El documento describe la responsabilidad del control interno en las organizaciones, enfatizando la evaluación auditiva y el uso de diversos instrumentos como cuestionarios y diagramas de flujo en ambientes informáticos. Se detallan los procesos de compras en la empresa, desde la planificación del requerimiento hasta la liquidación de la factura, así como la importancia de la organización y operación del área informática. También se presentan normas para el acceso a sistemas, entrada y salida de datos, y seguridad en el manejo de información, junto con directrices para la administración y aprovechamiento de recursos computarizados.

3. El control interno es responsabilidad de los directivos y administradores pero la evaluación es responsabilidad del auditor. Para la evaluación del control interno en ambientes informáticos se utiliza : Cuestionarios de control interno o listas de chequeo (checklist) Descriptivas o narrativas Diagramas de flujo Diagramas de proceso

7. PROCESO: COMPRAS AREA DE COMPRAS PUESTO: JEFE DE PRODUCCIÓN I. ACTIVIDADES DEL PROCESO 1 .- Planteamiento del Requerimiento 2 .- Selección de ofertas 3 .- Pedido a proveedores 4 .-Entrega Recepción del producto 5 .- Liquidación de la factura II. DESCRIPCIÓN DEL PROCEDIMIENTO. 1.- Planteamiento del Requerimiento El Jefe de Producción y el Bodeguero verifican las existencias en el kardex y determina las necesidades de cada producto. 2.- Selección de ofertas El Jefe de Producción: Revisa en la base de datos de la Empresa las cotizaciones de los proveedores, las características y selecciona al proveedor. Elabora una Orden de Requisición especificando la cantidad de producto, las características y el precio. Pasa la Orden de Requisición a Gerencia para su respectiva revisión y aprobación con la firma de la misma. Gerencia aprueba la Orden de Requisición.

8. 3. - Pedido al proveedor Una vez que la Gerencia ha aprobado la Orden de Requisición, el Jefe de Producción contactará al proveedor para que verifique el stock requerido. El Jefe de Producción envía la Orden de Requisición por fax al proveedor, la que contiene fechas y plazos de entrega, entre otros datos. 4. Entrega Recepción del Producto Proveedor o Bodeguero avisan de la llegada del producto. La mercadería es revisada por la jefe de producción para conocerse si cumple los requerimientos de la Orden de Requisición que se envió y factura. Si es conforme la mercadería, el Jefe de Producción firma la respectiva factura que recibió conforme y entrega a Contabilidad para el correspondiente pago. En caso de no conformidad, la Jefe de Producción devuelve. Una vez recibida la mercadería, ésta pasa a Bodega para su almacenamiento y custodia. 5.-Liquidación de la factura La respectiva factura ingresa a Contabilidad y registra la mercadería y prepara la Orden de Producción y Comprobante de Retención. La Tesorera elabora el cheque y registra en el talonario de la chequera señalando la fecha, el valor y para quien fue dirigido. El cheque es enviado a Gerencia para su aprobación adjuntando al Comprobante de Egreso, Factura y Orden de Pago. La Tesorera contacta al proveedor para indicarle que el cheque está listo. El Proveedor se acerca a Tesorería y firma la recepción conforme del cheque y retención. Tesorería archiva la copia de la Orden de Pago, y la factura.

9. Flujodiagramación Consiste en representar en forma gráfica y secuencial los procedimientos más significativos de un proceso o sistema administrativo o de procesamiento de datos. Ventajas

13. DIAGRAMAS DE PROCESO Resulta más fácil para la representación de los procesos administrativos, especialmente para aquellos auditores que no tienen mayor experiencia en diagramación y además porque el comentario de las desviaciones se identifica directamente con la actividad observada

14. Normas para la elaboración de flujogramas

17. Guía para utilizar los diagramas de flujo en la evaluación de control interno Recopilar toda la información y documentos para la elaboración del diagrama de flujo Elaborar la descripción o narración del proceso, conservando la secuencia y detallando cada actividad. Elaborar el primer borrador del diagrama de flujo de los procedimientos incluidos en el examen o auditoría. Al primer borrador realizar pruebas de cumplimiento para asegurar que se ha graficado lo más relevante del proceso. Primer elemento del hallazgo que es la condición. Comparar el diagrama definitivo con manuales, instructivos, normas, políticas, etc., es decir todo lo que constituye dentro del hallazgo el criterio. De la comparación se determina las desviaciones de control interno que deben constar en el diagrama de flujo elaborado por el auditor y que va a ser el efecto.

