Proceso de auditoría de
sistemas de información
DOMINIO 1
©2024 ISACA. Todos los derechos reservados.
Descargo de responsabilidad
El contenido de este curso, incluidos, entre otros, los materiales del curso y los exámenes de
certificación, es información confidencial de ISACA. Queda totalmente prohibida toda copia o
divulgación de esta información confidencial por usted, en cualquier forma, sin la previa
autorización por escrito de ISACA. Cualquier copia o divulgación hecha sin la previa
autorización por escrito de ISACA puede dar como resultado la revocación de su candidatura
a certificación y de sus certificaciones, como también cualquier otra acción legal y judicial a
disposición de ISACA. Además de lo anterior, si se detecta o sospecha que usted fotografía
o copia de otro modo los materiales del curso o el examen, será inmediatamente expulsado
de las instalaciones donde se imparte el curso y no recibirá el reembolso de los cargos del
curso que haya pagado.
EsteTodos
documento
contiene
información de propiedad exclusiva y no se puede distribuir sin la previa autorización por escrito de ISACA. ©2023 ISACA.
©2024 ISACA.
los derechos
reservados.
Acerca del examen CISA
©2024 ISACA. Todos los derechos reservados.
Descripción general del examen
Tiempo: 240 minutos
Dominios
La práctica de trabajo de CISA detalla la información
que se evalúa en el examen. El contenido se divide
en cinco dominios, ponderados en porcentajes:
26%
18%
18%
26%
©2024 ISACA. Todos los derechos reservados.
12%
Preguntas
Dominio 1: Auditoría de los
sistemas de información
18%
Dominio 2: Gobierno y gestión
de TI
18%
Dominio 3: Adquisición,
desarrollo e implementación de
los sistemas de información
12%
Dominio 4: Operaciones de
sistemas de información y
resiliencia de negocio
26%
Dominio 5: Protección de los
activos de información
26%
Certificación CISA
Los beneficios de la certificación CISA incluyen:
©2024 ISACA. Todos los derechos reservados.
Le ofrece una
ventaja competitiva
Le ayuda a lograr
un alto estándar
profesional
Le permite
confirmar y
demostrar sus
conocimientos y
experiencia
Le permite
cuantificar y
comercializar su
experiencia
Proporciona
reconocimiento
global como marca
de excelencia
Aumenta el valor
para su
organización
Fundamentos del examen CISA
El examen CISA se basa en una práctica de trabajo.
Los temas que se espera que los candidatos comprendan se describen en una serie de enunciados
de tareas y conocimientos.
Enunciados
de tareas
Son las áreas de
conocimiento Enunciados de
necesarias para que conocimientos
el candidato realice
las tareas.
©2024 ISACA. Todos los derechos reservados.
Describen las tareas
específicas que el
candidato de CISA
debe ser capaz de
realizar.
Calificación del examen
Las calificaciones de los candidatos se informan como
una puntuación en escalas, que es una conversión de la
puntuación bruta del candidato en el examen a una
escala común.
ISACA utiliza e informa las calificaciones en una
escala común de 200 a 800.
Para aprobar, el candidato debe recibir una
calificación de 450 o más, lo que representa un
estándar consistente mínimo de conocimiento de
acuerdo a lo establecido por el Grupo de trabajo
de certificación de CISA de ISACA.
©2024 ISACA. Todos los derechos reservados.
Los candidatos recibirán por correo electrónico una
puntuación preliminar al final del examen en un plazo
de hasta 10 días, así como un informe de calificación
más detallado en un plazo de 7 a 8 semanas.
Preparación para el examen
La seguridad de la información es una profesión global.
• Las preguntas están escritas para la comunidad internacional de
gestión de seguridad de SI.
• Tenga en cuenta que sus propias experiencias y percepciones pueden
contrastar con una perspectiva global.
No suponga que asistir a este curso garantizará la
aprobación del examen.
• Estudie el manual de revisión.
• Revise las preguntas de práctica.
• Relacione el contenido con sus propias experiencias.
• Consulte a colegas y otras personas que hayan obtenido la
certificación CISA.
©2024 ISACA. Todos los derechos reservados.
Proceso de auditoría de sistemas
de información
Parte A: Planificación
©2024 ISACA. Todos los derechos reservados.
Objetivos de aprendizaje
Una vez completado este dominio, un auditor SI debe ser capaz de:
•
Planificar una auditoría para determinar si los sistemas de información
están protegidos y controlados, y si aportan valor a la organización
•
Realizar auditorías de acuerdo con los estándares de auditoría de SI y una
estrategia de auditoría de SI basada en riesgos
•
Comunicar el progreso, los hallazgos, los resultados y las
recomendaciones de la auditoría a las partes interesadas (stakeholders)
•
Realizar un seguimiento posterior a la auditoría para evaluar si los riesgos
se han abordado adecuadamente
•
Evaluar la gestión de TI y el monitoreo de controles
•
Utilizar herramientas de análisis de datos para mejorar los procesos de
auditoría
•
Proporcionar servicios de consultoría y orientación a la organización para
mejorar la calidad y el control de los sistemas de información
•
Identificar oportunidades de mejora de procesos en las políticas y prácticas
de TI de la organización
©2024 ISACA. Todos los derechos reservados.
Temas
Auditoría, estándares, directrices, funciones y códigos de ética de SI
Tipos de auditorías, evaluaciones y revisiones
Planificación de la auditoría basada en riesgos
Tipos de controles
©2024 ISACA. Todos los derechos reservados.
Auditorías (qué y por qué)
Una auditoría puede ayudar a una compañía a asegurar operaciones efectivas, garantizar el
cumplimiento de diversas regulaciones y confirmar que el negocio funciona bien y está preparado
para afrontar posibles desafíos.
Una auditoría puede ayudar a obtener un aseguramiento sobre el nivel de protección disponible
para los activos de información.
Una auditoría puede garantizar a las partes interesadas (stakeholders) el bienestar financiero,
operativo y ético de la compañía.
Las auditorías de SI se enfocan especialmente en la información y los sistemas relacionados de los
que dependen la mayoría de las compañías e instituciones públicas para obtener una ventaja
competitiva.
©2024 ISACA. Todos los derechos reservados.
Auditorías de SI
La auditoría de SI es el examen o la prueba formal de los sistemas de información para
determinar si:
Los sistemas de
información cumplen
con las leyes,
regulaciones,
contratos y
directrices de la
industria aplicables.
©2024 ISACA. Todos los derechos reservados.
Los sistemas de
información y los
procesos
relacionados
cumplen con los
criterios de gobierno
y las políticas y
procedimientos
relacionados y
relevantes.
La confidencialidad,
integridad y
disponibilidad de los
datos de SI cumplen
los niveles
adecuados basados
en métricas
medibles.
Las operaciones de
SI se están
realizando de forma
eficiente, y se
cumplen los objetivos
de efectividad.
Fases de la auditoría
Planificación
©2024 ISACA. Todos los derechos reservados.
Trabajo de
campo/documentación
Informes/seguimiento
Estándares, directrices, funciones y códigos
de ética de la auditoría de SI
©2024 ISACA. Todos los derechos reservados.
Estándares de auditoría y aseguramiento de SI de ISACA
Los estándares de auditoría y aseguramiento de SI de ISACA definen los requerimientos
obligatorios para la auditoría y los informes de SI y comunican a una variedad de audiencias
información crítica, como:
Auditores de SI
Gerencia/partes
interesadas
Titulares de
certificaciones CISA
El nivel mínimo de
rendimiento aceptable
requerido para cumplir con
las responsabilidades
profesionales indicadas en
el Código de ética
profesional de ISACA
Las expectativas de la
profesión con respecto al
trabajo de los profesionales
Sus requerimientos de
rendimiento profesional
©2024 ISACA. Todos los derechos reservados.
Estándares de auditoría y aseguramiento de SI de ISACA
El marco general de los estándares de auditoría y aseguramiento
de SI de ISACA presenta varios niveles de documentos:
Los estándares definen los requerimientos
obligatorios para la auditoría, el aseguramiento
y los informes de SI.
Las directrices proporcionan una orientación
para aplicar los estándares de auditoría y
aseguramiento de SI.
Las herramientas y las técnicas ofrecen
ejemplos de los procesos que podría seguir un
auditor SI en una asignación de auditoría.
©2024 ISACA. Todos los derechos reservados.
Categorías de los estándares de auditoría y
aseguramiento de SI de ISACA
Estándares de auditoría y aseguramiento de SI
Los estándares de auditoría y aseguramiento de SI de ISACA se dividen en tres categorías, generales, de
Informes
Rendimiento
Generales
rendimiento y de informes:
Generales: proporcionan los principios que guían las tareas de los profesionales de aseguramiento de SI. Rigen
la realización de todas las asignaciones y se ocupan de la ética, independencia, objetividad y debido cuidado,
así como los conocimientos, competencias y habilidades de un auditor SI.
De rendimiento: se ocupan de la realización de la asignación, como la planificación y la supervisión, el alcance,
el riesgo y la materialidad, la movilización de recursos, la gestión de supervisión y asignaciones, la evidencia
de auditoría y aseguramiento, y la puesta en práctica del juicio profesional y debido cuidado.
De informes: se refieren a los tipos de informes, medios de comunicación y la información comunicada.
©2024 ISACA. Todos los derechos reservados.
Directrices de auditoría y aseguramiento de SI de ISACA
Un auditor SI debe:
Considerar las directrices
para determinar cómo
implementar los estándares
de auditoría y
aseguramiento de ISACA
©2024 ISACA. Todos los derechos reservados.
Usar el juicio profesional
para aplicar las directrices
en auditorías específicas
Poder justificar cualquier
desviación de los
estándares de auditoría y
aseguramiento de ISACA
Marco de auditoría de TI (ITAF)
Establece los estándares que
abordan los requerimientos
sobre funciones y
responsabilidades,
conocimientos y habilidades,
y diligencia, conducta e
informes del auditor SI.
Define términos y conceptos
específicos para el
aseguramiento de SI.
©2024 ISACA. Todos los derechos reservados.
ITAF
Proporciona orientación,
herramientas y técnicas
acerca de la planificación,
el diseño, la realización y
los informes de las
asignaciones de auditoría y
aseguramiento de SI.
Estatuto de auditoría
El rol de la función de
auditoría interna de SI se
debe establecer mediante
un estatuto de auditoría
aprobado por el consejo de
dirección y el comité de
auditoría.
Los profesionales deben
tener lineamientos claros
para realizar la función de
auditoría de SI, que se
pueden indicar en el
estatuto de auditoría.
©2024 ISACA. Todos los derechos reservados.
El estatuto de auditoría:
 Puede incluir la auditoría de SI como una función de apoyo
de la auditoría.
