Tehnološki rizik

Samoprocjena kibernetičke sigurnosti predstavlja ključni proces u kojem organizacije procjenjuju svoje sigurnosne mjere, politike i prakse kako bi identificirale potencijalne ranjivosti i unaprijedile svoju ukupnu sigurnost. Proces omogućuje organizacijama da odrede trenutni stupanj zrelosti sa zakonskim okvirom. Što organizacijama omogućuje proaktivno upravljanje rizicima i poboljšanje sposobnosti obrane od potencijalnih prijetnji.

Sukladno Uredbi o kibernetičkoj sigurnosti, subjekti mogu angažirati vanjske suradnike koji posjeduju relevantna znanja i iskustvo iz područja kibernetičke sigurnosti za provedbu samoprocjene. Dok je samoprocjenu potrebno provoditi najmanje jednom u dvije godine, a o provedenim samoprocjenama izvještavati središnje državno tijelo za kibernetičku sigurnost.

EY stručnjaci, s dokazanim iskustvom u području kibernetičke sigurnosti, mogu biti vaš pouzdan partner u procesu provedbe samoprocjene.

Usluge eksternalizirane funkcije interne IT revizije  omogućuju organizacijama uvide u trenutno stanje internih kontrola koje može pomoći u upravljanju rizicima s ciljem povećanje vrijednosti, kvalitete i učinkovitosti interne revizije. Naše razumijevanje IT rizika i internih kontrola može pomoći funkcijama interne revizije da poboljšaju svoju izvedbu i vrijednost koju pružaju.

Zahtjevi digitalne otpornosti vezani za upravljanje rizicima trećih strana (TPRM) postalo je ključno za sve financijske subjekte. Odgovornost za upravljanje IKT rizicima prenosi se na neovisne kontrolne funkcije, čime se osigurava razdvajanje upravljačkih, kontrolnih i revizijskih funkcija.

EY stručni tim pruža usluge neovisne provedbe nadzora trećih strana. Nadzor trećih strana uključuje provedbu neovisne revizije s ciljem identifikacije učinkovitosti upravljanja kontrola. Rezultati neovisne provedene revizije mogu pomoći organizacijama u procesu procjene i upravljanju rizicima s vanjskim partnerima. 

Usluge neovisnih izvještaja internih kontrola  omogućuje organizacijama da prenesu rezultate testiranja kontrola ili drugih postupaka trećim stranama. EY timovi izvještavaju o skupu postupaka dogovorenih između organizacije i specificiranih korisnika izvještaja.

ISAE 3000 obuhvaća izvještaje o provedenim postupcima i rezultatima testiranja kontrola dogovorenim između revizora, organizacije i relevantnih trećih strana (vezano uz nefinancijske informacije). 

SOCR usluge (Service Organization Control Reporting) omogućuju organizacijama da svojim klijentima (i njihovim vanjskim revizorima), investitorima, menadžmentu, regulatorima i drugim dionicima pružanje pouzdanih informacija o internim kontrolama. Ove usluge učinkovito odgovaraju na potrebe klijenata za pouzdanim informacijama koje se temelje na procjeni rizika.

• SOC 1 omogućuje organizacijama koje upravljaju informacijskim sustavima i pružaju usluge u području financijskog izvještavanja da kroz strukturirani izvještaj potvrde pouzdanost svojih procesa i kontrola, čime jačaju povjerenje klijenata i njihovih vanjskih revizora.
• SOC 2/3 pomaže organizacijama da odgovore na zahtjeve korisnika koji zahtijevaju informacije i potvrdu o kontrolama koje koje osiguravaju sigurnost, zaštitu privatnosti, povjerljivost, dostupnost i integritet obrade podataka unutar sustava organizacije.
• SOC za kibernetičku sigurnost pomaže organizacijama da zadovolje potrebe korisnika koji zahtijevaju informacije i potvrdu o programu upravljanja kibernetičkom sigurnošću i rizicima na razini cijele organizacije.
• SOC za opskrbni lanac omogućuje organizacijama da dokumentirano potvrde pouzdanost svojih procesa i kontrola u opskrbnom lancu, čime se dionicima pruža uvid u potencijalne rizike povezane s proizvodnjom i distribucijom.

EY timovi također nude usluge prethodne analize nacrta, poput opis sustava, kako bi se osigurala kvalitetna priprema prije provedbe angažmana s ograničenom ili razumnom razinom sigurnosti (npr. SOC izvještaj).

Procjena adekvatnosti sustava i procesa uključuje analizu internih kontrola kao dio procesa nadogradnje ili implementacije ERP sustava (pr. SAP S/4HANA), aplikacije ili poslovnog procesa. Ove usluge omogućuju organizacijama da kroz neovisnu procjenu trenutačnih ili planiranih kontrola dobiju strateške preporuke koje podržavaju razvoj, optimizaciju i upravljanje rizicima u skladu s najboljim praksama. Procjena nadogradnje ili implementacije sustava ili procesa pomaže organizaciji da:

• stekne sigurnost da su aspekti internih kontrola adekvatno obuhvaćeni,
• identificira nove rizike i nedostatke u kontrolama koje su nastale zbog promjena u procesu ili tehnologiji te dobije preporuke za njihovo otklanjanje temeljem najboljih praksi,
• iskoristi nove funkcionalnosti koje omogućuju optimizaciju postojećih ili implementaciju novih procesa i tehnologija, uključujući mogućnosti automatizacije procesa, poboljšanja, integracije GRC-a te izvještavanje i kontinuirano praćenje kontrola.