2. PRESENTACION COLABORACION DE
DIPLOMADO DE AUDITORÍA INTERNA 2008
TÉCNICAS DE AUDITORÍA ASISTIDAS POR COMPUTADOR – TAAC’S
PRESENTACION COLABORACION DE
Exposición presentada por:
Lic. MSc. Marvin Cifuentes Velásquez
GUATEMALA, Junio de 2008 2
4. TAAC’s
Las TAAC’s son un conjunto de técnicas y herramientas
utilizados en el desarrollo de las auditorias informáticas con el
fin de mejorar la eficiencia, alcance y confiabilidad de los
análisis efectuados por el auditor, a los sistemas y los datos de
la entidad auditada.
Incluyen métodos y procedimientos empleados por el auditor
para efectuar su trabajo y que pueden ser administrativos,
analíticos, informáticos, entre otros; y, los cuales, son de suma
importancia para el auditor informático cuando este realiza
una auditoría.
4 20/06/12
5. TAAC’s
El uso de los TAAC’s le permiten al auditor obtener suficiente
evidencia confiable sobre el cual, sustentar sus observaciones
y recomendaciones, lo que obliga al auditor a desarrollar
destrezas especiales en el uso de estas técnicas, tales como:
mayores conocimientos informáticos, discernimiento en el
uso adecuado de las herramientas informáticas y analíticas,
eficiencia en la realización de los análisis, etc.; sin dejar a un
lado las técnicas tradicionales de auditoría como son la
inspección, observación, confirmación, revisión, entre otros
5 20/06/12
6. Auditoría asistida por computadora
Las TAAC's pueden ser usadas en:
Pruebas de detalles de transacciones y balances (Recálculos de
intereses, extracción de ventas por encima de cierto valor, etc.)
Procedimientos analíticos: por ejemplo identificación de
inconsistencias o fluctuaciones significativas.
Pruebas de controles generales, tales como configuraciones en
sistemas operativos, procedimientos de acceso al sistema,
comparación de códigos y versiones.
Programas de muestreo para extractar datos.
Pruebas de control en aplicaciones.
Recálculos.
6 20/06/12
7. El proceso de auditoría de la información
Si los controles computarizados son débiles o no
existen, los auditores necesitarán realizar más
pruebas sustantivas.
Las pruebas sustantivas son pruebas de detalle de
transacciones y de balance de cuentas.
Las pruebas de cumplimiento son realizadas para
asegurar que los controles están establecidos y
trabajan correctamente.
Esto puede implicar el uso de las Técnicas de
Auditoría Asistidas por Computador – TAAC’s.
8. Diseño de pruebas para la utilización de las TAAC’s
• Antes de utilizar las TAAC’s el auditor debe diseñar la forma en que se
va a llevar a cabo el examen, mediante el establecimiento oportuno de
los objetivos que busca el examen, establecer los sistemas de
información críticos de la organización y la disponibilidad que se
tiene para acceder a ellos, seleccionar los métodos y pruebas a
realizarse durante la ejecución del examen, definir los reportes que se
deberán generar como evidencias e informes de auditoria y otros
procedimientos adicionales necesarios para la ejecución exitosa del
examen.
• Es necesario tener mucho cuidado respecto a la confidencialidad de
los datos y sistemas a los cuales acceda durante su revisión. Para ello,
debe realizarse una adecuada planificación, selección y diseño de las
técnicas y herramientas a utilizar, que permita tener una seguridad
razonable sobre la efectividad, confiabilidad y confidencialidad de los
resultados que se vayan a obtener durante el examen.
8 20/06/12
9. Auditando a través del computador
Cuando se audita a través del computador, el auditor
sigue las pistas de auditoría a través de la fase de
operaciones internas o proceso automatizado de datos.
Los intentos de verificación de los procesos de control
involucran el uso de Programas de SI.
Los enfoques primarios son:
1) Programas de testeo,
2) Programas computarizado s de validación
3) Software de revisión de sistemas
4) Auditoría continua.
10. Auditoría DENTRO DEL COMPUTADOR
Auditoría dentro del computador implica el uso de TAAC’s
para ayudar en diversas tareas de auditoría.
Este enfoque es prácticamente obligatorio, ya que los
datos son almacenados en medios informáticos y el acceso
manual es casi imposible.
Las TAAC’s son eficaces y ahorran tiempo.
11. Aplicación de TAAC's en la Auditoría Informática
Una de las ventajas más notorias de las TAAC’s es la versatilidad que
estas presentan para la realización del trabajo de campo de la
auditoría, (se pueden utilizar sin importar el tipo de organización, su
tamaño, sus operaciones y sector del mercado).
