¿Necesitamos SOX si estamos exentos de 404(b)?

Sí. Las certificaciones de SOX 302 empiezan con su primer informe, y después llega la evaluación 404(a) de la dirección. El auditor de sus estados financieros también revisará los controles de TI. Lo único que se aplaza es la opinión independiente del auditor conforme a 404(b).

¿Qué sistemas de TI entran en el alcance de SOX?

Solo los sistemas que generan, almacenan o procesan datos financieros: contabilidad y ERP, nóminas, herramientas bancarias y de gastos, la plataforma de identidad que controla el acceso a ellos y el lugar donde están los archivos de finanzas. Las herramientas de marketing y la mayoría de los sistemas de ingeniería suelen quedar fuera del alcance.

¿Puede nuestro proveedor de servicios gestionados probar también los controles?

No debería ser quien pruebe formalmente los controles que él mismo aplica. El proveedor puede hacer un simulacro de preparación, pero las pruebas que respaldan la evaluación de la dirección deben venir de alguien independiente, como su controller o una firma de auditoría interna.

¿Qué licencias necesitamos en Microsoft 365?

Business Premium cubre MFA, acceso condicional y gestión de dispositivos. Privileged Identity Management y las revisiones de acceso requieren Entra ID P2, incluido en Microsoft 365 E5 o disponible como complemento. Prevea registros de auditoría que cubran un año completo.

GuíasGuías · SOX y cumplimiento normativo

Controles de TI para SOX antes de salir a bolsa: lista de comprobación

Qué prueban los auditores en el área de TI, cuándo empieza cada parte de SOX y la lista de comprobación que usamos para que los controles de acceso, cambios, copias de seguridad y registros funcionen antes de la primera auditoría.

9 minutos de lecturaActualizado 24 de octubre de 2026

La respuesta corta

Si tiene previsto salir a bolsa en los próximos 12 a 18 meses, empiece ya con sus controles generales de TI. Los auditores quieren ver que los controles de acceso, cambios, copias de seguridad y registros llevan funcionando varios trimestres, no que se configuraron el mes anterior a su llegada. La mayoría de las empresas de 5 a 150 personas pueden conseguirlo con el Microsoft 365 o el Google Workspace que ya utilizan, algunas mejoras de licencia y unos pocos procesos escritos que la gente siga de verdad.

Lo que SOX pide a TI, en palabras sencillas

La Ley Sarbanes-Oxley (SOX) persigue un único objetivo: informes financieros en los que los inversores puedan confiar. TI entra en el alcance solo donde los sistemas generan, almacenan o modifican las cifras. Por eso la parte de TI es más acotada de lo que la mayoría teme.

Sección	Qué significa	Cuándo empieza para una empresa que acaba de salir a bolsa
SOX 302	El consejero delegado y el director financiero certifican personalmente cada informe trimestral y anual, y los controles de divulgación que lo respaldan.	Desde el primer informe trimestral o anual tras la salida a bolsa.
SOX 404(a)	La dirección evalúa cada año el control interno sobre la información financiera (ICFR), normalmente según el marco COSO 2013.	Normalmente desde el segundo informe anual tras la salida a bolsa.
SOX 404(b)	El auditor externo prueba esos controles y emite una opinión sobre ellos.	Solo para los emisores de mayor tamaño (larger filers). Las empresas emergentes en crecimiento (emerging growth companies) están exentas durante un máximo de cinco años, y los emisores no acelerados (non-accelerated filers) están exentos.

Aunque su empresa esté exenta de 404(b) durante un tiempo, el auditor de sus estados financieros sigue revisando los controles de TI, y las deficiencias detectadas durante la preparación de la salida a bolsa pueden acabar divulgadas en la declaración de registro. Por eso la evidencia tiene que tener calidad de auditoría desde el principio.

Cuándo empezar

Tiempo antes de salir a bolsa	Qué debe ocurrir en TI
De 18 a 12 meses	Confirme con su asesor jurídico y su firma de auditoría el calendario de salida a bolsa y su categoría de emisor ante la SEC (filer status). Haga una lista de todos los sistemas que tocan las cifras y de quién es responsable de cada uno. Ponga orden en las identidades: cuentas nominativas, autenticación multifactorial (MFA) en todas partes y menos administradores.
De 12 a 6 meses	Redacte las políticas y los procesos. Empiece a aplicar los controles: revisiones de acceso, registros de cambios, pruebas de restauración de copias de seguridad. Reúna la evidencia sobre la marcha.
De 6 meses a la salida a bolsa	Haga un recorrido de prueba de cada control tal como lo haría un auditor. Corrija las carencias. Mantenga los controles funcionando cada trimestre.
Después de salir a bolsa	Las certificaciones de SOX 302 empiezan con el primer informe. Mantenga al día el calendario de evidencia para que la primera evaluación 404(a) de la dirección consista en recopilar archivos, no en reconstruirlos.

Qué sistemas entran en el alcance

No todos. El alcance son los sistemas que generan, almacenan o procesan datos financieros:

Contabilidad o ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero y similares
Nóminas y recursos humanos: ADP, Gusto, Paylocity, Rippling y similares
Herramientas bancarias, de pagos y de gastos
La plataforma de identidad que controla el acceso a todo lo anterior: Microsoft Entra ID o Google Workspace, con MFA e inicio de sesión único (SSO)
El lugar donde están los archivos y las hojas de cálculo de finanzas: SharePoint, OneDrive, Teams o Google Drive
Los ordenadores que usa su equipo de finanzas

Para los servicios en la nube que no gestiona usted mismo, los auditores se basan en el informe SOC 1 Type II del proveedor. Recójalos cada año y revise la sección "complementary user entity controls" (los controles que corresponden a la entidad usuaria). En ella se indica lo que el proveedor espera que usted haga por su parte, que suele ser revisiones de acceso y MFA.

