Riesgo de tecnología

Los servicios de elaboración de informes SOC permiten a las entidades ofrecer comunicaciones de confianza centradas en los controles internos a los clientes (y sus auditores externos), los inversores, la dirección, los reguladores y otros stakeholders. Estos servicios responden eficazmente a las necesidades de los clientes de las organizaciones de servicios en materia de información fiable basada en el riesgo.

• SOC 1 ayuda a las entidades (organizaciones de servicios) que operan sistemas de información y prestan servicios de procesos empresariales de apoyo a la elaboración de informes financieros, a generar confianza en sus procesos de entrega y controles mediante un informe que pueden entregar a sus clientes y a los auditores externos de éstos.
• Los SOC 2/3 ayudan a las entidades a satisfacer las necesidades de una amplia gama de usuarios que requieren información y garantías sobre los controles de la entidad que afectan a la seguridad, la privacidad, la confidencialidad, la disponibilidad y la integridad del procesamiento de los sistemas de la entidad.
• El SOC para ciberseguridad ayuda a las entidades a satisfacer las necesidades de una amplia gama de usuarios que requieren información y garantías sobre el programa de gestión de riesgos de ciberseguridad de toda la empresa de una entidad.
• El SOC para la cadena de suministros ayuda a las entidades a satisfacer las necesidades de los stakeholders que requieren información y garantías sobre el sistema y los controles de una entidad para producir, fabricar o distribuir mercancías con el fin de comprender mejor los riesgos de sus cadenas de suministros.

Los equipos de EY también prestan servicios de preevaluación para un borrador de asunto como la descripción de un sistema antes de la realización de un encargo de garantía limitada o razonable (por ejemplo, un informe SOC).

Los servicios de procedimientos acordados (AUP) ayudan a las entidades a comunicar los resultados independientes de las pruebas de controles u otros procedimientos acordados entre la entidad y los terceros receptores del informe. Los encargos de AUP permiten a las entidades comunicar a terceros receptores del informe de AUP las conclusiones objetivas independientes sobre las pruebas de control u otros procedimientos. Los equipos de EY presentan e informan sobre un conjunto de procedimientos con los que están de acuerdo las entidades y los terceros usuarios especificados del informe, así como sobre las conclusiones relacionadas que resultan de los procedimientos.

La norma ISAE 3000 informa sobre los procedimientos relacionados con la auditoría que el auditor, la entidad y los terceros apropiados han acordado (en relación con la información no financiera):

• Pruebas de control ISAE 3000: capacidad para realizar los procedimientos y las pruebas de control, que dan lugar a un informe de garantía (de conformidad con la norma ISAE 3000).
• Apoyo y formación para la aplicación de la norma ISAE 3000: capacidad para impartir formación sobre la ejecución de procedimientos, que dé lugar a un informe de garantía (de conformidad con la norma ISAE 3000).

Los servicios de certificación, implementación y formación en sistemas de gestión ISO proporcionan la implementación y certificación de un sistema de gestión conforme a las normas ISO y otros marcos de certificación establecidos.

EY CertifyPoint B.V., una entidad de EY fundada en 2002, es un instituto de certificación acreditado, independiente e imparcial con sede en los Países Bajos. EY CertifyPoint también ofrece cursos de Implementador Líder y Auditor Líder, incluida la certificación de personal para varias normas ISO.

EY CertifyPoint apoya a los clientes en el cumplimiento de sus objetivos mediante la mejora de la eficiencia y eficacia de sus sistemas de gestión. Mantenemos el negocio en el centro, identificando áreas de redundancia, cuellos de botella y posibles ganancias de eficiencia mediante un enfoque de certificación sistemático e independiente frente a un estándar reconocido a nivel mundial.

