Fundamentos y Metodología del Proceso de Auditoría de Tecnologías de la Información

Características Esenciales del Proceso de Auditoría

El proceso de auditoría debe cumplir las siguientes características fundamentales:

• Objetividad: El auditor debe contar con una actitud mental independiente, libre de influencias personales, debiendo prevalecer en todo momento el juicio profesional para analizar, interpretar y evaluar el cumplimiento normativo y el registro de las operaciones realizadas.
• Sistematicidad: A través de una metodología rigurosa, se permite que el auditor exprese y sustente una opinión clara sobre la gestión desarrollada por la entidad.
• Especialización: Se requiere contar con conocimientos sólidos en auditoría, Tecnologías de la Información (TI) y disciplinas afines, respaldados por la experiencia profesional.
• Oportunidad: La ejecución de la auditoría, así como la presentación del Informe Técnico de Resultados, que integra las observaciones y recomendaciones al ente auditado, deberán presentarse en los tiempos establecidos por la legislación aplicable.

Enfoque Metodológico en la Auditoría de TI

El enfoque metodológico propuesto integra el conocimiento aportado por las organizaciones que lideran el desarrollo de los estándares y mejores prácticas en el ámbito de las Tecnologías de la Información reconocidas a nivel internacional. Este enfoque entrega un marco referencial sólido para realizar auditorías a las TI, centrándose en los procesos de la organización, los sistemas de información que los soportan y sus actividades de control.

Fases del Proceso de Auditoría

Conocimiento Preliminar

Esta es la fase inicial del proceso de auditoría de Tecnologías de la Información. En ella se considera el archivo permanente que contiene la información general para el estudio y comprensión de los entes a revisar. En caso de que se hayan realizado auditorías en años anteriores, se debe revisar el informe del ejercicio previo para darle seguimiento a las observaciones pendientes.

Planeación

La Planeación es la primera fase formal del proceso de auditoría. En ella se identifican las áreas críticas e información relevante del área de Tecnologías de la Información (TI), a partir de lo cual se determina el alcance, los procedimientos de revisión y el equipo auditor comisionado. El propósito es definir los objetivos de auditoría, teniendo como resultado final el documento de Planeación de la Auditoría.

Técnicas de Evaluación de Riesgos

Al determinar qué áreas funcionales o temas deben ser auditados, el auditor de TI puede enfrentarse a una gran variedad de temas candidatos. El auditor debe evaluar estos riesgos y determinar cuáles de esas áreas de alto riesgo deben ser auditadas prioritariamente.

Objetivos de Controles y Objetivos de Auditoría

El objetivo de un control es anular o mitigar el riesgo siguiendo una metodología establecida. Por su parte, el objetivo de auditoría es verificar la existencia de estos controles y asegurar que estén funcionando de manera eficaz, respetando las políticas y los objetivos estratégicos de la entidad.

Solicitud de Información

Este procedimiento deberá realizarse de manera formal utilizando diversas herramientas con la finalidad de documentar y soportar la auditoría de Tecnologías de la Información. Estas herramientas incluyen:

• Oficios
• Cuestionarios
• Entrevistas
• Layouts (formatos de datos)
• Otros documentos formales