Auditoría a un sistema en desarrollo (página 2)

Enviado por Maria Fernanda Rodr�guez

Partes: 1, 2

Dentro de la filosofía del concepto de
control total de
calidad, la
función
de supervisión operativa deberá exigir
que todo empleado sea consciente de su responsabilidad laboral y que en
todas las especificaciones técnicas
de su actividad, con el objeto de asegurar resultados completos,
precisos y oportunos.

Las siguientes pruebas
permitirán al auditor detectar el grado de información que posee el empleado en cuanto
a su responsabilidad en la ejecución del trabajo y la
protección de la cual goza ante los distintos riesgos que
puedan afectarlo:

1. Compruebe que los procedimientos adoptados por el
área de desarrollo de sistemas son efectivos y
están debidamente documentados.
2. Verifique si el personal conoce, entiende y
utiliza los manuales de procedimientos operativos.
3. Evalué la metodología utilizada para
el desarrollo de sistemas computarizados.
4. Verifique si cada fase del desarrollo del sistema
genera un producto técnicamente valido, en materia
funcional y de control.
5. Cerciórese si el comité de
planeación, la herencia usuaria, el equipo del
proyecto y el grupo de control de calidad pueden tomar
decisiones en cada fase ya sea para continuar, modificar o
suspender el proyecto.
6. Investiguen si existen, por escrito, la funciones
y responsabilidades de:

La gerencia
general

El comité de planeación

El equipo del proyecto

El grupo de
control de calidad

La auditoría interna

El equipo del proyecto
deberá estar integrado, por lo menos, por las siguientes
personas:

Analistas de sistemas

Diseñadores de sistemas

Programadores

Administradores de información

Expertos en control informático

Usuarios del sistema

7. Observe si están bien definidas las
interfaces entre el comité de planeación, la
gerencia usuaria el equipo de trabajo del proyecto, el grupo
de control de calidad y la función de auditoría
interna.
8. Evalué la forma como se selecciona y
asignan responsabilidades a los integrantes del equipo del
proyecto.
9. Verifique si la metodología utilizada para
el desarrollo de sistemas a revisión
periódicamente.
10. Revise la metodología de desarrollo de
sistemas para saber si están empleando las
técnicas y los procedimientos corrientes sobre la
materia.
11. Cerciórese si se lleva un control de
actualización de la metodología de desarrollo
de sistemas.
12. Analice las decisiones tomadas por el personal de
sistemas y usuario para establecer si la metodología
utilizada para el desarrollo de sistemas es
técnicamente valida.

A continuación se identifican los puntos de control que
deben ser evaluados en cada una de las faces del desarrollo de
sistemas:

Estudio
preliminar

Participación de la gerencia

Verifique la participación efectiva de la gerencia
usuaria en el desarrollo de sistemas, mediante el examen de las
catas del comité de planeación
de sistemas.

Compruebe la activa participación del departamento
usuario en el desarrollo de sistemas.

Revise el presupuesto del
departamento de usuario asignado al desarrollo de sistemas de
información.

Definición del proyecto:

Compruebe que la solicitud del proyecto se hizo por escrito y
contenga por lo menos los siguientes elementos:

Justificación

Ambiente de la aplicación

Alcance del proyecto

Restricciones o limitaciones

Beneficios del proyecto

Verifique si el proyecto en revisión coincide con el
aprobado por el comité de planeación del sistema.

Compruebe que la documentación relacionada con la
definición del proyecto está conforme a los
estándares establecidos para tales efectos.

Equipo de trabajo:

Cerciórese de que la conformación del equipo de
trabajo, para el desarrollo del proyecto sea coherente con la
metodología adoptada por la entidad para el
desarrollo del sistema.

Analice las responsabilidades de todos los integrantes del
equipo de desarrollo de sistemas.

Evalué los antecedentes y capacidades en general de los
miembros del equipo del proyecto.

Investigue si el personal de
sistemas y del usuario se identifica con los objetivos y
alcance el proyecto.

