ÍNDICE AUDITORÍA DE SISTEMAS DE INFORMACIÓN

1.- INTRODUCCIÓN
2.- OBJETIVOS DE LA ASI
3.- CONTROL INTERNO
4.- METODOLOGÍAS DE ASI
5.- ÁREAS DE REVISIÓN
6.- NORMAS Y REGULACIONES
COBIT:
Una perspectiva detallada



ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
C Control
OB OBjectives
I for Information
T and Related Technology
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
INDICE
Introducción
Marco de referencia
Objetivos de Control
Directrices de auditoría
Directrices gerenciales
Guía para la implementación




ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Misión de los COBIT

Investigar, desarrollar, publicar y
promover un conjunto de objetivos
de control en tecnología de información
con autoridad, actualizados,
de carácter internacional y aceptados
generalmente para el uso cotidiano
de gerentes de empresas y auditores

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Fuentes

* Estándares técnicos de ISO, EDIFACT, etc.

* Códigos de conducta emitidos por Consejo de Europa, OECD,
ISACA, etc.

* Criterios de calificación para procesos y sistemas TI: ITSEC,
TCSEC, ISO 9000, SPICE, TickIT, Common Criteria, etc.

* Estándares profesionales en control interno y auditoría: COSO
Report, CICA, IFAC, AICPA, IIA, ISACA, PCIE, GAO standards, etc.

* Prácticas y requisitos industriales de foros industriales
(BS 7799, ESF, I4) y plataformas patrocinadas por gobiernos (IBAG,
NIST, DTI), etc.

* Requisitos emergentes de industrias específicas de banca,
comercio electrónico y fabricantes de TI
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Productos de la Familia COBIT
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
INDICE
Introducción
Marco de referencia
Objetivos de Control
Directrices de auditoría
Directrices gerenciales
Guía para la implementación




ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Necesidad de un marco de referencia

* Orientado a control

• Alinear objetivos de control individuales con
estándares de iure y de

* Utilizado por directivos, usuarios y auditores
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
El marco de referencia COBIT

Fusiona las
expectativas
con las
responsabilidades
de la dirección de TI
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
La necesidad de control de TI

* Directivos

* Usuarios

* Auditores
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Los directivos necesitan COBIT para

• Evaluar las decisiones de inversión en TI

• Balancear el riesgo y el control de las
inversiones

• Evaluar los entornos existentes y futuros
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Los usuarios necesitan COBIT
para

* Obtener confianza sobre la
seguridad y controles de
productos y servicios
proporcionados por personal
interno y terceros
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Los auditores de SI necesitan
COBIT para

• Sustentar opiniones a la dirección
sobre controles internos

• Contestar a la pregunta:
¿Qué mínimos controles son necesarios?

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Definición de Control

Las políticas, procedimientos,
prácticas y estructuras
organizacionales diseñadas para
garantizar razonablemente que los
objetivos del negocio serán
alcanzados y que eventos no
deseables serán prevenidos o
detectados y corregidos


ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Definición de Objetivo de
Control

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Una sentencia del resultado o
propósito que se desea
alcanzar
implementando
procedimientos de
control en una actividad de TI
particular
Principios del marco
Requerimientos
del negocio
Procesos TI
Recursos
TI

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Req. del negocio = criterios de información

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Criterios de información

•Efectividad
•Eficiencia
•Confidencialidad
•Integridad
•Disponibilidad
•Cumplimiento
•Confiabilidad





ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Efectividad:
Se refiere a que la información relevante sea pertinente para el
proceso del negocio, así como a que su entrega sea oportuna,
correcta, consistente y de manera utilizable.

Eficiencia:
Se refiere a la provisión de información a través de la utilización
óptima (más productiva y económica) de recursos.
Confidencialidad:
Se refiere a la protección de información sensible contra
divulgación no autorizada.

Integridad:
Se refiere a la precisión y suficiencia de la información, así
como a su validez de acuerdo con los valores y expectativas
del negocio.


ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Disponibilidad:
Se refiere a la disponibilidad de la información cuando ésta es
requerida por el proceso de negocio ahora y en el futuro.
También se refiere a la salvaguarda de los recursos necesarios
y capacidades asociadas.

Cumplimiento:
Se refiere al cumplimiento de aquellas leyes, regulaciones y
acuerdos contractuales a los que el proceso de negocios está
sujeto, por ejemplo, criterios de negocio impuestos externamente.

Confiabilidad de la información:
Se refiere a la provisión de información apropiada para la
administración con el fin de operar la entidad y para ejercer sus
responsabilidades de reportes financieros y de cumplimiento.

Recursos de Tecnología de la Inf.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Datos: Son objetos en su más amplio sentido, (por ejemplo,
externos e internos), estructurados y no estructurados, gráficos,
sonido, etc.
Sistemas de aplicación: La suma de procedimientos manuales
y programados.
Tecnología: cubre hardware, sistemas operativos, sistemas de
administración de bases de datos, redes, multimedia, etc.
Instalaciones: Recursos para alojar y dar soporte a los
sistemas de información.
Personal: Habilidades del personal, conocimiento, sensibilización
productividad para planear, organizar, adquirir, entregar,soportar y
monitorear servicios sistemas de información.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Principios del marco
Dominios y Procesos
Dominios
Procesos
Actividades

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Cubo COBIT

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
DOMINIOS

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PLANIFICACIÓN y
ORGANIZACIÓN
ADQUISICIÓN e
IMPLANTACIÓN
ENTREGA y SOPORTE
(SERVICIO)
GESTIÓN y
SUPERVISIÓN
COBIT
DOMINIOS

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Este dominio cubre las estrategias y las tácticas y se refiere
a la identificación de la forma en que la tecnología de
información puede contribuir de la mejor manera al logro de
los objetivos del negocio. Además, la consecución de la
visión estratégica necesita ser planeada, comunicada y
administrada desde diferentes perspectivas. Finalmente,
deberá establecerse una organización y una infraestructura
tecnológica apropiadas.

PLANIFICACIÓN Y ORGANIZACIÓN
DOMINIOS

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Para llevar a cabo la estrategia de TI, las soluciones de TI
deben ser identificadas, desarrolladas o adquiridas, así
como implementadas e integradas dentro del proceso del
negocio. Además, este dominio cubre los cambios y el
mantenimiento realizados a sistemas existentes, para
asegurar que el ciclo de vida es continuo para esos
sistemas

ADQUISICIÓN E IMPLEMENTACIÓN
DOMINIOS

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
En este dominio se hace referencia a la entrega o distribución
de los servicios requeridos, que abarca desde las operaciones
tradicionales hasta el entrenamiento, pasando por la seguridad
en los sistemas y la continuidad de las operaciones así como
aspectos sobre entrenamiento. Con el fin de proveer servicios,
deberán establecerse los procesos de soporte necesarios.

Este dominio incluye el procesamiento de los datos el cual es
ejecutado por los sistemas de aplicación, frecuentemente
clasificados como controles de aplicación.

ENTREGA Y SOPORTE
DOMINIOS

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Todos los procesos necesitan ser evaluados regularmente a
través del tiempo para verificar su calidad y suficiencia en
cuanto a los requerimientos de control. Este dominio
también advierte a la Administración sobre la necesidad
de asegurar procesos de control independientes, los cuales
son provistos por auditorías internas y externas u obtenidas
de fuentes alternativas.

