Caso de estudio 2 La fábrica de perfumes.
Ahora vamos a evaluar la segregación de funciones del ejercicio que vimos al principio del módulo.
Una planta de manufactura de perfumes de gran tamaño ha tenido pérdidas económicas significativas por
fraudes en sus operaciones.
Se identificaron irregularidades que se sospecha fueron producida en uno de los cuatro procesos que
son considerados como indispensables y los cuales representan una etapa crítica en la manufactura de
la planta.
Estos procesos son gestionados por medio de un sistema RDP, que es un sistema de planificación de recursos
empresariales, por lo que le solicitaron al autor sistemas evaluar la segregación de funciones.
Muy bien, ahora vamos a resolver este caso de estudio paso a paso.
Para esto vamos a utilizar la siguiente metodología Lo primero que vamos a hacer es analizar los procesos
y roles que intervienen en el negocio.
Luego de esto, vamos a identificar todas las funciones y combinaciones de funciones que puedan resultar
en un riesgo de fraude para la compañía.
Luego vamos a identificar si existen usuarios que tengan alguna de las combinaciones de funciones incompatibles.
Y finalmente vamos a proponer una segregación de funciones o controles compensatorios para los casos
que sea posible.
Muy bien, entonces vamos con el primer paso, que es nuestro análisis de procesos y roles que intervienen
en el negocio.
Para lograr esto, lo primero que debemos hacer es obtener un entendimiento del negocio, es decir,
un entendimiento de las actividades y procesos que se ejecutan en la planta.
Esto podemos lograrlo de dos formas.
Una de ellas es obteniendo las políticas y procedimientos relacionados a esas actividades o procesos.
Las analizamos y así obtendremos una visión general de aquellas áreas que vamos a auditar.
Posteriormente podremos sostener reuniones con los jefes o gerentes de cada área y así podremos conocer
cuáles son esos procesos críticos de la planta que según la descripción de la problemática inicial,
son los que están siendo afectados por fraude o los que están teniendo las pérdidas.
Muy bien, entonces imaginemos que formamos parte del Departamento de Auditoria Interna, somos los
auditores de sistemas y estamos evaluando ese proceso.
Ya obtuvimos las políticas y procedimientos.
Nos reunimos con los jefes de cada área y obtuvimos un entendimiento general de las actividades y acciones
que se ejecutan en la planta.
Como resultado, logramos identificar cuáles son esos procesos críticos de la planta que están siendo
afectados, que son compras, almacenamiento, elaboración y salida de productos acabado.
Y las actividades críticas que se realizan son excepción de materiales recepción de mercancía, ajustes
de inventario, ajustes de Menma, envío de productos a proveedores, solicitud de pedidos y liberación
de pedidos.
Estas son las actividades críticas relacionadas a estos procesos que están siendo afectados.
Estas actividades, a su vez, son accesos en el sistema de la compañía en el sistema.
Conociendo estas actividades críticas, entonces ya podemos completar nuestra matriz de compatibilidad.
Una matriz de incompatibilidad es una tabla donde podremos plasmar las transacciones críticas para lograr
hacer combinaciones y evaluar los riesgos de dichas combinaciones.
Es algo como esto La idea de esta tabla es identificar cuáles son esas combinaciones, esos pares de
actividades que son incompatibles para hacer la tabla.
Solamente debemos de enlistar las actividades críticas como tenemos aquí.
Estas son las actividades que identificamos crítica luego de nuestro levantamiento inicial, recepción
de materiales, recepción de mercancía y demás.
La colocamos en filas como estaca y como encabezado de columnas.
Debemos de tomar en cuenta que otras actividades la colocamos tanto en filas como en columna, pero
en el mismo orden, por ejemplo, recepción de materiales de cesión de materiales, recepción de mercancía,
recepción de mercancía y así sucesivamente hasta llegar a liberación de pedido ELEVARÁS y liberación
de pedidos.
Colocamos la misma cantidad de transacciones en las filas y al igual acá en las columnas.