 Debe establecer claramente la responsabilidad y los
objetivos de la gerencia para la función de auditoría de SI,
así como la delegación de autoridad en dicha función.
 Es un documento general que cubre todo el alcance de las
actividades de auditoría.
Gestión de los recursos de auditoría de TI
La función de auditoría de SI debe ser gestionada en una forma que asegure que las diversas
tareas realizadas por el equipo de auditoría cumplan los objetivos de la función de auditoría,
mientras se preserva la independencia y la competencia de la auditoría.
Los auditores SI deben mantener su nivel de competencias actualizando sus habilidades
existentes y realizando capacitaciones sobre nuevas técnicas de auditoría y áreas de
tecnología.
Se deben tomar en consideración las habilidades y los conocimientos cuando se planifiquen
las auditorías y se asigne personal para tareas específicas de auditoría.
Se debe diseñar un plan anual detallado de capacitación del personal basado en la dirección
de la organización en términos de tecnología y aspectos relacionados con los riesgos que
necesiten abordarse, debiendo revisarse periódicamente.
©2024 ISACA. Todos los derechos reservados.
Uso de los servicios de otros auditores y expertos
Cuando se propone que una parte o la totalidad de los servicios de
auditoría de SI se externalice a otro proveedor externo de servicios
o de auditoría, se debe considerar lo siguiente respecto al uso de
servicios de otros auditores y expertos:
• Restricciones sobre externalización (outsourcing) de servicios de
auditoría/seguridad dispuestas por leyes y regulaciones
• Estatuto o estipulaciones contractuales de auditoría
• Impacto sobre los objetivos generales y específicos de auditoría de SI
• Impacto sobre el riesgo de auditoría de SI y la responsabilidad profesional
• Independencia y objetividad de otros auditores y expertos
• Competencia profesional, calificaciones y experiencia
• Alcance y enfoque del trabajo que se externalizará
• Controles de supervisión y de gestión de auditoría
• Método y modalidades de comunicación de los resultados del trabajo de auditoría
• Cumplimiento de las estipulaciones legales y regulatorias
• Cumplimiento de los estándares profesionales aplicables
©2024 ISACA. Todos los derechos reservados.
Uso de los servicios de otros auditores y expertos
(continuación)
Lo siguiente es responsabilidad del auditor SI o de
la entidad que emplea los servicios de proveedores
externos de servicios:
Comunicar claramente los objetivos, el alcance y la
metodología de la auditoría a través de una carta
formal de compromiso.
Establecer un proceso de monitoreo para la revisión
regular del trabajo del proveedor externo de servicios
Evaluar la utilidad e idoneidad de los informes de
proveedores externos, así como el impacto de los
hallazgos significativos sobre los objetivos generales
de auditoría.
©2024 ISACA. Todos los derechos reservados.
Actividad
Un departamento de auditoría interna está planificando
sus auditorías de SI en base al plan de auditoría
aprobado. Como Director Ejecutivo de Auditoría, usted es
responsable de asignar personal para las auditorías
planificadas.
Individualmente:
1. Piense en los pasos que daría para planificar el
cumplimiento de las limitaciones de capacidad y
presupuesto.
2. ¿Cómo tiene en cuenta las consideraciones de
capacitación, los costos y el cronograma para los
recursos de auditoría de SI?
3. ¿En qué casos consideraría utilizar la ayuda de expertos
externos?
©2024 ISACA. Todos los derechos reservados.
Tipos de auditorías, evaluaciones y revisiones
©2024 ISACA. Todos los derechos reservados.
Ejemplos de auditorías, evaluaciones y revisiones
De sistemas de información
De cumplimiento
Financiera
Operativa
Integrada
Administrativa
©2024 ISACA. Todos los derechos reservados.
Especializada
De informática forense
Funcional
Evaluación de la preparación
Autoevaluación de controles (CSA)
Es una evaluación de controles realizada por el
personal y la gerencia de la unidad o de las
unidades involucradas.
Asegura a las partes interesadas (stakeholders),
clientes y otros que el sistema de control interno de
la compañía es confiable.
Asegura que los empleados estén al tanto de los
riesgos del negocio y que realicen revisiones
proactivas y periódicas de los controles.
©2024 ISACA. Todos los derechos reservados.
¿Qué hace
el auditor
SI?
Les permite a los propietarios de
procesos de negocio definir y evaluar
los controles adecuados.
Ayuda a los propietarios de procesos
a entender la necesidad de controles,
según el riesgo de los procesos del
negocio.
Trabaja con los propietarios de
procesos para evaluar el rendimiento
de los controles en comparación con
los objetivos de control establecidos.
Programas y objetivos de CSA
Programas de CSA:
•
•
•
Se pueden implementar a través de diversos
métodos, como cuestionarios, encuestas, talleres
dirigidos y revisiones informales entre pares.
Aprovechan la función de auditoría interna
transfiriendo algunas de las responsabilidades de
monitoreo de control a las áreas funcionales.
Deben educar a la gerencia sobre el diseño y el
monitoreo de controles.
©2024 ISACA. Todos los derechos reservados.
Medidas de éxito:
Planificación
Implementación
Monitoreo
Función del auditor SI en la CSA
Cuando se establecen programas de CSA, los auditores se convierten en profesionales
del control interno y facilitadores de las evaluaciones.
Los auditores SI deben entender el proceso
de negocio que se está evaluando para ser
efectivos en su función de facilitadores e
innovadores.
Los auditores SI dirigen y guían a los
auditados en la evaluación de su entorno
proporcionando información sobre los
objetivos de control.
©2024 ISACA. Todos los derechos reservados.
Actúan como facilitadores y el cliente de
gerencia actúa como participante.
Con la gerencia centrada en mejorar la
productividad, los auditores SI están mejor
posicionados para explicar el riesgo.
Elementos de una auditoría integrada
Identificación del riesgo que
enfrenta la organización para el
área que está siendo auditada
Identificación de los controles
clave relevantes
Revisión y comprensión del
diseño de los controles clave
Comprobación de que los
controles de la gerencia
funcionan de manera efectiva
©2024 ISACA. Todos los derechos reservados.
Comprobación de que los
controles clave están
respaldados por el sistema de TI
Informe u opinión combinados
sobre riesgos, diseño y
debilidades de los controles
Estudio de caso
AlphaCorp es una compañía multinacional con
diversas operaciones que van desde la fabricación
hasta las ventas en línea. La compañía se enfrenta
a varios desafíos y la gerencia busca ayuda para
identificar los tipos de auditorías más adecuados
para abordar problemas específicos. Su tarea como
auditor SI es determinar qué tipo de auditoría se
necesita para cada situación.
©2024 ISACA. Todos los derechos reservados.
Análisis del estudio de caso
¿Qué tipo de auditoría debe realizarse en estos escenarios?
1. La alta gerencia está preocupada por la seguridad desde el año fiscal
anterior cuando hubo una serie de casos de acceso no autorizado a
datos confidenciales en toda la infraestructura de red de la compañía.
Se incurrió en el costo sustancial de contratar un investigador forense.
2. AlphaCorp se está preparando para una fusión con otra compañía, y
los posibles inversores están analizando el estado financiero de la
organización.
3. La división de fabricación de AlphaCorp ha experimentado una
disminución de la productividad y un aumento de los costos de
producción. La gerencia sospecha de ineficiencias en los procesos de
producción de la compañía.
4. Los cambios recientes en las políticas de comercio internacional han
suscitado preocupaciones. La gerencia quiere asegurarse de que la
compañía cumple todas las leyes y regulaciones pertinentes.
©2024 ISACA. Todos los derechos reservados.
Planificación de la auditoría basada en riesgos
©2024 ISACA. Todos los derechos reservados.
Planificación de la auditoría basada en riesgos
El universo de la auditoría debe abarcar todos los procesos de negocio relevantes, idealmente
enumerando todos aquellos elegibles para la consideración de auditoría, representando así la
estructura de la compañía.
Largo plazo
Corto plazo
Considera los asuntos relacionados con el riesgo respecto
a los cambios en la dirección estratégica de TI de la
compañía que afectarán al entorno de TI de la compañía.
Considera los asuntos de auditoría que se tratarán
durante el año.
Ejemplo de calificación de la reputación como factor de riesgo crítico:
Alto
Más de seis meses para
recuperarse
©2024 ISACA. Todos los derechos reservados.
Medio
De tres a seis meses para
recuperarse
Bajo
Menos de tres meses para
recuperarse
Asignaciones individuales de auditoría
Planificación de auditoría como auditor SI
Considere:
•
Resultados de las evaluaciones periódicas
de riesgos
•
Cambios en la aplicación de la tecnología
•
Evolución de los asuntos de privacidad y
los requerimientos regulatorios
©2024 ISACA. Todos los derechos reservados.
©2022 ISACA. Todos los derechos reservados.
•
Comprender la misión, los objetivos, el propósito y los procesos
de la compañía
•
Entender los cambios en el entorno de negocio del auditado
•
Revisar los documentos de trabajo anteriores
•
Identificar los contenidos específicos, tales como políticas,
estándares y directrices requeridos, procedimientos estructura
de la organización
•
Establecer el alcance y los objetivos de auditoría
•
Desarrollar el enfoque o la estrategia de auditoría
•
Considerar la logística del trabajo de auditoría
•
Identificar oportunidades para la auditoría continua o la
automatización de auditoría utilizando herramientas de
auditoría asistidas por computadora (CAAT).
Efecto de las leyes y regulaciones en la planificación
de una auditoría de SI
Toda organización debe cumplir con varios requerimientos
gubernamentales y externos relacionados con las prácticas y controles
de SI y la forma en que se utilizan, almacenan y protegen los datos.
Garantía de que la dirección e intención
de la compañía están alineadas con la
postura de seguridad de la compañía
Enfoques estructurados para implementar
un programa de seguridad
Confianza de que un nivel adecuado y
efectivo de seguridad de la información
protegerá los activos valiosos
©2024 ISACA. Todos los derechos reservados.
©2022 ISACA. Todos los derechos reservados.
• La información y los
conocimientos son activos
importantes para una
compañía.
• Esta dependencia en la
información y sus sistemas
relacionados pone de
manifiesto la criticidad del
gobierno de la seguridad
de la información.
• Es fundamental que la
seguridad de la información
reciba el apoyo completo
de la alta gerencia y de la
compañía en su conjunto.
Cumplimiento de las leyes y regulaciones
externas
Determinación de cumplimiento:
El auditor SI debe identificar:
• Datos electrónicos, datos personales, derechos de
autor, comercio electrónico, firmas digitales, etc.
