ACUERDO Nº 3.319

(Derogado por Acuerdo Nº 5701 art. 2º)
(Ver Acuerdo Nº 5584 que introduce modificaciones)

Modificación del	Tipo de Norma	Número	Artículo	Acción	Fecha de Vigencia	
Artículo	Inciso						
Toda la norma		Acuerdo	5701	2º	Deroga la norma	Desde la publicación.	

B.O. 29/10/2002
MENDOZA, 17 de abril de 2002.

VISTO:

El Acuerdo Nº 2427, que establece los requisitos a cumplimentar por los organismos que efectúan registraciones contables a través del procesamiento electrónico de datos, y

La necesidad de establecer las exigencias de seguridad informática a las que deben someterse los organismos que llevan sus registraciones contables por medios de esa naturaleza; y

CONSIDERANDO:

Que a fin de posibilitar un eficaz control de los sistemas de contabilidad computadorizados, resulta conveniente analizar los distintos sistemas que interactúan con el mismo.

Que ello permitirá evaluar el funcionamiento de los sistemas relacionados con la información contable y la consistencia de los datos que surgen de los mismos.

Que es atribución de este Tribunal dictar las reglamentaciones inherentes a las formalidades que deben revestir las rendiciones de cuentas (art. 18 Ley 1003), como así impartir instrucciones tendientes a procurar, en un régimen de auditoría, la implantación de sistemas contables uniformes (art. 24 Ley 3308), lo que importa el deber funcional de establecer las pautas de seguridad informática que garanticen la autenticidad, suficiencia y legitimidad de las registraciones que se le presentan en tales soportes.

Que el Poder Ejecutivo, mediante Decreto - Acuerdo Nº 1806/99 que ratifica la Resolución Nº 54, emitida por la Subsecretaría de Control de la Gestión Pública, adoptó los “Objetivos de Control para la Información y Tecnologías relacionadas” (COBIT) , de los Estándares Tecnológicos de la Administración Pública Nacional (E. T. A. P.), desarrollados por la Subsecretaría de Tecnologías para el Sector  Público y de las Normas de Seguridad de Sistemas de Información, elaboradas por la Dirección de Informática y Comunicaciones.

Que por Acuerdo Nº 2363/96, el Tribunal de  Cuentas adoptó para los fines de control el primer módulo de las Normas de Seguridad, elaboradas por la Dirección de Informática y Comunicaciones, las cuales fueron aprobadas previamente por el Comité de Información Pública (COM.I.P).

Que, debido a la dependencia de los organismos a los sistemas de registro e información asistidos por tecnología informática, se hace necesario definir exigencias que garanticen la disponibilidad de la información, asegurando su confiabilidad y la integridad de los datos, como recaudo imprescindible para permitir la utilización de esas herramientas para sustento de la contabilidad.

Que la dinámica en el cambio de las tecnologías informáticas y de comunicaciones implementadas en los sistemas, genera un amplio espectro de riesgos que atentan contra la veracidad de la información.

Que es necesario fijar pautas de seguridad en los sistemas de información asistidos por tecnologías informáticas, que condicionen la operación de dichos sistemas contables por acogimiento de los entes controlados a lo previsto en el presente Acuerdo.  

Que, por lo expuesto, se hace necesario integrar en un solo cuerpo reglamentario, las exigencias a las que refieren las anteriores consideraciones. 

Por ello, en uso de sus facultades constitucionales y legales,

EL TRIBUNAL DE CUENTAS DE LA PROVINCIA
RESUELVE:

Artículo 1º - Modificar los artículos  2º y 8º del Acuerdo Nº 2989, los que quedan redactados de la siguiente manera:

"Artículo 2º - A esos efectos, los organismos que incorporen sistemas contables computarizados deberán presentar nota solicitando el acogimiento a la modalidad de trabajo establecida por el presente Acuerdo, suscripta por la máxima autoridad, a la que deberá adjuntarse una descripción completa, intervenida en todas sus hojas, del sistema integral de información utilizado como así también del plan de cuentas. 
La descripción del sistema contendrá:
- Detalle de todo el proceso, indicando los pasos sucesivos para la registración en las diversas fases del sistema, desde la captación de la información primaria -comprobantes- hasta el producto final -balance-.
- Detalle del proceso de todo sistema que produzca salidas que alimenten al sistema contable. 
Estos detalles incluirán como mínimo:

A.  Documentación de los sistemas

	- Diagrama de flujo de los sistemas que permita identificar: 
	- subsistemas e interrelaciones
	- flujo de datos entre los mismos
	- entidades externas
	- almacenamiento de datos
	- límites de automatización

Asimismo, se deberá indicar la simbología utilizada en la confección de dichos diagramas.

- Descripción de todos los procesos lógicos desde la recepción de los datos hasta la generación de las salidas, identificando entidades: generadores de información, procesadoras y receptoras de las salidas.

- Entradas de los sistemas, detallando la modalidad de ingreso de los datos: medio soporte (magnético o documento fuente), terminales y lectores ópticos; e indicando la periodicidad de su incorporación.

- Salidas del sistema, detallando la modalidad de presentación de la misma: medio soporte (magnético u otro tipo), terminales y reportes; e indicando la periodicidad de su emisión.

- Tratamiento de las excepciones y errores.

- Validaciones y controles implementados en las entradas, procesos y salidas.

- Modelo de Entidades y Relaciones que permitan identificar claves principales y secundarias de cada tabla o archivo.

- Diccionario de Datos, el cual contendrá como mínimo el detalle de los archivos y/o base de datos utilizados, indicando: nombre del campo, descripción, tipo y reglas de validación.

- Tipo de procesamiento: deberá indicarse la técnica de procesamiento por la que el usuario accede al uso del computador (centralizado, descentralizado, distribuido); en este último caso, indicar si está conformado por redes locales o remotas.

Si se utiliza recursos de procesamiento prestados por terceros fuera del ámbito de la organización, se describirá las características del mismo.

- Sistema Operativo y Software de Desarrollo, detallando nombre, fabricante o proveedor y número de versión.

B.  Documentación sobre seguridad

	- Descripción del proceso de identificación y autentificación del usuario
	-  Metodología para la construcción del nombre del usuario.
	-  Indicación de si el sistema de claves es jerárquico o lineal y las características de su estructuración.
	-  Proceso de autenticación del usuario; se indicará las características de las claves:
	- tipo de encriptación
	- composición
	- longitud
	- períodos de expiración y rotación de claves
	- capacidad de edición (visibles por pantalla, etc.)
	-  Protección de recursos: se detallará si es a nivel de: transacciones, datos (archivos completos o campos) y/o programas.
	-  Niveles de accesos definidos: acciones u operaciones que pueden realizarse sobre los recursos protegidos: lectura, modificación, consulta, etc.

	- Lineamientos generales sobre seguridad

	Se detallará:
	-  Políticas de Back up
	-  Plan de Contingencias

	Los ítems anteriormente citados en el presente artículo, deben estar conforme a las Normas de Seguridad detalladas en el artículo 4º de este Acuerdo.

	- Descripción del proceso de Auditoria Interna

	-  Diagrama de flujo que permita identificar los distintos subsistemas que lo integran, detallando las entradas, procesos y salidas que produce; su interrelación con los otros sistemas.

	-  Estructura de los archivos auditores implementados indicando:
nombre del campo, descripción, tipo y reglas de validación.

	-  Detallar las áreas responsables de su revisión y periodicidad.

C.  Modificaciones y nuevos desarrollos

	En el caso de que se produzcan modificaciones o desarrollo de nuevos sistemas, el ente cuentadante deberá informarlos dentro de los 30 días, acompañado la descripción de la modificación de acuerdo a lo establecido en el presente articulo, incisos A y B.”

“Artículo 8º - Derogar los Acuerdos Nros. 2427 y 2363.”

Articulo 2º-  Incorporar al Acuerdo Nº 2989, como nuevos artículos, los siguientes:

“Artículo 3º -	Fijar, como condición para el mantenimiento u otorgamiento del sistema de registración previsto en los artículos precedentes, el cumplimiento de los “Objetivos de Control para la Información y Tecnologías relacionadas” (COBIT), de los Estándares Tecnológicos de la Administración Pública Nacional (E. T. A. P.) y de las Normas de Seguridad de Sistemas de Información, elaboradas por la Dirección de Informática y Comunicaciones, para todos los entes sujetos al control del Tribunal de Cuentas de la Provincia.

Artículo 4º -	Disponer que la Dirección de Auditoría y Normas califique los niveles de seguridad informática de los organismos cuentadantes e informe a este Tribunal acerca del grado de confiabilidad que determine respecto de los dispuesto en el artículo precedente.”  

Artículo 3º - Las disposiciones del presente Acuerdo y del texto ordenado del Acuerdo 2989 tendrán vigencia a partir de su publicación.

Artículo 4º - Aprobar el texto ordenado del Acuerdo Nº 2989, tanto en sus aspectos dispositivos como en su fundamentación, que –como Anexo- forma parte del presente Acuerdo.

Artículo 5º - Notificar el texto ordenado del Acuerdo Nº 2989, aprobado por el artículo anterior, a todos los cuentadantes y sectores del Tribunal de Cuentas, publicar en el Boletín Oficial, dar al Registro de Acuerdos y archivar. 

Firmado:
	Dr. Farruggia
	Dr. Ros
	Dr. Angelini
	Dr. Barbazza
	Dr. Zeballos

ANEXO

ACUERDO Nº 2.989
(Texto Ordenado por Acuerdo Nº 3319)

VISTO:   

El Acuerdo Nº 2427, que establece los requisitos a cumplimentar por los organismos que efectúan registraciones contables a través del procesamiento electrónico de datos, y

La necesidad de establecer las exigencias de seguridad informática a las que deben someterse los organismos que llevan sus registraciones contables por medios de esa naturaleza, y

CONSIDERANDO:

Que a fin de posibilitar un eficaz control de los sistemas de contabilidad computadorizados, resulta conveniente analizar los distintos sistemas que interactúan con el mismo.

Que ello permitirá evaluar el funcionamiento de los sistemas relacionados con la información contable y la consistencia de los datos que surgen de los mismos.

Que es atribución de este Tribunal dictar las reglamentaciones inherentes a las formalidades que deben revestir las rendiciones de cuentas (art. 18 Ley 1003), como así impartir instrucciones tendientes a procurar, en un régimen de auditoría, la implantación de sistemas contables uniformes (art. 24 Ley 3308), lo que importa el deber funcional de establecer las pautas de seguridad informática que garanticen la autenticidad, suficiencia y legitimidad de las registraciones que se le presentan en tales soportes.

Que el Poder Ejecutivo, mediante Decreto - Acuerdo Nº 1806/99 que ratifica la Resolución Nº 54, emitida por la Subsecretaría de Control de la Gestión Pública, adoptó los “Objetivos de Control para la Información y Tecnologías relacionadas” (COBIT) , de los Estándares Tecnológicos de la Administración Pública Nacional (E. T. A. P.), desarrollados por la Subsecretaría de Tecnologías para el Sector  Público y de las Normas de Seguridad de Sistemas de Información, elaboradas por la Dirección de Informática y Comunicaciones.

Que por Acuerdo Nº 2363/96 el Tribunal de  Cuentas adoptó para los fines de control el primer módulo de las Normas de Seguridad, elaboradas por la Dirección de Informática y Comunicaciones, las cuales fueron aprobadas previamente por el Comité de Información Pública (COM.I.P).

Que, debido a la dependencia de los organismos a los sistemas de registro e información asistidos por tecnología informática, se hace necesario definir exigencias que garanticen la disponibilidad de la información, asegurando su confiabilidad y la integridad de los datos, como recaudo imprescindible para permitir la utilización de esas herramientas para sustento de la contabilidad.

Que la dinámica en el cambio de las tecnologías informáticas y de comunicaciones implementadas en los sistemas, genera un amplio espectro de riesgos que atentan contra la veracidad de la información.

Que es necesario fijar pautas de seguridad en los sistemas de información asistidos por tecnologías informáticas, que condicionen la operación de dichos sistemas contables por acogimiento de los entes controlados a lo previsto en el presente Acuerdo.  

Que, por lo expuesto, se hace necesario integrar en un solo cuerpo reglamentario, las exigencias a las que refieren las anteriores consideraciones. 

Por ello, en uso de sus facultades constitucionales y legales,

EL TRIBUNAL DE CUENTAS DE LA PROVINCIA
RESUELVE:

Artículo 1º - Las reparticiones, sociedades y empresas del Estado Provincial, como así también las Municipalidades, cuyo control compete a este Tribunal, que efectúen total o parcialmente sus registraciones contables a través del procesamiento electrónico de datos, podrán prescindir de la rubricación previa de los libros contables, excepto el de Inventarios y Balances, en la medida que cumplan con lo dispuesto en este Acuerdo.

Artículo 2º - A esos efectos, los organismos que incorporen sistemas contables computarizados deberán presentar nota solicitando el acogimiento a la modalidad de trabajo establecida por el presente Acuerdo, suscripta por la máxima autoridad, a la que deberá adjuntarse una descripción completa, intervenida en todas sus hojas, del sistema integral de información utilizado como así también del plan de cuentas. La descripción del sistema contendrá:
	-Detalle de todo el proceso, indicando los pasos sucesivos para la registración en las diversas fases del sistema, desde la captación de la información primaria -comprobantes- hasta el producto final -balance-.
	-Detalle del proceso de todo sistema que produzca salidas que alimenten al sistema contable.
Estos detalles incluirán como mínimo:

A.  Documentación de los sistemas

	- Diagrama de flujo de los sistemas que permita identificar: 
	- subsistemas e interrelaciones
	- flujo de datos entre los mismos
	- entidades externas
	- almacenamiento de datos
	- límites de automatización

	Asimismo, se deberá indicar la simbología utilizada en la confección de dichos diagramas.

	- Descripción de todos los procesos lógicos desde la recepción de los datos hasta la generación de las salidas, identificando entidades: generadores de información, procesadoras y receptoras de las salidas.

	- Entradas de los sistemas, detallando la modalidad de ingreso de los datos: medio soporte (magnético o documento fuente), terminales, lectores ópticos; e indicando la periodicidad de su incorporación.

	- Salidas del sistema, detallando la modalidad de presentación de la misma: medio soporte (magnético u otro tipo), terminales, reportes; e indicando la periodicidad de su emisión.

	- Tratamiento de las excepciones y errores.

	- Validaciones y controles implementados en las entradas, procesos y salidas.

	- Modelo de Entidades y Relaciones que permitan identificar claves principales y secundarias de cada tabla o archivo.

	- Diccionario de Datos, el cual contendrá como mínimo el detalle de los archivos y/o base de datos utilizados, indicando: nombre del campo, descripción, tipo y reglas de validación.

	- Tipo de procesamiento: deberá indicarse la técnica de procesamiento por la que el usuario accede al uso del computador (centralizado, descentralizado, distribuido); en este último caso, indicar si está conformado por redes locales o remotas.

	Si se utiliza recursos de procesamiento prestados por terceros fuera del ámbito de la organización, se describirá las características del mismo.

	- Sistema Operativo y Software de Desarrollo, detallando nombre, fabricante o proveedor y número de versión.

B.  Documentación sobre seguridad

	- Descripción del proceso de identificación y autentificación del usuario
	-  Metodología para la construcción del nombre del usuario.
	-  Indicación de si el sistema de claves es jerárquico o lineal y las características de su estructuración.
	-  Proceso de autenticación del usuario; se indicará las características de las claves:
	- tipo de encriptación
	- composición
	- longitud
	- períodos de expiración y rotación de claves
	- capacidad de edición (visibles por pantalla, etc.)
	-  Protección de recursos: se detallará si es a nivel de transacciones, datos (archivos completos o campos) y/o programas.
	-  Niveles de accesos definidos: acciones u operaciones que pueden realizarse sobre los recursos protegidos: lectura, modificación, consulta, etc.

	- Lineamientos generales sobre seguridad

	Se detallará:
	-  Políticas de Back up
	-  Plan de Contingencias

	Los ítems anteriormente citados en el presente artículo, deben estar conforme a las Normas de Seguridad detalladas en el artículo 3º de este Acuerdo.

	- Descripción del proceso de Auditoria Interna

	-  Diagrama de flujo que permita identificar los distintos subsistemas que lo integran, detallando las entradas, procesos y salidas que produce; su interrelación con los otros sistemas.

	-  Estructura de los archivos auditores implementados, indicando: nombre del campo, descripción, tipo y reglas de validación.

	-  Detallar las áreas responsables de su revisión y periodicidad.

C.  Modificaciones y nuevos desarrollos

	En el caso de que se produzcan modificaciones o desarrollo de nuevos sistemas, el ente cuentadante deberá informarlos dentro de los 30 días, acompañado la descripción de la modificación de acuerdo a lo establecido en el presente artículo, incisos A y B.

Artículo 3º -	Fijar, como condición para el mantenimiento u otorgamiento del sistema de registración previsto en los artículos precedentes, el cumplimiento de los “Objetivos de Control para la Información y Tecnologías relacionadas” (COBIT), de los Estándares Tecnológicos de la Administración Pública Nacional (E. T. A. P.) y de las Normas de Seguridad de Sistemas de Información, elaboradas por la Dirección de Informática y Comunicaciones, para todos los entes sujetos al control del Tribunal de Cuentas de la Provincia. 

Artículo 4º -	Disponer que la Dirección de Auditoría y Normas califique los niveles de seguridad informática de los organismos cuentadantes e informe a este Tribunal acerca del grado de confiabilidad que determine respecto de los dispuesto en el artículo precedente.  

Artículo 5º - El libro Diario podrá ser llevado con asientos globales que no comprendan períodos mayores a un mes.
	Cuando las registraciones se realicen utilizando medios computadorizados, las salidas de los registros deberán efectuarse en hojas con numeración correlativa, preimpresa y progresiva y, además, con la numeración consecutiva y progresiva asignada por el sistema utilizado.
	Las hojas deberán ser emblocadas en forma correlativa, en lotes de hasta 100 (cien) hojas con una periodicidad no mayor a un semestre.
	Los listados que emita el sistema no podrán ser alterados, tachados, ni mutilados.
	Las hojas correspondientes a las registraciones de cada mes procesado deberán ser rubricadas en la última página por la Autoridad Superior del organismo y por el Jefe del Área Contable, dejando expresa constancia de la cantidad de folios procesados en el período mensual correspondiente.  El Contador Revisor del Tribunal que proceda al control de las registraciones, deberá intervenir con su firma, por lo menos, la última página del emblocado.

Artículo 6º - El sistema de contabilización debe permitir la individualización de las operaciones, las correspondientes cuentas deudoras y acreedoras y su posterior verificación a través de los comprobantes que dieron origen a la registración.
Todos los errores y omisiones que se cometan, se salvarán por medio de una registración, que se efectuará en la fecha en que se advierta la omisión o el error.

Artículo 7º - A solicitud debidamente fundamentada de los responsables de los entes a que se refiere el artículo 1º, cuando se reúnan circunstancias de complejidad para el copiado del libro Inventario y Balances, el Tribunal podrá autorizar -previa solicitud- la utilización del mismo en la siguiente forma: a) incluir todos los rubros de activo y/o pasivo en forma global (nombre de la cuenta e importe); b) colocar en cada rubro una referencia concreta a las planillas o listados anexos donde esté su detalle (Nº de anexo y cantidad de hojas del mismo); c) las planillas o listados deberán estar emblocados y foliados, debiendo firmar todas sus hojas el Jefe del Área Contable o Servicio Administrativo y la primera y la última la Autoridad Superior del Organismo.

Artículo 8º - Derogar los Acuerdos Nros. 2427 y 2363.

Artículo 9º - Las disposiciones del presente Acuerdo tendrán vigencia a partir de su publicación en el Boletín Oficial.

Artículo 10 – Notificar a todos los cuentadantes y sectores del Tribunal, publicar en el Boletín Oficial, dar al Registro de Acuerdos y archivar.

Firmado:
	Dr. Farruggia
	Dr. Ros
	Dr. Angelini
	Dr. Barbazza
	Dr. Zeballos