Segregación de funciones.
Muy bien, en este módulo vamos a aprender cómo auditar la segregación de funciones de un sistema.
Pero antes vamos a ver que dice este caso de estudio.
Una planta de manufactura de perfumes de gran tamaño ha tenido pérdidas económicas significativas por
fraudes en sus operaciones.
Se identificaron irregularidades que se sospecha fueron producidas en alguno de los procesos indispensables
y que representan una etapa crítica a la manufactura de la planta.
Estos procesos son gestionados por medio de un sistema RR.PP.
Que es un sistema de planificación de recursos empresariales, por lo que le solicitan al auditores
sistemas evaluar la segregación de funciones.
Sabiendo esto, como nosotros como auditores, podemos evaluar la segregación funcional de esta planta
y evitar que sigan ocurriendo fraudes.
En este módulo vamos a aprender paso a paso como resolver este problema y proponer soluciones que impidan
que sigan ocurriendo fraudes dentro de la planta.
Pero antes es bueno que veamos un poco acerca de la teoría sobre segregación de funciones.
La segregación de funciones se basa en el principio de que un usuario o persona no debe de encontrarse
en posición, de poder iniciar y autorizar sus propias transacciones.
En otras palabras, la segregación de funciones se podría definir como la expresión divide y vencerás.
Aplicada a la definición de roles y responsabilidades dentro de una empresa, los puestos de trabajos
y las estructuras organizacionales dentro de los departamentos varían mucho entre una organización y
otra, dependiendo del tipo de trabajo y la naturaleza del negocio.
Sin embargo, el auditor de sistemas debe de obtener suficiente información para entender y documentar
las relaciones entre las funciones de trabajo, responsabilidades y autoridades de la empresa para evaluar
la idoneidad de la segregación de funciones.
La correcta segregación de funciones evita la posibilidad de que una persona pueda disponer a voluntad
del control de un proceso de negocio completo, teniendo así la oportunidad de realizar acciones no
autorizadas que no sean detectadas oportunamente.
También podemos decir que la segregación de funciones es un control interno que busca evitar que una
misma persona tenga control sobre dos o más transacciones sensibles e incompatibles.
Es decir, que según este principio, una misma persona no debería poder realizar dos transacciones
cuya combinación pudiera resultar en un riesgo potencial para la empresa.
Aquí tenemos un ejemplo de esto un usuario no debería de poder realizar un pedido de compra y a su vez
poder pagar dicha factura.
Se podría dar el caso de que esta acción fuese mal intencionada y se tratase de un pedido ficticio o
incorrecto, cuando no es posible establecer una adecuada segregación de funciones por disponibilidad
de recursos o por el tamaño del departamento o de la empresa, deben de ser implementados controles
compensatorios.
Los controles compensatorios son actividades que pretenden reducir el riesgo de una debilidad existente
cuando no puede ser segregada de manera apropiada en un departamento pequeño.
Una persona podría desempeñar diversas funciones que generan un riesgo.
En ese caso debe ser implementado un control compensatorio para mitigar dicho riesgo.
Quisiéramos un ejemplo de un ciclo de negocio donde tenemos que una persona realiza cotización y comparación
de cotizaciones.
Otra persona realiza la orden de compra y otra persona hace la aprobación de la orden de compra.
Como tenemos dos transacciones en una misma persona que genera un riesgo, entonces deberíamos de implementar
un control compensatorio para mitigar ese riesgo, que puede ser un monitoreo de las comparaciones de
cotizaciones que se realiza o de la ejecución de las transacciones que realiza el usuario.
Ese monitoreo puede estar atado a nivel de supervisión, donde el supervisor tenga acceso íntegro a
todas las acciones o transacciones que ejecute este usuario.
Los controles compensatorios pueden incluir los siguientes pistas de auditoría que esto ayuda tanto
al departamento operativo como al departamento de auditoría atrasar el flujo de las transacciones.
Esto es una especie de archivo log donde se guardan rastro de todas las actividades realizadas por un
usuario determinado y se registran campos como fecha, hora, tipo de ingreso y acción realizada.
Conciliación puede ser realizada mediante totales de control y hojas de balance.
Este tipo de control aumenta la confianza de que los datos están correctamente balanceados.
Reporte de excepciones debe ser manejado a nivel de supervisión y debe de tener evidencia de que las
excepciones la identificaron y fueron atendidas.
Registro de transacciones es una especie de histórico de todas las transacciones procesadas por el sistema.
Es básicamente un registro de transacciones.
Revisiones de supervisión.
Son las actividades que realiza un supervisor en el monitoreo de las acciones realizadas por el usuario.
Las revisiones independientes son básicamente aquellas revisiones realizadas por un ente independiente
del departamento o de la empresa.
Es decir, por Alin Lindelof.
Formé parte de ese ambiente.
En el caso de las revisiones independientes tenemos los auditores externos que no formaban parte de
la empresa pero realizan revisiones a los procesos.
Autorización de transacciones.
La autorización de transacciones es responsabilidad del departamento del usuario y es delegada a una
persona autorizada.
Dicho departamento.
En este caso se deben de realizar verificaciones periódicas por parte de auditoría interna para detectar
transacciones que no cuenten con dicha autorización.
Custodia de activos.
El dueño de los datos tiene la responsabilidad de determinar los niveles de autorización requeridos
para proveer seguridad a los datos.
Controles de AACC.
Beso.
Estos son básicamente los controles de seguridad física y lógica de las aplicaciones de sistemas que
son implantados para evitar que personas no autorizadas logren acceso a los datos.
Formularios de autorización El departamento propietario del sistema debe de proveer al departamento
de tecnología formularios formales de autorización, ya sea de manera física o electrónica, que defina
los derechos de acceso de cada usuario o rol en base a esto.
Los privilegios de los sistemas serán revisados por los auditores de sistemas para verificar la idoneidad
de los accesos otorgados, aplicando una correcta segregación de funciones dentro de las empresas.
Podemos reducir los errores involuntarios, reducir el riesgo de fraude, definir y separar los roles
y responsabilidades y obtener un mayor control de los procesos.