• Prácticas y controles de SI
• La forma en que se almacenan las computadoras,
los programas y los datos
• La organización o las actividades de los servicios
de tecnología de la información
• Las auditorías de SI
Documentar las leyes y regulaciones aplicables
Evaluar si la compañía y TI han considerado los
requerimientos externos
Revisar los documentos internos del
departamento/función/actividad de TI que se ocupa del
cumplimiento de las leyes aplicables de la industria
Determinar el cumplimiento de los procedimientos
establecidos que se ocupan de estos requerimientos
Determinar si se cuenta con procedimientos para asegurar
que los contratos o acuerdos con proveedores externos de
servicios de TI reflejen cualquier requerimiento legal
©2024 ISACA. Todos los derechos reservados.
Enfoque de auditoría basada en riesgos
Recopilar
información y
planificar
•
•
•
•
•
Conocimientos del
negocio y la industria
Resultados de la
auditoría del año
anterior
Información financiera
reciente
Estatutos regulatorios
Evaluaciones de
riesgos inherentes
©2024 ISACA. Todos los derechos reservados.
Lograr una
comprensión del
control interno
•
•
•
•
Entornos de control
Procedimientos de
control
Evaluaciones de
riesgos de detección y
control
Equiparar el riesgo
total
Realizar pruebas
sustantivas
Realizar pruebas de
cumplimiento
•
•
Identificar controles
clave que se deben
probar
Realizar pruebas
sobre:
• Fiabilidad
• Prevención de
riesgos
• Cumplimiento de
las políticas y
procedimientos de
seguridad
•
•
•
Procedimientos
analíticos
Pruebas
detalladas de
saldos de cuentas
Otras pruebas
sustantivas de
auditoría
Concluir la auditoría
•
•
Crear
recomendaciones
Escribir un informe de
auditoría
Mentalidad y riesgo de auditoría
Riesgo de auditoría general
• La probabilidad de que los
informes o la información
financiera puedan contener
errores materiales y que el
auditor pudiera no detectar un
error que ha ocurrido.
• Un enfoque de auditoría debe
limitar el riesgo de auditoría en
el área bajo revisión de modo
que el riesgo de auditoría
general esté a un nivel
suficientemente bajo al finalizar
el examen.
Riesgo de control
El riesgo de que exista un
error material que no se
evitaría o detectaría de forma
oportuna (p. ej., riesgo de
revisiones manuales de
registros informáticos).
Riesgo inherente
• El nivel de riesgo o la
exposición del proceso/la
entidad que serán
auditados sin tomar en
cuenta los controles que ha
implementado la gerencia.
• Existe independientemente
de una auditoría y puede
ocurrir debido a la
naturaleza del negocio.
©2024 ISACA. Todos los derechos reservados.
Riesgo de detección
El riesgo de que el auditor SI
no detecte falsas
declaraciones o errores
materiales.
Evaluación de riesgos
Un auditor SI debe comprender cómo la compañía que se audita aborda la evaluación de riesgos.
1
3
Identificar, cuantificar y
priorizar los riesgos
teniendo en cuenta criterios
de aceptación del riesgo y
los objetivos
Realizar una evaluación de
riesgos periódicamente para
abordar los cambios en el
entorno, los requerimientos
de seguridad y el panorama
de riesgos
Guiar y determinar las
acciones y prioridades
adecuadas de la gerencia
2
41
©2024 ISACA. Todos los derechos reservados.
La gerencia, no el
auditor SI, es
responsable del
proceso de evaluación
de riesgos
4
Técnicas de evaluación del riesgo de auditoría de SI
Las metodologías de evaluación de riesgos
pueden ir desde clasificaciones simples (p.
ej., alto, medio, bajo) hasta cálculos
científicos complejos.
Aprovechar los resultados de las
evaluaciones de riesgos de la gerencia
para complementar los procedimientos de
evaluación de riesgos del auditor SI.
Usar la evaluación de riesgos para
determinar las áreas que serán auditadas
proporciona diversos resultados.
©2024 ISACA. Todos los derechos reservados.
Permite que la
gerencia de
auditoría asigne de
manera efectiva los
recursos limitados
de auditoría.
Garantiza que se
ha obtenido
información
relevante de todos
los niveles de
gerencia.
Establece las bases
para gestionar el
departamento de
auditoría de manera
efectiva.
Proporciona un
resumen de cómo
el tema de auditoría
individual se
relaciona con la
organización en
general.
Análisis de riesgos
El análisis de riesgos es un subconjunto de la evaluación de riesgos y se usa durante la
planificación de la auditoría para ayudar a identificar el riesgo y las vulnerabilidades con el fin de
que un auditor SI pueda determinar los controles necesarios para mitigar el riesgo.
Evaluación de los procesos de negocio de TI
Debe permitir identificar y diferenciar los tipos
de riesgo y los controles usados para mitigarlos.
Se debe examinar el proceso de evaluación y
gestión de riesgos y las técnicas utilizadas por
los gerentes de negocio.
Se deben tener conocimientos sobre las áreas
de riesgo de negocio comunes, los riesgos de TI
relacionados y los controles relevantes.
Se debe comprender que existen riesgos dentro
del proceso de auditoría en sí.
©2024 ISACA. Todos los derechos reservados.
Actividad
Se le ha asignado una auditoría integrada de los
procesos de nómina y necesita planificar la parte de
auditoría de TI de la asignación.
¿Cuál es el área de proceso de negocio más
importante que debe considerar?
Para ayudar en la realización de la auditoría, ¿sería
mejor conocer el presupuesto de auditoría de SI o
conocer el perfil de riesgo del CIO y el CFO para los
procesos de nómina?
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
Debido a limitaciones de recursos del equipo de auditoría de SI, el plan
de auditoría no puede realizarse como fue originalmente aprobado.
Suponiendo que se comunica la situación en el informe de auditoría,
¿qué curso de acción es el más aceptable?
A.
Probar la idoneidad del diseño de control
B.
Probar la efectividad operativa de los controles
C.
Enfocarse en auditar áreas de alto riesgo
D.
Confiar en las pruebas de controles de la gerencia
©2024 ISACA. Todos los derechos reservados.
Tipos de controles y consideraciones
©2024 ISACA. Todos los derechos reservados.
Controles internos
Operan en todos los niveles dentro de una compañía
para mitigar su exposición a un riesgo que
potencialmente podría impedirle alcanzar sus objetivos
de negocio.
Existen dos aspectos clave que los controles deben
abordar:
Qué se debe lograr
©2024 ISACA. Todos los derechos reservados.
Qué se debe evitar
Objetivos de control y medidas de control
Un objetivo de control es un objetivo de una o más áreas o funciones operativas, que está
diseñado para contribuir al cumplimiento de los objetivos estratégicos de la compañía.
Se relaciona con:
Efectividad y
eficiencia de las
operaciones
©2024 ISACA. Todos los derechos reservados.
Fiabilidad de los
informes
financieros
Cumplimiento
de las leyes y
regulaciones
Protección de
los activos de
información
Pruebas de controles no técnicos
Los objetivos de control de SI proporcionan un conjunto completo de requerimientos de alto nivel
que la gerencia debe tener en cuenta para un control eficaz de cada área de proceso de TI:
Son declaraciones del
resultado deseado o del
propósito a ser alcanzado
con la implementación de
los controles en torno a los
procesos de sistemas de
información.
©2024 ISACA. Todos los derechos reservados.
Están compuestos de
políticas,
procedimientos,
prácticas y estructuras
organizacionales.
Están diseñados para
brindar un
aseguramiento razonable
de que se alcanzarán los
objetivos de negocio y
que se evitarán y
corregirán los eventos no
deseados.
Ejemplos de objetivos de control
Garantizar la integridad de los
entornos del sistema
Garantizar que estén establecidos
los procesos de SDLC
•
Asegurar la implementación y el
funcionamiento eficaz
•
Proporcionar el aseguramiento de que los
sistemas y aplicaciones de software de
negocio, financieros o industriales se
desarrollan de forma repetible y fiable
•
Garantizar que se cumplan los objetivos
de negocio
©2024 ISACA. Todos los derechos reservados.
•
Autorizar y validar las entradas
•
Garantizar la precisión y exhaustividad del
procesamiento de transacciones
•
Evaluar la fiabilidad de las actividades de
procesamiento de información
•
Asegurar la precisión, exhaustividad y
seguridad de los resultados
•
Asegurar la confidencialidad, integridad y
disponibilidad de la base de datos
Métodos de control general
Gerenciales
(administrativos)
•
Controles relacionados con
la supervisión, los informes,
los procedimientos y las
operaciones de un proceso.
Técnicos
•
•
Ejemplos
•
•
•
•
Políticas y procedimientos
Controles contables (por
ejemplo, balances)
Capacitación y desarrollo de
los empleados
Elaboración de informes de
cumplimiento
©2024 ISACA. Todos los derechos reservados.
Se proporcionan a través del uso
de tecnología, equipos o
dispositivos.
Requieren controles adecuados
por parte de la gerencia para
funcionar correctamente.
Ejemplos
•
•
•
•
Conjuntos de reglas de
cortafuegos (firewall)
Sistemas de detección de
intrusiones (IDS) basados en
el servidor (host) o red
Contraseñas (password)
Antimalware
Físicos
•
Restringen el acceso a una
instalación o al hardware.
Requieren mantenimiento,
monitoreo y la capacidad de
abordar las alertas y reaccionar a
ellas.
•
Ejemplos:
•
•
Cerraduras y credenciales
(badge) de acceso físicas
Televisión de circuito cerrado
(CCTV)
Controles específicos de SI
Procedimientos de
control
específicos de SI
52
©2024 ISACA. Todos los derechos reservados.
•
•
•
•
•
•
•
•
•
•
Estrategia y dirección de la función de TI
Organización general y gestión de la función de TI
Acceso a los recursos de TI, incluyendo datos y programas
Metodologías de desarrollo de sistemas y control de cambios
Procedimientos de las operaciones
Programación de sistemas y funciones de soporte técnico
Procedimientos de aseguramiento de la calidad (quality assurance) (QA)
Controles de acceso físico
BCP/DRP
Redes y tecnología de comunicación (por ejemplo, redes de área local,
redes de área amplia, redes inalámbricas)
• Administración de la base de datos
• Mecanismos de protección y detección contra ataques internos y externos
Clasificaciones de los controles
Preventivos
Disuasorios
Detectivos
Correctivos
Compensatorios
Inhibir o impedir intentos
de infringir la política y
prácticas de seguridad
Proporcionar una guía o
avisos que podrían
disuadir de intentos
deliberados o no
deliberados de poner en
peligro los activos
Proporcionar avisos de
infracciones o intentos de
infracción de la política y
prácticas de seguridad sin
inhibir ni impedir dichas
acciones
Remediar errores,
omisiones, usos no
autorizados e intrusiones
cuando se detectan.
Compensar una
debilidad en la estructura
de control de la
compañía
Las notificaciones de
aviso en las pantallas de
inicio de sesión, las
políticas de uso
aceptable, las cámaras
de seguridad y la
recompensas para
capturar hackers son
ejemplos de controles
disuasorios.
