La mayoría de los empresarios colombianos saben que necesitan llevar contabilidad, pagar impuestos y cumplir con sus obligaciones laborales. Pero muy pocos saben que los sistemas informáticos que usan para gestionar esa información también deben ser auditados periódicamente. En este artículo explicamos qué es la Auditoría de Sistemas, qué aspectos revisa, por qué es relevante para su empresa y cuál es su relación con la Revisoría Fiscal.
¿Qué es la Auditoría de Sistemas?
La Auditoría de Sistemas — también llamada Auditoría TI o Auditoría Informática — es un proceso de revisión independiente mediante el cual se evalúan los sistemas de información de una empresa para determinar si están siendo gestionados de manera segura, eficiente y conforme a las normas y buenas prácticas aplicables en materia de seguridad de la información.
No se trata únicamente de verificar si el software funciona o si el computador enciende correctamente. Se trata de evaluar si la información que maneja su empresa está protegida, si los accesos están correctamente controlados, si existe un plan para responder ante una falla tecnológica y si el software que se usa es legal y está actualizado.
En el contexto contable y financiero la Auditoría de Sistemas es especialmente relevante porque la confiabilidad de los estados financieros depende directamente de la integridad y seguridad de los sistemas que generan esa información. Si el sistema contable tiene vulnerabilidades los estados financieros también las tienen.
¿Qué revisa la Auditoría de Sistemas?
Controles de acceso a los sistemas
Una de las primeras preguntas que hace una Auditoría de Sistemas es: ¿quién tiene acceso a los sistemas contables y financieros de la empresa y con qué nivel de permisos?
Verificamos que los accesos estén asignados únicamente al personal que los necesita para su función, que no existan usuarios inactivos con permisos vigentes — por ejemplo exempleados que siguen teniendo acceso al sistema después de haber salido de la empresa —, que los privilegios de administrador estén restringidos al personal autorizado y que existan registros de auditoría que permitan rastrear qué acciones realizó cada usuario en el sistema.
Una empresa donde cualquier persona puede acceder al sistema contable sin restricción tiene su información financiera expuesta a alteraciones, fugas y usos no autorizados que pueden tener consecuencias legales y tributarias serias.
Fugas de información
Evaluamos si existen vulnerabilidades que permitan la extracción no autorizada de información confidencial: datos financieros, información de clientes, contratos, nómina y cualquier otro tipo de información sensible que deba estar protegida.
Las fugas de información no siempre son el resultado de ataques externos. En muchos casos ocurren por descuido interno: empleados que comparten contraseñas, información enviada por correo sin cifrar o accesos que no fueron revocados cuando un empleado salió de la empresa.
Licenciamiento de software
Verificamos que todo el software que utiliza la empresa — contable, administrativo, ofimático y de seguridad — cuente con licenciamiento legal y vigente.
El uso de software sin licencia no solo es ilegal y puede generar sanciones — también es un riesgo de seguridad serio. El software sin licencia no recibe actualizaciones de seguridad lo que lo convierte en una puerta de entrada para virus, ransomware y malware que pueden cifrar o destruir toda la información de la empresa.
Adicionalmente en un proceso de fiscalización la DIAN puede cuestionar la integridad de la información generada por un sistema no licenciado o no actualizado.
Copias de seguridad
Revisamos si la empresa tiene un plan de copias de seguridad activo y funcionando correctamente: con qué frecuencia se ejecutan los backups, dónde se almacenan las copias — en el mismo servidor, en un disco externo o en la nube —, si existen copias en ubicaciones físicas distintas a las instalaciones de la empresa y si se han realizado pruebas de restauración que confirmen que los backups son funcionales.
Este último punto es crítico: un backup que nunca se ha probado puede no servir en el momento que más se necesita. Muchas empresas descubren que sus copias de seguridad no funcionaban correctamente solo cuando ya perdieron la información y es demasiado tarde.
Plan de contingencia tecnológica
Evaluamos si la empresa cuenta con un plan de continuidad del negocio para escenarios de falla tecnológica: caída del servidor, ataque de ransomware, corte de energía prolongado, robo de equipos o cualquier otro evento que pueda interrumpir el acceso a los sistemas de información.
Este plan debe estar documentado, el personal clave debe conocerlo y debe haber sido probado al menos una vez para verificar que funciona en la práctica. Lo evaluamos bajo los lineamientos de la norma ISO 27000 de seguridad de la información que establece los requisitos y buenas prácticas para la gestión de la seguridad informática en las organizaciones.
Integridad de la información contable
Verificamos que los datos que genera el sistema contable sean íntegros y confiables: que no existan registros duplicados, que los movimientos queden correctamente trazados, que el sistema genere registros de auditoría de las acciones realizadas y que la información reportada a la DIAN coincida exactamente con lo que muestra el sistema.
Seguridad física de los equipos
Evaluamos las condiciones físicas en las que operan los equipos que alojan la información de la empresa: si los servidores o computadores están en un lugar con acceso controlado, si tienen protección contra cortes de energía mediante UPS, si las condiciones de temperatura y humedad son adecuadas y si existe un protocolo para el caso de robo o daño físico de los equipos.
