentó en el verano de 2015. Es una de las pocas certificaciones que requieren que la persona trabaje en un entorno real, con problemas reales, para obtener una certificación. Específicamente, el examen coloca a los examinados en una red en vivo con un incidente real que está teniendo lugar. Los esfuerzos del estudiante para responder al incidente y corregir el problema resultan en el tipo de calificación otorgado.

Page 55: µ ] } d v } o } P / v ( } u ] v

CISA

Page 56: µ ] } d v } o } P / v ( } u ] v

CISA

• Es una certificación reconocida a nivel mundial para profesionales de control de auditoría, aseguramiento y seguridad de Sistemas de Información.

• Al estar certificado como CISA, acredita su experiencia, habilidades y conocimientos de auditoría, y demuestra que es capaz de evaluar vulnerabilidades, informar sobre el cumplimiento e instituir controles dentro de la empresa.

• Costo del examen es de USD $45 por intento.

• Costo por mantener membresía en ICASA como CISA es de USD $50 por año.

Page 57: µ ] } d v } o } P / v ( } u ] v

CISA

• Para mantener la certificación de se requiere cumplir con un mínimo de horas de educación continua de 20 horas por año y 120 como mínimo cada tres años.

• Entre los requisitos para presentar el examen de certificación se requiere de cinco años de experiencia comprobada en la auditoría de Tecnologías de Información.

Page 58: µ ] } d v } o } P / v ( } u ] v

El Ciclo de Control Interno

Page 59: µ ] } d v } o } P / v ( } u ] v

El Control Interno como partedel procesoAdministrativo

Page 60: µ ] } d v } o } P / v ( } u ] v

¡Gracias!

Page 61: µ ] } d v } o } P / v ( } u ] v

Contactos

Visite nuestra página en Internet

www.mmsasesores.com

O escríbanos a:

[email protected]