Auditoría ofimática

DEFINICIÓN

Es la revisión del sistema informatizado que genera, procesa, almacena, recupera, comunica y presenta datos relacionados con el funcionamiento de la oficina. Este tipo de auditoría sirve para evaluar los equipos y aplicaciones existentes; además del procedimiento de adquisición.

OBJETIVOS DE CONTROL

1. Evaluación del inventario ofimático; si refleja con exactitud los equipos y aplicaciones de la oficina existente en cada una de las áreas.

Aspectos a evaluar:

A) Examinar el proceso de adquisición de hardware y aplicaciones.

Actividades:

a) Comprobar si se han establecido políticas y estándares, relacionados con la adquisición, uso y control de los recursos de hardware y aplicaciones.
b) Comprobar si existe un plan de compras o adquisiciones de recursos informáticos con base en las necesidades actuales de la institución.
c) Examinar como se lleva a cabo el proceso de compra de los recursos de hardware y aplicaciones de la institución.

B) Evaluar la fiabilidad del inventario ofimático de cada una de las áreas de la institución.

Actividades:

a) Comprobar que en la institución existan mecanismos que garanticen que los equipos y aplicaciones adquiridas son debidamente inventariados.
b) Elaborar una relación exhaustiva de los equipos informáticos, aplicaciones y archivos que residen en la institución.
c) Contrastar la relación elaborada con el inventario oficial y adquisiciones de la institución.
d) Verificar si la jefatura de los departamentos usuarios, participan activamente en el proceso de actualización del inventario ofimático de la institución.
e) Comprobar que se evalúan periódicamente los cambios de ubicación de los recursos informáticos.
f) Verificar si cada empleado firma su hoja de afectación de equipos.

C) Examinar el inventario de licencias de software

Actividades:

a) Comprobar la existencia de un procedimiento de control para la adquisición y registro de licencias.
b) Verificar que todo software instalado en la institución cuenta con licencia actualizada.

2. Evaluación de la calidad de las aplicaciones del entorno ofimático de desarrollo por personal de la propia institución.
 
Aspectos a evaluar:

A) Comprobar la existencia de un departamento responsable del control del desarrollo de aplicaciones de toda la institución.

Actividades:

a) Verificar si existen procedimientos generales de petición, autorización, programación y entrega de aplicaciones.
b) Constatar si existen otros departamentos que desarrollen aplicaciones de uso interno, sin el control del centro de información.
c) Verificar que las aplicaciones se realizan sobre un entorno de desarrollo, evitando operar directamente sobre los datos reales de explotación.
d) Verificar si existe un registro de incidencias de las aplicaciones, así como de las reclamaciones manifestadas por los clientes y usuarios, a fin de detectar aquellas aplicaciones que podrían estar funcionando de manera irregular.

B) Evaluar las situaciones de integración y de incompatibilidad entre las nuevas aplicaciones instaladas y las existentes con anterioridad.

Actividades:

a) Verificar si existen procedimientos formales para la autorización, aprobación, adquisición de nuevas aplicaciones y cambios de versiones dentro de la institución.
b) Comprobar si se han analizado los problemas de integración y las incompatibilidades que pueden presentar las nuevas aplicaciones previas a su implantación, que constan en actas, informes, etc.
c) Comprobar si se ha elaborado un plan de capacitación de los usuarios, con la finalidad de que los cambios no impacten negativamente en funcionamiento de la institución.
d) Verificar que el personal capacitado cuente con la documentación básica de operatividad de las aplicaciones, con el propósito de acceder a ella en caso de una ocurrencia.

C. Evaluar si la(s) aplicación(es) existente se ajusta a las necesidades reales de la institución.

Actividades:

a) Revisar las actividades que se ejecutan en cada equipo, a fin de determinar tareas que necesitan ser automatizados o precisen actualizar los equipos existentes.
b) Comprobar que los puestos de trabajo, debido a su escasa actividad no se encuentre sobredimensionados.
c) Elaborar una relación con recomendaciones sobre descatalogación de productos obsoletos, redistribuciones y adquisiciones de nuevos equipo y aplicaciones.

HERRAMIENTAS Y TÉCNICAS A UTILIZAR

• Técnica de la observación

La técnica de la observación es importante en esta etapa de la auditoría, ya que ayudará a valerse de argumentos sustanciales a favor de la institución. A través de ella se podrá verificar y comprobar aspectos como: cumplimiento de las políticas y normas en el proceso de adquisición, contrastación y fiabilidad del inventario ofimático, todo el software instalado en la institución cuente con licencia, incompatibilidades, entre otros.