MONITORIZACIÓN

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Declaración
de control
Prácticas
de control
Es habilitado por
considerando
Proceso de TI
El control de
Req. de
negocio
Que satisface
INDICE
Introducción
Marco de referencia
Objetivos de Control
Directrices de auditoría
Directrices gerenciales
Guía para la implementación




ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Resumen de COBIT
• Marco para revisar TI
• 4 dominios
• Cada dominio con procesos -- 34 en total
• Cada proceso con objetivos de control de alto nivel
• De 3 a 30 objetivos de control detallados
• Estos objetivos provienen de 41 fuentes
• Herramientas navegacionales “cascada”/”cubo”
• Un método lógico y sistemático para definir y
comunicar los objetivos de control
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Definición de un plan Estratégico de TI
que satisface los requerimientos del negocio de:
Lograr un balance óptimo entre las oportunidades de tecnología de
información y los requerimientos del negocio para TI, así como para
asegurar sus logros futuros.
se hace posible a través de:
un proceso de planeación estratégica emprendido en intervalos
regulares dando lugar a planes a largo plazo. Los planes a
largo plazo deberán ser traducidos periódicamente en planes
operacionales estableciendo metas claras y concretas a corto
plazo:
y toma en consideración:
• Estrategia del negocio de la empresa
• Definición de cómo TI soporta los objetivos de negocio
• inventario de soluciones tecnológicas e infraestructura actual
• Monitoreo del mercado de tecnología
• Estudios de factibilidad oportunos y chequeos con la realidad
• Análisis de los sistemas existentes
• Posición de la empresa sobre riesgos, en el proceso de compra
• Necesidades de la Admón. senior en el proceso de compra
PO1
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1. DEFINICIÓN DE UN PLAN ESTRATÉGICO DE TI

1.1 Tecnología de Información como parte del Plan de la
Organización a corto y largo plazo.

OBJETIVO DE CONTROL
La alta gerencia será la responsable de desarrollar e
implementar planes a largo y corto plazo que satisfagan la
misión y las metas de la organización. A este respecto, la
alta gerencia deberá asegurar que los problemas de TI, así
como las oportunidades, sean evaluados adecuadamente y
reflejados en los planes a largo y corto plazo de la
organización. Se deben desarrollar planes de TI a largo y
corto plazo para ayudar a asegurar que el uso de la TI esté
acorde con la misión y las estrategias de negocio de la
organización.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1.2 Plan a largo plazo de TI

OBJETIVO DE CONTROL
La Gerencia de TI y los dueños del proceso de negocio
serán responsables de desarrollar regularmente planes
de TI a largo plazo , que apoyen el logro de la misión y
las metas generales de la organización. El método de
planeación deberá incluir mecanismos para solicitar
información a los interesados internos y externos más
importantes, que se ven afectados por los planes
estratégicos de TI. De la misma manera, la Gerencia
deberá implementar un proceso de planeación a largo
plazo, adoptar un enfoque estructurado y determinar la
estructura para el plan.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

1.3 Plan a largo plazo de TI - Enfoque y Estructura

OBJETIVO DE CONTROL
La Gerencia de TI y los dueños del proceso de negocio deberán establecer
y aplicar un enfoque estructurado al proceso de planeación a largo plazo.
Esto deberá traer como resultado un plan de alta calidad que cubra las
preguntas básicas de qué, quién, cómo, cuándo y por qué el proceso de
planeación de TI debe tomar en cuenta los resultados del análisis del
riesgo, incluyendo los riesgos del negocio, entorno, tecnología y recursos
humanos. Los aspectos que necesitan ser tomados en cuenta y ser
cubiertos adecuadamente durante el proceso de planeación incluyen el
modelo de organización y sus cambios, la distribución geográfica, la
evolución tecnológica, los costos, los requerimientos legales y regulatorios,
requerimientos de terceras partes o del mercado, el horizonte de
planeación, reingeniería de procesos del negocio, la asignación de
personal, outsourcing, datos, sistemas de aplicación y arquitecturas de la
tecnología. Los planes de TI, de largo y corto alcance deberán incorporar
indicadores y objetivos de desempeño. El plan mismo deberá hacer
referencia a otros planes tales como el plan de calidad de la organización y
el plan de manejo de riesgos de información.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

1.4 Cambios al Plan a largo plazo de TI

OBJETIVO DE CONTROL

La gerencia de TI y los dueños del proceso del negocio
deberán asegurar que se establezca un proceso con el fin
de adaptar los cambios al plan a largo plazo de la
organización y los cambios en las condiciones de la TI.
La gerencia Senior deberá establecer una política que
requiera que se desarrollen y se mantengan planes de
largo y corto plazo de TI.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1.5 Planeación a corto plazo para la Función de TI

OBJETIVO DE CONTROL

La Gerencia de TI y los dueños del proceso del negocio
deberán asegurar que el plan a largo plazo de TI se
traduzca regularmente en planes a corto plazo de TI.
Estos planes a corto plazo deberán asegurar que se
asignen los recursos apropiados de la función de
servicios de TI con una base consistente con el plan a
largo plazo de TI. Los planes a corto plazo deberán ser
reevaluados y modificados periódicamente según se
considere necesario respondiendo a las condiciones de
cambios en el negocio y en TI. La realización oportuna
de estudios de factibilidad deberá asegurar que la
ejecución de los planes a corto plazo sea iniciada
adecuadamente.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1.6 Comunicación de los Planes de TI

OBJETIVO DE CONTROL
La gerencia debe asegurar que los planes de largo y
de corto plazo de tecnología de la información sean
comunicados a los dueños del proceso del negocio y
a otras partes relevantes en toda la organización.

1.7 Monitoreo y Evaluación de los Planes de
Tecnología de la Información

OBJETIVO DE CONTROL
La gerencia debe establecer procesos para captar y
reportar la retroalimentación de los dueños y usuarios
del proceso del negocio respecto a la calidad y utilidad
de los planes de largo y de corto plazo. La
retroalimentación obtenida debe ser evaluada y
considerada en la planeación futura de la tecnología
de la información.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

1.8 Evaluación de los Sistemas Existentes

OBJETIVO DE CONTROL

Previo al desarrollo o modificación del Plan
Estratégico o plan a largo plazo de TI, la Gerencia de
TI debe evaluar los sistemas existentes en términos
de: nivel de automatización de negocio,
funcionalidad, estabilidad, complejidad, costo y
fortalezas y debilidades, con el propósito de
determinar el nivel de soporte que ofrecen los
sistemas existentes a los requerimientos del negocio.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Definición de la Arquitectura de Información
que satisface los requerimientos de negocio de:
organizar de la mejor manera los sistemas de información
se hace posible a través de:
la creación y mantenimiento de un modelo de
información de negocios y asegurando que se definan
sistemas apropiados para optimizar la utilización de
esta información
y toma en consideración:
• Repositorio automatizado de datos y diccionario
• reglas de sintaxis de datos
• propiedad de la información y clasificación con base en
criticidad /seguridad
• un modelo de información que represente el negocio
• Normas de arquitectura de información de la empresa

PO2
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
determinación de la dirección tecnológica
que satisface los requerimientos de negocio de:
aprovechar la tecnología disponible y las que van apareciendo en
el mercado para impulsar y posibilitar la estrategia del negocio.
se hace posible a través de:
la creación y mantenimiento de un plan de infraestructura
tecnológica que establece y administra expectativas claras y
realistas de lo que puede brindar la tecnología en términos de
productos, servicios y mecanismos de entrega
y toma en consideración:
• capacidad de la infraestructura actual
• monitoreo de desarrollos tecnológicos por la vía de fuentes confiables
• realización de prueba de conceptos
• riesgos, restricciones y oportunidades
• planes de adquisición
• estrategia de migración y mapas alternativos (roadmaps)
• relaciones con los vendedores
• reevaluación independiente de la tecnología
• Cambios de precio /desempeño de hardware y de software

PO3
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
definición de la organización y de las relaciones de TI
que satisface los requerimientos de negocio de:
prestación de los servicios correctos de TI
se hace posible a través de:
una organización conveniente en número y habilidades, con
tareas y responsabilidades definidas y comunicadas, acordes con
el negocio y que facilita la estrategia y provee una dirección
efectiva y un control adecuado.
y toma en consideración:
• responsabilidades del nivel directivo sobre TI
• dirección de la gerencia y supervisión de TI
• Alineación de TI con el negocio
• participación de TI en los procesos clave de decisión
• flexibilidad organizacional
• roles y responsabilidades claras
• equilibrio entre supervisión y delegación de autoridad
• descripciones de puestos de trabajo
• Niveles de asignación de personal y personal clave
• Ubicación organizacional de las funciones de seguridad, calidad y
control interno
• Segregación de funciones

