Auditoria Con Cobit

PONTIFICIA UNIVERSIDAD CATÓLICA DEL PERÚ
FACULTAD DE CIENCIAS E INGENIERÍA

METODOLOGÍA PARA LA AUDITORÍA INTEGRAL DE LA GESTIÓN DE LA TECNOLOGÍA DE INFORMACIÓN

Tesis para optar por el Título de Ingeniero Informático, que presenta el Bachiller: Emigdio Antonio Alfaro Paredes

ASESOR: Abraham Eliseo Dávila Ramón

Lima, Octubre 2008

TESIS: METODOLOGÍA PARA LA AUDITORÍA INTEGRALDE LA GESTIÓN DE TECNOLOGÍA DE INFORMACIÓN RESUMEN
De la revisión de la literatura sobre estándares internacionales de calidad relacionados a la gestión de tecnología de información (COBIT, ISO/IEC 12207, ISO/IEC 17799, ISO/IEC 20000 (ITIL), PMBOK, ISO/IEC 27001, IEEE 1058-1998, ISO 9001:2000 e ISO 19011:2002), MoProSoft 1.3, y las normas relacionadas a la auditoría informática en el EstadoPeruano, se concluye que no existe una metodología para la auditoría integral de la gestión de la tecnología de información. Los enfoques actuales están basados sobre el proceso general de auditoría sumándoles las inclusiones no integradas de los diversos estándares de calidad internacional, o las normas vigentes para las entidades que son sujetas de evaluación en una auditoría. El objetivo dela tesis fue el desarrollo de una metodología para la auditoría integral de la gestión de la tecnologías de información (MAIGTI), con un enfoque de procesos, basado en estándares de calidad internacionales. MAIGTI enlaza los diversos conceptos de COBIT, ISO/IEC 12207, ISO/IEC 17799, ISO/IEC 20000 (ITIL), Y PMBOK, sobre la base de una simplificación del proceso general de auditoría descritoen la norma ISO 19011:2002, y sobre la base de una adaptación del esquema de procesos de la ISO 9001:2000 (ISO, 2000). MAIGTI comprende los siguientes elementos: (a) objetivo (la finalidad de la auditoría), (b) alcance (detalle de lo que está incluido y lo que no está incluido como parte de la auditoría), (c) entradas (requerimientos de información), (d) proceso de MAIGTI (evaluaciones arealizar) y (e) salidas (papeles de trabajo e informe de auditoría). Asimismo, cada uno de los procedimientos para la evaluación de los principales objetivos de control dentro de los subprocesos de MAIGTI, comprende la siguiente estructura: (a) objetivo (la finalidad del procedimiento de auditoría), (b) alcance (detalle de lo que está incluido y lo que no está incluido como parte de la auditoría arealizarse a través del procedimiento), (c) entradas (requerimientos de información para ejecutar el procedimiento de auditoría), (d) proceso (detalle de los pasos a seguir en el procedimiento de auditoría), y (e) salidas (hallazgos evidenciados como resultado de la ejecución del proceso). En los procedimientos descritos en el anexo 1, se ha detallado como salidas, algunos hallazgos posiblesque se derivan como resultado de la experiencia de las aplicaciones de MAIGTI en auditorías realizadas por el autor de la tesis. MAIGTI ha sido aplicada principalmente a 2 empresas de seguros y de manera parcial 8 entidades más, auditadas por el autor de la tesis, siendo aplicable para entidades usuarias de tecnología de información. Se recomienda ampliar MAIGTI o crear otra metodología,para la auditoría integral de la gestión de tecnología de información en entidades proveedoras de servicios de tecnología de información.

A mis padres Emigdio y Hortensia, por su incansable apoyo incondicional. A mi esposa Miriam por su aliento que me ha permitido lograr mis objetivos. A la memoria de mi hijo Emigdio, quien me dio los mejores cinco años de mi vida. A todos mis profesores, enespecial a mi Asesor, Mg. Abraham Dávila, quien con sus valiosos aportes, me ha permitido lograr esta tesis.

2

ÍNDICE LISTA DE FIGURAS ............................................................................................................ 7 INTRODUCCIÓN ................................................................................................................. 8 1....