GESTION_DE_RIESGOS_Y_LA_AUDITORIA_DE_SISTEMAS

Gestión de Riesgos y la
Auditoria de Sistemas
Jorge A. Serrano, CISA

Conferencia OLACEFS
Santiago de Chile Junio 2006

Gestión de Riesgos y la
Auditoria de Sistemas
Jorge A. Serrano, CISA

Conferencia OLACEFS
Santiago de Chile Junio 2006

materias
• Los procesos de control y auditoria basados en
riesgos
– cambios en la visión del control
– impacto global del modelo COSO2
–evolución de tecnologías y modelos de control

• Modelos y enfoques metodológicos en uso para la
auditoría enfocada a los riesgos
• Herramientas automatizadas para la sustentación de
los procesos de Auditoria. Beneficios
• La auditoria de sistemas gubernamental – Alcances
y Objetivos
Anexo1: Cobit y los principales riesgos en TIs

Cambios en la visión del control
-

Pasado
PresenteInspección y control directo
- Potenciamiento del control en las líneas
Orientación policial
- Orientación a la mejora continua
Orientación funcional
- Orientación a los procesos
Accionistas pasivos (pocos)
- Accionistas activos (muchos)
Controles externos
- Controles integrados a los sistemas
Acceso limitado a información - Acceso abierto a la información.
Responsabilidad delAuditor
- Responsabilidad de la Alta Administración
Orientación de auditorías
- Orientación de las auditorias a Riesgos
a los Procedimientos
Independencia de acción
- Uso de estándares y metodologías
Control por líneas/temas
- Gobierno Corporativo

COSO 2: Una visión Integrada del Control
Componentes del Control Interno:
•

El Ambiente de control

•

La Evaluación de riesgos

•Las Actividades de control

•

La Información y las Comunicaciones

•

El Monitoreo ( evaluación - mantención del C.I.)

El gran cambio...

Estos 5 componentes cruzan a los tres objetivos de
control interno que establece COSO: Eficiencia y Eficacia
de las Operaciones; Fiabilidad de la Información
Financiera y Cumplimiento de Leyes y Normativas

RE
P
FIN ORT
E
AN
CIE S
ROS
CU
MP
LIM
IEN
TO

MONITOREO
INFORMACION Y
COMUNICACION
ACTIVIDADES DE
CONTROL
EVALUACION DE
RIESGOS

CO
INF FIA
OR BIL
MA IDA
CIO D
N

EF
EF ICA
ICI CI
EN A &
CIA

AMBIENTE DE
CONTROL

Objetivos del Control Interno

CU
MP
LIM
IEN
TO

Elementos
del Control
Interno

ACTIVIDAD 2
ACTIVIDAD 1 UNIDAD B
UNIDAD A

OP
ER
AC
IO
NE
S

COSO: Relacionesde Componentes y Objetivos

ACTIVIDADES
DE CONTROL

La Evaluación de Riesgos según COSO

“La evaluación del riesgos consiste en la
identificación y análisis de los factores que
podrían afectar la consecución de los
objetivos, y, en base a dicho análisis,
determinar la forma en que los riesgos
deben ser gestionados”.

Esta simple declaración es la base de la revolución deltratamiento de la gestión de riesgos, las metodologías de
auditoria y la gestión del tema gobiernos corporativos...

Hitos en la evolución del Control y Gestión de
Riesgos a partir de COSO 2
Cobit 4

2006

Basilea2: 2001
Sarbanes -Oxley

Turnbull: UK
Cobit: USA

Gobiernos Corporativos

King: S.Africa
Tecnologías de Risk Management
COCO : Canada
Cadbury: UK

Autoevaluación (CSA)Modelos de Auditoría basados en riesgos

COSO: 1992
ISOs

Las evoluciones de los modelos de control
y su impacto en la auditoria de sistemas
• Normas y metodologías específicas para la
gestión y control de las TIs:
•
•
•
•
•
•

BS7799
CMM, CMMI
ISOs 9126, 15505, 17999
NIST
ITIL
COBIT 4

¿cuáles de ellas estamos aplicando?

Modelo base para gestinar Riesgos y
ControlesPoniendo los riesgos y controles en el contexto de
objetivos de la organización ...
Objetivos + Riesgos - Control = Exposición

Impacto

Exposición
inaceptable
Precaucióó n
Precauci
Exposició n
Exposició
aceptable
Incertidumbre

Exposición = Riesgo - Control
(E = R-C)

Una Metodología de Auditoria basada en el
modelamiento y evaluación de riesgos.
.

1
Comprensión del...