Risco Tecnológico

Os serviços de relatórios SOC permitem que as entidades forneçam comunicações fiáveis centradas nos controlos internos aos clientes (e respectivos auditores externos), investidores, gestores, reguladores e outras partes interessadas. Estes serviços respondem eficazmente às necessidades dos clientes das organizações de serviços no que respeita a informações fiáveis baseadas no risco.

• O SOC 1 ajuda as entidades (organizações prestadoras de serviços) que operam sistemas de informação e fornecem serviços de processos de negócio que suportam o reporte financeiro a criar confiança nos seus processos e controlos, através de um relatório que podem disponibilizar aos seus clientes e aos auditores externos desses clientes.
• O SOC 2/3 ajuda as entidades a responder às necessidades de um vasto conjunto de utilizadores que requerem informação e garantia sobre os controlos existentes na organização e que afetam a segurança, privacidade, confidencialidade, disponibilidade e integridade do processamento dos sistemas da entidade.
• O SOC for Cyber ajuda as entidades a satisfazerem as necessidades de um vasto leque de utilizadores que requerem informações e garantias sobre o programa de gestão de riscos de cibersegurança de toda a empresa de uma entidade.
• O SOC para a Cadeia de Abastecimento ajuda as entidades a satisfazer as necessidades das partes interessadas que requerem informações e garantias sobre o sistema e os controlos de uma entidade para a produção, fabrico ou distribuição de bens, de modo a compreender melhor os riscos nas suas cadeias de abastecimento.

As equipas da EY também prestam serviços de pré-avaliação para um projecto de assunto, tal como uma descrição do sistema antes da realização de um compromisso de garantia limitada ou razoável (por exemplo, relatório SOC).

Os serviços de procedimentos acordados (AUP) ajudam as entidades a comunicar resultados independentes de testes de controlos ou outros procedimentos acordados entre a entidade e terceiros destinatários do relatório. Os compromissos da PUA permitem que as entidades comuniquem conclusões factuais independentes sobre testes de controlo ou outros procedimentos a terceiros destinatários do relatório da PUA. As equipas da EY apresentam e relatam um conjunto de procedimentos com os quais as entidades e os terceiros utilizadores do relatório concordam, bem como as respectivas conclusões resultantes dos procedimentos.

A ISAE 3000 dá conta dos procedimentos relacionados com a auditoria que o auditor, a entidade e quaisquer terceiros apropriados acordaram (relacionados com a informação não financeira):

• Testes de controlo ISAE 3000 - a capacidade de realizar os procedimentos e testes de controlo, conduzindo a um relatório de garantia (de acordo com a norma ISAE 3000)
• Apoio e formação na implementação da norma ISAE 3000 - capacidade de ministrar formação sobre a execução de procedimentos, conduzindo a um relatório de garantia (de acordo com a norma ISAE 3000)

Os serviços de Certificação, Implementação e Formação de Sistemas de Gestão ISO fornecem a implementação e certificação de um sistema de gestão de acordo com as normas ISO e outros quadros de certificação estabelecidos.

A EY CertifyPoint B.V., uma entidade da EY fundada em 2002, é um instituto de certificação acreditado, independente e imparcial com sede nos Países Baixos. Através do EY CertifyPoint, as equipas da EY fornecem cursos de Lead Implementer e Lead Auditor, incluindo a certificação do pessoal da entidade para várias normas ISO.

As equipas da EY apoiam as entidades no cumprimento dos seus objetivos, melhorando a eficiência e a eficácia dos seus sistemas de gestão. As equipas da EY mantêm o negócio no centro, identificando áreas de redundância, estrangulamentos e potenciais ganhos de eficiência, através de uma abordagem de certificação sistemática e independente, de acordo com um padrão globalmente reconhecido.

