El departamento de auditoria

5.3.4 Estructura del departamento de auditoría de SI

Para dimensionar y estructurar el departamento de auditoría de SI debemos tomar parámetros de la organización donde este estará inmerso. Algunos parámetros claves son:

• Tamaño de la organización. Su faceta de diversidad de procesos de negocio que desarrolla, diversificación de productos o servicios que proporciona.

•Dependencia de los negocios de la organización de las TI: Parámetro más importante en el análisis que se está efectuando. Este valor debería estar claramente recogido en el análisis de riesgo que se le realiza a la organización.

• Topologías de los Sistemas de Información: Considerar el grado de centralización/descentralización de los sistemas, las diferentes tecnologías usadas, número ylocalización de proveedores e importancia de los procesos externalizados.

• Ubicación Geográfica: localización geográfica de los diferentes centros productivos o de gestión de la entidad, y su importancia relativa en los procesos de negocio.

Estos cuatros parámetros nos ayudaran a establecer dos aspectos clave de la estructura del departamento de SI:

• Dimensión del departamento: número depersonas que deben formar parte de ella.

• Localización del departamento: lugares físicos donde contar con recursos del departamento.

Debido a que cada organización es diferente a las demás, independientemente que operen en el mismo sector o región, es difícil poder aportar estándares a esas dos cuestiones. Cada entidad debe analizar su propia organización y valorar cómo y dónde establecerla función de auditoría. Se puede establecer un plan a diferentes años, con crecimiento periódico previsto, que permita ir ajustándolo hasta encontrar la dimensión y localización óptima.

La dimensión está muy relacionada, no sólo a los cuatros aspectos mencionados, sino también a la sensibilidad que los órganos de gobierno y dirección de la organización tengan sobre el control interno.

Encuanto a la localización, resaltar algunas ideas al respecto:

• Es importante que la función de auditoría esté presente en aquellas ubicaciones geográficas que sean importantes para el negocio de la organización. Concentrar la función de auditoría puede provocar perdida de conocimiento sobre la realidad de dichas localizaciones.

• La localización de los recursos del departamento deauditoría de SI debe estar alineada con la estructura topológica de los SI de la organización, Para ser más eficiente en la labor de auditoría.

• Los aspectos relacionados con la metodología y herramientas con la que se realizan los trabajos de auditoría de SI deben ser únicos y por tanto pueden ser definidos y gestionados desde una única ubicación.

Otros aspectos de interés para evaluarcada alternativa:

• Interés en mantener una mayor proximidad con los gestores de cada empresa.

• Política interna de distribución de costos.

• Grado de especialización de cada negocio con el consiguiente efecto en el perfil de conocimientos de los auditores que los revisan.

5.3.5 El Estatuto de auditoría de SI

Para desarrollar la misión y funciones definidas aldepartamento de autoría de SI, está debe contar con un estatuto o marco normativo que le proporcione autoridad sobre toda la organización e independencia de sus órganos de gestión y dirección. Estos dos atributos son esenciales para el correcto y adecuado desempeño de las labores que debe desarrollar un auditor de sistemas, y su inexistencia puede hacer fracasar la función de auditoría de los SI olimitarla de forma que su actividad no tenga sentido dentro de la organización.

Las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna establecen que ¨El propósito, la autoridad y la responsabilidad de la actividad de auditoría interna deben estar formalmente definidos en un Estatuto, el cual debe estar aprobado por el Consejo de Administración de la Organización¨.

En el...