Para ello el auditor debe tener el suficiente discernimiento y
experiencia profesional para establecer la técnica o herramienta a
utilizar.
El auditor dispone de una clasificación estandarizada respecto a las
principales TAAC’s aplicadas por auditores de todo el mundo:
Técnicas Administrativas.
Técnicas para evaluar los controles de Aplicaciones en Producción.
Técnicas para análisis de Transacciones.
Técnicas para análisis de Datos.
Técnicas para análisis de Aplicaciones.
11 20/06/12
12. Ventajas del uso de las técnicas de auditoría asistidas por
computadora (TAAC)
Incrementan o amplían el alcance de la investigación y permiten
realizar pruebas que no pueden efectuarse manualmente;
Incrementan el alcance y calidad de los muestreos, verificando
un gran número de elementos;
Elevan la calidad y fiabilidad de las verificaciones a realizar;
Reducen el período de las pruebas y procedimientos de
muestreos a un menor costo;
Garantizan el menor número de interrupciones posibles a la
entidad auditada;
Brindan al auditor autonomía e independencia de trabajo;
Permiten efectuar simulaciones sobre los procesos sujetos a
examen y monitorear el trabajo de las unidades;
12 20/06/12
13. Ventajas del uso de las técnicas de auditoría asistidas por
computadora (TAAC)
Realizar un planeamiento a priori sobre los puntos con potencial
violación del Control Interno;
Disminución considerable del riesgo de no-detección de los
problemas;
Posibilidad de que los auditores actuantes puedan centrar su
atención en aquellos indicadores que muestren saldos inusuales o
variaciones significativas, que precisan de ser revisados como
parte de la auditoría;
Elevación de la productividad y de la profundidad de los análisis
realizados en la auditoría;
Posibilidad de rescatar valor[11] en el resultado de cada auditoría;
Elevación de la autoestima profesional del auditor, al dominar
técnicas de punta que lo igualan al desarrollo de la disciplina
13 20/06/12
14. Planificación de CAAT
Considerar una combinación apropiada de las técnicas
manuales y las técnicas de auditoría asistidas por
computadora. Cuando se determina utilizar CAAT los
factores a considerar son los siguientes:
•Conocimientos computacionales, pericia y experiencia
del auditor de sistemas de información.
•Disponibilidad de los CAAT y de los sistemas de
información.
•Eficiencia y efectividad de utilizar los CAAT en lugar de
las técnicas manuales
•Restricciones de tiempo
14 20/06/12
15. Planificación de CAAT
Pasos más importantes que el auditor debe considerar cuando prepara la
aplicación de los CAAT seleccionados son los siguientes:
•Establecer los objetivos de auditoría de los CAAT: Determinar accesibilidad y
disponibilidad de los sistemas de información, los programas/sistemas y datos de
la organización.
•Definir los procedimientos a seguir (por ejemplo: una muestra estadística,
recálculo, confirmación, etc.).
•Definir los requerimientos de output.
•Determinar los requerimientos de recursos.
•Documentar los costos y los beneficios esperados.
•Obtener acceso a las facilidades de los sistemas de información de la
organización, sus programas/sistemas y sus datos.
15 20/06/12
16. Planificación de CAAT
• Documentar los CAAT a utilizar incluyendo los objetivos, flujogramas
de alto nivel y las instrucciones a ejecutar.
• Acuerdo con el cliente (auditado): Los archivos de datos, tanto como
los archivos de operación detallados (transaccionales, por ejemplo),
a menudo son guardados sólo por un período corto, por lo tanto, el
auditor de sistemas de información debe arreglar que estos archivos
sean guardados por el marco de tiempo de la auditoría.
• Organizar el acceso a los sistemas de información de la organización,
programas/sistemas y datos con anticipación para minimizar el
efecto en el ambiente productivo de la organización
• Evaluar el efecto que los cambios a los programas/sistemas de
producción -cambios en la integridad y utilidad de los CAAT-
(integridad de los programas/sistemas y los datos utilizados)
16 20/06/12
17. Utilizar CAAT (realización de auditoría)
Cuando se toma la decisión de hacer una auditoría de
sistemas con al ayuda de CAAT es importante tomar en
cuenta los pasos que a continuación se describen. El
auditor debe:
2.Realizar una conciliación de los totales de control.