• Software de apoyo (XPCSPYP)

Herramienta de software, el cuál permite auditar el uso de los recursos de cómputo de los usuarios (las actividades que ejecutan en cada equipo), las aplicaciones que ejecuta un usuario en su computador pueden ser rastreadas por medio de esta herramienta; evaluando de este modo si la actividad que desempeña cada pueso de trabajo se encuentra sobredimensionada.

• Guía de cuestionario dirigido a personal administrativo

 

• Guía lista de verificación

• Formato para el inventario ofimático de la institución

 

• Guía para la evaluación al entorno informático

• Matriz de contrastación del inventario ofimático institucional

 

Espero haber ayudado en algo. Hasta la próxima oportunidad!

Auditoría de la dirección - 2 de 2

2. Evaluación de la organización

• Examinar la estructura orgánica del centro informático de la institución auditada. 

Actividades:

a) Comprobar si se ha establecido formalmente una estructura organizativa para el centro de la información dentro de la institución.
b) Comprobar la existencia de manuales de organización, funciones, procedimientos, operación, plan de seguridad, plan de sistemas de información, plan operativo, plan de proyectos informáticos, plan de mantenimiento y plan de contingencias.
c) Examinar la división funcional del centro de información de la institución.
d) Determinar los canales formales e informales de comunicación en el centro de información y el resto de áreas de la institución, tales como:

- Formales: e-mails, memorándums, informes, requerimientos, etc.
- Informales: llamadas telefónicas, chat, etc.

e) Examinar los niveles de autoridad y responsabilidad del centro de información, con el propósito de saber donde recae las delegaciones o asignaciones de funciones.

• Examinar el manual de organización y funciones.

Actividades: 

a) Verificar si el manual de organización y funciones comprende el organigrama, funciones, descripción y evaluación de puestos, manual de procedimientos y manual normas.
b) Comprobar si el personal del centro de información tiene pleno conocimiento de las funciones a desempeñar.
c) Examinar si existe duplicidad de funciones en la misma área.

• Evaluar los puestos de trabajo.

Actividades: 

a) Obtener y verificar que las funciones de cada puesto estén correctamente definidos, con el fin de evitar confusiones en los nombres dentro del centro de información.
b) Comprobar el número de personas que trabaja en el centro de información.
c) Comprobar si el personal conoce la descripción del puesto que desempeña dentro del centro de información.

3. Evaluación de la Gestión de Recursos Humanos

• Evaluar la selección del personal. 

Actividades:

a) Comprobar la existencia de mecanismos y/o procedimientos para la selección del personal.
b) Comprobar la existencia de documentos donde señalen los criterios de evaluación y selección de personal, que permitan la validez del caso.
c) Comprobar con la jefatura del centro de información, si la descripción de los puestos que involucran al centro de información se utilizan como base para el reclutamiento de personal, a fin de obtener un perfil requerido.

• Evaluar el desarrollo, desempeño, cumplimiento y motivación del personal. 

Actividades:

a) Comprobar la existencia de un plan de capacitación de personal, con la finalidad de estar acorde con el desarrollo de nuevas tecnologías dentro del centro de información.
b) Verificar si, existen criterios de evaluación para medir el desempeño del personal de la institución.
c) Comprobar la existencia de algún mecanismo de reconocimiento por parte de la institución hacia sus empleados.
d) Verificar si en el centro de información se deja de realizar alguna actividad por falta de personal.
e) Verificar si el personal del centro de información cumple con las funciones que se le han asignado.

4. Evaluación al comité de informática de la institución

• Examinar la conformación del Comité de Informática.

Actividades:

a) Comprobar que exista un Comité de Informática, ya que son ellos los encargados de debatir los asuntos de informática que afectan a toda la institución, permitiendo dar a conocer las necesidades en conjunto.
b) Verificar que el nombramiento y fijación de funciones del comité de informática, sea responsabilidad directa de la Dirección General y no de la Dirección Informática.
c) Identificar la conformación del Comité de Informática y sus respectivos cargos.

• Examinar el papel que cumple el Comité de Informática.

