CASO DE ESTUDIO

Un auditor de SI ha sido designado para llevar a cabo auditorías de SI en una entidad por un período
de 2 años. Después de aceptar la designación, el auditor de SI notó que:

• La entidad tiene un estatuto de auditoría que detalla, entre otras cosas, el alcance y las
responsabilidades de la función de auditoría de SI y especifica al comité de auditoría como el
organismo de supervisión para la actividad de auditoría.

• La entidad está planificando un aumento importante en la inversión de TI, principalmente a cuenta

de la implementación de una nueva aplicación de ERP, integrando los procesos del negocio en todas
las unidades dispersas geográficamente. La implementación de ERP se espera que esté en operación
dentro de los próximos 90 días. Los servidores que soportan las aplicaciones del negocio están
alojados fuera de las instalaciones por un tercero proveedor de servicios.

• La entidad tiene un nuevo colaborador como Director de Seguridad de Información (CISO), quien
se reporta al Director de Finanzas (CFO).

• La entidad está sujeta a requerimientos regulatorios de cumplimiento que obligan a su gerencia a

certificar la eficacia del sistema de control interno cuando éste se relaciona con el reporte financiero.
La entidad ha estado registrando crecimiento al doble del promedio de la industria consistentemente
por los últimos dos años. Sin embargo, la entidad ha visto también aumentada su rotación de
empleados.

1. La PRIMERA prioridad del auditor de SI en el Año 1 debe ser estudiar:

a. Los informes de auditorías de SI anteriores y planificar el cronograma de auditoría.
b. Auditar el estatuto y planificar el cronograma de auditoría.
c. El impacto del nuevo colaborador como CISO.
d. El impacto de la implementación del nuevo ERP en el ambiente de TI y planificar
el cronograma de auditoría.
2.
¿Qué debería hacer PRIMERO el auditor de SI?
a. Efectuar una evaluación del riesgo de TI.
b. Realizar una auditoría de inspección de los controles
c. Revisar el plan de auditoría para concentrarse en la auditoría basada en el riesgo.
d. Aprobar los controles que el auditor de SI estima que son los más críticos.