REPÚBLICA BOLIVARIANA DE VENEZUELA

INSTITUTO UNIVERSITARIO POLITÉCNICO

“SANTIAGO MARIÑO”
EXTENSIÓN – PORLAMAR

PROYECTO: APLICACIÓN DE UNA AUDITORIA

INFORMATICA EN LA EMPRESA EKIPA C.A

Autores: Br. Moisés Peña.

C.I: 18.399.949
Br. Ricardo Paruta.
C.I: 19.116.452
Br. Néstor Casas.
C.I: 22.998.167

Porlamar, Julio 2013

 INTRODUCCIÓN

Los sistemas de información en la actualidad constituyen para las

organizaciones y empresas, un campo esencial, por esta razón es que todo el
recurso humano que se desempeña en una organización debe comprender los
sistemas de información, desde un entendimiento básico algunas personas hasta
un entendimiento profundo, ya que esto permitirá el buen desarrollo de la
organización.

Los sistemas de información representan un área principal para las

actividades de contabilidad, administración, mercadeo. Igualmente representan un
gran apoyo en la productividad, la presentación del servicio y la satisfacción del
cliente. Lo que permite una ventaja estratégica en el mercado en el cual se
desenvuelve la empresa.

Considerando la importancia de los sistemas de informática, se estima

pertinente la realización de una auditoria informática en la empresa Ekipa C.A,
con el propósito de cumplir con los requerimientos presentes y estipular los
beneficios para administrar los riesgos eficientemente. Utilizando como modelo
de referencia la metodología COBIT 4.1, a través de la evaluación de 34 procesos
definido por esta metodología, agrupados en 4 dominios que son: planear y
organizar, adquirir e implementar, entregar y dar soporte, monitorear y evaluar,
estos procesos son ubicados en los procesos de madurez para luego exponer las
recomendaciones dadas por COBIT 4.1.

Con la realización de esta investigación se busca la solución de problemas y

alcanzar la máxima satisfacción de los clientes, con el uso adecuado de los
recursos tecnológicos y humanos que posee que posee la empresa Ekipa C.A.
CAPITULO I GENERALIDADES DE LA EMPRESA

1.1. Caracterización de la empresa

1.1.1 Naturaleza de la empresa

El 17 de Mayo del 2005 nace EKIPA C.A en el estado Nueva Esparta para brindar
un servicio de calidad y excelencia al estado que de acuerdo a la necesidad
existente dentro del ente buscando lograr la competitividad y reconocimiento.

Lo más resaltante es haber apostado por el negocio de venta de artículos de

remodelaciones para el hogar, camping, ferretería entre otros logrando así su
reconocimiento en el mercado.

1.1.2. Ubicación de Ekipa C.A: Av. Aldonza Manrique Entrada

Playa el Ángel CC Rattan Plaza Pampatar Estado Nueva Esparta Zona
Postal 6316

1.1.3. Misión

Ofrecer la mejor variedad, calidad y productos en soluciones para la construcción

y el hogar, bajo el concepto de autoservicio en un ambiente confortable.

1.1.4. Visión

Ser reconocidos en nuestro ramo como la mejor solución a nuestros clientes en la

región.

1.1.5. Objetivos estratégicos

Agilizar el proceso de registro de artículos nuevos.

Disminuir el tiempo invertido en la búsqueda de artículos creados, ya

sea para actualizarlos.

Mejora la calidad del trabajo que se realiza, porque el personal tendrá
más facilidad para realizar sus labores.

Evita el riesgo de pérdida de los datos.

Se pueden eliminar la gran cantidad de datos que se presenta en el
entorno.
Se puede almacenar una gran cantidad de datos.

1.1.5.1. Análisis foda

OPORTUNIDADES AMENAZAS

• Nivel de tecnología de punta. • Rotación del personal.

• Instalaciones para la formación • Bajo presupuesto de gastos
Profesional. asignados.
• Capacitación y desarrollo del • Inestabilidad gerencial dentro
personal. de la empresa.
FORTALEZAS DEBILIDADES

• Dominio del programa por parte • Falta de planeación de los

del personal. trabajos.
• Experiencia en el desarrollo del • Bajo nivel de remuneración.
trabajo. • Inefectiva preparación del
• Disponibilidad de fondos personal.
internos. • Escaso nivel profesional en el
• Capacidad de adaptación al personal.
trabajo bajo presión.

1.1.5.2. Metas organizacionales

Abastecimiento de las aéreas de la organización según sus necesidades.

Realizar la capacitación a todo el personal que labora dentro de la organización

para así tener atención de calidad.

1.1.6. Organigrama de la empresa

Ver anexo A
 1.1.6.1. Descripción de la gerencia y áreas.

Gerencia general: tiene como propósito dirigir, organizar y coordinar el desarrollo

de los procesos y actividades diarias de acuerdo con sus políticas.

Área de negocios: encargada de planificar y verificar los procesos de compra

venta como también la recepción en el área de almacén.

Área administrativa: se encarga de velar por una adecuada organización que la

administración sea eficiente en el uso de bienes y el recurso humano de la
organización en general.

Área de informática: encargada de coordinar los servicios informáticos, tiene que

estar subdividida para así ser más específicos al momento de las comunicaciones.

