Controles administrativos en un ambiente de Procesamiento de Datos

La mxima autoridad del Area de Informtica de una empresa o institucin debe implantar los
siguientes controles que se agruparan de la siguiente forma:
1.- Controles de Preinstalacin
2.- Controles de Organizacin y Planificacin
3.- Controles de Sistemas en Desarrollo y Produccin
4.- Controles de Procesamiento
5.- Controles de Operacin
6.- Controles de uso de Microcomputadores

Controles de Preinstalacin

Hacen referencia a procesos y actividades previas a la adquisicin e instalacin de un equipo de

computacin y obviamente a la automatizacin de los sistemas existentes.
Objetivos:
Garantizar que el hardware y software se adquieran siempre y cuando tengan la seguridad de
que los sistemas computarizados proporcionaran mayores beneficios que cualquier otra
alternativa.
Garantizar la seleccin adecuada de equipos y sistemas de computacin
Asegurar la elaboracin de un plan de actividades previo a la instalacin
Acciones a seguir:
Elaboracin de un informe tcnico en el que se justifique la adquisicin del equipo, software y
servicios de computacin, incluyendo un estudio costo-beneficio.
Formacin de un comit que coordine y se responsabilice de todo el proceso de adquisicin e
instalacin
Elaborar un plan de instalacin de equipo y software (fechas, actividades, responsables) el
mismo que debe contar con la aprobacin de los proveedores del equipo.
Elaborar un instructivo con procedimientos a seguir para la seleccin y adquisicin de equipos,
programas y servicios computacionales. Este proceso debe enmarcarse en normas y
disposiciones legales.
Efectuar las acciones necesarias para una mayor participacin de proveedores.
Asegurar respaldo de mantenimiento y asistencia tcnica.

Controles de organizacin y Planificacin

Se refiere a la definicin clara de funciones, lnea de autoridad y responsabilidad de las diferentes
unidades del rea PAD, en labores tales como:
1. Disear un sistema
1. Elaborar los programas
1. Operar el sistema
1. Control de calidad
Se debe evitar que una misma persona tenga el control de toda una operacin.
Es importante la utilizacin ptima de recursos en el PAD mediante la preparacin de planes a ser
evaluados continuamente
Acciones a seguir
La unidad informtica debe estar al ms alto nivel de la pirmide administrativa de manera que
cumpla con sus objetivos, cuente con el apoyo necesario y la direccin efectiva.
Las funciones de operacin, programacin y diseo de sistemas deben estar claramente
delimitadas.
Deben existir mecanismos necesarios a fin de asegurar que los programadores y analistas no
tengan acceso a la operacin del computador y los operadores a su vez no conozcan la
documentacin de programas y sistemas.
Debe existir una unidad de control de calidad, tanto de datos de entrada como de los
resultados del procesamiento.
El manejo y custodia de dispositivos y archivos magnticos deben estar expresamente
definidos por escrito.
Las actividades del PAD deben obedecer a planificaciones a corto, mediano y largo plazo
sujetos a evaluacin y ajustes peridicos Plan Maestro de Informtica
Debe existir una participacin efectiva de directivos, usuarios y personal del PAD en la
planificacin y evaluacin del cumplimiento del plan.
Las instrucciones deben impartirse por escrito.

Controles de Sistema en Desarrollo y Produccin

Se debe justificar que los sistemas han sido la mejor opcin para la empresa, bajo una relacin
costo-beneficio que proporcionen oportuna y efectiva informacin, que los sistemas se han
desarrollado bajo un proceso planificado y se encuentren debidamente documentados.
Acciones a seguir:
Los usuarios deben participar en el diseo e implantacin de los sistemas pues aportan
conocimiento y experiencia de su rea y esta actividad facilita el proceso de cambio