Las pistas de auditoría,
los sistemas de detección
de intrusiones (IDS) y las
sumas de comprobación
son ejemplos de controles
detectivos.
Las copias de respaldo
de datos, la corrección
de errores y la
conmutación automática
por error son ejemplos
de controles correctivos.
Colocar sistemas no
seguros en segmentos
de red aislados con una
fuerte seguridad
perimetral y añadir
mecanismos de
desafío/respuesta de
terceros a dispositivos
que no admiten cuentas
de inicio de sesión
individuales son
ejemplos de controles
compensatorios.
El cifrado, la
autenticación de usuarios
y las puertas blindadas
son ejemplos de
controles preventivos.
©2024 ISACA. Todos los derechos reservados.
Relación del control con el riesgo
Existe una relación directa entre el riesgo y el
control que demuestra que el riesgo se aborda
a través del control.
El auditor SI debe siempre comprender el
riesgo aplicable a los controles que se están
evaluando.
Riesgo
Influencias
Relaciones
Al evaluar los controles, el auditor SI debe
asegurarse de que los controles identificados
por la gerencia se asignen al riesgo aplicable.
Los controles se justifican por el riesgo que
exige su existencia.
©2024 ISACA. Todos los derechos reservados.
Control
Justificación
Actividad
Relacione el escenario de riesgo con el control más
adecuado para mitigar el riesgo.
Riesgo
Control
Un dispositivo móvil que contiene datos
sensibles es robado.
Los usuarios deben confirmar sus
conocimientos sobre las políticas de uso
aceptable al momento de la contratación y
anualmente.
No se puede establecer la
responsabilización (accountability) de las
acciones del usuario dentro de un sistema.
Los discos duros están cifrados para todos
los extremos (endpoint).
Los empleados exportan los datos de la
compañía a dispositivos personales.
Los usuarios reciben identificaciones y
contraseñas (password) únicas.
Los empleados recibieron correos
electrónicos engañosos y divulgan
información sensible.
Los usuarios reciben capacitación
periódica sobre las amenazas de
seguridad aplicables.
©2024 ISACA. Todos los derechos reservados.
Controles y marcos prescriptivos
Modelo de madurez
de aseguramiento de
software de OWASP
(SAMM)
Dieciocho controles de
seguridad críticos
(CSC) del Centro para
la seguridad de
internet (CSI)
©2024 ISACA. Todos los derechos reservados.
Estándar de
seguridad de datos
(DSS) de la industria
de tarjetas de pago
(PCI)
Informes de controles
de una organización
de servicios (SOC)
Matriz de controles en
la nube (CCM) de la
Alianza de seguridad
en la nube (CSA)
Monitoreo de control de la gerencia
Los informes establecen los
umbrales esperados para la
eficacia del control y realizan
un seguimiento del éxito a lo
largo del tiempo.
Las excepciones de control
identificadas se corrigen, y las
lecciones aprendidas se
consideran para la mejora del
programa de seguridad.
Se establecen métricas para el
monitoreo de control o
procesos críticos.
Las métricas se basan en la
evaluación de riesgos de la
gerencia.
©2024 ISACA. Todos los derechos reservados.
Monitoreo de
control de la
gerencia
Se tienen en cuenta las
consideraciones de
independencia con respecto a
las posibles preocupaciones de
exhaustividad y precisión.
Las métricas identifican
resultados específicos y
cuantificables para los
informes.
Evaluación independiente del entorno
de control
Comprender los riesgos y controles
Una vez comprendidos los riesgos y controles aplicables, el
auditor SI puede realizar una evaluación del entorno de control.
Revisar las evidencias
Un auditor SI revisa la evidencia recopilada durante la auditoría
para determinar si las operaciones revisadas están bien
controladas y son efectivas.
Evaluar las fortalezas y las debilidades
Un auditor SI determina si las fortalezas/debilidades son
eficaces para cumplir con los objetivos de control establecidos.
©2024 ISACA. Todos los derechos reservados.
Actividad
XYZ Corp busca reforzar su seguridad de SI después de
que una serie de infracciones de seguridad
comprometieran los datos personales de miles de clientes.
Como auditor SI, la gerencia le ha pedido que ayude a
determinar qué objetivos de control son los más
adecuados.
Individualmente:
1. ¿Cuál es la función de la auditoría de SI en la definición
de los objetivos de control, y cuándo estaría en riesgo la
independencia?
2. Más allá de las consideraciones de independencia, dados
los problemas que XYZ Corp está experimentando, ¿qué
objetivos de control se deben priorizar?
3. Describa un control que tendría que implementar la
compañía de cada categoría (disuasorio, preventivo,
compensatorio, detectivo y correctivo).
©2024 ISACA. Todos los derechos reservados.
Proceso de auditoría de sistemas
de información
Parte B: Ejecución
©2024 ISACA. Todos los derechos reservados.
Temas
Gestión de proyectos de auditoría
Metodología de muestreo y pruebas de auditoría
Técnicas de recopilación de evidencia de auditoría
Análisis de datos de auditoría (incluidos algoritmos de auditoría)
Técnicas de comunicación e informes
Aseguramiento de la calidad (quality assurance) y mejora del proceso de auditoría
©2024 ISACA. Todos los derechos reservados.
Gestión de proyectos de auditoría
©2024 ISACA. Todos los derechos reservados.
Gestión de proyectos de auditoría
Las técnicas de gestión de proyectos para gestionar y administrar proyectos de auditoría incluyen:
Planificación de
la asignación de
auditoría
Planificar la auditoría
tomando en cuenta el
riesgo específico del
proyecto.
©2024 ISACA. Todos los derechos reservados.
Elaboración
del plan de
auditoría
Distribuir las tareas de
auditoría en un plazo
determinado
optimizando el uso de
los recursos.
Hacer estimaciones
realistas de los
requerimientos de
tiempo para cada tarea.
Comunicación
del plan
Adaptar técnicas
prácticas y
significativas para
comunicar los planes
de proyectos de
auditoría y recibir la
aceptación de las
partes interesadas
(stakeholders)
correspondientes.
Ejecución del
plan
Monitoreo de
la actividad del
proyecto
Ejecutar las tareas de
la auditoría con
respecto al plan.
Informar sobre el
progreso con respecto
a los pasos
planificados de la
auditoría para asegurar
que los desafíos se
gestionen y que se
complete el alcance
dentro del tiempo y el
presupuesto.
Objetivos de auditoría
Las metas específicas que debe cumplir la auditoría.
Se centran en confirmar que
existen controles internos
para minimizar los riesgos
de negocio y que funcionen
como se espera.
©2024 ISACA. Todos los derechos reservados.
Estos objetivos de auditoría
incluyen asegurar el
cumplimiento de requerimientos
legales y regulatorios y
garantizar la confidencialidad,
integridad, confiabilidad y
disponibilidad de los recursos de
información y de TI.
Se traducen a partir de
objetivos básicos de
auditoría de amplio
alcance identificando los
objetivos de control y los
controles relacionados
que abordan los
objetivos.
Pasos típicos del proceso de auditoría por fase
Fase de planificación
Determinar el
tema de la
auditoría
Definir el
objetivo de la
auditoría
Establecer el
alcance de la
auditoría
Realizar la
planificación
previa a la
auditoría
Fase de trabajo de campo y documentación
Adquirir los
datos
Evaluar los
controles
Descubrir y
validar los
problemas
Documentar
los resultados
Fase de informes
Recopilar los
requerimientos
de informes
©2024 ISACA. Todos los derechos reservados.
Redactar un
borrador del
informe
Publicar el
informe
Hacer el
seguimiento
Determinar los
procedimientos
Planificación
Determinar el tema
de la auditoría
Definir el objetivo
de la auditoría
Establecer el
alcance de la
auditoría
Realizar la
planificación previa
a la auditoría
Identificar el área que
se va a auditar (por
ejemplo, función de
negocio, sistema,
ubicación física).
Identificar el propósito
de la auditoría (por
ejemplo, determinar si
los cambios en el
código fuente del
programa se producen
en un entorno bien
definido y controlado)
Identificar los sistemas,
funciones o unidades
específicos de la
organización que serán
incluidos en la revisión
(por ejemplo,
aplicaciones, sistemas
o períodos)
• Realizar una
evaluación de riesgos
• Entrevistar a los
auditados
• Identificar
requerimientos de
cumplimiento
regulatorio
• Identificar los
recursos
©2024 ISACA. Todos los derechos reservados.
Determinar los
procedimientos
• Seleccionar la
estrategia de
auditoría
• Recopilar políticas
departamentales
• Hacer una lista de
los entrevistados
• Identificar métodos y
herramientas
Trabajo de campo/documentación
Adquirir los datos
•
•
Establecer un
proceso para
adquirir los datos
relacionados con la
auditoría
•
Usar una lista de
solicitudes
anticipadas
•
©2024 ISACA. Todos los derechos reservados.
Descubrir y
validar los
problemas
Evaluar los
controles
Utilizar técnicas de
prueba, como
entrevistas,
observaciones e
inspecciones
Tomar una muestra
para revisar un
subconjunto de una
población general
•
Identificar posibles
problemas
•
Preparar
recomendaciones
para que la gerencia
tome medidas
Documentar los
resultados
Documentar los
resultados dentro del
programa de auditoría y
los documentos de
trabajo
Informes/seguimiento
Recopilar los
requerimientos
de informes
Recopilar los
requerimientos de
informes de estándares
de auditoría interna o
requerimientos de
informes externos
©2024 ISACA. Todos los derechos reservados.
Redactar un
borrador del
informe
• Crear el informe
• Hacer que el
liderazgo de
auditoría de SI
revise el informe
• Identificar los
resultados
generales y los
posibles hallazgos y
recomendaciones
para la gerencia
Publicar el
informe
Hacer el
seguimiento
• Publicar el informe
una vez finalizado
Establecer un proceso
para hacer un
seguimiento del
progreso de la gerencia
en la corrección de los
problemas identificados
durante la auditoría.
• Conservar el
informe final según
los requerimientos
de conservación
• Presentar el informe
a la función de
supervisión de la
compañía
Programas de auditoría
Un programa de auditoría es un conjunto de procedimientos e instrucciones de auditoría paso a
paso que debe realizarse para completar una auditoría.
Los procedimientos generales de auditoría son los pasos básicos en la ejecución de una auditoría y
habitualmente incluyen lo siguiente:
Obtener y registrar la compresión del área/tema de
la auditoría
Crear una evaluación de riesgos y una planificación
(scheduling) y plan de auditoría generales
Realizar la planificación de auditoría que incluye
pasos de auditoría y trabajo planificado
Realizar una revisión preliminar del área/tema de la
auditoría
Evaluar el área/tema de la auditoría
©2024 ISACA. Todos los derechos reservados.
