1. 1
METODOLOGÍA PARA REALIZAR AUDITORIAS DE SISTEMAS COMPUTACIONALES
Se pueden desarrollar una serie de actividades y técnicas que nos pueden ayudar a realizar la
auditoria de información:
Inventario físico.
Es el proceso de identificación y categorización de los recursos de información de una forma
sistemática. De esta forma, se proporciona una fotografía de lo que la organización posee en
términos de recursos de información en un momento determinado.
Masificación de la información (Infomap). Constituye una forma gráfica de representar los
recursos de información que hay en la organización y las interrelaciones entre éstos. El mapa de
recursos indica hasta qué punto los recursos de información son básicos, de qué modo se
encuentran posicionados (geográficamente, departamentalmente, desde un punto de vista
técnico), cómo interactúan, quién los utiliza, quién es el responsable, etc.
Análisis de las necesidades de información.
Tiene como finalidad principal determinar qué información requieren los empleados y la
dirección de la organización para desarrollar sus papeles y alcanzar los objetivos.
Gráficos de procesos y flujos de trabajo. Los gráficos de procesos junto con los flujos de trabajo
pueden constituir una buena herramienta de trabajo en el ámbito de las auditorias de la
información.
Procesos de control y verificación.
En una auditoria de la información, se deben establecer también los procesos de control y
verificación. El resultado de estos procesos puede consistir en un informe o, incluso, un
certificado que confirme que todo es correcto o que incluya recomendaciones de mejora. Hay
que tener presente que el mapa de recursos de información, o mapa documental, puede
constituir uno de los principales resultados del proceso de la auditoria de información. En el
caso del mapa documental, éste detalla qué documentos se encuentran dentro de la
organización, a qué tipo de funciones se encuentran vinculados y dan respuesta, quién tiene la
responsabilidad y el acceso a esos documentos, en qué soporte están disponibles, dónde y
cómo se encuentran accesibles y qué relación o nivel de integración tienen con el resto de los
sistemas de información de la organización. También se establece la localización de todos los
documentos dentro de los estándares y los procedimientos de la organización, así como su valor
para el conocimiento corporativo
PAPELES DE TRABAJO PARA LA AUDITORÍA DE SISTEMAS COMPUTACIONES
A lo largo de todo el trabajo de auditoría, el auditor debe guardar las pruebas evidentes de lo
realizado, no solo como recordatorio fundado de su actuación con las necesarias matizaciones
para emitir el informe, sino como medio de demostrar, en cualquier momento, la amplitud y la
evidencia de los hechos, y poder expresar los procedimientos de auditoría utilizados, así como la
interpretación dada en cada caso a los hechos, con las conclusiones obtenidas.
Estas pruebas, deben ser conservadas en lugar protegido, donde no puedan ser inspeccionadas
por terceros ajenos al auditor o equipo de auditores. No deberán destruirse antes de que haya
transcurrido el tiempo que establecen las obligaciones derivadas de las leyes y de las
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

2. 2
necesidades de la práctica profesional. Su destrucción o pérdida, así como la difusión no
autorizada, acarrearía responsabilidad para el auditor.
Estructura de contenidos. Cuando hablamos de papeles de trabajo, nos estamos refiriendo al
conjunto de documentos preparados por un auditor, que le permite disponer de una
información y de pruebas efectuadas durante su actuación profesional en la empresa, así como
las decisiones tomadas para formar su opinión.
Su misión es ayudar en la planificación y la ejecución de la auditoría, ayudar en la supervisión y
revisión de la misma y suministrar evidencia del trabajo llevado a cabo para respaldar la opinión
del auditor.
Han de ser detallados y completos los papales de trabajo y deben estar diseñados para
presentar la información requerida de forma clara y plena de significado. Estos deben
elaborarse en el momento en que se realiza el trabajo y son propiedad del auditor, quien debe
adoptar las medidas oportunas para garantizar su custodia sin peligro y su confidencialidad.
En cuanto a los objetivos de los papeles de trabajo podemos indicar los siguientes:
- Servir como evidencia del trabajo realizado y de soporte de las conclusiones del mismo.