El personal de auditora interna/control debe formar parte del grupo de diseo para sugerir y
solicitar la implantacin de rutinas de control
 El desarrollo, diseo y mantenimiento de sistemas obedece a planes especficos, metodologas
estndares, procedimientos y en general a normatividad escrita y aprobada.
Cada fase concluida debe ser aprobada documentadamente por los usuarios mediante actas u
otros mecanismos a fin de evitar reclamos posteriores.
Los programas antes de pasar a Produccin deben ser probados con datos que agoten todas
las excepciones posibles.
Todos los sistemas deben estar debidamente documentados y actualizados. La
documentacin deber contener:
Informe de factibilidad
Diagrama de bloque
Diagrama de lgica del programa
Objetivos del programa
Listado original del programa y versiones que incluyan los cambios efectuados con
antecedentes de pedido y aprobacin de modificaciones
Formatos de salida
Resultados de pruebas realizadas
Implantar procedimientos de solicitud, aprobacin y ejecucin de cambios a programas,
formatos de los sistemas en desarrollo.
El sistema concluido sera entregado al usuario previo entrenamiento y elaboracin de los
manuales de operacin respectivos

Controles de Procesamiento

Los controles de procesamiento se refieren al ciclo que sigue la informacin desde la entrada hasta
la salida de la informacin, lo que conlleva al establecimiento de una serie de seguridades para:
Asegurar que todos los datos sean procesados
Garantizar la exactitud de los datos procesados
Garantizar que se grabe un archivo para uso de la gerencia y con fines de auditora
Asegurar que los resultados sean entregados a los usuarios en forma oportuna y en las
mejores condiciones.
Acciones a seguir:
Validacin de datos de entrada previo procesamiento debe ser realizada en forma automtica:
clave, dgito autoverificador, totales de lotes, etc.
Preparacin de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su
correccin.
Recepcin de datos de entrada y distribucin de informacin de salida debe obedecer a un
horario elaborado en coordinacin con el usuario, realizando un debido control de calidad.
Adoptar acciones necesarias para correcciones de errores.
 Analizar conveniencia costo-beneficio de estandarizacin de formularios, fuente para agilitar la
captura de datos y minimizar errores.
Los procesos interactivos deben garantizar una adecuada interrelacin entre usuario y sistema.
Planificar el mantenimiento del hardware y software, tomando todas las seguridades para
garantizar la integridad de la informacin y el buen servicio a usuarios.

Controles de Operacin

Abarcan todo el ambiente de la operacin del equipo central de computacin y dispositivos de

almacenamiento, la administracin de la cintoteca y la operacin de terminales y equipos de
comunicacin por parte de los usuarios de sistemas on line.
Los controles tienen como fin:
Prevenir o detectar errores accidentales que puedan ocurrir en el Centro de Cmputo durante
un proceso
Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del PAD
Garantizar la integridad de los recursos informticos.
Asegurar la utilizacin adecuada de equipos acorde a planes y objetivos.

Personal
Recursos
Informticos Software
Hardware

Datos
Instalaciones

Acciones a seguir:

El acceso al centro de computo debe contar con las seguridades necesarias para reservar el
ingreso al personal autorizado
Implantar claves o password para garantizar operacin de consola y equipo central
(mainframe), a personal autorizado.
Formular polticas respecto a seguridad, privacidad y proteccin de las facilidades de
procesamiento ante eventos como: incendio, vandalismo, robo y uso indebido, intentos de
violacin y como responder ante esos eventos.
Mantener un registro permanente (bitcora) de todos los procesos realizados, dejando
constancia de suspensiones o cancelaciones de procesos.
Los operadores del equipo central deben estar entrenados para recuperar o restaurar
informacin en caso de destruccin de archivos.
 Los backups no deben ser menores de dos (padres e hijos) y deben guardarse en lugares
seguros y adecuados, preferentemente en bvedas de bancos.
Se deben implantar calendarios de operacin a fin de establecer prioridades de proceso.
Todas las actividades del Centro de Computo deben normarse mediante manuales,
instructivos, normas, reglamentos, etc.
El proveedor de hardware y software deber proporcionar lo siguiente:
Manual de operacin de equipos
Manual de lenguaje de programacin
Manual de utilitarios disponibles
Manual de Sistemas operativos
Las instalaciones deben contar con sistema de alarma por presencia de fuego, humo, asi como
extintores de incendio, conexiones elctricas seguras, entre otras.
Instalar equipos que protejan la informacin y los dispositivos en caso de variacin de voltaje
como: reguladores de voltaje, supresores pico, UPS, generadores de energa.
Contratar plizas de seguros para proteger la informacin, equipos, personal y todo riesgo que
se produzca por casos fortuitos o mala operacin.

