Servicios especializados y certificación de TI

Las operaciones de subcontratación no transfieren el riesgo relacionado con dicho proceso. La organización que subcontrata (entidad usuaria) sigue siendo responsable de la gobernanza, la gestión de riesgos y el cumplimiento de los procesos y las operaciones que ahora gestiona su proveedor de servicios. Los reguladores y órganos industriales se concentran en tratar los riesgos que surgen de estos cambios. En este contexto, los proveedores de servicios (organizaciones de servicio) generan confianza en los servicios prestados y los controles relacionados mediante informes de los controles del sistema y la organización (SOC).

Deloitte ofrece una gama de servicios de certificación de terceros y ayuda a los clientes a elegir la opción de informes de terceros más adecuada:

Presentaremos un informe independiente del entorno de control interno de sus entidades usuarias para que pueda usarlo en la gestión de las organizaciones de servicios, las entidades usuarias y sus auditores.

• Certificación del proceso de producción de informes financieros: informes SOC 1 sobre los controles que afectan la producción de informes financieros de las entidades usuarias. Suele hacerse según las normas SSAE18 (emitida por el American Institute of Certified Public Accountants [AICPA]) e ISAE3402 (emitida por el International Auditing and Assurance Standards Board [IAASB]).

• Certificación de las operaciones: informes conforme la norma ISAE3000 y SOC 2, SOC 3 y SOC personalizados.
  Norma ISAE 3000: informe de certificación de procesos no financieros para los criterios definidos por la entidad y no las normas: controles internos, sustentabilidad, cumplimiento de las leyes y normas y otros requisitos.

• Informe SOC 2: informe de certificación de procesos no financieros con base en uno o varios de los principios de servicio Trust, que son seguridad, disponibilidad, integridad de los procesos, confidencialidad y privacidad.

• Informe SOC 3: informe público breve que puede usarse para la comercialización de procesos no financieros en base a uno o varios de los principios de servicio Trust.

• Informes SOC personalizados para cumplir con los requisitos específicos del sector o los clientes, como SOC para la cadena de suministro, informes SOC 2+ para las normas sectoriales correspondientes, como NIST, ISO, CSA, GDPR, CMMC, FedRAMP y otras.

Detallaremos nuestros resultados y observaciones como parte de una evaluación.

• Informe sobre los procedimientos acordados: un informe de resultados basados en hechos conforme a los procedimientos específicos y previamente acordados, que se hace de un asunto elegido o la afirmación de un cliente. Los compromisos de procedimientos acordados suelen llevarse a cabo conforme a las normas ISRS 4400 o SSAE 19 .
•  
• Evaluaciones de preparación para analizar la capacidad de una empresa de enfrentar los riesgos o tratar las necesidades relativas a los programas de su proveedor de servicios subcontratado.

• Evaluación como parte de los programas de controles internos de las organizaciones con el fin de identificar y garantizar la respuesta correcta a los riesgos que surgen de TI y del entorno digital.
•  
• Análisis de riesgos de TI.
•  
• Evaluaciones de la eficacia del diseño las operaciones de los controles generales de TI y los controles automatizados en varios sistemas ERP y aplicaciones hechas a la medida.
•  
• Análisis de la migración de datos, evaluaciones de los controles de las interfaces, acceso y certificación de la segregación funcional.
  

• Mejoras a los procesos y controles de TI con el fin de identificar, comprender e implementar con eficacia la metodología y los procesos de controles internos relevantes.

• Generación de información sobre los riesgos de contraloría, tecnología de la información y las funciones de seguridad para enfrentar los riesgos que surgen de los cambios tecnológicos.

• Definir los riesgos relevantes y elaborar un marco de controles de TI para cumplir con los requisitos de cumplimiento internos y externos debido a cambios en los procesos, los sistemas ERP y los cambios o las mejoras a las aplicaciones, así como implementación de robots.

• Optimizar mediante el establecimiento de la viabilidad de normalizar los controles de TI, racionalizar los controles, hacer mejor uso de los controles automatizados mediante el uso integral de la funcionalidad de los sistemas estándar, y recomendar medidas correctivas eficaces en función de las competencias sectoriales para las brechas identificadas.

• Integración de programas de capacitación sobre riesgos y controles de TI, consolidación de los procedimientos aplicables a las políticas de TI, apoyo en las medidas correctivas de los controles, apoyo de especialistas para cumplir con los requisitos específicos del sector y de la tecnología o herramienta.