EJEMPLOS O SITUACIONES DE UNA AUDITORIA
Controles sobre datos fijos Lea cada situación atentamente y: 1.- Enuncie un control que hubiera prevenido el problema o posibilitado su detección. 2.- Identifique uno o más controles alternativos que hubieran ayudado a prevenir o a detectar el problema. Un empleado del grupo de control de datos obtuvo un formulario para modificaciones al archivo maestro de proveedores (en blanco) y lo completo con el código y nombre de un proveedor ficticio, asignándole como domicilio el número de una casilla de correo que previamente había abierto a su nombre. Su objetivo era que el sistema emitiera cheques a la orden del referido proveedor, y fueran
luego remitidos a la citada casilla de correo. Cuando el listado de modificaciones al archivo maestro de proveedores (impreso por esta única modificación procesada en la oportunidad) le fue enviado para su verificación con los datos de entrada, procedió a destruirlo. · Los formularios para modificarse a los archivos maestros deberían ser prenumerados; el departamento usuario respectivo debería controlar su secuencia numérica. · Los listados de modificaciones a los archivos maestros no sólo deberían listar los cambios recientemente procesados, sino también contener totales de control de los campos importantes,(número de registros, suma de campos importantes, fecha de la última modificación ,etc.) que deberían ser reconciliados por los departamentos usuarios con los listados anteriores. Al realizar una prueba de facturación los auditores observaron que los precios facturados en algunos casos no coincidían con los indicados en las listas de precios vigente. Posteriormente se comprobó que ciertos cambios en las listas de precios no habían sido procesados, razón por la cual el archivo maestro de precios estaba desactualizado. · Uso de formularios prenumerados para modificaciones y controles programados diseñado para detectar alteraciones en la secuencia numérica de los mismos. · Creación de totales de control por lotes de formularios de modificaciones y su posterior reconciliación con un listado de las modificaciones procesadas. · Conciliación de totales de control de campos significativos con los acumulados por el computador. · Generación y revisión de los listados de modificaciones procesadas por un delegado responsable. · Revisión de listados periódicos del contenido del archivo maestro de precios. El operador del turno de la noche, cuyos conocimientos de programación eran mayores de los que los demás suponían, modifico (por consola) al archivo maestro de remuneraciones a efectos de lograr que se abonara a una remuneración más elevada a un operario del área de producción con el cual estaba emparentado. El fraude fue descubierto accidentalmente varios meses después. · Preparación de totales de control del usuario y reconciliación con los acumulados del campo remuneraciones, por el computador. · Aplicación de control de límites de razonabilidad. XX Inc. Es un mayorista de equipos de radio que comercializa sus equipos a través de una vasta red de representantes. Sus clientes son minoristas locales y del exterior; algunos son considerados " clientes especiales", debido al volumen de sus compras, y los mismos son atendidos directamente por los supervisores de ventas. Los clientes especiales no se incrementan por lo general, en la misma proporción que aquellas facturadas a los clientes especiales. Al incrementarse los precios, el archivo maestro de precios y condiciones de venta a clientes especiales no es automáticamente actualizado; los propios supervisores estipulan qué porción del incremento se aplica a cada uno de los clientes especiales. El 2 de mayo de 1983 la compañía incrementó sus precios de venta en un 23%; el archivo maestro de precios y condiciones de venta a clientes comunes fue actualizado en dicho
porcentaje. En lo que atañe a los clientes especiales, algunos supervisores incrementaron los precios en el referido porcentaje, en tanto que otros -por razones comerciales- recomendaron
incrementos inferiores que oscilaron entre un 10% y un 20%. Estos nuevos precios de venta fueron informados a la oficina central por medio de formularios de datos de entrada, diseñados al efecto, procediéndose a la actualización del archivo maestro. En la oportunidad, uno de los supervisores acordó con uno de sus clientes especiales no incrementar los precios de venta (omitió remitir el citado formulario para su procesamiento) a cambio de una "comisión’’ del 5% de las ventas. Ningún funcionario en la oficina central detectó la no actualización de los precios facturados a referido cliente razón por la cual la compañía se vio perjudicada por el equivalente a US$ 50.000. El fraude fue descubierto accidentalmente, despidiéndose al involucrado, pero no se interrumpió la relación comercial. · La empresa debería actualizar el archivo maestro de precios y condiciones de venta aplicando la totalidad del porcentaje de incremento. · Los supervisores de venta deberían remitir formularios de entrada de datos transcribiendo los descuentos propuestos para clientes especiales. · Los formularios deberían ser prenumerados, controlados y aprobados, antes de su procesamiento, por funcionarios competentes en la oficina central. · Debe realizarse una revisión crítica de listados de excepción emitidos con la nómina de aquellos clientes cuyos precios de venta se hubiesen incrementado en menos de un determinado porcentaje. Un empleado del almacén de productos terminados ingresos al computador ordenes de despachos ficticios, como resultado de las cuales se despacharon mercaderías a clientes
inexistentes. Esta situación fue descubierta hasta que los auditores realizaron pruebas de cumplimientos y comprobaron que existían algunos despachos no autorizados. · Un empleado independiente de la custodia de los inventarios debería reconciliar diariamente la información sobre despachos generada como resultado del procesamiento de las órdenes de despacho, con documentación procesada independientemente, por ejemplo, notas de pedido aprobadas por la gerencia de ventas. De esta manera se detectarían los despachos ficticios. Al realizar una prueba de facturación, los auditores observaron que los precios facturados en algunos casos no coincidían con los indicados en las listas de precios vigentes.