1.2. Metodología Cobit:

Ver anexo B

1.2.1 Modelo de madurez

El modelo de madurez para la administración y el control de los procesos de
TI se basa en un método de evaluación de la organización, de tal forma que se
pueda evaluar a sí misma desde un nivel de no-existente (0) hasta un nivel de
optimizado (5). Este enfoque se deriva del modelo de madurez que el Software
Engineering Institute definió para la madurez de la capacidad del desarrollo de
software. Cualquiera que sea el modelo, las escalas no deben ser demasiado
granulares, ya que eso haría que el sistema fuera difícil de usar y sugeriría una
precisión que no es justificable debido a que en general, el fin es identificar dónde
se encuentran los problemas y cómo fijar prioridades para las mejoras. El
propósito no es evaluar el nivel de adherencia a los objetivos de control.
Los niveles de madurez están diseñados como perfiles de procesos de TI que una
organización reconocería como descripciones de estados posibles actuales y
futuros. No están diseñados para ser usados como un modelo limitante, donde no
se puede pasar al siguiente nivel superior sin haber cumplido todas las
condiciones del nivel inferior. Con los modelos de madurez de COBIT, a
diferencia de la aproximación del CMM original de SEI, no hay intención de
medir los niveles de forma precisa o probar a certificar que un nivel se ha
conseguido con exactitud.
La obtención de una visión objetiva del nivel de desempeño propio de una
empresa no es sencilla. ¿Qué se debe medir y cómo? Las empresas deben medir
dónde se encuentran y dónde se requieren mejoras, e implementar un juego de
herramientas gerenciales para monitorear esta mejora. COBIT atiende estos temas
a través de:
Modelos de madurez que facilitan la evaluación por medio de benchmarking y la
identificación de las mejoras necesarias en la capacidad.
Metas y mediciones de desempeño para los procesos de TI, que demuestran cómo
los procesos satisfacen las necesidades del negocio y de TI, y cómo se usan para
medir el desempeño de los procesos internos basados en los principios de un
marcador de puntuación balanceado.
Metas de actividades para facilitar el desempeño efectivo de los procesos.
Cada vez con más frecuencia, se les pide a los directivos de empresas corporativas
y públicas que consideren qué tan bien se está administrando TI. Como respuesta
a esto, se debe desarrollar un plan de negocio para mejorar y alcanzar el nivel
apropiado de administración y control sobre la infraestructura de información.
Aunque pocos argumentarían que esto no es algo bueno, se debe considerar el
equilibrio del costo beneficio y éstas preguntas relacionadas:
¿Qué está haciendo nuestra competencia en la industria, y cómo estamos
posicionados en relación a ellos?
¿Cuáles son las mejores prácticas aceptables en la industria, y cómo estamos
posicionados con respecto a estas prácticas?
Con base en estas comparaciones, ¿se puede decir que estamos haciendo lo
suficiente?
Una evaluación de la madurez de COBIT resultara en un perfil donde las
condiciones relevantes a diferentes niveles de madurez se han conseguido, como
se muestra en el ejemplo gráfico siguiente:
 1.2.2. Auditoria de tics aplicando COBIT
1.2.2.1 Área a auditar
La Auditoría realizada por el equipo, será en el Área de Informática de “EKIPA
C.A”, debido a que allí se encuentran ubicados gran parte de los equipos de
cómputo con los que cuenta la Organización “EKIPA C.A”.

1.2.2.2. Proceso de recolección de información

Por medio de la observación realizada se procedió a la realización de entrevistas y
cuestionarios con el Gerente General de “EKIPA C.A”; y así poder determinar
con más precisión cuales son los problemas presentados y poder dar un dictamen
más específico.

1.2.2.3. Documentos de gestión en el área de informática

Actualmente “EKIPA C.A” no cuenta con el manual de procedimientos
administrativos informáticos, ni tampoco cuenta con la documentación requerida
las cuales son:
Mantenimiento de Equipos de Cómputo.
Un Plan de Contingencias
Seguridad de datos y equipos de Cómputo.

1.2.2.4. Plan de la auditoria en el área de informática

Para el Plan de desarrollo de la Auditoria, se cuenta con el apoyo de la alta
gerencia de la Organización, solicitando la participación de los principales
trabajadores de la Organización y en donde se realizaran las siguientes acciones:
 N° ACTIVIDADES
1 Observación General del Área de Informática.
2 Entrevistas a los trabajadores del Área de Informática.
3 Analizar con que documentos de Gestión y Técnicos cuentas
Verificar si que los equipos de los que se cuenta en la actualidad
4
concuerdan con su inventario.
Análisis de las claves de acceso, control, seguridad, confiabilidad y
5
respaldos.
Evaluar las tecnologías de información (TI), tanto en hardware como
6
en software.
7 Evaluación de la seguridad física, lógica y de redes.

1.2.2.5 Herramientas y técnicas

Herramientas Técnicas
Cuaderno, lapicero, laptop, Microsoft office Observación, entrevistas y
2010, entre otros cuestionarios

1.2.2.6. Motivo o necesidad de la auditoria

• Síntomas de mala imagen e insatisfacción de los usuarios.
• Síntomas de Inseguridad.
• Síntomas de descoordinación y desorganización

1.2.2.7 Modelos de madurez a nivel cualitativo (COSO)

A continuación se representa en una tabla el impacto de los objetivos de control
de COBIT 4.1 sobre los criterios y recursos de TI.
La nomenclatura utilizada en los criterios de información para esta tabla es la
siguiente (P), cuando el objetivo de control tiene un impacto directo al
requerimiento, (S), cuando el objetivo de control tiene un impacto indirecto es
decir no completo sobre el requerimiento, y finalmente ( ) vacío, cuando el
objetivo de control no ejerce ningún impacto sobre el requerimiento, en cambio
cuando se encuentra con (X) significa que los objetivos de control tienen impacto
en los recursos, y cuando se encuentra en blanco ( ), es que los objetivos de
control no tienen ningún impacto con los recursos.

Ver anexo C

Para tener un porcentaje de los criterios de la información, asignamos un valor

para el impacto primario, de igual forma tendremos un valor para el impacto
secundario.

