Los sistemas de información representan una gran ventaja para una organización, esta herramienta tiene como finalidad la gestión de la información de manera que su transacción desde la persona que la registra, hasta la persona a la que va dirigida sea eficiente. Es por esto que se hace una auditoría de manera regular, para comprobar que los controles de dicho sistema estén operando correctamente, esto incluye la verificación del cumplimiento de la confidencialidad.
Palabras Clave: Auditoría, sistemas, información.
Introducción
El manejo de la información es un asunto importante dentro de una entidad, ya que a través de ella se puede conocer su estado actual, su situación financiera o su estructura organizacional, entre otros datos relevantes, el adecuado manejo de ésta requiere de un profesional capacitado en el uso, análisis y control de la misma.
En la última década del siglo XX, hubo grandes avances en el neoliberalismo económico dando pie a que el sistema financiero se abriera nuevamente al capital privado generando campo para los negocios. El mercado se volvió más rápido y se aumentaron las inversiones en informática, sobre todo en la informática financiera. Esto provocó que las empresas implementaran el uso de sistemas de información, sin embargo se consideraba que dicha información estaba expuesta por lo que se requería un alto grado de confidencialidad.
Conceptos básicos
Para una mejor comprensión se dividirá el tema en los siguientes conceptos:
Auditoría
Anteriormente este término se le designaba a aquellas personas a las que se les rendían cuentas de agentes reales o de funcionarios, por lo que este concepto corresponde a los verbos examinar, consultar, comprobar, investigar, entre otros, y pretende recabar pruebas a cerca de los registros y procesos. Está directamente relacionada con procesos de revisión y/o verificación.
Existen diferentes tipos de auditoría de los cuales algunos se mencionan a continuación:
- Auditoría externa o independiente: Corresponde a la prestación de un servicio, donde profesionales independientes auditan a una entidad bajo las estipulaciones de un contrato.
- Auditoría interna: Es ejecutada por profesionales dentro de una entidad, generalmente se hace por departamentos, sirve como valoración para poder examinar y evaluar las actividades que desempeña, sirve también como control interno para poder garantizar la información que sale de los diferentes departamentos.
- Auditoría gubernamental. Es una inspección que se hace a los organismos de derecho público o que están directamente relacionados con el bien de la sociedad o el patrimonio de la nación, ésta es llevada a cabo por organismos del Estado.
- Auditoría de sistemas: Corresponde a un área especializada de la auditoría destinada a examinar las técnicas, controles, normas y procedimientos de una entidad con el fin de encontrar oportunidades, seguridad, confidencialidad y confianza en la información que es procesada en los sistemas de información.
Sistema de información
Un sistema es un conjunto de elementos que interactúan y trabajan para llegar a un objetivo en común, por lo que un sistema de información se considera como un conjunto de procesos que a través de una colección de datos determina una estructura para la recolección, elaboración y distribución de la información que necesita la empresa para la administración, operación y control de las tareas que realiza y por lo tanto que ésta sea precisa y oportuna.
Un sistema de información automatizado corresponde a un procedimiento o método para procesar la información, por lo tanto necesita utilizar un soporte tal como un sistema informático.
La estructura de un sistema de información está compuesto por diversas piezas que se consideran fundamentales, estos son: actividades, datos, personas, tecnología y redes, estos componentes interactúan entre sí para obtener resultados.
Dentro de los diferentes tipos de sistemas de información destacan:
- Sistemas de procesamiento de transacciones. Su propósito principal es enriquecer las tareas de rutina de una empresa o entidad.
- Sistemas de automatización de oficina. Pretende dar apoyo a los trabajadores que manejan la información, de manera que puedan analizarla y/o transformarla con la finalidad de poder difundirla dentro o fuera de la empresa de manera eficiente.
- Sistema de manejo de conocimiento. Tiene la finalidad de ser una herramienta de apoyo para la creación de nuevos conocimientos a especialistas, ingenieros, científicos, etc.
- Sistemas de información gerencial o administrativa. Es aquel que provee de información al área administrativa para utilizarla en procesos como la toma de decisiones.
- Sistema de apoyo a decisiones. Otorga información específica para la toma de decisiones en situaciones especiales a los administradores.
- Sistemas de apoyo a decisiones de grupo. Se utiliza para aquellas decisiones que no tienen una estructura bien definida, va dirigida a algún grupo de trabajadores.
Importancia de un sistema de información en una organización
Se considera que un inconveniente de la comunicación estratégica corresponde a la utilización de la misma, debido a que no siempre se puede tener la respuesta a preguntas como quién, cómo, cuándo y dónde se utiliza dicha información, por lo que el uso de un medio sistemático en el cual se procese la información puede contestar a estas preguntas, dando pie a un mejor control de la documentación.
Su importancia se traduce en que el sistema de información maneja y procesa de manera eficiente la información necesaria para que sea transmitida exitosamente desde la persona que la registra hasta el que la recibe.
Auditoría en el sistema de información de una organización
Se considera una auditoría de un sistema de información a la revisión y evaluación, ya sea parcial o total, de los sistemas automatizados que procesan la información, así como los procesos que estén relacionados aunque no automatizados y las interfaces entre ellos.
En primer lugar una auditoría requiere de una planeación, esta puede ser a corto o a largo plazo, la primera corresponde a los aspectos a revisar en el lapso de un año y el segundo revisa aspectos como riesgos, resultados de los cambios en una administración estratégica. Ambos deben programarse para llevarse a cabo por lo menos una vez al año como estrategia de control. Está estrategia debe plantearse de manera individual, por departamentos y en general.
