Technology Risk

Os serviços de relatórios SOC permitem que as entidades forneçam comunicações fiáveis centradas nos controlos internos aos clientes (e respectivos auditores externos), investidores, gestores, reguladores e outras partes interessadas. Estes serviços respondem eficazmente às necessidades dos clientes das organizações de serviços no que respeita a informações fiáveis baseadas no risco.

• O SOC 1 ajuda as entidades (organizações de serviços) que operam sistemas de informação e fornecem serviços de processos empresariais de apoio ao relato financeiro, a criar confiança nos seus processos e controlos de entrega através de um relatório que podem entregar aos seus clientes e aos auditores externos dos clientes.
• Os SOC 2/3 ajudam as entidades a satisfazer as necessidades de um vasto leque de utilizadores que requerem informações e garantias sobre os controlos na entidade que afectam a segurança, privacidade, confidencialidade, disponibilidade e integridade do processamento dos sistemas da entidade.
• O SOC for Cyber ajuda as entidades a satisfazerem as necessidades de um vasto leque de utilizadores que requerem informações e garantias sobre o programa de gestão de riscos de cibersegurança de toda a empresa de uma entidade.
• O SOC para Supply Chain ajuda as entidades a satisfazer as necessidades dos stakeholders que requerem informações e garantias sobre o sistema e controlos de uma entidade para produzir, fabricar ou distribuir bens para melhor compreender os riscos nas suas cadeias de fornecimento.

As equipas da EY também prestam serviços de pré-avaliação para um projeto de assunto, tal como uma descrição do sistema antes da realização de um compromisso de garantia limitada ou razoável (por exemplo, relatório SOC).

Os serviços de procedimentos acordados (AUP) ajudam as entidades a comunicar resultados independentes de testes de controlos ou outros procedimentos acordados entre a entidade e terceiros destinatários do relatório. Os compromissos da PUA permitem que as entidades comuniquem conclusões factuais independentes sobre testes de controlo ou outros procedimentos a terceiros destinatários do relatório da PUA. As equipas da EY apresentam e relatam um conjunto de procedimentos com os quais as entidades e os terceiros utilizadores do relatório concordam, bem como as respectivas conclusões resultantes dos procedimentos.

A ISAE 3000 dá conta dos procedimentos relacionados com a auditoria que o auditor, a entidade e quaisquer terceiros apropriados acordaram (relacionados com a informação não financeira):

• Testes de controlo ISAE 3000 – a capacidade de realizar os procedimentos e testes de controlo, conduzindo a um relatório de garantia (de acordo com a norma ISAE 3000)
• Apoio e formação na implementação da norma ISAE 3000 – capacidade de ministrar formação sobre a execução de procedimentos, conduzindo a um relatório de garantia (de acordo com a norma ISAE 3000)

Os serviços de Certificação, Implementação e Formação de Sistemas de Gestão ISO fornecem a implementação e certificação de um sistema de gestão de acordo com as normas ISO e outros quadros de certificação estabelecidos.

A EY CertifyPoint B.V., uma entidade da EY fundada em 2002, é um instituto de certificação acreditado, independente e imparcial com sede nos Países Baixos. O EY CertifyPoint oferece também cursos de lead implementer e lead auditor, incluindo certificação de pessoal em diferentes ISOs.

As equipas da EY apoiam as entidades no cumprimento dos seus objetivos, melhorando a eficiência e a eficácia dos seus sistemas de gestão. As equipas da EY mantêm o negócio no centro, identificando áreas de redundância, estrangulamentos e potenciais ganhos de eficiência, através de uma abordagem de certificação sistemática e independente, de acordo com um padrão globalmente reconhecido.