Posteriormente se comprobó que ciertos cambios en las listas de precios no habían sido procesados, razón por la cual el archivo maestro de precios estaba desactualizado. · Creación de totales de control por lotes de formularios de modificaciones y su posterior reconciliación con un listado de las modificaciones procesadas. · Conciliación de totales de control con los acumulados por el computador
referentes al contenido de campos significativos. · Generación y revisión, por un funcionario responsable, de los listados de modificaciones procesadas. · Generación y revisión de listados periódicos del contenido del archivo maestro
de precios. Una cobranza en efectivo a un cliente registrada claramente en el correspondiente recibo como de $ 18,01, fue ingresada al computador por $ 1.801 según surge del listado diario de cobranzas en efectivo. · Contraloría/Auditoría debería preparar y conservar totales de control de los lotes de recibos por cobranzas en efectivo. Estos totales deberían ser luego comparados con los totales según el listado diario de cobranzas en efectivo. · Un test de razonabilidad asumiendo que un pago de $361.300 está definido como no razonable. · Comparación automática de los pagos recibidos con las facturas pendientes por el número de factura y rechazar o imprimir aquellas discrepancias significativas o no razonables. · Efectuar la Doble digitación de campos críticos tales como valor o importe. Metodología de una Auditoría de Sistemas Existen algunas metodologías de Auditorías de Sistemas y todas depende de lo que se pretenda revisar o analizar, pero como estándar analizaremos las cuatro fases básicas de un proceso de revisión: · Revisión y evaluación de controles y seguridades · Examen detallado de áreas criticas · Comunicación de resultados Estudio preliminar.- Incluye definir el grupo de trabajo, el programa de auditoría, efectuar visitas a la unidad informática para conocer detalles de la misma, elaborar un cuestionario para la obtención de información para evaluar preliminarmente el control interno, solicitud de plan de actividades, Manuales de políticas, reglamentos, Entrevistas con los principales funcionarios del PAD. Revisión y evaluación de controles y seguridades.- Consiste de la revisión de los diagramas de flujo de procesos, realización de pruebas de cumplimiento de las seguridades, revisión de aplicaciones de las áreas críticas, Revisión de procesos históricos (backups), Revisión de documentación y archivos, entre otras actividades. Examen detallado de áreas críticas.-Con las fases anteriores el auditor descubre las áreas críticas y sobre ellas hace un estudio y análisis profundo en los que definirá concretamente su grupo de trabajo y la distribución de carga del mismo, establecerá los motivos, objetivos, alcance Recursos que usara, definirá la metodología de trabajo, la duración de la auditoría, Presentará el plan de trabajo y analizara detalladamente cada problema encontrado con todo lo anteriormente analizado en este folleto. Comunicación de resultados.- Se elaborara el borrador del informe a ser discutido con los ejecutivos de la empresa hasta llegar al informe definitivo, el cual presentara esquemáticamente en forma de matriz, cuadros o redacción simple y concisa que destaque los problemas encontrados , los efectos y las recomendaciones de la Auditoría. El informe debe contener los siguiente: · Motivos de la Auditoría · Estructura Orgánico-Funcional del área Informática · Configuración del Hardware y Software instalado · Resultados de la Auditoría A continuación se presenta una política en Informática establecida como propuesta a fin de ilustrar el trabajo realizado de una auditoría de sistemas enfocada en los controles de Organización y planificación. Esta política fue creada con la finalidad de que satisfaga a un grupo de empresas jurídicamente establecidas con una estructura departamental del Área de Sistemas integrada por: Dirección , Subdirección, Jefes Departamentales del Área de Sistemas en cada una de las empresas que pertenecen al grupo. Así mismo los Departamentos que la componen son: Departamento de Desarrollo de Sistemas y Producción, Departamento de Soporte Técnico y Departamento de Redes/ Comunicaciones,Departamento de Desarrollo de Proyectos. Para el efecto se ha creado una Administración de Sistemas que efectúa reuniones periódicas a fin de regular y normar el funcionamiento del área de Sistemas y un Comité en el que participan personal del área de Sistemas y personal administrativo.
No hay comentarios:
Publicar un comentario