Antes de que un tercero, un regulador o una casa matriz pida evidencia de que los controles tecnológicos funcionan, alguien tiene que haberlos evaluado primero. Ese es el trabajo de aseguramiento en tecnología.
La auditoría de TI evalúa si los accesos, cambios, respaldos, interfaces y controles asociados a procesos críticos están definidos y funcionan de acuerdo con su propósito.
Es útil para organizaciones que necesitan evidencia independiente sobre riesgos tecnológicos o que están implementando sistemas. La preparación para un informe SOC no equivale a emitir ese informe.
Modalidad: Servicios profesionales directos de TMC.
Una auditoría interna de TI revisa si los controles automatizados que soportan los procesos críticos de la empresa, accesos, cambios, respaldos, interfaces entre sistemas, operan como se documentaron y reducen el riesgo que deberían reducir. No es una revisión de que el sistema "funcione", es una revisión de que esté controlado.
El mismo enfoque se aplica al aseguramiento de proyectos tecnológicos: evaluar en marcha, antes de la puesta en producción, si un proyecto de implementación o migración incorpora los controles necesarios, en lugar de descubrir las brechas después del arranque.
El alcance cubre auditoría interna de TI, revisión de sistemas automatizados y aseguramiento de proyectos tecnológicos en curso. Cuando el objetivo es un informe formal para terceros, el trabajo requiere evaluar los criterios aplicables y definir si procede un encargo SOC 1 o SOC 2 a cargo de profesionales habilitados.
Cuando el requerimiento es específicamente la certificación del sistema contable computarizado exigida por el artículo 6 del Decreto Ejecutivo 34 de 1998, ese servicio tiene su propia página: certificación de sistemas contables.
La auditoría interna de TI es un ejercicio de mejora dirigido a la propia administración. Un informe SOC es un informe emitido para terceros, con un alcance y unos criterios definidos, pensado para que clientes y contrapartes confíen en los controles evaluados.
Depende del sector y del apetito de riesgo de la empresa. En entornos regulados suele ser un ejercicio periódico; en el resto de las empresas, la frecuencia razonable depende de cuánto cambian los sistemas y de qué tan crítico es el proceso que soportan.
No debería. El objetivo es evaluar en paralelo al avance del proyecto, no al final, precisamente para que las brechas se corrijan antes de la puesta en producción y no después.
Podemos conversar sobre los riesgos, controles y objetivos de su organización para definir una evaluación apropiada.