REVISIÓN PRELIMINAR

El primer paso en el desarrollo de la auditoría, después de la planeación, es la revisión

preliminar de área de informática. El objetivo de la revisión preliminar es el de obtener

la información necesaria para que el auditor pueda tomar la decisión de cómo proceder

en la auditoría. Al terminar la revisión preliminar el auditor puede proceder en uno de

los tres caminos siguientes.

- Diseño de la auditoría. Puede haber problemas debido a la falta de competencia

técnica para realizar la auditoría.

- Realizar una revisión detallada de los controles internos de los sistemas con la

esperanza de que se deposite la confianza en los controles de los sistemas y de

que una serie de pruebas sustantivas puedan reducir las consecuencias.

- Decidir no confiar en los controles internos del sistema. Existen dos razones

posibles para esta decisión. Primero, puede ser más eficiente desde el punto de

vista del costo- beneficio el realizar pruebas sustantivas directamente. Segundo,

los controles del área de informática pueden duplicar los controles existentes en

el área del usuario. El auditor puede decidir que se obtendrá un mayor costo-

beneficio al dar una mayor confianza a los controles de compensación y revisar

y probar mejor estos controles.

La revisión preliminar significa la recolección de evidencias por medio de entrevistas

con el personal de la instalación, la observación de las actividades en la instalación y la

revisión de la documentación preliminar. Las evidencias se pueden recolectar por medio

de cuestionarios iniciales, o bien por medio de entrevistas, o con documentación

narrativa. Debemos considerar que ésta será solo una información inicial que nos

permitirá elaborar el plan de trabajo, la cual se profundizará en el desarrollo de la

autoría.
La revisión preliminar elaborada por un auditor interno difiere de la realizada por un

auditor externo en tres aspectos. En primer lugar, el auditor interno normalmente

requiere de menos revisiones y trabajos, especialmente en la parte gerencial y de

organización, ya que él es parte de la organización y está familiarizado con misma. En

segundo, el auditor externo se enfoca más en las causas de las pérdidas y en los

controles necesarios para justificar sus decisiones, el auditor interno tiene una amplia

perspectiva, la cual incorpora en sus consideraciones sobre la eficiencia y la eficacia con

la que se trabaja. En tercero, si el auditor interno supone serias debilidades en los

controles internos, en lugar de proceder directamente con las pruebas sustantivas,

deberá continuar con la fase de revisión detallada para señalar recomendaciones para

mejorar los controles internos.

REVISIÓN DETALLADA

Los objetivos de la fase detallada son los de obtener la información necesaria para que

el auditor tenga un profundo entendimiento de los controles usados dentro del área de

informática.

El auditor debe decidir si debe de continuar elaborando pruebas de consentimiento, con

la esperanza de obtener mayor confianza por medio del sistema de control interno, o

proceder directamente a la revisión con los usuarios (pruebas compensatorias), o a las

pruebas sustantivas. En algunos casos el auditor puede, después de hacer un análisis

detallado, decidir que con los controles internos se tiene suficiente confianza, y en otros

casos que los procedimientos alternos de auditoría pueden ser más apropiados.

En la fase de evaluación detallada es importante para el auditor identificar las causas de

las pérdidas existentes dentro de la instalación y los controles para reducir las pérdidas y

efectos causados por éstas. Al terminar la revisión detallada el autor debe evaluar en qué
momento los controles establecidos reducen las pérdidas esperadas a nivel aceptable.

Los métodos de obtención de información al momento de la evaluación detallada son

los mismos usados en la investigación preliminar, y lo único que difiere es la

profundidad con que se obtiene la información y se evalúa.

Como en el caso de investigación preliminar, se tienen diferentes formas de lograr los

objetivos desde el punto de vista del auditor interno o externo. El auditor interno debe

considerar las causas de las pérdidas que afectan la eficiencia y eficacia, además de

evaluar por qué los controles escogidos son o no suficientes para reducir las pérdidas

esperadas a un nivel aceptable. El auditor interno debe evaluar si los controles escogidos

son óptimos, si provocan un sobre control, o bien si se logra un satisfactorio nivel de

control usando menos controles o controles menos costosos. Si el auditor interno

considera que los controles internos del sistema no son satisfactorios, en lugar de

proceder directamente a revisar, a probar controles alternos o a realizar pruebas

sustantivas y procedimientos, debe señalar las recomendaciones para mejorar los

controles de los sistemas.