AUDITORIA DE SISTEMAS
Auditoría de sistemas
computacionales (Auditoría informática) a continuación se presentan cada una de las definiciones
de auditorias especializadas de los sistemas computacionales, las cuales se
aplican para las diferentes áreas y disciplinas de este ambiente informático. Las definiciones
propuestas para la auditoría de sistemas computacionales son las siguientes:
- Auditoría
informática
- Auditoría
con la computadora
- Auditoría
sin la computadora
- Auditoría
a la gestión informática
- Auditoría
al sistema de cómputo
- Auditoría
en el entorno de la computadora
- Auditoría
sobre la seguridad de sistemas computacionales
- Auditoría
a los sistemas de redes
- Auditoría
integral a los centros de cómputo
- Auditoría
ISO-9000 a los sistemas computacionales
- Auditoría
outsorcing
- Auditoría
ergonómica de sistemas computacionales
1. Auditoría
informática:
Esta primera definición
se cita sólo de manera general, debido a que alrededor de esta
conceptualización se engloban todas las demás definiciones de auditoría de
sistemas, la cual se conoce también como auditoría en sistemas, auditoría en
informática o con otros nombres similares.
La definición de
auditoría de sistemas es la siguiente: Es la revisión técnica, especializada y
exhaustiva que se realiza a los sistemas computacionales, software e
información utilizados en una empresa, sean individuales, compartidos y/o de
redes, así como a sus instalaciones, telecomunicaciones, mobiliario, equipos
periféricos y demás componentes. Dicha revisión se realiza de igual manera a la
gestión informática, el aprovechamiento de sus recursos, las medidas de
seguridad y los bienes de consumo necesarios para el funcionamiento del centro
de cómputo.**El propósito fundamental es evaluar el uso adecuado de los
sistemas para el correcto ingreso de los datos, el procesamiento adecuado de la
información y la emisión oportuna de sus resultados en la institución,
incluyendo la evaluación en el cumplimiento de las funciones, actividades y
operaciones de funcionarios, empleados y usuarios involucrados con los
servicios que proporcionan los sistemas computacionales a la empresa.
2. Auditoría
con la computadora
En este tipo de
auditoría se puede distinguir como factor fundamental que su evaluación se
realiza con el apoyo de los sistemas computacionales, aunque pudiera darse el
caso de que la auditoría no se refiera a la evaluación de estos sistemas, sino
a cualquier otra disciplina ajena a ellos. Lo relevante es que dichos sistemas se
utilizan para ayudar en tal evaluación.
Su definición es la
siguiente: Es la auditoría que se realiza con el apoyo de los equipos de
cómputo y sus programas para evaluar cualquier tipo de actividades y
operaciones, no necesariamente computarizadas, pero sí susceptibles de ser
automatizadas; dicha auditoría se realiza también a las actividades del propio
centro de sistemas y a sus componentes. La principal característica de este
tipo de auditoría es que, sea en un caso o en otro, o en ambos, se aprovecha la
computadora y sus programas para la evaluación de las actividades a revisar, de
acuerdo con las necesidades concretas del auditor, utilizando en cada caso las
herramientas especiales del sistema y las tradicionales de la propia auditoría.
3. Auditoría sin la
computadora
En este tipo de
auditoría se busca evaluar a los sistemas desde una óptica tradicional,
contando con el apoyo de las técnicas y procedimientos de evaluación
acostumbrados y sin el uso de los sistemas computacionales, aunque éstos sean
los que se evalúen. Por lo general, esta auditoría se enfoca en los aspectos
operativos, financieros, administrativos y del personal de los centros de
sistemas computacionales.
Su definición es la
siguiente: Es la auditoría cuyos métodos, técnicas y procedimientos están
orientados únicamente a la evaluación tradicional del comportamiento y validez
de las transacciones económicas, administrativas y operacionales de un área de cómputo,
y en sí de todos los aspectos que afectan a las actividades en las que se
utilizan sistemas informáticos, pero dicha evaluación se realiza sin el uso de
los sistemas computacionales. Es también la evaluación tanto a la estructura de
organización, funciones y actividades de funcionarios y personal de un centro
de cómputo, así como a los perfiles de sus puestos, como de los reportes,
informes y bitácoras de los sistemas, de la existencia y aplicación de planes,
programas y presupuestos en dicho centro, así como del uso y aprovechamiento de
los recursos informáticos para la realización de actividades, operaciones y
tareas. Asimismo, es la evaluación de los sistemas de seguridad y prevención de
contingencias, de la adquisición y uso del hardware, software y personal
informático, y en sí de todo lo relacionado con el centro de cómputo, pero sin
el uso directo de los sistemas computacionales.