Controles en el uso del Microcomputador

Es la tarea ms difcil pues son equipos ms vulnerables, de fcil acceso, de fcil explotacin pero
los controles que se implanten ayudaran a garantizar la integridad y confidencialidad de la
informacin.
Acciones a seguir:
Adquisicion de equipos de proteccin como supresores de pico, reguladores de voltaje y de
ser posible UPS previo a la adquisicin del equipo
Vencida la garanta de mantenimiento del proveedor se debe contratar mantenimiento
preventivo y correctivo.
Establecer procedimientos para obtencin de backups de paquetes y de archivos de datos.
Revisin peridica y sorpresiva del contenido del disco para verificar la instalacin de
aplicaciones no relacionadas a la gestin de la empresa.
Mantener programas y procedimientos de deteccin e inmunizacin de virus en copias no
autorizadas o datos procesados en otros equipos.
Propender a la estandarizacin del Sistema Operativo, software utilizado como procesadores
de palabras, hojas electrnicas, manejadores de base de datos y mantener actualizadas las
versiones y la capacitacin sobre modificaciones incluidas.
 Anlisis de Casos de Controles Administrativos
Controles sobre datos fijos
Lea cada situacin atentamente y
1.- Enuncie uno o ms controles que hubiera prevenido el problema o posibilitado su deteccin.
Situacin 1
Un empleado del grupo de control de datos obtuvo un formulario para modificaciones al archivo
maestro de proveedores (en blanco) y lo completo con el cdigo y nombre de un proveedor ficticio,
asignndole como domicilio el nmero de una casilla de correo que previamente haba abierto a su
nombre.
Su objetivo era que el sistema emitiera cheques a la orden del referido proveedor, y fueran luego
remitidos a la citada casilla de correo.
Cuando el listado de modificaciones al archivo maestro de proveedores (impreso por esta nica
modificacin procesada en la oportunidad) le fue enviado para su verificacin con los datos de
entrada, procedi a destruirlo.

Alternativas de Solucin

- Controles de organizacin y planificacin

No se tiene claro el rol de cada empleado lo que lleva a un problema en diseo del sistema sin
llevar verificacin del procesamiento

- Preparacin de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su

correccin: Con un control en cada empleado autorizado a modificar un archivo tendramos un
seguimiento de estos problemas, cada dato de los proveedores, saber que usuario causo cierto
fraude y buscar soluciones

- Controles de procesamiento

No se hace una verificacin de la entrada y salida de informacin con respecto a los proveedores
ya que el empleado puede hacer cualquier ingreso de x proveedor sin tener referencias vlidas,
fuentes y garantas de los datos procesados, y no se asegura la informacin enviada a los dems
usuarios de la empresa, es por esto que implementamos controles de:

- Validacin de datos de entrada previo procesamiento: Saber y verificar la informacin de cada

proveedor
- Preparacin de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su
correccin: control del personal autorizado al documento
- Adoptar acciones necesarias para correcciones de errores: detectar y evitar fraudes e
irregularidades

- Controles de Operacin

El usuario tiene libertad de modificar el archivo sin saber si es el indicado para delegarle esta tarea
- Implantar claves o password para garantizar operacin de consola y equipo central (mainframe), a
personal autorizado: Debemos tener un administrador que lleve el control y permisos de las
operaciones de la empresa, este administrador delegara funciones o autorizaciones sobre
cualquier archivo

Situacin 2

Al realizar una prueba de facturacin los auditores observaron que los precios facturados en
algunos casos no coincidan con los indicados en las listas de precios vigentes. Posteriormente se
comprob que ciertos cambios en las listas de precios no haban sido procesados, razn por la
cual el archivo maestro de precios estaba desactualizado.

