Planificar la auditoría de TI

El objetivo de una auditoría es la conclusión que vas a poder dar al final: «los controles de accesos, cambios y respaldos de Cartera Alba protegen la integridad de la cartera». El alcance es el perímetro dentro del que lo vas a concluir: qué sistemas, qué procesos, qué periodo. Son cosas distintas, y mezclarlas es la fuente de la mayoría de los malentendidos con quien te encarga el trabajo.

Un buen objetivo se escribe como algo sobre lo que se puede opinar con evidencia. «Revisar todo lo que haga falta» no es un objetivo: es la ausencia de uno, y garantiza que al final nadie esté de acuerdo en si se cumplió. Tampoco lo es una lista de tareas («correr una herramienta», «pedir los listados»): las tareas son el medio, no la conclusión.

Los controles generales de TI (ITGC, por sus siglas en inglés) son los que sostienen a todas las aplicaciones a la vez: quién entra (accesos), qué se modifica (cambios) y si lo operado se puede recuperar (operaciones y respaldos). Si fallan, ninguna conclusión sobre las aplicaciones es fiable, y por eso son el objetivo habitual de una auditoría de TI.

Un equipo de auditoría nunca tiene horas para todo. Por eso el plan se ordena con el riesgo: la probabilidad de que algo falle multiplicada por lo que costaría que fallara, igual que en el módulo de riesgo. El universo auditable es la lista de sistemas y procesos que podrían auditarse, cada uno con su puntuación y su historial.

Dos trampas habituales. La primera es auditar lo que lleva más tiempo sin revisar solo por eso: un sistema que «nunca se ha auditado» pero que no toca datos ni dinero no sube al primer lugar. La segunda es auditar lo que es cómodo, porque el responsable es colaborador o porque la evidencia es fácil de conseguir.

Abre el universo auditable de la cooperativa y puntúa cada sistema multiplicando probabilidad por impacto.

La solicitud del Comité trae una limitación y una petición que chocan. Hay 120 horas para todo el trabajo, planificación e informe incluidos. Auditar Cartera Alba cuesta 90, y el Comité pide además incluir Captaciones, que son 70 horas más.

Las salidas malas son las que esconden el choque: recortar las horas de cada sistema para que «quepan los dos» y concluir sobre ambos con la mitad de la evidencia, o incluir el segundo en el alcance y dejarlo sin conclusión en el informe. La salida buena es la que deja el choque a la vista: se mantiene el alcance que las horas sostienen, se escribe qué queda fuera y por qué, y se propone para el siguiente plan.

Lo que queda fuera del alcance también es parte del papel de trabajo: el lector del informe tiene que saber qué no se auditó.

El programa de trabajo es la tabla que ata cada objetivo de control a la prueba que lo cubre. Es la que le dice a otra persona del equipo qué hacer mañana sin preguntarte, y la que le dice al revisor si el informe podrá sostener cada conclusión.

Un objetivo sin prueba asignada es una promesa sin respaldo: aparecerá en el alcance, y al final no habrá evidencia para decir nada sobre él. Revísalo antes de empezar el trabajo de campo, no cuando ya estás escribiendo el informe.