Auditoría a un sistema en desarrollo (página 2)

Enviado por Maria Fernanda Rodr�guez

Partes: 1, 2

Dentro de la filosofía del concepto de control total de calidad, la función de supervisión operativa deberá exigir que todo empleado sea consciente de su responsabilidad laboral y que en todas las especificaciones técnicas de su actividad, con el objeto de asegurar resultados completos, precisos y oportunos.

Las siguientes pruebas permitirán al auditor detectar el grado de información que posee el empleado en cuanto a su responsabilidad en la ejecución del trabajo y la protección de la cual goza ante los distintos riesgos que puedan afectarlo:

1. Compruebe que los procedimientos adoptados por el área de desarrollo de sistemas son efectivos y están debidamente documentados.
2. Verifique si el personal conoce, entiende y utiliza los manuales de procedimientos operativos.
3. Evalué la metodología utilizada para el desarrollo de sistemas computarizados.
4. Verifique si cada fase del desarrollo del sistema genera un producto técnicamente valido, en materia funcional y de control.
5. Cerciórese si el comité de planeación, la herencia usuaria, el equipo del proyecto y el grupo de control de calidad pueden tomar decisiones en cada fase ya sea para continuar, modificar o suspender el proyecto.
6. Investiguen si existen, por escrito, la funciones y responsabilidades de:

La gerencia general

El comité de planeación

El equipo del proyecto

El grupo de control de calidad

La auditoría interna

El equipo del proyecto deberá estar integrado, por lo menos, por las siguientes personas:

Analistas de sistemas

Diseñadores de sistemas

Programadores

Administradores de información

Expertos en control informático

Usuarios del sistema

7. Observe si están bien definidas las interfaces entre el comité de planeación, la gerencia usuaria el equipo de trabajo del proyecto, el grupo de control de calidad y la función de auditoría interna.
8. Evalué la forma como se selecciona y asignan responsabilidades a los integrantes del equipo del proyecto.
9. Verifique si la metodología utilizada para el desarrollo de sistemas a revisión periódicamente.
10. Revise la metodología de desarrollo de sistemas para saber si están empleando las técnicas y los procedimientos corrientes sobre la materia.
11. Cerciórese si se lleva un control de actualización de la metodología de desarrollo de sistemas.
12. Analice las decisiones tomadas por el personal de sistemas y usuario para establecer si la metodología utilizada para el desarrollo de sistemas es técnicamente valida.

A continuación se identifican los puntos de control que deben ser evaluados en cada una de las faces del desarrollo de sistemas:

Estudio preliminar

Participación de la gerencia

Verifique la participación efectiva de la gerencia usuaria en el desarrollo de sistemas, mediante el examen de las catas del comité de planeación de sistemas.

Compruebe la activa participación del departamento usuario en el desarrollo de sistemas.

Revise el presupuesto del departamento de usuario asignado al desarrollo de sistemas de información.

Definición del proyecto:

Compruebe que la solicitud del proyecto se hizo por escrito y contenga por lo menos los siguientes elementos:

Justificación

Ambiente de la aplicación

Alcance del proyecto

Restricciones o limitaciones

Beneficios del proyecto

Verifique si el proyecto en revisión coincide con el aprobado por el comité de planeación del sistema.

Compruebe que la documentación relacionada con la definición del proyecto está conforme a los estándares establecidos para tales efectos.

Equipo de trabajo:

Cerciórese de que la conformación del equipo de trabajo, para el desarrollo del proyecto sea coherente con la metodología adoptada por la entidad para el desarrollo del sistema.

Analice las responsabilidades de todos los integrantes del equipo de desarrollo de sistemas.

Evalué los antecedentes y capacidades en general de los miembros del equipo del proyecto.

Investigue si el personal de sistemas y del usuario se identifica con los objetivos y alcance el proyecto.

Requerimiento de información

Compruebe que la descripción del sistema vigente es suficiente amplia para tomarla como base para estudiar las necesidades del nuevo sistema, y observe si se han identificado claramente las áreas problemas.

Cerciórese de que se evalúan detenidamente los requerimientos del sistema, para asegurar la integridad la consistencia y la factibilidad del proyecto.

Examine la documentación relacionada con los requerimientos del sistema, para asegurar la integridad, la consistencia y la factibilidad del procesamiento.

Examine la documentación relacionada con los requerimientos de la información para comprobar que están de acuerdo con los estándares correspondientes.

Aprobación del proyecto:

Investigue si el equipo de trabajo prepara el informe final cumpliendo con los lineamientos aprobados para este caso.

Compruebe que el informe del equipo de trabajo sea revisado y aprobado por la gerencia, antes de pasar a la siguiente fase.

Estudio de factibilidad

Alternativas de acción:

Evalué las alternativas de acción sugeridas por el equipo de trabajo y la posible factibilidad de cada uno de ellas.

Determine si se sustenta adecuadamente la acción recomendada y si es realmente la mas factible.