Alternativas de Solucin

- Controles de organizacin y planeacin

Encontramos errores de diseo en el sistema hay transacciones que no afectan otras

funcionalidades del sistema sin excepciones

- Debe existir una unidad de control de calidad, tanto de datos de entrada como de los resultados
del procesamiento: Debe haber integracin en los procesos o mdulos del sistema al momento de
completar una transaccin esta debe afectar todo el sistema

- Controles de sistema en desarrollo y produccin

No se desarroll el sistema bajo una metodologa o mtodo bien planificado, hay empleados que
no participan en el proceso y seguir una poltica

- El personal de auditora interna/control debe formar parte del grupo de diseo para sugerir y
solicitar la implantacin de rutinas de control: con esto el sistema cuenta con procesos que no
puedan dar lugar a irregularidades y riesgos a sanciones

- Controles de Operacin

El sistema no lleva una actualizacin completa de sus procesos y empleados o usuario sin saber
cambios recientes en el sistema

- Mantener un registro permanente (bitcora) de todos los procesos realizados, dejando constancia
de suspensiones o cancelaciones de procesos: Hay que generar el respectivo listado de
modificaciones hechas en el sistema que hayan sido procesadas por un empleado

- Se deben implantar calendarios de operacin a fin de establecer prioridades de proceso: fechas

estipuladas para revisin del contenido del archivo maestro para mantener actualizado el sistema
de creaciones, modificaciones y procesamiento para que todos los empleados estn al pendiente
de los cambios

Situacin 3
XX Inc. Es un mayorista de equipos de radio que comercializa sus equipos a travs de una vasta
red de representantes. Sus clientes son minoristas locales y del exterior; algunos son considerados
clientes especiales, debido al volumen de sus compras, y los mismos son atendidos directamente
por los supervisores de ventas. Los clientes especiales no se incrementan por lo general, en la
misma proporcin que aquellas facturadas a los clientes especiales.

Al incrementarse los precios, el archivo maestro de precios y condiciones de venta a clientes

especiales no es automticamente actualizado; los propios supervisores estipulan qu porcin del
incremento se aplica a cada uno de los clientes especiales.
El 2 de mayo de 2015 la compaa increment sus precios de venta en un 23%; el archivo maestro
de precios y condiciones de venta a clientes comunes fue actualizado en dicho porcentaje.

En lo que atae a los clientes especiales, algunos supervisores incrementaron los precios en el
referido porcentaje, en tanto que otros -por razones comerciales- recomendaron incrementos
inferiores que oscilaron entre un 10% y un 20%. Estos nuevos precios de venta fueron informados
a la oficina central por medio de formularios de datos de entrada, diseados al efecto,
procedindose a la actualizacin del archivo maestro.

En la oportunidad, uno de los supervisores acord con uno de sus clientes especiales no
incrementar los precios de venta (omiti remitir el citado formulario para su procesamiento) a
cambio de una comisin del 5% de las ventas.

Ningn funcionario en la oficina central detect la no actualizacin de los precios facturados a

referido cliente razn por la cual la compaa se vio perjudicada por el equivalente a US$ 50.000.
El fraude fue descubierto accidentalmente, despidindose al involucrado, pero no se interrumpi la
relacin comercial.

Alternativas de Solucin
s
Controles de sistema en desarrollo y produccin

El personal de auditora interna/control debe formar parte del grupo de diseo para sugerir y
solicitar la implantacin de rutinas de control: con esto el sistema cuenta con procesos que no
puedan dar lugar a irregularidades y riesgos a sanciones

Control de operacin

No se mantiene un registro permanente de todos los procesos realizados, de haberse realizado se

hubiera identificado el fraude y no accidentalmente cuando se despide al empleado

El sistema no lleva una actualizacin automtica de la informacin comn entre reas, debe ser
modificada en varias partes y adems es opcional

Controles de organizacin y planeacin

Debe existir una unidad de control de calidad, tanto de datos de entrada como de los resultados del
procesamiento: Debe haber integracin en los procesos o mdulos del sistema al momento de
completar una transaccin esta debe afectar todo el sistema