Posteriormente, el siguiente paso que hacemos para completar nuestra matriz o por lo menos darle darle
forma a la plantilla es marcar en gris, donde coincide en cada unas de las actividades consigo misma.
Ejemplo de esto.
Recepción de materiales coincide en esta celda.
Con excepción de materiales y así sucesivamente.
Recepción la mercancía coincide acá con recepción de mercancía.
Seguimos marcando hasta llegar a la última liberación de pedido.
Liberación de pedido.
Esta parte que marca que marcamos en gris no se llena.
Es decir, aquí ya nos no vamos a ser nada.
No se marca.
Y esta parte de aquí abajo tampoco.
Porque las combinaciones que se tiene aquí abajo ya lo obtendremos en esta parte en blanco, aquí arriba,
que es la parte que vamos a llenar.
La idea de estos cuadros que nos queda acá es ir comparando las combinaciones de las actividades.
La idea es que logremos hacer pares con cada una de ellas y en cada punto evaluamos los posibles riesgos
que pueden generar dicha.
Dichas combinaciones, por ejemplo, de recepción de materiales con recepción de mercancía, debemos
de evaluar si esa combinación de actividades genera algún riesgo.
Yo entiendo que no, por lo regular la persona que pueda hacer la recepción de materiales también puede
hacer excepción de mercancía y no genera ningún tipo de riesgo adicional.
Entonces en este caso la podemos marcar como okei o lo podemos dejar en blanco.
Seguimos con otra combinación recepción de materiales con ajuste de inventario.
Esta combinación genera algún riesgo que una misma persona usuario la tenga?
Yo diría que sí existe un riesgo, ya que el usuario puede introducir en el sistema una recepción de
materiales ficticia y luego ajustar esa recepción con su privilegio de ajuste de inventario.
De manera que ocultaría esa recepción de materiales con fines de realizar algún tipo de fraude o acción
no autorizada.
Entonces, cómo esa combinación de transacciones nos genera un riesgo que más adelante lo vamos a redactar,
a documentar.
Marcamos con una X.
Recepción de materiales y la actividad de ajuste de merma.
Existe algún riesgo en esa combinación?
Yo diría que sí, ya que el usuario pudiera, al igual que con ajuste de inventario, pudiera registrar
una recesión ficticia y luego y luego cubrir sus acciones con ajuste de merma.
De esta manera sería difícil identificar las actividades no autorizadas realizada por el usuario.
Más adelante vamos a ver eso también.
Entonces exepcion de materiales con envios de producto a proveedor?
Yo diría que no, a excepción de materiales con solicitud de pedido.
Esa combinación realmente que este las dos de un usuario no generan no genera ningún riesgo.
Pero estamos haciendo así breve.
Pero esto se realiza en base a una evaluación de riesgo al comparar ambas actividades y contando con
el conocimiento del negocio y del levantamiento inicial que hicimos.
Pudiéramos entonces identificar con mayor detalle cuáles son esos riesgos reales que pueden generar
esa combinación de funciones.
Ahora lo estamos haciendo rápido y resumido con el objetivo no complicar mucho este caso de estudio.
La idea es entender cuál es el propósito de la matriz de incompatibilidad y así lo hacemos con cada
una de estas actividades.
Seguimos con la siguiente recesion de mercancía.
Aquí existe alguna incompatibilidad con ajuste de inventario?
Si, si identificamos que si la marcamos, de lo contrario no la marcamos y así continuamos hasta evaluar
cada una de las combinaciones que aquí tenemos.
En esta pestaña yo lo había completado para nuestro ejemplo, ya que está completa con las combinaciones
incompatibles que identificamos.
Entonces tenemos cuatro, cinco, seis, siete combinaciones incompatibles.
Posteriormente lo que hacemos es un resumen donde tomamos esas combinaciones incompatibles y redactamos
los riesgos que identificamos.
Algo como esto.
Esta es una plantilla donde se coloca actividad 1, se coloca la actividad 2.
Este sería el par que provoca la falta de segregación o la incompatibilidad.
