Como auditores estamos en la obligación de documentarnos, basamos nuestros trabajos en las pruebas, la recopilación de la información es parte esencial del proceso, e incluso es una norma: Norma Internacional de Auditoria 230 (Circular No. 03-2014 del Colegio de Contadores Públicos de CR).
En la página 8 del documento mencionado en el párrafo anterior sobre la NIA-230 dice lo siguiente:
Alcance de esta NIA
La NIA 230: Documentación de auditoría trata de la responsabilidad que tiene el auditor de preparar la documentación de auditoría correspondiente a una auditoría de estados financieros.
Dentro de la norma como un anexo se enumeran otras NIA que contienen requerimientos específicos de documentación y orientaciones al respecto. Los requerimientos específicos de documentación de otras NIA no limitan la aplicación de la presente NIA. Las disposiciones legales o reglamentarias pueden establecer requerimientos adicionales sobre documentación…
A pesar de que la NIA-230 hace referencia a la documentación de los estados financieros es aplicable perfectamente y parte de las buenas practicas a las auditorias de TI, siendo estas un complemento a la Auditoria en general.
Podemos decir incluso que la documentación es el registro de las actividades realizadas, los procedimientos utilizados para obtener evidencias y las conclusiones de la actividad. Para lograr lo anterior, el auditor tiene que preparar documentos para quienes no estén involucrados en el proceso y destacar los resultados obtenidos. Esto procurando la búsqueda de la trasparencia de los procesos.
Ejemplo de un proceso de documentación:
Debemos recordar que dentro de las diferentes áreas que abordan los procesos de TI, la documentación es sin duda una herramienta imprescindible; así por ejemplo si pensamos en el desarrollo de un software: la documentación empieza conforme se van levantando los requerimientos, por otro lado a la vez que se da el proceso de la programación del software es necesario ir documentando las mejoras o cambios inesperados pruebas de desempeño, e incluso justo antes de la entrega del programa o aplicación al cliente se debe de documentar según las buenas practicas (esto nos da un punto de comparación como auditores a la hora de un proceso de auditoria). Así mismo, la documentación que se entrega al cliente tendrá que coincidir con la versión final de los programas que componen la aplicación.
Como podemos ver en un entorno ideal de TI (redes, base de datos, desarrollo, diseño, etc), la documentación es parte de las buenas prácticas que debemos de seguir, más aún si hablamos de un proceso de auditoría.
De la red SlideShare.net, rescato esta presentación sencilla donde se pueden leer una serie de filminas sobre las Buenas prácticas en documentación:
