El documento describe los pasos clave en la planificación de una auditoría informática. Explica que la planificación implica identificar los recursos, procedimientos y acciones necesarios para realizar el trabajo de auditoría de manera efectiva. También detalla las 7 fases típicas de una auditoría, que incluyen el entendimiento del sistema, análisis de riesgos, controles y elaboración del informe. Finalmente, enfatiza la importancia de contar con personal capacitado y experiencia en diferentes áreas como informática, finanzas y sistemas para llevar a

2. AUDITORIA INFORMÁTICA.
Planificación Es el proceso consciente de selección
y desarrollo del mejor curso de acción para lograr el
objetivo. La planificación de la auditoría: es un
conjunto de procedimientos documentados y
diseñados para alcanzar los objetivos de auditoría
planificados. En la Planificación se identifica los
recursos, procedimientos y acciones que se
necesitan para realizar el trabajo Una planificación
adecuada es el primer paso necesario para realizar
auditorías de sistema eficaces. El auditor de
sistemas debe comprender el ambiente del negocio
en el que se ha de realizar la auditoría así como los
riesgos del negocio y control asociado.

3. FASES DE LA AUDITORIA.
Fase I: Conocimientos del Sistema
Fase II: Análisis de transacciones y recursos
Fase III: Análisis de riesgos y amenazas
Fase IV: Análisis de controles
Fase V: Evaluación de Controles
Fase VI: El Informe de auditoria
Fase VII: Seguimiento de las Recomendaciones

4. Entendimiento general de la entidad: Consiste en identificar las relaciones entre el
Departamento de TI y su entorno (legal, regulatorio, cultura, procesos), entender la
organización, sus objetivos, estrategias, capacidades y habilidades, así como identificar
todos aquellos objetos (áreas, procesos, proyectos, etc.) del área de TI que están expuestos
a riesgos.
Análisis de riesgos: El objetivo de esta fase es desarrollar un análisis de riesgos que permita
identificar que plataforma de tecnología y sistemas de información, son los más críticos
para la operación de la Entidad, con el objeto de desarrollar el plan de trabajo, enfocado en
dichos sistemas y plataformas.
Plan inicial: En función de los resultados del análisis de riesgos realizado y la normativa de
control de tecnología aplicable a la Entidad, elaboraremos un plan inicial de auditoría,
describiendo el enfoque de evaluación para los controles generales del computador y ciclos
de negocio (controles automáticos

5. PLANIFICACIÓN ESTRATÉGICA.
La planificación estratégica, como primera etapa del proceso de
planificación, reúne el conocimiento acumulado de la organización, la
información adicional obtenida como consecuencia de un primer
acercamiento a las actividades ocurridas en el periodo a auditar y resume
este conocimiento en la definición de decisiones preliminares para cada
componente. Corresponde definir cual es el concepto de componente. Para
simplificar la planificación de auditoría, cada ente se divide en partes
manejables denominadas “componentes”.
El proceso de identificación de componentes debe reflejar una
perspectiva “de arriba hacia abajo” y concentrarse en los asuntos
significativos.

7. CONOCIMIENTO ACUMULADO
La comprensión del negocio del ente es fundamental para realizar una
planificación efectiva y una auditoria eficiente. El conocimiento adquirido en
trabajo de auditoria recurrente para un ente, en particular tiene un valor
agregado que debe aprovecharse en años sucesivos.
En una auditoria recurrente, se acumulan conocimientos sobre el negocio, su
medio de control, su gerencia y sus sistemas de información. Además, la
evidencia de auditoria obtenida como parte de exámenes anteriores, por lo
general continúa teniendo relevancia.

8. OBTENCIÓN DE INFORMACIÓN ADICIONAL
Luego de reunir el conocimiento de auditoria acumulado, corresponde revisar que
sucedió desde la última visita para poder definir la estrategia cumplir. Además, en esta
etapa se analizan ciertos temas que son aplicables a la auditoria en su conjunto.
En primer lugar se definen los “términos de referencia”. La definición de
los términos de referencia consiste en determinar cuales son las responsabilidades que
el auditor asume en el trabajo, cuales serán las responsabilidades en materia de
informes, cuales serán las expectativas, informes especiales e instrucciones que
deberán ser completadas, restricciones al alcance del trabajo, si las hubiera, etc. Luego
de analizar que sucedió en el negocio de la organización y cuales son sus riesgos
inherentes, es esencial contar con suficiente información acerca del negocio a fin de
evaluar el medio en el cual opera, los individuos que conducen la empresa y los factores
que influyen sobre su éxito o fracaso. Luego corresponde analizar que sucede en el
ambiente del sistema de información. Una parte integral del conocimiento del
negocio y de los sistemas que registran sus transacciones es el desarrollo de una
comprensión global de los sistemas de información presentes

9. DECISIONES PRELIMINARES PARA LOS COMPONENTES
En este momento es cuando se divide el conjunto de la labor de auditoria en partes
manejables denominadas componentes.
Pueden existir circunstancias donde la empresa tenga tal dimensión, diversificación
de líneas
de producción, subsidiarias
o divisiones importantes que a su vez
el en la definición de este enfoque
concurren el análisis de dos elementos
presentes en cada componente, ellos
son, el ambiente de control y los riesgos
inherentes. El ambiente de control
permitirá determinar que grado de
control y que grado de confianza se puede
depositar en los controles existentes
en los sistemas de información y
contabilidad del ente. Un análisis del
ambiente de control y del riesgo inherente permitirá concentrar la labor de auditoria
total en aquellas áreas que presenten mayor riesgo.

