Responsabilidad de la auditor a interna ante los servicios tercerizados
This presentation is the property of its rightful owner.
Sponsored Links
1 / 40

RESPONSABILIDAD DE LA AUDITORÍA INTERNA ANTE LOS SERVICIOS TERCERIZADOS PowerPoint PPT Presentation


  • 81 Views
  • Uploaded on
  • Presentation posted in: General

RESPONSABILIDAD DE LA AUDITORÍA INTERNA ANTE LOS SERVICIOS TERCERIZADOS. Mónica Beatriz Rela Responsable de la Unidad Auditoría de Sistemas Banco de la Nación Argentina [email protected] Representante por parte de CLAIN ante ISACA. Servicios tercerizados. Debemos considerar:.

Download Presentation

RESPONSABILIDAD DE LA AUDITORÍA INTERNA ANTE LOS SERVICIOS TERCERIZADOS

An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -

Presentation Transcript


Responsabilidad de la auditor a interna ante los servicios tercerizados

RESPONSABILIDAD DE LA AUDITORÍA INTERNAANTE LOS SERVICIOS TERCERIZADOS

Mónica Beatriz Rela

Responsable de la Unidad Auditoría de Sistemas

Banco de la Nación Argentina

[email protected]

Representante por parte de CLAIN ante ISACA

Auditoría General - Mayo 2012


Servicios tercerizados

Servicios tercerizados

Auditoría General - Mayo 2012


Debemos considerar

Debemos considerar:

  • Las necesidades de la Organización

  • Las Leyes y Regulaciones aplicables

  • Las características de los Servicios Contratados y el Proveedor de Servicios

  • Las diversas formas que puede asumir la Contratación de Servicios

  • Los Riesgos Asociados

  • El nivel de madurez del “Gobierno de la contratación de servicios externos” en la Organización

Auditoría General - Mayo 2012


Qu preguntas podemos hacernos

¿Qué preguntas podemos hacernos?

Sobre:

  • Organización Contratante y Proveedor de Servicios

  • Servicios Contratados y Contrato

  • Control y monitoreo de los Servicios Contratados

  • Gestión de Riesgos

  • Servicios de TI

  • Servicios de Auditoría Interna

Partiendo de la premisa que el servicio ya se encuentra contratado

Auditoría General - Mayo 2012


Organizaci n contratante y proveedor de servicios

Organización Contratante y Proveedor de Servicios

  • Qué normas/leyes regulan la delegación en terceros y el servicio contratado?

  • Existen particularidades transfronterizas y/o transculturales que contemplar?

  • Existen políticas organizacionales que regulen la delegación de servicios dentro de la organización?

  • Establecen estas políticas las responsabilidades de la Dirección y Gerencias de la Organización?

  • Existen mejores prácticas y/o estándares relacionados?

  • El proveedor del servicio brinda otro servicio a la organización? De ser así, pueden existir incompatibilidades al respecto?

Auditoría General - Mayo 2012


Servicios contratados y contrato

Servicios contratados y Contrato

El contrato define claramente…

  • el alcance de los servicios delegados?

  • roles y responsabilidades de las partes?

  • niveles mínimos de prestación de servicios y su tipo (SLA’s)?

  • mecanismos de resolución de disputas?

  • duración del contrato, cláusulas de renovación, finalización anticipada, transición por cambio de proveedor?

  • derechos a realizar auditorías al proveedor por parte de la entidad contratante y/o autoridad de contralor?

  • acuerdos de confidencialidad?

  • participación de subcontratistas, responsabilidades para con éstos, aprobación de la organización para cambiarlos?

Auditoría General - Mayo 2012


Servicios contratados y contrato cont

Servicios contratados y Contrato(cont.)

  • notificación de cambio de niveles gerenciales, de dirección, de control accionario?

  • cumplimiento de requerimientos legales, regulatorios, de políticas organizacionales, por parte del proveedor?

  • procedimientos para obtención de datos, programas fuentes, manuales, documentación técnica?

  • derechos de propiedad intelectual?

  • cumplimiento de estándares?