Este porcentaje lo estableceremos en base a la propuesta metodológica para el

manejo de riesgos COSO (Sponsoring Organizations of the Treadway), como se
muestra en la tabla.
CALIFICACIÓN IMPACTO PROMEDIO
15% 50% BAJO 32
51% 75% MEDIO 63
76% 95% ALTO 86

Promedio de Impactos, fuente COBIT 4.1

Capítulo II: EJECUCION DE LA AUDITORIA

2.1. Situación actual del área de sistemas
• Recomendar la adquisición de hardware, software básico y de aplicación
conveniente y necesaria.
• Ejecutar y actualizar el plan estratégico del sistema de información, según
los requerimientos del área conjunto con la gerencia general.
• Proporcionar seguridad tanto lógica y física del hardware y redes.
• Mantener el inventario del área actualizado para así tener buen control del
departamento.
 2.1.2. Organigrama del departamento

2.1.3. Seguridad del departamento

• Tener sistema contra incendios y la capacitación adecuada para el manejo

de los mismos.
• Contar con buen espacio para la ubicación de los servidores y con
seguridad.
• Contar con las licencias de los sistemas operativos para que todo sea legal.
• Tener programado el respaldo que trae el sistema operativo con respecto a
la base de datos.
• Restringir el acceso al sistema de información y al servidor para que la
data no sea adulterada
 2.2. Aplicación de la auditoria

2.2.1. Modelo de madurez de los procesos

DOMINIO: PLANIFICAR Y ORGANIZAR

PO1: Definir el Plan Estratégico de Tecnología de la Información

NO CUMPLE
CUMPLE
OBSERVACIONES
NIVEL DE MADUREZ

No existe conciencia por parte de la gerencia GRADO DE MADUREZ

Nivel de que la planeación estratégica de TI es
X
0 requerida para dar soporte a las metas del El proceso de Definir el Plan Estratégico de
negocio. Tecnología de la Información está en el
La planeación estratégica de TI se discute de nivel de madurez 4.
Nivel
forma ocasional en las reuniones de la X
1
gerencia.
Las decisiones estratégicas se toman
Nivel
proyecto por proyecto, sin ser consistentes X
2
con una estrategia global de la organización.
La planeación estratégica de TI sigue un
enfoque estructurado, el cual se documenta y
se da a conocer a todo el equipo. Las
Nivel
estrategias de recursos humanos, técnicos y X
3
financieros de TI influencian cada vez más la
adquisición de nuevos productos y
tecnologías.
Existen procesos bien definidos para
Nivel determinar el uso de recursos internos y
X
4 externos requeridos en el desarrollo y las
operaciones de los sistemas
Se desarrollan planes realistas a largo plazo
de TI y se actualizan de manera constante
Nivel
para reflejar los cambiantes avances X
5
tecnológicos y el progreso relacionado al
negocio.
RECOMENDACIONES
Para el proceso PO1 de COBIT estable los siguientes objetivos de control:
• Planes a largo plazo de TI.
• Tomar decisiones estratégicas.
• Definir los recursos internos y externos necesarios.
Para pasar al nivel de madurez 2 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Evaluar el desempeño actual, es decir realizar una evaluación de los planes existentes, así como de los sistemas
de información y su impacto de los objetivos de “EKIPA C.A”
En el Largo Plazo:
• Crear planes táctico de TI a futuro, que resulten del plan estratégico de TI, estos planes deben ser bien
detallados para poder realizar la definición de planes proyectados.
 DOMINIO: PLANIFICAR Y ORGANIZAR
PO2: Definir la Arquitectura de la Información

CUMPLE

CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Nivel El conocimiento, la experiencia y las

GRADO DE MADUREZ
responsabilidades necesarias para el desarrollo
X
0 de esta arquitectura no existen en la organización. El proceso de Definir la
Arquitectura de la
Información está en el
La gerencia reconoce la necesidad d e u n a nivel de madurez 3.
Nivel a r q u i t e c t u r a de información. El
X OBJETIVOS NO
desarrollo de algunos componentes de
1 CUMPLIDOS
una arquitectura de información ocurre
de manera ad hoc. • Que no se
Nivel Las personas obtienen sus habilidades al construir resolvió
la arquitectura de información por necesidades
X futuras del
2 medio de experiencia práctica y la aplicación
repetida de técnicas. negocio
realizando el
Existe una función de administración de datos
proceso de la
Nivel definida formalmente, que establece estándares arquitectura de la
para toda la organización, y empieza a reportar X información.
3
sobre la aplicación y uso de la arquitectura de
• Aprovechar las
la información.
habilidades
Nivel El proceso de definición de la arquitectura de X personales para
información es proactivo y se enfoca en resolver la construcción de
4 necesidades futuras del negocio. la arquitectura de
la información.
El personal de TI cuenta con la
Nivel experiencia y las habilidades necesarias para X
desarrollar y dar mantenimiento a una
5 arquitectura de información robusta y sensible
que refleje todos los requerimientos del negocio.

RECOMENDACIONES
Para el proceso PO2 de COBIT estable los siguientes objetivos de control:
• Desarrollar y mantener la arquitectura de la información.
• Tener en claro la definición del proceso de la arquitectura de la información.
• Ser partícipe de la construcción de la arquitectura de la información para incrementar sus
habilidades.
Para pasar al nivel de madurez 2 se debe adoptar las siguientes
estrategias:
En el Corto Plazo:
• Establecer y mantener un modelo de arquitectura de la información para facilitar el
desarrollo de aplicaciones y actividades de soporte a la toma de decisiones, este
modelo será útil para la creación, uso y compartición óptimas de la información vital.
En el Largo Plazo:
• Definir e implementar procedimientos para brindar integridad y
consistencia de todos los datos que se encuentran almacenado en
formato electrónico, como bases de datos, almacenamiento de datos y
archivos.
 DOMINIO: PLANIFICAR Y ORGANIZAR
PO5: Administrar la Inversión de TI

CUMPLE

CUMPLE
NIVEL DE MADUREZ OBSERVACIONES

NO
No existe conciencia de la importancia de la GRADO DE MADUREZ
Nivel
selección y presupuesto de las inversiones en X
0
TI. El proceso de Administrar la Inversión
La organización reconoce la necesidad de de TI está en el nivel de madurez 4.
Nivel administrar la inversión en TI, aunque esta
X
1 necesidad se comunica de manera inconsistente. OBJETIVOS NO CUMPLIDOS

