Riesgo en tecnología

Las organizaciones enfrentan desafíos cada vez mayores para gestionar los riesgos asociados a terceros, debido a la falta de visibilidad, procesos fragmentados y ausencia de monitoreo continuo a lo largo del ciclo de vida del proveedor. Esto limita la capacidad de evaluar adecuadamente riesgos críticos y asegurar relaciones confiables.

EY ofrece un enfoque integral de gestión de riesgos de terceros, basado en estándares internacionales como NIST e ISO, que permite implementar prácticas de gobierno efectivas, fortalecer la gestión proactiva del riesgo y lograr un adecuado balance entre riesgo y valor en las relaciones con proveedores. Los ejemplos incluyen ayudar a las entidades a cumplir los requisitos relacionados con:

• Normativa sobre IA (por ejemplo, la Ley de IA).
• Ciberseguridad (por ejemplo, Diagnóstico del Modelo de Madurez de Ciberseguridad, NIST CSF 2.0).
• Seguridad de los datos (por ejemplo, Ley de Protección de Datos Personales).
• Datos y controles informáticos en los informes ESG.

Los servicios de reportes de controles de sistemas y organizaciones (SOC, por sus siglas en inglés) ayudan a las organizaciones a comunicar confianza y credibilidad en su entorno de control interno y en los criterios de seguridad relacionados con los servicios que brindan a sus clientes.

Los servicios de reportes SOC y aseguramiento de EY responden eficazmente a las necesidades de las organizaciones de servicios, al proporcionar información confiable y basada en riesgos a sus clientes, reguladores e inversionistas, quienes forman parte de sus grupos de interés.

Asimismo, los reportes SOC y los servicios de aseguramiento contribuyen a generar confianza entre los grupos de interés en torno a los controles empresariales y de TI de una organización, como respuesta a las altas expectativas respecto de los controles internos sobre la información financiera, así como sobre la seguridad, disponibilidad, confidencialidad, integridad del procesamiento y privacidad de los sistemas.

Al someterse a este nivel de evaluación, las organizaciones de servicios demuestran su compromiso con el mantenimiento de controles integrales, el fortalecimiento de la transparencia, la resiliencia y, en última instancia, el incremento de la confianza de sus grupos de interés en sus operaciones.

Los servicios de evaluación de preparación para SOC de EY apoyan a las organizaciones en su preparación para futuros reportes. Esta evaluación generalmente incluye la revisión de controles existentes, un análisis de brechas, la evaluación de la documentación y recomendaciones accionables para cerrar dichas brechas y mejorar el nivel de preparación para una evaluación SOC.

Al llevar a cabo una evaluación de preparación SOC, las organizaciones pueden asegurarse de estar adecuadamente preparadas para el proceso de examen, lo que se traduce en una experiencia más favorable y una mayor probabilidad de obtener un reporte SOC satisfactorio.

Los principales servicios de reportes SOC y aseguramiento de EY incluyen:

• SOC 1: Reportes sobre los controles internos de las organizaciones de servicios en relación con la información financiera, con el fin de satisfacer las necesidades de los clientes y de los auditores de sus estados financieros.
• SOC 2: Reportes que proporcionan a los clientes actuales y potenciales de las organizaciones de servicios información sobre los controles internos implementados para apoyar el cumplimiento de compromisos de servicio específicos y de los requisitos del sistema relacionados con la seguridad, la disponibilidad, la confidencialidad, la integridad del procesamiento o la privacidad.
• SOC 3: Reporte complementario al SOC 2 que omite el detalle de los criterios, controles, pruebas y resultados de las pruebas, lo que permite una distribución más amplia.
• SOC para Ciberseguridad: Reporte que permite a las empresas demostrar y comunicar a sus grupos de interés, como directorios, reguladores e inversionistas, cómo están gestionando su programa de gestión de riesgos de ciberseguridad a nivel empresarial.
• SOC para Cadena de Suministro: Reporte que aborda los riesgos relacionados con la cadena de suministro, la producción y la disponibilidad para empresas que producen, fabrican y distribuyen bienes, con el objetivo de fortalecer la confianza en las relaciones dentro de la cadena de suministro.
• SOC 2 + Marcos de referencia: Revisión integral sobre los controles asociados a los criterios de servicio de confianza del SOC 2 (seguridad, privacidad, integridad, disponibilidad y confidencialidad), además de otros marcos de referencia reconocidos en el mercado, como ISO 27001 y NIST CSF, entre otros.
• Otros criterios de aseguramiento: Utilizando las normas de atestiguamiento del American Institute of Certified Public Accountants (AICPA) o el Marco Internacional Modificado para Encargos de Aseguramiento del International Auditing and Assurance Standards Board (IAASB), las organizaciones pueden emplear marcos de referencia disponibles o definir criterios personalizados que sean objetivos, medibles y relevantes, y que resulten especialmente útiles para sus clientes.

