Risco em tecnologia

Os serviços do Service Organization Control Reporting (SOCR) permitem que as entidades forneçam comunicações confiáveis com foco em controles internos para clientes (e seus auditores externos), investidores, gerentes, reguladores e outros stakeholders. Esses serviços atendem com eficiência às necessidades dos clientes das organizações de serviços por informações confiáveis baseadas em riscos.

• O SOC 1 ajuda entidades (organizações de serviços) que operam sistemas de informação e fornecem serviços de processos de negócios que suportam relatórios financeiros a criar confiança em seus processos e controles de entrega por meio de um relatório que podem entregar a seus clientes e aos auditores externos dos clientes.
• O SOC 2/3 ajuda as entidades a atender às necessidades de uma ampla gama de usuários que precisam de informações e garantias sobre os controles da entidade que afetam a segurança, a privacidade, a confidencialidade, a disponibilidade e a integridade do processamento dos sistemas da entidade.
• O SOC for Cyber ajuda as entidades a atender às necessidades de uma ampla gama de usuários que precisam de informações e garantias sobre o programa de gerenciamento de riscos de segurança cibernética de uma entidade em toda a empresa.
• O SOC for Supply Chain ajuda as entidades a atender às necessidades dos stakeholders que exigem informações e garantias sobre o sistema e os controles de uma entidade para produzir, fabricar ou distribuir mercadorias para entender melhor os riscos em suas cadeias de suprimentos.

As equipes da EY também fornecem serviços de pré-avaliação para um assunto preliminar, como uma descrição do sistema antes da execução de um contrato de garantia limitado ou razoável (por exemplo, relatório SOC).

Os serviços de Procedimentos Acordados (AUP) ajudam as entidades a comunicar resultados independentes de controles, testes ou outros procedimentos acordados entre a entidade e terceiros destinatários do relatório. Os contratos da AUP permitem que as entidades comuniquem descobertas factuais independentes sobre testes de controle ou outros procedimentos aos destinatários terceirizados do relatório da AUP. As equipes da EY apresentam e relatam um conjunto de procedimentos com os quais as entidades e os terceiros especificados relatam que os usuários concordam, e as conclusões relacionadas resultantes dos procedimentos.

O ISAE 3000 relata os procedimentos relacionados à auditoria com os quais o auditor, a entidade e quaisquer terceiros apropriados concordaram (relacionados a informações não financeiras):

• Teste de controle ISAE 3000 — a capacidade de realizar os procedimentos e testes de controle, levando a um relatório de garantia (de acordo com o padrão ISAE 3000)
• Suporte e treinamento na implementação do ISAE 3000 — a capacidade de fornecer treinamento sobre a execução de procedimentos, levando a um relatório de garantia (de acordo com o padrão ISAE 3000)

Os serviços de Certificação, Implementação e Treinamento do Sistema de Gestão ISO fornecem implementação e certificação de um sistema de gerenciamento de acordo com os padrões ISO e outras estruturas de certificação estabelecidas.

A EY CertifyPoint B.V., uma entidade da EY fundada em 2002, é um instituto de certificação credenciado, independente e imparcial com sede na Holanda. Por meio do EY CertifyPoint, as equipes da EY oferecem cursos de Implementador Líder e Auditor Líder, incluindo a certificação do pessoal da entidade para vários padrões ISO.

As equipes da EY apoiam as entidades no cumprimento de suas metas, melhorando a eficiência e a eficácia de seus sistemas de gestão. As equipes da EY mantêm o negócio no centro, identificando áreas de redundância, gargalos e possíveis ganhos de eficiência por meio de uma abordagem de certificação sistemática e independente em relação a um padrão reconhecido globalmente.

Os seguintes padrões são abordados:

• ISO 9001: Sistema de Gestão da Qualidade
• ISO 14001: Sistema de Gestão Ambiental
• ISO/IEC 20000-1: Sistema de gerenciamento de serviços de TI
• ISO 22301: Sistema de Gestão de Continuidade de Negócios
• ISO/IEC 27001: Sistema de Gestão de Segurança da Informação
• ISO/IEC 27017: Controles de segurança na nuvem
• ISO/IEC 27018: Proteção de informações de identificação pessoal na nuvem
• ISO/IEC 27701: Sistema de gerenciamento de informações de privacidade
• ISO 37001: Sistema de gestão antissuborno
• ISO/IEC 42001: Sistema de Gestão de Inteligência Artificial
• ISO 45001: Sistema de Gestão de Saúde e Segurança Ocupacional
• ISO 50001: Gestão de energia
• Avaliações da Associação Mundial de Loteria (WLA)
• Certificação CSA STAR
• NEN 7510-1: Sistema de Gestão de Segurança da Informação em Saúde
• Herói de Dados de Saúde (HDS)
• Segurança em nuvem de vários níveis (MTCS - Cingapura)
• Avaliação do GDPR
• Órgão de monitoramento credenciado pelo Código de Conduta da CISPE
• Abordagem integrada com ISAE3402, SOC e outros relatórios de atestado, como uma combinação da ISO/IEC 27001:2013 com a ISAE3402

Uma avaliação do sistema e do processo inclui uma avaliação do controle interno como parte de uma atualização ou implementação de um ERP (por exemplo, SAP S/4HANA), um aplicativo ou um processo. Esses serviços fornecem uma avaliação independente do estado atual de uma entidade ou um controle interno estadual futuro documentado para fornecer recomendações de práticas líderes para consideração da administração. Uma atualização do sistema ou do processo ou uma avaliação da implementação ajuda a entidade a:

• Tenha a confiança de que as considerações de controle interno sejam tratadas adequadamente.
• Entenda os processos comerciais complexos.
• Identifique novos riscos e lacunas de controle introduzidas por mudanças no processo ou na tecnologia e nas recomendações de remediação com base nas principais práticas.
• Permita que a entidade aproveite os novos recursos que permitem uma melhor alavancagem do investimento em novos processos ou tecnologias, incluindo oportunidades de automação e melhoria de processos e GRC. integração, geração de relatórios e monitoramento contínuo de controle.

Uma pré-avaliação de um projeto de assunto, como uma descrição do sistema, antes da execução de um contrato de garantia limitado ou razoável (por exemplo, relatório SOC), ajuda a entidade a:

• Entenda como aplicar os critérios de avaliação ao assunto 
• Compreenda os requisitos de divulgação das informações do assunto (por exemplo, a descrição da gerência para um relatório do SOC)
• Compreenda os procedimentos realizados para avaliar as informações e/ou controles do assunto

Os serviços de conformidade de TI e garantia regulatória ajudam as entidades a entender, preparar e reportar para lidar com leis, regulamentações e padrões profissionais em rápida evolução. Esses serviços ajudam uma entidade a atender de forma mais sustentável e eficiente aos requisitos de conformidade tecnológica regulatórios e específicos do setor (por exemplo, governo, saúde, serviços financeiros). Os exemplos incluem ajudar as entidades a cumprir os requisitos relacionados a:

• Regulamentos de IA (por exemplo, Lei de IA)
• Segurança cibernética (por exemplo, Lei de Resiliência Cibernética, Certificação do Modelo de Maturidade de Segurança Cibernética, Diretiva de Segurança de Rede e Informação (NIS2))
• Segurança de dados (por exemplo, Data Act)
• Resiliência digital (por exemplo, Lei de Serviços Digitais, Lei de Mercados Digitais, Lei de Resiliência Operacional Digital)
• Requisitos específicos do setor (por exemplo, HITRUST, SWIFT, TISAX)
• Controles de dados e TI nos relatórios do ESG