São abordadas as seguintes normas:

• ISO 9001: Sistema de Gestão da Qualidade
• ISO 14001: Sistema de Gestão Ambiental
• ISO/IEC 20000-1: Sistema de gestão de serviços de TI
• ISO 22301: Sistema de gestão da continuidade das actividades
• ISO/IEC 27001: Sistema de gestão da segurança da informação
• ISO/IEC 27017: Controlos de segurança na cloud
• ISO/IEC 27018: Proteção de informações de identificação pessoal na cloud
• ISO/IEC 27701: Sistema de gestão da informação sobre privacidade
• ISO 37001: Sistema de Gestão Anti-Suborno
• ISO/IEC 42001: Sistema de Gestão da Inteligência Artificial
• ISO 45001: Sistema de Gestão da Saúde e Segurança no Trabalho
• ISO 50001: Gestão de Energia
• Avaliações da World Lottery Association (WLA)
• Certificação CSA STAR
• NEN 7510-1: Sistema de gestão da segurança das informações de saúde
• Servidor de dados de saúde (HDS)
• Segurança multicamadas na cloud (MTCS - Singapura)
• Avaliação do RGPD
• Organismo de controlo acreditado pelo Código de Conduta da CISPE
• Abordagem integrada com ISAE3402, SOC e outros relatórios de certificação, como uma combinação de ISO/IEC 27001:2013 com ISAE3402

Uma avaliação de sistemas e processos inclui uma avaliação do controlo interno como parte de uma atualização ou implementação de um ERP (por exemplo, SAP S/4HANA), uma aplicação ou um processo. Estes serviços fornecem uma avaliação independente do estado atual de uma entidade ou de um controlo interno documentado do estado futuro, a fim de fornecer recomendações de práticas de vanguarda para consideração da administração. Uma atualização de um sistema ou de um processo ou uma avaliação da implementação ajuda a entidade a:

• Confie que as considerações relativas ao controlo interno são tratadas de forma adequada.
• Compreenda processos empresariais complexos.
• Identifique novos riscos e lacunas de controlo introduzidas por alterações no processo ou na tecnologia e recomendações de correção com base em práticas de ponta.
• Permitir que a entidade tire partido de novas capacidades que possibilitem um melhor aproveitamento do investimento em novos processos ou tecnologias, incluindo oportunidades de automatização e melhoria de processos e GRC. integração, elaboração de relatórios e monitorização contínua do controlo.

Uma pré-avaliação de um projeto de matéria, como a descrição de um sistema, antes da realização de um trabalho de garantia de fiabilidade limitada ou razoável (por exemplo, relatório SOC), ajuda a entidade a:

• Compreenda como aplicar os critérios de avaliação ao tema em causa 
• Compreenda os requisitos de divulgação da informação sobre o assunto (por exemplo, a descrição da direção para um relatório SOC)
• Compreenda os procedimentos efectuados para avaliar as informações e/ou controlos sobre a matéria

Os serviços de IT Compliance and Regulatory Assurance ajudam as entidades a compreender, a preparar-se e a elaborar relatórios para lidar com leis, regulamentos e normas profissionais em rápida evolução. Estes serviços ajudam uma entidade a cumprir de forma mais sustentável e eficiente os requisitos de conformidade tecnológica regulamentares e específicos do sector (por exemplo, Governo, Cuidados de Saúde, Serviços Financeiros). Os exemplos incluem ajudar as entidades a cumprir os requisitos relacionados com:

• Regulamentação da IA (por exemplo, Lei da IA)
• Cibersegurança (por exemplo, Lei da Ciber-resiliência, Certificação do Modelo de Maturidade da Cibersegurança, Diretiva relativa à Segurança das Redes e da Informação (NIS2))
• Segurança dos dados (por exemplo, Lei dos Dados)
• Resiliência digital (por exemplo, Lei dos Serviços Digitais, Lei dos Mercados Digitais, Lei da Resiliência Operacional Digital)
• Requisitos específicos do sector (por exemplo, HITRUST, SWIFT, TISAX)
• Controlos de dados e de TI nos relatórios ESG