Estos servicios pueden utilizarse para respaldar requerimientos de cumplimiento regulatorio y otros criterios definidos, como:

• Ley de Protección de Datos Personales (D.S. N.º 016-2024-JUS).
• Reglamento de Seguridad de la Información y la Ciberseguridad (Res. SBS N.º 504-2021).
• Reglamento de Gestión de Riesgo Operacional (artículos 9, 10 y 11) (Res. SMV N.º 014-2019-SMV/01).
• Reglamento Interno de CAVALI S.A. ICLV (artículo 6: De los Participantes).
• Procedimientos previamente acordados (AUP): Reportes que definen procedimientos específicos acordados, permitiendo que una firma de contadores públicos (CPA) informe los resultados únicamente de dichos procedimientos para satisfacer las solicitudes de los clientes.

Los servicios de cumplimiento tecnológico y aseguramiento normativo ayudan a las entidades a comprender, prepararse e informar para hacer frente a leyes, reglamentos y normas profesionales en rápida evolución. Estos servicios ayudan a las organizaciones a abordar de manera sostenible y eficiente los requisitos de cumplimiento normativo y tecnológico específicos de cada sector (por ejemplo, gobierno, salud y servicios financieros). Los ejemplos incluyen ayudar a las entidades a cumplir los requisitos relacionados con:

• Ley de Protección de Datos Personales (D.S. N.º 016-2024-JUS).
• Reglamento de Seguridad de la Información y la Ciberseguridad (Res. SBS N.º 504-2021).
• Reglamento de Gestión de Riesgo Operacional (artículos 9, 10 y 11) (Res. SMV N.º 014-2019-SMV/01).
• Reglamento Interno de CAVALI S.A. ICLV (artículo 6: De los Participantes).

Los riesgos de ciberseguridad afectan los procesos de auditoría de TI, la emisión de información financiera, los procedimientos de negocio y los controles internos. Los rápidos avances tecnológicos y las crecientes ciberamenazas aumentan la exposición al riesgo, por lo que la ciberresiliencia se vuelve fundamental. Asimismo, las organizaciones enfrentan constantes desafíos regulatorios y de cumplimiento, por lo que requieren fortalecer sus capacidades de ciberseguridad para atender de manera efectiva las crecientes demandas.

Los profesionales de Aseguramiento en Ciberseguridad (Cybersecurity Assurance) de Technology Risk de EY pueden ayudar a identificar cómo los riesgos de ciberseguridad pueden afectar los procesos de auditoría de TI, incluyendo la emisión de información financiera, los procedimientos de negocio y los controles internos. Podemos proporcionar a las organizaciones una visión clara e independiente de su postura y capacidades actuales frente a los riesgos cibernéticos, brindándoles una perspectiva informada sobre cómo y dónde enfocar la gestión de dichos riesgos. Un enfoque proactivo de preparación permite a las organizaciones afrontar con confianza las complejidades de la ciberseguridad.

En el dinámico entorno tecnológico actual, una evaluación de riesgos de ciberseguridad ayuda a las organizaciones a determinar si están adecuadamente equipadas para afrontar la complejidad de las posibles ciberamenazas y el cambiante panorama legal y regulatorio, así como para mantener defensas sólidas contra eventuales brechas de seguridad.