3.Realizar una revisión independiente de la lógica de los
CAAT
4.Realizar una revisión de los controles generales de los
sistemas de información de la organización que puedan
contribuir a la integridad de los CAAT (por ejemplo:
controles de los cambios en los programas y el acceso a
los archivos de sistema, programa y/o datos).
17 20/06/12
18. Utilizar CAAT – TIPOS DE SOFTWARE
Paquete de Auditoría.
• Son programas generalizados de computadora
diseñados para desempeñar funciones de
procesamiento de datos que incluyen leer bases de
datos, seleccionar información, realizar cálculos, crear
archivos de datos e imprimir informes en un formato
especificado por el auditor.
• Son usados para control de secuencias, búsquedas de
registros, detección de duplicaciones, detección de gaps,
selección de datos, revisión de operaciones lógicas y
muestreo, algunos de ellos son el IDEA, ACL, etc.
18 20/06/12
19. Utilizar CAAT – TIPOS DE SOFTWARE
Software para un propósito específico o diseñado a la medida.
•Son programas de computadora diseñados para desempeñar tareas de auditoría
en circunstancias específicas. Estos programas pueden ser desarrollados por el
auditor, por la entidad, o por un programador externo contratado por el auditor.
Por ejemplo programas que permitan generar check-list adaptados a las
características de la empresa y de los objetivos de la auditoría.
Los programas de utilería.
•Son usados por la organización auditada para desempeñar funciones comunes de
procesamiento de datos, como clasificación, creación e impresión de archivos.
Como por ejemplo planillas de cálculo, procesadores de texto, etc.
19 20/06/12
20. Utilizar CAAT – TIPOS DE SOFTWARE
Los programas de administración del sistema.
Son herramientas de productividad sofisticadas que son típicamente parte de los
sistemas operativos sofisticados, por ejemplo software para recuperación de datos o
software para comparación de códigos.
Como en el caso anterior estas herramientas no son específicamente diseñadas para
usos de auditoría.
Existen en el mercado una gran variedad de este tipo de herramientas como por
ejemplo los que permiten controlar las versiones de un sistema.
20 20/06/12
21. Utilizar CAAT – TIPOS DE SOFTWARE
Rutinas de Auditoría en Programas de aplicación.
Módulos especiales de recolección de información incluidos en la aplicación y
diseñados con fines específicos. Se trata de módulos que permiten obtener pistas de
auditora en muchos casos generados a través de trigers programados en las propias
bases de datos
21 20/06/12
22. Documentación de CAAT
Una descripción del trabajo realizado, seguimiento y las conclusiones
acerca de los resultados de los CAAT deben estar registrados en los
papeles de trabajo de la auditoría.
Las conclusiones acerca del funcionamiento del sistema de información y
de la confiabilidad de los datos también deben estar registrados en los
PT’s de la auditoría.
El proceso paso a paso de los CAAT debe estar documentado
adecuadamente para permitir que el proceso se mantenga y se repita por
otro auditor de sistemas de información.
Los PT’s deben contener la documentación suficiente para describir la
aplicación de los CAAT incluyendo los detalles como:
•Planificación
•Los objetivos de los CAAT
•Los CAAT a utilizar
•Los controles a implementar
•El personal involucrado, el tiempo que tomará y los costos.
22 20/06/12
23. Documentación de CAAT
La documentación debe incluir:
•Los procedimientos de la preparación y la prueba de los
CAAT y los controles relacionados.
•Los detalles de las pruebas realizadas por los CAAT.
•Los detalles de los input (ejemplo: los datos utilizados,
esquema de archivos), el procesamiento (ejemplo: los
flujogramas de alto nivel de los CAAT, la lógica).
•Evidencia de auditoría: el output producido (ejemplo:
archivos log, reportes).
•Resultado de la auditoría.
•Conclusiones de la auditoría.
•Las recomendaciones de la auditoría.
23 20/06/12
24. Informe/reporte descripción de los CAAT
La sección del informe donde se tratan los objetivos, la extensión y
metodología debe incluir una clara descripción de los CAAT utilizados.
Esta descripción no debe ser muy detallada, pero debe proporcionar
una buena visión general al lector. La descripción de los CAAT utilizados
también debe ser incluida en el informe donde se menciona el hallazgo
específico relacionado con el uso de los CAAT.
Si se puede aplicar la descripción de los CAAT a varios hallazgos o si es
demasiado detallado debe ser descrito brevemente en la sección del
informe donde se tratan los objetivos, extensión y metodología y una
referencia anexa para el lector, con una descripción más detallada.
