Technology Risk

Los servicios de elaboración de informes SOC permiten a las entidades ofrecer comunicaciones de confianza centradas en los controles internos a los clientes (y sus auditores externos), los inversores, la dirección, los reguladores y otros stakeholders. Estos servicios responden eficazmente a las necesidades de los clientes de las organizaciones de servicios en materia de información fiable basada en el riesgo.

• SOC 1 ayuda a las entidades (organizaciones de servicios) que operan sistemas de información y prestan servicios de procesos empresariales de apoyo a la elaboración de informes financieros, a generar confianza en sus procesos de entrega y controles mediante un informe que pueden entregar a sus clientes y a los auditores externos de éstos.
• Los SOC 2/3 ayudan a las entidades a satisfacer las necesidades de una amplia gama de usuarios que requieren información y garantías sobre los controles de la entidad que afectan a la seguridad, la privacidad, la confidencialidad, la disponibilidad y la integridad del procesamiento de los sistemas de la entidad.
• El SOC para ciberseguridad ayuda a las entidades a satisfacer las necesidades de una amplia gama de usuarios que requieren información y garantías sobre el programa de gestión de riesgos de ciberseguridad de toda la empresa de una entidad.
• El SOC para la cadena de suministros ayuda a las entidades a satisfacer las necesidades de los stakeholders que requieren información y garantías sobre el sistema y los controles de una entidad para producir, fabricar o distribuir mercancías con el fin de comprender mejor los riesgos de sus cadenas de suministros.

Los equipos de EY también prestan servicios de preevaluación para un borrador de asunto como la descripción de un sistema antes de la realización de un encargo de garantía limitada o razonable (por ejemplo, un informe SOC).

Los servicios de procedimientos acordados (AUP) ayudan a las entidades a comunicar los resultados independientes de las pruebas de controles u otros procedimientos acordados entre la entidad y los terceros receptores del informe. Los encargos de AUP permiten a las entidades comunicar a terceros receptores del informe de AUP las conclusiones objetivas independientes sobre las pruebas de control u otros procedimientos. Los equipos de EY presentan e informan sobre un conjunto de procedimientos con los que están de acuerdo las entidades y los terceros usuarios especificados del informe, así como sobre las conclusiones relacionadas que resultan de los procedimientos.

La norma ISAE 3000 informa sobre los procedimientos relacionados con la auditoría que el auditor, la entidad y los terceros apropiados han acordado (en relación con la información no financiera):

• Pruebas de control ISAE 3000: capacidad para realizar los procedimientos y las pruebas de control, que dan lugar a un informe de garantía (de conformidad con la norma ISAE 3000).
• Apoyo y formación para la aplicación de la norma ISAE 3000: capacidad para impartir formación sobre la ejecución de procedimientos, que dé lugar a un informe de garantía (de conformidad con la norma ISAE 3000).

Una evaluación de sistemas y procesos incluye una evaluación del control interno como parte de una actualización o una implementación de un ERP (por ejemplo, SAP S/4HANA), una aplicación o un proceso. Estos servicios proporcionan una evaluación independiente del estado actual del control interno de una entidad o de un estado futuro documentado para proporcionar recomendaciones de prácticas líderes para su consideración por parte de la dirección. Una actualización del sistema o de los procesos o una evaluación de la implantación ayudan a la entidad a:

• Obtener la confianza de que las consideraciones de control interno se abordan adecuadamente.
• Comprender los procesos de negocio complejos.
• Identificar nuevos riesgos y brechas de control introducidas por cambios en los procesos o la tecnología y recomendaciones para remediarlos basadas en prácticas líderes.
• Permitir que la entidad aproveche las nuevas capacidades que permiten un mejor aprovechamiento de la inversión en nuevos procesos o tecnologías, incluidas las oportunidades de automatización y mejora de procesos, y GRC. integración, elaboración de informes y supervisión continua del control.

Una evaluación previa de un proyecto de asunto, como la descripción de un sistema, antes de la realización de un encargo de garantía limitada o razonable (por ejemplo, un informe SOC), ayuda a la entidad a:

• Comprender cómo aplicar los criterios de evaluación al tema en cuestión 
• Comprender los requisitos de divulgación de la información temática (por ejemplo, la descripción de la dirección para un informe SOC)
• Comprender los procedimientos realizados para evaluar la información sobre la materia y/o los controles

Los servicios de Cumplimiento IT y Aseguramiento normativo ayudan a las entidades a comprender, prepararse e informar para hacer frente a leyes, reglamentos y normas profesionales en rápida evolución. Estos servicios ayudan a una entidad a abordar de forma más sostenible y eficaz los requisitos de cumplimiento de la normativa y de la tecnología específica del sector (por ejemplo, Gobierno, Sanidad, Servicios Financieros). Los ejemplos incluyen ayudar a las entidades a cumplir los requisitos relacionados con:

• Normativa sobre IA (por ejemplo, la Ley de IA)
• Ciberseguridad (por ejemplo, Ley de Ciberresiliencia, Certificación del Modelo de Madurez de la Ciberseguridad, Directiva sobre Seguridad de las Redes y de la Información (NIS2))
• Seguridad de los datos (por ejemplo, Ley de datos)
• Resiliencia digital (por ejemplo, Ley de Servicios Digitales, Ley de Mercados Digitales, Ley de Resiliencia Operativa Digital)
• Requisitos específicos del sector (por ejemplo, HITRUST, SWIFT, TISAX)
• Datos y controles informáticos en los informes ESG