Aquí en descripción describimos el riesgo que identificamos y el nivel de riesgo sería si es un riesgo
bajo medio o un riesgo alto.
Entonces.
Esta tabla ya yo la tengo llena acá en esta pestaña, con las combinaciones que vimos anteriormente.
Por ejemplo, en la tabla anterior, en ésta identificamos una incompatibilidad en recepción de materiales.
Ajuste de inventario en nuestra tabla de resumen
Tocá.
Tenemos.
Apreciación de materiales, ajuste de inventario, Cecelia el par.
Y así con cada uno de los pares, coloque acá al riesgo.
El usuario es capaz de introducir una recesión ficticia o incorrecta y aprobar las diferencias por ajuste
de inventario con el objetivo de ocultar dicha recepción.
Read Blacky.
Esta primera combinación que tenemos ajustes de inventario y envíos de producto, proveedores de inventario
y envío de producto, proveedores, otra que identificamos.
La colocamos aquí.
Y agregamos el riesgo, el usuario es capaz de introducir una entrega ficticia o incorrecta y aprobar
las diferencias por ajuste de inventario con el objetivo de ocultar dicha entrega.
El nivel de riesgo alto.
Entonces, luego de completar esta tabla con todas las combinaciones incompatibles y haber agregado
el riesgo, entonces podemos continuar la siguiente fase que hasta el momento ya tenemos las actividades
crítica.
Ya, ya sabemos cuáles son las combinaciones entre ellas que generan riesgo, es decir, las combinaciones
incompatibles.
Ahora necesitamos saber cuáles son los privilegios o acceso que tienen los usuarios en el sistema.
Entonces, para eso obtenemos un reporte del del sistema R.P.
Lo podemos solicitar al área dueña del sistema.
El Departamento de Tecnología, por ejemplo, y en el reporte vamos a obtener cuáles son esos accesos.
Este es un ejemplo de un reporte del sistema, un reporte.
Como ejemplo sería un reporte guía donde vamos a obtener los usuarios el nombre, los usuarios, el
rol que tiene ese usuario y cuáles son los privilegios que tiene.
Si se fija en los privilegios, son las mismas transacciones crítica que estamos evaluando.
En caso de que el reporte como el reporte puede traer todos los usuarios, todas las.
Los accesos y actividades.
En este caso solamente filtramos los accesos que necesitamos para nuestra evaluación, que son las actividades
críticas que estamos evaluando.
Entonces.
Que tenemos que al sol, operario de almacén tiene privilegio de recepción de mercancía, de ajuste
de inventario y recepción de materiales.
Entonces, conociendo cuáles son los accesos que tienen los usuarios y conociendo ya cuáles son las
actividades incompatibles.
Lo que vamos a hacer ahora es crear una matriz de segregación de funciones.
La matriz de segregación de funciones es algo como esto es una plantilla, una tabla de Excel.
El formato puede variar.
Entiendo que este es simple, simple de entender.
En la plantilla lo que se coloca son los roles.
También pueden incluir los usuarios y las combinaciones que identificamos, que son como incompatibles.
Esas fueron las combinaciones que resultaron de la matriz de incompatibilidad recepción de mercancía,
de inventario.
Esa combinación son pares de transacción combinación.
Tenemos otra combinación.
La número 2 es envío de producto, proveedor y ajuste de inventario, que lo vemos.
Vamos a ver en la tabla de incompatibilidad.
Por ejemplo.
La primera fue recepción de materiales, ajuste de inventario.
Entonces nuestra matriz.
De segregación tenemos recesion de materiales, ajustes de inventario y así tenemos varias combinaciones
aquí que aquí planteamos 4 4 combinaciones incompatibles.
Entonces el siguiente paso es con el reporte que tenemos de los accesos de los usuarios.
Vamos a marcar en esta plantilla las actividades que posee cada rol para identificar si existe alguna
incompatibilidad en ese rol.
Entonces vamos acá a reporte de ese reporte de acceso.
Vemos que el rol de operario de almacén tiene recepción de mercancía.
Vamos a la matriz de segregación y buscamos el rol operario de almacén y la actividad recepción de mercancía.
La marcamos con una X.
El siguiente acceso que tiene rol, roles, ajuste de inventario.
Vamos a la matriz aquí en ajuste de inventario de la X.
Ya identificamos una incompatibilidad.
Tras nuestra primera incompatibilidad?
Estoy de inventario.
Aquí está también un inventario.
Vamos a ver qué otro acceso tiene ese rol.
Recepción de materiales, recepción de materiales y ya no tiene más accesos.
Este rol tiene un problema de segregación de funciones en esta parte.
Acá la combinación de la actividad recepción de mercancía y la actividad ajuste de inventario.
Seguimos con el siguiente rol encargado de almacén.
En el reporte de acceso al sistema.
Tenemosque el encargado de almacén tiene excepción de mercancía.
Ajuste de inventario.
Recepción de mercancía.
Ajuste de inventario.
Envíos de producto a proveedores.
Recepción de materiales.
Este ajuste de inventario la tenía también.
Y solicitud de pedido.
Solicitud de pedido de la marcamos acá, entonces este rol tiene un problema de segregación aquí en
esta combinación y tiene esta otra combinación incompatible y así sucesivamente.
Seguimos completando cada uno de los roles, marcando los cuales son los accesos que tienen esta tabla.
Tendríamos al final algo como esto.
Aquí ya vemos cuáles son esos roles que tienen funciones incompatibles, tenemos tres roles con problemas
de segregación, que es el de operario de almacén encargado de almacén y el encargado de compras que
tiene actividades, solicitud de pedido y liberación de pedidos.
Entonces, ya habiendo identificado cuáles son esos roles y cuáles son esos conflictos de segregación
de funciones, entonces ya podemos plasmar esta información en un reporte de hallazgo, un reporte que
va a resumir cuál es el problema de segregación de funciones que gratificados.
Entonces tenemos acá una plantilla que podemos utilizar para eso.
En esta plantilla vamos a colocar el usuario, el nombre, el rol, en caso de que tengan todas esas
informaciones, también puede ser solamente colocar el rol o tal vez colocar el usuario el nombre de
la persona.
Aquí la combinación incompatible acceso o un acceso no se coloca aquí.
La descripción del riesgo la colocamos acá los riesgos que identificamos en la matriz de incompatibilidad
y el nivel de riesgo.
Cuando coloquemos todo eso.
Tendríamos algo así.
Tenemos el Elron.
Este es el usuario que tiene ese rol.
A.
A Rona Adolfo Ronna, operario de almacén que posee la combinación, recepción de mercancía y ajuste
de inventario.
Esta combinación genera este riesgo, el usuario es capaz de introducir una recepción ficticia o incorrecta
y solventar las diferencias por ajuste de inventario con el objetivo de ocultar dicha recepción.
Ese sería el riesgo y el nivel de riesgo alto.
Así tenemos los demás riesgo como este de acá, que es el del encargado de compras que tiene la combinación,
solicitud de pedido y liberación de solicitud de pedido.
El riesgo de esto es que el usuario es capaz de hacer un pedido de productos.
Aquí hay un error.
El usuario es capaz de hacer un pedido de producto o servicio y a su vez autorizarlo sin rendir cuenta
del fin de dicha solicitud.
Este es uno de los riesgos que puede generar esa combinación.
El nivel de riesgo para cada una de las combinaciones es incompatible que identificamos es alto entonces.
Ya con esta tabla podemos presentar a la gerencia o al al área correspondiente los problemas de segregaciones
que identificamos y vamos a recomendar dos cosas que mitiguen el riesgo que genera la falta de segregación
de funciones, eliminando una.
Uno de los accesos que genera la incompatibilidad en cada rol o colocando un control compensatorio para
los casos donde no se pueda segregar dichas funciones.
Los controles compensatorios pueden variar dependiendo de cuál sea la actividad o la función del cual
se esté hablando.
Entonces, luego de presentar esto, ya podemos dar como concluido este caso de estudio.
Espero lo hayan entendido.