18. Junto con el símbolo del procedimiento en donde hay la desviación poner las marcas de auditoria dentro del símbolo utilizado para el efecto ( ) = Comentario referente a formularios = Comentario referente a documentación = Comentario referente a controles manuales = Comentario referente a registros = Comentario referente a funciones = Comentario referente a legalización de documentos = Comentario referente a errores de digitación = Comentario referente a controles automáticos = Comentario referente a cumplimiento de políticas, normas, etc. = Comentario referente a planificación

19. 400 – 01 TITULO: ORGANIZACIÓN DEL AREA INFORMATICA Cada entidad establecerá el proceso de organización del área de informática de acuerdo a sus necesidades, las funciones y responsabilidades del personal Manual de Organización y Funciones, correspondiente. 400 – 02 TITULO: PLAN INFORMATICO, ADQUISICION O ACTUALIZACION DE SISTEMAS Los sistemas computarizados se generan de acuerdo a cada entidad la autoridad debe aprobar un PLAN INTEGRAL INFORMATICO el cual es obligatorio para que regule el desarrollo de la institución a corto y mediano plazo. El Plan Integral Informático debe contener lo siguiente: Fase organizacional: la misión de la entidad, estructura orgánica, análisis FODA situación actual del área informática en: recursos humanos, hardware y software; Definición de los SIC que necesita la institución; La priorización de los mismos; La base tecnológica para su implantación (equipos, programas y personal); El presupuesto financiero; Plan de inversiones; y, El cronograma a desarrollar para la ejecución del plan. 400-00 NORMAS DE CONTROL INTERNO PARA EL AREA DE SISTEMAS DE INFORMACION COMPUTARIZADOS

20. 400 – 03 TITULO: OPERACION Y MANTENIMIENTO En programas de computación (paquetes de software) se utilizaran contratos que aseguren la obtención de la licencia, la recepción de los programas y la garantía de mantenimiento ofrecida por el proveedor. La adquisición de equipos de computación (hardware) tendrán el detalle que permita establecer la marca y las características técnicas y la garantía ofrecida por el proveedor; el proceso de contratación quedará confirmado en las actas de entrega/recepción. ADQUISICIÓN: Para los sistemas incorporados en la institución se deben elaborar procedimientos para el funcionamiento de usuarios y unidad de información computarizados; se realizarán a pruebas y evaluaciones para identificar inconformidades y aplicar los procedimientos de mantenimiento de los sistemas que están definidos.

21. 400 – 04 TITULO: ACCESO A LOS SISTEMAS Y MODIFICACION DE LA INFORMACION. La autoridad de cada entidad en coordinación con el jefe de la unidad de Procesamiento Automático de Datos establecerán los datos e información en los sistemas computarizados para: Acceso físico Mantener los puntos terminales bajo llave; Mantener los puntos terminales bajo supervisión directa; y, Utilizar llaves para operar los puntos terminales. Acceso lógico: Claves de accesos (palabras secretas); Rangos limitados de actividades (menús restringidos); Perfiles de acceso, de acuerdo a las funciones y jerarquías de los usuarios; y, Una bitácora llevada en forma manual o computarizada. Los “puntos terminales” son los microcomputadores independientes en la modalidad de red o multiusuario que permitan la intercomunicación directa del usuario con el computador.

22. 400 – 05 TITULO: ENTRADA Y SALIDA DE DATOS Se deben diseñar controles para proteger los datos, las operaciones de proceso y salida de información. Para el control de datos fuente la entidad debe designar a los usuarios encargados de proteger los datos mediante políticas que definan las claves de acceso para los tres niveles: Primer nivel: únicamente tiene opción de consulta de datos; Segundo nivel: captura, modifica y consulta datos; y, Tercer nivel: captura, modifica, consulta y además puede realizar bajas de datos. El control de salida de datos protegerá la integridad de la información, y debe tener en cuenta aspectos tales como: Copias de la información en otras unidades; La identificación de las personas que entregan el documento de salida; La definición de las personas que reciben la información.

23. 400 – 06 TITULO: TRANSACCIONES RECHAZADAS Las transacciones que no cumplan con las características serán incluidas en un archivo de transacciones en suspenso Al fin de cada mes el responsable de la información revisará las transacciones rechazadas y tomará las acciones para su corrección. Se mantendrá un registro sobre las transacciones rechazadas y el estado en que se encuentra cada una. Con la finalidad de detectar errores se efectuará un análisis estadístico y las medidas que eviten su recurrencia. Los controles de los equipos de cómputo de la siguiente forma: Describen en forma clara y detallada los procedimientos; Actualizan periódicamente los procedimientos; y, Asignan los trabajos con niveles efectivos de utilización de equipos. Los jefes de las unidades administrativas serán responsables de asegurar que los sistemas tengan controles, sean éstos manuales o automáticos de validación de los datos.

24. 400 – 07 TITULO: PROCESAMIENTO Y ENTREGA DE DATOS La máxima autoridad o los jefes de las unidades establecerán controles en los sistemas de información para asegurar que los datos y la información sean completos y correspondan al período correcto, estos controles podrán ser manuales o automáticos, y consistirán en: Totalización de valores antes y después del procesamiento; Verificación de fechas y transacciones y modificaciones de los datos; Balanceo de saldos o totales de conciliación; Utilización correcta de archivos para procesamiento; Verificar que los datos transmitidos hayan sido completos; Consistencia en la recuperación de transacciones, luego de una interrupción; Validez de datos generados automáticamente; y, Generar rastro o pistas de auditoria. La información será entregada a los usuarios autorizados dejando constancia escrita de esta entrega.

25. 400 – 08 TITULO: SEGREGACION DE FUNCIONES EN EL AREA DE INFORMATICA La máxima autoridad del sector público, será la encargada de definir las funciones de la unidad de Procesamiento Automático de Datos. Esta segregación de funciones especificará las responsabilidades; así como definirá la estructura jerárquica para el adecuado funcionamiento de los SIC. En el caso de los sistemas que funcionen independientemente se tendrá los siguientes controles: Supervisar la utilización y seguridad de los sistemas; Mantener registros por tipo de transacción; Obtener totales de control de datos permanentes; Conciliar los datos ingresados con la información de salida; y, Revisar los datos de entrada y salida considerados significativos.

26. 400 – 09 TITULO: SEGURIDAD GENERAL EN LOS CENTROS DE PROCESAMIENTO DE DATOS Los centros de procesamiento establecerán mecanismos que protejan y salvaguarden contra pérdidas y fugas de los medios físicos (equipos y programas) y la información. Con este fin aplicarán las siguientes medidas: Acceso físico restringido al centro de procesamiento de datos, Obtención periódica de respaldos y ubicación física en lugares resguardados Seguridades e instalaciones físicas adecuadas; Un plan de contingencias el cual es un documento de carácter confidencial. 5.- Se entenderá por centro de procesamiento de datos al área física donde se ubica a los computadores.

27. 400 – 10 TITULO: UTILIZACION DE LOS EQUIPOS, PROGRAMAS E INFORMACION INSTITUCIONAL La autoridad y jefes de las unidades, establecerán el uso eficiente, eficaz y económico de los equipos, programas de computación e información computarizada, a través de: El registro y seguimiento de la operación de los mismos; La capacitación de funcionarios en la utilización de los equipos y programas; y, La evaluación periódica de los objetivos cumplidos mediante la computarización. Los equipos y programas serán utilizados exclusivamente en las actividades propias de la institución. La información obtenida será de uso e intercambio entre las instituciones del sector público, con excepción de aquella considerada como reservada o de uso restringido.

28. La autoridad establecerá mecanismos que aseguren eficiencia, efectividad y economía de los recursos computarizados (equipos, programas e información). El organismo competente autorizará la adquisición de bienes y servicios para sistemas computarizados tanto en equipos como en programas y mantendrá un registro para que puedan ser considerados en el Parque Informático del Sector Público (software y hardware) 400–11 TITULO: APROVECHAMIENTO DE LOS RECURSOS COMPUTARIZADOS DEL SECTOR PÚBLICO Dado que el software, está protegido por la Ley de Derecho de Autor y no puede utilizarse, reproducirse o distribuirse sin la autorización expresa del fabricante; es necesario formular políticas institucionales del software, que cubra la adquisición y el uso en las entidades del Sector Público. 400 – 12 TITULO: ADMINISTRACION DEL SOFTWARE

29. GRACIAS POR SU ATENCIÓN