PO4
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Manejo o administración de la inversión de TI
que satisface los requerimientos de negocio de:
asegurar el financiamiento y el control de desembolsos de
recursos financieros
se hace posible a través de:
Inversión periódica y presupuestos operacionales
establecidos y aprobados por el negocio
y toma en consideración:
• alternativas de financiamiento
• Claros responsables del presupuesto
• Control sobre los gastos actuales
• justificación de costos y concienciación sobre el costo total de la
propiedad
• j u s ti f icación del beneficio y contabilización de todos los beneficios
obtenidos
• Ciclo de vida del software de aplicación y de la tecnología
• Alineación con las estrategias del negocio de la empresa
• Análisis de impacto
• Administración de los activos

PO5
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
comunicación de los objetivos y aspiraciones de la gerencia
que satisface los requerimientos de negocio de:
asegurar que el usuario sea conciente y comprenda dichas
aspiraciones
se hace posible a través de:
políticas establecidas y transmitidas a la comunidad de
usuarios; además, se necesitan estándares para traducir
las opciones estratégicas en reglas de usuario prácticas
y utilizables
y toma en consideración:
• Misión claramente articulada
• Directivas tecnológicas vinculadas con aspiraciones de negocios
• Código de ética / conducta
• Compromiso con la calidad
• Políticas de seguridad y control interno
• Practicas de seguridad y control interno
• Ejemplos de liderazgo
• Programación continua de comunicaciones
• Proveer guías y verificar su cumplimiento

PO6
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de recursos humanos
que satisface los requerimientos de negocio de:
Adquirir y mantener una fuerza de trabajo motivada y
competente y maximizar las contribuciones del personal a los
procesos de TI
se hace posible a través de:
prácticas de administración de personal, sensatas,justas y
transparentes para reclutar, alinear, pensionar, compensar,
entrenar, promover y despedir
y toma en consideración:
• reclutamiento y promoción
• Entrenamiento y requerimientos de calificaciones
• desarrollo de conciencia
• entrenamiento cruzado y rotación de puestos
• Procedimientos para contratación, veto y despidos
• evaluación objetiva y medible del desempeño
• responsabilidades sobre los cambios técnicos y de mercado
• Balance apropiado de recursos internos y externos
• Plan de sucesión para posiciones clave
PO7
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
aseguramiento del cumplimiento de requerimientos externos
que satisface los requerimientos de negocio de:
cumplir con obligaciones legales, regulatorias y contractuales
se hace posible a través de:
la identificación y análisis de los requerimientos
externos en cuanto a su impacto en TI, y realizando las
medidas apropiadas para cumplir con ellos
y toma en consideración:
• leyes, regulaciones y contratos
• monitoreo de desarrollos legales y regulatorios
• Monitoreo regular sobre cumplimiento
• seguridad y ergonomía
• privacidad
• propiedad intelectual
PO8
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
análisis de riesgos
que satisface los requerimientos de negocio de:
Soportar las decisiones de la gerencia a través del logro de los
objetivos de TI y responder a las amenazas reduciendo su
complejidad e incrementando objetivamente e identificando factores
importantes de decisión.
se hace posible a través de:
la participación de la propia organización en la identificación de
riesgos de TI y en el análisis de impacto, involucrando funciones
multidisciplinarias y tomando medidas efectivas en coste para
mitigar los riesgos
y toma en consideración:
• Administración de riesgos de la propiedad y del registro de las operaciones
• diferentes tipos de riesgos de TI (por ejemplo: tecnológicos, de seguridad, de
continuidad, regulatorios, etc.)
• Definir y comunicar un perfil tolerable de riesgos
• Análisis de las causas y sesiones de tormenta de ideas sobre riesgos
• Medición cuantitativa y/o cualitativa de los riesgos
• metodología de análisis de riesgos
• Plan de acción contra los riesgos
• Volver a realiza análisis oportunos

PO9
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de proyectos
que satisface los requerimientos de negocio de:
establecer prioridades y entregar servicios oportunamente y de
acuerdo al presupuesto de inversión
se hace posible a través de:
La organización identificando y priorizando proyectos en línea con
el plan operacional y la adopción y aplicación de técnicas de
administración de proyectos para cada proyecto emprendido
y toma en consideración:
• El patrocinio que la gerencia de negocios debe dar a los proyectos
• Administración de programas
• Capacidad para el manejo de proyectos
• Involucramiento del usuario
• División de tareas, puntos de control y aprobación de fases
• Distribución de responsabilidades
• Rastreo riguroso de puntos de control y entregables
• Costos y presupuestos de mano de obra, balance de recursos
internos y externos
• Planes y métodos de aseguramiento de calidad
• Programa y análisis de riesgos del proyecto
• Transición de desarrollo a operación

PO10
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Administración de la calidad
que satisface los requerimientos de negocio de:
satisfacer los requerimientos del cliente de TI
se hace posible a través de:
la planeación, implementación y mantenimiento de estándares
de administración de calidad y sistemas provistos para las
distintas fases de desarrollo, claros entregables y
responsabilidades explícitas
y toma en consideración:
• Establecimiento de una cultura de calidad
• Planes de calidad
• responsabilidades de aseguramiento de la calidad
• Practicas de control de calidad
• metodología del ciclo de vida de desarrollo de sistemas
• pruebas y documentación de sistemas y programas
• revisiones y reporte de aseguramiento de calidad
• Entrenamiento e involucramiento del usuario final y del personal de
aseguramiento de calidad
• Desarrollo de una base de conocimiento de aseguramiento de calidad
• Benchmarking contra las normas de la industria

PO11
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Identificación de soluciones automatizadas
que satisface los requerimientos de negocio de:
asegurar un efectivo y eficiente enfoque para satisfacer los
requerimientos del usuario
se hace posible a través de:
Una objetiva y clara identificación y análisis de oportunidades
alternativas comparadas contra los requerimientos de los
usuarios
y toma en consideración:
• Conocimientos de soluciones disponibles en el mercado
• Metodologías de Adquisición e implementación
• Involucramiento del usuario en el proceso de compra
• Alineamiento con las estrategias de la empresa y de TI
• definición de requerimientos de información
• estudios de factibilidad ( de costo-beneficio, alternativas, etc)
• Requerimientos de funcionalidad, operatividad, aceptación y
sostenimiento
• Cumplimiento con la arquitectura de información
• Costo - efectividad de la seguridad y los controles
• Responsabilidades de los proveedores


AI1
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Identificación de soluciones automatizadas
que satisface los requerimientos de negocio de:
asegurar un efectivo y eficiente enfoque para satisfacer los
requerimientos del usuario
se hace posible a través de:
Una objetiva y clara identificación y análisis de oportunidades
alternativas comparadas contra los requerimientos de los
usuarios
y toma en consideración:
• Conocimientos de soluciones disponibles en el mercado
• Metodologías de Adquisición e implementación
• Involucramiento del usuario en el proceso de compra
• Alineamiento con las estrategias de la empresa y de TI
• definición de requerimientos de información
• estudios de factibilidad ( de costo-beneficio, alternativas, etc)
• Requerimientos de funcionalidad, operatividad, aceptación y
sostenimiento
• Cumplimiento con la arquitectura de información
• Costo - efectividad de la seguridad y los controles
• Responsabilidades de los proveedores


