Evaluación de controles de aplicaciones contables informatizadas

Prueba y evaluación de los controles

6.1 Planificación de la prueba

Relevamiento Identificación Evaluación Comprobación Prueba

Informe 6 Punto 2.2.3 : Prueba y evaluación del funcionamiento de los controles seleccionados.

Una vez hecho el Relevamiento se identifican los controles y hay que probarlos. Las pruebas deben apuntar a las operaciones normales y las anormales también (operaciones futuras o excepcionales) para hacer funcionar a pleno el sistema (forzarlo).

El sist. se prueba a partir de un lote o conjunto de Datos de Prueba.

Datos de Prueba: • Datos Reales: Proceso real • Datos Creados por el Auditor: Simulación

Los datos reales comprenden una parte pequeña del universo de operaciones que se pueden dar. Pero para evaluar un control hay que probar lo que pasó, lo que pasa hoy y lo que pasará en el futuro:

• Situaciones habituales o no. • Situaciones normales o no.

1

Los que dan la posibilidad de tener confianza en la evaluación son los creados por el auditor.

Lote de datos de prueba: Es un lote de transacciones preparadas por el auditor, procesadas por los programas de aplicaciones vigentes en la utilidad auditada con el objetivo de verificar el funcionamiento de los controles previstos y de los procedimientos de operación.

Pasos para trabajar con datos de prueba:

• Determinar con la mayor precisión posible el resultado esperado de la prueba. • Comparar los resultados de la prueba con los resultados esperados y sacar las conclusiones.

Ej: Sist. de cta. cte. El resultado tiene que ser x saldo, con x resumen, x sucursal y x totales. Hago la prueba y efectúo la comparación. Acá también se genera documentación (respaldan fundamentos y criterios de selección de técnicas y el conjunto de datos de prueba).

Pasos a seguir en el diseño y confección de datos de prueba

• Planificación de la prueba • Determinar el tamaño −cuantitativo− de la muestra (cantidad de transacciones) • Seleccionar la muestra −cualitativo−: no seleccionar al azar porque no se garantiza someter al sistema a todas las situaciones posibles • Proceso de lote de prueba con el programa operativo Recomendaciones para el auditor cuando se hace el proceso: • que el auditor no opere, él es sólo testigo de lo que se hace. • Asegurar que no se introduzcan datos adicionales • Que se utilicen los procedimientos habituales • Conservar todas las salidas que se producen, tanto en papel como en soportes • Evaluar los resultados de la prueba y obtener las conclusiones.

Planificación

2

La planificación permite: • clarificar los pasos a seguir (plan de trabajo) • permite organizar al quipo de trabajo o colaboradores

La planificación consiste en un plan por escrito que incluye los objetivos de la prueba, características de los controles a probar, población a verificar y procedimientos de verificación, el que formará parte de los papeles de trabajo del auditor.

Pueden aplicarse dos técnicas para verificar el funcionamiento de los controles:

• Observación • Reejecución del procedimiento (manual, lotes de prueba, minicompañia, simulación en paralelo, comparación de programas)

Sistema: Conjunto de programas que procesan datos para obtener información.

Todos los programas siguen una secuencia lógica.

Hay 2 herramientas para que el auditor analice distintos procesos para generar sus datos de prueba.

Diagramas de lógica: Son conjuntos de pasos lógicos de un programa para realizar una tarea determinada

Plantea decisiones lógicas. Cuando el decisor es un ser humano pueden haber varias respuestas, pero en informática sólo se puede decidir sobre dos caminos lógicos. Si tiene 1 decisión, no es decisión sino acción Si tiene 2 decisiones (2caminos), es una decisión lógica.

Ventajas:

3

• marca decisiones y acciones • permite ver claramente la secuencia • para entender la lógica que sigue el programa Desventajas: • uno se puede perder • confusión

Tablas de decisión: Es una herramienta que permite descomponer un proceso lógico basándonos en condiciones, reglas y acciones. Ordenamiento de condiciones y acciones combinándolas con determinadas reglas. En uso de Auditoria pueden agregarse dos filas más. • Talón de Datos de entrada • Talón de Resultados

Ventajas: • más concreto cuando se busca una respuesta • para una situación concreta puede ser más claro • sencillo de hacer y de interpretar Desventajas: • no permite ver la secuencia • no se puede observar la lógica del programa

Ambos son elementos de documentación. No fueron creados para ésta tarea sino que son herramientas del auditor.

6.2 El Conjunto de datos de prueba: planificación, tamaño, selección

Determinación del tamaño de la muestra

4

Cantidad de transacciones u operaciones a realizar. (Aspecto cuantitativo) Selección: cuales transacciones (aspecto cualitativo)

Tamaño de la muestra.

