Teknoloji Risk Hizmetleri

Hizmet Organizasyonu Kontrol Raporlaması (SOCR) hizmetleri, kuruluşların müşterilere (ve dış denetçilerine), yatırımcılara, yönetime, düzenleyicilere ve diğer paydaşlara iç kontrol odaklı güvenilir iletişimler sağlamasına olanak tanır. Bu hizmetler, hizmet kuruluşlarının güvenilir risk tabanlı bilgilere yönelik müşteri ihtiyaçlarını etkin bir şekilde karşılar.

• SOC 1, bilgi sistemlerini işleten ve finansal raporlamayı destekleyen iş süreci hizmetleri sunan kuruluşların (hizmet kuruluşları), müşterilerine ve müşterilerinin dış denetçilerine sunabilecekleri bir rapor aracılığıyla teslimat süreçlerinde ve kontrollerinde güven ve itimat oluşturmalarına yardımcı olur.
• SOC 2/3, kuruluşların, kuruluşun sistemlerinin güvenliğini, gizliliğini, gizliliğini, kullanılabilirliğini ve işlem bütünlüğünü etkileyen kuruluştaki kontroller hakkında bilgi ve güvence gerektiren geniş bir kullanıcı yelpazesinin ihtiyaçlarını karşılamasına yardımcı olur.
• SOC for Cyber, kuruluşların, bir kuruluşun kurumsal çapta siber güvenlik risk yönetimi programı hakkında bilgi ve güvence gerektiren geniş bir kullanıcı yelpazesinin ihtiyaçlarını karşılamasına yardımcı olur.
• Tedarik Zinciri için SOC, kuruluşların tedarik zincirlerindeki riskleri daha iyi anlamak için bir kuruluşun mal üretme, imal etme veya dağıtma sistemi ve kontrolleri hakkında bilgi ve güvence isteyen paydaşların ihtiyaçlarını karşılamalarına yardımcı olur.

EY ekipleri ayrıca, bir sınırlı veya makul güvence görevinin (örneğin, SOC raporu) yerine getirilmesinden önce sistem tanımı gibi taslak bir konu için ön değerlendirme hizmetleri sağlar.

Üzerinde Mutabık Kalınan Prosedürler (AUP) hizmetleri, kuruluşların kontrol testlerinin bağımsız sonuçlarını veya kuruluş ile raporun üçüncü taraf alıcıları arasında üzerinde mutabık kalınan diğer prosedürleri iletmelerine yardımcı olur. AUP taahhütleri, kuruluşların kontrol testleri veya diğer prosedürlere ilişkin bağımsız gerçeklere dayalı bulguları AUP raporunun üçüncü taraf alıcılarına iletmesine olanak tanır. EY ekipleri, kuruluşların ve belirtilen üçüncü taraf rapor kullanıcılarının kabul ettiği bir dizi prosedürü ve prosedürlerden kaynaklanan ilgili bulguları sunar ve raporlar.

ISAE 3000 denetçi, işletme ve uygun üçüncü tarafların üzerinde anlaştığı denetimle ilgili prosedürler hakkında raporlar (finansal olmayan bilgilerle ilgili):

• ISAE 3000 kontrol testi - bir güvence raporuna yol açan prosedürleri ve kontrol testini gerçekleştirme kapasitesi (ISAE 3000 standardına uygun olarak)
• ISAE 3000 uygulama desteği ve eğitimi - bir güvence raporuna (ISAE 3000 standardına uygun olarak) yol açan prosedürlerin yürütülmesi konusunda eğitim sağlama kapasitesi

ISO Yönetim Sistemi Belgelendirme, Uygulama ve Eğitim hizmetleri, ISO standartlarına ve diğer yerleşik belgelendirme çerçevelerine göre bir yönetim sisteminin uygulanmasını ve belgelendirilmesini sağlar.

Bir EY kuruluşu olan ve 2002 yılında kurulan EY CertifyPoint B.V., merkezi Hollanda'da bulunan akredite, bağımsız ve tarafsız bir sertifikasyon enstitüsüdür. EY CertifyPoint aracılığıyla EY ekipleri, çeşitli ISO standartları için işletme personelinin sertifikalandırılması da dahil olmak üzere Baş Uygulayıcı ve Baş Denetçi kursları sunmaktadır.

EY ekipleri, yönetim sistemlerinin verimliliğini ve etkinliğini artırarak kurumların hedeflerine ulaşmalarına destek olur. EY ekipleri, işi merkezde tutarak, küresel olarak tanınan bir standarda göre sistematik ve bağımsız bir sertifikasyon yaklaşımı aracılığıyla fazlalık alanlarını, darboğazları ve potansiyel verimlilik kazanımlarını belirler.