Verificar y evaluar los controles diseñados para
cumplir con los objetivos de control
Realizar pruebas de cumplimiento
(pruebas de implementación de control)
Realizar pruebas sustantivas
(que confirmen la precisión de la información)
Elaborar informes (comunicar los resultados)
Hacer un seguimiento en casos en los que hay una
función de auditoría interna
Habilidades para desarrollar un programa de auditoría
Las siguientes habilidades pueden ayudar a un auditor SI a crear un programa de auditoría:
Riesgos y amenazas
Espacio y
componentes de TI
Comprensión de la naturaleza
de la compañía y la industria
para identificar los tipos de
riesgos y amenazas
Comprensión del espacio de
TI y sus componentes, y las
tecnologías que los afectan
Riesgo de negocio
y de TI
Evaluación de
riesgos
Comprensión de la relación
entre el riesgo de negocio y el
riesgo de TI
©2024 ISACA. Todos los derechos reservados.
Conocimiento básico de las
prácticas de evaluación de
riesgos
Procedimientos de
pruebas
Comprensión de los procedimientos
de prueba para evaluar los controles
de SI, por ejemplo:
• Uso de software de uso
generalizado en auditoría para
inspeccionar el contenido de los
archivos de datos
• Técnicas de elaboración de
diagramas de flujo para
documentar procesos y controles
• Observaciones y consultas
Documentos de trabajo de auditoría
Todos los planes, programas, actividades, pruebas, hallazgos e incidentes de auditoría se deben
registrar debidamente en los documentos de trabajo. Los documentos de trabajo:
Los documentos de trabajo se pueden considerar
los puentes o interfaces entre los objetivos de
auditoría y el informe final de la auditoría.
Pueden contener información sensible, por lo que
se debe establecer un proceso de conservación y
destrucción.
Deben proveer una transición fluida desde
los objetivos al informe y desde el informe a
los objetivos.
Solo deben conservarse durante el tiempo
que sea necesario.
©2024 ISACA. Todos los derechos reservados.
Fraude, irregularidades y actos ilegales
La gerencia es la principal responsable de establecer, implementar y mantener un sistema de
control interno que permita la disuasión o detección oportuna de los casos de fraude.
Los auditores SI deben tener conocimientos
sobre fraudes e indicadores de fraude y, durante
la ejecución de una auditoría, estar atentos a la
posibilidad de fraudes y errores.
Si se encuentran indicadores de fraude, un
auditor SI puede comunicar la necesidad de una
investigación detallada a las autoridades
competentes.
Un auditor SI debe estar consciente de los
requerimientos legales para la implementación
de procedimientos de detección de fraude y el
posible reporte a las autoridades.
©2024 ISACA. Todos los derechos reservados.
Descripción general de una auditoría ágil
El término “ágil” suele referirse al desarrollo de software y prioriza:
•
Individuos e interacciones sobre procesos y herramientas
•
Software de trabajo sobre la documentación integral
•
Colaboración del cliente sobre la negociación del contrato
•
Respuesta al cambio sobre el seguimiento del plan
En los modelos ágiles, la documentación de diseño y
especificación se reduce al mínimo necesario, y una parte
importante de la documentación se crea en los niveles de
operaciones y soporte (por ejemplo, manuales de usuario), que se
producen mucho más tarde en el ciclo de vida del sistema.
©2024 ISACA. Todos los derechos reservados.
Beneficios de la auditoría ágil
Reducción de
la planificación
integral
El enfoque ágil
garantiza que la
auditoría tenga
más éxito en
estas áreas:
Prevención
de fraudes
Actualizaciones
frecuentes del
plan de auditoría
Asignaciones
de auditoría
optimizadas
Colaboración directa
con el cliente
Alcance flexible
de la auditoría
Aseguramiento
en tiempo real
74
©2024 ISACA. Todos los derechos reservados.
Relación complementaria de las técnicas de auditoría
ágiles y el ITAF
Estándar general
1002:
Independencia
organizacional
•
•
El enfoque ágil
fomenta la
comunicación
directa con los
clientes y su
participación.
El enfoque ágil
permite acordar los
hallazgos de la
auditoría y minimiza
el tiempo de
corrección.
Estándar general
1005: Debido
cuidado
profesional
Estándar general
1003: Objetividad
del auditor
•
•
©2024 ISACA. Todos los derechos reservados.
El enfoque ágil no
compromete la
objetividad del
auditor.
Las funciones de
auditoría ágiles
conservan su
escepticismo
profesional y su
capacidad para
tomar decisiones
finales.
•
•
El enfoque ágil
prioriza la atención
al backlog de
auditoría con más
frecuencia.
Con el enfoque ágil,
la gerencia de
auditoría conserva
su derecho a
concluir sobre
asuntos clave de
cada asignación de
auditoría.
Estándar general
1006:
Competencia
•
•
Las reuniones
ágiles y los ciclos
de sprint mejoran el
desarrollo del
personal.
La mayor
colaboración con
los clientes de
auditoría permite al
personal de
auditoría aprender
sobre el negocio de
una manera más
completa.
Estándar de
informes 1402.3:
Actividades de
seguimiento y
aceptación del
riesgo
Directriz general
2001.2.6:
Rendimiento del
aseguramiento de
la calidad
Los procesos de
comunicación
frecuentes y
colaborativos del
enfoque ágil buscan
garantizar la
divulgación completa
a la gerencia ejecutiva
de cualquier riesgo
aceptado que hayan
tomado los clientes de
auditoría.
La retrospectiva de
sprints ágiles es una
herramienta que el
equipo de auditoría
utiliza para analizar
cómo se entrega el
último sprint con
respecto a las
interacciones, los
procesos ejecutados
y la definición de
“hecho”.
Actividad
Está planificando una próxima auditoría de preparación
regulatoria para su compañía. La compañía tiene
operaciones internacionales y los datos se introducen
en varios sistemas financieros heredados.
Individualmente:
1. ¿Qué tipo de enfoque de auditoría cree que sería mejor
para realizar esta auditoría de SI?
2. ¿Qué tipo de control utilizaría como control principal
para garantizar que solo se envíen datos de ventas a
los sistemas financieros conectados al entorno PCI?
©2024 ISACA. Todos los derechos reservados.
Metodología de muestreo y pruebas de auditoría
©2024 ISACA. Todos los derechos reservados.
Metodología de muestreo y pruebas de auditoría
Se puede llegar a conclusiones válidas mediante el muestreo de auditoría.
Un auditor SI debe considerar el propósito de la muestra:
Pruebas de cumplimiento
(prueba de controles)
Un procedimiento de auditoría
diseñado para evaluar la
eficacia operativa de los
controles en la prevención,
detección y corrección de
debilidades materiales.
©2024 ISACA. Todos los derechos reservados.
Pruebas sustantivas
(prueba de detalles)
Un procedimiento de auditoría
diseñado para detectar debilidades
materiales con respecto a las
afirmaciones.
Pruebas de cumplimiento versus pruebas sustantivas
Pruebas de cumplimiento
Pruebas sustantivas
Recopilan evidencia con el
propósito de probar el
cumplimiento de una compañía
de los procedimientos de control.
Recopilan evidencia para evaluar
la integridad de las transacciones
individuales, los datos y otra
información.
Determinan si los controles están
siendo aplicados de manera que
cumplan con las políticas y los
procedimientos de la gerencia.
Demuestran la integridad del
procesamiento real y prueban la
exhaustividad y precisión de los
datos del informe.
Requieren que el auditor SI
comprenda el objetivo de la prueba
y del control que se está probando.
La cantidad de pruebas necesarias se
correlaciona directamente con el nivel
de controles internos identificados por
las pruebas de cumplimiento.
©2024 ISACA. Todos los derechos reservados.
Relación entre el cumplimiento y las pruebas sustantivas
Revisar el sistema para identificar controles
Probar el cumplimiento para determinar si los controles funcionan
Evaluar los controles para determinar la base de la confianza y la naturaleza, el alcance y el tiempo de
pruebas sustantivas
Usar dos tipos de pruebas sustantivas para evaluar la validez de los datos
Probar saldos y transacciones
©2024 ISACA. Todos los derechos reservados.
Realizar procedimientos de revisión analítica
Muestreo
El muestreo se usa para inferir características de una población según las características de una muestra.
Los dos enfoques generales para el muestreo de auditoría son:
• Muestreo estadístico
• Muestreo no estadístico (muestra por criterio)
Determinar
los objetivos
©2024 ISACA. Todos los derechos reservados.
Definir la
población
Determinar
el método
Calcular el
tamaño de
la muestra
Seleccionar
la muestra
Evaluar la
muestra
Muestreo por atributos
Muestreo por atributos
• También se denomina muestreo por atributos de tamaño de
muestra fijo.
• Se utiliza para calcular la tasa de incidencia de una
característica específica en una población.
Muestreo “parar o seguir”
(stop or go sampling)
• Ayuda a evitar el muestreo excesivo de un atributo.
• Permite detener una prueba de auditoría lo antes posible.
Muestreo de descubrimiento
Se usa a menudo cuando el objetivo de auditoría es descubrir un
fraude, elusión de las regulaciones u otras irregularidades.
©2024 ISACA. Todos los derechos reservados.
Muestreo de variables
El muestreo de variables se refiere a tres tipos de modelos de
muestreo cuantitativo:
Promedio estratificado por unidad
Promedio no estratificado por unidad
Muestreo de estimación de diferencia
©2024 ISACA. Todos los derechos reservados.
Riesgo de muestreo
El riesgo de muestreo surge de la posibilidad de que la conclusión de un auditor SI pueda ser
diferente de la conclusión que se alcanzaría si toda la población se viera sujeta al mismo
procedimiento de auditoría.
Hay dos tipos de riesgo de muestreo:
Riesgo de aceptación incorrecta
Riesgo de rechazo incorrecto
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
El equipo interno de auditoría de SI está auditando los controles sobre
las devoluciones de ventas y está preocupado por los fraudes. ¿Cuál de
los siguientes métodos de muestreo sería mejor para los auditores SI?
A. Parar o seguir (stop-or-go)
B. De variables clásico
C. De descubrimiento
D. De probabilidad proporcional al tamaño
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
Un auditor SI está determinando el tamaño adecuado de la muestra
para probar la existencia de aprobaciones de cambios de programa.
Las auditorías anteriores no indican ninguna excepción, y la gerencia
ha confirmado que no han sido informadas excepciones para el
período de revisión. En este contexto, el auditor SI puede adoptar:
A. un menor coeficiente de confianza, que da como resultado un tamaño
de muestra más pequeño;
B. un mayor coeficiente de confianza, que da como resultado un tamaño
de muestra más pequeño;
C. un mayor coeficiente de confianza, que da como resultado un tamaño
de muestra más grande;
D. un menor coeficiente de confianza, que da como resultado un tamaño
de muestra más grande.