- Presentar informes a las partes interesadas.
- Facilitar los medios para organizar, controlar, administrar y supervisar el trabajo ejecutado en
las oficinas del cliente.
- Facilitar la continuidad del trabajo en el caso de que un área deba ser terminada por persona
distinta de la que la inició.
- Facilitar la labor de revisiones posteriores y servir para la información y evaluación personal.
Tipos de papeles de trabajo.
En función de la fuente de la que procedan los papeles de trabajo, éstos se podrán clasificar en
tres grupos:
a)Preparados por la entidad auditada. Se trata de toda aquella documentación que la
empresa pone al servicio del auditor para que pueda llevar a cabo su trabajo: estados
financieros, memoria, escritura, contratos, acuerdos.
b) Confirmaciones de terceros. Una parte del trabajo de auditoría consiste en la verificación
de los saldos que aparecen en el balance de situación a auditar.
c) Preparados por el auditor. Este último grupo estará formado por toda la documentación
elaborada por el propio auditor a lo largo del trabajo a desarrollar: cuestionarios y
programas, descripciones, detalles de los diferentes capítulos de los estados financieros,
cuentas, transacciones,… Sistemas de archivo. Un complemento necesario a los papeles de
trabajo lo constituye el archivo de trabajo. En él deben figurar recopilados todos los
documentos utilizados en la actuación profesional, así como cuantas informaciones se
consideren de interés, tanto para el presente como para el futuro.
Se pueden distinguir dos tipos de archivos: expediente de ejercicio y permanente.
El contenido de este archivo se refiere a documentos y papeles de trabajo cuya vigencia se
limita al período de realización de la auditoría.
a) Archivo general Agrupa toda información referente a la organización de la auditoría, al
mismo tiempo recogerá la documentación en la que se han ido reflejando los principales
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

3. 3
problemas que se han planteado en la ejecución de la auditoría y las conclusiones a las que a ha
ido llegando el auditor. De esta forma, podríamos destacar como apartados importantes de la
sección general del expediente del ejercicio:
- Estados financieros a auditar
- Proceso de planificación y programas de auditoría
- Informe sobre el sistema de control interno contable
- Indicación de quién realizó los procedimientos de auditoría y cuándo fueron realizados
- Constancia de que el trabajo realizado por colaboradores ha sido supervisado y revisado
- Puntos de informe
-Correspondencia con el cliente y resumen de las conversaciones mantenidas
- Hechos posteriores
- Terminación de la auditoría
b) Archivo por áreas de trabajo
INFORMES DE AUDITORIA
Objetivos
Destacar la importancia que tiene el saber presentar profesionalmente los informes de auditoría
computacionales. El auditor tiene que ser muy cuidadoso al plasmar en libro, documento o
escrito porque es como dar un sello personal. Procedimientos para elaborar el informe. En el
informe de auditoría, también llamado dictamen, se reportan las situaciones encontradas
durante la evaluación, pero se deben incluir las causas que originan esas situaciones y las
posibles sugerencias para solucionar los problemas encontrados. Los procedimientos para
elaborar dicho informe se compone de los siguientes pasos.
1. Aplicar instrumentos de recopilación
2. Registrar el formato de situaciones encontrada.
3. Comentar las situaciones encontrada con los auditados.
4. Analizar, depurar y corregir las desviaciones encontradas.
5. Presentar informe y dictamen final a los directivos de la empresa.
6. Comentar las situaciones encontrada con los auditados.
Una vez identificada las siguientes situaciones encontrada, es responsabilidad del encargado de
la auditoria comentar cada una de esas desviaciones con el personal responsable de la
operación o sistema de información o función auditada. Además, comentarlo con los auditados
esto permite preparar las posibles soluciones para esas desviaciones.
Encontrar causas de las desviaciones con los auditados. También se recomienda encontrar de
manera más fidedigna y confiable las causas que generan cada una de las desviaciones, a fin de
reportarla en el informe lo más apegado posible a la realidad. Es necesario tener pendiente que
al conocer las desviaciones que se le imputan, el auditado tratara de defenderse, señalando las
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

4. 4
causas que generaron cada una de las desviaciones encontradas, así directamente al escuchar la
voz del auditado el auditor puede comprobar o ratificar las causas que había planteado. No
obstante, como es natural, en las reuniones muchos de los auditados trataran de evadir o
justificar su responsabilidad en las desviaciones e incluso, en algunos casos extremos, pueden
hasta negar la existencia o conocimiento de la situación que se le imputa.
Elaboración del informe final y el dictamen del auditor: En ese informe el auditor solo debe
incluir lo más relevante de la evaluación, incluyendo su opinión. En este informe es que denota
la importancia de su actividad al señalar en qué situación estaba la empresa o departamento
antes de la evaluación por los auditores. El informe es algo práctico y corto, cabe aclarar que la
razón de plasmar este informe en tan poco espacio es que los directivos de una empresa, por lo
general, tienen poco conocimiento del el lenguaje que se maneja en los sistema
computacionales.
Características fundamentales: Se pueden identificar dos características fundamentales en los
informes de auditoría en los sistemas computacionales los cuales siempre se refieren al
contenido del informe y la forma de presentarlo. Dichas características son la siguiente:
Características de fondo: Se refiere al cuidado que debe tener el auditor de sistema al revisar
que el contenido total del dictamen de auditoría sea acorde con lo que realmente tiene que
señalar acerca de la revisión afectada, refiriéndose exclusivamente al contenido del informe.
Para esto tiene que tener en cuenta diversos aspectos los como que el documento sea veraz,
confiable, oportuno, objetivo, claro, completo y que el lector de dicho dictamen o resumen sea
pueda entender con facilidad dicho informe.
Características de forma: Estas características se refieren a la manera en que el auditor debe
presentar el informe en cuanto al estilo de redacción, el contenido en partes, apartados,
apéndices, tipo y tamaño de las hojas y el tipo de letra; también en lo relativo en la forma de
utilizar la redacción, ortografía, sintaxis, gramática y demás componentes del lenguaje y todo lo
relacionado con la presentación del documento.
Características de la presentación del informe. Otras de las características más importantes de un
informe de auditoría de sistemas computacionales son los atributos que deben tener la
redacción y la presentación del informe; para lograr mejores resultados en la elaboración del
citado informe, el auditor debe tomar en cuenta las características que proponemos a
continuación: Claridad, efectividad, Confiabilidad, positividad, Propiedad, sintaxis, Concisión,
Sencillez, Asertividad, Exactitud, Familiaridad y Veracidad.
TECNICAS DE EVALUACION APLICABLES EN UNA AUDITORIA DE SISTEMAS COMPUTACIONALES
En la auditoria de sistemas computacionales se utilizan una serie de herramientas tradicionales
de auditoría, así como técnicas de valoración que permite hacer una evaluación más eficiente
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

5. 5
de los sistemas computacionales. Como profesional especializado en la rama, el auditor de
sistemas computacionales utilizas estas técnicas pues le ayudan a examinar y evaluar
correctamente los diferentes aspectos del ambiente de sistemas en el que realiza su trabajo.
Estas técnicas, métodos, procedimientos o herramientas son:
EXAMEN: Consiste en analizar y poner a prueba la calidad y el cumplimiento de las funciones,
actividades y operaciones que se realizan cotidianamente en una empresa, es utilizado para
evaluar los registros, planes, presupuestos, programas, controles y todo lo demás aspectos que
afectan la administración y control de una empresa o de las áreas que la integran. En la
auditoria de sistemas computacionales podemos entender el examen como: El análisis, prueba
o demostración al que se somete algún fenómeno o hecho relacionado con la gestión
administrativa de un centro de cómputo, de sus componentes o de la operación del sistema
procesados de información, con el propósito de evaluar el cumplimiento de sus funciones,
actividades y operaciones, así como el cumplimiento del procesamiento de datos y la emisión de
información que se requiere en la empresa o en las áreas que la integren.
INSPECCION: La inspección en sistemas computacionales es Sinónimo de supervisión, ya que
trata de examinar la forma en que se desarrollan las actividades de un área de sistemas
computacionales, a fin de evaluar y emitir un informe sobre el desarrollo normal de sus
funciones y operaciones; también tiene como propósito monitorear el desarrollo cotidiano de
las funciones, actividades y operaciones normales de las empresa, para evaluar y si es necesario,
corregir su desarrollo beneficio. Esta herramienta es aplicada de acuerdo con las características
específicas de cada centro de cómputo o de cada sistema computacional, un ejemplo de los
posibles aspectos del ambiente de sistemas computacionales donde puede ser aplicada es: La
inspección de los sistemas de seguridad y protección de las instalaciones, equipo, personal y de
los propios sistemas de procesamiento, con el propósito de dictaminar sobre su eficiencia y
confiabilidad.
CONFIRMACION: Es uno de los aspectos fundamentales para la credibilidad de una auditoria es
la confirmación de los hechos y la certificación de los datos obtenidos durante la revisión; ya
que el resultado final de una auditoria es la emisión de un dictamen en el que el auditor vierte
sus opiniones, la característica fundamental de una auditoria, cualquiera que sea su tipo, es la
autenticidad con la que el auditor emite sus opiniones, sean a favor o en contra. En los sistemas
computacionales su fin es confirmar la oportunidad, veracidad de los gastos de nomina del
personal de la empresa , comparando los resultados de una quincena con los cálculos manuales
de esa misma quincena, validar las desviaciones encontradas en los procesamientos, revisar las
licencias de software instalados en los sistemas computacionales y confirmar la confiabilidad de
las protecciones , contraseñas y demás medidas de seguridad establecidas para el acceso a la
información y a los sistemas de la empresa.
COMPARACION: Esta debe ser aplicada de acuerdo a las necesidades y características
especificas del área de sistemas o del propio sistemas que va a ser auditado. Con la
comparación de información se pueden encontrar las similitudes y diferencias entre ambas
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

6. 6
áreas o empresa, con lo cual se pueden hacer conjeturas y deducciones sobre las desviaciones
encontradas. En la auditoria de sistemas computacionales, la comparación de los datos en el
sistemas computacionales que va a ser elevado con los datos de algún sistemas similar o igual
para avalar y comprobar que los procesamientos sean similares o iguales y que los resultados
sean confiables, verídicos, oportunos y que satisfagan las necesidades de procesamiento del
área de cómputo de la empresa.
REVISION DOCUMENTAL: Es la forma más importante de evaluar a las empresas; además no
solo sirve para aplicaciones en una auditoria tradicional, sino también como un importante
apoyo en los diferentes tipo de auditoría de sistemas computacionales; claro esta adoptándola a
las características especificas de evaluación de los sistemas computacionales. La revisión
documental avala los registros de operaciones y actividades de una empresa, principalmente en
aquellos casos donde la evaluación está enfocada a los aspectos financieros, registros de los
activos y a cualquier otro aspecto contable y administrativo de la empresa. Esta técnica se aplica
verificando el registro correcto de datos en documentos formales de la empresa, con mucha
frecuencia la emisión de sus resultados financieros. En los sistemas computacionales es utilizada
para evaluar el desarrollo de las operaciones y funcionamiento del sistema, revisar el uso y
registro adecuado de los documentos del software, verificar la existencia y actualización de
registros formales para la administración y control de operación del sistema.
ACTA TESTIMONIAL: Es un documento de carácter formal, que por su representatividad,
importancia y posibles alcances de carácter legal y jurídico es uno de los documentos vitales. La
importancia de este radica en que con su uso se pueden evidenciar pruebas fehacientes,
circunstanciales, probatorias para comprobar desviaciones en el área auditada y es utilizada
para testimoniar los robos, desapariciones o cualquier aspecto relacionado con la desaparición
de algún bien de la empresa, para fincar responsabilidades por deficiencia en las actividades de
la empresa; aunque puede ser levantada en cualquier otra incidencia de las actividades
cotidiana de una empresa.
MATRIZ DE EVALUACION: Es uno de los documentos de recopilación más versátiles y de mayor
utilidad para el auditor de sistemas computacionales, debido a que a través de esta es posible
recopilar una gran cantidad de información relacionada con las actividades realizadas en esta
área de informática, esta herramienta consiste en una matriz de seis columnas de las cuales la
primera corresponde a la descripción, y las otras cinco a un criterio de evaluación descendente
o ascendente (Exc., Bueno, Suf., Reg., Deficiente).
MATRIZ DOFA: es un acrónimo de Debilidades, Oportunidades, Fortalezas y amenazas de la
empresa, las cuales son analizadas cada una por separado en cuanto a su presencia interna y a
la influencia que la empresa recibe del exterior. El fundamento para la aplicación de la matriz
DOFA en una auditoria de sistemas computacionales, es que mediante la misma se pueden
estudiar las influencias que afectan el comportamiento del área de sistemas computacionales
de una empresa, tanto las quien recibe de su ambiente interior como exterior, ya sean de la
propia empresa o de sus proveedores, desarrolladores o del entrono donde este establecida.
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

7. 7
TECNICAS ESPECIALES DE AUDITORIA DE SISTEMAS COMPUTACIONALES
Diagramas del círculo de evaluación. Herramienta de apoyo para la evaluación de los sistemas
computacionales. Para valorar visualmente: El comportamiento de los sistemas que están
siendo auditados. Su cumplimiento Sus limitaciones. Durante las diferentes etapas: Estudio
Preliminar, Análisis del Sistema, Diseño Conceptual, Diseño Detallado, Programación, Pruebas,
Implantación. Diagramas del círculo de evaluación. ¿Que Podemos Evaluar Con Esta
Herramienta? Seguridad en el área de sistemas computacionales. Evaluación administrativa del
área de sistemas.
Evaluación de los sistemas computacionales Seguridad en el área de sistemas
computacionales: Acceso físico al área de sistemas. Acceso, uso, mantenimiento y resguardo de
las bases de datos. Del personal informático. De las instalaciones del área de sistemas. Plan de
contingencias. Seguridad lógica del sistema.
Evaluación administrativa del área de sistemas De la misión, visión, objetivos, estrategias,
planes, programas, estructura de la organización, perfil de puestos.
Evaluación de la documentación de sistemas, de la seguridad y la protección de los archivos
informáticos, instalaciones.
Evaluación de la capacitación, adiestramiento y promoción del personal.
Evaluación del desarrollo de proyectos informáticos, estandarización de metodologías,
programas, equipos, sistemas, mobiliario. Lista de verificación (o lista de chequeo).Instrumento
que contiene criterios o indicadores a partir de los cuales se miden y evalúan las características
del objeto, comprobando si cumple con los atributos establecidos. La lista de verificación se
utiliza básicamente en la práctica de la investigación que forma parte del proceso de evaluación.
Análisis de la diagramación de sistemas. Análisis de la diagramación de sistemas. Unas de las
principales herramientas para el análisis y diseño de los sistemas computacionales. El analista
puede representar: Los flujos de información., actividades, operaciones, procesos y otros
aspectos que intervienen en el desarrollo de los propios sistemas El programador puede
visualizar el panorama específico del sistema, para elaborar de manera más precisa la
codificación de instrucciones para el programa. Análisis de la diagramación de sistemas. El
auditor puede utilizar esta herramienta para el diseño de sistemas de diferentes formas en una
auditoria de sistemas, de acuerdo con su experiencia, conocimientos y habilidades, mismas que
debe canalizar en los siguientes sentidos: Solicitar los diagramas del sistema. Analizar el
diagrama del sistema. Elaborar un diagrama del sistema. Verificar la documentación de los
sistemas a través de sus diagramas.