Requerimiento de información

Compruebe que la descripción del sistema vigente es
suficiente amplia para tomarla como base para estudiar las
necesidades del nuevo sistema, y observe si se han identificado
claramente las áreas problemas.

Cerciórese de que se evalúan detenidamente los
requerimientos del sistema, para asegurar la integridad la
consistencia y la factibilidad del
proyecto.

Examine la documentación relacionada con los
requerimientos del sistema, para asegurar la integridad, la
consistencia y la factibilidad del procesamiento.

Examine la documentación relacionada con los
requerimientos de la información para comprobar que
están de acuerdo con los estándares
correspondientes.

Aprobación del proyecto:

Investigue si el equipo de trabajo prepara el informe final
cumpliendo con los lineamientos aprobados para este caso.

Compruebe que el informe del equipo de trabajo sea revisado y
aprobado por la gerencia, antes de pasar a la siguiente fase.

Estudio de
factibilidad

Alternativas de acción:

Evalué las alternativas de acción sugeridas por
el equipo de trabajo y la posible factibilidad de cada uno de
ellas.

Determine si se sustenta adecuadamente la acción
recomendada y si es realmente la mas factible.

Factibilidad tecnológica:

Analice el estudio de
factibilidad tecnológica y verifique si se han
desarrollado por lo menos los siguientes aspectos:

1. Necesidades y disponibilidad de hardware y
software
2. Restricciones que puedan presentarse y la manera
de abordarlas
3. Factibilidad operacional del proyecto, en
relación con los recursos de hardware, software y
ambiente de comunicaciones

Examine el informe de factibilidad tecnológica y
verifique si se consideran los siguientes componentes
legales:

1. Transferencia de tecnología
informática
2. Restricciones al uso de la tecnología
informática

Factibilidad económica:

Examine el estudio de costos para cada
alternativa de acción y verifique si los costos del
usuario y de sistemas cubren todas las fases del ciclo de
desarrollo de sistemas. Verifique si el estudio de costos
incluye:

1. Hardware
2. Software
3. Entrenamiento
4. Preparación y entrada de datos
5. Conversión de archivos
6. Pruebas
7. Operación en paralelo

Compruebe que haya consenso, entre los usuarios finales de los
sistemas, los diseñadores, los programadores y quienes
implantan el sistema, acerca de los costos, los beneficios y los
requerimientos contractuales del sistema.

Aprobación del proyecto:

Investigar si la gerencia recibió oportunamente el
estudio de factibilidad para la correspondiente revisión y
aprobación o desaprobación.

Verifique si la gerencia tomo la decisión de continuar
el proyecto con base en el estudio de factibilidad.

Examine el calendario de trabajo para comprobar que la
autorización de continuar con el proyecto se hizo por
escrito.

Plan maestro:

Compruebe que se hayan identificado los puntos clave de
control, en el ciclo de desarrollo de sistemas y que se han
utilizado adecuadamente para el control del proyecto.

Verifique la existencia y efectividad de los estándares
de aceptación, en cada punto de control.

Investigue los registros de
control del proyecto para conocer la forma como se han llevado a
cabo.

Examine los informes del
personal que controla el proyecto, con el objeto de establecer la
información es importante y si se entrega oportunamente a
la gerencia.

Control de costos:

Analice los informes de costos en sus componentes de tiempo de
máquina, nomina y provisiones.

Compruebe que los estudios de costos se apoyen en
resúmenes de tiempo de máquina o informes de tiempo
individuales de los empleados.

Compruebe si los informes de costos se preparan y distribuyen
oportunamente, observando los registros que llevan los usuarios,
en cuanto a la fecha de recepción, revisión y
aprobación respectivas.

Diseño
detallado del sistema

Especificaciones de salida:

Examine cuidadosamente, la documentación de las
especificaciones de salida del sistema.

Verifique si la documentación contempla por lo menos
los siguientes elementos:

1. Formato y contenido de los informes
2. Condiciones de entrega de los informes a los
usuarios
3. Periodos de retención de los informes
4. Pistas de auditoria
5. Periodo de retención de los archivos

Cerciórese de que las especificaciones de salida
garanticen al usuario la integridad, la exactitud y la
autorización de datos.

