Control de cambios en sistemas y migración de datos contables: Procedimientos de auditoría de TI

Introducción

En un entorno empresarial cada vez más digital, el control de cambios en sistemas y la migración de datos contables se han convertido en aspectos críticos del control interno. Un cambio no autorizado en el ERP, una modificación deficiente en los parámetros de facturación o una migración incompleta del plan contable pueden generar errores materiales en los estados financieros, contingencias tributarias y observaciones de auditoría.

En Perú, esta situación es especialmente relevante para empresas comerciales, industriales, entidades del sector servicios y organizaciones sin fines de lucro que dependen de sistemas contables, ERPs, aplicativos de tesorería, planillas y plataformas de facturación electrónica. Cuando una organización implementa un nuevo sistema o modifica uno existente, no solo debe asegurar la continuidad operativa, sino también la integridad, exactitud y trazabilidad de la información financiera.

Desde la perspectiva de auditoría, estos procesos se evalúan bajo un enfoque de riesgos, en línea con la NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno y la NIA 330 - Respuestas del auditor a los riesgos valorados. Además, cuando se utilizan procedimientos automatizados o se analizan controles generales de TI, también resulta relevante la NIA 500 - Evidencia de auditoría.

En este artículo desarrollamos, de manera práctica, los procedimientos de auditoría de TI aplicables al control de cambios en sistemas y a la migración de datos contables, con ejemplos adaptados a la realidad peruana.

¿Qué es el control de cambios en sistemas?

El control de cambios en sistemas es el conjunto de políticas, procedimientos y actividades diseñadas para asegurar que toda modificación en programas, configuraciones, interfaces, reportes o bases de datos sea solicitada, evaluada, aprobada, probada, implementada y documentada adecuadamente.

Estos cambios pueden incluir:

• Actualizaciones del ERP contable.
• Creación o modificación de cuentas contables automáticas.
• Cambios en reglas de depreciación, centros de costo o tipos de cambio.
• Modificaciones en interfaces con SUNAT, bancos o sistemas de facturación electrónica.
• Ajustes en perfiles de usuario y flujos de aprobación.

Cuando estos cambios no se controlan, la empresa se expone a riesgos como registros erróneos, pérdida de información, duplicidad de operaciones, fallas en conciliaciones y manipulación indebida de datos.

¿Qué implica la migración de datos contables?

La migración de datos contables consiste en trasladar información financiera y operativa desde un sistema anterior hacia uno nuevo o hacia una versión distinta del mismo sistema. Este proceso puede involucrar:

• Plan de cuentas.
• Saldos iniciales.
• Maestros de clientes y proveedores.
• Activos fijos y depreciación acumulada.
• Comprobantes contables históricos.
• Cuentas por cobrar y por pagar.
• Inventarios valorizados.
• Centros de costo y proyectos.

Una migración mal ejecutada puede afectar directamente la razonabilidad de los estados financieros. Por ejemplo, si una empresa migra sus activos fijos sin arrastrar correctamente la depreciación acumulada, podría sobrevaluar sus activos y utilidades.

Riesgos principales en el control de cambios y migración de datos

Riesgos en el control de cambios

• Cambios implementados sin aprobación formal.
• Ausencia de pruebas antes del pase a producción.
• Desarrollo y producción administrados por la misma persona.
• Falta de segregación de funciones entre TI, contabilidad y usuarios.
• Modificaciones no documentadas en parámetros contables.
• Cambios de emergencia sin regularización posterior.

Riesgos en la migración de datos

• Transferencia incompleta de saldos contables.
• Conversión errónea de campos o catálogos.
• Pérdida de detalle histórico relevante.
• Inconsistencias entre módulos contables, tesorería e inventarios.
• Duplicación de registros.
• Ausencia de conciliaciones entre sistema origen y sistema destino.

Objetivos de auditoría de TI en estos procesos

Los procedimientos de auditoría de TI buscan determinar si:

• Los cambios en sistemas fueron autorizados, probados e implementados adecuadamente.
• La migración de datos fue completa, exacta y válida.
• Existen controles para prevenir alteraciones no autorizadas.
• La información financiera generada por el sistema es confiable.
• Se mantiene evidencia suficiente para fines de auditoría y fiscalización.

Procedimientos de auditoría de TI para el control de cambios en sistemas

1. Entendimiento del proceso de gestión de cambios

El auditor debe comprender cómo la entidad solicita, evalúa, aprueba y ejecuta cambios en sus sistemas. Esto incluye revisar políticas internas, flujogramas, matrices de autorización y herramientas utilizadas para registrar tickets o requerimientos.

En esta etapa, es importante identificar si existen ambientes separados de desarrollo, pruebas y producción, y si los accesos están restringidos.

2. Revisión de políticas y procedimientos formales

Se evalúa si la organización cuenta con lineamientos escritos que regulen:

• Solicitud de cambios.
• Aprobación por usuarios responsables.
• Evaluación de impacto contable y tributario.
• Pruebas funcionales y técnicas.
• Pase a producción.
• Gestión de cambios de emergencia.
• Respaldo y reversa en caso de falla.

Si la empresa no tiene procedimientos formalizados, el riesgo de error y fraude aumenta considerablemente.

3. Selección y prueba de una muestra de cambios

El auditor selecciona una muestra de cambios realizados durante el período y verifica si cada uno cuenta con:

• Solicitud documentada.
• Justificación del cambio.
• Aprobación del área usuaria y/o gerencia.
• Evidencia de pruebas.
• Autorización de pase a producción.
• Fecha de implementación.
• Validación posterior a la implementación.

Este procedimiento permite confirmar si los controles operan de manera consistente.

4. Evaluación de segregación de funciones

Un aspecto clave es verificar que quien desarrolla o configura cambios no sea la misma persona que los aprueba y que los migra a producción. La falta de segregación puede permitir alteraciones indebidas en reglas contables, interfaces o reportes financieros.

En organizaciones pequeñas, donde la segregación total no es viable, deben existir controles compensatorios, como revisiones independientes por gerencia o por el área contable.

5. Revisión de bitácoras y trazabilidad

El auditor inspecciona logs del sistema, bitácoras de cambios y registros de acceso para determinar si las modificaciones quedaron trazadas. La trazabilidad es esencial para identificar quién realizó el cambio, cuándo lo hizo y cuál fue su alcance.

6. Validación de cambios críticos que impactan estados financieros

No todos los cambios tienen el mismo riesgo. Deben priorizarse aquellos que afectan directamente:

• Reconocimiento de ingresos.
• Cálculo de depreciación.
• Valorización de inventarios.
• Determinación de diferencias de cambio.
• Provisiones y estimaciones.
• Interfaces entre módulos contables y operativos.

En estos casos, el auditor puede realizar pruebas sustantivas adicionales para corroborar que el cambio produjo resultados correctos.

Procedimientos de auditoría de TI para la migración de datos contables

1. Evaluación del plan de migración

El auditor revisa si la entidad preparó un plan formal que incluya alcance, responsables, cronograma, fuentes de datos, criterios de limpieza, validaciones, pruebas y contingencias. Un proceso improvisado suele derivar en errores relevantes.

2. Revisión del mapeo de datos

El mapeo consiste en definir cómo se trasladarán los datos del sistema origen al sistema destino. El auditor debe verificar que exista correspondencia adecuada entre:

• Cuentas contables antiguas y nuevas.
• Centros de costo.
• Códigos de clientes y proveedores.
• Tipos de documentos.
• Monedas y tipos de cambio.
• Campos tributarios requeridos por SUNAT.

Un mapeo incorrecto puede reclasificar operaciones de forma errónea y afectar reportes financieros y tributarios.

3. Pruebas de integridad y exactitud

El auditor compara totales entre el sistema origen y el sistema destino para verificar que la migración haya sido completa y exacta. Estas pruebas pueden incluir:

• Total de saldos por cuenta contable.
• Total de cuentas por cobrar y por pagar.
• Cantidad de registros migrados.
• Valor neto de activos fijos.
• Stock e importes de inventarios.

Si se detectan diferencias, estas deben investigarse y documentarse antes del cierre financiero.

4. Conciliación de saldos iniciales

Uno de los procedimientos más importantes es verificar que los saldos iniciales del nuevo sistema coincidan con los saldos finales auditables del sistema anterior. Esta conciliación debe realizarse por módulo y por libro mayor.

5. Revisión de pruebas de usuario (UAT)

Las pruebas de aceptación de usuario permiten confirmar que el sistema procesa correctamente transacciones reales. El auditor verifica si contabilidad, tesorería, logística y otras áreas validaron escenarios relevantes antes de la salida en vivo.

6. Evaluación de controles posteriores a la migración

Después de la migración, deben realizarse controles de estabilización, tales como:

• Conciliaciones bancarias.
• Revisión de asientos automáticos.
• Verificación de reportes financieros.
• Comparación de resultados con períodos anteriores.
• Monitoreo de errores e incidencias.

Estos controles ayudan a detectar problemas que no fueron visibles en la etapa de pruebas.

Tabla comparativa: Control de cambios vs. migración de datos

Ejemplo práctico

Caso 1: Cambio no controlado en el ERP de una empresa comercial en Lima

Una empresa importadora de repuestos modifica en su ERP la regla de reconocimiento de costos de importación para distribuir gastos aduaneros automáticamente. El cambio fue realizado por el proveedor del sistema, pero no existió evidencia de aprobación del área contable ni pruebas formales.

Durante la auditoría, se detecta que desde julio se venían cargando costos a cuentas incorrectas, afectando el margen bruto mensual en aproximadamente S/ 185,000. El problema no fue advertido oportunamente porque la empresa no revisaba reportes comparativos de variación por línea de negocio.

Procedimiento de auditoría aplicado: revisión de tickets, entrevistas con contabilidad y TI, análisis de bitácoras, prueba de recalculo de asientos automáticos y comparación de márgenes antes y después del cambio.

Hallazgo: ausencia de control formal de cambios y de validación posterior a la implementación.

Caso 2: Migración contable en una ONG con financiamiento internacional

Una ONG en Perú implementa un nuevo sistema para administrar proyectos financiados por cooperantes. Durante la migración, se trasladan saldos contables, cuentas por rendir y centros de costo por proyecto. Sin embargo, el mapeo de códigos no contempló adecuadamente algunos fondos restringidos.

Como resultado, gastos por S/ 92,000 fueron asignados a proyectos equivocados, generando diferencias en los reportes enviados al cooperante y riesgo de observaciones sobre el uso de fondos.

Procedimiento de auditoría aplicado: conciliación entre sistema anterior y nuevo, revisión del mapeo de centros de costo, validación de reportes por proyecto y entrevistas con administración y contabilidad.

Hallazgo: debilidad en la definición del mapeo y falta de pruebas de usuario por parte del equipo financiero.

Normas y referencias relevantes para la auditoría

Además de las NIAs ya mencionadas, estos trabajos suelen relacionarse con marcos de información financiera y control interno. Entre las referencias más importantes destacan:

• NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno.
• NIA 330 - Respuestas del auditor a los riesgos valorados.
• NIA 500 - Evidencia de auditoría.
• NIA 520 - Procedimientos analíticos, útil para comparar tendencias y detectar efectos de cambios o migraciones.
• NIA 530 - Muestreo de auditoría, aplicable para seleccionar cambios o registros migrados.
• NIC 8 - Políticas Contables, Cambios en las Estimaciones Contables y Errores, cuando los cambios en sistemas generan errores o afectan políticas contables.
• NIIF 1 - Adopción por Primera Vez de las Normas Internacionales de Información Financiera, relevante en procesos de transformación contable y apertura de saldos bajo nuevos criterios.

Desde la perspectiva legal peruana, también es importante considerar la obligación de conservar libros, registros y documentación sustentatoria. El artículo 87 del Texto Único Ordenado del Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, establece obligaciones de los administrados, incluyendo facilitar las labores de fiscalización y conservar documentación y sistemas de control vinculados a obligaciones tributarias. Asimismo, el artículo 65 del mismo Código Tributario regula la facultad de la Administración Tributaria para determinar la obligación tributaria sobre base cierta o presunta, lo que resalta la importancia de contar con información íntegra y confiable.

En materia societaria, el artículo 190 de la Ley General de Sociedades, Ley N.° 26887, dispone que los estados financieros deben prepararse y presentarse conforme a las disposiciones legales sobre la materia y con principios de contabilidad generalmente aceptados en el país, lo que exige sistemas confiables para su elaboración.

Buenas prácticas para fortalecer el control interno

1. Formalizar una política de gestión de cambios

Toda empresa debería contar con una política aprobada por gerencia que defina responsables, niveles de autorización, documentación mínima y controles posteriores.

2. Exigir participación del área contable

Los cambios que afecten asientos automáticos, reportes financieros o configuración tributaria no deben quedar solo en manos de TI o del proveedor del sistema.

3. Mantener evidencia de pruebas y aprobaciones

La documentación es esencial tanto para auditoría externa como para revisiones internas y fiscalizaciones de SUNAT.

4. Ejecutar conciliaciones post implementación

Luego de cada cambio relevante o migración, deben compararse saldos, reportes y resultados operativos para identificar desviaciones.

5. Restringir accesos privilegiados

Los accesos de administrador deben estar limitados, monitoreados y revisados periódicamente.

6. Involucrar auditoría interna o asesores independientes

En proyectos de migración relevantes, una revisión independiente puede prevenir errores costosos antes del cierre contable.

Tabla de documentos que el auditor suele solicitar

Conclusión

El control de cambios en sistemas y la migración de datos contables no son solo asuntos tecnológicos; son procesos con impacto directo en la confiabilidad de la información financiera, el cumplimiento tributario y la toma de decisiones gerenciales. Una debilidad en estos frentes puede traducirse en errores materiales, observaciones de auditoría, contingencias con SUNAT y pérdida de confianza de socios, directorio, cooperantes o entidades financieras.

Desde la auditoría de TI, el enfoque debe centrarse en validar autorizaciones, pruebas, segregación de funciones, trazabilidad, mapeo de datos y conciliaciones integrales. En la práctica peruana, esto resulta especialmente importante en implementaciones de ERP, cambios de proveedores de software, integraciones con facturación electrónica y procesos de modernización administrativa en empresas y ONGs.

Si su organización está evaluando un cambio de sistema, una migración contable o desea fortalecer sus controles internos de TI, en Carlos Lingan & Asociados S.C. podemos apoyarlo con una revisión especializada. Para consultas, escríbanos a auditor@carloslingan.pe.