Auditoría Informática

Análisis de actividades externalizables:

• Existencia de procedimientos de análisis adecuados (coste / beneficio, no se externalizan funciones core, etc.)

Evaluación del proveedor:

• Implantación en el mercado y conocimiento del negocio
• Alineamiento tecnológico con el cliente
• Capacidad de crecimiento vertical/horizontal
• Situación financiera (informes de auditoría de cuentas, otros)
• Reputación y referencias (informes expertos, mercado)
• Partners o subcontratas del proveedor aceptados
• Rigor en el cumplimiento de la normativa, (historial, denuncias, etc.)
• Capacidad de servicio (tiempos de entrega, planes de continuidad)

Elaboración del contrato: 

• Procedimientos de elaboración (estructuras básicas de contrato, aprobación por la Dirección, supervisión por Asesoría Jurídica, etc.)
• Recogida de responsabilidades cliente/proveedor claramente limitadas
• Establecimiento clarificado de la tipología de servicio
• Procedimientos para cancelaciones anticipadas (cliente o proveedor)
• Acuerdos para la cesión ordenada de datos/sistemas a la extinción del contrato
• Enclausulado legal (RGPD, Ley de Propiedad Intelectual, cumplimiento de normativa interna)
• Arbitrajes y penalizaciones
• Garantía de continuidad en caso de incidencia.
• Notificaciones en caso de incidencia de seguridad

Procedimientos pre-implementación: 

• Migración de datos/operativa al proveedor
• Retorno de la información cedida en formato legible en la extinción del contrato
• Implantación de plataforma según requisito legal, (usos y cesión de licencias por parte del proveedor al cliente, licencias por usuario, licencias por conexión, etc.)
• Implementación metodológica de sistemas de interconexión
• Entrenamiento de la plantilla
• Contratación de seguros
• Definición de los indicadores clave del servicio
• Recogida de datos según procedimiento fiable
• Capacidad de revisión de indicadores clave según cambios en plataforma
• Validez y adecuación de la distribución de informes de gestión del servicio

Evaluación del servicio: 

• Indicadores de servicio diferentes en función del tipo de servicio de TI externalizado (desarrollo, explotación, help desk, etc.)

Procedimientos post-implantación: 

• Migración de datos/operativa desde el proveedor
• Entrenamiento de la plantilla
• Ejecución de penalizaciones
• Trámite de expiración de contrato.

Aspectos generales del plan:

• Análisis de riesgos
• Análisis y evaluación de cualquier tipo de incidencia. Seguimiento de los informes ya existentes. Validar la correcta aplicación de los criterios establecidos para considerar una incidencia como “contingencia”
• Escenarios
• Grado de cobertura
• Nivel de actualización
• Establecimiento de responsabilidades
• Formación del personal
• Costes

Área de Tecnología:

• Alineamiento con el Plan de Continuidad de Negocio
• Gestión de backups
• Acciones a adoptar en caso de desastre

Centro de respaldo: 

• Capacidad de proceso
• Nivel de servicio
• Seguridad física del centro de respaldo

Recuperación de software base y aplicaciones: 

• Personal cualificado
• Backup de herramientas de desarrollo y aplicaciones
• Copias externas de programas y documentación del sistema

Recuperación de datos: 

• Procedimientos existentes
• Evaluación del RPO (Recovery Point Objective)
• Evaluación del RTO (Recovery Time Objective)

Pruebas sobre el plan de contingencias:

• Frecuencia
• Unidades y servicios evaluados
• Condiciones y escenarios
• Planes de acción correctivos