¿Análisis de Datos, Lujo o Necesidad para los Auditores?
Por Grau Bonet
Lo más importante a considerar por un profesional, y en especial un auditor, es la credibilidad en su trabajo y la seriedad de todas y cada una de las recomendaciones o de los informes que produce. Una sola omisión o error pueden poner en entredicho su capacidad profesional.
Por otro lado, las organizaciones toman decisiones y asumen compromisos legales o de cumplimiento, basados en el trabajo y recomendaciones del equipo de auditoría. Por lo tanto un error u omisión puede representar una pérdida importante para las organizaciones.
Para que los auditores puedan realizar una investigación, emitir una recomendación o entregar un informe, necesitan tener la más absoluta certeza de que lo que se dice corresponde a la realidad. En las organizaciones modernas, la información que puede sustentar una aseveración se encuentra en las transacciones y es indispensable tener acceso a las mismas para poder reconstruir la realidad desde el(los) punto(s) de vista que requiere un auditor al momento de desarrollar una investigación que desencadene una opinión en un informe.
Por lo tanto, el análisis de datos no es un lujo, el análisis de datos es una necesidad muy importante para los auditores. Si concluimos que el análisis de datos es necesario para sustentar el trabajo, es indispensable asegurarnos de que se utilicen las herramientas de análisis adecuadas y que se sepan usar bien.
Las herramientas de análisis deben cumplir los siguientes objetivos principales:
- Estar diseñadas para el trabajo que los auditores realizan y de esta manera simplificar en lugar de complicar. Se aumenta así la productividad y se acelera la entrega de los resultados
- Deben ser fáciles de utilizar, incluso cuando se deben crear pruebas complejas o cuando se requiera automatizarlas para aplicaciones de auditoría continua
- Soportar la documentación del proceso del trabajo para sustentar los resultados
- Permitir de manera sencilla la selección o rechazo del subconjunto de datos necesario para el análisis.
-
Incorporar la más amplia variedad de funciones y métodos estadísticos
-
Permitir analizar el universo completo de los datos. Trabajar con muestras es un riesgo que no se debe tomar y no se debe limitar la profundidad de las pruebas por restricciones técnicas de las herramientas
- Permitir un amplio acceso a la fuente de datos y ofrecer capacidades para poder cruzar información de diferentes fuentes en una sola prueba
- Permitir el establecimiento de procedimientos de control sobre las mismas actividades de los auditores
En resumen, para que un auditor pueda ofrecer opiniones bien sustentadas debe poder realizar investigaciones exhaustivas apoyadas en procesos de análisis de datos. Y éstos, no deben estar limitados por las herramientas tecnológicas que el auditor utiliza.
Para cubrir esta importante necesidad el Grupo Eniac distribuye y soporta las herramientas de análisis de datos ACL. Según las encuestas del IIA en el ámbito global y en Latinoamérica y el Caribe, ACL es la herramienta de análisis de datos más utilizada por los auditores en tareas como extracción y análisis de datos, monitoreo continuo y detección de fraude.
La Auditoría de las Bases de Datos
Por Roger Bonet
Cada día el trabajo del auditor incorpora más actividades de recolección, asociación, análisis, interpretación y síntesis para descubrir excepciones, tendencias, patrones, comportamientos, etc. y para asegurar que la imagen que certifica de la realidad es altamente plausible. Un campo tradicional de trabajo se relaciona con el fraude, otro, más reciente, lo está con el cumplimiento de regulaciones, cada día más amplio y más crítico.
En los últimos años hemos llegado directamente al sitio donde residen los datos para consultarlos en la fuente o extraerlos, sin intervención de terceros, para ponerlos en ambientes especiales donde se puedan trabajar intensamente y hacer descubrimientos o hallazgos. Estas capacidades de las herramientas CAATT como ACL permiten trabajar sobre el universo y no sobre la muestra.
La Auditoría de Bases de Datos tradicionalmente ha sido considerada como una rama de la auditoría de sistemas y fundamentalmente asociada a temas de seguridad y de seguridad de acceso y manipulación de DBMS. Esto es, para auditores de sistemas. Sin embargo, sus avances no solamente impulsan ese campo sino que permiten también al auditor interno llevar sus investigaciones hasta la raíz misma de las transgresiones que se apoyen en manipulación de datos.
