Gua didctica

Auditora de Tecnologas de Informacin.

ANEXO 3.- HISTORIA DE LA CAJA POPULAR.

CAJA POPULAR
HISTORIA INSTITUCIONAL
1. INFORMACIN DE LA ENTIDAD:
Razn Social

Caja Popular Ltda.

RUC

1234567890

Representante Legal

Napolen Carlos Quinto.

Direccin

Jr. Unin Latinoamericana N 123

Departamento de La Libertad.

2. ACTIVIDADES Y ANTECEDENTES:
La Caja Popular Ltda., se rige por el Texto nico Ordenado de la Ley General de
Cajas, por su Estatuto y las Disposiciones que establezca la Superintendencia de
Banca y Seguros y la Federacin Nacional de Cajas de Ahorro y Crdito del Per.
La denominacin social es Caja de Ahorro y Crdito Popular Ltda., siendo su
modalidad la de usuarios y abierta. Su domicilio esta en la ciudad de Trujillo, Jr.
Unin Latinoamericana N 123 en el Departamento de La Libertad.
Los objetivos de la entidad son:
a. Promover el desarrollo econmico de sus clientes, mediante el esfuerzo propio
y la ayuda mutua.
b. Fomentar la educacin integral de sus clientes y de la comunidad.
c. Fomentar la cultura de ahorro e inversin en sus clientes.
Los servicios que brinda, dentro de las regulaciones legales existentes, son los
siguientes:

Ahorro de dinero en efectivo o joyas.

Crdito a empresas y personas naturales.

Crdito pignoraticio.

3. ESTRUCTURA ORGNICA DE LA ENTIDAD:

ORGANOS DE GOBIERNO

Directorio: Constitudo por el Presidente, Vicepresidente, Secretario y 3

Vocales.

ORGANO DE CONTROL
75

Auditora de Tecnologas de Informacin.

Gua didctica

Consejo de Vigilancia: Tiene como objetivo la organizacin y ejecucin de

supervisiones preventivas a las diversas actividades de la entidad.

Unidad de Auditora Interna: Tiene como objetivo la planificacin, organizacin,

direccin y control de actividades de revisin y evaluacin selectiva de las
diversas actividades de la entidad, en perodos posteriores a su ejecucin.

ORGANO DE DIRECCIN

Gerencias mancomunadas: Son 3 gerentes con el mismo nivel jerrquico,

Gerente de Ahorros, Gerente de Crditos y Gerente Administrativo.

ORGANOS DE ASESORA

Asesora Legal.

Oficina de Desarrollo y Relaciones Pblicas.

ORGANOS DE APOYO

Oficina de Contabilidad.

Oficina de Logstica.

Oficina de Recursos Humanos.

Oficina de Tecnologas de Informacin.

ORGANOS DE LINEA

Departamento de Crditos y recuperaciones.

Departamento de Ahorros.

AGENCIAS

Principal: Crdova.

La Solucin.

Rezagados.

Sipn.

Cntaros.

La Iliada.

Cajamarca.

Chiclayo.

76

Auditora de Tecnologas de Informacin.