24 20/06/12
26. Tipos de herramientas CAAT - idea
Con esta herramienta se puede leer, visualizar, analizar y manipular
datos; llevar a cabo muestreos y extraer archivos de datos desde
cualquier origen ordenadores centrales a PC, incluso reportes
impresos.
IDEA es reconocido en todo el mundo, como un estándar en
comparaciones con otras herramientas de análisis de datos,
ofreciendo una combinación única en cuanto a poder de
funcionalidad y facilidad de uso.
26 20/06/12
27. Tipos de herramientas CAAT - idea
Áreas de uso de la herramienta
Auditoría externa de estados financieros.
•Precisión: comprobación de cálculos y totales.
•Revisión analítica: comparaciones, perfiles, estadísticas.
•Validez: duplicados, excepciones, muestreos estadísticos.
•Integridad: omisiones y coincidencias.
•Cortes: análisis secuencial de fechas y números.
•Valuación: provisiones de inventario.
Auditoría interna.
•Conformidad de políticas.
•Valor del dinero.
•Pruebas de excepción.
•Análisis.
•Comparaciones y coincidencias.
27 20/06/12
28. Tipos de herramientas CAAT - idea
Detección de fraudes.
•Compras y pagos: validación de proveedores, análisis contables.
•Nómina: coincidencias cruzadas, cálculos.
•Lavado de dinero: valores elevados, cifras redondeadas,
movimientos frecuentes.
Informes y análisis de gestión.
Transferencias de archivos.
Bancos e instituciones financieras.
Industrias.
Organizaciones de ventas al por menor.
Entes gubernamentales (prestadores de ayudas y
beneficios).
28 20/06/12
29. Tipos de herramientas CAAT - ACL
Es una herramienta CAAT enfocada al acceso de datos, análisis y
reportes para auditores y profesionales financieros.
No es necesario ser un especialista en el uso de CAAT.
Posee una poderosa combinación de accesos a datos, análisis y
reportes integrados, ACL lee y compara los datos permitiendo a la
fuente de datos permanecer intacta para una completa integridad y
calidad de los mismos.
ACL permite:
•Análisis de datos para un completo aseguramiento.
•Localiza errores y fraudes potenciales.
•Identifica errores y los controla.
•Limpia y normaliza los datos para incrementar la consistencia de los
resultados.
•Realiza un test analítico automático y manda una notificación vía e-
mail con el resultado.
29 20/06/12
30. Tipos de herramientas CAAT - ACL
• Brinda una vista de la información de la organización y habilita
directamente el acceso a búsquedas de cualquier transacción, de
cualquier fuente a través de cualquier sistema.
• Ahorra tiempo y reduce la necesidad de requerimiento de
información a departamentos de TI muy ocupados
• Acceso a diversos tipo de datos con facilidad.
• Tiene un tamaño ilimitado en el monitoreo de datos y puede
procesar rápidamente millones de transacciones de datos ya que
permite leer mas de 10,000 y hasta 100,000 registros por segundo.
• Los resultados se pueden ver fácilmente y entenderlos en formatos
tabulares, posee graficas precargadas, también posee un log de
actividad de los registros, que permite analizar y comprar registros
pasados con los nuevos, posee vistas de reportes precargados de
Crystal Reports.
30 20/06/12
31. Tipos de herramientas CAAT – auto audit
Es un sistema completo para la automatización de la función de
Auditoría, soportando todo el proceso y flujo de trabajo, desde la fase
de planificación, pasando por el trabajo de campo, hasta la
preparación del informe final.
Además del manejo de documentos y papeles de trabajo en forma
electrónica, Auto Audit permite seguir la metodología de evaluación
de riesgos a nivel de entidad o de proceso, la planificación de
auditorías y recursos, seguimiento de hallazgos, reportes de gastos y
de tiempo, control de calidad, y cuenta con la flexibilidad de un
módulo de reportes “ad hoc”. Todos estos módulos están
completamente integrados y los datos fluyen de uno a otro
automáticamente.
31 20/06/12
32. Tipos de herramientas CAAT – auto audit
Beneficios
Eficiencia en el trabajo -Aumenta la eficiencia en la conducción de la
evaluación de riesgos y planificación anual.
Base de conocimiento - Acceso inmediato a toda la documentación de
auditorías pasadas, en ejecución o planeadas.
Flexibilidad - Permite que los auditores puedan trabajar en lugares
distantes con sus réplicas locales de la auditoría en curso y su
posterior sincronización a la base de datos centralizada.