Nivel
Existe un entendimiento implícito de la necesidad • Utilizar las mejores prácticas
de seleccionar y presupuestar las inversiones en X de la industria para evaluar
2
TI. los costos por comparación e
El presupuesto de TI está alineado con los identificar la efectividad de
planes estratégicos de TI y con los planes del las inversiones.
Nivel negocio.
X
3 Los procesos de selección de inversiones en TI y
de presupuestos están formalizados,
documentados y comunicados.
La responsabilidad y la rendición de cuentas por
la selección y presupuestos de inversiones se
Nivel
asignan a un individuo específico. X
4
Las diferencias en el presupuesto se identifican
y se resuelven.
Se utilizan las mejores prácticas de la industria
para evaluar los costos por comparación e
Nivel identificar la efectividad de las inversiones.
X
5 Se utiliza el análisis de los avances tecnológicos
en el proceso de selección y presupuesto de
inversiones.
RECOMENDACIONES
Para el proceso PO5 de COBIT estable los siguientes objetivos de control:
• Reconocer la necesidad de administrar la inversión en TI.
• Utilizar las mejores prácticas para la evaluación de costos de inversión.
• Documentar y formalizar el presupuesto en TI.
Para pasar al nivel de madurez 5 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Incluir un análisis de costos y beneficios a largo plazo del ciclo total de vida en la toma de decisiones
de inversiones.
En el Largo Plazo:
• Mejorar de forma continua la administración de inversiones en base a las lecciones
aprendidas del análisis del desempeño real de las inversiones.
 DOMINIO: ADQUIRIR E IMPLEMENTAR
AI1: Identificar Soluciones Automatizadas

CUMPLE
NIVEL DE MADUREZ OBSERVACIONES

NO
La organización no requiere de la identificación de
los requerimientos funcionales y operativos para el GRADO DE MADUREZ
Nivel desarrollo, implantación o modificación de soluciones, X El proceso de identificar Soluciones
0
tales como sistemas, servicios, infraestructura y Automatizadas está en nivel1.
datos.
OBJETIVOS NO CUMPLIDOS
Nivel Existe una investigación o análisis estructurado X
1 mínimo de la tecnología disponible
El éxito de cada proyecto depende de la experiencia • Determinar el proceso para la
solución de TI, según la exigencia del
de unos cuantos individuos clave. negocio.
Nivel La calidad de la documentación y de la toma de X
2 • Documentación de los proyectos
decisiones varía de forma considerable.
realizados.
El proceso para determinar soluciones de TI se aplica
para algunos proyectos con base en factores tales
como las decisiones tomadas por el personal, la X

Nivel cantidad de tiempo administrativo dedicado, y el

3 tamaño y prioridad del requerimiento de negocio
La documentación de los proyectos es de buena
Nivel calidad y cada etapa se aprueba adecuadamente. X
4
La metodología está soportada en bases de datos de
X
Nivel conocimiento internas y externas que contienen
5 material de referencia sobre soluciones tecnológicas.
RECOMENDACIONES
Para el proceso AI1 de COBIT estable los siguientes objetivos de control:
• Soportar la metodología de TI en base de datos.
• Determinar los procesos para las soluciones de TI.
• Explotar la experiencia de los trabajadores para la buena toma de decisiones.
Para pasar al nivel de madurez 2 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Resaltar, priorizar, especificar los requerimientos funcionales y técnicos, priorizando el desempeño, el
costo, la confiabilidad, la compatibilidad, la auditoría, la seguridad, la disponibilidad, y continuidad, la
ergonomía, funcionalidad y la legislación.
 DOMINIO: ADQUIRIR E IMPLEMENTAR AI2:
Adquirir y Mantener Software Aplicativo

CUMPLE
CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Típicamente, las aplicaciones se logran con base

en ofertas de proveedores, en el reconocimiento GRADO DE MADUREZ
X
Nivel de la marca o en la familiaridad del personal deTI
0 cn productos específicos, considerando poco o El proceso de Adquirir y Mantener
Software Aplicativo está en el nivel de
nada los requerimientos actuales. madurez 2.
Es probable que se hayan adquirido en forma
OBJETIVOS NO CUMPLIDOS
independiente una variedad de soluciones
X
Nivel individuales para requerimientos particulares del • Dar a conocer el proceso de adquisición y
1 negocio, teniendo como resultado ineficiencias mantenimiento del Sistema de Información
(software) y aplicaciones.
en el mantenimiento.
Existen procesos de adquisición y mantenimiento • Determinar la metodología formal para la
Nivel de aplicaciones, con diferencias pero similares, X documentación del software en uso.
2 en base a la experiencia dentro de la operación
de TI.
Existe un proceso claro, definido y de
comprensión general para la adquisición y
Nivel mantenimiento de software aplicativo. X
Este
3
proceso va de acuerdo con la estrategia de TI y
del negocio.
Existe una metodología formal y bien
comprendida que incluye un proceso de diseño X
Nivel y especificación, un criterio de adquisición, un
4 proceso de prueba y requerimientos para la
documentación.
El enfoque se extiende para toda la empresa.
La metodología de adquisición y mantenimiento
presenta un buen avance y permite un
X
Nivel posicionamiento estratégico rápido, que permite
5 un alto grado de reacción y flexibilidad para
responder a requerimientos cambiante del
negocio.
RECOMENDACIONES
Para el proceso AI2 de COBIT estable los siguientes objetivos de control:
• Asegurar que el software diseñado sea de calidad.
• Realizar un diseño detallado, y los requerimientos técnicos del software.
• Identificar los requerimientos del negocio para el desarrollo del software.
Para pasar al nivel de madurez 3 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Desarrollar estrategia y planes de mantenimiento del software aplicativo.
En el Largo Plazo:
• Garantizar integridad de la información, control de acceso, respaldo y pistas de auditoría.
 DOMINIO: ADQUIRIR E IMPLEMENTAR
AI3: Adquirir y Mantener Infraestructura Tecnológica

CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Nivel No se reconoce la administración de la infraestructura GRADO DE MADUREZ

de tecnología como un asunto importante al cual deba X
0 ser resuelto.
Se realizan cambios a la infraestructura para cada nueva El proceso de Adquirir y
Nivel aplicación sin ningún plan en conjunto. La actividad de Mantener Infraestructura
1 mantenimiento reacciona a necesidades de corto plazo. X Tecnológica está en el nivel
de madurez 1.
La adquisición y mantenimiento de la infraestructura de
Nivel TI no se basa en una estrategia definida y no considera
X OBJETIVOS NO CUMPLIDOS
2 las necesidades de las aplicaciones del negocio que se
deben respaldar. • Definir una estrategia para
El proceso respalda las necesidades de las la adquisición y
Nivel aplicaciones críticas del negocio y concuerda con la mantenimiento de la
X
3 estrategia de negocio de TI, pero no se aplica en forma infraestructura.
consistente.
Nivel La infraestructura de TI soporta adecuadamente las
aplicaciones del negocio. El proceso está bien organizado X • Organizar y prevenir el
4 y es preventivo.
proceso de adquisición y
El proceso de adquisición y mantenimiento de la
Nivel infraestructura de tecnología es preventivo y está mantenimiento de la
estrechamente en línea con la aplicaciones críticas del X infraestructura.
5
negocio y con la arquitectura de la tecnología
RECOMENDACIONES
Para el proceso AI3 de COBIT estable los siguientes objetivos de control:
• Crear un plan de adquisición de infraestructura tecnológica.
• Identificar que necesidades se tiene para adquisición de infraestructura tecnológica.
Para pasar al nivel de madurez 2 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Crear un plan de adquisición de infraestructura tecnológica.
En el Largo Plazo:
• Proteger la infraestructura tecnológica mediante medidas de control interno, seguridad y auditabilidad
durante la configuración, integración y mantenimiento de hardware y software de la infraestructura
tecnológica.
 DOMINIO: ENTREGAR Y DAR SOPORTE
DS1: Definir y Administrar los Niveles de Servicio

CUMPLE

CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Nivel La gerencia no reconoce la necesidad de un X

0 proceso para definir los niveles de servicio GRADO DE MADUREZ
La responsabilidad y la rendición de
Nivel El proceso de Definir y Administrar los
cuentas sobre para la definición y la X
1 Niveles de Servicio está en el nivel de
administración de servicio no está definida.
Los reportes de los niveles de servicio están madurez 2.
incompletos y pueden ser irrelevantes o
Nivel engañosos para los clientes. Los reportes OBJETIVOS NO CUMPLIDOS
X
2 de los niveles de servicio dependen, en
forma individual, de las habilidades y la • No ordenar los procesos de desarrollo
iniciativa de los administradores. por niveles de servicio.
El proceso de desarrollo del acuerdo de
Nivel niveles de servicio está en orden y cuenta • Realizar reportes de servicio de forma
con puntos de control para revalorar los X completa y relevante
3
niveles de servicio y la satisfacción de
cliente.
La satisfacción del cliente es medida y
Nivel valorada de forma rutinaria.
Las medidas de desempeño reflejan las X
4
necesidades del cliente, en lugar de las
metas de TI.
Todos los procesos de administración de
niveles de servicio están sujetos a mejora
Nivel
continua. Los niveles de satisfacción del X
5
cliente son administrados y monitoreados de
manera continua.
RECOMENDACIONES
Para el proceso DS1 de COBIT estable los siguientes objetivos de control:
• Realizar un portafolio de servicios.
• Realizar acuerdos de niveles de servicio.
Para pasar al nivel de madurez 3 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Realizar a menudo una revisión con los proveedores internos y externos los acuerdos de
niveles de servicio.
En el Largo Plazo:
• Realizar un monitoreo y reporte del cumplimiento de los niveles de servicio, estos
reporte deben mantener un formato entendible por parte de los interesados.
 DOMINIO: ENTREGAR Y DAR SOPORTE
DS2: Administrar los Servicios de Terceros

CUMPLE

CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Los servicios de terceros no son ni X

Nivel aprobados ni revisados por la gerencia. No GRADO DE MADUREZ
0 hay actividades de medición y los terceros no El proceso de Administrar los Servicios de
reportan. Terceros está en el nivel de madurez 3.
Nivel No hay condiciones estandarizadas para los X
convenios con los prestadores de servicios. OBJETIVOS NO CUMPLIDOS
1
Nivel Se utiliza un contrato pro forma con términos X • Verificar de forma continua las
2 y condiciones estándares del proveedor. capacidades del proveedor.
Cuando se hace un acuerdo de prestación de X
servicios, la relación con el tercero es solo • Monitorear e implementar acciones
Nivel contractual. correctivas.
3 La naturaleza de los servicios a prestar se
detalla en el contrato, incluye requerimientos
legales, operacionales y de control.
Nivel Las aptitudes, capacidades y riesgos del X
4 proveedor son verificadas de forma continua.
Se monitorea el cumplimiento de las X
Nivel
condiciones operacionales, legales y de
5
control y se implantan acciones correctivas.
RECOMENDACIONES
Para el proceso DS2 de COBIT estable los siguientes objetivos de control:
• Monitorear e implementar acciones correctivas.
• Verificar de forma continua las capacidades del proveedor.
Para pasar al nivel de madurez 4 se debe adoptar las siguientes estrategias: En el
Corto Plazo:
• Establecer criterios formales y estandarizados para realizar la definición
de los términos del acuerdo.
En el Largo Plazo:
• Mantener acuerdos de confidencialidad con los proveedores.
 DOMINIO: ENTREGAR Y DAR SOPORTE
DS3: Administrar el Desempeño y la Capacidad