  • posibilidad de incorporar solicitudes de mejora y/o nuevas necesidades de la organización?

  • penalidades por incumplimiento del nivel de servicio acordado?

Auditoría General - Mayo 2012


Servicios contratados y contrato cont1

Servicios contratados y Contrato(cont.)

Otras consideraciones:

  • están previstos mecanismos que aseguren la continuidad de los servicios que se contratan por cualquier situación que pudiera sufrir el proveedor? Dispone el proveedor de un plan de continuidad de servicios debidamente documentado y probado?

  • posee el proveedor Auditoría Independiente que realice revisiones periódicas relacionadas con los servicios que presta (Ej. SAS 70 / ISAE 3402)? La periodicidad se considera suficiente?.

  • existe un proceso de revisión continua, mejoramiento y obtención de beneficios para ambas partes?

  • están los servicios contratados relacionados con servicios de información?

Auditoría General - Mayo 2012


Control y monitoreo de servicios contratados

Control y Monitoreo de Servicios contratados

Están definidos:

  • los mecanismos de control y monitoreo de niveles de servicios?

  • los roles y responsabilidades de control y monitoreo de servicios dentro de la organización?

  • los circuitos de aplicación de penalidades al proveedor del servicio por incumplimiento? 

Auditoría General - Mayo 2012


Gesti n de riesgos

Gestión de Riesgos

  • Se realiza la evaluación de riesgos correspondiente a la delegación de servicios en Terceros?

  • Se eleva el análisis de riesgos a la Dirección de la Organización para su aprobación?

  • Se contemplan contramedidas para mitigar los riesgos y/o seguros para transferirlos?

  • Se establecen mecanismos de monitoreo de riesgos?

Auditoría General - Mayo 2012


Gesti n de riesgos cont

Gestión de Riesgos (cont.)

Los principales riesgos están vinculados con:

  • Capacidad del Proveedor (experiencia, reputación, capacidad de adaptación a nuevas tecnologías, cualificación del personal, etc.)

  • Continuidad del Servicio (falta de cumplimiento del proveedor, incapacidad de reacción para suplir el servicio)

  • Contrato Inadecuado (el contrato no refleja claramente las pretensiones del Cliente y las responsabilidades del Proveedor)

  • Seguridad (confidencialidad, integridad, disponibilidad de información)

  • Dependencia mutua (entre Cliente y Proveedor)

  • Pérdida de conocimiento técnico (por parte del Cliente)

  • Rechazo de la Tercerización (por parte del personal)

Auditoría General - Mayo 2012


Gobierno de la contrataci n de servicios externos

Gobierno de la contratación de servicios externos

  • Es el conjunto deresponsabilidades, roles, objetivos, interfaces y controles requeridos para anticipar el cambio y manejar la introducción, el mantenimiento, el desempeño, los costos y el control de los servicios provistos por terceros.

  • Es un proceso activoque el cliente y el proveedor de servicio debe adoptar para proveer unenfoque común, congruente y efectivo que identifique la información necesaria, las relaciones, los controles y los intercambios entre muchas de las partes interesadas en ambas partes. 

    Fuente: ISACA

Auditoría General - Mayo 2012


Gobierno de la contrataci n de servicios externos cont

Gobierno de la contratación de servicios externos (cont.)

  • Uno de los principales objetivos del proceso es asegurar la continuidad del servicio en los niveles apropiados, la rentabilidad y el valor agregado para sostener la viabilidad comercial de ambas partes.

  • Mientras que no es ni posible ni rentable definir contractualmente cada detalle y cada acción, el proceso de gobierno provee el mecanismo para equilibrar el riesgo, la demanda de servicio, la provisión de servicio y el costo.

