Technology Risk

SOC-rapportering (erklæringer for serviceleverandører) gør det muligt for virksomheder at levere pålidelig kommunikation med fokus på interne kontroller til kunder (og deres eksterne revisorer), investorer, ledelse, tilsynsmyndigheder og andre interessenter. Disse tjenester imødekommer effektivt behovet fra serviceorganisationers kunder for pålidelig risikobaseret information.

• SOC 1/ISAE 3402 hjælper virksomheder (serviceorganisationer), der driver informationssystemer og leverer forretningsprocesser, der understøtter finansiel rapportering, med at give tillid til deres leveringsprocesser og kontroller via en rapport, som de kan videregive til deres kunder og deres kunders eksterne revisorer.
• SOC 2/3/ISAE 3000 hjælper virksomheder med at opfylde behovet hos en bred vifte af brugere, der har brug for information og vished om kontroller i virksomheden, der påvirker sikkerhed, databeskyttelse, fortrolighed, tilgængelighed og procesintegritet i virksomhedens systemer.
• Cybersecurity Risk Management Program reporting hjælper virksomheder med at opfylde behovet hos en bred vifte af brugere, der har brug for information og vished om hele virksomhedens risikostyringsprogram for cybersikkerhed.
• NIS2 erklæringer hjælper virksomheder med at opfylde behov hos kunder, der kræver information og vished om en virksomheds systemer og kontroller i forbindelse med efterlevelse af krav til forsyningskæden jf. NIS2.

EY's teams leverer også en prævurdering af erklæringsemnet (processer og kontroller), inkl. en systembeskrivelse, før en opgave med begrænset eller rimelig sikkerhed udføres (fx en SOC-rapport).

Aftalte arbejdshandlinger hjælper virksomheder med at kommunikere uafhængige resultater af kontroltest eller andre processer, der er aftalt mellem virksomheden og tredjeparts-modtagere af rapporten. Aftalte arbejdshandlinger gør det muligt for virksomheder at kommunikere uafhængige, faktuelle resultater af kontroltest eller andre processer til tredjeparts-modtagere af rapporten om aftalte arbejdshandlinger. Aftalte arbejdshandlinger gør det muligt for virksomheder at kommunikere uafhængige, faktuelle resultater af kontroltest eller andre processer til tredjeparts-modtagere af rapporten om aftalte arbejdshandlinger.

ISAE 3000 rapporterer om revisionsrelaterede processser, som revisor, virksomhed og eventuelle relevante tredjeparter har tilsluttet sig (relateret til ikke-finansielle oplysninger):

• ISAE 3000 – test af kontroller (Generelle IT-kontroller og forretningsprocesser) – evnen til at udføre processer og kontroller, der fører til en revisionserklæring (i overensstemmelse med ISAE 3000-standarden)
• ISAE 3000 GDPR rapportering – evnen til at udføre processer og kontroller relateret til GDPR der fører til en revisionserklæring, oftest baseret på FSR’s erklæringsmodel omkring GDPR (i overensstemmelse med ISAE 3000-standarden)
• ISAE 3000 NIS2 rapportering – evnen til at udføre processer og kontroller relateret til rapportering om efterlevelse af NIS2 krav omkring forsyningskæden der fører til en revisionserklæring, oftest baseret på FSR’s erklæringsmodel omkring NIS2 (i overensstemmelse med ISAE 3000-standarden)
• Støtte og træning til implementering af ISAE 3000 – Rådgivning og træning i udførelse af procedurer, der resulterer i en revisionserklæring (i overensstemmelse med ISAE 3000-standarden)

ISO-certificeringen af ledelsessystemer, implementerings- og -uddannelsestiltag tilbyder implementering og certificering af et ledelsessystem i henhold til ISO-standarder og andre etablerede rammeværker for certificering.

EY CertifyPoint B.V., en EY-virksomhed grundlagt i 2002, er et akkrediteret, uafhængigt og uvildigt certificeringsinstitut med hovedkontor i Holland. Via EY CertifyPoint udbyder teams fra EY kurser i 'Lead Implementer' og 'Lead Auditor', inklusive certificering af virksomhedens personale i henhold til adskillige ISO-standarder.

EY's teams supporterer virksomhederne med at nå deres mål via en øget effektivitet i deres ledelsessystemer. EY's teams holder fokus på forretningen og identificerer områder der kan undværes, flaskehalse samt potentielle gevinster på effektiviteten ved at anvende en systematisk og uafhængig certificeringstilgang i henhold til en globalt anerkendt standard.

EY Certify Point kan assistere med implementering og certificering indenfor:

• ISO 9001: Kvalitetsledelsessystem
• ISO 14001: Miljøledelsessystem
• ISO/IEC 20000-1: IT-serviceledelsessystem
• ISO 22301: Ledelsessystem for forretningskontinuitet
• ISO/IEC 27001: Ledelsessystem for informationssikkerhed
• ISO/IEC 27017: Sikkerhedskontroller i skyen
• ISO/IEC 27018: Beskyttelse af personligt identificerbare oplysninger i skyen
• ISO/IEC 27701: Ledelsessystem til håndtering af privatlivsoplysninger
• ISO 37001: Ledelsessystem til bekæmpelse af bestikkelse
• ISO/IEC 42001: Ledelsessystem for kunstig intelligens
• ISO 45001: Ledelsessystem for sundhed og sikkerhed på arbejdspladsen
• ISO 50001: Energihåndtering
• Vurderinger fra World Lottery Association (WLA)
• CSA STAR-certificering
• NEN 7510-1: Ledelsessystem for sikkerhed i relation til sundhedsoplysninger
• Hébergeur de Données de Santé (HDS)
• Multi-Tier Cloud Security (MTCS - Singapore)
• GDPR-vurdering
• CISPE Code of Conduct-akkrediteret overvågningsorgan
• Integreret tilgang med ISAE3402, SOC og andre evalueringsrapporter, fx en kombination af ISO/IEC 27001:2022og ISAE3402

En system- og procesvurdering inkluderer vurdering af intern kontrol i forbindelse med opgradering eller implementering af et ERP-system (fx SAP S/4HANA), en applikation eller en proces. Disse tjenester giver en uafhængig vurdering af en virksomheds nuværende situation eller en dokumenteret intern kontrolsituation i fremtiden for at kunne tilbyde ledelsen anbefalinger om den aktuelt førende praksis. En system- eller procesopgradering eller implementeringsvurdering hjælper virksomheden med at:

• Få tillid til, at interne kontroltiltag er adresseret i tilstrækkeligt omfang.
• Forstå komplekse forretningsprocesser.
• Identificere nye risici og manglende kontroller som følge af ændringer i processer eller teknologi, og anbefalinger til at afhjælpe disse baseret på førende praksis.
• Gøre det muligt for virksomheden at drage fordel af nye muligheder til bedre udnyttelse af investeringer i forbindelse med nye processer eller teknologi, herunder muligheder for automatisering og forbedring af processer og GRC - integration, rapportering og løbende overvågning af kontroller.

En forhåndsvurdering af erklæringsemnet (processer og kontroller), inkl. en systembeskrivelse forud for udførelse af en opgave, der har en begrænset eller rimelig sikkerhed (fx en SOC-rapport), hjælper virksomheden med at:

• Forstå, hvordan man anvender evalueringskriterierne inden for erklæringsemnet 
• Forstå kravene til fortrolighed, tilgængelighed og procesintegritet i forbindelse med den pågældende information (fx ledelsens beskrivelse til en SOC-rapport).
• Forstå de procedurer, der er udført med henblik på at vurdere de pågældende oplysninger og/eller kontroller

Tjenester, der sikrer overholdelse af IT-krav og lovgivning hjælper virksomheder med at forså, forberede sig på og rapportere på love, regler og professionelle standarder der er i hastig udvikling. Disse tjenester hjælper en virksomhed med at imødekomme regulerings- og sektorspecifikke krav relateret til it-sikkerhed, cybersikkerhed og persondatasikkerhed på en mere bæredygtig og effektiv måde. Eksempler inkluderer at hjælpe virksomheder med at overholde krav relateret til:

• AI-reguleringer (fx AI-forordningen)
• Cybersikkerhed (fx Cyber Resilience Act, Cybersecurity Maturity Model Certification, Network and Information Security (NIS2-direktivet))
• Datasikkerhed (fx Dataforordningen)
• Digital resiliens (fx Forordningen om digitale tjenester (DSA), Forordningen om digitale markeder (DMA), DORA forordningen)
• Sektorspecifikke krav (fx HITRUST, SWIFT, TISAX)
• Data- og IT-kontroller i forbindelse med ESG-rapportering