4. Auditoría a la gestión
informática
Esta auditoría es, por
lo general, de carácter administrativo y operacional; con su realización se
busca evaluar la actividad administrativa de los centros de cómputo, con todo
lo que conlleva esta gestión.
La definición propuesta
es la siguiente: Es la auditoría cuya aplicación se enfoca exclusivamente a la
revisión de las funciones y actividades de tipo administrativo que se realizan
dentro de un centro de cómputo,tales como laplaneación, organización, dirección
y control de dicho centro. Esta auditoría se realiza también con el fin de
verificar el cumplimiento de las funciones y actividades asignadas a los funcionarios,
empleados y usuarios de las áreas de sistematización, así como para revisar y
evaluar las operaciones del sistema, el uso y protección de los sistemas de
procesamiento, los programas y la información. Se aplica también para verificar
el correcto desarrollo, instalación, mantenimiento y explotación de los
sistemas de cómputo, así como sus equipos e instalaciones. Todo esto se lleva a
cabo con el propósito de dictaminar sobre la adecuada gestión administrativa de
los sistemas computacionales de una empresa y del propio centro informático.
5. Auditoría al sistema de
cómputo
Esta auditoría es más
especializada y concreta, y está enfocada hacia la actividad y operación de
sistemas computacionales, con mucho más de evaluación técnica y especializada de
éstos y de todo lo relacionado con esta especialidad.
Su definición es la
siguiente: Es la auditoría técnica y especializada que se enfoca únicamente a
la evaluación del funcionamiento y uso correctos del equipo de cómputo, su
hardware, software y periféricos asociados. Esta auditoría también se realiza a
la composición y arquitectura de las partes físicas y demás componentes del
hardware, incluyendo equipos asociados, instalaciones y comunicaciones internas
o externas, así como al diseño, desarrollo y uso del software de operación, de
apoyo y de aplicación, ya sean sistemas operativos, lenguajes de procesamiento
y programas de desarrollo, o paquetería de aplicación institucional que se
utiliza en la empresa donde se encuentra el equipo de cómputo que será
evaluado. Se incluye también la operación del sistema.
6. Auditoría alrededor de
la computadora
En este tipo de auditoría se trata de evaluar todo lo que
involucra la actividad de los sistemas computacionales, procurando, de ser
posible, dejar a un lado todos los aspectos especializados, técnicos y
específicos de los sistemas, a fin de evaluar únicamente las actividades
vinculadas que se llevan a cabo alrededor de éstos.
La definición propuesta
es la siguiente: Es la revisión específica que se realiza a todo lo que está
alrededor de un equipo de cómputo, como son sus sistemas, actividades y
funcionamiento,haciendo una evaluación de sus métodos y procedimientos de
acceso y procesamiento de datos, la emisión y almacenamiento de resultados, las
actividades de planeación y presupuestación del propio centro de cómputo, los
aspectos operacionales y financieros, la gestión administrativa de accesos al
sistema, la atención a los usuarios y el desarrollo de nuevos sistemas, las
comunicaciones internas y externas y, en sí, a todos aquellos aspectos que
contribuyen al buen funcionamiento de un área de sistematización.
7. Auditoría de la
seguridad de los sistemas computacionales
Hablar de seguridad es un aspecto muy
importante en los sistemas computacionales, lo cual en algunos casos puede
estar relacionado con otras auditorías aquí presentadas. Sin embargo, por lo
especializado y profundo del tema, es indispensable que se evalúe por separado;
por esta razón se propone la siguiente definición: Es la revisión exhaustiva,
técnica y especializada que se realiza a todo lo relacionado con la seguridad
de un sistema de cómputo, sus áreas y personal, así como a las actividades,
funciones y acciones preventivas y correctivas que contribuyan a salvaguardar
la seguridad de los equipos computacionales, las bases de datos, redes,
instalaciones y usuarios del sistema.
Es también la revisión
de los planes de contingencia y medidas de protección para la información, los
usuarios y los propios sistemas computacionales, y en sí para todos aquellos
aspectos que contribuyen a la protección y salvaguarda en el buen
funcionamiento del área de sistematización, sistemas de redes o computadoras
personales, incluyendo la prevención y erradicación de los virus informáticos.
8. Auditoría a los
sistemas de redes
Es reciente el crecimiento e importancia que han cobrado las
redes de cómputo, razón por la cual es necesario enfocar la auditoría hacia
este campo específico; no obstante, en ciertos casos, esta evaluación parecería
estar contemplada en algunos tipos de auditoría aquí señalados.