CUMPLE

CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

La gerencia no reconoce que los

procesos clave del negocio pueden GRADO DE MADUREZ
Nivel requerir altos niveles de desempeño de TI El proceso de Administrar el Desempeño y
o que el total de los requerimientos de X la Capacidad está en el nivel de madurez 2.
0
servicios de TI del negocio pueden
exceder la capacidad. OBJETIVOS NO CUMPLIDOS
Los responsables de los procesos del
negocio valoran poco la necesidad de • Realizar evaluaciones de la
llevar a cabo una planeación de la infraestructura de TI logrando una
Nivel capacidad y del desempeño. capacidad óptima.
X
1 Las acciones para administrar el
desempeño y la capacidad son • Pronosticar la capacidad de
típicamente reactivas. desempeño y evaluación.
Las necesidades de desempeño se
logran por lo general con base en
Nivel evaluacionesde sistemas individuales y X
2 el conocimiento y soporte de equipos de
proyecto.
Los pronósticos de la capacidad y el
Nivel desempeño se modelan por medio de un
proceso definido. X
3
Los reportes se generan con estadísticas
de desempeño.
Hay información actualizada disponible,
Nivel brindando estadísticas de desempeño y
alertando sobre incidentes causados por X
4
falta de desempeño o de capacidad.
La infraestructura de TI y la demanda del
Nivel negocio están sujetas a revisiones
regulares para asegurar que se logre X
5
una capacidad óptima con el menor costo
posible.
RECOMENDACIONES
Para el proceso DS3 de COBIT estable los siguientes objetivos de control:
• Establecer métricas de desempeño y evaluación de la capacidad.
• Realizar revisiones de forma periódica la demanda del negocio con menor costo.
Para pasar al nivel de madurez 3 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Realizar pronósticos de la capacidad y el desempeño futuros de los recursos de TI en
intervalos regulares.
En el Largo Plazo:
• Realizar un monitoreo continuo del desempeño y la capacidad de los recursos de TI
 DOMINIO: MONITOREAR Y EVALUAR
ME1: Monitorear y Evaluar el Desempeño de TI

CUMPLE
CUMPLE

NO
NIVEL DE MADUREZ OBSERVACIONES

Nivel TI no lleva a cabo monitoreo de

0 proyectos o procesos de forma GRADO DE MADUREZ
independiente. El proceso de Monitorear y Evaluar el
No se cuenta con reportes útiles, Desempeño de TI está en el nivel 2.
oportunos y precisos. X
La necesidad de entender de forma OBJETIVOS NO CUMPLIDOS
clara los objetivos de los procesos no
se reconoce. • Poder identificar los procesos estándares
Nivel No se han identificado procesos de evaluación.
1 estándar de recolección y evaluación.
El monitoreo se implanta y las métricas • Integrar todos los procesos y proyectos de
se seleccionan de acuerdo a cada X TI.
caso, de acuerdo a las necesidades de
proyectos y procesos de TI específicos.
Nivel La interpretación de los resultados de
2 monitoreo se basa en la experiencia X
de individuos clave.
Nivel Las mediciones de la contribución de
3 la función de servicios de información al
desempeño de la organización se han X
definido, usando criterios financieros y
operativos tradicionales.
Nivel Hay una integración de métricas a lo
4 largo de todos los proyectos y
procesos de TI. Los sistemas de X
reporte de la administración de TI
están formalizados.
Nivel Las métricas impulsadas por el
5 negocio se usan de forma rutinaria para
medir el desempeño y están integrados X
en los marcos de trabajo estratégicos,
tales como el Balanced Scorecard.

RECOMENDACIONES
Para el proceso ME1 de COBIT estable los siguientes objetivos de control:
• Definir un método de monitoreo como Balance Scorecard.
• Evaluar el desempeño comparándolo periódicamente con las metas.
Para pasar al nivel de madurez 1 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Realizar una marco de trabajo de monitoreo general garantizado por la gerencia.
En el Largo Plazo:
• Identificar e iniciar medidas correctivas sobre el desempeño de TI.
 DOMINIO: MONITOREAR Y EVALUAR
ME2: Monitorear y Evaluar el Control Interno

CUMPLE
CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Los métodos de reporte de control interno

gerenciales no existen. Existe una falta
generalizada de conciencia sobre la seguridad GRADO DE MADUREZ
Nivel0 X
operativa y el aseguramiento del control interno de El proceso de Monitorear y Evaluar el
TI. Control Interno está en el nivel de
madurez 3.
La gerencia de TI no ha asignado de manera
Nivel formal las responsabilidades para monitorear la X
1 efectividad de los controles internos. OBJETIVOS NO CUMPLIDOS
La gerencia de servicios de información realiza
monitoreo periódico sobre la efectividad delo que • Establecer los procesos para la
Nivel considera controles internos críticos. Se están evaluación y aseguramiento del control
empezando a usar metodologías y herramientas X
2
para monitorear los controles internos, aunque no interno.
se basan en un plan.

Se ha definido un programa de educación y • Utilizar herramientas integradas para la

entrenamiento para el monitoreo del control detección del control interno de TI.
interno. Se ha definido también un proceso para
Nivel auto evaluaciones y revisiones de aseguramiento
X
3 del control interno, con roles definidos para los
responsables de la administración del negocio y
de TI.

Se han implantado herramientas para

estandarizar evaluaciones y para detectar de
forma automática las excepciones de control. Se ha
Nivel establecido una función formal para el control
interno de TI, con profesionales especializados y X
4
certificados que utilizan un marco de trabajo de
control formal avalado por la alta dirección.