Factibilidad tecnológica:

Analice el estudio de factibilidad tecnológica y verifique si se han desarrollado por lo menos los siguientes aspectos:

1. Necesidades y disponibilidad de hardware y software
2. Restricciones que puedan presentarse y la manera de abordarlas
3. Factibilidad operacional del proyecto, en relación con los recursos de hardware, software y ambiente de comunicaciones

Examine el informe de factibilidad tecnológica y verifique si se consideran los siguientes componentes legales:

1. Transferencia de tecnología informática
2. Restricciones al uso de la tecnología informática

Factibilidad económica:

Examine el estudio de costos para cada alternativa de acción y verifique si los costos del usuario y de sistemas cubren todas las fases del ciclo de desarrollo de sistemas. Verifique si el estudio de costos incluye:

1. Hardware
2. Software
3. Entrenamiento
4. Preparación y entrada de datos
5. Conversión de archivos
6. Pruebas
7. Operación en paralelo

Compruebe que haya consenso, entre los usuarios finales de los sistemas, los diseñadores, los programadores y quienes implantan el sistema, acerca de los costos, los beneficios y los requerimientos contractuales del sistema.

Aprobación del proyecto:

Investigar si la gerencia recibió oportunamente el estudio de factibilidad para la correspondiente revisión y aprobación o desaprobación.

Verifique si la gerencia tomo la decisión de continuar el proyecto con base en el estudio de factibilidad.

Examine el calendario de trabajo para comprobar que la autorización de continuar con el proyecto se hizo por escrito.

Plan maestro:

Compruebe que se hayan identificado los puntos clave de control, en el ciclo de desarrollo de sistemas y que se han utilizado adecuadamente para el control del proyecto.

Verifique la existencia y efectividad de los estándares de aceptación, en cada punto de control.

Investigue los registros de control del proyecto para conocer la forma como se han llevado a cabo.

Examine los informes del personal que controla el proyecto, con el objeto de establecer la información es importante y si se entrega oportunamente a la gerencia.

Control de costos:

Analice los informes de costos en sus componentes de tiempo de máquina, nomina y provisiones.

Compruebe que los estudios de costos se apoyen en resúmenes de tiempo de máquina o informes de tiempo individuales de los empleados.

Compruebe si los informes de costos se preparan y distribuyen oportunamente, observando los registros que llevan los usuarios, en cuanto a la fecha de recepción, revisión y aprobación respectivas.

Diseño detallado del sistema

Especificaciones de salida:

Examine cuidadosamente, la documentación de las especificaciones de salida del sistema.

Verifique si la documentación contempla por lo menos los siguientes elementos:

1. Formato y contenido de los informes
2. Condiciones de entrega de los informes a los usuarios
3. Periodos de retención de los informes
4. Pistas de auditoria
5. Periodo de retención de los archivos

Cerciórese de que las especificaciones de salida garanticen al usuario la integridad, la exactitud y la autorización de datos.

Compruebe que la documentación de las especificaciones de salida, están conforme a los estándares de desarrollo de sistemas.

Compruebe que la documentación de las especificaciones de salida, están conforme a los estándares de desarrollos de sistemas.

Especificaciones de entrada:

Examine cuidadosamente, la documentación de las especificaciones de entrada. Compruebe que la documentación de entrada contiene los siguientes elementos:

1. Especificaciones de validación
2. Controles de privacidad
3. Autorizaciones de entradas y de actualizaciones

Verifique si la gerencia del departamento usuario ha revisado y aprobado por escrito, las especificaciones de entrada.

Investigue si las especificaciones de entrada fueron documentadas con base en los estándares de desarrollo de sistemas.

Especificaciones de los archivos:

Compruebe si se han definido los archivos y los métodos de organización adecuados.

En el evento de trabajar con bases de datos, verificar si definen las relaciones estructurales.

Examine la documentación de las necesidades del usuario y los tipos de archivos para detectar si la gerencia usuaria las revisó y las aprobó, por escrito, como era su deber.

Cerciórese si el administrador de la base de datos participó en la definición, documentación y organización de los archivos correspondientes.

Verifique si la seguridad ha sido considerada en el proceso de la definición de los archivos.

Compruebe que los periodos de retención de los archivos han sido incluidos en sus definiciones.

Establezca si la documentación relacionada con las especificaciones de los archivos se ajusta a los estándares de desarrollo de los sistemas.

Especificaciones de procesamiento

Examine las especificaciones de procesamiento para ver si fueron preparadas de acuerdo con las políticas de la entidad.

Compruebe si la gerencia usuaria ha revisado y aprobado por escrito las especificaciones de procesamiento.

Verifique si la documentación de las especificaciones de procesamiento está de acuerdo con los estándares de desarrollo de sistemas.

Documentos fuente:

Observe las formas de los documentos fuente que se utilizan para recolectar datos con el objeto de establecer si el diseño responde a las necesidades del usuario.

Examine las formas de los documentos fuentes para determinar si contienen todas las condiciones para efectos de control, tales como estar perfoliados y tener la autorización de la transacción.

Analice las formas de los documentos fuente para ver si su diseño facilita la obtención de información para control y promoción de la exactitud de los procesos.

Examine el formato de pantallas para establecer si facilita la obtención de información, y si tiene rutinas de edición cuando la entrada de datos se hace en línea.