10. REVISIÓN PRELIMINAR
El primer paso en el desarrollo de la auditoría, después de la planeación, es la revisión preliminar
del área de informática. El objetivo de la revisión preliminar el auditor puede proceder en uno
delos tres caminos siguientes.
Diseño de la auditoría. Puede haber problemas debido a la falta de competencia técnica para
realizar la auditoría.
Realizar una revisión detallada de los controles internos de los sistemas con la esperanza de que
se deposite la confianza en los controles internos de los sistemas y de que una serie de pruebas
sustantivas puedan reducir las consecuencias.
Decidir el no confiar en los controles internos del sistema. Existen dos razones posibles para
esta decisión.
Primero, puede ser más eficiente desde el punto de vista de costo-beneficio el realizar pruebas
sustantivas directamente.
Segundo, los controles del área de informática pueden duplicar los controles existentes en el área
del usuario.
El auditor puede decidir que se obtendrá un mayor costo-beneficio al dar una mayor confianza a
los controles de compensación y revisar y probar mejor estos controles.

11. La revisión preliminar significa la recolección de
evidencias por medio de entrevistas con el
personal de la instalación, la observación de las
actividades en la instalación y la revisión de la
documentación preliminar. Las evidencias se
pueden recolectar por medio de cuestionarios
iníciales, o bien por medio de entrevistas, o con
documentación narrativa.
Debemos considerar que ésta
será sólo una información
inicial que nos permitirá
elaborar el plan de trabajo,
la cual se profundizará en
el desarrollo de la auditoría.

12. PERSONAL PARTICIPANTE
Una de las partes más importantes en la planeación de la
auditoría en informática es el personal que deberá participar.
En este punto no veremos el número de personas que
deberán participar, ya que esto depende de las dimensiones
de la organización, de los sistemas y de los equipos; lo que se
deberá considerar son las características del personal que
habrá de participar en la auditoría.
Uno de los esquemas generalmente aceptados para tener un adecuado control es que el
personal que intervenga esté debidamente capacitado, que tenga un alto sentido de
moralidad, al cual se le exija la optimización de recursos (eficiencia) y se le retribuya o
compense justamente por su trabajo. Con estas bases debemos considerar los
conocimientos, la práctica profesional y la capacitación que debe tener el personal que
intervendrá en la auditoría.

13. En primer lugar, debemos pensar que hay personal asignado por la
organización, que deba tener el suficiente nivel para poder coordinar el
desarrollo de la auditoría, proporcionarnos toda la información que se solicite y
programar las reuniones y entrevistas requeridas. Éste es un punto muy
importante ya que, de no tener el apoyo de la alta dirección, ni contar con un
grupo multidisciplinario en el cual estén presentes una o varias personas del
área a auditar, será casi imposible obtener información en el momento y
con las características deseadas. También se debe contar con personas
asignadas por los usuarios para que en el momento que se solicite
información, o bien se efectúe alguna entrevista de comprobación de
hipótesis, nos proporcionen aquello que se está solicitando, y complementen
el grupo multidisciplinario, ya que debemos analizar no sólo el punto de vista
de la dirección de informática, sino también el del usuario del sistema.

14. Para complementar el grupo, como colaboradores directos en la realización de
la auditoría, se deben tener personas con las siguientes características:
 Técnico en informática.
 Conocimiento de administración, contaduría y finanzas.
 Experiencia en el área de informática.
 Experiencia en operación y análisis de sistemas.
 Conocimientos y experiencia en psicología industrial.
 Conocimiento de los sistemas operativos, bases de datos, redes y
comunicaciones, dependiendo del área y características a auditar.

15. En el caso de sistemas complejos se deberá contar con
personal con conocimientos y experiencia en áreas específicas
como base de datos, rede, comunicaciones, etcétera. Lo
anterior no significa que una sola persona deba tener los
conocimientos y experiencias señaladas, pero sí que deben
intervenir una o varias personas con las características
apuntadas.

16. CONCLUSIÓN
La creciente importancia asignada a los sistemas de información como
ayuda inestimable e imprescindible en el desarrollo de los procesos de
negocio, aportando información, que apoye la correcta toma de
decisiones, se le atribuye esa misma importancia a la auditoría de los
sistemas de información.
La planificación de la auditoria de sistemas de información, si bien es
una etapa de la auditoria, es un proceso en si mismo, son una serie de
actos u operaciones que conducen a un fin específico.
Ese fin será determinar cuales serán los procedimientos de auditoria a emplear que permitan obtener
la satisfacción necesaria para emitir una opinión mediante un informe que apoye a las organizaciones.
Una planificación adecuada es el primer paso necesario para realizar auditorías de sistema eficaces, el
auditor de sistemas debe comprender el ambiente del negocio en el que se ha de realizar la auditoría
así como los riesgos del negocio y control asociado. La auditaría de sistemas es un examen crítico
que se realiza con el fin de evaluar la eficacia y eficiencia de los sistemas que operan en la
organización. Es una herramienta poco conocida y muy valiosa a la hora de tomar decisiones en lo que
a TIC/SI se refiere. Una auditoría(externa o interna) nos brinda la información necesaria para tomar
decisiones sobre una base sólida y con garantías de éxito.