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

8. 8
PROPUESTA DE PUNTOS QUE SE DEBEN EVALUAR EN UNA AUDITORÍA DE SISTEMAS COMPUTACIONALES
En el desarrollo de sistemas se debe emplear la misma metodología que utilizan los
diseñadores de sistemas o el equipo de trabajo asignado. Mientras que el objetivo
primario del auditor es evaluar la suficiencia de los controles internos, el objetivo
del diseñador de sistemas es satisfacer las necesidades de los usuarios; ambos deberían
compartir el deseo de ver que se logran los objetivos de cada uno.
PARTICIPACION DEL AUDITOR
Aún cuando el auditor esté interesado en todos los aspectos del nuevo sistema, debe
velar porque se establezcan todos los controles de aplicación. Su principal función
es asegurar que los sistemas, recientemente implantados incluyan características
de control sólidas y confiables. En términos generales es ayudar a prevenir que
se implanten sistemas de aplicación que tengan riesgos importantes.
El auditor participa en el proceso de desarrollo de sistemas revisando la documentación
generada como producto final de ciertas actividades de desarrollo de sistemas.
En estas actividades su interés se concentrará primordialmente en el desarrollo
e implantación de controles de aplicación adecuados. El auditor necesita reconocer que su
participación durante el desarrollo de los sistemas puede amenazar su independencia y deberá
tomar medidas para evitar esta pérdida. Estas medidas incluyen:
* Permanecer organizacionalmente independiente del grupo de sistema. Esto significa
que el auditor no es un miembro en propiedad del grupo de desarrollo de sistema
y no le quita la dirección del proyecto al gerente del grupo del proyecto.
* Redactar los informes independientemente del grupo del proyecto. Las opiniones
del auditor, sus recomendaciones y sus evaluaciones no deberían incluirse en los
informes de status del proyecto puesto que el emisor de los informes (usualmente
el gerente del grupo del proyecto) tiene autoridad editorial para modificar las
declaraciones del auditor.
* Investigar independientemente del grupo del proyecto. El grupo del proyecto puede
estar restringido a ciertos contactos y cierta autoridad, pero el auditor tiene
libre acceso a la información y al personal de la organización.
PROGRAMA DE TRABAJO
1. Establecer el planeamiento preliminar del trabajo de auditoría: En este primer
paso se obtiene un conocimiento inicial de las actividades del sistema y evaluarlas
en relación con los objetivos de auditoría, a fin de determinar el alcance preliminar.
2. Participación del Auditor en el Desarrollo de Sistemas: Determinar el grado de
participación del auditor en cada fase del ciclo de vida del sistema, una vez
que ha sido identificado. Los auditores de sistema necesitan participar en el proceso
de desarrollo de los sistemas para garantizar que los nuevos sistemas de información
Auditoria de Sistemas
Prof. Zoraivett Rodriguez

9. 9
diseñen las medidas adecuadas de auditoría y de control. Los dos tipos de autorización
donde se involucra el auditor son: El auditor debe tener un grado de participación
mediante un acuerdo y revisión de las fases.
3. Acuerdo: Es el acuerdo formal con el contenido del producto tangible. En caso de
desacuerdo, la persona responsable de evaluar el producto tangible prepara un
memorando indicando su posición y los items que requieren solución y lo envía o remite
al siguiente nivel superior gerencial.
4. Revisión: Los productos tangibles son presentados para información solamente; pueden
hacerse comentarios pero ellos no son decisivos.
5. Revisión de Productos Finales: Acordar y revisar las actividades y el producto
final de cada fase del ciclo de vida del desarrollo del sistema. El auditor debe
revisar que las firmas de aprobación para todos los productos tangibles están plasmadas
en el control de aceptación de etapas. Así mismo el auditor debe preparar los papeles
de trabajo con el propósito de evidenciar y documentar los resultados de la
investigación del proyecto y que sirvan como material de referencia para esfuerzos
futuros.
6. Identificar las fuentes de información para las revisiones y/o pruebas de auditoría:
Este paso incluye la identificación de las fuentes de información que se requieren
en los procesos de prueba y revisión. Las fuentes de información proveen los medios
para la revisión y documentación de las actividades de auditoría y verificación
de controles.
Auditoria de Sistemas
Prof. Zoraivett Rodriguez