El fortalecimiento continuo de las ciberdefensas mediante un enfoque estructurado puede ayudar a las organizaciones a mantener la continuidad operativa y a proporcionar una respuesta coordinada que preserve la confianza de sus grupos de interés.

Con el propósito de mitigar riesgos tecnológicos y fortalecer el entorno de control interno de tecnología de las organizaciones, EY ofrece un enfoque estructurado de diagnóstico y mejora aplicable tanto a los procesos operativos como a la infraestructura de TI. A través de este servicio, ayudamos a las empresas a identificar brechas de manera temprana, optimizar sus recursos y asegurar la continuidad operativa y confiabilidad de sus plataformas tecnológicas, centrándonos en tres pilares de revisión fundamentales:

• Control integrado de TI basado en riesgos
• Gestión de accesos
  • Accesos de usuarios nominales, genéricos y temporales.
  • Composición de roles y perfiles.
• Gestión de configuraciones de seguridad
  • Configuración de seguridad y accesos privilegiados y/o críticos.
• Gestión de cambios
  • Cambios de aplicación, bases de datos y configuraciones.
  • Múltiples instancias.
• Gestión de operaciones de TI
  • Incidentes de TI y tareas programadas.
  • Copias de respaldo y pruebas de restauración.
• Modelo de accesos con enfoque en roles y segregación de funciones
  • Accesos asignados a usuarios con base en roles y funciones.
  • Matriz de segregación de funciones (SoD).
  • Controles compensatorios sobre los conflictos de SoD.
• Configuración segura de la infraestructura tecnológica
  • Configuración de accesos críticos y métodos de autenticación.
  • Líneas base de configuración de seguridad en sistemas operativos y bases de datos.
  • Actualizaciones y/o parches de seguridad.

Las evaluaciones de sistemas de tecnologías de la información (TI) ayudan a las empresas a comprender los riesgos asociados con el uso de su tecnología y a identificar posibles brechas en los controles internos antes de una actualización o implementación de sistemas de TI.

Una evaluación de sistemas de TI de EY, realizada durante las fases iniciales de adopción tecnológica o de actualización de sistemas, ayuda a identificar posibles riesgos regulatorios y de control empresarial, al tiempo que evalúa la integridad de los datos. Al reconocer de manera proactiva las brechas y tomar medidas para abordar los riesgos identificados, las organizaciones pueden mejorar la transparencia y generar confianza en un sistema de TI nuevo o actualizado antes de su implementación.

Las evaluaciones de sistemas de TI ayudan a la dirección a obtener una visión independiente de sus riesgos, controles y datos, tanto antes como después de una implementación, lo que se traduce en mayor transparencia y confianza en el sistema tecnológico nuevo o actualizado.

Los servicios de evaluación de sistemas de TI de Technology Risk de EY se realizan antes y después de las actualizaciones o durante la implementación de sistemas, e incluyen:

• Evaluaciones de sistemas de planificación de recursos empresariales (ERP) (por ejemplo, submayor, libro mayor general y procesamiento de datos financieros).
• Evaluaciones de herramientas de consolidación.
• Evaluaciones de preparación de programas de gobierno, riesgo y cumplimiento (GRC) y gestión de identidades y accesos (IAM).
• Evaluaciones de sistemas de recursos humanos.

Una evaluación típica de TI para la actualización e implementación de un sistema de TI consta de cinco pasos esenciales:

• Evaluar la integridad de los datos: ¿Qué datos se verán afectados como parte de la implementación tecnológica? ¿Cómo se garantizará la integridad, completitud y exactitud de los datos?
• Evaluar los controles de los procesos de negocio: ¿Qué nuevos procesos de negocio se están diseñando? ¿Qué nuevos controles deberán ser evaluados?
• Evaluar la seguridad de las aplicaciones: ¿Cómo se gestionarán los accesos en el sistema nuevo o actualizado?
• Evaluar los controles generales de TI: ¿El nuevo sistema requerirá cambios en los controles generales de TI existentes?
• Evaluar el ciclo de vida de desarrollo de sistemas (SDLC): ¿La implementación sigue un proceso definido para cada fase? ¿Cuáles son los criterios de aprobación o rechazo (go/no-go)?