En el universo de transacciones, las fraudulentas son muy excepcionales. El 1% ó menos. Para hallarlas es indispensable examinar el universo porque la probabilidad de que una transacción fraudulenta esté en una muestra es M/U (tamaño de la muestra entre tamaño del universo). Es decir, si queremos tener un 50% de probabilidad de hallar una transacción fraudulenta debemos tener una muestra del 50% de la población o universo. Si queremos tener una probabilidad del 90% de hallar una transacción fraudulenta debemos tener una muestra del 90% del universo de población. Esto significa en la práctica que si queremos hallar algo, debemos trabajar con el universo y no con muestras. Más aún, con el monitoreo continuo de controles logramos en gran medida emitir juicios con gran certeza y en un tiempo muy corto. Esto es posible porque la tecnología CAATT nos lo permite. Estos procesos están muy bien, pero, ¡atención!, se sustentan en el fortísimo supuesto de que los datos son verdaderos, están completos, corresponden al período de tiempo que indican, etc., etc.
¿Es esto cierto? Quizás sí, quizás no. También sabemos, por otra parte, que la mayoría de los fraudes y de los incumplimientos de regulaciones como SOX, HIPAA, antilavado de dinero, etc. se producen con complicidad interna de las propias instituciones y pueden ocultarse o disfrazarse mediante manipulaciones en los procesos de negocios pero, también y quizás más fácilmente, mediante manipulaciones de los datos. ¿De qué nos sirve toda la capacidad investigativa y de descubrimiento si la transacción fue borrada, fue modificada, fue detenida, fue sacada y vuelta a poner, fue dividida en varias, fue alterada en contexto, se perdió, etc., etc.? Y no solamente la transacción sino algunos de los campos que la conforman o los campos de los registros de control del sistema. Y, si esos delitos, omisiones u errores se cometen, ¿Quién es el responsable?
Es aquí donde entra la auditoría de datos para descubrir esas manipulaciones, deficiencias o fallas y por lo tanto impedir que se produzcan por disuasión o alerta. La auditoría de los datos los protege porque hace transparente la responsabilización al lograr mantener registros completos de acceso y uso de los datos. Esos registros crean la pista de auditoría que muestra quién hizo qué a qué, cuándo y cómo. Es la pista de auditoría la que muestra al delincuente y la que, detectará las anomalías, probará el cumplimiento y proporcionará la garantía de que los datos se usen únicamente de forma apropiada y para lo que debe ser.
Como dice Baroudy-Broor *, no podemos vivir sin datos y vivir con ellos nos pone en riesgo. Ese riesgo se mitiga con la auditoría de datos que habilita en una organización la identificación de quién creó, cambió, eliminó o accedió a los datos – cuándo y cómo. Ninguna acción pasa desapercibida. Si incluimos una capacidad de alerta para llamar la atención sobre eventos de datos anormales significa que los problemas emergen con una probabilidad mayor de resolución oportuna y efectiva. Por ejemplo, si no se encuentran los problemas en 18 meses, período típico en el fraude digital, la posibilidad de capturar a los delincuentes desaparece. Sin embargo, con auditoría de base de datos podemos tener la pista de auditoría oportuna que nos dé la evidencia acusatoria necesaria.
Entre las mejores prácticas están: Responsabilidad segregada, independencia del sistema de auditoría de datos, sistemas y procesos escalables, ampliables, eficientes y flexibles, gestión centralizada, auditoría completa, definición de patrones de conducta normal, documentación y revisión, monitoreo, alerta, reportes, incremento y complemento de la seguridad.
En los próximos boletines Update CAATT tocaremos estos temas y explicaremos cómo funcionan los sistemas de auditoría de bases de datos.
Para cubrir esta importante necesidad el Grupo Eniac distribuye y soporta las herramientas de análisis de datos Audit DB. El más avanzado sistema para auditoría de bases de datos.
* Baroudy-Bloor - Audite los Datos o de lo Contrario… El Acceso no Auditado a los Datos pone al Negocio en Alto Riesgo
http://www.eniac.com/documentos/Audite%20los%20Datos.pdf
Nueva Versión ACL 9.1
Por Yasmely Henriquez
Ya está disponible la versión 9.1 de ACL Desktop/Network Edition y ACL Server Edition para Windows, en inglés. Próximamente estará disponible en español. Puede ser descargada directamente desde el centro de soporte de ACL ubicado en: http://www.acl.com.supportcenter
Esta versión presenta mejoras importantes que amplían su capacidad de acceso a distintos tipos de datos:
- Importar archivos de texto PDF
- Importar archivos Microsoft Excel 2007 y Microsoft Access 2007
- Opción de Actualizar datos desde el origen para archivos PDF, Microsoft Excel y Microsoft Access
Si desea más información sobre las mejoras incluidas o si necesita ayuda para la descarga e instalación, comuníquese con nuestro equipo de soporte técnico a través del correo electrónico support.caatt@grupoeniac.com. Le recordamos que las actualizaciones a nuevas versiones no tienen costo para los usuarios con el servicio SMA al día.
¿Por qué Automatizar los Procesos de la Auditoría?
