20152210 COSO-COBIT Aspectos Comunes - ISACA

Loading...
COSO - COBIT Aspectos comunes y su aportación a los objetivos de la empresa KEEP FOCUSED! Alberto Durán

Octubre 2015

Agenda • Control Interno – COSO • Cobit 5 - COSO - Cobit • COSO – Cobit 5 Aspectos Comunes

2

Control Interno - COSO COSO se publicó en 1992 y la última versión fue publicada en el 2013, en donde se conceptualiza como un Marco Integrado sobre la Gestión del Riesgo Empresarial (ERM, por sus siglas en inglés Enterprise Risk Management) que ayuda a establecer el Modelo de Gestión de Riesgos y proporciona la guía a las empresas para el desarrollo y aplicación de las actividades.

Objetivo • Identificar eventos potenciales que puedan afectar a la organización • Gestionar el riesgo; y • Proporcionar una seguridad razonable que ayude a alcanzar los objetivos de la Organización 3

Control Interno - COSO COSO define el Control Interno como “un proceso realizado por la Dirección, la Administración y el Personal de una entidad, diseñado para proporcionar una seguridad razonable con respecto al cumplimiento de los objetivos de la organización” Misión de COSO

"... Proporcionar liderazgo intelectual a través del desarrollo de marcos generales y orientaciones sobre la Gestión del Riesgo, Control Interno y Disuasión del Fraude, diseñado para mejorar el desempeño organizacional y reducir el alcance del fraude en las organizaciones."

4

COSO Componentes y sus dimensiones Objetivos Estructura

Componentes del control interno

5

COSO Componentes y sus dimensiones Objetivos:

Objetivos



Objetivos Operativos.- Hacen referencia a la efectividad y eficiencia de las operaciones de la entidad, incluidos sus objetivos de rendimientos financiero y operacional, y la protección de sus activos frente a posibles perdidas.



Objetivos de información- Hacen referencia a la información financiera y no financiera interna y externa y pueden abarcar aspectos de confiabilidad, oportunidad, transparencia, u otros conceptos establecidos por los reguladores, organismos reconocidos o políticas de la propia entidad.



Objetivos de cumplimiento – Hacen referencia al cumplimiento de las leyes y regulaciones a las que está sujeta la entidad.

6

COSO Componentes y sus dimensiones Objetivos Identificar, analizar y administrar los Riesgos del Negocio Promover una actitud colectiva para lograr el Control Interno eficaz La información debe ser identificada, capturada y comunicada de manera oportuna Definir las actividades que mitiguen los Riesgos y así conseguir los objetivos de la entidad

Establecer el sistema de Evaluación del Control Interno a través de KPI’s, autoevaluaciones y la función de Auditoría Interna 7

COSO Componentes y sus dimensiones Es importante mencionar que un solo objetivo puede relacionarse con más de una definición o meta. Operativos: • Promueve eficiencia y eficacia en las operaciones a través de los procesos estandarizados. • Asegurar la salvaguarda de los activos a través de las actividades de control. Información: • Promueve la integridad de los datos en la toma de decisiones del negocio. • Asiste en la prevención y detección de fraudes a través de la creación de un rastro de evidencia auditable. Cumplimiento: • Ayudar a mantener el cumplimiento con las leyes y regulaciones a través de un monitoreo periódico

Relación de Componentes y Principios De los cinco componentes de Control Interno que establece COSO, se deberán considerar los diecisiete principios que representan los conceptos fundamentales relacionados con los componentes para el establecimiento de un efectivo Sistema de Control Interno. Ambiente de Control 1.

2.

3.

4.

5.

Demuestra compromiso a la integridad y valores éticos Ejerce su responsabilidad de supervisión Establece estructura, autoridad y responsabilidades Demuestra compromiso con talento competente Asegura la rendición de cuentas

Evaluación de Riesgos

Especifica objetivos adecuados 7. Identifica y analiza los Riesgos 8. Evalúa los Riesgo de fraude 9. Identifica y analiza los cambios importantes 6.

Actividades de Control 10. Selecciona y desarrolla

actividades de control 11. Selecciona y desarrolla

controles generales sobre la tecnología 12. Se implementa a través de

políticas y procedimientos

Información y Comunicación

Monitoreo de Actividades

13. Usa la información 16. Lleva a cabo relevante evaluaciones constantes y/o individuales 14. La comunica al interior 15. La comunica al exterior 17. Evalúa y comunica las deficiencias

Cobit 5 COBIT 5 provee de un marco de trabajo integral que ayuda a las empresas a alcanzar sus objetivos para el gobierno y la gestión de las TI corporativas. 1. Satisfacer las necesidades de las partes interesadas

5. Separar el Gobierno de la Administración

2. Cubrir la Organización de forma integral



Ayuda a las empresas a crear el valor óptimo desde IT manteniendo el equilibrio entre la generación de beneficios y la optimización de los niveles de riesgo y el uso de recursos.



Permite a las TI ser gobernadas y gestionadas de un modo holístico para toda la empresa, abarcando al negocio completo de principio a fin y las áreas funcionales de responsabilidad de TI



Considera los intereses internos y externos

Principios de COBIT 5

4. Habilitar un enfoque holistico

3. Aplicar un solo marco integrado

10

Cobit 5 Las metas en cascada de COBIT 5 traducen las necesidades de las Partes Interesadas en metas específicas, accionables y personalizadas dentro del contexto de la Organización, de las metas relacionadas con la TI y de las metas habilitadoras. Impulsadores de las Partes Interesadas (Medio Ambiente, Evolución Tecnológica, …) Influencian

Necesidades de las Partes Interesadas Realización de Beneficios

Optimización de Riesgos

Optimización de Recursos

Metas de la Organización Pasan a

Metas Relacionadas con TI Pasan a

Metas Habilitadoras Fuente: Cobit an ISACA Framework

11

Cobit 5 Habilitadores de Cobit

2. Procesos

3. Estructuras Organizacionales

4. Cultura, Ética y Comportamiento

1. Principios, Políticas y Marcos

5. Información

6. Servicios, Infraestructura y Aplicaciones

7. Personas, Habilidades y Competencias

RECURSOS

Fuente: Cobit an ISACA Framework

12

Cobit 5 Las 17 metas empresariales definidas cubren todos los aspectos de metas operativas a través de las cuatro dimensiones que consta el Balance Score Card. Estas incluyen metas de reporte y transparencia financiera, e información base para decisiones estrategicas. Incluyen también el cumplimiento con regulaciones externas así como políticas internas.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit Ambiente de control COSO Principle11

“1. Demuestra compromiso a la integridad y valores éticos

“2. El consejo de administración demuestra independencia de la gestión y ejerce la supervisión sobre el desarrollo y desempeño del control interno "

“3. Establece estructura, autoridad y responsabilidades.”

COBIT 5 Relationship to COSO Principle The COBIT 5 Culture, Ethics and Behaviour enabler addresses enterprise ethics and individual ethics and behaviors, including risk taking, by following policy and addressing negative outcomes. The COBIT 5 processes EDM01 Ensure governance framework setting and maintenance and APO01 Manage the IT management framework include activities to embed enterprise integrity and ethical value aspects within the governance and management framework. The COBIT 5 process APO07 Manage human resources includes activities to address integrity and ethical value aspects from a human resources perspective.

The COBIT 5 principle Separating Governance from Management supports the second COSO principle by differentiating governance and management disciplines and making independence easier to establish and maintain. In addition, all five COBIT 5 governance processes (EDM01 through EDM05) reinforce this separation in their RACI chart guidance.

The COBIT 5 Organisational Structure enabler addresses practices, such as operating principles, span of control (scope) definition, level of authority, delegation of authority powers and escalation paths, to support the establishment of effective organizational structures within enterprises. COBIT 5 process APO01 Manage the IT management framework includes activities to address the required definition of an organizational structure for the enterprise. APO01 takes direction from COBIT 5 process EDM01 Ensure governance framework setting and maintenance in respect to enterprise governance requirements.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit “4. Demuestra compromiso con talento competente”

“5. Asegura la rendición de cuentas.”

The COBIT 5 People, Skills and Competencies enabler addresses the life cycle aspects that are related to people—knowing the current skills base; the skills that need to be retained, developed or acquired to meet enterprise goals; and the skills that can be disposed of when no longer needed. COBIT 5 process APO01 Manage the IT management framework includes activities to establish roles and responsibilities to support achievement of enterprise objectives. COBIT 5 process APO07 Manage human resources includes activities to address the attraction, development and retention of competent people.

The COBIT 5 Processes enabler and the RACI charts that support the 37 processes are particularly relevant in the context of individual accountability. The enabler and charts strongly advocate the assignment of responsibilities and accountabilities and provide examples of roles and responsibilities for the individual and group roles for all key GEIT-related processes and activities.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit Evaluación de Riesgos COSO Principle13 “6. Especifica objetivos adecuados

“7. Identifica y analiza los Riesgos.”

“8. Evalúa la posibilidad del Riesgo de fraude.”

COBIT 5 Relationship to COSO Principle The COBIT 5 framework focuses on enterprise objectives through the use of the goals cascade model, which is based on BSC theory. This model supports the enterprise by clearly defining its business objectives in a way that enables the identification and assessment of risk that relates to meeting objectives. The guidance for each of the 37 COBIT processes includes process goals (objectives).

The COBIT 5 Processes enabler guidance specifically addresses risk governance (process EDM03 Ensure risk optimisation) and management (process APO12 Manage risk). These processes include the practices and activities required to govern and manage risk effectively—including the identification, analysis and management of the risk. These processes drive other areas, e.g., information security and business continuity, which are addressed by other specific COBIT 5 processes.

The COBIT 5 framework does not focus on fraud as a specific business risk, although the guidance supports the establishment of a sound governance and management environment, within which practices and supporting activities can be established and performed to support effective fraud prevention activities. The specific inclusion of the COBIT 5 Culture, Ethics and Behaviour enabler helps to ensure that a culture that is fraud-risk-aware is established and that the consequences of engaging in such behavior are clearly communicated where appropriate. COBIT 5 processes EDM01, APO01 and APO07 support culture, ethics and behaviour objectives, including an enterprise’s approach to fraud. COBIT process MEA03 Monitor, evaluate and assess compliance with external requirements should also be considered, because fraud prevention (bribery, privacy, etc.) is often part of an enterprise’s external compliance requirements.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit The COBIT 5 Processes enabler guidance specifically addresses changes in COBIT 5 process BAI06 Manage changes, which is directly linked to the IT-related goal “Managed IT-related business risk.” This process, like the COSO principle, recognizes that changes within an enterprise can introduce risk and, therefore, need to be a focus from this perspective.

“9. Identifica y analiza los cambios importantes

Further, as changes occur in all areas of control activity (information, applications and general control activities over technology), these changes are addressed by various COBIT 5 processes. COBIT 5 process APO01 Manage the IT management framework addresses the management framework and manages changes to general controls. COBIT 5 process BAI06 Manage changes and, for programs and projects, COBIT 5 process BAI02 Manage requirements definition manage the changes to business processes, applications and infrastructure. All changes need to be tested and approved by following the COBIT 5 process BAI07 Manage change acceptance and transitioning. Impacts to business processes are handled according to COBIT 5 process BAI05 Manage organisational change enablement.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit Actividades de Control COSO Principle15

COBIT 5 Relationship to COSO Principle

“10. Selecciona y desarrolla actividades de control.”

The COBIT 5 Processes enabler guidance for the 37 COBIT 5 processes supports enterprises in their selection and development of control activities and other arrangements (e.g., structural segregation of duties), particularly with the practices and activities to consider for IT-related enterprise processes. This guidance includes how the IT-related enterprise process practices and activities support the IT-related goals of “Managed IT-related business risk,” “IT compliance and support for business compliance with external laws and regulations” and “IT compliance with internal policies.”

