2.
4 Estructura del Control informático
2.4.1 Por su Naturaleza
El Control Interno Informático puede definirse como el sistema integrado al proceso
administrativo, en la planeación, organización, dirección y control de las
operaciones con el objeto de asegurar la protección de todos los recursos
informáticos y mejorar los índices de economía, eficiencia y efectividad de los
procesos operativos automatizados. (Sanchez, s.f.)
En el ambiente informático, el control interno se materializa fundamentalmente en
controles:
[Link] Generales
Son las políticas, procedimientos y actividades que utilizan las organizaciones para
proteger y gestionar su entorno tecnológico. Dichas prácticas abarcan áreas clave,
como las operaciones diarias o los cambios en los sistemas, con la finalidad de
garantizar información segura, precisa y disponible.
Estos son importantes porque reducen los riesgos -el fraude, los errores y el acceso
no autorizado-, además de otorgar a las empresas y a los auditores la confianza de
que los datos del negocio son confiables.
Los Controles Generales de TI constituyen medidas que se aplican en toda la
empresa para garantizar que la tecnología se utilice de forma segura y correcta. Los
mismos adoptan la forma de políticas documentadas, procedimiento paso a paso y
actividades recurrentes que pueden comprobar los auditores. (Graglia, 2025)
Los Controles Generales son una parte del entorno general de control y afectan, en
un sistema de proceso electrónico de datos, a toda la información por igual y a la
continuidad de este servicio en la entidad. La debilidad o ausencia de estos controles
pueden tener un impacto significativo en la integridad y exactitud de los datos.
También se consideran controles generales aquellos relacionados con la protección
de los activos: la información resultante, los elementos físicos del hardware y el
software (programas y sistemas operativos). La ausencia de estos controles impide
valorar el riesgo de control como bajo. A título indicativo, algunos de estos
controles pueden ser:
Controles de Acceso: a equipos, programas, sistemas operativos y archivos de
datos. Tratan de evitar sabotajes, errores, robos o modificaciones no autorizadas.
En aquellos entornos en los que no existe acceso al código fuente (software
estándar adquirido a terceros) los riesgos y los controles pueden ser menores y
ser reforzadas por una supervisión directa de la dirección (firma de talones,
autorización de operaciones etc). Las aplicaciones de seguridad tipo palabras
claves y mantenimiento de logs o registros de acceso están generalizadas,
aunque los riesgos de control derivan de su inadecuada o nula utilización.
Asimismo hay determinado tipo de utilidades que permiten editar y modificar
información sin dejar pistas de auditoria. La utilización de este software debería
estar fuertemente restringido y generar algún tipo de registro de acceso. A título
ilustrativo:
a) Verificar si existen procedimientos que prevengan o detecten el uso de
software no autorizado por parte del personal.
b) La infraestructura informática, incluyendo firewalls, routers, switches,
redes locales o remotas, servidores y periféricos están adecuadamente
configurados para evitar accesos no autorizados.
c) Los perfiles de usuarios están adecuadamente configurados y
actualizados de tal forma que garantizan que los derechos de acceso a las
aplicaciones y a los datos y así como a sus posibilidades de altas, bajas,
modificaciones y consultas se restringen y actualizan adecuadamente en
función de las necesidades reales, actuales y autorizadas de dichos
usuarios. Los intentos de acceso no autorizados deben ser controlados y
registrados.
d) Existen procedimientos para identificar a todos los usuarios del sistema
(internos y externos) y para autentificar inequívocamente el origen de las
transacciones registradas.
Desarrollo y mantenimiento de aplicaciones: La mayoría de las PYMES no
dispone de programadores que desarrollen nuevas aplicaciones informáticas o
hagan modificaciones a programas existentes. Cuando un cliente contrata a un
programador o emplea los servicios de terceros para crear o modificar
programas, el auditor deberá evaluar los controles que aseguren que solo se
utiliza software comprobado y autorizado. Los riesgos de errores por
insuficiencia del periodo de pruebas, usuarios no informados de los cambios o
insatisfechos con los mismos o la documentación no actualizada con los
cambios realizados dan lugar a procesos de la información financiera incorrectos
o incompletos. A título de ejemplo, podemos citar:
a) Manuales de procedimientos que regulen los procesos de adquisición de
programas y sus posteriores actualizaciones. Comprobar que estos
mantienen como objetivo asegurar la integridad de la información mediante
una adecuada autorización y documentación de los cambios efectuados.
b) Comprobar que se consulta a los usuarios tanto para el desarrollo como para
la adquisición de paquetes estándar, así como que aquellos intervienen en los
tests previos y posteriores a su implantación.
c) En caso de conexión con otros sistemas o en el de conversión de datos de las
aplicaciones antiguas, verificar que existen controles que aseguren la
validez, integridad y exactitud de los datos migrados (como controles de
totales) y eviten transmisiones incompletas o duplicadas.
Mantenimiento del servicio. La posibilidad de recuperación del sistema en
casos de desastre es un importante control no solo de la integridad de la
información sino también de la propia supervivencia de la empresa. La
existencia de backups actualizados (de datos y software) y fuera de la empresa,
el tiempo de acceso a un sistema “espejo” que permita el mantenimiento de las
operaciones puede constituir la clave de la continuidad de las mismas.
Segregación de funciones. Aunque las PYMES no suelen tener los problemas
de los grandes CPDs en cuanto a la segregación entre analistas, programadores y
operadores, el menor tamaño de su plantilla obliga a que suelan simultanearse
por parte de los usuarios funciones incompatibles. La supervisión de estos
controles es similar a la de una auditoría en entornos no mecanizados. Es
importante señalar que las segregaciones de funciones pueden darse también a
nivel de aplicación: la separación de las funciones de autorización de las
transacciones, custodia de los activos correspondientes y registro contable deben
realizarse por personas o departamentos distintos. La finalidad es evitar que una
sola persona pueda cometer un error o una irregularidad. (REA economistas
auditores, 2010)
[Link] Manuales
Aquellos que son ejecutados por el personal del área usuaria o de informática sin la
utilización de herramientas computacionales. (Sanchez, s.f.)
Ventajas: Permite juicio y flexibilidad.
Desventajas: Propenso a errores, inconsistencias y manipulación. (seguro,
2025)
[Link] Automáticos
Son generalmente los incorporados en el software, llámense estos de operación, de
comunicación, de gestión de base de datos, programas de aplicación. (Sanchez, s.f.)
Realizadas por el sistema y, por tanto, no sujeta a errores intermitentes:
Validaciones automáticas, dígitos de control, datos aceptables predefinidos, pruebas
de razonabilidad, cálculos realizados por el sistema.
Referencias
Graglia, I. (30 de 09 de 2025). Controles Generales de TI (ITGC): definición y ejemplos.
Obtenido de invgate: [Link]
REA economistas auditores. (02 de 2010). Auditoría en entornos informatizados. Obtenido
de [Link]
Sanchez, K. (s.f.). Auditoría de Sistemas y Control Interno. Obtenido de Scribd:
[Link]
seguro, P. (25 de 05 de 2025). ¿Por qué automatizar los controles internos? Obtenido de
SafePaaS: [Link]