La auditoría en sistemas es un proceso fundamental para evaluar y mejorar los sistemas de información dentro de una organización. Abarca desde la revisión de la infraestructura tecnológica hasta la gestión de la información y la seguridad de los datos. A continuación, exploraremos en detalle qué implica la auditoría en sistemas, sus diferentes tipos y metodologías, y su importancia en el entorno empresarial actual.
Definición de Auditoría en Sistemas
La Auditoría de Información (AI) es una herramienta esencial de la Gestión Informacional (GI), muy útil para evaluar los recursos en las instituciones. Permite conocer los recursos disponibles para evitar redundancias o inconsistencias en el sistema. En términos más amplios, la Auditoría de Información (AI) es definida por Dios, Raposo y García (2008) como “el examen crítico y sistemático de los recursos de información que permite conocer con lo que se cuenta, dónde está y su valor”.
Según Infante (2009), citado por Castañón (2012), la Auditoría de la Información promueve y aplica conceptos de auditoría en el área de los sistemas de información. El objetivo es dar recomendaciones a los directivos para mejorar o lograr el correcto control interno en ambientes de tecnología informática, y obtener mayor eficiencia operacional y administrativa.
Además, la Auditoría de Información, según la Association for Information Management (Aslib, 1978), es evaluar sistemáticamente el uso de la información, sus recursos y sus flujos para establecer la medida en que contribuyen a los objetivos de una organización. Contribuye a la mejora continua de la información.
Tipos de Auditoría
Existen diferentes tipos de auditorías que se aplican según el contexto y los objetivos de la organización:
Lea también: ¿Qué es la Auditoría de Sistemas?
- Auditorías Internas (de Primera Parte): Son realizadas por los propios auditores internos formados de la organización con fines de autoevaluación y mejora. Todas las normas ISO de sistemas de gestión exigen que las organizaciones realicen auditorías internas.
- Auditorías de Certificación (Externas): Son realizadas por un organismo de certificación externo para verificar que el sistema de gestión cumple con los requisitos de una norma ISO específica.
- Auditoría ISO: Es un proceso sistemático para obtener y evaluar pruebas de auditoría de manera objetiva, con el fin de determinar en qué medida se cumplen los criterios de auditoría.
Importancia de la Auditoría en Sistemas
La auditoría informática reviste vital importancia en el correcto desempeño de los sistemas de información, así como de los niveles de seguridad. Los avances tecnológicos en informática y computación están en continua mejora, condición que genera limitaciones para desarrollar nuevas oportunidades comerciales y conlleva a cometer posibles errores.
Implantar sistemas de gestión normalizados en una organización se considera la forma moderna de hacer negocios, pero para algunas empresas puede ser un gran paso. Más a menudo, puede considerarse una "licencia para comerciar" porque los socios de la cadena de suministro, los clientes y otras partes interesadas exigen pruebas de que la organización emplea las mejores prácticas y se compromete a mejorar continuamente su rendimiento en áreas como productos y servicios, medio ambiente y seguridad de la información.
Las auditorías ISO son una parte esencial del proceso porque están diseñadas para supervisar y garantizar que los procesos de la organización se ajustan a las normas ISO definidas y verificar que el sistema es eficaz y eficiente.
Del mismo modo, pueden enfocarse en los Sistemas de Información al permitir que se evalúen los procesos con sus flujos y recursos informacionales de las entidades, determinar dónde hay registros duplicados innecesariamente, en qué lugar la información es tratada como un activo personal y en cuál como un recurso que debe ser compartido por todos. Igualmente, identifica las necesidades informacionales de la propia entidad y las específicas de las personas, e indica dónde podrían simplificarse los procesos organizacionales para su administración más eficiente.
Metodologías de Auditoría
Existen diversas metodologías para llevar a cabo una auditoría en sistemas, cada una con sus propias etapas y enfoques. A continuación, se presentan algunas de las metodologías más destacadas:
Lea también: Planeación de Auditoría de Sistemas: Guía Práctica
- Metodología de Artiles (2015): Consta de tres etapas: diagnóstico de la organización, análisis de la organización del ambiente interno (comunicación), y definiciones y determinación de políticas.
- Metodologías de Bryson (1997), Artiles (2015) y González et al. (2017): Se centran en analizar la organización a través de su estructura interna y del uso que se le da a la información.
- Metodología de Stable (2012): Plantea una metodología para realizar auditorías de información y de conocimiento a la que llama Aud-InfoCon, elaborada a partir de los principales nexos que existen entre estos dos procesos.
Las tres metodologías tienen aspectos comunes basadas en el análisis de la organización mediante el establecimiento de los procesos con sus flujos y recursos.
Proceso de Auditoría
El proceso de auditoría generalmente incluye las siguientes etapas:
- Análisis organizacional.
- Planeamiento de la auditoría.
- Procesos de gestión.
- Inventario de recursos.
- Valoración y costos de los recursos.
- Flujos y mapas.
Errores Comunes en las Auditorías
La mala calidad de las auditorías suele deberse a una combinación de factores, tales como:
- Falta de planificación y preparación.
- Comunicación e implicación insuficientes del personal pertinente.
- Documentación y mantenimiento de registros inadecuados.
Competencia del Auditor
La competencia de un auditor o de un equipo de auditores es crucial para garantizar una auditoría eficaz y fructífera. Al desarrollar el programa de auditoría, una organización debe asegurarse de asignar auditores con la capacitación y competencia pertinentes para el área auditada. Lo ideal es que los miembros del equipo auditor hayan asistido a un curso de auditor interno impartido por el organismo certificador u otro proveedor.
Auditoría de Software
Las empresas también suelen realizar sus propias auditorías de software para llevar un control, detectar posibles riesgos en los sistemas informáticos y evitar pérdidas económicas significativas. La asociación con expertos en pruebas, licencias de software y normas de cumplimiento puede ser una excelente estrategia ante una auditoría externa.
Lea también: Definición y Principios de la Auditoría de Sistemas
Interés en el Tema de Auditoría de Información
El interés en el tema de Auditoría de Información ha variado a lo largo del tiempo. En el año 2017 se aprecia un mayor interés de la temática en inglés, mientras que en español está menos estable. Además, por región se observa que en español disminuyen las investigaciones, pues solo Colombia y México muestran una mayor investigación. Con el término en inglés 5 países desarrollan la temática, los cuales pertenecen principalmente al continente africano.
Tabla Resumen de Metodologías de Auditoría
| Metodología | Enfoque Principal | Etapas Clave |
|---|---|---|
| Artiles (2015) | Análisis de la organización y la comunicación | Diagnóstico, análisis del ambiente interno, definiciones |
| Bryson (1997), Artiles (2015), González et al. (2017) | Estructura interna y uso de la información | Análisis de procesos, flujos y recursos |
| Stable (2012) | Integración de auditorías de información y conocimiento | Análisis de nexos, causas y objetivos |