Técnicas de auditoría informática y control interno

Introducción a la auditoría informática y el control interno

La auditoría informática es una disciplina esencial para garantizar la confiabilidad, integridad y seguridad de los sistemas de información. En este curso aprenderás los conceptos clave que aparecen en los exámenes de certificación y en la práctica profesional, con un enfoque en la diferencia entre auditorías alrededor y a través de la computadora, los tipos de controles y los riesgos asociados.

Diferencia entre auditoría alrededor de la computadora y auditoría a través de la computadora

Una de las preguntas más frecuentes en los exámenes de auditoría informática es:

¿Cuál es la principal diferencia entre auditoría alrededor de la computadora y auditoría a través de la computadora?

La respuesta correcta es que la auditoría alrededor no verifica la lógica del programa, mientras que la auditoría a través sí lo hace. La auditoría alrededor se centra en procesos externos al software (por ejemplo, entradas y salidas de datos, controles de acceso físico) y utiliza datos de prueba o simulaciones. En cambio, la auditoría a través examina el código fuente, los algoritmos y la lógica interna del programa.

• Auditoría alrededor: se basa en observación, entrevistas y pruebas de caja negra.
• Auditoría a través: implica revisión de código, análisis estático y pruebas de caja blanca.

Recuerda: alrededor = fuera, a través = dentro. Esta distinción es fundamental para diseñar planes de auditoría adecuados.

Controles en hojas de cálculo: la importancia de la fuente de datos

En el contexto de hojas de cálculo, el control que garantiza que los datos provienen de una fuente válida y confiable es la Fuente de datos. Este control asegura que la información ingresada provenga de un origen verificado, reduciendo errores de entrada y manipulaciones no autorizadas.

Ejemplo práctico: al importar datos de un ERP, se debe validar que el archivo provenga del servidor oficial y que la conexión esté cifrada.

Origen fiable = datos seguros.

Riesgos del uso de datos de prueba en auditoría informática

Los datos de prueba son útiles para validar procesos sin afectar datos reales, pero presentan un riesgo importante: alta incertidumbre sobre la exactitud de la información entregada. Al no reflejar el entorno productivo, los resultados pueden ser engañosos.

• Los datos pueden no contener todas las combinaciones de casos reales.
• Los resultados pueden sobreestimar la efectividad de los controles.
• Se necesita corroborar los hallazgos con datos reales antes de emitir conclusiones.

Recuerda: datos de prueba = posible duda de precisión.

Tipos de controles en aplicaciones informáticas

Al evaluar controles de aplicación, es esencial distinguir entre los diferentes puntos de verificación:

Controles de entrada

Validan la exactitud y completitud de los datos antes de que sean procesados.

Controles de procesamiento

Garantizan que los cálculos y transformaciones se realicen correctamente.

Controles de salida

Son los que verifican errores después del procesamiento. Estos controles revisan los resultados finales, como reportes financieros o listados de inventario, para detectar inconsistencias.

Revisa al final, como inspeccionar el producto terminado.

Integridad referencial en bases de datos

En la auditoría de bases de datos, uno de los controles críticos es la integridad referencial. Este mecanismo impide la eliminación de valores clave en tablas relacionadas, manteniendo la coherencia entre tablas padre e hijo.

Ejemplo: si una tabla Pedidos tiene una clave foránea que referencia a Clientes, la integridad referencial evita borrar un cliente que aún tiene pedidos asociados.

Piensa en padres e hijos que no pueden desaparecer.

Simulación paralela: ventajas y consideraciones

La simulación paralela es una técnica que ejecuta pruebas en un entorno separado (sandbox) sin afectar los datos productivos. Su ventaja principal es que el riesgo de interrupción de datos es mínimo. Esto permite a los auditores observar el comportamiento del sistema bajo condiciones controladas.

• Se crea una copia del entorno productivo.
• Se ejecutan transacciones de prueba simultáneamente.
• Los resultados se comparan con los del entorno real.

Memoria: pruebas en otro sandbox.

Subelementos del control interno informático

Dentro del marco de control interno informático, uno de los subelementos clave es la Asignación de responsabilidad y autoridad. Este subelemento define quién es responsable de cada proceso y los límites de su autoridad, creando una estructura clara de rendición de cuentas.

Ejemplo: en una empresa, el responsable de la gestión de usuarios tiene autoridad para crear y revocar accesos, pero no para aprobar cambios de código.

Piensa en un mapa de tareas con fronteras.

Controles de integridad de transacciones en bases de datos

Los controles de integridad de transacciones buscan restaurar el valor de transacciones fallidas. Cuando una transacción no se completa correctamente, el sistema debe volver al estado anterior (rollback) para evitar datos inconsistentes.

• Uso de COMMIT y ROLLBACK.
• Implementación de logs de transacciones.
• Pruebas de recuperación ante fallos.

Piensa en un botón de “deshacer”.

Conclusión y mejores prácticas

Dominar los conceptos de auditoría informática y control interno es esencial para garantizar la fiabilidad de los sistemas de información. Recuerda:

• Diferenciar claramente entre auditoría alrededor y a través.
• Validar siempre la fuente de datos en hojas de cálculo.
• Ser consciente de los riesgos al usar datos de prueba.
• Aplicar controles de salida para detectar errores post‑procesamiento.
• Mantener la integridad referencial y de transacciones en bases de datos.
• Utilizar simulación paralela para minimizar interrupciones.
• Definir responsabilidades y límites de autoridad en el control interno.

Implementar estas prácticas fortalecerá la seguridad y la eficiencia de los entornos informáticos, y te preparará para aprobar cualquier examen o certificación en la materia.