    Fuente: ISACA

Auditoría General - Mayo 2012


Servicios de ti m s habituales

Servicios de TI más habituales

  • Data Entry

  • Operación del Help Desk o del Call Center

  • Procesamiento de las operaciones / DRP

  • Diseño, desarrollo, implementación de sistemas

  • Mantenimiento de sistemas / Migración de sistemas a nuevas plataformas

  • Instalación de nueva infraestructura de TI (equipamiento, comunicaciones, redes)

  • Mantenimiento y soporte de infraestructura de TI / Migración de infraestructura de TI

  • Telecomunicaciones

  • Impresiones

  • Consultoría / Manpower

  • Capacitación

Auditoría General - Mayo 2012


Servicios de ti particularidades

Servicios de TI - Particularidades

  • Cumplimiento por parte del proveedor de políticas de seguridad de la organización contratante

  • Para los sistemas críticos, niveles de soporte 24 x 7 x 365 (follow the sun)

  • Monitoreo preventivo de equipamiento crítico.

  • Técnicos locales para soporte on-site

  • Para el caso de reemplazo de equipamiento, cláusulas de actualización tecnológica y/o de homologación con la plataforma existente.

  • En materia de servicios de procesamiento, DRP y Capacity Planning. No sólo en lo que respecta a infraestructura, sino también a personal capacitado.

  • En materia de software, cláusulas de propiedad intelectual, de entidad depositaria de código fuente; de gestión de requerimientos y cambios.

Auditoría General - Mayo 2012


Qu nos ofrece el marco de trabajo cobit

Qué nos ofrece el Marco de Trabajo COBIT?

COBIT4.1

ENTREGAR SERVICIO

DS2

Administrar los

servicios de terceros

COBIT5

ALINEAR, PLANIFICAR Y ORGANIZAR

APO10

Gestionar Proveedores

Criterios

Efectividad

Eficiencia

Integridad

Confiabilidad

Disponibilidad

Confidencialidad

Cumplimiento

Utilidad

Usabilidad

Libre de error

Credibilidad

Accesibilidad

Seguridad

Conformidad

Fuente: ISACA

Auditoría General - Mayo 2012


Dominios cobit 4 1

Dominios COBIT 4.1

  • Planear y Organizar (PO) – Proporciona dirección para la entrega de soluciones (AI) y la entrega de servicio (DS).

  • Adquirir e Implementar (AI) – Proporciona las soluciones y las pasa para convertirlas en servicios.

  • Entregar y Dar Soporte (DS) – Recibe las soluciones y las hace utilizables por los usuarios finales.

  • Monitorear y Evaluar (ME) - Monitorear todos los procesos para asegurar que se sigue la dirección provista.

Fuente: ISACA

Auditoría General - Mayo 2012


Cobit 4 1 procesos del dominio entregar y dar soporte ds

COBIT 4.1 - Procesos del Dominio Entregar y Dar Soporte (DS)

  • DS1 Definir y administrar los niveles de servicio

  • DS2 Administrar los servicios de terceros

  • DS3 Administrar el desempeño y la capacidad

  • DS4 Garantizar la continuidad del servicio

  • DS5 Garantizar la seguridad de los sistemas

  • DS6 Identificar y asignar costos

  • DS7 Educar y entrenar a los usuarios

  • DS8 Administrar la mesa de servicio y los incidentes

  • DS9 Administrar la configuración

  • DS10 Administrar los problemas

  • DS11 Administrar los datos

  • DS12 Administrar el ambiente físico

  • DS13 Administrar las operaciones

Fuente: ISACA

Auditoría General - Mayo 2012


Cobit 4 1 procesos del dominio entregar y dar soporte ds1

COBIT 4.1 - Procesos del Dominio Entregar y Dar Soporte (DS)

DS2 Administrar los servicios de terceros

  • DS2.1 Identificación de Todas las Relaciones con Proveedores

  • DS2.2 Gestión de Relaciones con Proveedores

  • DS2.3 Administración de Riesgos del Proveedor

  • DS2.4 Monitoreo del Desempeño del Proveedor

NO SOLO

APLICABLE A TI

Fuente: ISACA

Auditoría General - Mayo 2012


Cobit 4 1 ds2 administrar los servicios de terceros

COBIT 4.1 – DS2 Administrar los servicios de terceros

Actividades

  • DS2.1 Identificación de Todas las Relaciones con Proveedores

    Identificar todos los servicios de los proveedores, y categorizarlos de acuerdo al tipo de proveedor, significado y criticidad. Mantener documentación formal de relaciones técnicas y organizacionales que cubren los roles y responsabilidades, metas, entregables esperados, y credenciales de los representantes de estos proveedores.