Compruebe que la documentación de las especificaciones
de salida, están conforme a los estándares de
desarrollo de sistemas.

Compruebe que la documentación de las especificaciones
de salida, están conforme a los estándares de
desarrollos de sistemas.

Especificaciones de entrada:

Examine cuidadosamente, la documentación de las
especificaciones de entrada. Compruebe que la
documentación de entrada contiene los siguientes
elementos:

1. Especificaciones de validación
2. Controles de privacidad
3. Autorizaciones de entradas y de
actualizaciones

Verifique si la gerencia del departamento usuario ha revisado
y aprobado por escrito, las especificaciones de entrada.

Investigue si las especificaciones de entrada fueron
documentadas con base en los estándares de desarrollo de
sistemas.

Especificaciones de los archivos:

Compruebe si se han definido los archivos y los métodos de
organización adecuados.

En el evento de trabajar con bases de datos,
verificar si definen las relaciones estructurales.

Examine la documentación de las necesidades del usuario
y los tipos de archivos para detectar si la gerencia usuaria las
revisó y las aprobó, por escrito, como era su
deber.

Cerciórese si el administrador de
la base de datos
participó en la definición, documentación y
organización de los archivos correspondientes.

Verifique si la seguridad ha sido
considerada en el proceso de la
definición de los archivos.

Compruebe que los periodos de retención de los archivos
han sido incluidos en sus definiciones.

Establezca si la documentación relacionada con las
especificaciones de los archivos se ajusta a los
estándares de desarrollo de los sistemas.

Especificaciones de procesamiento

Examine las especificaciones de procesamiento para ver si
fueron preparadas de acuerdo con las políticas
de la entidad.

Compruebe si la gerencia usuaria ha revisado y aprobado por
escrito las especificaciones de procesamiento.

Verifique si la documentación de las especificaciones
de procesamiento está de acuerdo con los estándares
de desarrollo de sistemas.

Documentos fuente:

Observe las formas de los documentos fuente
que se utilizan para recolectar datos con el objeto de establecer
si el diseño
responde a las necesidades del usuario.

Examine las formas de los documentos fuentes para
determinar si contienen todas las condiciones para efectos de
control, tales como estar perfoliados y tener la
autorización de la transacción.

Analice las formas de los documentos fuente para ver si su
diseño facilita la obtención de información
para control y promoción de la exactitud de los procesos.

Examine el formato de pantallas para establecer si facilita la
obtención de información, y si tiene rutinas de
edición
cuando la entrada de datos se hace en línea.

Diseño de controles:

Examine las especificaciones del diseño detallado e
identifique y pruebe los controles programados.

Evalué los controles con base en las categorías
de preventivos, defectivos y correctivos en cada punto de
control.

Verifique si se hizo análisis de costo-beneficio
para definir los controles programados.

Pistas de auditoría:

Examine las especificaciones del diseño detallado e
identifique la documentación intermedia y los listados
previstos en el diseño.

Evalué la exactitud de los documentos intermedios y en
general, todos los listados, que puedan tener validos como pistas
de auditorías.

Analice la seguridad e integridad de todos los elementos
considerados como pistas de auditoría.

Documentación de los programas:

Obtenga una copia de los estándares de la
documentación de los programas y verifique si han sido
probados por el comité de planeación de sistemas de
información.

Analice los estándares de la documentación de
los programas y observe si se considera el tipo de equipo, el
sistema operativo
y los lenguajes de
programación a utilizar.

Compruebe si los estándares de documentación de
la programación son conocidos y practicados
por el personal en la forma en que han sido aprobados.

Examine los programas a nivel individual y la correspondiente
documentación para establecer si están acordes con
los estándares predefinidos.

Cerciórese si la gerencia de sistemas ha revisado la
documentación de los programas para verificar si son
adecuados y completos.

Desarrollo e
implantación

Objetivo de la programación:

Examine los objetivos de la programación para verificar
si están adecuadamente interpretados. Observe las funciones, las
entradas, las salidas y los archivos.

