Revisión de auditoría de software

Una revisión de auditoría de software , o auditoría de software , es un tipo de revisión de software en la que uno o más auditores que no son miembros de la organización de desarrollo de software llevan a cabo "un examen independiente de un producto de software, un proceso de software o un conjunto de procesos de software para evaluar el cumplimiento de las especificaciones, estándares, acuerdos contractuales u otros criterios". ^{[ 1 ]}

El término "producto de software" se refiere principalmente, aunque no exclusivamente, a algún tipo de documento técnico. La norma IEEE Std. 1028 ^{[ 2 ]} ofrece una lista de 32 "ejemplos de productos de software sujetos a auditoría", que incluyen productos documentales como diversos tipos de planes, contratos, especificaciones, diseños, procedimientos, normas e informes, pero también productos no documentales como datos, datos de prueba y medios entregables.

Las auditorías de software se distinguen de las revisiones por pares y las revisiones de gestión de software en que las lleva a cabo personal externo e independiente de la organización de desarrollo de software, y se centran en el cumplimiento de los productos o procesos, en lugar de en su contenido técnico, calidad técnica o implicaciones para la gestión.

Aquí se adopta el término "revisión de auditoría de software" para designar la forma de auditoría de software descrita en la norma IEEE Std. 1028.

"El propósito de una auditoría de software es proporcionar una evaluación independiente de la conformidad de los productos y procesos de software con las regulaciones, normas, directrices, planes y procedimientos aplicables". ^{[ 3 ]} Se recomiendan los siguientes roles:

• El iniciador (que puede ser un gerente de la organización auditada, un representante de un cliente o usuario de la organización auditada, o un tercero) decide sobre la necesidad de una auditoría, establece su propósito y alcance, especifica los criterios de evaluación, identifica al personal de auditoría, decide qué acciones de seguimiento serán necesarias y distribuye el informe de auditoría.
• El auditor principal (que debe ser una persona "libre de prejuicios e influencias que puedan reducir su capacidad para realizar evaluaciones independientes y objetivas") es responsable de tareas administrativas como la preparación del plan de auditoría, la formación y gestión del equipo de auditoría, y de garantizar que la auditoría cumpla sus objetivos.
• El registrador documenta las anomalías, las acciones a seguir, las decisiones y las recomendaciones formuladas por el equipo de auditoría.
• Los auditores (quienes, al igual que el auditor principal, deben estar libres de prejuicios) examinan los productos definidos en el plan de auditoría, documentan sus observaciones y recomiendan acciones correctivas. (Puede haber un solo auditor).
• La organización auditada actúa como enlace con los auditores y les proporciona toda la información que estos soliciten. Una vez finalizada la auditoría, la organización auditada debe implementar las acciones correctivas y las recomendaciones.

Parte de la auditoría de software se puede realizar mediante herramientas de análisis estático que analizan el código de la aplicación y evalúan su conformidad con estándares, directrices y mejores prácticas. Algunas herramientas de análisis estático de código abarcan un amplio espectro, desde la revisión del código hasta la arquitectura, y pueden utilizarse para realizar pruebas comparativas.