Informe de auditoría Un informe de auditoría no es más que un documento formal que prepara el auditor
con las conclusiones obtenidas luego de haber realizado un trabajo de auditoría.
Con frecuencia, el auditor de sistemas tendrá que presentar los resultados de los trabajos de auditoría
a los distintos niveles de la gerencia.
Por eso es importante que el auditor de sistemas tenga conocimiento de las diferentes técnicas de presentación
necesaria para comunicar estos resultados.
Las principales técnicas de presentación que tenemos son resumen ejecutivo, los anexos detallados y
la presentación visual.
El resumen Ejecutivo es un informe conciso y fácil de leer que presenta los hallazgos a la gerencia
en una forma comprensible.
Los hallazgos y las recomendaciones se deben de comunicar desde una perspectiva de negocio, en un lenguaje
que los miembros de la alta gerencia puedan entender y aplicar a su visión de negocio.
Ejemplo En un resumen ejecutivo donde las observaciones o hallazgos van dirigidos a un personal de la
alta gerencia, es incorrecto detallar el hallazgo.
De esta forma identificábamos que no está definida la opción a cabo local Duration.
Es incorrecto ya que el personal de la alta gerencia no va a entender de qué se trata.
El hallazgo es diferente si lo mencionamos de esta forma.
Identificamos que la opción que determina la cantidad de minutos que una cuenta bloqueada permanecerá
bloqueada antes de que se bloquee automáticamente.
No está configurado apropiadamente.
En este caso, podemos observar que aún siendo el mismo hallazgo, la idea se entiende mucho mejor.
En el primer caso que planteamos, si esa observación es dirigida a un personal técnico, es posible
que lo puedan entender sin ningún problema.
Pero si el personal no es técnico o del área de tecnología con ciertos conocimientos.
Es muy probable que no lo puedan entender.
Por eso es importante.
Que los hallazgos estén redactados en un lenguaje claro, de manera que cualquiera lo pueda entender.
Los anexos detallados son un tipo de informe de naturaleza más técnica, ya que la gerencia de operaciones
requerirá los detalles para corregir las situaciones reportadas.
En cuanto a la presentación visual, esto puede incluir diapositivas o gráficas de computadora donde
presentemos los resultados del trabajo realizado.
Esto usualmente lo utilizamos a lo interno del departamento de auditoría para presentar reporte o estatus
de los trabajos, o también se puede presentar a otros departamentos para compartir ciertas informaciones.
Es importante señalar que los auditores de sistemas debemos de sentirnos en la libertad de comunicar
los asuntos o preocupaciones a la alta dirección y al Comité de Auditoría.
Los Comités de Auditoría son grupos directivos de alto nivel que están típicamente compuestos por personas
que no trabajan directamente para la empresa, con el fin de proveer a los auditores una vida independiente
para reportar los hallazgos sensibles.
Un intento de impedir acceso a la alta dirección por parte de niveles inferiores limitaría la independencia
de la función de auditoría.
Así que eso no es aceptable.
Antes de comunicar los resultados a la alta dirección, el auditor de sistemas debe discutir los hallazgos
con el personal a cargo del área auditada, y esto se puede hacer a través de una entrevista.
El objetivo de dicha discusión es llegar a un acuerdo sobre dichos hallazgos y desarrollar un plan de
acción correctivo para cada uno de ellos.
Durante dicha entrevista, debemos de asegurarnos de que los hechos presentados en el informe estén
correctos, que las recomendaciones sean realistas y eficientes en caso de que no lo sean.
Buscar alternativas con el auditado y sugerir fechas de implementación para los planes de acción acordados.
En caso de existir algún desacuerdo, el auditor, el sistema deberá profundizar sobre la importancia
de los hallazgos identificados, cuáles son los riesgos y el efecto de no corregir dichas debilidades
de control.
En algunas ocasiones, la gerencia del auditado puede requerir apoyo del auditor de sistemas para implementar
las mejoras y recomendaciones.
En esos casos debemos nosotros de comunicarle al auditado la diferencia entre el rol del auditor y el
rol del consultor y enfatizar en cómo brindar apoyo a un auditado pudiera afectar adversamente la independencia
del auditor.
La independencia es más bien la capacidad que tiene el auditor de emitir libremente una opinión sobre
algo sin ser influenciado.
En otras palabras, que esté libre de conflicto de intereses.
Una vez que se ha llegado a un acuerdo con el auditado, el gerente o jefe del Departamento de auditoría
debe de enviar un corto resumen a la alta dirección y al Comité de Auditoría.
Muy bien.
Entonces, retomando los informes de auditoría, son el producto final del trabajo de auditoría y son
utilizados por el auditor para presentar a la gerencia la los hallazgos y las recomendaciones.
Es bueno saber que no existe un formato específico para los informes de auditoría.
Sin embargo, las políticas y procedimientos de las organizaciones van a definir a groso modo la estructura
que debe de tener el documento.
De todas formas, existen campos claves o informaciones esenciales que debe de tener todo informe de
auditoría.
Ahora vamos a ver cuáles son esos campos claves.
Todo informe de auditoría debe contener por lo menos las siguientes informaciones Introducción Qué constituye
el preámbulo de lo que viene contenido en el informe?
Usualmente esto viene redactado en las primeras páginas del informe.
Las limitaciones, en caso de que existan, que representan ciertas reservas del auditor en cuanto al
trabajo que se realiza más adelante, vamos a ver algún ejemplo de esto.
Losobjetivos que es el propósito del trabajo que se realizó.
El alcance que especifica el proceso que fue auditado, el período cubierto que representa, el lapso
de tiempo que se tomó en cuenta para la auditoría.
Un ejemplo de esto puede ser un año, el período 2019.
Los hallazgos que representan las debilidades o situaciones encontradas por el auditor, las conclusiones
que incluye la opinión del auditor referente a los hallazgos identificados, los riesgos que son las
implicaciones o posibles impactos de los hallazgos o debilidades identificadas.
Las recomendaciones, que son las sugerencias del auditor referente a los hallazgos identificados y
el detalle de los hallazgos, que es una descripción ampliada de las situaciones observadas.