La lista de comprobación

Estos son los controles generales de TI (ITGC) que prueban los auditores, agrupados tal como ellos los prueban.

Gestión de accesos

Un proceso escrito de alta, traslado y baja de personal, con el acceso aprobado antes de concederse
Cuentas de quienes dejan la empresa desactivadas sin demora, con fechas de RR. HH. que se puedan cotejar con las fechas de desactivación
Revisiones trimestrales del acceso de usuarios a cada sistema financiero, aprobadas por el responsable del sistema
Cuentas de administrador separadas y nominativas. Sin inicios de sesión compartidos ni derechos de administrador en las cuentas de uso diario
Roles de administrador limitados a pocas personas, con la actividad de administración registrada y revisada cada trimestre

Seguridad lógica

MFA en todas las cuentas, con métodos resistentes al phishing para los administradores, como las claves de acceso (passkeys)
Métodos de inicio de sesión heredados bloqueados
Reglas de acceso condicional o políticas de inicio de sesión equivalentes, documentadas
Ordenadores de la empresa inscritos en la gestión de dispositivos (Intune para Windows, Mosyle u otra solución MDM para Mac)

Gestión de cambios

Cambios en los sistemas financieros y en la configuración de seguridad solicitados, aprobados, probados y registrados
Quien solicita un cambio nunca es quien lo aprueba
Historial de cambios de configuración conservado para su sistema contable

Operaciones de TI y copias de seguridad

Copias de seguridad de Microsoft 365 o Google Workspace y de sus datos financieros, con seguimiento de los fallos
Una prueba de restauración cada trimestre, con un registro por escrito
Incidentes registrados, investigados y cerrados

Registros y evidencia

Registros de inicio de sesión, de administración y de acceso a archivos conservados al menos durante todo el año de auditoría
Evidencia recopilada según un calendario (mensual, trimestral, anual), no reunida a última hora en la semana de auditoría
Políticas firmadas, fechadas y revisadas una vez al año

Segregación de funciones en TI

Los administradores de TI no tienen roles transaccionales en los sistemas financieros
Su proveedor de TI no puede aprobar su propio acceso ni sus propios cambios
Un responsable de la dirección revisa y aprueba la actividad de administración del proveedor

Si utiliza Microsoft 365 o Google Workspace

En Microsoft 365, las dos funciones que más ayudan son Privileged Identity Management (PIM), que hace que los derechos de administrador sean temporales y queden registrados, y las revisiones de acceso. Ambas requieren Microsoft Entra ID P2, que viene con Microsoft 365 E5 o se puede añadir a Business Premium. Los registros de auditoría estándar se conservan 180 días, menos que un año de auditoría, así que contrate una licencia con retención más larga o exporte los registros cada mes a un lugar que su auditor pueda consultar.

En Google Workspace, use cuentas de superadministrador separadas, exija la verificación en dos pasos y compruebe cuánto tiempo conserva su edición los registros de administración y de inicio de sesión. Si es menos de un año, expórtelos de forma programada.

Cinco errores que vemos a menudo

Empezar en el año de auditoría. Los controles necesitan tiempo funcionando antes de que alguien pueda probarlos.
Una sola cuenta de administrador compartida. Si nadie puede saber quién hizo un cambio, el control de cambios falla.
Revisiones de acceso sin evidencia. Para el auditor, una revisión que se hizo pero no se firmó ni se fechó no ha existido.
Que el proveedor de TI apruebe su propio trabajo. Alguien de la empresa tiene que aprobar y revisar lo que hace el proveedor.
Olvidarse de los proveedores. Que falte el informe SOC 1 de su proveedor de nóminas es una incidencia de auditoría, aunque sus propios controles sean perfectos.

Quién hace qué

SOX es un trabajo en equipo, y los límites entre funciones importan:

Su equipo de finanzas es responsable de los controles de los procesos de negocio: ingresos, cierre contable, asientos contables, quién puede dar de alta proveedores y liberar pagos.
Su proveedor de TI configura y aplica los controles generales de TI y genera la evidencia.
Alguien independiente de la persona que aplica cada control realiza las pruebas que respaldan la evaluación de la dirección: su controller, una firma externa de auditoría interna o un consultor de SOX.

Mantener separadas estas funciones es, en sí mismo, algo que los auditores revisan.

Preguntas frecuentes

Lo que nos preguntan

Respuestas breves a lo que más nos preguntan los fundadores y los responsables de finanzas.

Pregúntenos cualquier otra cosa

Lo cómodo es empezar entre doce y dieciocho meses antes de salir a bolsa. Los controles tienen que funcionar durante varios trimestres antes de poder probarse, y solo poner orden en las identidades puede llevar unos meses en una empresa que ha crecido deprisa.

Cómo le ayuda SF3 Technologies

Configuramos y gestionamos la parte de TI de SOX para empresas cotizadas y empresas que preparan su salida a bolsa: una evaluación de carencias frente a los controles que su auditor va a probar, la corrección en Microsoft 365, Google Workspace y sus dispositivos, la aplicación trimestral de los controles con evidencia y apoyo durante el trabajo de campo de la auditoría. Trabajamos dentro de su propio inquilino mediante cuentas de administrador dedicadas a nombre de su empresa, protegidas con MFA y registradas, lo que ya es en sí mismo un control que puede mostrar a su auditor.

Empiece con una evaluación de carencias SOX y preparación para el cumplimiento normativo

Esta guía es información general, no asesoramiento jurídico ni de auditoría. Confirme su categoría de emisor, su calendario y el alcance con su asesor en mercado de valores y su firma de auditoría.