El profesor Ignacio Gil, de la Universitat Politècnica de València, presenta a continuación una serie de videos en la que explica en qué consiste la auditoría de los sistemas de información organizacional, quién es y qué hace el auditor de sistemas de información, cuáles son sus aplicaciones y fases y cómo se usan las entrevistas y los cuestionarios para adelantarla. (% videos, 55 minutos)
Objetivos de una auditoría
Los objetivos de una auditoría pretenden demostrar si los controles internos se encuentren operando de manera eficiente y que sirvan para minimizar cualquier riesgo que amenace a la empresa, se debe revisar que el sistema sea confiable y que exista confidencialidad, disponibilidad e integridad.
Pasos para la planeación de una auditoría
Debido a que una auditoría de los sistemas de información financiera requiere de una previa planeación, se recomienda seguir los siguientes pasos para garantizar que ésta sea efectiva.
- Entender la misión, objetivos, propósito y proceso de la organización.
- Identificar las políticas, estándares, estructura y procedimientos de la empresa.
- Hacer un análisis de riesgos para diseñar el plan de auditoría.
- Determinar los objetivos y alcance de la auditoría.
- Establecer un enfoque.
- Asignar personal a la auditoría.
Fases de la auditoría
Una auditoría se compone de las siguientes fases:
- Identificar el área a auditar.
- Determinar el objetivo de la auditoría.
- Identificar los sistemas, así como las funciones del sistema a revisar.
- Determinar las aspectos técnicos y habilidades necesarios.
- Identificar el origen de la información.
- Determinar la localización o instalación a auditar.
- Identificar y seleccionar el método de auditoría.
- Determinar personal a entrevistar.
- Identificar y obtener los estándares y políticas del departamento a evaluar.
- Desarrollar las herramientas de auditoría para llevar a cabo un control.
- Elaboración del informe de auditoría.
Documentación de la auditoría
A manera de apoyar los hallazgos y las conclusiones de la auditoría se requiere como mínimo la elaboración de los siguientes registros:
- La preparación y planeación de los objetivos de la auditoría.
- La descripción del área a auditar.
- Un programa para la auditoría.
- Los pasos realizados y la evidencia recolectada en la auditoría.
- El uso de otros auditores y/o expertos.
- Los resultados, conclusiones y recomendaciones.
Informe de auditoría
Es usado por el auditor para comunicar a la gerencia los resultados encontrados, así como las recomendaciones, por lo que se considera el producto final del trabajo, en este documento se deben incluir aspectos fundamentales como los hallazgos encontrados a lo largo de la auditoría, las conclusiones del auditor y sus opiniones en general del funcionamiento de los controles, y por lo tanto los riesgos derivados de las deficiencias en el sistema.
Incluye también las calificaciones que declaran si el procedimiento o control examinado es adecuado, toda esta información debe estar respaldada por los datos recopilados a lo largo de la auditoría.
El auditor debe presentar un informe balanceado, en el que no solo se incluyan los aspectos negativos encontrados sino también algunos comentarios constructivos sobre los controles y procesos que deben perfeccionarse, y comentarios positivos sobre los controles efectivos.
Conclusión
Los sistemas de información constituyen hoy en día una herramienta primordial en una organización, ya que esta garantiza un manejo eficiente de la información y por lo tanto está disponible y al alcance de cualquier persona dentro de la organización que esté autorizado para hacer uso de ella, sin embargo aunque se considera una herramienta de alto grado de eficiencia, implica algunos inconvenientes como por ejemplo que para su uso el personal podría requerir de alguna capacitación, lo cual podría generar algunos costos adicionales, por otra parte debido a que el sistema de información debe estar en constante contacto con la red, la información podría estar expuesta a que algún hacker ingrese al sistema y la pueda descargar por lo que requiere de un alto grado de seguridad y por lo tanto de confidencialidad.
Bibliografía
- Antonio Morales, D. (s.f.). Análisis y desarrollo de sistemas de información. Costa Rica: IICA-CIDIA.
- De la peña Gutiérrez, A. (2011). Auditoría. Un enfoque práctico. España: Paraninfo.
- Galán Quiroz, L. (1996). Informática y auditoría para las ciencias empresariales. UNAB.
- ISACA. (2007). Manual de Preparación al Examen CISA 2008. México: ISACA.
- Mora Enguídanos, A. (2008). Diccionario de Contabilidad, Auditoría y Control de Gestión. España: Editorial del Economista.
- Moreno García, M. N. (s.f.). Sistemas de información. España: Universidad de Salamanca.
- Sánchez Curiel, G. (2006). Auditoría de estados financieros. Mexico: PEARSON EDUCACION.
- Tamayo Alzate, A. (2001). Auditoría de sistemas. Una visión práctica. Colombia: Universidad de Colombia.
- Yañez de la Melena, C., & Ibsen Muñoz, S. (2011). Enfoque metodológico de la auditoría a la tecnologias de información y comunicaciones. Chile: OLACEFS.
Tema para tesis:
Planeación y desarrollo de una auditoría aplicada al sistema de información del departamento de recursos humanos de una empresa.
Objetivo de la tesis:
Que el alumno planee y desarrolle una auditoría a un departamento específico dentro de una empresa real y que al mismo tiempo aprenda el manejo del sistema de información implementado en dicho departamento que para vea y aprenda sobre su funcionamiento en tiempo real.
