Riesgos de control interno en sistemas computarizados: debilidades y recomendaciones

Resumen

El documento describe las debilidades del control interno en los sistemas de procesamiento electrónico de datos, a partir de ejemplos de la NIA 401 y la DIPA 1009. Explica por qué, aunque los sistemas computarizados aumentan la confiabilidad de la información financiera, pueden presentar irregularidades. Incluye una tabla de riesgos con sus respectivas recomendaciones y una consideración sobre la retención de datos para el auditor.

Puntos clave

Los sistemas computarizados procesan las operaciones de forma homogénea y reducen fraudes y errores humanos, pero pueden presentar irregularidades.
Los errores en los programas pueden procesar todas las transacciones de forma incorrecta; se recomienda probar los programas antes de usarlos.
El acceso no autorizado puede destruir o modificar datos y programas; se recomienda establecer controles de sistema y de operación.
La concentración de actividades operativas exige una segregación de funciones dentro del departamento de informática.
Algunas transacciones pueden iniciarse automáticamente sin autorización individual, por lo que debe existir la aprobación del sistema por parte de la gerencia.
Los procesos internos no son observables, por lo que deben usarse técnicas de auditoría computarizada.
La DIPA 1009 advierte que ciertos datos de transacciones se conservan poco tiempo y el auditor debe prever su retención.

Ponte a prueba

Debilidades del Control Interno en los Sistemas de Procesamiento Electrónico de Datos

Los sistemas computarizados aumentan la confiabilidad de la información financiera porque procesan las operaciones de forma homogénea y eliminan la posibilidad de fraudes y errores humanos. No obstante, sí pueden presentarse irregularidades en los sistemas computarizados. La NIA 401 y la DIPA 1009 plantean una serie de ejemplos sobre los riesgos de control interno que pueden presentar los sistemas computarizados. Los cuales son:

Riesgos y Recomendaciones

Sistemas con errores en los programas pueden procesar todas las transacciones de forma incorrecta.
- Recomendaciones: Probar los programas antes de ponerlos en uso.
Acceso no autorizado a los sistemas computarizados que den como resultado la destrucción y/o modificación no autorizada de datos y/o programas.
- Recomendaciones: Establecer controles de sistema y de operación del computador.
Los errores en los sistemas computarizados pueden no ser detectados por la empresa porque muy pocas personas están involucradas en el procesamiento y revisión de la información.
- Recomendaciones: Realizar una revisión de las salidas de información.
Concentración de actividades operativas. Por ejemplo: La mayoría de las funciones del ciclo ventas-cuentas a cobrar-cobros pueden ser realizadas automáticamente por el sistema computarizado.
- Recomendaciones: Establecer una segregación de funciones dentro del departamento de informática.
Ciertas transacciones pueden ser iniciadas automáticamente por el sistema computarizado sin requerir una autorización individual.
- Recomendaciones: Debe existir la aprobación del sistema por parte de la gerencia.
Los procesos de computación son internos y no pueden observarse. Lo mismo sucede con muchos controles internos de los sistemas computarizados.
- Recomendaciones: Deben existir técnicas de auditoría computarizada.
Sistemas de intercambio de datos entre la empresa y terceros pueden limitar significativamente la documentación soporte física. De hecho, la cantidad de documentos pueden generarse electrónicamente y mantenerse solo por un tiempo prudencial.
- Recomendaciones: Establecer técnicas de auditoría computarizadas y diseño de controles internos para validar la información de entrada.

Consideraciones de la DIPA 1009

La DIPA 1009 reconoce que “ciertos datos, como detalles de transacciones a menudo se conservan por solo un corto tiempo y pueden no estar disponibles en forma legible por la máquina para cuando el auditor lo requiere. Por lo tanto el auditor necesitará hacer arreglos para la retención de los datos requeridos o puede necesitar alterar la programación del trabajo que requiera de estos datos”.

Preguntas frecuentes

¿Por qué los sistemas computarizados pueden presentar riesgos de control interno?

Aunque procesan las operaciones de forma homogénea y reducen fraudes y errores humanos, pueden presentar irregularidades. Entre ellas están los errores en los programas, el acceso no autorizado y la concentración de funciones.

¿Qué recomienda el documento para los errores en los programas?

Recomienda probar los programas antes de ponerlos en uso, ya que un error puede procesar todas las transacciones de forma incorrecta.

¿Qué dice la DIPA 1009 sobre la conservación de datos?

La DIPA 1009 indica que ciertos datos de transacciones se conservan solo un corto tiempo y pueden no estar disponibles en forma legible por la máquina cuando el auditor los requiere. Por eso el auditor debe prever su retención.