Diseño de controles:

Examine las especificaciones del diseño detallado e identifique y pruebe los controles programados.

Evalué los controles con base en las categorías de preventivos, defectivos y correctivos en cada punto de control.

Verifique si se hizo análisis de costo-beneficio para definir los controles programados.

Pistas de auditoría:

Examine las especificaciones del diseño detallado e identifique la documentación intermedia y los listados previstos en el diseño.

Evalué la exactitud de los documentos intermedios y en general, todos los listados, que puedan tener validos como pistas de auditorías.

Analice la seguridad e integridad de todos los elementos considerados como pistas de auditoría.

Documentación de los programas:

Obtenga una copia de los estándares de la documentación de los programas y verifique si han sido probados por el comité de planeación de sistemas de información.

Analice los estándares de la documentación de los programas y observe si se considera el tipo de equipo, el sistema operativo y los lenguajes de programación a utilizar.

Compruebe si los estándares de documentación de la programación son conocidos y practicados por el personal en la forma en que han sido aprobados.

Examine los programas a nivel individual y la correspondiente documentación para establecer si están acordes con los estándares predefinidos.

Cerciórese si la gerencia de sistemas ha revisado la documentación de los programas para verificar si son adecuados y completos.

Desarrollo e implantación

Objetivo de la programación:

Examine los objetivos de la programación para verificar si están adecuadamente interpretados. Observe las funciones, las entradas, las salidas y los archivos.

Analice la coherencia entre los objetivos y los estándares de programación.

Descripción de la programación:

Observe los instructivos detallados de la programación para determinar si están de acuerdo con la definición original del sistema.

Analice la descripción detallada de la lógica, con el objeto de establecer si está escrita en forma clara y concisa para que pueda ser entendida fácilmente su función.

Establezca si los estándares de documentación requieren un diagrama de flujo del programa y si la documentación vigente lo contempla debidamente actualizado y ajustado a la definición del programa.

Analice las descripciones de los archivos correspondientes a los programas seleccionados con el objetivo de establecer si se describen con precisión los registros y los campos para los datos, incluyendo las definiciones de los códigos y de los registros.

Compruebe si las descripciones de los archivos están de acuerdo con los estándares de la documentación.

Examine, cuando se trate de base de datos, los registros del administrador de la base de datos y el diccionario, para verificar si los elementos utilizados por los programas seleccionados, tiene asignaciones de propietarios, están debidamente describe y si no alteran otras definiciones del sistema.

Software estandarizado:

Examine los informes del estudio de factibilidad para verificar si se tuvieron en cuenta las recomendaciones relacionadas con los paquetes de software aplicativo.

Analice los contratos de adquisición de software estandarizados, con el objeto de establecer si las condiciones son congruentes con las políticas de la entidad.

Verifique si el software adquirido fue revisado y aprobado antes de usarlo y pagarlo.

Analice el software adquirido y toda su documentación para establecer su adaptación y validez del sistema de control incorporado.

Programación por contrato:

Examine los términos del contrato para programación de aplicaciones, con el objeto de establecer si son adecuados y si intervino el gerente de sistemas en su aprobación.

Analice la documentación de los servicios de programación por contrato, para ver si se cumplieron las políticas de la entidad sobre la materia.

Examine el contrato en relación con los servicios esperados, para determinar si están claramente expresados y si se encuentran bien definidas las situaciones de contingencia.

Verifique si quien está haciendo el trabajo de programación ha sido suficientemente instruido en cuanto a los estándares de documentación para la programación y sobre los objetivos definidos por la organización

Compruebe si el grupo de control de calidad y el de sistemas de información, han aprobado los códigos, la documentación y los controles en los programas desarrollados por contrato y si se tuvieron en cuenta los estándares de documentación de los programas definidos por la entidad.

Analice la documentación de los programas desarrollados por contrato para determinar si fueron probados con base en los estándares de la organización.

Examine los pagos por servicio de programación para verificar si han sido debidamente aprobados y si están de acuerdo con el respectivo contrato.

Manual de Operaciones

Cerciórese de que los estándares de documentación de los programas permitan la definición completa de la documentación para cada aplicación.
Compruebe la existencia de manuales de operación para cada programa y observe si se ajustan a los estándares de documentación establecidos.
Verifique si la documentación de cada programa cumple con lo siguiente:

1. Función del programa.
2. Especificaciones de hardware.
3. Relación de todos los mensajes de consola, junto con la respuesta que ha de dar el operador.
4. Creación de las salidas y su uso.
5. Identificación de las etiquetas de los archivos de salida
6. Punto de reinicio
7. Procedimientos para tratar los errores

Compruebe que los manuales de operación son utilizados en los procedimientos de prueba.

Cerciórese que los manuales de operación sean leídos y utilizados por los operadores.

Manual de Usuario

Compruebe que existan manuales de usuario y toda documentación requerida por la aplicación para el adecuado procesamiento de los datos.
Cerciórese de que los estándares de documentación de los programas definan claramente la documentación que necesita el usuario en cada aplicación.
Verifique si el manual del usuario contiene el instructivo para preparar los datos de entrada.
Investigue si en cada manual de usuario, la documentación contiene: