Por: Equipo Auditool

En un entorno empresarial cada vez más digitalizado, los procesos operativos y financieros dependen de forma directa de sistemas tecnológicos. Ante esta realidad, los auditores enfrentan el desafío de evaluar no solo los controles propios del proceso, sino también aquellos que garantizan la integridad, disponibilidad y confidencialidad de la información procesada. Aquí es donde entran en juego los controles generales de TI (ITGC, por sus siglas en inglés).

¿Qué son los controles generales de TI?

Los controles generales de TI son políticas, procedimientos y actividades diseñadas para asegurar el funcionamiento confiable de los sistemas de información. Son controles transversales que afectan a múltiples aplicaciones y procesos dentro de una organización.

Los tres pilares fundamentales de los ITGC son:

1. Gestión de accesos

Este control busca asegurar que solo las personas autorizadas puedan acceder a los sistemas y datos según sus funciones. Implica:

• Definición de perfiles de usuario y roles.

• Procedimientos de alta, modificación y baja de usuarios.

• Control de accesos privilegiados (administradores, desarrolladores).

• Autenticación y trazabilidad (logs de acceso, contraseñas seguras).

Importancia: Si una persona tiene más accesos de los necesarios o mantiene privilegios luego de dejar un cargo, se expone la organización a fraudes, sabotajes o fugas de información.

2. Gestión de cambios

Este control regula las modificaciones que se hacen a los sistemas de información, ya sean cambios en el software, configuraciones o infraestructura. Incluye:

• Solicitud formal del cambio.

• Aprobación previa por responsables autorizados.

• Pruebas en ambientes controlados antes de la implementación.

• Documentación de los cambios.

Importancia: Una modificación mal gestionada puede generar errores en la lógica del sistema, afectar procesos automatizados o generar fallas en la generación de reportes.

3. Respaldos y recuperación

Busca garantizar que la información crítica pueda ser restaurada en caso de pérdida, fallo del sistema o incidente cibernético. Considera:

• Políticas de respaldo definidas (frecuencia, tipo, responsables).

• Verificación periódica de la integridad de los respaldos.

• Pruebas del plan de recuperación.

Importancia: La pérdida de datos puede paralizar procesos clave, impedir la operación o afectar la información que respalda decisiones financieras o regulatorias.

¿Por qué son clave para las auditorías de procesos?

Los ITGC no son un tema exclusivo de los auditores tecnológicos. Su adecuada implementación garantiza la confiabilidad de los controles específicos del proceso que se audita. Por ejemplo:

• Si un proceso financiero depende de un sistema contable, pero no existe control sobre quién puede cambiar datos maestros, los riesgos de manipulación o errores aumentan.

• Si se audita un proceso de compras, pero el sistema que lo soporta no gestiona adecuadamente los cambios en las reglas de aprobación, las conclusiones de la auditoría podrían ser erróneas.

• Si no existen respaldos confiables, la información histórica usada como evidencia en auditoría puede perderse o estar incompleta.

Conclusión

Comprender y considerar los Controles Generales de TI en una auditoría de procesos no requiere conocimientos técnicos avanzados, pero sí una clara conciencia de su impacto transversal. Evaluar estos controles permite al auditor tener mayor confianza en los sistemas que sustentan la operación y emitir juicios más acertados sobre los procesos auditados.