Antes de que un tercero, un regulador o una casa matriz pida evidencia de que los controles tecnológicos funcionan, alguien tiene que haberlos evaluado primero. Ese es el trabajo de aseguramiento en tecnología.
Una auditoría interna de TI revisa si los controles automatizados que soportan los procesos críticos de la empresa, accesos, cambios, respaldos, interfaces entre sistemas, operan como se documentaron y reducen el riesgo que deberían reducir. No es una revisión de que el sistema "funcione", es una revisión de que esté controlado.
El mismo enfoque se aplica al aseguramiento de proyectos tecnológicos: evaluar en marcha, antes de la puesta en producción, si un proyecto de implementación o migración incorpora los controles necesarios, en lugar de descubrir las brechas después del arranque.
El alcance cubre auditoría interna de TI, revisión de sistemas automatizados y aseguramiento de proyectos tecnológicos en curso. Cuando el objetivo es un informe formal para terceros, el trabajo se estructura como certificación SOC 1 o SOC 2, con el alcance y los criterios de control que ese tipo de informe exige.
Cuando el requerimiento es específicamente la certificación del sistema contable computarizado exigida por el artículo 6 del Decreto Ejecutivo 34 de 1998, ese servicio tiene su propia página: certificación de sistemas contables.
La auditoría interna de TI es un ejercicio de mejora dirigido a la propia administración. Una certificación SOC es un informe emitido para terceros, con un alcance y unos criterios definidos, pensado para que clientes y contrapartes confíen en los controles evaluados.
Depende del sector y del apetito de riesgo de la empresa. En entornos regulados suele ser un ejercicio periódico; en el resto de las empresas, la frecuencia razonable depende de cuánto cambian los sistemas y de qué tan crítico es el proceso que soportan.
No debería. El objetivo es evaluar en paralelo al avance del proyecto, no al final, precisamente para que las brechas se corrijan antes de la puesta en producción y no después.
Una conversación breve basta para orientar qué solución corresponde y poner en contacto a su empresa con el aliado adecuado.