Por Marcel Everest
Entendemos por automatización el proceso en el que después de analizar un conjunto de actividades para efectuarlas de manera más rápida, controlada y efectiva, cambiamos la forma de trabajar para reducir los requerimientos de intervención humana en trabajo directo, supervisión y toma de decisiones asociados con esas actividades.
La automatización, desde la perspectiva de las revoluciones industriales, es el paso siguiente a la mecanización, entendida ésta como el mejoramiento del trabajo y de la productividad por el uso de máquinas. La automatización reduce los requerimientos sensoriales y mentales del operador de las máquinas o herramientas y le proporciona más tiempo disponible, una mayor capacidad de reflexión/análisis y fundamentalmente lo libera de los riesgos de cometer errores y omisiones.
Haciendo un paralelo con nuestra labor, nuestras “máquinas” principales son herramientas de software que van desde herramientas muy generales como procesadores de palabras, hojas de cálculo, graficadores, controladores de proyectos hasta sistemas especializados de análisis estadístico, análisis de datos y de auditoría de bases de datos. El auditor moderno con su “caja de herramientas”, con metodologías, marcos de trabajo y con una gran capacidad de síntesis y de investigación logra los objetivos que se le plantean. Entre los beneficios de la automatización están:
- Incremento sustancial de la productividad
- Mucha mejor calidad en el trabajo
-
Aseguramiento de la estandarización
- Efectiva memoria institucional
- Control de los propios procesos
-
Comunicación y retroalimentación auditor-auditado eficientes
- Garantía de que la función de auditoría contribuya realmente al cumplimiento
Normalmente comenzamos por automatizar todas aquellas actividades que son repetitivas, que están perfectamente definidas y que pueden “estandarizarse” de acuerdo a “mejores prácticas” o criterios. Esas actividades corresponden a los auditores y a quienes dentro de la organización se relacionan con ellos: los responsables de los procesos de negocios, los sistemas y tecnologías de información que los habilitan y soportan, los directores de riesgo y cumplimiento, los comités de auditoría y desde luego el Ejecutivo Jefe de Auditoría (CAE).
Automatizar los procesos de auditoría requiere una inversión. Una inversión para adquirir o desarrollar el conocimiento, las prácticas de trabajo y la tecnología. Además de una reflexión y de un proceso de implementación. Siempre que hacemos inversiones, éstas se convierten en proyectos que deben tener un retorno de inversión (ROI).
Si entre las responsabilidades de los auditores en cualquier tipo de organización está verificar que los proyectos culminen y logren sus objetivos de forma exitosa, ¿no deberíamos los auditores comenzar por casa? ¿Logran los proyectos de auditoría sus objetivos y alcanzan el ROI esperado? ¿Está completo el portafolio de proyectos de auditoría? Y, en particular, cabe preguntarse: - ¿Es posible analizar el ROI de un proyecto de automatización de auditoría para justificar la inversión? - La respuesta desde luego es afirmativa y está relacionada con los beneficios arriba mencionados. En la próxima oportunidad nos dedicaremos a ello.
AutoAudit, un sistema integrado para la automatización y administración de la función de auditoría. Desarrollado por Paisley Consulting, reconocida como líder mundial en automatización de auditoría y gestión de riesgo.
Nuevos Programa de Cursos CAATT del Grupo Eniac
Por Grau Bonet
La capacitación de los usuarios forma parte integral del compromiso de apoyo del Grupo Eniac con sus clientes y nuestra visión se enmarca en la transferencia efectiva del conocimiento. Como parte del proceso de desarrollo de nuestra oferta de servicios en Desarrollo Profesional, el Grupo Eniac ha realizado grandes esfuerzos para enriquecer el Programa de Educación en el área CAATT con la incorporación de nuevos cursos que incluyen los del Programa de Capacitación Certificada de ACL Services.
La incorporación de los cursos certificados en nuestro calendario regular de adiestramientos nos permite:
- Ofrecer cursos que facilitan a los participantes obtener horas de Educación Continua aplicable a los principales programas de certificación de los gremios profesionales, como el IIA e ISACA. ACL Services está registrada en National Registry of CPE Sponsor, ID Number 106823
- Enriquecer la oferta de excelentes cursos del Grupo Eniac
- Alinear el contenidos de nuestros cursos de herramientas de análisis con las certificaciones de usuarios de ACL Services
Como parte fundamental de este gran esfuerzo, el Grupo Eniac ha efectuado el entrenamiento y certificación internacional de nuestros instructores para potenciar aún más una experiencia de casi 30 años en desarrollo profesional avanzado, aplicable y asertivo con los niveles más altos de satisfacción y excelencia.
Encuentre en nuestra sección “Cursos Adiestramientos Grupo Eniac”, los nuevos cursos que les ofrecemos por país y las fechas disponibles.
Si desea recibir mayor información sobre este tema por favor contacte a grupoeniac@eniac.com
|
