u omisión en estos escándalos.

• Se ha reforzado a nivel internacional la exigencia de que las empresas cumplan una serie de procedimientos y prácticas de control, a fin de garantizar la transparencia y veracidad de sus operaciones y manejo financiero.

• En Perú la SBS ha establecido normativa para el control del riesgo operativo y de

TI en las empresas financieras (2003)

desempeño de la empresa al mejorar los procesos internos más importantes en la

creación de valor para clientes y accionistas

• Alteración no autorizada de información.

• Accesos por proveedores

• Fraudes por empleados

• Espionaje por competidores

• Violación de derechos de propiedad

• Gestión deficiente de la tecnología

Amenazas de origen natural

• Terremotos

• Inundaciones

• Incendios

Amenazas de origen tecnológico

• Inoperatividad de tecnología

•Virus, worms, spyware

• Ataques de hackers.

• Saturación de servicios

• Spam

cumplimiento de procedimientos específicos que deben proporcionar.

una seguridad razonable de lo que se afirma

• Existen auditorías altamente reglamentadas (las financieras) donde es obligatorio aplicar Normas Técnicas y procedimientos detallados.

• En general, una auditoría debe cumplir:

 El trabajo debe ser planificado y supervisado adecuadamente

 Se estudiará y evaluará el sistema de control interno

 Se obtendrá evidencia suficiente y adecuada

 La evidencia debe colectarse en los documentos de trabajo del auditor. Como justificación y soporte del trabajo y de la opinión emitida.

• El alto desarrollo tecnológico y la intensa competencia entre las empresas las hace cada vez más dependientes de los sistemas.

• La información y, en general, todos los activos tecnológicos son los recursos o activos más importantes de una empresa.

• La información procesada es utilizada para tomar decisiones operativas, tácticas y estratégicas.

• La información debe ser preservada de cualquier mal uso que afecte su integridad, privacidad o disponibilidad.

• Las fallas o el mal uso de los sistemas puede afectar grandemente a la sociedad (empresas y personas): mala asignación de recursos, fraudes, pérdida de privacidad, etc.

Hardware, software, instalaciones, personas (conocimiento), archivos de datos, documentación de sistemas, formularios oficiales, suministros.

Riesgos: daños físico, robo, uso indebido, etc.

Integridad de datos

Mantener atributos de los datos: deben ser completos, veraces, confiables.

Riesgos: incertidumbre sobre las operaciones de la empresa, pérdida de competitividad.

Efectividad de sistemas

Los sistemas deben cumplir/atender los objetivos/necesidades para los que fueron implementados.

Riesgos: sistemas incompletos, no funcionales, complicados, costosos.

Eficiencia de Sistemas

Un sistema eficiente utiliza la menor cantidad posible de recursos para alcanzar sus objetivos: capacidad de procesamiento, software de base,

dispositivos de entrada/salida, operación del sistema, etc.

 Separación de actividades.

 Delegación de autoridad y responsabilidad.

 Personal competente y confiable

 Sistema de autorizaciones.

 Adecuados mecanismos de documentación y registro de actividades.

 Control físico sobre activos y registros.

 Adecuada supervisión

 Revisiones independientes de resultados.

 Verificación periódica de exactitud de la información contra los registros físicos.

 Control Objetives for Information and Related Tecnologies es un marco metodológico de buenas prácticas para la administración de las tecnologías de la información. Fue desarrollado por ISACA e ITGI en 1996 y ya se encuentra en su cuarta versión (2005)

 COBIT provee a los Gerentes, auditores y usuarios de TI de un conjunto de métricas, indicadores, procesos y mejores prácticas generalmente aceptados como ayuda para alcanzar el mayor beneficio posible del uso de las TI, asegurar que estas apoyen los objetivos y estrategias de la

organización y que cuenten con un marco apropiado de control.

ISACA

 Information System Audit and Control Asociation (ISACA) es una asociación internacional de profesionales relacionados a las tareas de auditoría de TI.

 Se fundó en 1967, cuando un conjunto de profesionales reconoció que debido a la criticidad de la función de auditoría de sistemas en las organizaciones requería una fuente centralizada de información, guías de trabajo y estándares. Tiene más de 50,000 miembros en 140 países.

 ISACA provee una serie de estándares, guías y procedimientos que deben seguirse para realizar auditorías de sistemas.

 ISACA provee dos certificaciones internacionales a los profesionales que cumplen los requisitos que establece:

• CISA: Certified Information Systems Auditor

• CISM: Certified Information Security Manager