Estandarización y control - Garantiza el seguimiento de metodologías
de trabajo de acuerdo a las mejores prácticas de la organización con el
uso de una biblioteca de documentos estándares (memoranda,
programas, papeles de trabajo, cuestionarios, evaluaciones, informe
final y otros).
32 20/06/12
33. Tipos de herramientas CAAT – auto audit
Adaptabilidad - Provee una herramienta de reportes “ad hoc” para la
generación de informes, tablas y gráficos con los formatos requeridos para el
Comité de Auditoría o Auditor General.
Comunicación - Mejora la comunicación con los auditados en el seguimiento
de los hallazgos y planes de acción.
Reducción de costos y aprovechamiento del recurso más valioso (el auditor) -
Se reducen los costos y el tiempo de documentación y revisión de papeles,
logrando invertir más tiempo en la auditoría, añadiendo valor al trabajo.
Seguridad y confidencialidad - Permite la creación de usuarios definiendo
perfiles según su rol dentro de la auditoría para controlar el acceso de
documentos e integridad de la información.
Integración con ACL - Es posible integrar los procesos de análisis de datos
que se efectúan con ACL en los papeles de trabajo de Auto Audit.
33 20/06/12
34. Tipos de herramientas CAAT – auditcontrol apl (audisis)
Es una herramienta para asistir en la construcción de sistemas de
gestión de riesgos y controles internos en los procesos de la cadena de
valor y los sistemas de información de las empresas. Para este fin,
utiliza la técnica de Autoevaluación del Control (CSA: Control Self
Assessment), también conocida con el nombre de Autoaseguramiento
del Control (CSA: Control Self Assurance).
Desde la perspectiva administrativa, CSA asiste en la determinación de
si la organización está satisfaciendo sus objetivos. Las ventajas claves
de implementar un CSA incluyen la detección temprana de riesgos y el
desarrollo de planes de acción concretos que salvaguarden los
programas organizacionales contra riesgos del negocio significativos.
34 20/06/12
35. Tipos de herramientas CAAT – audicontrol apl (audisis)
La metodología AUDICONTROL APL fue creada para
apoyar el trabajo de:
Analistas y Desarrolladores de Sistemas.
Departamentos de Organización y Métodos.
Auditores de Sistemas.
Departamentos de Control Interno.
Administradores de Seguridad en Procesamiento
electrónico de datos.
Administradores de Riesgos.
35 20/06/12
36. Tipos de herramientas CAAT - audimaster
AuditMaster de Pervasive, es una solución de
supervisión de transacciones a nivel de base de datos.
Este sistema controla e informa de toda la actividad que
tiene lugar en una base de datos Pervasive.SQL.
La tecnología de AuditMaster consiste en capturar las
operaciones que se realizan en la base de datos y
escribirlas en un archivo de registro. AuditMaster se
divide en tres componentes:
•Gestor de eventos (Log event handler) Actúa como una
especie de “caja negra” que captura y escribe en un
registro de seguimiento todas las actividades que se
llevan a cabo en la base de datos.
36 20/06/12
37. Tipos de herramientas CAAT - auditmaster
• Base de datos de registro (Log database): El archivo principal de
registro contiene toda la información de seguimiento, por ejemplo,
la identificación de usuario, la identificación de la estación de red, el
tiempo y la fecha de la operación, el nombre de aplicación, el
nombre de la tabla de la base de datos y el tipo de operación.
Además, el archivo crea imágenes, antes y después de la
transacción, a efectos de actualización de los registros. Cada vez que
un usuario modifica algún dato, AuditMaster escribe en el registro
tanto el valor antiguo como el nuevo.
• Visor de registros (Log viewer): Permite hacer consultas a la base de
datos de registro, lo que permite que un administrador de seguridad
compruebe las actividades realizadas y analice patrones y
tendencias.
37 20/06/12
38. Tipos de herramientas CAAT - delos
Delos es un sistema experto que posee conocimientos específicos en
materia de auditoría, seguridad y control en tecnología de
información.
Este conocimiento se encuentra estructurado y almacenado en una
base de conocimiento y puede ser incrementado y/o personalizado de
acuerdo con las características de cualquier organización y ser
utilizado como una guía automatizada para el desarrollo de
actividades específicas.
Delos es una herramienta que fue diseñada pensando en empresas,
organizaciones y profesionistas que deseen incrementar los beneficios
derivados de la tecnología de información a través de actividades
relacionadas con auditoría, seguridad y control en TI.
38 20/06/12