Su definición es la
siguiente: Es la revisión exhaustiva, específica y especializada que se realiza
a los sistemas de redes de una empresa, considerando en la evaluación los tipos
de redes, arquitectura, topología, sus protocolos de comunicación, las
conexiones, accesos, privilegios, administración y demás aspectos que
repercuten en su instalación, administración, funcionamiento y aprovechamiento.
Es también la revisión del software institucional, de los recursos informáticos
e información de las operaciones, actividades y funciones que permiten
compartir las bases de datos, instalaciones, software y hardware de un sistema
de red.
9. Auditoría integral a
los centros de cómputo
Esta definición trata
de agrupar a todos los tipos de auditoría que se analizan en estas
conceptualizaciones, buscando concentrar todas las evaluaciones bajo una misma
auditoría con un enfoque global del área de sistemas, según su tipo y tamaño.
La definición que se
propone es la siguiente: Es la revisión exhaustiva, sistemática y global que se
realiza por medio de un equipo multidisciplinario de auditores, de todas las
actividades y operaciones de un centro de sistematización, a fin de evaluar, en
forma integral, el uso adecuado de sus sistemas de cómputo, equipos periféricos
y de apoyo para el procesamiento de información de la empresa, así como de la
red de servicios de una empresa y el desarrollo correcto de las funciones de
sus áreas, personal y usuarios. Es también la revisión de la administración del
sistema, del manejo y control de los sistemas operativos, lenguajes, programas
y paqueterías de aplicación, así como de la administración y control de
proyectos, la adquisición del hardware y software institucionales, de la
adecuada integración y uso de sus recursos informáticos y de la existencia y
cumplimiento de las normas, políticas, estándares y procedimientos que regulan
la actuación del sistema, del personal y usuarios del centro de cómputo. Todo esto
hecho de manera global por medio de un equipo multidisciplinario de auditores.
10. Auditoría ISO-9000 a
los sistemas computacionales
Las empresas en el
mundo han adoptado la calidad ISO-9000 como parte fundamental de sus
actividades. Por esta razón, los sistemas están relacionados también con es te
tipo de auditorías de certificación de calidad, las cuales son muy
especializadas y específicas en cuanto a los requerimientos establecidos en
ellas.
La definición propuesta es la siguiente: Es la revisión exhaustiva,
sistemática y especializada que realizan únicamente los auditores
especializados y certificados en las normas y procedimientos ISO-9000,
aplicando exclusivamente los lineamientos, procedimientos e instrumentos
establecidos por esta asociación. El propósito fundamental de esta revisión es
evaluar, dictaminar y certificar que la calidad de los sistemas computacionales
de una empresa se apegue a los requerimientos del ISO-9000.
11. Auditoría outsourcing
Otra de las especialidades
que se ha adoptado en los sistemas computacionales, es la relacionada con la
prestación de servicios de cómputo a las empresas, los cuales abarcan desde la
maquilación de sus actividades computacionales, hasta la asesoría y soporte
computacional a sus propios sistemas; por esta razón, se requiere de una
especialización en la evaluación de estos servicios.
La definición que se
propone es la siguiente: Es la revisión exhaustiva, sistemática y especializada
que se realiza para evaluar la calidad en el servicio de asesoría o
procesamiento externo de información que proporciona una empresa a otra. Esto
se lleva a cabo con el fin de revisar la confiabilidad, oportunidad,
suficiencia y asesoría por parte de los prestadores de servicios de
procesamiento de datos, así como el cumplimiento de las funciones y
actividadesque tienen encomendados los prestadores de servicios, usuarios y el
personal en general. Dicha revisión se realiza también en los equipos y
sistemas.
12. Auditoría ergonómica de sistemas computacionales
Uno de los aspectos menos analizados en el área de sistemas es la afectación
que causan el mobiliario y los propios sistemas computacionales en los usuarios
de computadoras; estos aspectos pueden llegar a influir en el bienestar, salud
y rendimiento de los usuarios, razón por la cual se deben considerar mediante
una auditoría especializada.
Su definición es la siguiente: Es la revisión
técnica, específica y especializada que se realiza para evaluar la calidad,
eficiencia y utilidad del entorno hombre-máquina-medio ambiente que rodea el
uso de sistemas computacionales en una empresa. Esta revisión se realiza
también con el propósito de evaluar la correcta adquisición y uso del mobiliario,
equipo y sistemas, a fin de proporcionar el bienestar, confort y comodidad que
requieren los usuarios de los sistemas de cómputo de la empresa, así como
evaluar la detección de los posibles problemas y sus repercusiones, y la
determinación de las soluciones relacionadas con la salud física y bienestar de
los usuarios de los sistemas de la empresa.