“11. Selecciona y desarrolla controles generales sobre la tecnología.”

The COBIT 5 principles and enablers can be applied to the governance and management of any type of enterprise activity as described in the previous paragraph (COSO principle 10). Detailed COBIT 5 guidance relates generically to the governance and management of information and information technology assets. As such, the detailed guidance in COBIT 5 is directly supportive of COSO principle 11, “selects and develops general control activities over technology.”16 Control activities can be process activities within all of the 37 COBIT processes or relate to other enabler types. In particular, COBIT 5 process DSS06 Manage business process controls ensures that control activities that are embedded in business processes (automated controls or application controls) are adequately managed.

“12. Se implementa a través de políticas y procedimientos

The COBIT 5 Principles, Policies and Frameworks enabler is central to effective enterprise IT governance and management. Enterprise policies are central to COBIT 5 support of achievement of enterprise goals, including mitigation of risk through the use of appropriate activities. COBIT 5 process APO01 Manage the IT management framework includes activities that address the implementation of enterprise policies.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit Información y Comunicación COSO Principle17

“13. Usa la información relevante y de calidad para soportar el funcionamiento del control interno.”

“14. La organización comunica la información internamente, incluidos los objetivos y responsabilidades que son necesarios para apoyar el funcionamiento del sistema de control interno. “15. La organización se comunica con los grupos de interés externos sobre los aspectos clave que afectan al funcionamiento del control interno.”

COBIT 5 Relationship to COSO Principle The COBIT 5 Information enabler model describes 15 Information quality goals, which are categorized into intrinsic, contextual and security/accessibility quality dimensions. Considering each quality goal helps enterprises to ensure that the information used supports enterprise business goals, including control objectives. The guidance for the 37 COBIT 5 processes includes inputs and outputs that are the communication of information across, and to and from, the enterprise. In particular, COBIT 5 process MEA01 Monitor, evaluate and assess performance and conformance addresses performance and conformance data, and COBIT 5 process MEA02 Monitor, evaluate and assess the system of internal control addresses control effectiveness reviews. The COBIT 5 framework provides sound, structured and comprehensive guidance that facilitates effective internal communication of GEIT aspects and issues between the multiple internal stakeholders. This includes the communication of clear objectives that result from the goals cascade, including Processes enabler goals (objectives), which are provided for all 37 COBIT 5 processes. The need to communicate information with stakeholders as part of enterprise process design and execution, to support the achievement of process and related business goals, is addressed in the RACI charts, with the responsibilities of “consult” and “inform,” and the input and output suggestions that support the process guidance for the 37 COBIT 5 processes. This communication is implemented and managed following COBIT 5 process APO01 Manage the IT management framework. In addition, a comprehensive guide, COBIT 5 Implementation, is available. The COBIT 5 framework also provides a sound basis for effective communication of GEIT aspects and issues to external stakeholders when appropriate. In particular, the COBIT 5 process EDM05 Ensure stakeholder transparency requires that the communication to stakeholders is effective and timely and that a reliable, consistent basis for reporting is established.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

COSO y Cobit Actividades de Monitoreo COSO Principle18

COBIT 5 Relationship to COSO Principle

“16. La organización selecciona, desarrolla y realiza evaluaciones continuas y/o independientes para determinar si los componentes del sistema de control interno están presentes y en funcionamiento.

The COBIT 5 Processes enabler guidance specifically addresses monitoring, evaluation and assessment of internal control adequacy (COBIT 5 process MEA02 Monitor, evaluate and assess the system of internal control). This process includes the practices and activities that are required to monitor internal controls; review business process controls effectiveness; perform control self-assessments; identify and report control deficiencies; ensure that assurance providers are independent and qualified; and plan, scope and execute assurance activities.

“17. La organización evalúa y comunica las deficiencias de control interno de forma oportuna a las partes responsables de aplicar medidas correctivas, incluyendo la alta dirección y el consejo, según corresponda”

As noted in the previous paragraph, COBIT 5 process MEA02 Monitor, evaluate and assess the system of internal control includes the practices and activities that are required to identify control deficiencies; analyze and identify their underlying root cause; escalate control deficiencies; and report to stakeholders as appropriate. In addition, COBIT 5 process EDM05 Ensure stakeholder transparency includes practices and activities to evaluate, direct and monitor stakeholder reporting and communication requirements, including those that are related to control deficiencies, to senior management and the board, as appropriate.

Fuente: Relating-the-COSO-Internal-Control-Integrated-Framework-and-COBIT_whp_Eng_0314

Conclusión COSO y Cobit son dos marcos de referencias que se complementan con el objetivo de que las organizaciones tengan un sólido marco de referencia para mejorar el proceso del control interno a través de una adecuada gestión de riesgos empresariales, incluyendo al componente de TI a través del establecimiento de practicas de gobierno y gestión alineadas con los objetivos y necesidades del negocio.

¡Gracias!

Fernando López Luna Socio líder de los servicios de Auditoría Interna y Gobierno Corporativo [email protected]

Rivelino de la Luz Sotelo Socio Auditoría Interna en Oficina Guadalajara [email protected]

Alberto Durán J. Socio Líder de los servicios de riesgos sobre TI [email protected]

Alejandro Ramírez S. Socio Líder de los servicios de asesoría contable y financiera [email protected]

[email protected]

Oficina Monterrey: Ave. Ricardo Margaín 575, Edificio C IOS Offices Campestre Parque Corporativo Santa Engracia San Pedro Garza García, NL CP 66267

Oficina Guadalajara: Ave. Patria 2085, Piso Mezzanine IOS Offices Andares Corporativo Patria Fraccionamiento Puerta de Hierro Zapopan, Jal. CP 45116

29

Loading...

20152210 COSO-COBIT Aspectos Comunes - ISACA

COSO - COBIT Aspectos comunes y su aportación a los objetivos de la empresa KEEP FOCUSED! Alberto Durán Octubre 2015 Agenda • Control Interno – COS...

969KB Sizes 2 Downloads 0 Views

Recommend Documents

1. introducción 2. aspectos conductuales comunes de los - Psicocode
Nosotros vamos a estudiar 4 motivos primarios principales: hambre, sed, sueño y sexo. Según Deckers, estos 4 son ... C

disposiciones comunes
12.4 El beneficiario coordinador presentará una copia del informe final a las ... informe intermedio. 12.5 Informe inic

Areas Comunes SHfff - Scribd
ACTA DE ENTREGA. Siendo las 16:00 horas del día Martes 25 de Octubre del 2016, la empresa E.F. CONTRATISTAS S.A.C. proc

2015 annual report - isaca
Apr 22, 2016 - ISACA enhanced its Cybersecurity Nexus .... By year's end, there were. Silvia Chinchilla Sáenz, CISA, CG

perfect storm - ISACA
PERFECT STORM: THE BRAVE NEW WORLD OF SAP SECURITY. ABSTRACT ... targeted at corporate applications and data, such a rar

State of Cybersecurity - ISACA
to go unchecked and the sophistication of attack methodologies is evolving. .... How concerned is your organization's bo

Pensar Desde Los Comunes | Pensar Desde Los Comunes
En esta era de mercados depredadores y democracias de postín, nuestras angustiadas instituciones políticas han perdido

Template Business Blueprint - ISACA
Dec 21, 2010 - 17. 7.7 ReO: Response Owner. 17. 7.8 AA: Auditor and Analyzer. 17. 7.9 Authorization Matrix. 17. 8 Author

Acerca de ISACA
COBIT 5 Español. ISACA® (isaca.org) ayuda a los profesionales globales a liderar, adaptar y asegurar la confianza en u

CSX-Exam-Guide - ISACA
Section 1: About the Cybersecurity Fundamentals Exam a. About the Cybersecurity Fundamentals Certificate. The Cybersecur