AI2
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
adquisición y mantenimiento de la infraestructura tecnológica
que satisface los requerimientos de negocio de:
proporcionar las plataformas apropiadas para soportar las
aplicaciones de negocios
se hace posible a través de:
la juiciosa adquisición de hardware y software, estandarización del
software, análisis del rendimiento del hardware y de software y la
administración consistente del sistema
y toma en consideración:
• Cumplimiento con las direcciones y estándares de la infraestructura
tecnológica
• evaluación de tecnología
• Instalación, mantenimiento y control de cambios
• Actualización, conversión y planes de migración
• Uso de infraestructuras y/o recursos internos y externos
• Responsabilidades y relaciones del proveedor
• Administración de cambios
• Costo total de propiedad
• Seguridad del software del sistema
AI3
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Desarrollo y mantenimiento de Procedimientos
que satisface los requerimientos de negocio de:
asegurar el uso apropiado de las aplicaciones y de las
soluciones tecnológicas establecidas
se hace posible a través de:
un enfoque estructurado del desarrollo de manuales de
procedimientos para las operaciones y para los usuarios,
requerimientos de servicio y material de entrenamiento
y toma en consideración:
• Rediseño de los procesos de negocios
• Tratamiento de procedimientos como cualquier otra
tecnología disponible
• Desarrollo a tiempo
• procedimientos y controles de usuarios
• procedimientos y controles operacionales
• materiales de entrenamiento
• Administración de cambios
AI4
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
instalación y acreditación de sistemas
que satisface los requerimientos de negocio de:
verificar y confirmar que la solución sea adecuada para el
propósito deseado
se hace posible a través de:
la realización de una migración de instalación, conversión y
plan de aceptación adecuadamente formalizados
y toma en consideración:
• Entrenamiento del usuario y personal de operaciones de TI
• Conversión de datos
• Una prueba ambiental reflejando al ambiente real
• Acreditación
• revisiones post implementación y retroalimentación
• Participación del usuario final en las pruebas
• Planes continuos de mejoramiento de calidad
• Requerimientos de continuidad del negocio
• Medición de capacidad y desempeño a través del sistema
• Acuerdos y criterios de aceptación
AI5
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de cambios
que satisface los requerimientos de negocio de:
minimizar la probabilidad de interrupciones, alteraciones no
autorizadas y errores
se hace posible a través de:
un sistema de administración que permita el análisis,
implementación y seguimiento de todos los cambios
requeridos y llevados a cabo a la infraestructura de TI
actual
y toma en consideración:
• identificación de cambios
• procedimientos de categorización, priorización y emergencia
• Análisis de impacto
• autorización de cambios
• Administración de la liberación del cambio
• distribución de software
• Uso de herramientas automatizadas
• Administración de la configuración
• Rediseño del proceso del negocio
AI6
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Definición y administración de niveles de servicio
que satisface los requerimientos de negocio de:
establecer un entendimiento común del nivel de servicio
requerido
se hace posible a través de:
el establecimiento de acuerdos de niveles de servicio
que formalicen los criterios de desempeño contra los
cuales se medirá la cantidad y la calidad del servicio
y toma en consideración:
• Acuerdos o convenios formales
• definición de responsabilidades
• tiempos y volúmenes de respuesta
• cargos
• garantías de integridad
• Acuerdos de confidencialidad
• Criterio de satisfacción del cliente
• Análisis costo-beneficio de los niveles de servicio requerido
• Monitoreo y reporte

DS1
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de servicios prestados por terceros
que satisface los requerimientos de negocio de:
asegurar que los roles y responsabilidades de las terceras partes
estén claramente definidas y que cumplan y continúen
satisfaciendo los requerimientos
se hace posible a través de:
medidas de control dirigidas a la revisión y monitoreo de acuerdos/
contratos y procedimientos existentes, en cuanto a su efectividad y
cumplimiento, con respecto a las políticas de la organización
y toma en consideración:
• Acuerdos de servicio con terceras partes
• Administración de contrato
• Acuerdos de confidencialidad
• Requerimientos legales y regulatorios
• Monitoreo y reporte de la entrega de servicio
• Análisis de riesgos de la empresa y de TI
• Ejecución de recompensas y sanciones
• Contabilidad organizacional interna y externa
• Análisis de costos y variaciones en los niveles de servicio

DS2
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de desempeño y capacidad
que satisface los requerimientos de negocio de:
asegurar que la capacidad adecuada está disponible y que se
esté haciendo el mejor uso de ella para alcanzar el desempeño
deseado
se hace posible a través de:
Recolección de datos, análisis y reporte del
rendimiento de los recursos, aplicación de mediciones
y demanda de cargas de trabajo
y toma en consideración:
• requerimientos de disponibilidad y desempeño
• monitoreo y reporte automatizado
• herramientas de modelado
• administración de capacidad
• disponibilidad de recursos
• Cambios en precio-rendimiento del hardware y software
DS3
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
asegurar el servicio continuo
que satisface los requerimientos de negocio de:
Asegurar que los servicios de TI estén disponibles cuando se
requieran y asegurar el impacto mínimo en el negocio en el
evento que se presente una interrupción mayor
se hace posible a través de:
tener un plan de continuidad de TI probado y funcional, que esté
alineado con el plan de continuidad del negocio y relacionado con
los requerimientos de negocio
y toma en consideración:
• clasificación de criticidad (severidad)
• Procedimientos alternativos
• respaldo y recuperación
• pruebas y entrenamiento sistemáticos y regulares
• Monitoreo y procesos de escalamiento
• Responsabilidades organizacionales internas y externas
• Activación de la continuidad del negocio, vuelta atrás (fallback) y plan
de reactivación
• Actividades de administración de riesgos
• Análisis de puntos únicos de falla
• Administración de problemas
DS4
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
garantizar la seguridad de los sistemas
que satisface los requerimientos de negocio de:
salvaguardar la información contra uso no autorizado, divulgación
o revelación, modificación, daño o pérdida
se hace posible a través de:
controles de acceso lógico que aseguren que el acceso a sistemas,
datos y programas está restringido a usuarios autorizados
y toma en consideración:
• Requerimientos de privacidad y confidencialidad
• Autorización, autenticación y control de acceso
• identificación de usuarios y perfiles de autorización
• Necesidad de saber y necesidad de tener
• administración de llaves criptográficas
• manejo, reporte y seguimiento de incidentes
• Prevención y detección de virus
• Firewalls
• Administración centralizada de seguridad
• Entrenamiento a los usuarios
• Herramientas para monitoreo del cumplimiento, pruebas de intrusión
y reportes
DS5
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
identificación y asignación de costos
que satisface los requerimientos de negocio de:
asegurar un conocimiento correcto de los costos atribuibles a
los servicios de TI
se hace posible a través de:
un sistema de contabilidad de costos que asegure que
éstos sean registrados, calculados y asignados a los
niveles de detalle requeridos y al apropiado servicio
ofrecido
y toma en consideración:
• Recursos identificables y medibles
• Procedimientos y políticas de cargo
• Tarifas de cargo y procesos de reversión de
cargos.
• Conexión a acuerdo de niveles de servicio
• Reporte automatizado
• Verificación de comprensión de beneficios
• Benchmarking externo
DS6
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
educación y entrenamiento de usuarios
que satisface los requerimientos de negocio de:
asegurar que los usuarios estén haciendo un uso efectivo de la
tecnología y sean conscientes de los riesgos y
responsabilidades involucrados
se hace posible a través de:
un plan completo de entrenamiento y desarrollo
y toma en consideración:
• Plan de entrenamiento
• Inventario de habilidades
• Campañas de concientización
• Técnicas de concientización
• Uso de nuevas tecnologías y métodos de
entrenamiento
• Productividad del personal
• Desarrollo de una base de conocimientos
DS7
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Apoyo y asistencia a los clientes de TI
que satisface los requerimientos de negocio de:
asegurar que cualquier problema experimentado por los
usuarios sea atendido apropiadamente
se hace posible a través de:
un help desk, o mesa de control y ayuda, que
proporcione soporte y asesoría de primera línea
y toma en consideración:
• consultas de los clientes y respuesta a
problemas
• monitoreo de consultas y respuestas
• análisis y reporte de tendencias
• Desarrollo de una base de conocimientos
• Análisis de las causas
• Escalamiento y seguimiento de problemas
DS8
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Administración de la configuración
que satisface los requerimientos de negocio de:
dar cuenta de todos los componentes de TI, prevenir
alteraciones no autorizadas, verificar la existencia física y
proporcionar una base para la sana administración del cambio
se hace posible a través de:
controles que identifiquen y registren todos los activos
de TI así como su localización física y un programa
regular de verificación que confirme su existencia
y toma en consideración:
• registro de activos
• administración de cambios en la
configuración
• chequeo de software no autorizado
• controles de almacenamiento de software
• Integración e interrelación de hardware y
software
• Uso de herramientas automatizadas
DS9
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de problemas e incidentes
que satisface los requerimientos de negocio de:
asegurar que los problemas e incidentes sean resueltos y que
sus causas sean investigadas para prevenir cualquier
recurrencia
se hace posible a través de:
un sistema de administración de problemas que
registre y dé seguimiento a todos los incidentes
y toma en consideración:
• pistas de auditoría de problemas y soluciones
• resolución oportuna de problemas reportados
• procedimientos de escalamiento
• reportes de incidentes
• accesibilidad a la información de la configuración
• responsabilidades del proveedor
• coordinación con la administración de cambios