©2024 ISACA. Todos los derechos reservados.
Técnicas de recopilación de evidencia de auditoría
©2024 ISACA. Todos los derechos reservados.
Evidencia de auditoría
Observaciones del
auditor SI
Resultados de
asesores externos
Notas tomadas de
entrevistas
©2024 ISACA. Todos los derechos reservados.
Resultados de
procedimientos de
pruebas de auditorías
Material extraído de
correspondencia y
documentación interna
Confiabilidad de las pruebas de auditoría
Los determinantes para evaluar la confiabilidad de la evidencia de auditoría incluyen:
1
Independencia del
proveedor de la
evidencia
3
Cualificaciones de la
persona que
proporciona la
información/evidencia
2
©2024 ISACA. Todos los derechos reservados.
Objetividad de la
evidencia
Tiempo de
disponibilidad de la
evidencia
4
Técnicas de recopilación de evidencia de auditoría
Revisar las estructuras organizativas de SI
Revisar las políticas y los procedimientos de SI
Revisar los estándares y la documentación de SI
Entrevistar al personal adecuado
Observar los procesos y el rendimiento de los empleados
Repetición de la ejecución
Revisiones (walk-through)
©2024 ISACA. Todos los derechos reservados.
Entrevistar y observar al personal en el desempeño de
sus funciones
La observación del personal en el desempeño de sus funciones ayuda a un auditor SI a identificar:
Funciones reales
Procesos/procedimientos reales
Concientización de la seguridad
Relaciones de subordinación
Desventajas de la observación
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
¿Cuál de los siguientes es el mejor factor para determinar el alcance
requerido de la recopilación de datos durante la etapa de planificación
de una auditoría de cumplimiento de SI?
A.
Complejidad de las operaciones de la compañía
B.
Hallazgos y asuntos destacados del año anterior
C.
Propósito, objetivo y alcance de la auditoría
D.
Familiaridad del auditor con la compañía
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
¿Cuál de las siguientes opciones representa una falta de controles
adecuados?
A.
Impacto
B.
Vulnerabilidad
C.
Activo
D.
Amenaza
©2024 ISACA. Todos los derechos reservados.
Análisis de datos de auditoría
©2024 ISACA. Todos los derechos reservados.
Evaluaciones de pruebas y documentación de los
hallazgos
Un auditor SI puede utilizar el análisis de datos para:
•
Determinar la eficacia operativa del entorno de
control actual
El análisis de datos ayuda a un auditor SI en la fase de
planificación y en la de trabajo de campo de una
auditoría para:
•
Combinar archivos de acceso lógico con
archivos de recursos humanos para usuarios
autorizados
•
Combinar la configuración de la biblioteca de
archivos con los datos de los sistemas de
gestión de cambios
•
Emparejar los registros de entrada con los de
salida para identificar accesos no autorizados a
los registros de seguridad físicos
•
Determinar la eficacia de los procedimientos y
controles antifraude
•
Identificar los errores, mejoras e ineficiencias de
los procesos de negocio en el entorno de control
•
Identificar las excepciones, los fraudes y las
áreas en las que la calidad de los datos es mala
•
•
Realizar una evaluación de riesgos en la fase de
planificación de una auditoría
Revisar los ajustes de configuración de sistemas
o tablas
•
Revisar los registros del sistema en busca de
accesos no autorizado o actividades inusuales
•
Probar la conversión del sistema y la SoD
©2024 ISACA. Todos los derechos reservados.
Proceso de análisis de datos de auditoría
Definir el
alcance
Identificar/
obtener los
datos
• Solicitar datos
• Determinar los
de fuentes
objetivos de
responsables
auditoría/revisión
• Definir las
• Probar una
muestra de los
necesidades,
datos
fuentes y
fiabilidad de los • Extraer los
datos para su
datos
uso
©2024 ISACA. Todos los derechos reservados.
Validar los
datos
Ejecutar las
pruebas
Documentar
los resultados
Revisar los
resultados
Determinar si los
datos son
suficientes y
fiables para
realizar pruebas
de auditoría
mediante:
• Validación de
saldos
Ejecutar scripts y
realizar otras
pruebas
analíticas
Registrar el
propósito de la
prueba, las
fuentes de datos y
las conclusiones
alcanzadas
Garantizar que
una persona
cualificada haya
realizado y
revisado
adecuadamente
los
procedimientos de
prueba
• Conciliación de
datos
Conservar los
resultados
Mantener
elementos de
prueba
importantes,
como:
• Archivos de
programa
• Scripts
• Macros
• Archivos de
datos
Técnicas de auditoría asistidas
por computadora (CAAT)
Las CAAT son herramientas que un auditor SI utiliza
para recopilar y analizar datos durante una auditoría o
revisión de SI e incluyen software de uso generalizado
en auditoría (GAS), software de utilidad, software de
depuración y escaneo, datos de prueba, rastreo y
mapeo de software de aplicación y sistemas expertos.
Un auditor SI debe considerar:
• Facilidad de uso
• Requerimientos de capacitación
• Complejidad de la codificación y del
mantenimiento
• Flexibilidad de uso
• Requerimientos de instalación
• Eficiencias de procesamiento
• Esfuerzo requerido para introducir los datos
fuente en las CAAT para su análisis
• Fiabilidad del software
©2024 ISACA. Todos los derechos reservados.
Documentación
CAAT:
Informes en línea detallando los asuntos de alto
riesgo para revisión
Listas de programas y diagramas de flujo
comentados
Diseños de archivos e informes de muestra
Definiciones de campo e instrucciones operativas
Descripción de documentos fuente aplicables
Auditoría y monitoreo continuos
Los auditores SI utilizan la auditoría continua para monitorear la confiabilidad del sistema de
manera continua y recopilar evidencias de auditoría selectivas por medio de la computadora.
Para entender de manera apropiada las implicaciones y los requerimientos de la auditoría
continua, se hace una distinción entre auditoría continua y monitoreo continuo:
Auditoría continua
Monitoreo continuo
©2024 ISACA. Todos los derechos reservados.
•
Realización de pruebas y evaluaciones en un entorno en tiempo real o casi en tiempo real
•
Permite a un auditor SI informar los resultados en un plazo de tiempo más corto
•
Se utiliza para observar el rendimiento de procesos, sistemas o tipos de datos
•
Por ejemplo, antivirus en tiempo real o sistemas de detección de intrusiones
Técnicas automatizadas de evaluación aplicables a la
auditoría continua
Archivo de revisión de
auditoría de control de
sistemas y módulos de
auditoría integrados
(SCARF/EAM)
Simulación continua
e intermitente (CIS)
Técnicas de
evaluación
automatizadas
Utilidad integrada
para pruebas
Imágenes
instantáneas
(ITF, integrated test
facility)
Avisos de auditoría
©2024 ISACA. Todos los derechos reservados.
Técnicas de auditorías continuas
Las técnicas que se usan para operar en un entorno de auditoría continua deben trabajar en
todos los niveles de datos ―entrada individual, transacción y bases de datos― e incluyen:
Registro de transacciones
(transaction log)
Herramientas de consulta
Estadísticas y análisis de
datos
Sistemas de gestión de
bases de datos
Depósitos de datos, almacén
departamental de datos (data
mart) y minería de datos
Agentes inteligentes
Tecnología de red neural
©2024 ISACA. Todos los derechos reservados.
Estándares, tales como
“Extensible Business
Reporting Language” (XBRL)
Inteligencia artificial en la auditoría de SI
Existen tareas y oportunidades de automatización específicas para la aplicación de
IA/ML en la auditoría de SI.
01
Configuración
de la auditoría
Tarea: Planificar la
auditoría
Alcance de la
automatización: Informes
de evaluación de auditoría
basados en riesgos
©2024 ISACA. Todos los derechos reservados.
02
03
Plan de
auditoría
Trabajo de
campo de
auditoría
Tarea: Documentar los
riesgos y controles clave
Tarea: Evaluar el proceso
de trabajo tal cual es
04
Informes
Tarea: Preparar el informe
de auditoría
Alcance de la
Alcance de la
Alcance de la
automatización:
automatización: Análisis automatización:
basado en palabras clave Automatización de pruebas Visualización de datos de
problemas y riesgos clave
de muestras de datos
Algoritmos de auditoría
Las auditorías incluyen la comprobación de un estado actual
(tal cual es) frente al estado deseado (como debería ser).
Estas comprobaciones dirigen un algoritmo a:
Obtener las versiones “tal cual es” y
“como debería ser”
Un algoritmo completo implica una
prescripción detallada de todas las tareas
generales y cómo realizar cada una de las
subtareas
Realizar las operaciones necesarias
para permitir una comparación
Realizar la comparación
Evaluar los resultados y su importancia
©2024 ISACA. Todos los derechos reservados.
Casos de uso para las técnicas de IA/ML en la
auditoría de SI
Resumen de
texto
Clasificación
de documentos
Análisis
de temas
Búsqueda y
recuperación
Análisis
de opiniones
Análisis
estadístico
Caso de uso:
Caso de uso:
Caso de uso:
Caso de uso:
Caso de uso:
Caso de uso:
Aplicación de
modelos de
clasificación para
asignar documentos
a un tema específico
Combinar palabras,
frases y temas de uso
frecuente para
generar un resumen
en lenguaje natural de
un conjunto de
documentos
Realizar un análisis
en documentos para
identificar temas
únicos que vinculan
documentos o
secciones de
documentos
Evaluar tendencias
de términos, frases o
temas
Extraer y analizar
texto en documentos
para comprender las
opiniones del autor
Uso:
Uso:
• Generar
observaciones e
inferencias de
auditoría
Analizar datos
Buscar en una base
de datos de
información
procesada para
recuperar documentos
que coincidan con los
temas introducidos en
los criterios de
búsqueda
Uso:
•
•
Comprender los
entregables
revisados durante
la auditoría
Hacer inferencias
a partir de
informes de
auditoría similares
anteriores
• Generar
automáticamente
listas de
comprobación
(checklist) de
auditoría
©2024 ISACA. Todos los derechos reservados.
Crear un motor de
reglas de palabras
clave para auditorías
Uso:
•
Hacer inferencias
de informes de
auditoría similares
Uso:
•
Agregar datos
•
Interpretar datos
Uso:
•
Identificar
problemas y
riesgos clave
•
Hacer inferencias
inteligentes y
preparar informes
de auditoría
Interpretación de los resultados de IA/ML
Los auditores SI deben asegurarse de que las pruebas están diseñadas para responder a la pregunta
de si una herramienta puede responder a la pregunta que el auditor está haciendo. Los factores
específicos que se deben considerar incluyen:
Las entradas de datos deben validarse como parte del proceso de auditoría asistido por IA/ML. El
uso de IA/ML es inútil si los datos que analizan no son completos y precisos. El auditor SI debe
asegurarse de que se obtengan datos sin procesar del sistema para el análisis de las conclusiones
de la herramienta de IA/ML.