Gua didctica

4. DESCRIPCIN DE LA SITUACIN ENCONTRADA.

La entidad se encuentra en un proceso de crecimiento y expansin geogrfica,
cuenta con agencias en otras regiones del pas y planifica su expansin hacia la
capital. Por tal motivo, han considerado a las tecnologas de informacin como un
factor crtico de xito, debido a que les permite la reduccin de costos, la mejora
de la comunicacin interna y externa, la celeridad de sus procesos y la
diferenciacin de su producto al ofrecer servicios financieros va Internet.
Cuenta con 2 servidores HP Proliant 6000, los cuales cumplen funciones de Base
de Datos y de Aplicaciones (SI y Web) respectivamente, sistema operativo
Windows 2000 Advanced Server. Los servidores se encuentran dentro de la oficina
del rea de TI, el aire acondicionado tiene una distancia de los servidores de
aproximadamente 3 metros y la temperatura oscila entre los 17C y 18C, el
personal del rea se encuentra en el trnsito desde el aire acondicionado hacia los
Servidores. No existe una sala acondicionada para los servidores, debido a que no
se dispone del ambiente necesario para esto. Se han originado casos en que el
personal de rea ha tenido problemas de salud, debido a los cambios bruscos de
temperatura entre la oficina de TI y los ambientes externos.
Solamente dos personas pueden hacer uso de los servidores, y cada uno cuenta
con una clave de acceso; los anaqueles en donde estn los servidores cuentan
con sus respectivas llaves, las cuales se encuentran colocadas en las chapas para
facilitar el accionar en caso de contingencias, como incendios. No se tiene un
registro del comportamiento del servidor, as como de las actividades que los
responsables de los servidores han realizado (bitcora de trabajo y supervisin de
servidores), debido a que no lo consideran necesario, dado que ambas personas
trabajan en la misma oficina y se renen todos los das. Los servidores son
conectados a travs de una lnea elctrica a un equipo UPS, el cual tambin
estabiliza la corriente elctrica. Este equipo UPS tambin est conectado a los
equipos de telecomunicaciones, debido a la sensibilidad elctrica de estos
equipos. Se cuenta asimismo, con una Tablero Elctrico Trmico especialmente
destinado a Servidores y equipos de telecomunicaciones.
Se cuenta con un extintor contra incendios, el cual expide un lquido especial
contra incendios, el personal del rea de TI ha sido capacitado adecuadamente en
el uso de este equipo. Adems, se cuenta con un sensor de humo para la
deteccin oportuna de incendios.
Existen tres sistemas de informacin: Ahorros, Crditos y Administrativo. Estos
sistemas fueron adquiridos a otra entidad financiera en el ao 1998 solamente con
77

Auditora de Tecnologas de Informacin.

Gua didctica

los archivos de las aplicaciones y de las bases de datos, el contrato de adquisicin

no incluy a los programas fuente. La tecnologa tiene como lenguaje de
programacin al Fox Pro 2.6 DOS y los archivos de datos son de extensin DBF.
Debido a la tecnologa, no existe propiamente una base de datos, sino un conjunto
de tablas sin una relacin lgica implementada fsicamente. Los programadores,
son quienes realizan aplicaciones que permitan interrelacionar a las tablas y
realizar la consistencia de datos.
Se han identificado en muchas tablas, registros en blanco, y cada vez el nmero
de estos va en aumento, sobretodo cuando existe una saturacin en el nmero de
transacciones. Los analistas programadores indican que desconocen las razones,
debido a que no cuentan con los programas fuente de los sistemas de informacin;
sin embargo, argumentan que esto no es un problema, porque han desarrollado un
programa de aplicacin que realiza la depuracin de datos y elimina los archivos
en blanco de las tablas. Esta aplicacin es ejecutada de manera automtica al
finalizar cada da, aproximadamente a las 11:00 pm.
La arquitectura de la Base de Datos es Descentralizada, es decir, cada Agencia
cuenta con una base de datos. Cada vez que una Agencia o la Oficina Principal
desea informacin de una Agencia especfica, un software adicional al cual se le
ha denominado EL CONECTOR, capta las transacciones realizadas a travs de
los sistemas de informacin y las enva a travs de la red WAN a la agencia
especfica con el fin de obtener la informacin requerida. Es decir, si un cliente que
posee una cuenta de ahorros en la Agencia de Rezagados, desea hacer un
depsito, a travs de un cajero de la Agencia de Cajamarca; EL CONECTOR
captura el cdigo de su cuenta e identifica la agencia origen, enviando una
transaccin a travs de la WAN a dicha agencia, captura informacin de la cuenta
(tipo de cuenta, cliente, saldo, etc), muestra los datos a la agencia solicitante,
captura la transaccin realizada por esta agencia y actualiza los datos en la base
de datos de la agencia de origen. No existe una documentacin que explique esta
arquitectura, los analistas programadores son conscientes de estas, debido a que
trabajan en la entidad por muchos aos y no consideran relevante documentar
algo que es de conocimiento de todos ellos.
La entidad ofrece un servicio especial denominado Cajero de Emergencia,
destinado para personas ancianas, minusvlidos, embarazadas, etc. Los cajeros
son rotados para el trabajo en esta ventanilla. El usuario y la clave de acceso son
conocidos por todos los cajeros, debido a que de esa manera se dinamiza la
utilizacin de esta ventanilla.
78

Gua didctica

Auditora de Tecnologas de Informacin.

Los errores que pueden generarse por anomalas en las aplicaciones son
subsanadas por los analistas programadores, quienes realizan aplicaciones
externas que validan la informacin luego de su registro en las bases de datos; no
pueden realizar modificaciones a los programas fuente, debido a que no cuentan
con stos. La modalidad de trabajo en el mantenimiento de los sistemas de
informacin consiste en recibir de manera documentada las necesidades y
reclamos de los usuarios, para posteriormente hacer las aplicaciones respectivas
que se conecten con las bases de datos y cubrir dichas necesidades. Por lo tanto,
cada vez que los usuarios desean utilizar las nuevas aplicaciones, tienen que
utilizar un mdulo denominado COMPLEMENTOS, el cual posee todas las
aplicaciones adicionales que complementan a los sistemas de informacin
actuales. No se cuenta con un Manual de Usuario de COMPLEMENTOS, debido a
que los usuarios conocen con mucha precisin el funcionamiento de estas
aplicaciones, adems, es imposible hacer una actualizacin del Manual de
Usuario, debido a que continuamente se hacen mejoras a las aplicaciones y se
crean otras. Mantener actualizado un Manual de Usuario implica imprimir
continuamente ejemplares y distribuirlos a los usuarios, esto retrasara la entrega
de las aplicaciones y encarecera los procesos, debido a la impresin continua. El
jefe del rea de TI argumenta: No podemos retrazar la entrega de las aplicaciones
y encarecer nuestros procesos solamente para satisfacer a normatividades que no
estn alineadas a la realidad de nuestra entidad, adems, en el Per no existe una
entidad que tenga Manuales de Usuario actualizados impresos y distribudos a
usuarios
Tampoco

existe

una

documentacin

tcnica

de

las

aplicaciones

de

COMPLEMENTOS, es decir los Manuales Tcnicos, debido a que el dinamismo

con que se crean y modifican aplicaciones es tal que sera imposible tenerlo
actualizado, adems, la impresin de esta documentacin sera solamente de
inters para los auditores, porque los analistas programadores cuentan con los
programas fuente de estas aplicaciones y conocen la estructura y funcionamiento
de estos, argumenta la jefatura de TI. Los cdigos fuente son dinmicos y no
tendra sentido imprimirlos, porque nadie podra entender la lgica, debido a que
cada analista programador tiene su propia forma de programar, claro est dentro
de los estndares establecidos por el rea de TI.
Se cuenta con la documentacin de los accesos usuarios a los diversos mdulos,
sin embargo, de acuerdo a una auditora anterior se ha evidenciado que esta no
est actualizada, existiendo usuarios que ya no laboran en la entidad y otros que
cuentan con ms accesos a los registrados en la documentacin. El rea de TI
79

Auditora de Tecnologas de Informacin.

Gua didctica

argumenta que la razn se debe a que continuamente se reciben rdenes de

activacin, modificacin y desactivacin de usuarios a los diversos mdulos de las
aplicaciones, lo cual dificulta la actualizacin de esta informacin; adems, cuando
ellos desean conocer los accesos de los usuarios, es suficiente visualizar y/o
imprimir la tabla que contiene dicha informacin.
Existe un mdulo auditor que guarda la siguiente informacin:
-

Usuario.

Fecha y hora de acceso.

Fecha y hora de salida.

No pueden registrar mayo informacin, debido a que no cuentan con los

programas fuente para hacer las mejoras. Sin embargo, consideran que con esta
informacin es suficiente para determinar responsabilidades al momento de hacer
un seguimiento a las acciones de los usuarios y/o de una posible manipulacin de
datos. No se ha desarrollado un mdulo de auditora en COMPLEMENTOS,
debido a que no se realizan operaciones de relevancia a travs de ste.
La institucin ha recibido una Comunicacin Preventiva de Sancin de parte de la
Superintendencia de Banca y Seguros, debido a que la informacin financiera que
ha proporcionado a esta entidad no es coherente; los datos financieros no son
precisos y estos son emitidos de manera tarda por segundo ao consecutivo.
Especficamente se relaciona a la informacin de la Cartera de Crditos a
Diciembre del 2005 (Relacin de clientes con deudas pendientes a diciembre del
2005). El nmero de clientes a los cuales indican se les ha proporcionado un
crdito, no es coherente con informacin cruzada a las Centrales de Riesgos
Privadas y Estatales (entidades que informan los crditos otorgados por las
entidades financieras y los nombres de sus clientes). Esto ha originado los
siguientes problemas:
-

La entidad se muestra como competitiva en el sector financiero, debido a que

indica tener un nmero importante de clientes a los que le ha otorgado crditos;
pero en realidad se presume que este nmero en mucho menor.

Existen clientes morosos o que no cumplen con las exigencias financieras

acordes a los importes recibidos en crdito. No se encuentra informacin
precisa sobre sus deudas en las bases de datos de la entidad, pero se sabe
que tienen deudas pendientes y an as califican para nuevos crditos.

80

Auditora de Tecnologas de Informacin.

Gua didctica

Existen clientes que son identificados con sus datos personales en los
documentos impresos, sin embargo, no aparecen contabilizados de manera
estadstica y financiera en los informes gerenciales de la entidad.

Existe un desbalance entre el dinero de los ahorristas y los retiros efectuados en

los ltimos 15 das. Se presume que existen clientes que hayan retirado ms
dinero del que disponen. Este desbalance econmico es de S/.250,600. El rea de
TI ha indicado que constantemente el Software Manejador de Base de Datos de
las agencias emiten sus transacciones a la Base de Datos de la Agencia Principal.
Por lo tanto, indican que los causales de estos problemas son ms contables que
tecnolgicos.
Algunos usuarios de los sistemas de informacin, debido a que estos no emiten
toda la informacin que necesitan, tienen que realizar clculos adicionales de
manera manual, utilizando el MS Excel. Esta informacin procesada en hojas de
clculo es enviada a las entidades supervisoras como la SBS, originando
problemas de validez de la informacin, y por consiguiente llamadas de atencin
por parte de esta entidad.
De acuerdo a las Normas de Uso de Equipos de Cmputo, la realizacin de copias
de seguridad de los archivos de Excel y otros es responsabilidad de los usuarios,
para esto, ellos copian su informacin a disquetes o memorias externas USB. Las
copias de seguridad de las bases de datos son realizadas diariamente y en dos
perodos: 12:00m y 11:00pm de manera automtica, utilizando herramientas
programables del Software Manejador de Base de Datos SQL. La informacin del
da es inicialmente guardada en uno de los Servidores, utilizado como Servidor de
Backups y al da siguiente a las 07:00pm el archivo empaquetado es grabado en
un CD. Todas las noches se guarda informacin del da anterior en un dispositivo
de almacenamiento externo. Para realizar el proceso de backups, se tiene que
interrumpir el servicio de los sistemas de informacin, de tal manera que se tenga
la exclusividad de las bases de datos y se pueda realizar este proceso de una
manera ms efectiva, los usuarios han mostrado su incomodidad debido a que no
les permite trabajar horas extras. Las copias de seguridad diarias son
INCREMENTALES y las copias de seguridad semanales son COMPLETAS.
El rea de TI ha establecido un Cronograma de Mantenimientos Preventivos, el
cual se desarrolla en los meses de Enero y Julio de cada ao. El mantenimiento
preventivo involucra a las PCs e impresoras, y con anticipacin se realizan las
coordinaciones con los proveedores para realizar la seleccin de los mismos. Cada
81

Auditora de Tecnologas de Informacin.

Gua didctica

proveedor presenta los costos de la realizacin de estos mantenimientos, los

cuales incluyen a las agencias locales como las remotas.
De acuerdo a las estadsticas de mantenimiento correctivos del rea de
Tecnologas de Informacin, la mayora de casos revisados han tenido como
resultado lo siguiente:
1. Presencia de grapas en las impresoras, que han ocasionado corto circuitos.
2. Presencia de restos de lquidos dulces en los teclados.
3. Mouse con rasgos de haber sido golpeados.
La jefatura de esta rea indica que la mayora de los casos de mantenimientos
correctivos se debe a factores que pudieron haber sido evitados, debido al
descuido de los usuarios. Estos indican que esa es precisamente la labor del rea
de TI, el mantenimiento de los equipos de cmputo por deterioros diversos.
Adems, auditoras anteriores han mostrado que el rea de TI no cuenta con
documentacin que registre los detalles de los mantenimientos preventivos y
correctivos a los equipos de cmputo, por lo cual la informacin estadstica que
indican es nicamente proveniente de la observacin y el uso de la memoria. Los
procedimientos establecidos para el mantenimiento correctivo de equipos de
cmputo en agencias remotas son los siguientes:
1. Identificar el tipo de problema o deterioro.
2. En el caso de un problema de software, se realiza un mantenimiento remoto
desde la Agencia Principal.
3. En el caso de un problema de hardware, se realizan las coordinaciones con un
proveedor de la zona en donde se encuentra la agencia. El proveedor, de
acuerdo a un contrato pre establecido, tiene la obligacin de colocar un equipo
de cmputo provisional mientras dure el perodo de mantenimiento correctivo.
4. Se reciben los informes del proveedor sobre el proceso de mantenimiento.
Luego de la revisin de la infraestructura de seguridad de los locales principales,
se ha evidenciado lo siguiente:
-

Existen extintores que han sido vencidos.

Los extintores vigentes, son demasiado pesados para el uso de los usuarios.

Existen usuarios que no conocen la ubicacin de los extintores o no saben

cmo utilizarlos.

La Jefatura de Seguridad indica que no es necesario que los usuarios sepan

usar los extintores, debido a que el personal de vigilancia conoce la forma de
hacerlo.
82

Auditora de Tecnologas de Informacin.

Gua didctica

Existen ambientes de almacn, en dnde las instalaciones elctricas presentan

cables sueltos y mal instalados, en el mismo ambiente existen almacenados
papeles y productos inflamables.

Sin embargo, el rea de TI, indica que esto no es responsabilidad de ellos, debido
a que el rea responsable es Seguridad Institucional. Por lo tanto, no deben
realizarse observaciones de auditora informtica en este aspecto.
Existen usuarios que pueden acceder a las carpetas compartidas de otros, debido
a que se encuentran agrupados con nmeros de IP en un mismo Dominio. Se
pudo constatar que un cajero de la Agencia de la ciudad de La Iliada puede
acceder a las carpetas compartidas de la Contadora General de la entidad, cuya
oficina se encuentra en la Oficina Principal. El cajero entrevistado indica
desconocer que tena ese acceso y que eso es responsabilidad del rea de
Tecnologas de Informacin. TI indica que esto es responsabilidad de cada
usuario, al momento de compartir sus carpetas personales; sin embargo, indican
que necesitan compartir carpetas de trabajo debido a que la tecnologa de los
sistemas de informacin necesita que estas carpetas estn compartidas para el
registro de transacciones en los archivos DBF de sus bases de datos. No se
cuenta con un registro de los accesos de usuarios a las diversas terminales de la
red informtica, debido a que segn indica TI, los accesos de los usuarios son
demasiado dinmicos para poder ser documentados: Los usuarios comparten y
restringen archivos y carpetas todos los das.
El Plan de Contingencias y Continuidad de Negocio, es copia fiel de otras
entidades financieras. Este documento fue realizado por una empresa Consultora
externa, la cual solamente cambi el nombre de la entidad a la cual le realiz la
consultora. Esta empresa consultora indica que siempre encontraba en estas
entidades las mismas necesidades y por lo tanto tena nicamente que hacer
pequeos cambios.
Nunca la entidad ha realizado una evaluacin de las acciones posteriores a las
contingencias, como por ejemplo la recuperacin de informacin. Los
responsables de TI indican que esto no puede realizarse, debido a que no pueden
interrumpir las actividades del negocio durante el tiempo que dura el simulacro.
Las copias de seguridad en CD son guardados dentro de las instalaciones de la
misma entidad, esto se debe a que las Gerencias han determinado que es mejor
as para evitar el espionaje de informacin del negocio.
El rea de Tecnologas de Informacin se ha ganado la fama de incumplidos,
debido a que casi nunca cumple con los objetivos planteados en el Plan Operativo
83

Auditora de Tecnologas de Informacin.

Gua didctica

Anual. Esta rea indica que no reciben el apoyo presupuestal para el cumplimiento
de sus objetivos, y que no se comprende el enfoque que tienen sobre el rol de las
tecnologas de informacin en la entidad. Indican que todas las entidades
financieras ms importantes han logrado ventajas competitivas gracias a la
implementacin de tecnologas de informacin modernas, pero la Caja Popular
cree que para los clientes solamente es importante que se les de mayores tasas
de inters en ahorros, y menores tasas de inters en crditos.
Las Gerencias Mancomunadas indican que los objetivos y actividades planteadas
por el rea de TI no estn alineadas a los objetivos institucionales de la entidad, en
especial al sector de mercado al cual est orientada y la diferenciacin que
persigue en relacin a sus competidores. Existen objetivos difusos y otros
ambiguos que no son sustentados con los indicadores precisos y lo recursos
adecuados.
Se han realizado observaciones al perfil profesional del personal que labora en el
rea de TI, debido a que muchos de ellos no cuentan con el ttulo profesional de
ingenieros de sistemas o afines, y que muchos analistas programadores y el
administrador de la red son tcnicos en computacin e informtica, asimismo no
muestran capacitaciones especializadas y actualizadas. El jefe del rea argumenta
que el ttulo profesional y certificados de capacitacin no son garanta de la calidad
profesional del personal, y que los tcnicos del rea han demostrado conocer
mucho ms de tecnologas de informacin que muchos ingenieros, indicando
tambin que el hecho de ser autodidactas les permite a ellos aprender mucho ms
que en cualquier curso de capacitacin. No estn dispuestos a gastar en
capacitaciones, si el personal de TI conoce mucho ms que los capacitadotes de la
zona.
En la actualidad, el rea de TI ha propuesto a la Gerencia la adquisicin de un
Sistema Integrado Financiero, elaborado por una Caja Municipal. El informe cuenta
con la siguiente estructura:
a) Aspectos relevantes de la adquisicin.
b) Caractersticas tcnicas.
c) Beneficios potenciales.
d) Etapas de implementacin.
a) Aspectos relevantes de la adquisicin.
-

El sistema de informacin ha sido adquirido de acuerdo al contrato de

Adquisicin, Instalacin y Puesta en Funcionamiento de Licencia de Uso de
84