Aşağıdaki standartlar ele alınmaktadır:

• ISO 9001: Kalite Yönetim Sistemi
• ISO 14001: Çevre Yönetim Sistemi
• ISO/IEC 20000-1: BT Hizmet Yönetim Sistemi
• ISO 22301: İş Sürekliliği Yönetim Sistemi
• ISO/IEC 27001: Bilgi Güvenliği Yönetim Sistemi
• ISO/IEC 27017: Bulut Güvenlik Kontrolleri
• ISO/IEC 27018: Bulutta Kişisel Olarak Tanımlanabilir Bilgilerin Korunması
• ISO/IEC 27701: Gizlilik Bilgi Yönetim Sistemi
• ISO 37001: Rüşvetle Mücadele Yönetim Sistemi
• ISO/IEC 42001: Yapay Zeka Yönetim Sistemi
• ISO 45001: İş Sağlığı ve Güvenliği Yönetim Sistemi
• ISO 50001: Enerji Yönetimi
• Dünya Piyangolar Birliği (WLA) değerlendirmeleri
• CSA STAR sertifikası
• NEN 7510-1: Sağlık Bilgi Güvenliği Yönetim Sistemi
• Hébergeur de Données de Santé (HDS)
• Çok Katmanlı Bulut Güvenliği (MTCS - Singapur)
• GDPR değerlendirmesi
• CISPE Davranış Kuralları akredite izleme kuruluşu
• ISAE3402, SOC ve ISO/IEC 27001:2013 ile ISAE3402'nin kombinasyonu gibi diğer tasdik raporları ile entegre yaklaşım

Bir sistem ve süreç değerlendirmesi, bir ERP'nin (örneğin SAP S/4HANA), bir uygulamanın veya bir sürecin yükseltilmesinin veya uygulanmasının bir parçası olarak iç kontrolün değerlendirilmesini içerir. Bu hizmetler, yönetimin değerlendirmesi için önde gelen uygulama önerileri sağlamak üzere bir işletmenin mevcut durumunun veya belgelenmiş bir gelecek durum iç kontrolünün bağımsız bir değerlendirmesini sağlar. Bir sistem veya süreç yükseltmesi ya da bir uygulama değerlendirmesi kurumun aşağıdakileri yapmasına yardımcı olur

• İç kontrol hususlarının yeterince ele alındığına dair güven elde edin.
• Karmaşık iş süreçlerini anlamak.
• Süreç veya teknolojideki değişikliklerin getirdiği yeni riskleri ve kontrol boşluklarını ve önde gelen uygulamalara dayalı iyileştirme önerilerini belirleyin.
• Kurumun, süreç otomasyonu ve iyileştirme fırsatları ve GRC dahil olmak üzere yeni süreç veya teknolojiye yapılan yatırımlardan daha iyi yararlanmasını sağlayan yeni yeteneklerden yararlanmasını sağlamak. entegrasyon, raporlama ve sürekli kontrol izleme.

Sınırlı veya makul güvence görevinin (örneğin, SOC raporu) yerine getirilmesinden önce sistem tanımı gibi taslak bir konunun ön değerlendirmesi, işletmenin aşağıdakileri yapmasına yardımcı olur

• Değerlendirme kriterlerinin konuya nasıl uygulanacağını anlamak 
• Konuya ilişkin bilgi için açıklama gerekliliklerini anlamak (örneğin, bir SOC raporu için yönetimin açıklaması)
• Söz konusu bilgileri ve/veya kontrolleri değerlendirmek için gerçekleştirilen prosedürleri anlamak

BT Uyumluluğu ve Düzenleyici Güvence hizmetleri, kurumların hızla gelişen yasaları, düzenlemeleri ve mesleki standartları anlamalarına, bunlara hazırlanmalarına ve bunları raporlamalarına yardımcı olur. Bu hizmetler, bir kuruluşun düzenleyici ve sektöre özgü (örn. Kamu, Sağlık Hizmetleri, Finansal Hizmetler) teknoloji uyumluluk gereksinimlerini daha sürdürülebilir ve verimli bir şekilde ele almasına yardımcı olur. Örnekler, kuruluşların aşağıdakilerle ilgili gerekliliklere uymalarına yardımcı olmayı içerir:

• YZ düzenlemeleri (örn. YZ Yasası)
• Siber güvenlik (örneğin, Siber Dayanıklılık Yasası, Siber Güvenlik Olgunluk Modeli Sertifikasyonu, Ağ ve Bilgi Güvenliği (NIS2) Direktifi)
• Veri güvenliği (örn. Veri Yasası)
• Dijital esneklik (örneğin, Dijital Hizmetler Yasası, Dijital Piyasalar Yasası, Dijital Operasyonel Esneklik Yasası)
• Sektöre özgü gereklilikler (örn. HITRUST, SWIFT, TISAX)
• ESG raporlamasında veri ve BT kontrolleri