Se abordan las siguientes normas:

• ISO 9001 - Sistema de gestión de calidad
• ISO 14001 - Sistema de gestión ambiental
• ISO/IEC 20000-1 - Sistema de gestión de servicios de IT
• ISO 22301 - Sistema de gestión de la continuidad del negocio
• ISO/IEC 27001 - Sistema de gestión de seguridad de la información
• ISO/IEC 27017 - Controles de seguridad en la nube
• ISO/IEC 27018 - Protección de la información de identificación personal en la nube
• ISO/IEC 27701 - Sistema de gestión de información de privacidad
• ISO 37001 - Sistema de gestión antisoborno
• ISO/IEC 42001: Sistema de gestión de la inteligencia artificial
• ISO 45001 - Sistema de gestión de seguridad y salud en el trabajo
• ISO 50001 - Gestión de la energía
• Evaluaciones de la Asociación Mundial de Lotería (WLA, por sus siglas en inglés)
• Certificación CSA STAR
• NEN 7510 - Sistema de gestión de seguridad de la información sanitaria
• Hébergeur de Données de Santé (HDS)
• Seguridad en la nube multicapa (MTCS - Singapur)
• Evaluación del RGPD
• Código de Conducta CISPE, organismo de seguimiento acreditado
• Enfoque integrado con ISAE3402, SOC y otros informes de atestación, como una combinación de ISO/IEC 27001:2013 con ISAE3402

Una evaluación de sistemas y procesos incluye una evaluación del control interno como parte de una actualización o una implementación de un ERP (por ejemplo, SAP S/4HANA), una aplicación o un proceso. Estos servicios proporcionan una evaluación independiente del estado actual del control interno de una entidad o de un estado futuro documentado para proporcionar recomendaciones de prácticas líderes para su consideración por parte de la dirección. Una actualización del sistema o de los procesos o una evaluación de la implantación ayudan a la entidad a:

• Obtener la confianza de que las consideraciones de control interno se abordan adecuadamente.
• Comprender los procesos de negocio complejos.
• Identificar nuevos riesgos y brechas de control introducidas por cambios en los procesos o la tecnología y recomendaciones para remediarlos basadas en prácticas líderes.
• Permitir que la entidad aproveche las nuevas capacidades que permiten un mejor aprovechamiento de la inversión en nuevos procesos o tecnologías, incluidas las oportunidades de automatización y mejora de procesos, y GRC. integración, elaboración de informes y supervisión continua del control.

Una evaluación previa de un proyecto de asunto, como la descripción de un sistema, antes de la realización de un encargo de garantía limitada o razonable (por ejemplo, un informe SOC), ayuda a la entidad a:

• Comprender cómo aplicar los criterios de evaluación al tema en cuestión 
• Comprender los requisitos de divulgación de la información temática (por ejemplo, la descripción de la dirección para un informe SOC)
• Comprender los procedimientos realizados para evaluar la información sobre la materia y/o los controles

Los servicios de Cumplimiento IT y Aseguramiento normativo ayudan a las entidades a comprender, prepararse e informar para hacer frente a leyes, reglamentos y normas profesionales en rápida evolución. Estos servicios ayudan a una entidad a abordar de forma más sostenible y eficaz los requisitos de cumplimiento de la normativa y de la tecnología específica del sector (por ejemplo, Gobierno, Sanidad, Servicios Financieros). Los ejemplos incluyen ayudar a las entidades a cumplir los requisitos relacionados con:

• Normativa sobre IA (por ejemplo, la Ley de IA)
• Ciberseguridad (por ejemplo, Ley de Ciberresiliencia, Certificación del Modelo de Madurez de la Ciberseguridad, Directiva sobre Seguridad de las Redes y de la Información (NIS2))
• Seguridad de los datos (por ejemplo, Ley de datos)
• Resiliencia digital (por ejemplo, Ley de Servicios Digitales, Ley de Mercados Digitales, Ley de Resiliencia Operativa Digital)
• Requisitos específicos del sector (por ejemplo, HITRUST, SWIFT, TISAX)
• Datos y controles informáticos en los informes ESG