Actividades:

a) Verificar que exista una normatividad interna, donde explique los objetivos, responsabilidades y componentes del comité.
b) Identificar las funciones encomendadas al Comité con la finalidad de conocer, cuales son las acciones que debe realizar y cumplir.
c) Comprobar que las funciones del Comité señale como mínimo los siguientes aspectos:

- Aprobación del plan estratégico de sistemas de información.
- Aprobación de las grandes inversiones en tecnología de la información.
- Fijación de prioridades entre los grandes proyectos informáticos.
- Vehículo de discusión entre la informática y sus usuarios.
- Vigila y realiza el seguimiento de la actividad del centro de información.

d) Comprobar que el comité fija periódicamente reuniones donde los acuerdos son refrendados en el acta del Comité, que validen los mismos.  

5. Evaluación de la dirección

• Evaluar el ambiente laboral en el centro de información de la Institución (Comunicación).

Actividades:

a) Examinar como se lleva a cabo el proceso de comunicación entre la jefatura del centro de información y el resto del personal del área (comunicación escrita, verbal, correo electrónico u otras formas de comunicación).
b) Comprobar si existe intercambio de ideas, planes y otras acciones entre el personal del nivel operativo y otros niveles del centro de información.

• Evaluar la toma de decisiones.

Actividades:

a) Revisar y verificar como se lleva a cabo el proceso de toma de decisiones en el centro de información.
b) Determinar si las decisiones que se toman en el centro de información es directa o no ó se hace delegando autoridad.
c) Constatar si se cuenta con un mecanismo de monitoreo en el cumplimiento de las decisiones tomadas en el centro de información.

• Examinar la coordinación de actividades.

Actividades: 

a) Comprobar si existe algún cronograma de actividades establecido para el centro de información.
b) Verificar mediante actas, las reuniones de coordinación.
c) Verificar si el centro de información establece mecanismos para comprobar el cumplimiento de las actividades.
d) Comprobar la evaluación del Plan operativa Informático, a través de los informes de evaluación.

6. Evaluación de la gestión económica

• Examinar la administración de salarios.

Actividades:

a) Verificar si se consideran horas extras u otro mecanismo de compensación para el personal del centro de información.
b) Verificar si el personal del centro de información está homologado.

• Evaluar el presupuesto que afecta al centro de información. 

Actividades:

a) Verificar si existen criterios para establecer prioridades dentro de las peticiones de necesidades del centro de información.
b) Verificar que los desembolsos efectuados, se encuentren contemplados dentro de los períodos establecidos y estén debidamente aprobados.
c) Verificar si existe control sobre los gastos y justificación de costos.

• Evaluar la adquisición de bienes y servicios.

Actividades:

a) Comprobar que las adquisiciones, estén contempladas en el plan operativo anual y se encuentren debidamente justificadas.
b) Comprobar si los bienes y servicios han sido adquiridos en el debido proceso.
c) Comprobar que los bienes y servicios adquiridos cuenten con garantías mínimas. d) Verificar que las adquisiciones efectuadas, se estén dando el uso adecuado.

Técnica a utilizar

• Técnica de Revisión de Documentos

La técnica de revisión documental se realizara según las preferencias y necesidades de revisión del auditor, ya que así le permitirán analizar las debilidades y fortalezas de la administración del Centros de Información (CI); así como las amenazas de la administración y las áreas de oportunidad de la gestión administrativa de la función informática.




Espero haber ayudado en algo. Hasta la próxima oportunidad!

Auditoría de la dirección - 1 de 2

Auditoría de carácter administrativo, cuya aplicación se enfoca a la revisión de funciones y actividades de tipo administrativo que se realizan dentro del centro de información, tales como la planeación organización, dirección y control de la actividad.

Esta auditoría se realiza con el fin de verificar el cumplimiento de las funciones y actividades asignadas a los funcionarios, empleados y usuarios de las áreas informatizadas, así también para revisar y evaluar las operaciones del sistema, el uso y protección de los sistemas de procesamiento, de los programas y de la información.

Objetivos de Control

1. Evaluación de la planificación

• Evaluar la planeación estratégica en la institución y el centro de información.

Actividades: 

a) Comprobar la existencia de un Plan Estratégico de Negocio (PEN).
b) Comprobar la existencia de un Plan Estratégico de Sistemas de Información (PESI).
c) Comprobar si el PESI esta alineado al PEN.
d) Verificar la existencia de la misión y visión del centro de información de la institución, con el fin de saber hacia donde se dirige.
e) Verificar la existencia de objetivos generales y específicos en el centro de información de la institución, con respecto a la actividad que se realiza.
f) Verificar si la institución cuenta con presupuesto, a fin de llevar un normal desempeño sobre la actividad informática.
g) Confirmar si se han dado a conocer dentro de la institución la misión, visión y objetivos correspondientes al área, a fin de que el personal se identifique con la institución y la labor que desempeña.
h) Examinar el cumplimiento de los objetivos del centro de información.
i) Verificar si existen políticas, normas y lineamientos que regulen la actividad informática de la institución auditada.