Fuente: ISACA

Auditoría General - Mayo 2012


Responsabilidad de la auditor a interna ante los servicios tercerizados

COBIT 4.1 – DS2 Administrar los servicios de terceros

Actividades(cont.)

  • DS2.2 Gestión de Relaciones con Proveedores

    Formalizar el proceso de gestión de relaciones con proveedores para cada proveedor. Los dueños de las relaciones deben enlazar las cuestiones del cliente y proveedor y asegurar la calidad de las relaciones basadas en la confianza y transparencia. (Ej.: a través de SLAs).

Fuente: ISACA

Auditoría General - Mayo 2012


Responsabilidad de la auditor a interna ante los servicios tercerizados

COBIT 4.1 – DS2 Administrar los servicios de terceros

Actividades(cont.)

  • DS2.3 Administración de Riesgos del Proveedor

    Identificar y mitigar los riesgos relacionados con la habilidad de los proveedores para mantener un efectivo servicio de entrega de forma segura y eficiente sobre una base de continuidad. Asegurar que los contratos están de acuerdo con los requerimientos legales y regulatorios de los estándares universales del negocio. La administración del riesgo debe considerar además acuerdos de confidencialidad (NDA - non-disclosure agreements), contratos de garantía, viabilidad de la continuidad del proveedor, conformidad con los requerimientos de seguridad, proveedores alternativos, penalizaciones e incentivos, etc.

Fuente: ISACA

Auditoría General - Mayo 2012


Responsabilidad de la auditor a interna ante los servicios tercerizados

COBIT 4.1 – DS2 Administrar los servicios de terceros

Actividades(cont.)

  • DS2.4 Monitoreo del Desempeño del Proveedor

    Establecer un proceso para monitorear la prestación del servicio para asegurar que el proveedor está cumpliendo con los requerimientos del negocio actuales y que se adhiere continuamente a los acuerdos del contrato y a SLAs, y que el desempeño es competitivo con proveedores alternativos y las condiciones del mercado.

Fuente: ISACA

Auditoría General - Mayo 2012


Responsabilidad de la auditor a interna ante los servicios tercerizados

COBIT 4.1 – DS2 Administrar los servicios de terceros

Matriz RACI

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros

DS2 Administrar los servicios de terceros

  • Entradas

  • Estrategia de contratación de TI

  • Estándares de adquisición

  • Arreglos contractuales, requerimientos de administración de relaciones con terceros

  • SLAs, reporte de revisión de contrato

  • Requerimientos de servicio contra desastre incluyendo roles y responsabilidades

  • Desde

  • P01. Definir un Plan Estratégico de TI.

  • P08. Administrar la Calidad.

  • AI5. Adquirir Recursos de TI

  • DS1. Definir y Administrar los Niveles de Servicio

  • DS4. Garantizar la Continuidad del Servicio

Entradas desde otros procesos

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros1

DS2 Administrar los servicios de terceros

Salidas hacia otros procesos

  • Salidas

  • Reportes de desempeño de los procesos

  • Catálogo del proveedor

  • Hacia

  • ME1. Monitorear y evaluar el desempeño de TI

  • P09. Evaluar y Administrar los Riesgos de TI.

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros2

DS2 Administrar los servicios de terceros

Modelos de Madurez

La administración del proceso de Administrar los servicios de terceros que satisfagan los requerimientos de TI del negocio de brindar servicios de terceros satisfactorios siendo transparentes respecto a los beneficios, costos y riesgos es:

0 No Existente cuando

  • Las responsabilidades y la rendición de cuentas no están definidas.

  • No hay políticas y procedimientos formales respecto a la contratación con terceros.

  • Los servicios de terceros no son ni aprobados ni revisados por la gerencia.

  • No hay actividades de medición y los terceros no reportan.