La organización utiliza herramientas integradas y

actualizadas, donde es apropiado que permiten
Nivel una evaluación efectiva de los controles críticos de X
5 TI y una detección rápida de incidentes de control
de TI.
RECOMENDACIONES
Para el proceso ME2 de COBIT estable los siguientes objetivos de control:
• Monitorear el marco de trabajo de control interno de forma continua.
• Mediante las revisiones de auditoría reportar la efectividad de los controles internos sobre las TI.
Para pasar al nivel de madurez 1 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Realizar una auto-evaluación del control interno de la administración de procesos, políticas y contratos de
TI.
En el Largo Plazo:
• Identificar e iniciar medidas correctivas sobre el desempeño de TI.
 DOMINIO: MONITOREAR Y EVALUAR
ME3: Garantizar el Cumplimiento Regulatorio

CUMPLE

CUMPLE
NO
NIVEL DE MADUREZ OBSERVACIONES

Existe poca conciencia respecto a

los requerimientos externos que GRADO DE MADUREZ
Nivel afectan a TI, sin procesos
0 referentes al cumplimiento de X El proceso de Garantizar el Cumplimiento
requisitos regulatorios, legales y Regulatorio está en el nivel de madurez 1.
contractuales.
Se siguen procesos informales para
Nivel mantener el cumplimiento, pero solo OBJETIVOS NO CUMPLIDOS
1 si la necesidad surge en nuevos X
proyectos o como respuesta a • Brindar capacitación sobre requisitos
auditorías o revisiones. legales y regulatorios externos.
Existe un enfoque estándar.
Nivel Hay mucha confianza en el • Conocer los requerimientos aplicables,
2 conocimiento y responsabilidad de los X como la solución de nuevas
individuos, y los errores son posibles. necesidades.

Se brinda entrenamiento sobre

requisitos legales y regulatorios
Nivel externos que afectan a la organización X
3 y se instruye respecto a los procesos
de cumplimiento definidos.
Las responsabilidades son claras y el
empoderamiento de los procesos es
Nivel entendido. El proceso incluye una
X
4 revisión del entorno para identificar
requerimientos externos y cambios
recurrentes.
Hay un amplio conocimiento de los
requerimientos externos aplicables,
Nivel incluyendo sus tendencias futuras y X
5 cambios anticipados, así como la
necesidad de nuevas soluciones.
RECOMENDACIONES
Para el proceso ME3 de COBIT estable los siguientes objetivos de control:
• Integrar los reporte de TI sobre el cumplimiento regulatorio.
• Garantizar la identificación de requerimientos locales e internacionales legales,
contractuales de políticas, y regulatorios.
Para pasar al nivel de madurez 2 se debe adoptar las siguientes estrategias:
En el Corto Plazo:
• Tener muy en cuenta las leyes y reglamentos del comercio electrónico, privacidad, flujo de
datos, reporte financieros, propiedad intelectual, etc.
En el Largo Plazo:
• Evaluar el cumplimiento de las políticas, estándares y procedimientos de TI.
 2.2.2. Reporte general de los grados de madurez

DOMINIO PROCESO NIVEL

Planificar y Definir el Plan Estratégico de tecnología de la información 4

organizar Definir la Arquitectura de la Información. 3
Determinar la Dirección Tecnológica 1
Definir los Procesos, la Organización y las Relaciones TI 2
Administrar la inversión de TI 4
Adquirir e Identificar Soluciones Automatizadas 1
Implementar Adquirir y Mantener Software Aplicativo 2
Adquirir y Mantener Infraestructura Tecnológica 1
Entregar y Definir y Administrar los Niveles de Servicio 2
dar Soporte Administrar los Servicios de Terceros 3

Administrar el Desempeño y la Capacidad 2

Monitorear y Monitorear y Evaluar el Desempeño de TI 2

Evaluar Monitorear y Evaluar el Control Interno 3
Garantizar el Cumplimiento Regulatorio 1

CAPITULO III ANALISIS DE LOS RESULTADOS

3.2. Informe Ejecutivo
Se detallaran los resultados de la evaluación a cada uno de los 34 procesos que
recomienda COBIT 4.1, siendo evaluados en la empresa Ekipa, C.A
Los criterios de información se encuentran en el siguiente porcentaje, todos
sobre 100%

EFECTIVIDAD
DEFICIENCIA
Efectividad
La efectividad consiste en que la información relevante sea entregada en
forma oportuna, correcta y utilizable, este criterio tiene un promedio 47.66%

EFICIENCIA
DEFICIENCIA

Eficiencia
La eficiencia consiste en que la información debe ser generada utilizando los
recursos, este criterio tiene un promedio de 51.59%

CONFIDENCIALIDAD
DEFICIENCIA

Confidencialidad
Consiste en que la información vital sea protegida contra la revelación no
autorizada, este criterio tiene un promedio de 35,06%

INTEGRIDAD
DEFICIENCIA
Integridad
Consiste en que la información debe ser precisa, completa y valida, este criterio
tiene un promedio de 35%

DISPONIBILIDAD
DEFICIENCIA

Disponibilidad
Consiste en que la información requerida esté disponible por parte de las aéreas
del negocio en cualquier momento este criterio tiene un promedio de 32,96%

CUMPLIMIENTO
DEFICIENCIA

Cumplimiento
El cumplimiento consiste en que se deben respetar las leyes, reglamentos y
acuerdos contractuales, a lo que está sujeto el proceso del negocio, como políticas
in ternas, este criterio tiene un promedio de 52,05%