Las soluciones de Inteligencia Artificial (IA) de EY Technology Risk ayudan a las organizaciones a fortalecer su resiliencia digital mediante la gestión de los riesgos asociados con la adopción e implementación de la IA.

Nuestros servicios están alineados con los tres pilares del ecosistema de IA: gobernanza, sistemas y datos.

Al aprovechar estos componentes de manera holística, las organizaciones generan seguridad, mantienen la integridad operativa y respaldan el despliegue responsable de la IA a escala, fomentando la confianza y la resiliencia a largo plazo.

Con los servicios de IA y resiliencia digital de EY Technology Risk, su organización puede aprovechar la IA con confianza para impulsar el valor de negocio, al mismo tiempo que mantiene los más altos estándares de ética y responsabilidad.

Nuestro enfoque combina la evaluación comparativa de la madurez de la gobernanza (benchmarking), la validación de la preparación de los datos y el análisis de brechas de cumplimiento regulatorio en cada etapa de la implementación de la IA. Estos servicios mitigan el riesgo, respaldan el cumplimiento regulatorio y la confianza de los grupos de interés, aceleran la innovación y permiten un crecimiento sostenible de la IA a escala.

• Adaptación de las buenas prácticas de gobernanza de IA

Evalúa la madurez del marco de gobernanza de la IA, considerando roles y responsabilidades, políticas, controles y mecanismos de responsabilidad. Identifica brechas y define acciones para fortalecer una adopción responsable, trazable y alineada con los objetivos del negocio.

• Confiabilidad de datos para modelos de IA
  
  Evalúa si los datos de entrenamiento, validación y operación de modelos son aptos para soportar casos de uso de IA de manera confiable. Revisa calidad, integridad, trazabilidad, disponibilidad y controles sobre el uso de datos.
  
  
• Gestión de crisis en soluciones de IA
  
  Evalúa la capacidad para identificar, escalar, responder y recuperarse ante incidentes o crisis vinculadas al uso de la IA. Analiza fallas de modelo, uso indebido, exposición de datos e impacto reputacional derivados de fallos en sistemas de IA.
   

• Cumplimiento en IA
  
  Analiza las obligaciones regulatorias y de cumplimiento aplicables al uso de la IA. Evalúa políticas, controles y evidencia necesaria para sustentar el cumplimiento ante reguladores, auditoría interna y grupos de interés.

Los reportes ESG requieren información confiable, trazable y oportuna, respaldada por procesos tecnológicos y controles adecuados. En ese contexto, una evaluación ESG de TI permite revisar la integridad, consistencia y flujo de la información utilizada para la preparación de reportes de sostenibilidad, así como los controles que soportan su captura, procesamiento, consolidación y divulgación.

Este servicio ayuda a las organizaciones a identificar brechas en sus procesos de gestión de datos ESG, fortalecer el gobierno y la calidad de la información, y preparar evidencia suficiente para respaldar procesos de aseguramiento o revisión interna. Asimismo, permite evaluar la alineación de los controles tecnológicos con marcos y estándares relevantes, tales como ISSB, CSRD, GRI u otros aplicables según la industria y jurisdicción.

El alcance de una evaluación ESG de TI puede incluir:

• Revisión de los procesos tecnológicos que soportan la generación y consolidación de información ESG.
• Evaluación de controles sobre integridad, exactitud, completitud y trazabilidad de datos ESG.
• Identificación de brechas en gobierno, calidad y documentación de datos.
• Evaluación de controles automatizados y manuales asociados al reporte ESG.
• Recomendaciones para fortalecer la confiabilidad de la información y preparar a la organización para procesos de aseguramiento.