56
Perspectiva de las AA.PP.
Evaluación del control interno
en sistemas informáticos
EL AUDITOR HA DE TENER UN CONOCIMIENTO SUFICIENTE DE LOS SISTEMAS
INFORMÁTICOS PARA PODER PLANIFICAR, DIRIGIR, SUPERVISAR Y REVISAR SU TRABAJO
Eduardo
Ranz Periáñez
SUBDIRECTOR TÉCNICO
DE CONTRATOS
Tribunal de Cuentas
H
oy las empresas utilizan
sistemas informáticos para
procesar, registrar y
almacenar datos así como para
preparar información de utilidad ya
sea financiera, comercial o de
cualquier otra área. Esto afecta de
forma directa al sistema contable y al
control interno de las empresas, y el
auditor de cuentas debe contemplar
estos aspectos en su trabajo.
Un entorno informatizado afecta a
los procedimientos seguidos por el
auditor en el conocimiento y
evaluación de los sistemas de control
interno de la entidad, al análisis del
riesgo inherente y de control y al
diseño y aplicación de las pruebas de
control y de los procedimientos
sustantivos para poder obtener la
evidencia adecuada y suficiente.
En el marco de la auditoría de
cuentas anuales, el estudio y evaluación
del sistema de control interno incluye la
revisión preliminar del sistema con
objeto de conocer y comprender los
procedimientos y métodos establecidos
nº 9
abril 2007
por la entidad para detectar los errores
o irregularidades que puedan producirse
y la realización de pruebas de
cumplimiento para obtener una
seguridad razonable de que los
controles se encuentran en uso y que
están operando tal y como se
diseñaron.
Los objetivos del sistema de
control interno de tipo
contable se relacionan con
cada una de las etapas por
las que discurre una
transacción: autorización,
ejecución, registro y
responsabilidad
Los objetivos del sistema de control
interno de tipo contable se relacionan
con cada una de las etapas por las
que discurre una transacción:
autorización, ejecución, registro y
responsabilidad respecto a la custodia
y salvaguarda de los activos derivados
de la transacción.
El auditor de cuentas utiliza la
informática no sólo como medio de
apoyo sino también como objeto de su
trabajo, para analizar el control
interno de la empresa en sistemas
informatizados.
El auditor ha de tener un
conocimiento suficiente de los
sistemas informáticos para poder
planificar, dirigir, supervisar y revisar
su trabajo.
El auditor deberá actuar siempre en
función del tipo de entorno
informatizado que tenga la entidad
auditada:
Cuando el entorno informatizado de
la entidad auditada consista en un
conjunto de aplicaciones informáticas
de carácter estándar y cerrado, no
disponiendo los empleados de acceso
a los programas fuente y por lo tanto
no pudiendo ser manipuladas dichas
aplicaciones desde la empresa, la
actuación del auditor en las fases de
planificación y evaluación del control
interno puede limitarse a una breve
descripción de los sistemas
informáticos y a la constatación de su
reducida incidencia sobre el control
interno.
Cuando no sea así, el auditor debe
evaluar la conveniencia de emplear a
profesionales especializados y recurrir
a técnicas de auditoría asistidas por
ordenador.
Hay que distinguir entre auditor de
cuentas y auditor informático.
 57
Perspectiva de las AA.PP.

Mientras que el auditor de cuentas

debe evaluar la confianza sobre la
función de la informática desarrollada
en la empresa, el auditor informático
ha de determinar el grado de
adecuación de la función informática
en la empresa y dar soluciones para
mejorarla.
Aquí únicamente nos referimos a la
función del auditor de cuentas, no a la
del auditor informático.
El auditor de cuentas ha de analizar
–al menos- los procedimientos de
control relativos a:

Área organizacional.

Área de procesamiento.

Área de desarrollo de sistemas.

Área de controles físicos.

Área de software.

Área de recuperación del
sistema.
Aunque todas estas áreas tienen
impacto en el trabajo del auditor de
cuentas, es el área de procesamiento
la de mayor relevancia para analizar informen del tipo de error, cuándo se fuera del sistema de información de la
las transacciones y los saldos de las ha producido y si se ha corregido. empresa utilizando datos que extrae
cuentas y poder verificar la exactitud del sistema de la empresa, o internos,
de los estados contables de la operando desde dentro del sistema
empresa. informático de la empresa utilizando
Los controles en el área de medios de procesamiento y datos.
procesamiento podemos clasificarlos en
Hay que distinguir entre Una descripción del trabajo
cuatro: de captura de datos, de realizado, el seguimiento y las
entrada de datos, de procesamiento y
auditor de cuentas y auditor conclusiones acerca de los resultados
de datos de salida.
Los controles de captura de
informático de los programas específicos ha de
estar registrada en los papeles de
datos son anteriores a la entrada de trabajo de la auditoría. Y la sección del
los datos en el ordenador y se informe de auditoría donde se tratan
clasifican en preventivos, de detección los objetivos, la extensión y la
y de corrección. Los controles sobre el metodología de la auditoría debe incluir
Los controles de entrada de procesamiento aseguran que no se una clara descripción de los programas
datos tienen como finalidad prevenir, producen errores debidos a la específicos utilizados.
detectar y corregir los datos utilización de programas o datos Hoy es prácticamente imposible
incorrectos introducidos en el inapropiados. realizar un trabajo de auditoría de
ordenador. Se pueden clasificar Por último, los controles de cuentas anuales sin tomar en
también como preventivos, de salida tienen como fin reducir el consideración los sistemas y el entorno
detección y de corrección y cabe riesgo de que los informes con datos informatizado de la empresa, que es
destacar los controles de acceso y de salida puedan ser incorrectos o aconsejable sea concebido en origen
restricción a los programas y a los recibidos por personal no autorizado. no sólo para solucionar la operativa
equipos, los procedimientos de revisión El trabajo del auditor puede ser diaria sino también para ayudar a su
de entrada de datos, la existencia de realizado con mayor precisión mediante propia auto-revisión, en línea con lo
procedimientos de corrección de el empleo de programas informáticos, anteriormente, de forma muy breve,
errores y la creación de registros que ya sean externos si el programa actúa expresado.

nº 9
abril 2007