São abordadas as seguintes normas:

• ISO 9001: Sistema de Gestão da Qualidade
• ISO 14001: Sistema de Gestão Ambiental
• ISO/IEC 20000-1: Sistema de Gestão de Serviços de TI
• ISO 22301: Sistema de Gestão da Continuidade das Actividades
• ISO/IEC 27001: Sistema de Gestão da Segurança da Informação
• ISO/IEC 27017: Controlos de Segurança na Cloud
• ISO/IEC 27018: Protecção de Informações de Identificação Pessoal na Cloud
• ISO/IEC 27701: Sistema de Gestão da Informação sobre privacidade
• ISO 37001: Sistema de gestão Anti-Suborno
• ISO/IEC 42001: Sistema de Gestão da Inteligência Artificial
• ISO 45001: Sistema de Gestão da Saúde e Segurança no Trabalho
• ISO 50001: Gestão de Energia
• Avaliações da World Lottery Association (WLA)
• Certificação CSA STAR
• NEN 7510-1: Sistema de Gestão da Segurança das Informações de Saúde
• Servidor de dados de saúde (HDS)
• Segurança Multicamadas na Cloud (MTCS - Singapura)
• Avaliação do RGPD
• Organismo de controlo acreditado pelo Código de Conduta da CISPE
• Abordagem integrada com ISAE3402, SOC e outros relatórios de certificação, como uma combinação de ISO/IEC 27001:2013 com ISAE3402

Uma avaliação de sistemas e processos inclui uma avaliação do controlo interno como parte de uma atualização ou implementação de um ERP (por exemplo, SAP S/4HANA), uma aplicação ou um processo. Estes serviços fornecem uma avaliação independente do estado actual de uma entidade ou de um controlo interno documentado do estado futuro, a fim de fornecer recomendações de práticas de vanguarda para consideração da administração. Uma actualização de um sistema ou de um processo ou uma avaliação da implementação ajuda a entidade a:

• Confie que as considerações relativas ao controlo interno são tratadas de forma adequada.
• Compreenda processos empresariais complexos.
• Identifique novos riscos e lacunas de controlo introduzidas por alterações no processo ou na tecnologia e recomendações de correção com base em práticas de ponta.
• Permitir que a entidade tire partido de novas capacidades que permitam um melhor aproveitamento do investimento em novos processos ou tecnologias, incluindo oportunidades de automatização e melhoria de processos e GRC. integração, elaboração de relatórios e monitorização contínua do controlo.

Uma pré-avaliação de um rascunho do objecto em análise, como por exemplo a descrição de um sistema, antes da realização de um trabalho de asseguração limitada ou razoável (ex.: relatório SOC), ajuda a entidade a:

• Compreenda como aplicar os critérios de avaliação ao tema em causa 
• Compreenda os requisitos de divulgação da informação sobre o assunto (por exemplo, a descrição da direção para um relatório SOC)
• Compreender os procedimentos realizados para avaliar as informações e/ou controlos sobre o assunto

Os serviços de Conformidade de TI e de Garantia Regulamentar ajudam as entidades a compreender, preparar-se e elaborar relatórios para lidar com leis, regulamentos e normas profissionais em rápida evolução. Estes serviços ajudam uma entidade a cumprir de forma mais sustentável e eficiente os requisitos de conformidade tecnológica regulamentares e específicos do sector (por exemplo, Governo, Cuidados de Saúde, Serviços Financeiros). Os exemplos incluem ajudar as entidades a cumprir os requisitos relacionados com:

• Regulamentação da IA (por exemplo, Lei da IA)
• Cibersegurança (por exemplo, Lei da Ciber-resiliência, Certificação do Modelo de Maturidade da Cibersegurança, Diretiva relativa à Segurança das Redes e da Informação (NIS2))
• Segurança dos dados (por exemplo, Lei dos Dados)
• Resiliência digital (por exemplo, Lei dos Serviços Digitais, Lei dos Mercados Digitais, Lei da Resiliência Operacional Digital)
• Requisitos específicos do sector (por exemplo, HITRUST, SWIFT, TISAX)
• Controlos de dados e de TI nos relatórios ESG