DS10
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Administración de datos
que satisface los requerimientos de negocio de:
asegurar que los datos permanezcan completos, precisos y válidos
durante su entrada, actualización y almacenamiento
se hace posible a través de:
una combinación efectiva de controles generales y de
aplicación sobre las operaciones de TI
y toma en consideración:
• diseño de formatos
• controles sobre documentos fuente
• controles de entrada, procesamiento y salida
• identificación, movimiento y administración de la librería de medios
• Recuperación y almacenamiento de datos
• autenticación e integridad
• propiedad de datos
• políticas de administración de datos
• modelos de datos y estándares de representación de datos
• integración y consistencia en todas las plataformas
• requisitos legales y regulatorios
DS11
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
Administración de instalaciones (sitios donde se procesa
información)
que satisface los requerimientos de negocio de:
proporcionar un ambiente físico conveniente que proteja los
equipos y al personal de TI contra peligros naturales o fallas
humanas
se hace posible a través de:
la instalación de controles físicos y ambientales adecuados que
sean revisados regularmente para garantizar su adecuado
funcionamiento
y toma en consideración:
• acceso a instalaciones
• identificación del sitio (instalación)
• seguridad física
• Políticas de inspección y escalamiento
• Plan de continuidad de negocios y administración de crisis
• salud y seguridad del personal
• Políticas de mantenimiento preventivo
• protección contra amenazas ambientales
• Monitoreo automatizado
DS12
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
administración de operaciones
que satisface los requerimientos de negocio de:
asegurar que las funciones importantes de soporte de TI estén
siendo llevadas a cabo regularmente y de una manera ordenada
se hace posible a través de:
una programación o planeación de las actividades que sea
registrada y diligenciada con base en el cumplimiento de
todas las actividades
y toma en consideración:
• manual de procedimiento de operaciones
• documentación para el inicio de procesos
• administración de servicios de red
• Programación del personal y cargas de trabajo
• proceso de cambio de turno
• registro de eventos del sistema
• Coordinación con las áreas de administración de cambios,
disponibilidad y manejo continuo de negocios
• Mantenimiento preventivo
• Acuerdos de niveles de servicio
• Operaciones automatizadas
• Registro, rastreo y escalamiento de incidentes
DS13
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
monitoreo del proceso
que satisface los requerimientos de negocio de:
asegurar el logro de los objetivos establecidos para los procesos
de TI
se hace posible a través de:
la definición de indicadores de desempeño
gerenciales, el reporte oportuno y sistemático del
desempeño y la oportuna acción sobre las
desviaciones
y toma en consideración:
• Tarjetas de decisión (scorecards) con indicadores de
desempeño y medición de resultados
• evaluación de la satisfacción de clientes
• reportes gerenciales
• Base de conocimientos del desempeño histórico
• Benchmarking externo
M1
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI:
Evaluar lo adecuado del control interno
que satisface los requerimientos de negocio de:
asegurar el logro de los objetivos de control interno
establecidos para los procesos de TI
se hace posible a través de:
el compromiso de la Gerencia de monitorear los
controles internos, evaluar su efectividad y emitir
reportes sobre ellos en forma regular
y toma en consideración:
• Responsabilidades para el control interno
• Monitoreo del control interno en proceso
• benchmarks
• reportes de errores y excepciones
• autoevaluaciones
• reportes gerenciales
• Cumplimiento con los requerimientos legales y regulatorios
M2
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
obtención de aseguramiento independiente
que satisface los requerimientos de negocio de:
incrementar los niveles de confianza entre la organización,
clientes y proveedores externos
se hace posible a través de:
revisiones de aseguramiento independientes llevadas a
cabo en intervalos regulares
y toma en consideración:
• certificaciones / acreditaciones independientes
• evaluaciones independientes de efectividad
• aseguramiento independiente sobre cumplimiento de
requerimientos legales y regulatorios
• aseguramiento independiente del cumplimiento de
compromisos contractuales
• revisiones y benchmarking a proveedores externos de
servicios
• Revisión por personal calificado del aseguramiento de
desempeño
• involucramiento proactivo de la auditoría
M3
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Control sobre el proceso de TI de:
proveer auditoría independiente
que satisface los requerimientos de negocio de:
incrementar los niveles de confianza y beneficiarse de
recomendaciones basadas en mejores prácticas
se hace posible a través de:
auditorías independientes desarrolladas a intervalos
regulares
y toma en consideración:
• independencia de auditoría
• involucramiento proactivo de la auditoría
• ejecución de auditorías por parte de
personal calificado
• aclaración de resultados y recomendaciones
• actividades de seguimiento
• Evaluación del impacto de lasrecomendaciones de la
auditoria (costos,beneficios, y riesgos)
M4
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
INDICE
Introducción
Marco de referencia
Objetivos de Control
Directrices de auditoría
Directrices gerenciales
Guía para la implementación




ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Directrices de Auditoría

1 Directriz genérica

34 Directrices orientadas a procesos
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Directriz
Genérica
de
Auditoría
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1) OBTENCIÓN DE UN ENTENDIMIENTO
Los pasos de auditoría que se deben realizar para documentar las
actividades que generan inconvenientes a los objetivos de control,
así como también identificar las medidas/procedimientos de control
establecidas.
Entrevistar al personal administrativo y de staff apropiado para lograr
la comprensión de:
• Los requerimientos del negocio y los riesgos asociados
• La estructura organizacional
• Los roles y responsabilidades
• Políticas y procedimientos
• Leyes y regulaciones
• Las medidas de control establecidas
• La actividad de reporte a la administración (estatus, desempeño,
acciones)
Documentar el proceso relacionado con los recursos de TI que se ven
especialmente afectados por el proceso bajo revisión. Confirmar el
entendimiento del proceso bajo revisión, los Indicadores Clave de
Desempeño (KPI) del proceso, las implicaciones de control, por
ejemplo, mediante una revisión paso a paso del proceso.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
2) EVALUACIÓN DE LOS CONTROLES
Los pasos de auditoría a ejecutar en la evaluación de la eficacia de
las medidas de control establecidas o el grado en el que se logra el
objetivo de control. Básicamente, decidir qué se va a probar, si se va
a probar y cómo se va a probar.

