RESTRICTED  
  
WT/BFA/W/439  
5 de marzo  de 2018 
(18-1297) Página: 1/12 
Comité de Asuntos Presupuestarios,  
Financieros y Administrativos   
 
  OFICINA DE SUPERVISIÓN INTERNA  (OSI)  
SITUACIÓN DE LAS RECOMENDACIONES  
DE AUDITORÍA INTERNA  
(FEBRERO DE 2018)  
1.1.  Algunos Miembros pidieron  que a principios de 2018 se pusiera al día al Comité de Asuntos 
Presupuestarios, Financieros y Administrativos acerca de  la aplicación de las recomendaciones 
propuestas en el informe de auditoría sobre  las vacaciones en el país de origen .1 
1.2.  En este documento se presenta información , para conocimiento d el Comité de Asuntos 
Presupuestarios, Financieros y Administrativos , sobre  el estado actual de aplicación de las 
recomendaciones de auditoría interna . Cabe señalar que el informe anual de la Oficina de 
Supervisión Interna  (OSI) se presentará al Comité de Asuntos Presupuestarios, Financieros y 
Administrativos  en junio de 2018.2 
1.3.  Como solicitó el Instituto de Auditores Internos (IAI), la OSI ha establecido un registro de 
seguimiento con el fin de vigilar y asegurar que las acciones de la dirección hayan sido 
implantadas eficazmente o que la alta dirección haya aceptado el riesgo de no tomar medidas 
(Norma 2500.A1 del IAI - Seguimiento del progreso ). Este registro se actualiza periódicamente 
sobre la base de las aportaciones de las Divisiones interesadas . 
1.4.  Las recomendaciones propuestas por la OSI tienen por objeto reforzar los mecanis mos de 
rendición de cuentas, los controles internos, el cumplimiento de las normas, el uso eficiente de los 
recursos y el buen gobierno en la Secretaría de la OMC . La aplicación oportuna de estas 
recomendaciones facilita la introducción de cambios que perm itan mejorar la eficiencia y la eficacia 
en la Organización . 
1.5.  En el anexo 1 del presente documento (Situación de las recomendaciones de auditoría 
(febrero de 2018)) se detalla la situación actual de las recomendaciones de auditoría . 
1.6.  Sobre la base de la info rmación justificativa recibida de las Divisiones interesadas , se han 
cerrado con éxito 12 recomendaciones  desde junio de 2017. H asta febrero de 2018, la dirección ha 
aplicado el 75% de las recomendaciones de auditoría interna , como sigue : 
 se han aplicado 31 de las 33 (9 4%) recomendaciones  relacionadas con la gestión de las 
licencias de enfermedad ; 
 se han cerrado 8 de las 19 (42 %) recomendaciones  relativas a la seguridad de la 
tecnología de la información ; y 
 se han cerrado 8 de las 11 (72%) recomendaciones  relativas a las vacaciones en el país 
de origen . 
                                                
1 Informe OIO -IA-2017-01 - Home Leave Entitlements, 20 de junio de  2017. 
2 En el Memorándum Administrativo Nº 974 (OFFICE(15)/101 - Oficina de Supervisión Interna,  30 de 
noviembre de 2015) se indica que la Oficina de Supervisión Interna pr esentará anualmente al Comité de 
Asuntos Presupuestarios, Financieros y Administrativos un informe en el que ofrecerá un panorama general de 
las actividades realizadas durante el año.  WT/BFA/W/439  
- 2 - 
  1.7.  En el anexo 2 ( Recomendaciones de auditoría que todavía no se han cerrado ) se detallan las  
recomendaciones  de auditoría que siguen pendientes de cerrarse . 
1.8.  La OSI desea encomiar  la labor realizada por la Divis ión de Recursos Humanos (DRH) para 
aplicar  sin demora las recomendaciones contenidas en el informe de auditoría interna relativo a las 
vacaciones en el país de origen . Además , la DRH  ha elaborado una nueva política sobre las 
vacaciones en el país de origen  y las visitas a la familia , que recoge las recomendaciones 
propuestas por la OSI. La nueva política se encuentra en las últimas fases de su finalización . 
1.9.  La OSI seguirá vigilando de cerca la aplicación de las recomendaciones de auditoría interna . 
________ _______  
   
  WT/BFA/W/439  
- 3 - 
 
ANEXO 1: SITUACIÓN D E LAS RECOMENDACIONE S DE AUDITORÍA (FEBR ERO DE 2018)  
SITUACIÓN DE LAS RECOMENDACIONES DE AUDITORÍA  
Actividad de auditoría  Año de 
elaboración 
del informe  Número t otal de 
recomendac iones Número de 
recomendaciones  
prioritaria s Estado de la aplicación al  
1º de junio de 2017  Estado de la aplicación al  
1º de febrero de 2018  
    % Cerradas  En curso  Pendientes  Cerradas  En curso  Pendientes  
Gestión de las licencias de 
enfermedad  2014 33 26 79% 30 0 3 31 2 0 
Seguridad de la tecno logía de la 
información  2014 19 5 26% 5 10 4 8 9 2 
Vacaciones en el país de origen  2017 11 2 18% 0 0 11 8 1 2 
Total  - 63 33 52%  56%  16%  29%  75%  19%  6% 
 
   
  WT/BFA/W/439  
- 4 - 
 
ANEXO 2: RECOMENDACIONES DE AUDITORÍA QUE TODAVÍA NO SE HAN CERRADO  
A) GESTIÓN DE LAS LICEN CIAS DE ENFERMEDAD  
Recomendación de auditoría  Categoría de 
auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(11 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
26. El Servicio Médico y  la DRH  deberían conciliar los 
datos sobre licencias de enfermedad registrados en 
Oracle y CHIMED con el fin de asegurar que son 
exactos, coherentes y fiables para informar a las 
distintas partes interesadas, y que cualquier 
divergencia está justificada . Operativa  CHIMED está concebida para registrar las tareas 
realizadas por el personal del Servicio Médico 
(por ejemplo, cuántos certificados médicos se 
reciben) . Ofrece una idea amplia del número de 
días de licencia de enfermedad, pero no es eficaz 
para obtener estadís ticas sobre esas licencias 
(por ejemplo, no permite calcular horas o medias 
jornadas de ausencia) . En consecuencia, es 
necesario modificar/reemplazar el sistema.  
 
El Servicio Médico y la DRH han identificado y 
seleccionado un nuevo programa informático 
llamado  Préventiel . Se prevé  implantar Préventiel 
entre el primer y el segundo trimestre de 2018. 
Como parte del proyecto de aplicación , los datos 
registrados en Oracle se conciliarán con la 
información contenida en Préventiel.  En curso  La recomendación se ce rrará cuando 
se complete el proyecto de 
aplicación del nuevo programa 
informático Préventiel.  
28. La DSTI  debería ofrecer a la DRH una solución que 
le ayude a cumplir sus funciones como responsable de 
los datos, de la rendición de cuentas, y de la gestión  y 
comunicación de esos datos ; y proporcionar al 
personal de la DRH formación adecuada que asegure 
su independencia en el uso de la solución . Sistémica  La DS TI, la DRH  y la LDIMD están utilizando la 
nueva funcionalidad desarrollada en Oracle para 
que los a sistentes de sus Divisiones notifiquen las 
licencias de enfermedad (direct amente al 
sistema ). Esta funcionalidad se hará ex tensiva a 
las demás  Divisiones en 2018.  En curso  La recomendación se cerrará cuando 
la funcionalidad de Oracle se haga 
extensiva a  todas las Divisiones . 
   
  WT/BFA/W/439  
- 5 - 
 
B) SEGURIDAD DE LA TECN OLOGÍA DE LA INFORMA CIÓN  
Recomendación de auditoría  Categoría 
de auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(18 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
4: Gestión de la seguridad de la TI : GOV 04 - Proceso 
de gestión de riesgos . 
 
La función de seguridad de la información debería 
examinar periódicamente el registro de riesgos para 
que se identifiquen pronta y debidamente los riesgo s 
para la seguridad de la información . Sobre la base de 
ese examen, la función de seguridad de la TI debería:  
1. determinar en qué ámbitos se necesita una 
respuest a en materia de seguridad de la TI; 
2. asegurarse de que las respuestas apropiadas en 
materia  de seguridad de la TI sean incluidas en 
la sección de "medidas de mitigación 
propuestas" ; y 
3. asegurarse de que las respuestas en materia de 
seguridad de la TI se apli quen adecuadamente y 
sean operativas . Operativa  De acuerdo con la recomendación . 
 
Los riesgos para la seguridad de la información se 
incluyeron en el ejercicio anual de Gestión de riesgos 
institucionales , dirigido por el oficial de riesgos de 
la OMC (en 2017).  En curso  La situación de la recomendación 
se mantiene sin cambios  hasta que 
se finalice el registro de riesgos 
para la TI .  
5: Gestión de la seguridad de la TI : GOV 05 (a) - 
Inventario de los recursos informativos clave de 
la OMC. 
 
La LDIMD y la DSTI deberían coordinar la creación y el 
mantenimiento de un inventario de los recursos 
informativos clave de toda la Organización, como los 
datos, la información, los documentos y las 
publicaciones . Este inventario debería incluir : la 
definición de las funciones y responsabilidades de los 
propietarios de los recursos informativos, el  nivel de 
clasificación de los recursos informativos y los 
requisitos básicos en cuanto al control y la supervisión 
de los recursos informativos ; en este proceso debería 
tenerse en cuenta a cada División que elabora 
recursos informativos clave o tiene acceso a ellos . La 
función de seguridad de la TI debería realizar una 
evaluación del riesgo para la seguridad, sobre la base 
de la lista de recursos informativos clave, para 
determinar el nivel de protección necesario para cada 
recurso informativo clave . Operativa  La DST I está de acuerdo, en parte, con la 
recomendación:  La creación y el mantenimiento del 
inventario requieren funda mentalmente la 
colaboración de l os propietarios de los recursos 
informativos, es decir, de las Divisiones operativas 
básicas (a  diferencia de la s Divisiones de apoyo, como 
la DSTI y la LDIMD) . En consecuencia, esa tarea la 
debe encomendar y supervisar el órgano directivo para 
la seguridad de la información creado en virtud de las 
recomendaciones GOV 01.  
 
19 de junio de  2017: El proceso de inventar io de los 
recursos informativos clave se inició en 2016, pero 
todavía no se ha completado debido al prolongado y, 
en última instancia, infructuoso intento de contratar 
personal adicional de seguridad de la TI, como se 
recomienda en las conclusiones priorit arias. 
 
 En curso  19 de junio de 2017: 
Recomendación sin cambios, en 
espera de que se contrate a un 
Analista de Seguridad de la 
Tecnología de la Información.  
 
18 de enero de 2018: E l Analista 
de Seguridad de la Tecnología de 
la Información se encargará  de la 
aplicación de la recomendación.    
  WT/BFA/W/439  
- 6 - 
 
Recomendación de auditoría  Categoría 
de auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(18 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
  18 de enero de  2018: El proceso de contratación del 
Analista de Seguridad de la Tecnología de la 
Información ha concluido. El titular (ya miembro del 
personal de la OMC), que se incorporó a su puesto a 
tiempo completo el 1º de enero de  2018, contribuirá a 
hacer progresar el proceso de inventario y la aplicación 
de las recomendaciones de auditoría interna.    
6: Gestión de la seguridad de la TI : GOV 06  - 
Estructura de las políticas de seguridad de la 
información . 
 
Examin ar la estructura y el alcance de las políticas, 
normas, directrices y procedimientos de seguridad de 
la TI; definir y velar por el cumplimiento de diversas 
políticas de TI, como las políticas de seguridad, la 
política de evaluación del riesgo para la segur idad de 
la TI, la política de recuperación en caso de desastre, 
y una política de evaluación del riesgo para la 
seguridad de la información que esté conforme a la 
política de gestión de riesgos . Operativa  De acuerdo con la recomendación . 
 
19 de junio de 2017: E l ITSSC introdujo la política de 
gestión y control de los ac cesos en el cuarto trimestre 
de 2016. Está previsto que en 2017 se siga trabajando 
en ella, y  que est é terminada a finales de  2017. El 
proyecto definitivo para la política sobre clasificación  
de la información confidencial ha sido aprobado por el 
ITSSC y se ha presentado al Comité Consultivo Mixto 
para examen y recomendaciones . Este paso es 
necesario, ya que la aplicación de la política afecta ría 
al reglamento  y a las responsabilidad es del per sonal.  
 
18 de enero de 2018: L a política de seguridad de la 
información  se completó el 29 de septiembre de 2017. 
El ITSSC a probó la política de control de los  acceso s, 
que se presentará al Director General para su 
aprobación definitiva . En curso  31 de juli o de 2016: S e incluirá y 
preparará una política combinada 
de evaluación del riesgo para la 
seguridad de la TI  y la seguridad 
de la información . En una primera 
etapa se realizará un ensayo 
general del proceso de gestión de 
riesgos . 
 
18 de enero de 2018: L a política 
de seguridad de la información se 
comunicó  a todos los miembros 
del personal .  
8: Gestión de la seguridad de la TI : GOV 07 - 
Presentación de informes sobre la seguridad de la TI a 
la Dirección de la OMC (parte II) . 
 
Además, la función de segurida d de la TI debería : 
• definir y aplicar un conjunto de parámetros para 
aplicarlos a los procesos de seguridad de la 
información, sobre la base de los resultados de 
la evaluación del riesgo de los recursos 
informativos clave ; 
• elaborar un conjunto de medid as amplio y 
coherente (indicador clave de rendimiento/ 
indicador clave de riesgo) para la elaboración de 
informes, sobre la base de parámetros definidos . Operativa  De acuerdo con la recomendación . 
 
La Oficina de Seguridad de la Información ha sometido 
a la aprobación del ITSSC el Proyecto Centro de 
Operaciones de Seguridad , que proporcionará, entre 
otras cosas, la información objetiva necesaria para 
definir los indicadores clave de rendimiento . En curso  El Proyecto Centro de Operaciones 
de Seguridad se enca rgaría de 
identificar los indicadores clave de 
rendimiento.    
  WT/BFA/W/439  
- 7 - 
 
Recomendación de auditoría  Categoría 
de auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(18 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
9: Gestión de la seguridad de la TI : GOV 08 - 
Estrategia de seguridad de la TI de la OMC . 
 
La OMC debería definir formalmente la estrategia y los 
objetivos de su función de seguridad de la TI, 
teniendo en cuenta los resultados de la evaluación de 
los recursos informativos clave y de los riesgos para 
su seguridad ; 
 
la estrategia de seguridad de la TI debería examinarse 
para que esté en conformidad con los objetivos de las 
actividades de la Organiza ción. Operativa  De acuerdo con la recomendación . 
 
La estrategia y los objetivos de la función de seguridad 
de la TI fueron presenta dos al ITSSC, y aprobados por 
ese Comité . En curso  La situación de la recomendación 
no ha cambiado  (la OSI no ha 
recibido una  copia del documento 
presentado al  ITSSC ). 
10: Gestión de la seguridad de la TI : GOV 09 - 
Armo nización de los objetivos de la función de 
seguridad  de la TI con una estrategia de seguridad de 
la TI. 
 
La función de seguridad de la TI debería elaborar un 
conjunto claro de objetivos armonizados con la 
estrategia de seguridad de la TI prevista en la 
recomendación GOV 8 supra . Operativa  De acuerdo con la recomendación . 
 
Se han identificado l os objetivos de la función de 
seguridad de la TI , pero no se han documen tado 
formalmente . El nuevo Analista de Seguridad de la 
Tecnología de la Información se encargará de esta 
tarea. Pendiente  La situación de la recomendación 
no ha cambiado . 
12: Controles de seguridad de la TI : ITSC-01: - 
Configuración de la seguridad del si stema ERP . 
 
La función de seguridad debería : 
 definir un marco básico de seguridad amplio y 
completo para el sistema ERP, basándose en los 
aportes de la unidad de sistemas administrativos 
y las directrices de Oracle para la seguridad de 
los sistemas ; 
 llevar  a cabo un amplio examen de la seguridad 
informática de la configuración del sistema ERP, 
incluidas las capas de aplicación, base de datos, 
sistema operativo, red y almacenamiento . 
 
La unidad de sistemas administrativos debería : 
 modificar la configuración de seguridad por 
defecto de los perfiles de usuario de la base de 
datos Oracle o asignar perfiles de seguridad 
nuevos y más sólidos a todos los usuarios de la 
base de datos ; Operativa  De acuerdo con la recomendación . 
 
Todas las vulnerabilidades técnicas es pecíficas 
mencionadas en la recomendación ITSC -01 se 
resolvieron durante la migración del sistema ERP a la 
nueva versión (completada en febrero de 2015). 
 
Se adoptaron las mejores prácticas del proveedor 
("Secure Configuration Guide for Oracle E -Business 
Suite Release 12") como marco básico de seguridad.  No se 
aplica  19 de junio de 2017: L a OSI ha 
decidido incluir la audito ría de la 
seguridad del sistema ERP en su 
plan de auditoría interna para 
2017-2018. 
 
18 de enero de 2018: L a OSI 
decid ió incluir este as unto en su 
plan de auditoría interna  para 
2018-2019. Esta recomendación 
será objeto de otra auditoría 
interna.    
  WT/BFA/W/439  
- 8 - 
 
Recomendación de auditoría  Categoría 
de auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(18 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
 modificar la configuración por defecto de 
contraseñas de los usuarios de la base de 
datos Oracle y obligar a los 228 usuarios 
que aún no han cam biado su contraseña 
por defecto a cambiarla. Esta configuración 
debería cumplir la política de contraseñas 
de Windows establecida ; 
 examinar la lista de cuentas de usuarios de 
la base de datos E -business y Oracle y 
eliminar las cuentas que no estén en uso;  
 llevar a cabo un amplio examen de la 
seguridad informática del sistema ERP 
incluidos los necesarios controles de los 
procesos administrativos para proteger los 
datos financieros de la OMC.      
14: Controles de seguridad de la TI : ITSC-03 - 
Gestión de las cuentas de usuario  
 
Revisar los derechos de acceso de los usuarios y 
restringirlos al mínimo indispensable . Además, la 
unidad de seguridad de la TI debería examinar 
periódicamente las cuentas de usuario y los derechos 
de acceso a los sistemas y aplicacione s de 
procesamiento de la información para que sean 
adecuados y coincidan con la lista de funcionarios de 
la OMC. Este examen debe iniciarlo la función de 
seguridad de la TI y deben completarlo las  unidades 
responsables de esos sistemas.  
 
Por último, deberí a elaborarse un formulario para la 
creación, modificación y eliminación de cuentas de 
usuario dentro de los sistemas (por ejemplo, Windows 
Active Directory) . Este formulario debería ser 
examinado y aprobado formalmente por el propietario 
del proceso y la D ivisión de Recursos Humanos . Operativa  De acuerdo con la recomendación . 
 
El ITSSC aprobó la política de control de  los acceso s, 
que se presentará al Director General para su 
aprobación definitiva . En curso  La situación de la recomendación 
no ha cambiado . 
15: Controles de seguridad de la TI : ITSC-04 - Marco 
de control de la división de funciones  
 
La unidad de sistemas administrativos y la función de 
seguridad de la TI de la OMC deberían : 
 Operativa  De acuerdo con la recomendación . 
 
La división de funciones en el marco de la ERP es una 
cuestión que abordarán la DRH, la AGSD y la DSTI en 
función del resultado de la auditoría de la seguridad 
del sistema ERP (véase la recomendación ITSC -01 
supra).  Pendiente  Esta recomendación se aplicará 
una vez evaluada la segu ridad del 
sistema ERP . Próximo 
seguimiento : 31 de diciembre 
de 2018.   
  WT/BFA/W/439  
- 9 - 
 
Recomendación de auditoría  Categoría 
de auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(18 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
1. definir un marco para la división de funciones, 
teniendo en cuenta que los requisitos de 
seguridad deben ajustarse a los recursos 
disponibles (por ejemplo, a una persona de 
apoyo para  una función específica se le deben 
atribuir los derechos de acceso adecuados para 
realizar operaciones de apoyo);  
2. definir un procedimiento para gestionar las 
excepciones al marco de división de funciones. 
Este procedimiento debería incluir la 
documenta ción formal de los desvíos del marco 
de división de funciones y la aprobación formal 
del supervisor del usuario;  
3. examinar la configuración actual de las funciones 
y responsabilidades en el ámbito de la ERP (es 
decir, los perfiles ERP) sobre la base del marco 
de división de funciones para que no se otorguen 
derechos incompatibles a los empleados sin la 
aprobación previa del supervisor del usuario.      
16: Controles de seguridad de la TI : ITSC-05 - 
Supervisión de las acciones de los usuarios con 
derechos exclusivos . 
 
Crear cuentas nominativas para los administradores ; 
diseñar y aplicar un proceso para supervisar las 
acciones de los usuarios con derechos exclusivos en el 
sistema . Sistémica  De acuerdo con la recomendación . 
 
Los registros de actividad/alertas  de sistemas 
importantes basados en Linux se están incorporando 
progresivamente al sistema de gestión de registros 
centralizado.  En curso  La situación de la recomendación 
no ha cambiado . 
17: Controles de seguridad de la TI : ITSC-06 - 
Gestión y supervisión  de los registros del sistema ERP  
 
La función de seguridad de la TI debería aportar 
información sobre qué modificaciones deben 
registrarse, teniendo en cuenta los requisitos en 
materia de pruebas para la gestión de incidentes, los 
requisitos para la privac idad de los datos, el entorno 
jurídico y regulatorio y las medidas de protección para 
las pruebas reunidas (por ejemplo, almacenar los 
ficheros de registro de la aplicación ERP de forma 
remota en un servidor distinto al que solo pueda 
acceder la  función de  seguridad de la TI).  Sistémica  De acuerdo con la recomendación . En curso  La función de registro se habilitó 
en el sistema ERP.  
La reunión de registros de 
actividad del sistema ERP se 
estudiará en el marco de la 
actualización del sistema SIEM 
(gestión de l a información y de 
eventos de seguridad).  
Debido a dificultades técnicas, los 
registros de auditoría del sistema 
ERP no se pueden trasladar al 
servidor actual de gestión de 
registros . Harán falta más 
conectores .   
  WT/BFA/W/439  
- 10 - 
 
Recomendación de auditoría  Categoría 
de auditoría  Estado de la aplicación comunicado por la 
División encargada de la aplicación  
(18 de enero de 2018 ) Estado  Observaciones de la Oficina de 
Supervisión Interna   
En segundo lugar, la unidad de sistemas 
administrativos debería habilitar la función del registro 
de auditoría del sistema ERP para todos los módulos 
del sistema ERP que procesan información clave, 
como los recursos financieros, la información relativa 
a los pagos o la información sobre los proveed ores. 
Además, los ficheros de registro deberían guardarse 
en una base de datos distinta del sistema ERP, y el 
acceso a ellos debería estar restringido a la función de 
seguridad de la TI para preservar las pruebas en caso 
de investigación o análisis forense  (por ejemplo, en 
una investigación sobre una sospecha de actividad 
fraudulenta).     18 de enero de  2018: La situación 
de la recomendación no ha 
cambiado.  
18: Controles de seguridad de la TI : ITSC-07 - 
Gestión de parches de seguridad . 
 
La función de segur idad de la TI debería : 
 
1. formalizar procesos trimestrales de mejora y 
actualización ; realizar un examen de seguridad 
técnica completo de los servidores clave para 
asegurarse de que no se aprovechen las 
deficiencias que pueda haber en Windows ; 
2. Elaborar  y aplicar un proceso de gestión de 
parches y actualizaciones de emergencia (para 
las actualizaciones de seguridad importantes) 
para asegurarse de que el nivel de parches de 
los componentes de infraestructura se controla 
adecuadamente fuera del proceso ord inario de 
parches y actualizaciones . Sistémica  De acuerdo con la recomendación . En curso  Se documenta el procedimiento 
ordinario de introducción de 
parches de seguridad y se hace un 
seguimiento de él . Esto garantiza 
la mitigación ininterrumpida de las 
vulnerabilidades que se van 
descubriendo en materia de 
seguridad en todos los sistemas de 
tecnologías de la información y la s 
comunicaci ones (TIC) de la 
Secretaría.  
La introducción de parches de 
urgencia (fuera de ciclo ) se hace 
actualmente caso por caso y 
todavía tiene que documentarse . 
 
18 de enero de 2018: L a situación 
de la recomendación no ha 
cambiado.  
   
  WT/BFA/W/439  
- 11 - 
 
C) VACACIONES EN EL PAÍ S DE ORIGEN   
Recomendación de auditoría  Categoría de 
auditoría  Estado de la aplicación comunicado por la 
División encargada de la a plicación  
(11 de enero de 2018 ) Estado  Observaciones de la Oficina 
de Supervisión Interna  
1. Hay que buscar un equilibrio correcto entre la 
necesidad de alentar el uso de la opción de la suma 
global y la necesidad de utilizar los recursos de forma 
raciona l a fin de lograr economías, eficiencia y eficacia en 
el proceso . 
 
En consecuencia, la OSI invita al Director de la División 
de Recursos Humanos a que supervise atentamente los 
costos y los beneficios para la OMC de la opción de la 
suma global, teniendo en  cuenta el nivel de los incentivos 
en efectivo ofrecidos a los funcionarios mediante la 
opción de la suma global ; y a que adopte los ajustes 
necesarios cuando el resultado se considere excesivo . Operativa  - 
 Pendiente  Se hará un seguimiento en 
septiembre de 2018. 
10. El Director de la DRH debería preparar una política 
detallada para las vacaciones en el país de origen 
tomando en cuenta las recomendaciones anteriores . Esta 
política debería comunicarse  a todos los funcionarios de 
la OMC.  Operativa  La DRH ha elaborado la nueva política sobre las 
vacaciones en el país de origen y las visitas a la 
familia (proyecto) tomando en consideración las 
recomendaciones anteriores . Este proyecto de 
política ha sido presentado a la OSI para su 
examen . La política se publi cará una vez revisada 
por el  Comité Consultivo Mixto  y aprobada por el 
Director General.  En curso  La recomendación se considera 
en curso  hasta su aprobación 
definitiva por el Director  General 
y su comunicación a los 
miembros del personal . 
11. El sistema M obileXpense debería configurarse 
teniendo en cuenta las recomendaciones anteriores . En 
particular, el sistema debería incorporar los siguientes 
controles : 
• confirmación de la opción elegida por el funcionario 
para las vacaciones en el país de origen (suma  
global o reembolso de los gastos reales ); 
• confirmación de que el cónyuge no se beneficia de 
prestaciones por concepto de vacaciones en el país 
de origen en otra organización ; 
• país y ciudad de destino reales (si difieren del país 
y/o la ciudad reconoci dos a los efectos de las 
vacaciones en el país de origen ); 
• fechas/horarios exactos del viaje del funcionario, su 
cónyuge e hijos a cargo ; 
• número de días pasados en el país de origen 
(comprobación automática ); 
• edad de los hijos a cargo con derecho a v acaciones 
en el país de origen (comprobación automática ); Sistémica  La propuesta de que  esos controles se hagan 
específicamente en MobileXpense es demasiado 
preceptiva . La viabilidad de agregar nuevas 
funciones a MobileXpense debe examinarse con 
el Director de la DSTI . Este p uede proponer otras 
alternativas para adoptar medidas sobre la base  
de esta recomendación.  Pendiente  Se hará un seguimiento en julio 
de 2018.   
  WT/BFA/W/439  
- 12 - 
 
Recomendación de auditoría  Categoría de 
auditoría  Estado de la aplicación comunicado por la 
División encargada de la a plicación  
(11 de enero de 2018 ) Estado  Observaciones de la Oficina 
de Supervisión Interna  
• número mínimo de meses (12) transcurridos entre 
el fin de unas vacaciones en el país de origen y el 
inicio de las siguientes (comprobación automática ); 
• número mínimo de meses de servicio (18) en  la 
fecha de inicio de las vacaciones en el país de 
origen (comprobación automática ); 
• número mínimo de meses (6) del contrato de 
empleo en la fecha de regreso de las vacaciones en 
el país de origen (comprobación automática ). 
El sistema debería enviar un mensaje de advertencia a 
los funcionarios de los Servicios de RH para el Personal 
cuando no se cumpla al menos uno de los controles 
mencionados supra .     
 
__________