Consideraciones: Son las mismas que en la auditoria normal porque se resuelve la cantidad y no hay diferencia en la forma de procesamiento. Manual electrónico.

Criterio subjetivo: no se revisa el universo.

Muestreo: Es el proceso de inferir conclusiones sobre un conjunto de elementos que denominamos población o universo en base a una parte o fracción de esos elementos, que se llama muestra.

Universo o Población: totalidad de las transacciones. Ej. 380 asientos

El muestro estadístico tiene respaldo técnico, al fundamentar el muestreo se tiene el respaldo de la técnica

Muestras en Auditoria:

• Sin medición estadística − de criterio • Con medición estadística − estadístico

5

Pasos para aplicar el muestreo en auditoria

• Planificación de la muestra. Objetivos: preparación y organización de la prueba. No es lo mismo revisar registraciones en la empresa en donde se tiene un marco de seguridad técnico.

Confirmación de saldos por 3º, se depende de la empresa y de los 3º ajenos.

• Tamaño de la muestra: Tamaño del conjunto de datos de prueba. Cuantas transacciones. Acá se distinguen los tipos de muestreos.

• Selección de la muestra: Criterios para seleccionar y que sean representativas.

• Examen de la muestra: aplicación de procedimientos de auditoria.

• Evaluación de la muestra: depende del tipo de dato, transacciones u operaciones analizadas.

• Formulación de las conclusiones: sobre la muestra por ello comienza a ser crítica la forma de determinar el tamaño de la muestra porque se sacan conclusiones sobre el universo.

Muestra con base estadística:

Aquel en el cual en base a un nivel de confianza y para una población, el tamaño de la muestra es tal. Ej. Estratificada.

6

Ventajas: • da respaldo • da confiabilidad Desventajas: • más costoso • lleva más tiempo

Pruebas sin medición estadística

Suele ser conveniente en empresas pequeñas donde hay pocas transacciones y donde el universo es muy heterogéneo. Cuando hay una gran disparidad entre los elementos.

Ventajas

• No exige capacitación de técnicas estadística • Es conveniente en universos pequeños y heterogéneos. Aceptable e inclusive conveniente • Exige el uso del criterio profesional. Siempre es realizado por auditores de mucha experiencia y se suple el uso de la estadística con la experiencia. • Más económica

Desventajas

• Hay bases subjetivas. No da respaldo técnico • Las conclusiones son subjetivas. No da niveles de confianza

Lo importante es que los clientes, usuarios, etc; sepan que es un informe totalmente subjetivo.

Recomendaciones prácticas 7

• Revisar las partidas de mayor monto. Según su criterio determinará de que monto serán significativas. • Las partidas sospechosas. Que tengan una característica especial. Ej. todas al por menor, etc. • Partidas de bajo monto pero de mucho movimiento. Porque se pueden detectar errores. • Cuentas o partidas sin movimiento. Por qué está activa la cuenta si no tiene movimiento. Uso del criterio subjetivo.

Subjetividad: Opinión, pericia o informe hecho en base al criterio profesional.

Lo que es malo es cuando la subjetividad se transforma en arbitrariedad, que da lugar a dictámenes parciales.

Arbitrio: Libertad de decisión de cualquier persona. Cuando es mal usado, se vuelve inequitativo, contrario a la lógica y lo justo, se entra en la arbitrariedad.

Condiciones del Auditor

• Educación formal superior en el campo en que actúa (ð arbitrariedad) • Experiencia práctica suficiente (desarrollar un número mínimo de criterio) • Juicio equilibrado: es una forma de compensar el sesgo subjetivo. Dará un dictamen que tendrá consecuencias en empresas y proveedores. • Espíritu crítico: implica objetividad, no adelantar conclusiones si no se tienen todos los elementos.

Métodos de selección de la muestra:

• Sin medición estadística: • muestreo de juicio • prueba de bloque • selección sistemática • tabla de nº aleatorios

• Con medición estadística. • estimación de frecuencias 8

• estimación de variables • de selección o aceptación • de descubrimiento

6.3 Técnicas y procedimientos: la minicompañía, vuelco de memoria, módulos de auditoría, pistas de auditoría, simulación paralela.

Sistema de la minicompañía

Se diseñan transacciones de prueba pero se procesan junto con los datos reales (en simultáneo)

Hay que prever mecanismos para separar los datos Se prueba el sistema en una situación real.. Técnica utilizada básicamente por los bancos. El conjunto de datos que elabora el auditor es como una mini−empresa dentro de la compañía.

Aspectos a considerar: • Desde el punto de vista de las transacciones a emplear: • Transacciones creadas por el auditor al efecto: Se puede agregar al registro un campo más donde irá la marca de prueba. • Transacciones reales: tendrán que estar identificadas o marcadas. • Eliminación de los datos simulados: se podrá optar por: • Programa especial que debe ser confeccionado para identificar las transacciones de prueba y borrarlas del archivo. El auditor debería tener la precaución de probar el programa antes de ocuparlo. • Reversión de asientos (contra asiento) • Usar valores insignificantes o despreciables en lo que respecta al monto.

Pasos a seguir:

• Explicación a la dirección. • Aprobación de la dirección. • Determinar los sistemas que se probaron. • Identificar los registros a crear. • Determinar la modalidad operativa (cómo lo voy a hacer, con qué personas, cuánto durará, etc.) • Determinar los papeles de trabajo que voy a generar durante la prueba. 9

• Informar periódicamente a la dirección.

Ventajas: • no requiere pericia técnica apreciable • permite realizar la prueba junto con los datos reales y en simultáneo. • permite su aplicación en forma sorpresiva y confidencial.

Desventajas: • impedimentos legales • no permite probar valores límites • peligro de que se mezclen valores reales con los ficticios • costoso

Prueba de los controles

Una vez identificados probar: • Si están vigentes • Si se cumplen

Técnicas de auditoria concurrentes: con cada una de ellas cubro un aspecto y en forma conjunta se llega a una conclusión.

• Del Vuelco de Memoria (Snap Shot) • Módulos • Pistas de Auditoria • Simulación Paralela

Técnica del Vuelco de Memoria

10

Con ésta técnica se puede obtener el vuelco de la información procesada por el sistema en una parte o varios puntos del sistema. Extraemos la información y la colocamos en un soporte o la imprimimos para hacer los análisis que correspondan.

Aspectos a considerar:

• Determinar el objetivo: que puntos del sistemas me interesa obtener el vuelco de memoria. • Determinar los momentos en que se producirá el vuelco. • Cómo se identificaran los registros a examinar. • Incorporar las rutinas o programas que van a hacer esta tarea. • Imprimir o visualizar en pantalla la información seleccionada.

Ventajas y Desventajas:

• Requiere mucha pericia técnica. • El análisis de la información es muy complicado. • Muy costosa su implementación • Para obtener conclusiones significativas es necesario utilizarlo en forma conjunta a otra técnica.

Módulos de Auditoria

Programas o parte de programas, que están incorporados a los sistemas de aplicación y que tienen finalidad específica de auditoria.

Tipos:

• 1) Módulos activados en ciertos momentos por el auditor. Ej. Confirmación de saldos, funciona cuando el auditor así lo quiere. • 2) Módulos que operan con registros de transacciones extendidas (generan información adicional) • Vuelco de memoria • Pistas de auditoria • 3) Módulos que realizan un monitoreo continuo en puntos específicos del sistema (trabajan permanentemente)

11

Los módulos es común que estén previstos y disponibles en los sistemas modernos. Lo ideal es que estos módulos sean manejados solo por el auditor.

Desventajas:

• 1) • 2) • 3)

Requiere pericia técnica por parte del auditor. Requiere tiempo de implementación Costo alto

Ventajas: • 1) • 2)

Permite un monitoreo continuo Permite conocer aspectos internos del proceso.

Pistas de auditoria

Da una guía clara del recorrido de una transacción. Por ello se deben tener bien identificados los pasos de las transacciones.

Proceso manual: Sistema de facturación:

• 1) • 2) • 3)

Facturación de la venta Registración Ficha de cta. cte. del cliente

Proceso automático: el ingreso de datos, los registros, el proceso, emisión de comprobantes se hace por computadora. Es decir que no hay registros visibles. Dentro del programa de aplicación identifico todos los pasos y proceso que se llevan a cabo para el procesamiento de la transacción.

12

El auditor tendrá toda la secuencia del programa de aplicación que participaron en el proceso de la transacción. El software de base tiene programas utilitarios que permiten al auditor obtener un listado de la secuencia del programa.

Ventajas y Desventajas:

• Muy alta especialización técnica. Sobre todo en el tipo de lenguaje de programación utilizado. • Es una técnica costosa en su implementación. • La interpretación de listados y hojas impresas es muy dificultosa.

Sistemas enlatados: los fabricantes no nos darán el detalle de procesamiento, porque sería como dar información sobre el programa (técnica comercial).

Simulación paralela

Consiste en simular el proceso de un sistema determinado con los datos reales de esa aplicación pero procesados con programas especiales del auditor. Se repite el proceso por ello el adjetivo de paralela. Los programas especiales son para tareas determinadas y son parte del paquete de auditoria. Se verifica que los resultados obtenidos sean los correctos. No confundir con procesamiento en paralelo. 10

13