Evaluar la conveniencia de las medidas de control para el proceso
bajo revisión mediante la consideración de los criterios identificados
y las prácticas estándares de la industria, los Factores Críticos de
Éxito (CSF) de las medidas de control y la aplicación del juicio
profesional de auditor.
• Existen procesos documentados
• Existen resultados apropiados
• La responsabilidad y el registro de las operaciones son claros
y efectivos
• Existen controles compensatorios, en donde es necesario

Concluir el grado en que se cumple el objetivo de control.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
3) VALORACIÓN DEL CUMPLIMIENTO

Los pasos de auditoría a realizar para asegurar que las medidas
de control establecidas estén funcionando como es debido, de
manera consistente y continua, y concluir sobre la conveniencia
del ambiente de control.

Obtener evidencia directa o indirecta de puntos/períodos
seleccionados para asegurarse que se ha cumplido con los
procedimientos durante el período de revisión, utilizando
evidencia tanto directa como indirecta.

Realizar una revisión limitada de la suficiencia de los resultados
del proceso.

Determinar el nivel de pruebas sustantivas y trabajo adicional
necesarios para asegurar que el proceso de TI es adecuado.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
4) JUSTIFICAR/COMPROBAR EL RIESGO

Los pasos de auditoría a realizar para justificar el riesgo de que
no se cumpla el objetivo de control mediante el uso de técnicas
analíticas y/o consultas a fuentes alternativas. El objetivo es
respaldar la opinión e “impresionar” a la administración para que
tome acción. Los auditores tienen que ser creativos para
encontrar y presentar esta información que con frecuencia es
sensible y confidencial.

Documentar las debilidades de control y las amenazas y
vulnerabilidades resultantes.

Identificar y documentar el impacto real y potencial; por ejemplo,
mediante el análisis de causa-efecto.

Brindar información comparativa; por ejemplo, mediante
benchmarks.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Directrices de auditoría

Son sólo un punto de inicio para
identificar tareas asociadas con
determinados objetivos de control
de proceso.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PO 1 DEFINIR UN PLAN ESTRATÉGICO DE TI

Objetivos de control

1.- TI como parte del Plan a largo y corto plazo
2.- Plan a largo plazo de TI
3.- Plan a largo plazo de TI - Enfoque y Estructura
4.- Cambios al Plan a largo plazo de TI
5.- Planeación a corto plazo para la Función de
Servicios de Información
6.- Comunicación de los planes de TI
7.- Monitoreo y evaluación de los planes de TI
8.- Evaluación de los sistemas existentes

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Obtener un entendimiento a través de:
Entrevistas:
Director General (Chief Executive Officer)
Director de Operaciones (Chief Operations Officer)
Director de Finanzas (Chief Financial Officer)
Director de TI (Chief Information Officer)
Miembros del comité de planeación/dirección de la función de
servicios de información.
Gerencia de TI y personal de apoyo de RRHH
Obteniendo:
Políticas y procedimientos inherentes al proceso de planeación.
Roles y responsabilidades del equipo de Dirección
Objetivos de la Organización a largo y corto plazo
Objetivos de TI a largo y corto plazo
Reportes y minutas de seguimiento de las reuniones del comité
de Planeación/Dirección

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Evaluar los controles:
Considerando si:
Las políticas y procedimientos de negocios de la función de
servicios de información siguen un enfoque de planeación
estructurado. Se ha establecido una metodología para
formular y modificar los planes y que cubre, como mínimo:
• misión y las metas de la organización
• iniciativas de tecnología de información para soportar la misión y
las metas de la organización
• oportunidades para las iniciativas de tecnología de información
• estudios de factibilidad de las iniciativas de tecnología de
información
• evaluación de los riesgos de las iniciativas de tecnología de
información
• inversión óptima de las inversiones en tecnología de información
actuales y futuras
• reingeniería de las iniciativas de tecnología de información para
reflejar los cambios en la misión y las metas de la organización
• evaluación de las estrategias alternativas para las aplicaciones de
datos, tecnología y organización

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Los cambios organizacionales, la evolución tecnológica, los
requerimientos regulatorios, la reingeniería de los procesos de
negocios, el in-sourcing y el outsourcing, las áreas de apoyo, etc.
están siendo consideradas y dirigidas adecuadamente
en el proceso de planeación.

Existen planes de tecnología de información a corto y largo
plazo, están actualizados, están dirigidos adecuadamente a toda
la empresa, su misión y funciones clave de negocios.

Los proyectos de TI están soportados por la documentación
apropiada según lo definido en la metodología de planeación de
tecnología de información.

Existen puntos de revisión para asegurar que los objetivos de
tecnología de información y los planes a corto y largo plazo
continúan satisfaciendo los objetivos y los planes a corto y largo
plazo de la organización.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN

Los propietarios de procesos y la Gerencia llevan a cabo
revisiones y aprobaciones formales a los planes de TI.

El plan de tecnología de información evalúa los sistemas de
información existentes en términos del grado de automatización,
funcionalidad, estabilidad, complejidad, costos, fortalezas y
debilidades del negocio.

La ausencia de planeación a largo plazo para los sistemas de
información y la estructura que lo soporta resulta en sistemas
que no soportan los objetivos de la empresa ni los procesos del
negocio, o no proveen integridad, seguridad y control
apropiados.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Evaluar la suficiencia:
Probando que:
Las minutas de las reuniones del comité de Planeación de la función
de servicios de información reflejan el proceso de planeación.

Los entregables de la metodología de planeación existen según lo
indicado.

Se incluyen iniciativas de tecnología de información relevantes en
los planes a corto y largo plazos de la función de servicios de
información (por ejemplo, cambios de hardware, planeación de
capacidad, arquitectura de información, desarrollo u obtención de
nuevos sistemas, planeación de recuperación en caso de desastre,
instalación de plataformas para nuevos procesamientos, etc.).

Las iniciativas de tecnología de información soportan la
investigación, el entrenamiento, la asignación de personal, las
instalaciones, el hardware y el software.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Evaluar la suficiencia:
Probando que:
Se han identificado las implicaciones técnicas para las iniciativas
de tecnología de información

Se ha tomado en consideración la optimización de las inversiones
de tecnología de información actuales y futuras

Los planes a corto y largo plazo de tecnología de información son
consistentes con los planes a corto y largo plazo de la
organización, así como con los requerimientos de ésta.

Se han modificado los planes para reflejar condiciones cambiantes.

Los planes a largo plazo de tecnología de información son
traducidos periódicamente en planes a corto plazo.

Existen tareas para implementar los planes.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Comprobar el riesgo de los objetivos de control no cumplidos:
Llevando a cabo:

Mediciones ("Benchmarking") de planes estratégicos de
tecnología de información contra organizaciones similares o
apropiados estándares internacionales reconocidos como
buenas prácticas de la industria.

Una revisión detallada de los planes de TI para asegurar que
las iniciativas de tecnología de información reflejen la
misión y las metas de la organización.

Una revisión detallada de los planes de TI para determinar si,
como parte de las soluciones de tecnología de información
contenidas en los planes, se han identificado áreas débiles
dentro de la organización que requieren ser mejoradas.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Comprobar el riesgo de los objetivos de control no cumplidos:
Identificando:

Fallas en la tecnología de información para satisfacer la misión
y las metas de la organización.

Fallas en la tecnología de información para concordar con los
planes a corto y largo plazo.

Fallas en los proyectos de TI para satisfacer los planes a corto
plazo.

Fallas en la tecnología de información para satisfacer
lineamientos de costos y tiempos.

Oportunidades de negocios no aprovechadas.

Oportunidades no aprovechadas por TI.