El auditor SI debe entender la significación estadística de los resultados y debe garantizar que
los resultados sean representativos de todo el universo de auditoría.
El respaldo de las conclusiones reales debe basarse en la información. No entender que los
resultados incluyen suposiciones y salvedades puede crear problemas, especialmente si la
necesidad de pruebas se sustituye por el resultado informático. Por ejemplo, ha habido casos
de sospechosos identificados erróneamente mediante algoritmos de reconocimiento facial
ejecutados en imágenes borrosas.
©2024 ISACA. Todos los derechos reservados.
©2024 ISACA.
Todos los derechos reservados.
Riesgo de auditoría y consideraciones de IA/ML
Las pruebas adecuadas se corroboran
mediante pruebas dirigidas por humanos.
Los programas de IA/ML suelen ser
patentados, y la documentación no detalla
lo que el algoritmo está haciendo, o esto es
algo complejo y difícil de entender.
La corrección de los datos alimentados a
los algoritmos para entrenarlos. Dichos
datos deben cubrir casos tanto habituales
como inusuales. Un entrenamiento
deficiente da lugar a algoritmos que
producen resultados incorrectos.
La tendencia a confiar en la respuesta
de la máquina es fuerte, pero solo está
justificada si se ha probado
exhaustivamente la corrección y la
máquina responde a las preguntas
adecuadas.
El uso de herramientas de IA creadas por
humanos introduce la ética, el sesgo del
juicio humano y los estereotipos.
©2024 ISACA. Todos los derechos reservados.
Estudio de caso
IA en una auditoría de SI
XYZ Bank, una institución financiera global, se enfrentó
a cada vez más desafíos a la hora de realizar
auditorías de SI eficientes y exhaustivas debido a la
creciente complejidad de su infraestructura de TI. El
departamento de auditoría de SI ha tenido dificultades
para mantenerse al día con la gran cantidad de datos
generados, y el banco ha reconocido la necesidad de
contar con soluciones innovadoras.
XYZ Bank pretendía mejorar la eficacia de sus
auditorías de SI incorporando tecnologías de
inteligencia artificial (IA). Los principales desafíos
incluían la necesidad de una identificación más rápida
de anomalías, una gestión proactiva de riesgos y la
capacidad de adaptarse a la naturaleza dinámica de los
entornos de TI modernos.
©2024 ISACA. Todos los derechos reservados.
Sesión informativa del estudio de caso
Veamos el proceso de auditoría y consideremos cómo XYZ Bank puede integrar instancias de
IA/ML en su proceso de auditoría:
•
Configuración de la auditoría: la compañía tiene dificultades para priorizar sus
esfuerzos de auditoría de SI. ¿Cómo podría XYZ Bank aprovechar el monitoreo continuo
de controles u otras técnicas para identificar dónde priorizar sus esfuerzos?
•
Plan de auditoría: XYZ Bank busca adherir su actual biblioteca de evaluación y control
de riesgos a un marco de control estándar. ¿Cómo podría aprovecharse la IA para agilizar
este proceso?
•
Trabajo de campo de auditoría: los procedimientos de auditoría tradicionales han
implicado pruebas manuales de formularios de acceso de usuario para múltiples atributos.
¿Cómo podría el equipo de auditoría de SI reducir la carga de pruebas para este tipo de
procedimiento de auditoría?
•
Informes de auditoría: en el pasado, XYZ Bank ha aprovechado las hojas de cálculo
para facilitar el trabajo de campo de auditoría y la base para los informes de auditoría.
¿Cómo se podría utilizar la IA/ML para agilizar el proceso de informes para XYZ Bank?
©2024 ISACA. Todos los derechos reservados.
Técnicas de informes y comunicación
©2024 ISACA. Todos los derechos reservados.
Comunicación de los resultados de la auditoría
Durante la entrevista de salida, un auditor SI debe:
Asegurar que los
hechos presentados
en el informe sean
correctos y
materiales
©2024 ISACA. Todos los derechos reservados.
Asegurar que las
recomendaciones
sean realistas y
rentables y, si no lo
fueran, buscar
alternativas
negociando con la
gerencia del
auditado
Sugerir fechas de
implementación
para las
recomendaciones
acordadas
Objetivos de los informes de auditoría
Los seis objetivos de los informes de auditoría son:
©2024 ISACA. Todos los derechos reservados.
Presentar formalmente los
resultados de la auditoría al
auditado (y al cliente de auditoría,
si es diferente del auditado)
Servir como referencia valiosa para
cualquier parte que investigue al
auditado o el tema de auditoría
Servir como cierre formal de
la asignación de auditoría
Servir como base para una auditoría
de seguimiento si se presentaron los
hallazgos de la auditoría
Proporcionar declaraciones de
garantía e identificar las áreas que
requieren acciones correctivas y
recomendaciones relacionadas
Promover la credibilidad de la
auditoría a través de un informe
bien desarrollado y bien redactado
Estructura y contenido del informe de auditoría
Introducción del informe
• Objetivos de la auditoría
• Limitaciones de la
auditoría y alcance
• Periodo de cobertura de
la auditoría
• Declaración sobre la
naturaleza y el alcance
de los procedimientos
de auditoría realizados y
los procesos
examinados
• Declaración sobre la
metodología y las
directrices de auditoría
de SI
©2024 ISACA. Todos los derechos reservados.
Hallazgos de
auditoría
•
•
En secciones
separadas
Agrupados por
materialidad o
destinatario previsto
Conclusión del
auditor
•
Riesgo potencial
identificado debido
a deficiencias
detectadas
•
Pérdidas para la
gerencia
•
Acciones para
mejorar
Reservas o
calificaciones del
auditor
•
Si se determina que
los controles o
procedimientos son
adecuados
•
Respaldadas por
pruebas
Documentación de auditoría
El registro escrito que proporciona el apoyo para las conclusiones en el informe del auditor
con el fin de demostrar que la auditoría cumplió con los estándares.
Debe incluir un registro de:
• La planificación y preparación del alcance y de
los objetivos de la auditoría
• La descripción del área de auditoría incluida
• El programa de auditoría
• Los pasos de auditoría realizados y la evidencia
recopilada
• El uso de servicios de otros auditores y expertos
• Los hallazgos, las conclusiones y las
recomendaciones de auditoría
• La documentación de auditoría relacionada con
la identificación y fechas de los documentos
©2024 ISACA. Todos los derechos reservados.
Los documentos deben incluir información
requerida por leyes y regulaciones, estipulaciones
contractuales y estándares profesionales.
Un auditor SI debe ser capaz de preparar
documentos de trabajo, narrativas, cuestionarios y
diagramas de flujo del sistema adecuados que
sean el puente entre los objetivos de auditoría y el
informe final. Estos documentos deben proveer
trazabilidad y responsabilización (accountability)
desde los objetivos al informe y desde el informe a
los objetivos.
Actividades de seguimiento
Las auditorías no son eficaces
si los auditores SI no realizan
un seguimiento de las acciones
correctivas de la gerencia, por
lo que deben considerarse los
programas de seguimiento.
El plazo del seguimiento
dependerá de la criticidad de
los hallazgos y está sujeto al
criterio del auditor SI.
El nivel de seguimiento de un
auditor SI variará de una
situación a otra.
©2024 ISACA. Todos los derechos reservados.
Tipos de informes de auditoría de SI
Los informes de auditoría de SI se ven
influenciados por el tipo de asignación de
auditoría, los requerimientos de informes de
auditoría de SI, los estándares de aseguramiento
y los requerimientos establecidos entre la
organización de auditoría y el auditado.
Pueden surgir situaciones en las que se
necesiten múltiples informes, como un informe
de seguridad confidencial junto con un informe
general, para gestionar la difusión de
información técnica detallada.
La organización y el contenido específico del
informe están determinados por el alcance y los
objetivos de la asignación de auditoría y el nivel
de examen que se requiere para los procesos y
sistemas de TI.
Existen diferencias entre las asignaciones de
revisión, examen y procedimiento, cada una con
diferentes requerimientos en términos de
informes, limitaciones, objetivos, trabajo de
auditoría y niveles de aseguramiento.
©2024 ISACA. Todos los derechos reservados.
Actividad
Ha completado las pruebas del sistema de información de
seguridad y el sistema de monitoreo de eventos de la
compañía. Durante esta revisión, identificó varios hallazgos
significativos:
• Los eventos de amenaza no están siendo detectados.
• Los eventos de amenazas validados no están siendo
reportados.
¿Cuál es el mejor curso de acción para comunicar estos
resultados durante las pruebas?
¿Cuál es el mejor enfoque al comunicar estos hallazgos al
equipo ejecutivo?
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
¿Cuál de las siguientes opciones es el requerimiento principal para
informar los resultados de una auditoría de SI? El informe es:
A. preparado según una plantilla (template) estándar y predefinida;
B. respaldado por evidencia de auditoría suficiente y adecuada;
C. exhaustivo en la cobertura de los procesos de la compañía;
D. revisado y aprobado por la gerencia de auditoría.
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
La acción más apropiada que debe llevar a cabo un auditor SI cuando
se descubren cuentas de usuarios compartidas es:
A. Informar al comité de auditoría sobre el problema potencial
B. Revisar los registros de auditoría para las identificaciones en cuestión
C. Documentar el hallazgo y explicar el riesgo de utilizar identificaciones
compartidas
D. Solicitar que las identificaciones sean eliminadas del sistema
©2024 ISACA. Todos los derechos reservados.
Actividad
Mediante pruebas, el auditor SI determinó que los
eventos de amenaza no se detectan ni se informan.
¿En qué orden recomendaría el auditor que la gerencia
tome acciones correctivas? ¿Qué acción correctiva de
estos hallazgos de SI debe evaluarse primero?
A. Los eventos de amenaza no están siendo detectados.
B. Los eventos de amenazas validados no están siendo
reportados.
C. El monitoreo de seguridad es de solo 40 horas/5 días a
la semana.
D. El personal no está siendo capacitado para operar el
sistema de monitoreo de registros (log).
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
Un auditor SI está revisando los controles de seguridad para un
sistema crítico basado en la web antes de implementarlo. Los
resultados de la prueba de penetración no son concluyentes y no se
completarán antes de la implementación. ¿Cuál de las siguientes
opciones es la mejor para el auditor SI?
A. Publicar un informe basado en la información disponible, destacando
las posibles vulnerabilidades de seguridad y la necesidad de pruebas
de seguimiento de auditoría.
