HERRAMIENTAS Y TÉCNICAS DE AUDITORIA

• Cuestionarios

 Es un Conjunto de preguntas a las que el sujeto puede responder oralmente o por escrito, cuyo fin es poner en evidencia determinados aspectos.

Características:

Las auditorías informáticas se materializan recabando información y documentación de todo tipo. Los informes finales de los auditores dependen de sus capacidades para analizar las situaciones de debilidad o fortaleza de los diferentes entornos. El trabajo de campo del auditor consiste en lograr toda la información necesaria para la emisión de un juicio global objetivo, siempre amparado en hechos demostrables, llamados también evidencias.

Estos cuestionarios no pueden ni deben ser repetidos para instalaciones distintas, sino diferentes y muy específicos para cada situación, y muy cuidados en su fondo y su forma.
.

Por otra parte los  cuestionario tiene la gran ventaja de que puede recopilar una gran cantidad de información, debido a que contiene preguntas sencillas cuyas respuestas no

implican ninguna dificultad; además, como en otros métodos, su aplicación es de carácter impersonal y libre de influencias y compromisos para el entrevistado. También tiene la ventaja de poder seleccionar los tipos de preguntas que se deben realizar, los cuales señalaremos a continuación.

Preguntas abiertas

Son las preguntas donde el encuestado es libre de responder de acuerdo con su criterio,o en las que tiene múltiples opciones para responder sin ninguna limitación, ni en tamaño ni en profundidad y le permiten que la expresión de sus ideas y opiniones fluya sin limitaciones.

La ventaja de este tipo de preguntas es que se puede obtener más información de la esperada; también dejan abierta la posibilidad de profundizar sobre tópicos no contemplados inicialmente, aunque tienen la desventaja de que dificultan la tabulación de los datos, e incluso pueden provocar que se desvíe la atención del encuestado.

Estas preguntas son de mucha utilidad en una auditoría de sistemas computacionales, principalmente para iniciar la recopilación de información, debido a que se obtiene mucha información, aunque se corre el riesgo de desviar la atención hacia temas ajenos al objeto de la auditoría.

No hay un formato específico para este tipo de preguntas; por esta razón, el auditor de sistemas puede emplear libremente la forma de preguntas abiertas que le sea útil, de acuerdo con sus necesidades de información.

Preguntas cerradas

Con este tipo de preguntas el encuestado tiene la oportunidad de elegir la respuesta que sea acorde con su opinión de entre las opciones presentadas. Hay varias formas de preguntas cerradas, entre las cuales tenemos las siguientes.

Preguntas dicotómicas

Estas preguntas sólo tienen dos posibles respuestas, que por lo general son opuestas entre sí, por ejemplo:

( ) Sí ( ) No 

( ) Masculino ( ) Femenino

( ) Presente ( ) Ausente

( ) Hardware ( ) Software

Preguntas tricotómicas

Son aquellas que tienen tres opciones de respuesta, por ejemplo: 

( ) Sí ( ) No ( ) Sin respuesta 

( ) Redes ( ) Equipo mayor ( ) PCs  

¿Cuál es su nivel de responsabilidad en el centro de cómputo? 

( ) Operador ( ) Líder de proyecto ( ) Gerente 

Preguntas de opción múltiple

También conocidas como preguntas peine o ítems, presentan varias respuestas de entre las que se puede elegir sólo una; por lo general, estos ítems tienen una gama de respuestas que varían de un extremo a otro, por ejemplo:

Elija la respuesta marcando con una “x”

Soltero ( ) Excelente ( ) Empleado ( ) 

Divorciado ( ) Bueno ( ) Usuario ( )

Viudo ( ) Regular ( ) Proveedor ( ) 

Unión libre ( ) Malo ( ) Asesor ( )

Casado ( ) Deficiente ( ) Directivo ( )

Preguntas de opción de rangos o grupos

Son las preguntas cuyas respuestas se encuentran comprendidas en ciertos rangos o grupos, dentro de los cuales el encuestado puede elegir sólo una de las respuestas, por ejemplo:

Elija su tiempo de trabajo en computadora de entre alguno de los siguientes rangos:

Menos de 2 horas al día ( )

De 2 a 4 horas al día ( )

De 4 a 6 horas al día ( )

De 6 a 8 horas al día ( )

Más de 8 horas al día ( )

Nunca la utiliza ( )

Gradación (preguntas de grados opuestos)

También conocida como gradación de Likert; en este tipo de preguntas cerradas, las respuestas se emplean para recopilar las opiniones, intereses o actitudes de los entrevistados, concentrando gradualmente cada una de las respuestas, una por una, hasta obtener porcentajes representativos de ellas, por lo general estas preguntas se hacen bajo cinco grados o tipos de respuestas, donde los extremos son totalmente opuestos entre sí, por ejemplo:

La empresa pretende modificar el sistema actual de procesamiento de datos por un sistema de redes. ¿Qué opina?

Totalmente de acuerdo ( )

Generalmente de acuerdo ( )

No sé ( )

Generalmente en desacuerdo ( )

Totalmente en desacuerdo ( )

 La entrevista 

 Es una de las actividades personales más importante del auditor; en ellas, éste recoge más información, y mejor matizada,que la proporcionada por medios propios puramente técnico so por las respuestas escritas a cuestionarios. El auditor informático experto entrevista al auditado siguiendo un cuidadoso sistema previamente establecido,consistente en que bajo la forma de una conversación correcta y lo menos tensa posible, el auditado conteste sencillamente y con pulcrituda una serie de preguntas variadas,también sencillas.Sin embargo ,esta sencillez es solo aparente.

Ciclo de la entrevista de auditoría

Es conveniente señalar que para realizar una entrevista adecuada es indispensable entender y seguir un procedimiento bien estructurado, cuya eficacia en las auditorías tradicionales y en las ciencias sociales, donde es muy utilizada esta técnica, está plenamente comprobada. Esto le servirá al auditor de sistemas computacionales para llevar a cabo una buena investigación, apoyado en una serie de preguntas previamente establecidas y enfocadas al objetivo de la entrevista; con este método se busca captar una mayor información sobre lo que se auditará; además, esta información es más valiosa que la que se puede obtener por medio de un cuestionario, una observación o cualquier otra técnica de auditoría.

El siguiente procedimiento es indispensable para realizar una buena entrevista:

Inicio

Apertura

Cima o clímax

Cierre

 Inicio

Aquí es donde se inicia la entrevista, a través de una breve presentación con la cual se busca romper el hielo, y con una corta explicación del objetivo de la entrevista; si es necesario, aquí se hace la solicitud de cooperación por parte del entrevistado (personal auditado) para que éste proporcione la información requerida por el auditor.

En un ambiente puramente práctico, ésta es quizá la misión más difícil del auditor, ya que por la misma naturaleza de la misión que debe realizar (la de evaluar), lleva implícito el rechazo por parte de la persona a quien va a entrevistar; evidentemente, la apertura es un camino muy difícil bajo estas condiciones, pero es indispensable para el éxito en la aplicación de esta técnica. Algunas veces es importante iniciar con una breve plática informal o con algún tema de interés mutuo.

Apertura también conocida como el inicio formal de la entrevista o despertar el interés del entrevistado, es la parte donde el auditor inicia formalmente su interrogatorio, con preguntas breves, simples y de sondeo, sin profundizar sobre algún tema en especial; el propósito básico de este punto es obtener posibles respuestas para iniciar la conversación, tratando de concentrar la plática sobre un tema de interés común entre el auditado y el auditor, de preferencia relacionado con el aspecto que se pretende evaluar.

