cadena de custodia

1. Objetivo:

Tipo de revisión: Tecnología de Información

Objetivos de auditoría Principales: Verificar la adecuación de los controles del sistema de información ERP en los módulos de Contabilidad General (General Ledger – GL) y Activos Fijos (Fixed Assets - FA), y sus procesos asociados durante el período 2010-2012.

Razón de la auditoría: Incluida en el plan anual de Auditorías Internasdel año 2010. La última auditoría Interna, referida al módulo GL del sistema ERP se realizó en el año 2005. En la evaluación de Riesgo del año 2012 la Gerencia de Tecnología Informática la calificó con el puntaje máximo de riesgo (30) y opinó que se planifique la misma para el año 2013.

Áreas principales a auditar: Corresponden las relacionadas con los módulos GL y FA.
Desarrollo de TI.Soporte de TI.
Seguridad Informática.
Analista Funcional - Proyectos Especiales.
Usuarios finales más representativos relacionados con los módulos GL y FA – en especial los referentes de Administración y Finanzas de cada empresa.

Áreas identificadas con mayores riesgos:

Desarrollo de TI.
Analista Funcional.
Usuarios finales


2. Metodología y alcance de la auditoría:

La revisióncomenzará por la recopilación de las Normas y Procedimientos relacionadas con el área de Tecnología Informática que hacen referencia a la administración de los módulos involucrados.
Seguirá con una entrevista (Telefónica o in situ dependiendo de disponibilidad) con el Gerente de TI y el Administrador del a Seguridad radicados en CABA a fin de evaluar el ambiente de control y las incidencias deseguridad relacionadas con el aplicativo ERP y sus registros.
A continuación se realizará un entrevista con el Responsable de Desarrollo de TI y con la Analista Funcional del Aplicativo en donde se evaluarán la administración de las incidencias.
De las incidencias significativas del período en evaluación se revisará el procedimiento de definición de necesidades, adaptación y cambio por parte delusuario y/o analista funcional. También se verificará que las adaptaciones realizadas se encuentren de acuerdo a lo requerido, se hayan realizado las pruebas por personal autorizado, en un ambiente de desarrollo adecuado y exista una aprobación final por el dueño de los datos para el pasaje al ámbito productivo.
Se evaluarán los accesos realizados por el área de sistemas para solucionar situacionesde emergencias y que estos cuenten con un procedimiento adecuado, se documenten y autoricen.
Con el administrador de la Base de Datos se evaluará que los requerimientos de cambios y actualizaciones a las tablas por adaptaciones se encuentren documentados y autorizados.
Con la Analista Funcional se revisará el procedimiento de alta, baja y modificaciones de usuarios, verificando para el períodoen evaluación la documentación disponible, la correspondencia de Perfil/Puesto y la adecuada segregación de funciones.
Se verificará que no existan accesos directos a las bases para realizar modificaciones a los datos. Asimismo se revisará que, para cada acceso de solo lectura que se posea a la Base de Datos, existan las correspondientes autorizaciones del dueño de los datos y de que estosusuarios no registren movimientos en las tablas de transacciones de los módulos GL y FA.
Se controlará que todas las transacciones identificadas como de alto riesgo posean las identificaciones de usuarios, fecha y hora de realización. Se verificarán las transacciones realizadas en algunos días feriados y fines de semana.
De todos los tipos de movimientos (asientos, importaciones del SGC,amortizaciones, etc.) que impactan en los módulos GL y FA se revisará la secuencialidad numérica.
De todas las transacciones realizadas en el período en evaluación se tomará una muestra significativa de cada tipo de transacción para verificar que la información analítica es igual a la sintética.
Con los usuarios finales se evaluará los controles sobre los procesos críticos como cierres mensuales y emisión...