EY refere-se à organização global, e pode referir-se a uma ou mais firmas-membro da Ernst & Young Global Limited, cada uma das quais uma entidade juridicamente distinta. A Ernst & Young Global Limited, firma sedeada no Reino Unido, limitada por garantia, não presta serviços a clientes.
How EY can help
-
As equipas de relatórios SOC da EY ajudam as empresas a transmitir confiança e segurança no ambiente de controlo interno em torno dos serviços que prestam aos clientes.
Read more
O papel do IAM nos relatórios SOC
A gestão de acessos continua a conduzir uma parte significativa dos desvios dos relatórios SOC. Numa análise interna recente a quase 4.000 relatórios SOC que suportam as auditorias financeiras de 2024 e 2025 dos clientes, 54% das desvios identificados nos relatórios SOC 1 e 41% dos desvios nos relatórios SOC 2 estavam relacionados com acessos lógicos.
O IAM é fundamental para os relatórios SOC porque tem impacto na eficácia, fiabilidade e capacidade de auditoria dos controlos de uma organização. Os relatórios SOC exigem que as organizações demonstrem que possuem controlos adequados, de modo a que apenas o pessoal adequado tenha acesso a sistemas e dados sensíveis e que o acesso seja regularmente revisto e atualizado.
Quando existem diferenças na forma como os sistemas e o acesso são geridos, as organizações são mais propensas a erros e inconsistências. As práticas recomendadas incluem a gestão centralizada do acesso (introduzindo a automatização sempre que possível), controlos integrados, revisões periódicas dos acessos (mais frequentes para os acessos privilegiados) e formação contínua.
No entanto, algumas organizações têm centenas de sistemas chave com potencialmente milhares de permissões, o que torna este desafio complexo. Mais de um em cada quatro participantes na 13ª Conferência Virtual Anual da EY sobre Relatórios SOC afirmou que o término atempado é a sua maior preocupação.
Para além dos relatórios SOC, muitas organizações também confiam em ferramentas de certificação para reforçar a consistência e a disciplina das suas práticas de gestão de identidades e acessos. Os requisitos de certificação enfatizam a governação padronizada, os processos documentados e a monitorização contínua, todos eles estreitamente alinhados com as expectativas de IAM da ISO27001:2022.
Embora a certificação não substitua o relatório SOC, pode reforçar a confiança no ambiente de controlo subjacente. As organizações com práticas de IAM alinhadas com os critérios de certificação estão frequentemente melhor posicionadas para demonstrar uma operação de controlo sustentada e uma propriedade de acessos mais claras e menos desvios relacionados com o acesso ao longo do tempo.