CONFIABILIDAD
DEFICIENCIA

Confiabilidad
Consiste en que se debe respetar proporcionar información, con el fin de que la
gerencia general administre la entidad, este criterio tiene un promedio del 47,50%
A continuación analizamos cada unos de los criterios de la información
• Efectividad: para este criterio de información se obtuvo un porcentaje de
47.76% sobre 100%, es decir que la información que es importante para la
empresa Ekipa, C.A, tiene incidencia en los procesos del negocio y debe ser
entregada de forma oportuna, consistente y veraz
• Eficiencia: para este criterio de información se obtuvo un porcentaje de
49,59% sobre 100%, es decir que la información que debe generar el uso
optimo de los recursos de Ekipa, C.A, tiene un porcentaje de 49,59%
• Confidencialidad: para este criterio de información se obtuvo un porcentaje
de 39.03%% sobre 100%, es decir que la protección de la información de
Ekipa, C.A, para que esta no sea divulgada a personas o sectores extraños
tiene un porcentaje
• Integridad: para este criterio de información se obtuvo un porcentaje de
35.05% sobre 100%, es decir que la distribución de la información exacta y
correcta, así como su validez con las expectativas de Ekipa, C.A
• Disponibilidad: para este criterio de información se obtuvo un porcentaje de
32.96% sobre 100%, es decir que la accesibilidad de la información cuando
esta sea requerida en los procesos del negocio, y la salvaguarda de los
recursos y capacidades asociadas a la misma Ekipa, C.A,
• Cumplimiento: para este criterio de información se obtuvo un porcentaje de
51.93% sobre 100%, es decir que el cumplimiento de las leyes, regulaciones
y compromisos contractuales con los cuales está comprometido Ekipa, C.A.
• Confiabilidad: para este criterio de información se obtuvo un porcentaje de
50.97% sobre 100%, es decir proveer la información apropiada para que la
administración tome las decisiones adecuadas para manejar la empresa.
 CAPITULO IV
CONCLUSIONES Y RECOMENDACIONES
 CONCLUSIONES

Como resultado del trabajo presentado, se concluye que la metodología

COBIT 4.1, nos permite adaptarla a cualquier empresa, sin importar su actividad o
tamaño, permitiendo realizar una implementación gradual y progresiva acorde a
los recursos disponibles y acoplado a la estrategia empresarial. Mediante el marco
de referencia COBIT, se ha podido evaluar y diagnosticar los procesos de TI, en
Ekipa, C.A.

Adicionalmente se ha dado un conjunto de normas que pueden ayudar a

alinear TI con la empresa, identificando riesgos, gestionando recursos y midiendo
el desempeño, así como el nivel de madurez de cada uno de los procesos de la
empresa EKIPA, CA. Tanto los gerentes como los usuarios son beneficiados con
el desarrollo de COBIT 4.1, ya que este marco de referencia favorece a todos los
empleados a entender su sistema de TI, de igual forma a decidir el sistema de
seguridad y control para proteger los activos como: información, hardware,
software, entre otros de Ekipa, C.A, mediante un modelo de desarrollo.

También se ha diagnosticado cada uno de los criterios de la información, los

cuales son efectividad, eficiencia, confidencialidad, integridad, disponibilidad,
cumplimiento y confiabilidad.
 RECOMENDACIONES

• Se deben realizar manuales de funciones, para todos los puestos de trabajo y

sus determinadas funciones.
• Realizar manuales de procedimientos, para que todos los empleados puedan
identificar cuáles son las actividades que deben realizar de acuerdo a su puesto y
funciones.
• Realizar evaluaciones de desempeño para evitar problemas con el personal y
así corregir las fallas existentes.
• Se debe adecuar las instalaciones del área de informática para poder tener los
respaldos y la seguridad al momento de cualquier amenaza.
• Proporcionar un entrenamiento al personal de respaldo con la finalidad de
solucionar posibles ausencias.
 GLOSARIO

Auditoría Informática: Es un proceso llevado a cabo por profesionales especialmente

capacitados para el efecto, y que consiste en recoger, agrupar y evaluar evidencias para
determinar si un sistema de información salvaguarda el activo empresarial, mantiene la
integridad de los datos, lleva a cabo eficazmente los fines de la organización, utiliza
eficientemente los recursos, y cumple con las leyes y regulaciones establecidas.
COBIT: (Control Objetives Information Technologies), modelo de referencia utilizado en
el control de tecnologías de la información así como su control.
Madurez: Nos muestra en nivel de confiabilidad en los procesos que utiliza una
empresa.
 REFERENCIAS BIBLIOGRAFIAS

• Auditoria informática. Disponible en: http://es.wikipedia.org/wiki/Auditor%

C3%ADa_inform%C3%A1tica
Fecha de Consulta: 27/07/2013

• Cobit. Disponible en: http://www.slideshare.net/mausinho/resumen-de-cobit-

41trabajo-de-grupo-8994946
Fecha de Consulta: 27/07/2013

• Madurez. Disponible en: http://auditordesistemas.blogspot.com/

• Fecha de Consulta: 27/07/2013
ANEXOS
Metodología Cobit

Anexo B
Anexo A
 Cuestionario

Cuestionario de Auditoría correspondiente al funcionamiento del Área de

Informática:
¿Se tiene restringida la operación del sistema de cómputo a los usuarios?
SI ( ) NO ( )
¿Son funcionales los muebles asignados para los equipos de cómputo?
SI ( ) NO ( ) B.

Cuestionario de Auditoría correspondiente a la seguridad física:

¿La empresa Ekipa C.A, cuenta con extintores de fuego?
SI ( ) NO ( )
¿Existe salida de emergencia?
SI ( ) NO ( )
¿Existe alarma para detectar fuego (calor o humo) en forma automática?
SI ( ) NO ( )
¿Existen una persona responsable de la seguridad?
SI ( ) NO ( )
El lugar donde se encuentra la empresa Ekipa C.A, está situado a salvo de:
a) ¿Inundación? ( )
b) ¿Terremoto? ( )
c) ¿Fuego? ( )
d) ¿Sabotaje? ( )

Cuestionario de Auditoria en Comunicaciones y Redes:

1. ¿Están establecidos controles especiales para salvaguardar la confidencialidad
e integridad del procesamiento de los datos que pasan a través de redes públicas, y
para proteger los sistemas conectados?
2. ¿Existen controles especiales para mantener la disponibilidad de los servicios
de red y computadoras conectadas?
3. ¿Existen protocolos de comunicaron establecida?
4. ¿Existe un plan de infraestructura de redes?
5. ¿Existen controles y procedimientos de gestión para proteger el acceso a las
conexiones y servicios de red?