Tecnología de la información y control interno
Núcleo conceptual
Integra el marco COSO (ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, supervisión) con controles generales de TI (acceso, cambios, operaciones, respaldo y recuperación) y controles de aplicación (validaciones, cuadres, segregación). Comprende riesgos de ciberseguridad, auditoría de sistemas, pruebas de controles automatizados, y el impacto de la tecnología en la evidencia (registros electrónicos, pistas de auditoría). Distingue control preventivo, detectivo y correctivo, y segregación de funciones como control clave.
Trampas típicas
- Confundir control general de TI (afecta a todos los sistemas) con control de aplicación (afecta a un proceso).
- Creer que un control automatizado no requiere pruebas: sí, y además pruebas de su configuración y de los controles generales que lo soportan.
- Asumir que el respaldo equivale a recuperación: falta probar la restauración.
- Ignorar que la segregación de funciones también aplica en ambientes ERP (roles y accesos).
- Mezclar supervisión (monitoreo) con actividad de control operativa.
Regla de trabajo
Clasifica el control: ¿previene, detecta o corrige? ¿Es general o de aplicación? ¿Es manual o automatizado? Luego pregunta qué evidencia probaría su eficacia y qué riesgo cubre.
Ejemplo resuelto
Una empresa paga a proveedores mediante un módulo ERP. Control: solo el rol “tesorería” puede liberar pagos y el rol “cuentas por pagar” no puede modificar datos bancarios. Es un control preventivo, de aplicación y de segregación. Para probarlo: revisar la matriz de roles, extraer usuarios con ambos permisos y probar una muestra de pagos. Si los controles generales de gestión de accesos son débiles, la confianza en el control automatizado se reduce.