Controles de información financiera (SOC 1)

SOC 1 es un informe de aseguramiento independiente sobre los controles internos de una organización de servicios que afectan los INFORMES FINANCIEROS de sus clientes. No es un certificado: es un informe emitido por un auditor independiente autorizado y contiene la opinión del auditor. Su usuario principal es el propio contable o auditor independiente del cliente.

• Empresas que brindan servicios de nómina y contabilidad.
• Proveedores de servicios de procesamiento y cobro de pagos
• Proveedores de servicios de gestión y custodia de activos
• Proveedores de SaaS que procesan los datos financieros de sus clientes
• Organizaciones de servicios que reciben una solicitud de informe del auditor independiente de su cliente.

No obligatorio; se solicita cuando el proceso de auditoría independiente del cliente lo requiere. Para las organizaciones que prestan servicios a empresas que cotizan en bolsa, efectivamente se convierte en un requisito debido a la solicitud del auditor del cliente.

• Descripción del sistema: alcance del servicio, procesos, infraestructura, personal y flujo de datos.
• Establecer objetivos de control (relacionados con la información financiera)
• Definición de actividades de control
• Tipo I — idoneidad del diseño de los controles en una fecha específica
• Tipo II — la eficacia operativa de los controles durante un período específico
• Controles complementarios de entidades usuarias (CUEC)
• Tratamiento de las organizaciones de subservicios: el método inclusivo o excluyente
• La opinión del auditor y los resultados de las pruebas.

1. 1Determinación del alcance y el programaSe determinan los sitios y procesos que se auditarán y la duración de la auditoría que requiere el esquema.
2. 2PreevaluaciónOpcionalmente se lleva a cabo un análisis de deficiencias; Las lagunas se hacen visibles antes de la auditoría principal.
3. 3Auditoría in situLa revisión de registros, la observación del sitio y las entrevistas a los trabajadores se llevan a cabo según la lista de verificación del plan.
4. 4Reporte de los hallazgosLos resultados se informan según la clasificación del esquema. El resultado de estos sistemas es un informe de auditoría, no un certificado.
5. 5Acción correctiva y seguimientoSe presenta un plan de acciones correctivas para los hallazgos; se cierra con una auditoría de seguimiento en el marco del plan.

El período de validez de los informes de auditoría lo establece el plan y suele oscilar entre uno y dos años. El informe se utiliza durante el período que acepta la marca compradora.

• Detalles de la organización y del sitio
• Plantilla y patrón de turnos
• Permisos y licencias legales
• Políticas y procedimientos relevantes
• Registros de nómina, tiempo y personal.

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

• El número de sitios a auditar y la plantilla.
• La duración de la auditoría que prescribe el plan.
• Si se solicita una evaluación previa (análisis de deficiencias)
• Si se requiere una auditoría de seguimiento

La mayoría de estos sistemas producen informes de auditoría, no documentos, y están sujetos al propio sistema de aprobación del propietario del sistema (por ejemplo, Sedex, amfori, RBA); La acreditación en el sentido clásico no se encuentra en todos los sistemas. La competencia del auditor y la validez del informe están determinadas por las normas del propietario del plan.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

• SOC 2Controles de confianza de la organización de servicios
• PCI DSSSeguridad de los datos de la tarjeta de pago
• TISAXEvaluación de seguridad de la información automotriz
• ISO/IEC 27001Gestión de seguridad de la información
• ISO/IEC 27017Seguridad en la nube
• ISO/IEC 27018Datos personales en la nube
• ISO/IEC 27701Gestión de la información de privacidad
• ISO/IEC 42001Sistema de gestión de inteligencia artificial