Apertura 

Este punto, la apertura de la entrevista, es de suma importancia para el trabajo del auditor, pues aquí es donde inicia la conversación formal con el entrevistado, en el cual se busca evitar cualquier posible rechazo y resistencia de su parte; debemos tomar en cuenta que muchas veces el auditado está a la defensiva, es evasivo y frío, por lo que suele responder en forma vaga, evitando, hasta donde le es posible, proporcionar alguna información comprometedora para él o sus compañeros. Saber aplicar esta técnica de auditoría es quizás el trabajo más difícil para el auditor, ya que requiere de una

amplia experiencia y habilidad, además de sólidos conocimientos sobre sus características, uso y formas de aplicación.

Cima o clímax

Ésta es la parte de la entrevista en donde el auditor, con base en su habilidad y experiencia, obtiene la información medular para la investigación, la cual se va propiciando conforme el tema objeto de la entrevista adquiere mayor interés.

Con una buena aplicación de este punto, el auditor obtiene la información necesaria para evaluar las opiniones, comentarios y datos arrojados en la entrevista.

 Cierre

Ésta es la parte final de la entrevista, en donde el auditor proporciona una absoluta libertad al entrevistado por si puede o quiere agregar algo que le permita complementar los datos antes recopilados; en muchas ocasiones, y más en la aplicación de una Auditoría, ésta es una parte sustantiva, pues el entrevistado supone que la entrevista ya terminó; entonces, libre de presión, proporciona al auditor la información de mayor utilidad que le permite a este último confirmar, avalar o rectificar lo captado anteriormente.

Además, mediante una hábil conducción del cierre, el auditor consigue tips, comentarios y orientaciones que le serán de mucha utilidad para continuar con la evaluación del aspecto auditado.

Evidentemente, en esta etapa se debe agradecer la participación del entrevistado.

Tipos de entrevistas para una auditoría

Hay dos tipos de entrevistas, las que se hacen de manera libre y espontánea, sin formalidades ni limitaciones, y las destinadas a la participación del entrevistado, mediante un método previamente establecido. Para el caso de la auditoría también podríamos agregar otros tipos de entrevistas, por ejemplo, las utilizadas para iniciar una evaluación, otras que sirven para corroborar y comprobar aspectos detectados con anterioridad o las empleadas para que el auditor informe o confronte los hechos y actores en determinadas situaciones. Concretamente, los tipos de entrevistas para la auditoría de sistemas computacionales serán los siguientes.

Entrevistas libres

Son las entrevistas en las que se sigue un guión básico para obtener la información requerida, pero la participación del entrevistado es libre y sin ninguna atadura. Con este tipo de entrevistas se pretende dar libertad al entrevistado para que se explaye; el propósito es tener una mayor intimidad en la plática para que la información sea más verídica y con más profundidad; aunque se corre el riesgo de que el entrevistado se aparte del tema central y pueda perderse en temas intranscendentes.

Es bueno utilizar este tipo de entrevistas para cualquier evaluación de sistemas, pues ayudan a que el auditado se extienda libremente en comentarios y aportaciones sobre lo que se está investigando, aunque se corre el grave riesgo de desviarse del tema sustantivo, deliberada o inconscientemente y que el entrevistado actúe casi siempre

a la defensiva.

Entrevistas dirigidas

En estas entrevistas siempre se dirigen las opiniones del entrevistado, forzando sus respuestas dentro de un parámetro o guión prestablecido, sin admitir ni permitir ninguna variación significativa. Aquí, de acuerdo con la habilidad del auditor para conducir la entrevista, la participación del entrevistado puede llegar a tener mayor profundidad y la calidad de los datos, aunque se puede variar en cuanto a contenido y la utilidad de la información para la evaluación del auditor.

Entrevistas de exploración

En una auditoría de sistemas es recomendable que el primer contacto con los auditados sea a través de este tipo de entrevistas, pues por lo general son de carácter libre y pueden ser muy útiles para buscar algún punto de partida para la evaluación. Además, ayudan al auditor a obtener información importante para explorar el contorno y apreciar los alcances que pudiera tener la revisión; también le ayudan a conocer el ambiente en el que se desarrollará la auditoría y como será la participación del entrevistado en la misma.

Las entrevistas de exploración también se hacen con la intención de familiarizar al auditor con los sistemas que va a evaluar, debido a que existen muchos tipos de sistemas, programas y paqueterías, utilizados en una institución de acuerdo con sus necesidades específicas; por esta razón, el auditor debe entender dichos sistemas para  poder evaluarlos, y le ayudan a identificar el mejor punto de partida de la auditoría.

Entrevistas de comprobación

Estas entrevistas son de mucha utilidad para el auditor, ya que se realizan para comprobar la veracidad de la información recopilada durante la evaluación y permiten corroborar o rectificar los datos y percepciones sobre las observaciones encontradas con las pruebas e instrumentos aplicados en la auditoría; además, ayudan a profundizar en la evaluación, a reforzar su orientación o a cambiar el rumbo de la evaluación.

Este tipo de entrevistas requiere una amplia experiencia y conocimientos sobre las técnicas de entrevista, pues cuando se da este tipo de conversaciones, por lo general el auditado está a la defensiva y es difícil conducirlas, sin embargo, cuando se conducen bien, son muy útiles para ratificar o rectificar datos de una auditoría.

Entrevistas de información

En la metodología propuesta para desarrollar una auditoria de sistemas hablamos de la necesidad de comentar las observaciones con los auditados o con los funcionarios responsables del área de sistemas, según sea el caso; para eso se utiliza este tipo de entrevistas, para que el auditor comente cada una de las desviaciones que reporta en su informe, y con ello obtiene información valiosa del entrevistado que le sirve para rectificar o ratificar las situaciones que está informando, además le ayudan para recopilar datos útiles para encontrar las causas y soluciones que complementen sus observaciones.

No es fácil llevar a cabo este tipo de entrevistas, ya que requieren de mucha habilidad y experiencia por parte del auditor; recordemos que no es nada fácil comentar con el auditado las desviaciones de su trabajo o su responsabilidad en el manejo de los sistemas auditados. Sin embargo, es indispensable llevar a cabo estas entrevistas y realizarla de la mejor manera posible

.

Entrevistas informales

Estas entrevistas son de suma importancia aunque propiamente no sean entrevistas de trabajo, ya que cuando el auditor las aplica de manera correcta, le ayudan a conocer algún tipo de problemática que sólo se expresa cuando no existe la presión de una entrevista formal como las indicadas anteriormente.

Por lo general, estas entrevistas son totalmente ajenas al ambiente de trabajo, casi personales y casi siempre son conversaciones informales que se dan entre personas para tratar temas sin importancia, sin embargo, el auditor aprovecha estos encuentros para conocer algún problema específico que pueda influir en la evaluación y que de otra manera no conocería.

Checklist (lista de cotejo): 

El auditor profesional y experto es aquél que re elabora muchas veces sus cuestionarios en función de los escenarios auditados. Tiene claro lo que necesita saber, y por qué. Sus cuestionarios son vitales para el trabajo de análisis, cruzamiento y síntesis posterior, lo cual no quiere decir que haya de someter al auditado a unas preguntas estereotipadas que no conducen a nada. Muy por el contrario, el auditor conversará y hará preguntas "normales", que en realidad servirán para la cumplimentación sistemática de sus Cuestionarios, de sus Checklist.

•Trazas y/o Huellas:

    Con frecuencia, el auditor informático debe verificar que los programas, tanto de los Sistemas como de usuario, realizan exactamente las funciones previstas,y no otras. Para ello se apoya en productos Software muy potentes y modular es que, entre otras funciones, rastrean los caminos que siguen los datos a través del programa. Las trazas se utilizan para comprobar la ejecución de las validaciones de datos previstas. Las mencionadas trazas no deben modificar en absoluto el Sistema.