B. Publicar un informe omitiendo las áreas donde la evidencia obtenida
de las pruebas no fue concluyente.
C. Solicitar una prórroga de la fecha de implementación hasta que se
puedan realizar otras pruebas de seguridad y sea posible obtener
evidencia de los controles adecuados.
D. Informar a la gerencia que el trabajo de auditoría no puede ser
completado antes de la implementación y se recomienda que la
auditoría sea pospuesta.
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
El objetivo principal de llevar a cabo una revisión posterior a un
incidente es que presenta una oportunidad para:
A. Mejorar los procedimientos de control interno
B. Fortalecer la red según las buenas prácticas de la industria
C. Resaltar a la gerencia la importancia de la gestión de respuesta a
incidentes
D. Mejorar la concientización de los empleados sobre el proceso de
respuesta a incidentes
©2024 ISACA. Todos los derechos reservados.
Aseguramiento de la calidad (quality assurance)
y mejora del proceso de auditoría
©2024 ISACA. Todos los derechos reservados.
Supervisión del comité de auditoría
El comité de auditoría es responsable de supervisar la función
de auditoría de SI y la interacción con el director ejecutivo de
auditoría.
Si no existe un comité de auditoría, un grupo o persona
designados asume las responsabilidades de supervisión de
la función de auditoría.
Se deben establecer y revisar una función de supervisión
y un monitoreo continuo del rendimiento de la función de
auditoría (incluida la auditoría de SI) mediante informes
periódicos.
©2024 ISACA. Todos los derechos reservados.
Aseguramiento de la calidad (quality assurance)
de la auditoría
La calidad de las auditorías individuales es
responsabilidad del liderazgo de auditoría y
de los líderes de proyecto asignados.
Los procedimientos de auditoría pueden
presentarse de muchas formas, pero deben ser
claramente identificables y conocidos.
©2024 ISACA. Todos los derechos reservados.
Estas personas son responsables de
garantizar que se sigan los procedimientos
de auditoría documentados.
Se debe establecer un proceso de revisión
formal para todos los tipos de auditoría en
función del riesgo y la orientación de fuentes
autorizadas.
Capacitación y desarrollo del equipo de auditoría
Debe establecerse
un plan de
desarrollo formal
para todos los
miembros de la
función de auditoría
de SI.
©2024 ISACA. Todos los derechos reservados.
Este plan debe
incluir los programas
de capacitación y
certificaciones
aplicables por
función dentro de la
función de auditoría
de SI.
El liderazgo de
auditoría de SI debe
asegurar que se
cree un presupuesto
que respalde las
necesidades de
capacitación y
desarrollo para los
miembros del
equipo de auditoría
de SI.
Monitoreo
El monitoreo del cumplimiento de los requerimientos aplicables es un elemento importante para asegurar que la
función de auditoría de SI de la compañía garantice la continuidad del proceso de auditoría dentro de una
organización.
Algunos ejemplos de iniciativas relacionadas con el monitoreo son:
Aseguramiento
de la calidad
(quality
assurance)
de la auditoría
©2024 ISACA. Todos los derechos reservados.
Certificación y
acreditación
Monitoreo
de la
independencia
Educación
profesional
continua
Actividad
Se le asigna realizar una auditoría de SI de los procesos
de aprovisionamiento de usuarios dentro del sistema
financiero de su compañía, que cotiza en bolsa.
El auditor externo ha realizado pruebas para cumplir con
los requerimientos de Sarbanes-Oxley. ¿Cuál cree que
sería la mejor forma de actuar para determinar el
alcance de esta auditoría de TI?
Durante la planificación de su auditoría de TI, el
propietario del proceso identifica un área que necesita
mejorar. ¿Qué técnicas de sistemas de calidad
adicionales se adaptarían mejor a este tipo de
evaluación?
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
Una función de auditoría interna de SI está planificando una auditoría
general de SI. ¿Cuál de las siguientes actividades se lleva a cabo
durante el primer paso de la etapa de planificación?
A. Desarrollo de un programa de auditoría
B. Revisión del estatuto de auditoría
C. Identificación de los propietarios de la información clave
D. Desarrollo de una evaluación de riesgos
©2024 ISACA. Todos los derechos reservados.
Pregunta para analizar
¿Cuál de las opciones siguientes debería utilizar un auditor SI para
detectar registros duplicados de facturas dentro de un archivo maestro
de facturas?
A.
Muestreo por atributos
B.
Uso de técnicas de auditoría asistidas por computadora (CAAT)
C.
Pruebas de cumplimiento
D.
Utilidad integrada para pruebas (ITF, integrated test facility)
©2024 ISACA. Todos los derechos reservados.
Revisión del dominio 1
Como auditor SI, ahora debería poder:
• Planificar una auditoría para determinar si los sistemas de información están
protegidos y controlados, y si aportan valor a la organización
• Realizar auditorías de acuerdo con los estándares de auditoría de SI y una
estrategia de auditoría de SI basada en riesgos
• Comunicar el progreso, los hallazgos, los resultados y las recomendaciones de la
auditoría a las partes interesadas (stakeholders)
• Realizar un seguimiento de la auditoría para evaluar si los riesgos identificados se
han abordado lo suficiente.
• Evaluar la gestión de TI y el monitoreo de controles
• Utilizar herramientas de análisis de datos para mejorar los procesos de auditoría
• Proporcionar servicios de consultoría y orientación a la organización para mejorar
la calidad y el control de los sistemas de información
• Identificar oportunidades de mejora de procesos en las políticas y prácticas de TI
de la organización
©2024 ISACA. Todos los derechos reservados.
Preguntas de práctica
©2024 ISACA. Todos los derechos reservados.
Responder a las preguntas del examen
Lea cada
pregunta
detenidamente
•
•
Todas las preguntas son de opción múltiple y se han diseñado para que elija la mejor
respuesta entre cuatro opciones que se le proporcionan.
Lea toda la pregunta y determine lo que se está preguntando. Busque las palabras clave
(mejor, más, primero) y los términos clave que puedan indicar qué dominio o concepto se
evalúa.
Elimine las
respuestas
incorrectas
conocidas
•
•
Responda todas las preguntas. No hay penalización por
respuestas incorrectas.
Lea todas las opciones y, a continuación, vuelva a leer la
pregunta para ver si puede eliminar alguna de las opciones
basándose en su comprensión inmediata de la pregunta.
Haga la mejor
elección
posible
©2024 ISACA. Todos los derechos reservados.
Vuelva a leer las opciones restantes
y tenga en cuenta cualquier
experiencia personal para
determinar cuál es la mejor
respuesta a la pregunta.
Pregunta de práctica
Un empleado de TI a largo plazo con sólidos antecedentes técnicos y
una amplia experiencia gerencial se ha postulado para un puesto
vacante en el departamento de auditoría de SI. La determinación de si
se contrata o no a esta persona para este puesto debe basarse
principalmente en la experiencia de la persona y en:
A. el tiempo de servicio, ya que esto ayudará a garantizar la competencia
técnica.
B. la edad, ya que la capacitación en técnicas de auditoría puede ser
poco práctica.
C. los conocimientos de TI, ya que esto traerá una mayor credibilidad a la
función de auditoría.
D. la capacidad, como un auditor SI, de ser independiente de las
relaciones de TI existentes.
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
Recientemente, una compañía ha ampliado la capacidad de su
sistema de compras para incorporar transmisiones de intercambio
electrónico de datos (EDI). ¿Cuál de los siguientes controles debe
implementarse en la interfaz EDI para proporcionar un mapeo
(mapping) de datos eficiente?
A. Verificación de claves
B. Verificación individual
C. Nuevos cálculos manuales
D. Reconocimientos funcionales
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
Un auditor SI nota que los intentos fallidos de inicio de sesión en un
sistema financiero principal se registran automáticamente y la
organización mantiene dichos registros durante un año. Este registro es:
A. un control preventivo efectivo
B. un control detectivo válido
C. un control no adecuado
D. un control correctivo
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
Un principal beneficio derivado de una organización que emplea
técnicas de autoevaluación de controles es que:
A. Puede identificar áreas de alto riesgo que podrían necesitar una
revisión detallada más adelante.
B. Permite a los auditores SI evaluar el riesgo de forma independiente.
C. Se puede utilizar como un reemplazo de las auditorías tradicionales.
D. Permite a la gerencia renunciar a la responsabilidad del control.
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
¿Cuál de los siguientes es un atributo del enfoque de autoevaluación
de controles?
A. La participación amplia de las partes interesadas
B. Los auditores son los principales analistas de control
C. Participación limitada de empleados
D. Está basado en políticas
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
¿El efecto de cuál de los siguientes debería tener prioridad en la
planificación del alcance y los objetivos de una auditoría de SI?
A. Requerimientos legales aplicables
B. Estándares corporativos aplicables
C. Buenas prácticas aplicables de la industria
D. Políticas y procedimientos de la organización
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
Un auditor SI debe utilizar un muestreo estadístico y no un muestreo
basado en juicio (no estadístico) cuando:
A. La probabilidad de error debe ser cuantificada de manera objetiva.
B. El auditor quiere evitar el riesgo de muestreo.
C. El software de uso generalizado en auditoría no está disponible.
D. La tasa tolerable de errores no puede ser determinada.
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
¿Cuál de las siguientes formas de evidencia consideraría un auditor SI
como la más confiable?
A. Una declaración oral del auditado
B. Los resultados de una prueba realizada por un auditor SI externo
C. Un informe contable generado internamente por una computadora
D. Una carta de confirmación recibida de una fuente externa
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
En la preparación de un informe de auditoría, el auditor SI debe
asegurarse que los resultados estén respaldados por:
A. Declaraciones de la gerencia de SI
B. Documentos de trabajo de otros auditores
C. Una autoevaluación de controles organizacional
D. Evidencia de auditoría suficiente y apropiada
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
¿Cuál de las siguientes opciones identificará mejor los controles clave
superpuestos en los sistemas de aplicaciones de negocio?
A. Revisar las funciones del sistema que están conectadas con procesos
de negocio complejos
B. Enviar transacciones de prueba a través de una utilidad integrada para
pruebas
C. Reemplazar el monitoreo manual por una solución de auditoría
automatizada
D. Probar los controles para validar que son efectivos
©2024 ISACA. Todos los derechos reservados.
Pregunta de práctica
¿Cuál de las siguientes es la razón principal para realizar una
evaluación de riesgos en la fase de planificación de una auditoría de
SI?
A. Garantizar que se abordan las preocupaciones de la gerencia
B. Proporcionar aseguramiento razonable de que todos los elementos
materiales se abordarán
C. Garantizar que el equipo de auditoría realizará auditorías dentro del
presupuesto
D. Desarrollar el programa de auditoría y los procedimientos para llevar a
cabo la auditoría
©2024 ISACA. Todos los derechos reservados.