INDICE
Introducción
Marco de referencia
Objetivos de Control
Directrices de auditoría
Directrices gerenciales
Guía para la implementación




ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN


ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Factores críticos de éxito
Indicadores clave de desempeño (KPI)
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
• KGI (goal/objetivo)
indicadores medibles
del proceso para conseguir
su objetivo
• f(Req. Del negocio de la « cascada »)
• Influenciados por los criterios de información
primarios y secundarios
• Una fuente potencial puede encontrarse en la sección
« sustanciar el riesgo » de las directrices de auditoría
de COBIT
Indicadores clave de objetivos (KGI)
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Declaración
de control
Prácticas
de control
Es habilitado por
considerando
Proceso de TI
El control de
Req. de
negocio
Que satisface
Declaración
de control
Prácticas
de control
Es habilitado por
considerando
Proceso de TI
El control de
Req. de
negocio
Que satisface
• Genéricas y orientadas a la acción
• Con el propósito de
• Perfilar el control de TI – qué es importante?
• Conciencia – dónde está el riesgo?
• Benchmarking – qué hacen los demás?
• Soportar la toma de decisiones y
supervisión
• Indicadores claves de desempeño para
procesos TI
• Factores críticos de éxito de los controles
• Alternativas de implementación de los
controles
Directrices gerenciales
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Modelos de madurez para autoevaluación
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
DIMENSIONES DEL MODELO DE MADUREZ
• Entendimiento y conocimiento de los riesgos y de los
problemas de control
• Capacitación y comunicación aplicadas a los problemas
• Proceso y prácticas que son implementados
• Técnicas y automatización para hacer los procesos más
efectivos y eficientes
• Grado de cumplimiento de la política interna, las leyes y
las reglamentaciones
• Tipo y grado de pericia empleada.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Directriz de Proceso Genérico
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Gobierno sobre la tecnología de información y los procesos con las
metas del negocio para añadir valor, mientras se balancean los
riesgos y el retorno

Asegurar la entrega de información al Negocio el cual establece
los Criterios de Información requeridos y es medido por
Indicadores Clave de Resultados/Logros

Se hace posible a través de la creación y mantenimiento de
un sistema de procesos y controles apropiados para el
negocio, el cual dirige y monitorea el valor del negocio
proporcionado por TI

Considera Factores Críticos de Éxito que tiene en
cuenta todos los Recursos de TI y es medido por
Indicadores Clave de Desempeño
Factores Críticos de Éxito

- Las actividades del gobierno de TI son integradas dentro del
proceso de gobierno de la empresa y las conductas de
liderazgo
- El gobierno de TI se enfoca en los objetivos y metas de la
empresa, en las iniciativas estratégicas y el uso de tecnología
para mejorar el negocio, con base en la disponibilidad de
recursos y capacidades suficientes para soportar las demandas
del negocio
Las actividades del Gobierno de TI están definidas sobre
propósitos claros, documentados e implementados, basados en
las necesidades de la empresa y con responsabilidades
concretas.
- Las prácticas gerenciales son implementadas para incrementar
la eficiencia y el uso óptimo de los recursos así como
incrementar la efectividad de los procesos de TI.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Factores Críticos de Éxito

- Se establecen prácticas organizacionales para: evitar descuidos;
una cultura/ambiente de control; análisis de riesgos como
práctica estándar; grado de adherencia a estándares
establecidos; monitoreo y seguimiento a los riesgos y a las
deficiencias de control.
- Se definen prácticas de control para evitar el incumplimiento o
mal uso de controles internos.
- Hay integración e interoperabilidad transparente de los procesos
de TI mas complejos como podrían ser: problemas, cambios y
administración de la configuración.
- Se establece un comité de auditoría para designar y supervisar
un auditor independiente enfocado sobre TI cuando dirige la
ejecución de planes de auditoría y revisa los resultados de las
auditorías y revisiones de terceros.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
- Incrementar el desempeño y la administración de costos
- Mejorar el retorno de la inversión sobre las mayores inversiones de TI
-Mejorar el tiempo de comercialización
-Incrementar la calidad, la innovación y la administración de riesgos
- Procesos del negocio apropiadamente integrados y estandarizados
- Búsqueda de nuevos clientes y satisfacer los existentes
- Disponibilidad de apropiado ancho de banda, poder de cómputo y
mecanismos para la entrega de servicios de TI
- Satisfacer los requerimientos y las expectativas de los clientes de los
procesos con base en un presupuesto y a tiempo
- Cumplir con las leyes, regulaciones, estándares de la industria y
compromisos contractuales.
- Transparencia en los riesgos asumidos y cumplimiento con el
acuerdo del perfil de riesgo organizacional.
- Comparaciones mediante Benchmarking sobre el nivel de madurez
de TI
- Creación de nuevos canales de distribución y entrega de servicios
Indicadores clave de objetivo
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
- Mejorar los procesos de costo-eficiencia de TI
(costos versus entregables o servicios)
- Incrementar el número de planes de acción de TI para las
iniciativas de mejora de procesos
- Incrementar la utilización de la infraestructura de TI
- Incrementar la satisfacción de los socios y accionistas
(encuestas y número de reclamaciones).
- Incrementar la productividad de los funcionarios de TI (número
de entregables) y su moral (encuesta)
- Incrementar la disponibilidad de conocimiento e información
para administrar la empresa.
- Incrementar las relaciones entre el gobierno de la empresa y
el gobierno de TI
- Incrementar el desempeño mediante mediciones utilizando
tarjetas de medición (Balanced Scorecards)
Indicadores clave de desempeño
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PO1 Planeación y Organización
Definir un Plan Estratégico de Tecnología de Información

El Control sobre el proceso de TI de Definir un Plan Estratégico
de TI con el objetivo del negocio de
lograr un equilibrio óptimo de oportunidades de tecnología de la
información y de los requerimientos de TI del negocio así como
también asegurar su cumplimiento posterior
Asegura la entrega de información al negocio que satisface
los Criterios de Información requeridos y se mide por los
Indicadores Clave de Objetivo
Es posibilitado por un proceso de planeación estratégica
emprendido a intervalos regulares dando lugar a planes
a largo plazo; los planes a largo plazo deben ser
traducidos periódicamente en planes operativos que fijan
metas a corto plazo claras y concretas
Considera los Factores Críticos de Éxito que
apalancan Recursos de TI específicos y se mide por
medio de los Indicadores Clave de Desempeño.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PO1 Modelo de Madurez

El control sobre el proceso de TI de Definir un Plan
Estratégico de TI con el objetivo del negocio de
alcanzar un balance óptimo de oportunidades de tecnología
de la información y requerimientos de TI del negocio así como
también asegurando su posterior cumplimiento

0 Inexistente. No se realiza la planeación estratégica de TI.
La administración no está conciente de que la planeación
estratégica de TI es necesaria para apoyar los objetivos del
negocio.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1 Inicial /Ad hoc La administración de TI está conciente de la
necesidad de planeación estratégica de TI, pero no se ha
instalado un proceso estructurado de decisión. La planeación
estratégica de TI se realiza con base a la necesidad en
respuesta a un requerimiento específico del negocio y los
resultados son por lo tanto esporádicos e inconsistentes. La
planeación estratégica de TI es discutida ocasionalmente en
las reuniones de administración de TI, pero no en las
reuniones de administración del negocio. La correspondencia
con los requerimientos del negocio, las aplicaciones y la
tecnología ocurren de manera reactiva, impulsadas por ofertas
de los vendedores, en lugar de ser por una estrategia en toda
la organización. La posición estratégica de riesgo es
identificada informalmente en cada proyecto.

ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
2 Repetible pero Intuitiva La planeación estratégica de TI es
entendida por la administración de TI, pero no está documentada.
La planeación estratégica de TI es realizada por la administración
de TI, pero sólo es compartida con la administración del negocio
en la medida en que se necesita.
La actualización del plan estratégico de TI se lleva a cabo sólo en
respuesta a solicitudes de la administración y no hay un proceso
proactivo para identificar los desarrollos de TI y del negocio que
requieren actualizaciones del plan. Las decisiones estratégicas son
impulsadas por proyecto, sin consistencia con una estrategia
general de la organización. Los riesgos y los beneficios de usuario
de las principales decisiones estratégicas están siendo
reconocidos, pero su definición es intuitiva.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
3 Proceso Definido Una política define cuándo y cómo realizar
la planeación estratégica de TI. La planeación estratégica de TI
sigue un método estructurado que está documentado y que es
conocido por todos los miembros del personal. El proceso de
planeación de TI es razonablemente adecuado y asegura que la
planeación apropiada probablemente se realice. Sin embargo, se
da discreción a los administradores individuales respecto a la
implementación del proceso y no hay procedimientos para
examinar el proceso regularmente. La estrategia general de TI
incluye una definición consistente de riesgos que la organización
está dispuesta a correr como un innovador o seguidor. Las
estrategias financiera, técnica y de recursos humanos de TI
impulsan cada vez más la adquisición de nuevos productos y
tecnologías.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
4. Administrado y Medible La planeación estratégica de TI es
una práctica estándar y la administración señalaría las
excepciones. La planeación estratégica de TI es una función
definida de la administración con responsabilidades a nivel de
alta gerencia. Con respecto al proceso de planeación
estratégica de TI, la administración puede monitorearla, tomar
decisiones inteligentes con base en ésta y medir su efectividad.
Tanto la planeación a corto como a largo plazo se realiza y cae
en “cascada” a la organización haciéndose actualizaciones a
medida que se necesitan. La estrategia de TI y la estrategia de
toda la organización se están volviendo cada vez más
coordinadas resolviendo procesos de negocio y capacidades de
valor agregado y apalancando el uso de aplicaciones y de
tecnologías a través de reingeniería del proceso de negocio.
Hay un proceso bien definido para balancear los recursos
internos y externos requeridos en el desarrollo y en las
operaciones del sistema. Benchmarking frente a normas y
competidores de la industria se está volviendo cada vez más
formalizada.
ÁREAS DE REVISIÓN AUDITORÍA DE SISTEMAS DE INFORMACIÓN
5. Optimizado La planeación estratégica de TI, es un proceso
documentado, viviente, es constantemente considerado en la
determinación del objetivo del negocio y tiene como resultado un
valor discernible de negocio a través de inversiones en TI.
Constantemente se están actualizando las consideraciones de
riesgo y de valor agregado en el proceso de planeación estratégica
de TI. Hay una función de planeación estratégica de TI que es
integral con la función de planeación del negocio. Se desarrollan
planes realistas de TI a largo plazo y los mismos están siendo
constantemente actualizados para que reflejen la tecnología
cambiante y los desarrollos relacionados con el negocio. Los planes
de corto plazo de TI contienen hitos de tareas de proyectos y
productos que son constantemente monitoreados y actualizados, a
medidas que ocurren cambios. El establecimiento de Benchmarking
frente a normas de la industria bien entendidas y confiables es un
proceso bien definido y está integrado con el proceso de
formulación de estrategias. La organización de TI identifica y
respalda nuevos desarrollos de la tecnología para impulsar la
creación de nuevas capacidades de negocios y para mejorar la
ventaja competitiva de la organización.
DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
En un plan de continuidad de negocio,
¿Cuál de los siguientes directorios
de notificación es el más
importante?

1. vendedores de equipos y suministros
2. agentes de compañías de seguro
3. servicios de contratación de personal
4. una lista priorizada de contactos

DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Un auditor de SI descubre que un plan de continuidad de
negocio de una instalación de procesamiento de información
provee un sitio alternativo de procesamiento que alojará el
50% de la capacidad del sitio de procesamiento primario.
Sobre la base de esto, ¿cuál de las acciones siguientes debe
emprender el auditor de SI?
1. No hacer nada, porque generalmente, menos del 25% de todo el
procesamiento es crítico para la supervivencia de una
organización y la capacidad de respaldo es por tanto adecuada
2. Identificar las aplicaciones que podrían ser procesadas en el sitio
alternativo y desarrollar procedimientos manuales para dar
respaldo al otro procesamiento.
3. Asegurar que se hayan identificado las aplicaciones críticas y que
el sitio alternativo pueda procesar todas estas aplicaciones.
4. Recomendar que la instalación de procesamiento de información
haga los arreglos para un sitio alternativo de procesamiento de la
información con la capacidad de manejar por lo menos el 75% del
procesamiento normal.
DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
¿Cuál de los siguientes componentes de
un plan de continuidad del negocio es
primariamente responsabilidad del
departamento de SI de una
organización?
1. Desarrollar el plan de continuidad del
negocio
2. Seleccionar y aprobar la estrategia para el
plan de continuidad del negocio
3. Declarar un desastre
4. Restaurar los sistemas de SI y los datos
después de un desastre.
DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
En una auditoría de un plan de continuidad
de negocio ¿cuál de los siguientes
hallazgos es de más preocupación?
1. No hay seguros para la adición de activos durante el
año
2. El manual del plan no es actualizado periódicamente
3. La prueba de las copias de respaldo de datos no se
ha hecho regularmente
4. Los registros de mantenimiento del sistema de acceso
no se han mantenido

DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Un auditor de SI debería involucrarse en:
1. Observar las pruebas del plan de recuperación de
desastres
2. Desarrollar el plan de recuperación de desastres
3. Mantener el plan de recuperación de desastres
4. Revisar los requerimientos de recuperación de
desastres en los contratos de los proveedores
DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
¿Cuál de lo siguiente es necesario tener
primero en el desarrollo de un plan de
continuidad de negocio?
1. Clasificación de los sistemas basada en el riesgo
2. Inventario de todos los activos
3. Documentación completa de todos los desastres
4. Disponibilidad de hardware y de software
DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
¿Los planes de prueba de las
aplicaciones se desarrollan en
cuál de las siguientes etapas del
ciclo de vida de sistemas?
1. Diseño
2. Prueba
3. Requisitos
4. Desarrollo

DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
El propósito primario de llevar a cabo
la ejecución en paralelo de un sistema
nuevo es:
1. Verificar que el sistema provea la funcionalidad que
requiere el negocio
2. Validar la operación del sistema nuevo contra el que
lo precedió
3. Resolver cualquier error en las interfaces de
programas y de archivo
4. Verificar que el sistema pueda procesar la carga de
producción


DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
¿Cuál de las siguientes opciones sería la
que más probablemente aseguraría que
un proyecto de desarrollo de sistemas
cumpla con los objetivos de negocio?
1. Mantenimiento de las bitácoras de cambios de los
programas
2. El desarrollo de un plan de proyectos que identifique
todas las actividades
3. La liberación de los cambios en determinadas fechas
del año
4. La participación del usuario en la especificación y
aceptación del sistema


DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Cuando se audita la fase de requisitos de
una adquisición de software, el auditor de
SI debe:
1. Evaluar la factibilidad del cronograma del
proyecto
2. Evaluar los procesos de calidad propuestos por el
vendedor
3. Asegurarse que se adquiera el mejor paquete de
software
4. Revisar que las especificaciones estén completas


DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
La mantenibilidad está más relacionada con
cuál de lo siguientes atributos software:
1. Los recursos que se necesitan para hacer
modificaciones específicas
2. El esfuerzo que se necesita para usar la aplicación
del sistema
3. Relación entre el desempeño del software y los
recursos necesarios
4. La satisfacción de las necesidades del usuario

DEBATE AUDITORÍA DE SISTEMAS DE INFORMACIÓN
Cuando se llevaba a cabo una revisión de la
reingeniería de los procesos de negocio, un
auditor de SI encontró que un control preventivo
clave había sido eliminado. El auditor de SI debe:
1. Informar a la gerencia sobre el hallazgo y determinar si la
gerencia está dispuesta a aceptar el riesgo material potencial
de no tener ese control preventivo
2. Determinar si un control detectivo ha reemplazado al control
preventivo durante el proceso, y si así fuera, no reportar la
eliminación del control preventivo
3. Recomendar que éste y todos los procedimientos de control que
existían antes de que al proceso se le hubiera aplicado
reingeniería, sean incluidos en el nuevo proceso
4. Desarrollar un método de auditoría continua para monitorear los
efectos de la eliminación del control preventivo