• Evaluar el plan estratégico de sistemas de información

Actividades: 

a) Verificar si el PESI fue aprobado por la máxima autoridad de la institución.
b) Comprobar si el PESI se difunde entre el personal involucrado.
c) Verificar la existencia de objetivos, metas y alcances que se persiguen para la ejecución del plan.
d) Identificar que metodología (s) utilizan para la elaboración del PESI para la institución.
e) Comprobar que el PESI, identifique los proyectos que serán desarrollados.
f) Verificar la existencia de un plan de acción, que guíe la ejecución del plan de sistemas dentro de la institución.
g) Comprobar que el plan de acción cuente como mínimo con los siguientes aspectos:

- Documento en donde se definen las prioridades que se toman en cuenta para la implantación de las aplicaciones.
- Cronograma de aplicaciones.
- Presupuesto de: hw., sw., comunicaciones y recursos asignados.
- Definición de los procedimientos de mantenimiento de proyectos, de revisión y control de calidad.

h) Verificar la vigencia del plan estratégico de sistemas de información según lo establecido por la alta dirección. 

• Evaluar el Plan de Proyectos informáticos

Actividades:

a) Verificar la existencia del plan de proyectos informáticos en la institución.
b) Comprobar si el plan de proyectos informáticos, cuenta con la aprobación respectiva, con la finalidad de verificar su total validez.
c) Evaluar el estudio de factibilidad para el desarrollo de proyectos.

- Revisar los informes del estudio de factibilidad tecnológica del proyecto.
- Revisar los informes del estudio de factibilidad económica para conocer los costos y beneficios del proyecto.
- Revisar los informes del estudio de factibilidad operativa del proyecto.

d) Verificar que el plan de proyectos informáticos de la institución cumple como mínimo con los siguientes aspectos:

- Señalar los objetivos del proyecto.
- Establecer los requerimientos necesarios para el proyecto.
- Establecer las técnicas y las herramientas a emplear durante el desarrollo del proyecto.
- Establecimiento de las actividades, tareas y cronograma de trabajo.
- Establecer los recursos necesarios para el desarrollo del o los proyectos (recursos humanos, materiales y tecnológicos).
- Asignación del presupuesto para la realización del proyecto.

e) Comprobar el seguimiento y control a los proyectos señalados en el plan.

• Examinar el Plan Operativo Informático

Actividades:

a) Comprobar la existencia del plan operativo informático (POI) anual de la institución.
b) Verificar que el POI fue aprobado por la máxima autoridad de la institución.
c) Comprobar que el POI de la institución , responda al PEN y al PESI.
d) Comprobar que el plan operativo informático anual señale:

- Misión de la dirección o gerencia informática.
- Visión de la dirección o gerencia informática o sistemas.
- Situación actual de la dirección o gerencia informática o sistemas.

- Localización y dependencia funcional y/o estructural.
- Recursos humanos: se señalará la cantidad de recursos humanos directamente involucrado con las actividades y/o funciones como: dirección o gerencia, apoyo administrativo, desarrollo de aplicaciones, soporte técnico, redes y comunicaciones, investigación, gestión de proyectos, entre otros.
- Recursos informáticos y tecnológicos existentes (software, hardware, comunicaciones y otros).
- Problemática actual (se describirá el FODA de la actividad informática institucional).

- Alineamiento con el plan estratégico institucional y sectorial.

- Objetivos sectoriales (correspondientes a las funciones de la institución).
- Objetivos institucionales (correspondientes a la actividad informática a desarrollar).
- Objetivos específicos (correspondientes a los vinculados con el rol informático propio de cada institución y que estén debidamente presupuestados).

- Estrategias para el logro de las metas del POI.
- Programación de las actividades y/o proyectos informáticos, clasificados por:

- Orientado a los usuarios.
- Orientado a las empresa.
- Orientado a la gestión institucional.
- Normativas institucionales.
- De capacitación.
- De difusión.

 

 

Espero haber ayudado en algo. Hasta la próxima oportunidad!