Analice la coherencia entre los objetivos y los
estándares de programación.

Descripción de la programación:

Observe los instructivos detallados de la programación
para determinar si están de acuerdo con la
definición original del sistema.

Analice la descripción detallada de la lógica,
con el objeto de establecer si está escrita en forma clara
y concisa para que pueda ser entendida fácilmente su
función.

Establezca si los estándares de documentación
requieren un diagrama de flujo
del programa y si la
documentación vigente lo contempla debidamente actualizado
y ajustado a la definición del programa.

Analice las descripciones de los archivos correspondientes a
los programas seleccionados con el objetivo de
establecer si se describen con precisión los registros y
los campos para los datos, incluyendo las definiciones de los
códigos y de los registros.

Compruebe si las descripciones de los archivos están de
acuerdo con los estándares de la documentación.

Examine, cuando se trate de base de datos, los registros del
administrador de la base de datos y el diccionario,
para verificar si los elementos utilizados por los programas
seleccionados, tiene asignaciones de propietarios, están
debidamente describe y si no alteran otras definiciones del
sistema.

Software estandarizado:

Examine los informes del estudio de factibilidad para
verificar si se tuvieron en cuenta las recomendaciones
relacionadas con los paquetes de software aplicativo.

Analice los contratos de
adquisición de software estandarizados, con el objeto de
establecer si las condiciones son congruentes con las
políticas de la entidad.

Verifique si el software adquirido fue revisado y aprobado
antes de usarlo y pagarlo.

Analice el software adquirido y toda su documentación
para establecer su adaptación y validez del sistema de
control incorporado.

Programación por contrato:

Examine los términos del contrato para
programación de aplicaciones, con el objeto de establecer
si son adecuados y si intervino el gerente de
sistemas en su aprobación.

Analice la documentación de los servicios de
programación por contrato, para ver si se cumplieron las
políticas de la entidad sobre la materia.

Examine el contrato en relación con los servicios
esperados, para determinar si están claramente expresados
y si se encuentran bien definidas las situaciones de
contingencia.

Verifique si quien está haciendo el trabajo de
programación ha sido suficientemente instruido en cuanto a
los estándares de documentación para la
programación y sobre los objetivos definidos por la
organización

Compruebe si el grupo de control de
calidad y el de sistemas de información, han aprobado
los códigos, la documentación y los controles en
los programas desarrollados por contrato y si se tuvieron en
cuenta los estándares de documentación de los
programas definidos por la entidad.

Analice la documentación de los programas desarrollados
por contrato para determinar si fueron probados con base en los
estándares de la
organización.

Examine los pagos por servicio de
programación para verificar si han sido debidamente
aprobados y si están de acuerdo con el respectivo
contrato.

Manual de Operaciones

Cerciórese de que los estándares de
documentación de los programas permitan la
definición completa de la documentación para
cada aplicación.
Compruebe la existencia de manuales de operación
para cada programa y observe si se ajustan a los
estándares de documentación establecidos.
Verifique si la documentación de cada programa
cumple con lo siguiente:

1. Función del programa.
2. Especificaciones de hardware.
3. Relación de todos los mensajes de consola,
junto con la respuesta que ha de dar el operador.
4. Creación de las salidas y su uso.
5. Identificación de las etiquetas de los
archivos de salida
6. Punto de reinicio
7. Procedimientos para tratar los errores

Compruebe que los manuales de
operación son utilizados en los procedimientos de
prueba.

Cerciórese que los manuales de operación sean
leídos y utilizados por los operadores.

Manual de Usuario

Compruebe que existan manuales de usuario y toda
documentación requerida por la aplicación para
el adecuado procesamiento de los datos.
Cerciórese de que los estándares de
documentación de los programas definan claramente la
documentación que necesita el usuario en cada
aplicación.
Verifique si el manual del usuario contiene el instructivo
para preparar los datos de entrada.
Investigue si en cada manual de usuario, la
documentación contiene: