Controles Generales de Tecnologías de la Información (ITGC) en una auditoría financiera: Guía completa

¿Qué son los Controles Generales de Tecnologías de la Información (ITGC)?

Los Controles Generales de Tecnologías de la Información (ITGC, por sus siglas en inglés) son el conjunto de políticas, procedimientos y actividades de control que aseguran el funcionamiento confiable de los sistemas de información que soportan los procesos financieros y operativos de una organización.

En una auditoría financiera, los ITGC son especialmente relevantes porque permiten al auditor determinar si puede confiar en los sistemas que procesan transacciones contables, generan reportes financieros y almacenan evidencia digital. Si estos controles son débiles, aumenta el riesgo de errores materiales, fraude, pérdida de información o manipulación de datos.

En la práctica peruana, esto aplica tanto a empresas comerciales, industriales y de servicios como a ONGs, asociaciones, cooperativas y entidades con financiamiento internacional que utilizan ERP, sistemas contables, planillas, plataformas bancarias y soluciones en la nube.

¿Por qué los ITGC son importantes en una auditoría financiera?

La información financiera ya no depende solo de documentos físicos. Hoy, gran parte de los registros contables se origina, procesa y conserva en sistemas informáticos. Por ello, el auditor necesita evaluar si el entorno tecnológico proporciona una base razonable de confianza.

La importancia de los ITGC se relaciona directamente con diversas normas de auditoría:

• NIA 315 (Revisada 2019) – Identificación y valoración de los riesgos de incorrección material, que exige comprender el sistema de control interno de la entidad, incluido el entorno de TI.
• NIA 330 – Respuestas del auditor a los riesgos valorados, que requiere diseñar procedimientos de auditoría en respuesta a los riesgos identificados.
• NIA 402 – Consideraciones de auditoría relativas a una entidad que utiliza una organización de servicios, aplicable cuando la empresa usa servicios tercerizados o plataformas cloud.
• NIA 240 – Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude, relevante cuando las debilidades tecnológicas facilitan alteraciones o accesos no autorizados.

Si los ITGC son efectivos, el auditor puede tener mayor confianza en los controles automatizados y en la integridad de la información procesada por los sistemas. Si son deficientes, normalmente deberá ampliar pruebas sustantivas, incrementar muestras y aplicar procedimientos adicionales.

Objetivo de evaluar ITGC dentro del control interno

La revisión de ITGC no busca convertir la auditoría financiera en una auditoría de sistemas completa. Su objetivo es determinar si los controles tecnológicos que soportan la información financiera son adecuados para reducir riesgos relevantes.

En términos prácticos, el auditor evalúa si:

• Solo personal autorizado accede a los sistemas.
• Los cambios en programas y configuraciones son aprobados y controlados.
• Las operaciones de TI aseguran continuidad, respaldo y recuperación.
• La información se procesa de forma íntegra, exacta y oportuna.
• Los proveedores externos de tecnología no generan riesgos no gestionados.

Principales componentes de los ITGC

Aunque la estructura puede variar según el tamaño de la entidad, los ITGC suelen agruparse en cuatro grandes componentes.

1. Gestión de accesos lógicos

Este componente busca garantizar que solo usuarios autorizados ingresen a los sistemas y que cada uno tenga permisos acordes con sus funciones.

Incluye controles como:

• Creación, modificación y baja de usuarios con aprobación formal.
• Políticas de contraseñas seguras.
• Segregación de funciones en sistemas críticos.
• Revisión periódica de perfiles de acceso.
• Restricción de accesos privilegiados o de administrador.

Ejemplo peruano: una empresa distribuidora en Trujillo mantiene en su sistema contable a un excontador con acceso activo por seis meses después de su salida. Este hecho representa un riesgo alto, ya que podría modificar asientos contables o descargar información sensible.

2. Gestión de cambios en sistemas y aplicaciones

Todo cambio en el ERP, software contable, planillas o interfaces debe ser evaluado, aprobado, probado y documentado antes de pasar a producción.

Los controles típicos incluyen:

• Solicitud formal de cambio.
• Evaluación de impacto.
• Aprobación por responsables de negocio y TI.
• Pruebas previas en ambiente de desarrollo o pruebas.
• Separación entre desarrollo, pruebas y producción.
• Registro de versiones y evidencias de implementación.

Sin estos controles, un cambio aparentemente menor puede alterar el cálculo del IGV, depreciaciones, provisiones o valorización de inventarios.

3. Operaciones de TI

Se refiere a los controles que aseguran la continuidad, estabilidad y procesamiento adecuado de los sistemas.

Abarca, entre otros:

• Respaldos periódicos de bases de datos y archivos críticos.
• Monitoreo de incidentes.
• Planes de contingencia y recuperación.
• Control de ejecución de interfaces y procesos batch.
• Protección antivirus y gestión de vulnerabilidades.

Ejemplo práctico: una ONG en Lima que administra fondos de cooperación internacional guarda su contabilidad en un servidor local sin backup externo. Si ocurre un ransomware o falla del disco, podría perder evidencia financiera y documentación de proyectos.

4. Seguridad de programas y datos

Este componente protege la integridad y confidencialidad de la información. Incluye controles sobre bases de datos, infraestructura, redes y almacenamiento de información.

En un entorno actual, esto también involucra la seguridad en servicios cloud, autenticación multifactor y monitoreo de actividades inusuales.

Tabla comparativa: ITGC vs controles automatizados de aplicación

Riesgos financieros asociados a ITGC deficientes

Cuando los ITGC no son adecuados, las consecuencias pueden ser significativas para los estados financieros.

Entre los riesgos más frecuentes se encuentran:

• Registro de transacciones no autorizadas.
• Modificación indebida de asientos contables.
• Cambios no controlados en parametrizaciones tributarias o contables.
• Pérdida de información financiera por fallas de respaldo.
• Errores en interfaces entre sistemas de ventas, inventarios, planillas y contabilidad.
• Fraude por uso indebido de accesos privilegiados.
• Dependencia excesiva de una sola persona en TI.

En Perú, este riesgo es frecuente en empresas medianas y entidades sin fines de lucro donde el área de TI es reducida o tercerizada informalmente, sin contratos claros ni reportes de control.

¿Cómo evalúa el auditor los ITGC?

La evaluación de ITGC suele desarrollarse en varias etapas, alineadas con el enfoque basado en riesgos de las NIAs.

Comprensión del entorno tecnológico

El auditor identifica qué sistemas soportan la información financiera: ERP, software contable, planillas, tesorería, inventarios, activos fijos, banca electrónica y repositorios documentarios.

También analiza si existen servicios tercerizados, servidores locales, aplicaciones en la nube o desarrollos internos.

Identificación de sistemas relevantes para la auditoría

No todos los sistemas requieren el mismo nivel de revisión. El auditor prioriza aquellos que impactan directamente en rubros materiales de los estados financieros, como ingresos, cuentas por cobrar, existencias, activos fijos, planillas y tesorería.

Identificación de riesgos de TI

Se evalúan riesgos como accesos incompatibles, cambios no autorizados, ausencia de logs, falta de backups o dependencia de proveedores sin controles suficientes.

Pruebas de diseño e implementación

En esta fase se verifica si el control existe y si fue implementado. Por ejemplo, revisar si la política de altas y bajas de usuarios está formalizada y si realmente se utiliza.

Pruebas de efectividad operativa

Si el auditor planea confiar en los ITGC, debe probar su funcionamiento durante el período auditado. Esto puede incluir:

• Revisión de una muestra de altas y bajas de usuarios.
• Validación de aprobaciones de cambios en sistemas.
• Inspección de evidencias de backups y restauraciones.
• Revisión de accesos privilegiados.
• Consulta de bitácoras o logs de eventos.

Ejemplo práctico: evaluación de ITGC en una empresa comercial peruana

Una empresa comercial de Chiclayo con ventas anuales de S/ 18 millones utiliza un ERP para ventas, inventarios y contabilidad. Durante la auditoría financiera, se identifican los siguientes hallazgos:

• El jefe de sistemas tiene acceso de administrador y además puede modificar maestros de clientes y proveedores.
• No existe evidencia formal de aprobación para cambios en reportes contables.
• Los backups se realizan diariamente, pero nunca se ha probado la restauración.
• Hay usuarios activos de personal cesado.

Impacto en auditoría:

• Se incrementa el riesgo de manipulación de datos.
• Disminuye la confianza en reportes generados por el ERP.
• El auditor amplía pruebas sustantivas sobre ventas, cobranzas y cuentas por pagar.
• Se recomienda corregir accesos incompatibles y formalizar la gestión de cambios.

Ejemplo práctico: ITGC en una ONG con financiamiento internacional

Una ONG con sede en Lima ejecuta proyectos financiados por cooperantes del exterior por S/ 6 millones anuales. Usa un sistema contable local y almacenamiento de documentos en Google Drive.

Durante la revisión se detecta:

• No existe matriz de accesos por proyecto.
• El responsable financiero comparte credenciales con un asistente.
• No hay procedimiento documentado de respaldo de documentación digital.
• El proveedor del sistema contable realiza cambios directamente en producción sin acta de aprobación.

Riesgos:

• Posible alteración de rendiciones y reportes a donantes.
• Pérdida de trazabilidad en gastos por proyecto.
• Debilidad ante revisiones de cooperantes y auditorías externas.

Recomendaciones:

• Implementar usuarios individuales y autenticación robusta.
• Formalizar accesos por centro de costo o proyecto.
• Documentar cambios del sistema y aprobaciones.
• Establecer backups automáticos y pruebas de recuperación.

Señales de alerta que la gerencia no debe ignorar

Existen indicadores que suelen anticipar problemas de control interno tecnológico:

• Un solo usuario concentra funciones críticas de TI y contabilidad.
• No se desactivan usuarios oportunamente.
• Los cambios al sistema se hacen “de palabra”.
• No existen reportes de auditoría o logs disponibles.
• La empresa depende de un proveedor externo sin contrato ni SLA.
• No se realizan pruebas de recuperación de backups.
• Se comparten contraseñas entre colaboradores.

Estas situaciones son más comunes de lo que parece en pequeñas y medianas empresas peruanas, y pueden generar observaciones relevantes en auditoría.

Tabla comparativa: deficiencias comunes de ITGC y su efecto en auditoría financiera

Relación entre ITGC y normativa contable y societaria en Perú

Aunque los ITGC se analizan principalmente desde la perspectiva de auditoría y control interno, también guardan relación con obligaciones legales y de gestión empresarial en el país.

Por ejemplo, la Ley General de Sociedades, Ley N.° 26887, establece en su artículo 190 que el directorio tiene las facultades de gestión y representación necesarias para la administración de la sociedad, lo que incluye la responsabilidad de promover controles adecuados sobre la información financiera.

Asimismo, el Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, señala en su artículo 87 la obligación de los administrados de facilitar las labores de fiscalización y conservar libros, registros y documentación sustentatoria, lo cual hoy comprende, en muchos casos, información digital y reportes generados por sistemas.

En materia de protección de datos, la Ley N.° 29733, Ley de Protección de Datos Personales, y su reglamento aprobado por Decreto Supremo N.° 003-2013-JUS, también exigen medidas de seguridad para el tratamiento de información personal, aspecto relevante cuando los sistemas contienen datos de trabajadores, clientes, proveedores o beneficiarios.

Buenas prácticas para fortalecer los ITGC

Las organizaciones no necesitan tener una infraestructura compleja para mejorar sus controles. Muchas veces, acciones concretas generan avances importantes.

Buenas prácticas recomendadas

• Definir una matriz de accesos por puesto y proceso.
• Establecer altas, modificaciones y bajas de usuarios con aprobación documentada.
• Separar funciones entre desarrollo, soporte y producción.
• Documentar y aprobar todo cambio en sistemas que impacte información financiera.
• Automatizar respaldos y probar restauraciones periódicamente.
• Revisar accesos privilegiados al menos trimestralmente.
• Formalizar contratos con proveedores tecnológicos, incluyendo niveles de servicio.
• Capacitar al personal en seguridad de la información y uso adecuado de credenciales.

¿Cuándo una deficiencia de ITGC es significativa?

No toda debilidad tecnológica tiene el mismo impacto. El auditor evalúa su severidad considerando:

• La probabilidad de que ocurra un error o fraude.
• La magnitud potencial del impacto financiero.
• La existencia de controles compensatorios.
• El nivel de automatización del proceso afectado.
• La relevancia del sistema para los estados financieros.

Por ejemplo, una deficiencia en accesos del sistema de activo fijo puede ser menos crítica que una en el ERP principal donde se registran ventas, cobranzas y contabilidad general. Sin embargo, si el rubro afectado es material, la observación puede escalar rápidamente.

Beneficios de una adecuada gestión de ITGC

Fortalecer los ITGC no solo ayuda a pasar una auditoría con menos observaciones. También genera beneficios concretos para la gestión:

• Mayor confiabilidad de la información financiera.
• Reducción del riesgo de fraude interno.
• Mejor continuidad operativa.
• Mayor capacidad de respuesta ante fiscalizaciones y auditorías.
• Mejor relación con donantes, bancos, inversionistas y directorio.
• Menor dependencia de personas clave.

En un entorno donde la digitalización avanza rápidamente en Perú, los ITGC ya no son un tema exclusivo del área de sistemas. Son una pieza central del control interno y de la gobernanza financiera.

Conclusión

Los Controles Generales de Tecnologías de la Información (ITGC) son fundamentales en una auditoría financiera porque sostienen la confiabilidad de los sistemas que procesan la información contable y financiera. Una debilidad en accesos, cambios, operaciones o seguridad puede comprometer la integridad de los estados financieros y obligar al auditor a ampliar significativamente sus procedimientos.

Para empresas y ONGs en Perú, evaluar y fortalecer los ITGC no debe verse como una carga técnica, sino como una inversión en orden, transparencia y sostenibilidad. Contar con accesos bien definidos, cambios controlados, respaldos efectivos y proveedores supervisados mejora el control interno y reduce riesgos operativos, financieros y reputacionales.

Si su organización necesita evaluar sus controles tecnológicos dentro de una auditoría financiera o desea fortalecer su sistema de control interno, en Carlos Lingan & Asociados S.C. podemos ayudarle. Para consultas, escríbanos a auditor@carloslingan.pe.