¿Por qué es especialmente importante en el Eje Cafetero?
Las empresas del Eje Cafetero — almacenes de insumos agrícolas, comercializadoras de café, ferreterías, empresas agropecuarias — han adoptado progresivamente sistemas contables y administrativos digitales para gestionar sus operaciones. Eso es positivo pero también implica nuevos riesgos que muchas de estas empresas aún no han evaluado formalmente.
Un almacén de insumos agrícolas que maneja el inventario de fertilizantes y fungicidas en un sistema digital sin backup actualizado puede perder toda esa información ante una falla del disco duro. Una comercializadora de café que no tiene controles de acceso adecuados en su sistema puede estar expuesta a que un empleado con acceso al sistema altere registros de compra o venta sin que nadie lo detecte.
La Auditoría de Sistemas permite identificar estos riesgos antes de que se materialicen y tomar las medidas correctivas a tiempo.
¿Cuándo debe realizarse una Auditoría de Sistemas?
Se recomienda realizar una Auditoría de Sistemas al menos una vez al año o cada vez que ocurran cambios significativos en la infraestructura tecnológica de la empresa. Las situaciones que hacen urgente una auditoría son:
Cuando ha habido cambios de personal con acceso a los sistemas — especialmente salidas de personal que manejaba información sensible.
Cuando la empresa ha experimentado pérdida de información, accesos no autorizados o ataques de virus.
Cuando se cambia de software contable o se implementa un nuevo sistema de información.
Cuando nunca se ha realizado una evaluación formal de la seguridad de los sistemas.
Cuando se va a iniciar un proceso de Revisoría Fiscal o auditoría externa y se quiere tener certeza de que la información que genera el sistema es confiable.
La Auditoría de Sistemas y la Revisoría Fiscal
En Consultorias Nacionales SAS la Auditoría de Sistemas hace parte integral de nuestra propuesta técnica de Revisoría Fiscal. La razón es simple: no podemos dictaminar que los estados financieros de una empresa son confiables si no hemos verificado que los sistemas que generan esa información son seguros e íntegros.
Si el sistema contable tiene vulnerabilidades de acceso, si los datos pueden ser alterados sin dejar rastro o si nunca se ha probado que los backups funcionen, cualquier dictamen sobre los estados financieros tendría una base frágil.
Por eso incluimos la evaluación de sistemas como parte de nuestro proceso de revisoría — porque la confiabilidad de la información financiera empieza por la confiabilidad de los sistemas que la generan.
¿Qué entregamos al finalizar una Auditoría de Sistemas?
Al finalizar el proceso entregamos un informe formal de hallazgos que incluye:
Descripción detallada de cada hallazgo identificado durante el proceso.
Clasificación del nivel de riesgo de cada hallazgo: crítico, alto, medio o bajo.
Recomendaciones técnicas específicas y viables para cada situación identificada.
Plan de acción sugerido con una priorización de las mejoras según el nivel de riesgo de cada hallazgo.
Este informe es un documento técnico formal que puede ser utilizado por la administración para tomar decisiones de mejora, por la junta directiva para evaluar los riesgos tecnológicos de la empresa y por el Revisor Fiscal como soporte de su proceso de dictamen.
Recomendaciones básicas de seguridad informática para empresas
Sin necesidad de esperar una auditoría formal hay medidas básicas que toda empresa debería implementar de manera inmediata:
Cambiar las contraseñas de los sistemas contables periódicamente y no compartirlas entre empleados.
Revocar inmediatamente los accesos de cualquier empleado que salga de la empresa.
Realizar copias de seguridad del sistema contable al menos una vez por semana y almacenarlas en una ubicación diferente a la del equipo principal.
Verificar que el software contable y el sistema operativo estén actualizados con los últimos parches de seguridad.
No instalar software sin licencia en los equipos que manejan información contable o financiera.
Restringir el acceso físico al servidor o al equipo principal que aloja la información contable.
Conclusión
La Auditoría de Sistemas no es un servicio exclusivo para grandes empresas con departamentos de tecnología. Es una necesidad para cualquier organización que use sistemas informáticos para manejar su información contable y financiera — que hoy en día es prácticamente todas.
Conocer el estado real de la seguridad de sus sistemas, identificar las vulnerabilidades antes de que sean explotadas y tomar las medidas correctivas a tiempo es siempre más económico que enfrentar las consecuencias de una falla: pérdida de información, fraude interno, sanciones tributarias o interrupción de la operación.
En Consultorias Nacionales SAS realizamos Auditorías de Sistemas con un enfoque contable y financiero que garantiza que la información que generan sus sistemas sea confiable, segura y lista para cualquier proceso de revisoría o auditoría externa.
¿Quiere saber si los sistemas de información de su empresa están protegiendo correctamente su información contable y financiera?
Contáctenos y le explicamos cómo podemos ayudarle.
📍 Manizales, Caldas — Atendemos empresas en todo el Eje Cafetero y Colombia
📞 Escríbenos por WhatsApp
🌐 consultoriasnacionales.com
Comentarios
Publicar un comentario