  • A falta de una obligación contractual de reportar, la alta gerencia no está al tanto de la calidad del servicio prestado.

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros3

DS2 Administrar los servicios de terceros

Modelos de Madurez(cont.)

1 Inicial / Ad Hoc cuando

  • La gerencia está conciente de la importancia de la necesidad de tener políticas y procedimientos documentados para la administración de los servicios de terceros, incluyendo la firma de contratos.

  • No hay condiciones estandarizadas para los convenios con los prestadores de servicios.

  • La medición de los servicios prestados es informal y reactiva.

  • Las prácticas dependen de la experiencia de los individuos y del proveedor (por ejemplo, por demanda).

    .

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros4

DS2 Administrar los servicios de terceros

Modelos de Madurez(cont.)

2 Repetible pero Intuitivo cuando

  • El proceso de supervisión de los proveedores de servicios de terceros, de los riesgos asociados y de la prestación de servicios es informal.

  • Se utiliza un contrato pro-forma con términos y condiciones estándares del proveedor (por ejemplo, la descripción de servicios que se prestarán).

  • Los reportes sobre los servicios existen, pero no apoyan los objetivos del negocio.

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros5

DS2 Administrar los servicios de terceros

Modelos de Madurez (cont.)

3 Definido cuando

  • Hay procedimientos bien documentados para controlar los servicios de terceros con procesos claros para tratar y negociar con los proveedores.

  • Cuando se hace un acuerdo de prestación de servicios, la relación con el tercero es meramente contractual. La naturaleza de los servicios a prestar se detalla en el contrato e incluye requerimientos legales, operativos y de control.

  • Se asigna la responsabilidad de supervisar los servicios de terceros. Los términos contractuales se basan en formatos estandarizados.

  • El riesgo del negocio asociado con los servicios del tercero esta valorado y reportado.

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros6

DS2 Administrar los servicios de terceros

Modelos de Madurez(cont.)

4 Administrado y Medible cuando

  • Se establecen criterios formales y estandarizados para definir los términos de un acuerdo, incluyendo alcance del trabajo, servicios/entregables a suministrar, suposiciones, cronograma, costos, acuerdos de facturación y responsabilidades.

  • Se asignan las responsabilidades para la administración del contrato y del proveedor.

  • Las aptitudes, capacidades y riesgos del proveedor son verificadas de forma continua.

  • Los requerimientos del servicio están definidos y alineados con los objetivos del negocio.

  • Existe un proceso para comparar el desempeño contra los términos contractuales, lo cual proporciona información para evaluar los servicios actuales y futuros del tercero.

  • Se utilizan modelos de fijación de precios de transferencia en el proceso de adquisición.

  • Todas las partes involucradas tienen conocimiento de las expectativas del servicio, de los costos y de las etapas. Se acordaron los KPIs y KGIs para la supervisión del servicio.

Fuente: ISACA

Auditoría General - Mayo 2012


Ds2 administrar los servicios de terceros7

DS2 Administrar los servicios de terceros

Modelos de Madurez (cont.)

5 Optimizado cuando

  • Los contratos firmados con los terceros son revisados de forma periódica en intervalos predefinidos.

  • La responsabilidad de administrar a los proveedores y la calidad de los servicios prestados está asignada.

  • Se monitorea el cumplimiento de las condiciones operativas, legales y de control y se implantanacciones correctivas.

  • El tercero está sujeto a revisiones periódicas independientes y se le retroalimenta sobre su desempeño para mejorar la prestación del servicio.

  • Las mediciones varían como respuesta a los cambios en las condiciones del negocio.

  • Las mediciones ayudan a la detección temprana de problemas potenciales con los servicios de terceros.

  • La notificación completa y bien definida del cumplimiento de los niveles de servicio, está asociada con la compensación del tercero.

  • La gerencia ajusta el proceso de adquisición y monitoreo de servicios de terceros con base en los resultados de los KPIs y KGIs.

Fuente: ISACA

Auditoría General - Mayo 2012


Modelos de madurez

Modelos de Madurez

El Modelo de Madurez (COBIT 4.1) ha sido sustituido por el Modelo de Capacidad de Procesos (COBIT 5), el cual se basa en la norma ISO 15504 (estándar de evaluación de procesos).

Fuente: ISACA

Auditoría General - Mayo 2012

33


Servicios de auditor a interna

Servicios de Auditoría Interna

  • Cuáles son los motivos por los cuales se requiere contratar recursos externos?

    • escasez temporal de personal,

    • habilidades de especialización,

    • cobertura de ubicaciones de negocios remotas,

    • trabajo en proyectos especiales,

    • personal complementario para cumplir con plazos ajustados,

    • imposibilidad de contratar personal de auditoría interna permanente.

  • Existe un equilibrio óptimo de los recursos internos y externos de AI?

FUENTE: Declaración de posición del IIA sobre alternativas de obtención de recursos para la función de auditoría interna

Auditoría General - Mayo 2012


Servicios de auditor a interna cont

Servicios de Auditoría Interna (cont.)

Declaración de posición del IIA sobre alternativas de obtención de recursos para la función de auditoría interna:

“Si bien el IIA considera que las funciones de auditoría interna que forman parte de la organización son las más eficaces, entiende que, en determinadas situaciones, puede ser apropiado recurrir a servicios de auditoría interna prestados por proveedores externos.”

“La supervisión y la responsabilidad por la actividad de auditoría interna no se pueden tercerizar”

“Los servicios de auditoría interna no pueden ser provistos por la misma firma contable que audita los estados contables de la organización, ya que esto afectaría la independencia del auditor externo”

FUENTE: Declaración de posición del IIA sobre alternativas de obtención de recursos para la función de auditoría interna

Auditoría General - Mayo 2012


Servicios de auditor a interna cont1

Servicios de Auditoría Interna (cont.)

Consejo para la Práctica 1210.A1-1 del IIA, Obtención de servicios para respaldar o complementar la actividad de auditoría interna.

“El director ejecutivo de auditoría debe obtener asesoramiento y asistencia adecuados si el personal de auditoría interna no cuenta con conocimientos, habilidades y demás competencias necesarias para realizar el trabajo en forma total o parcial”.

FUENTE: Consejo para la Práctica 1210.A1-1 del IIA

Auditoría General - Mayo 2012


Auditor a interna particularidades

Auditoría Interna – Particularidades

  • Disponibilidad de recursos.

  • Capacitación, rotación, gestión.

  • Adquisición y disponibilidad de habilidades de especialización.

  • Acceso a mejores prácticas o conocimiento de enfoques alternativos.

  • Afiliación activa a una organización profesional apropiada. 

  • Uso de la auditoría interna como campo de capacitación para ascensos internos.

Auditoría General - Mayo 2012


Servicios de auditor a particularidades

Servicios de Auditoría – Particularidades

  • Receptividad de la Organización en cuanto a proveedores de servicios.

  • Conocimiento de la Organización por parte del proveedor de servicios.

  • Independencia / Calificaciones del proveedor de servicios.

  • Normas profesionales que adopta el proveedor de servicios.

  • Coordinación con los servicios de auditoría interna de la organización.

  • Coordinación con el auditor externo.

  • Retención, acceso y propiedad de los papeles de trabajo.

  • Retención de conocimiento para futuras tareas.

  • Fidelidad de los recursos internos en comparación con los proveedores de servicios externos.

  • Consideraciones relativas a los costos.

Auditoría General - Mayo 2012


Bibliograf a

Bibliografía

  • COBIT 4.1 / 5

  • Normas Internacionales para el ejercicio de la profesión de Auditoría Interna (IIA)

  • Investigaciones Europeas de Dirección y Economía de la Empresa - Vol. 16, Nº 1, 2010

Auditoría General - Mayo 2012


Preguntas

¿Preguntas?

¡Muchas Gracias!

Mónica Beatriz Rela

Responsable de la Unidad Auditoría de Sistemas

Banco de la Nación Argentina

[email protected]

Representante por parte de CLAIN ante ISACA

Auditoría General - Mayo 2012


  • Login