SF3TECHNOLOGIES
Servicios · SOX y cumplimiento normativo

Controles de TI en los que sus auditores pueden confiar.

Si su empresa cotiza en bolsa, se prepara para salir a bolsa o forma parte de un grupo cotizado en Estados Unidos, sus auditores le preguntarán cómo gestiona TI el acceso, los cambios, las copias de seguridad y la evidencia. Como su proveedor de servicios gestionados, configuramos esos controles en Microsoft 365, Google Workspace y sus dispositivos, y mantenemos la evidencia lista cada trimestre.

Hable con nosotrosEmpiece con una evaluación de carencias
Qué hacemos

La parte de TI de su auditoría, convertida en rutina.

Los controles generales de TI de SOX, o ITGC, son la parte de TI de una auditoría financiera. No tienen nada de exótico. Son la disciplina de saber quién puede tocar los sistemas financieros, cómo se aprueban los cambios y si podría recuperarse si algo fallara. Hacemos realidad esa disciplina en los sistemas que ya utiliza.

  • Control de acceso: procesos de alta, traslado y baja de personal, revisiones de los roles de administrador, autenticación multifactorial (MFA) y revisiones trimestrales de acceso de usuarios con evidencia
  • Gestión de cambios: aprobaciones, pruebas y registro de los cambios en los sistemas financieros y en las plataformas que los rodean
  • Operaciones de TI: supervisión, copias de seguridad y recuperación probada, con registros que su auditor pueda leer
  • Registro y conservación: registros de inicio de sesión, de administración y de acceso a datos conservados durante el tiempo que exija el control
  • Paquetes de evidencia: capturas de pantalla, exportaciones y aprobaciones recopiladas según un calendario, no reunidas a toda prisa en la semana de auditoría
  • Una matriz de controles y políticas escritas a la medida de una empresa de 10 a 150 personas, no una plantilla redactada para un banco
Cómo funciona

Evaluar, corregir, operar, acompañar.

Trabajamos junto a su equipo financiero y su firma de auditoría. No realizamos la auditoría ni sustituimos a los responsables de sus controles internos. Nos aseguramos de que TI nunca sea la razón por la que falla un control.

  1. 01

    Evaluación de carencias

    Revisamos su entorno actual frente a los ITGC que su auditor pondrá a prueba y le entregamos una lista priorizada.

  2. 02

    Corrección

    Cerramos las carencias, desde la limpieza de accesos y el acceso condicional hasta el seguimiento de cambios y las pruebas de copias de seguridad.

  3. 03

    Operación de los controles

    Las revisiones de acceso, los registros de cambios y las comprobaciones de copias de seguridad se vuelven rutina, y la evidencia se genera como subproducto.

  4. 04

    Apoyo en la auditoría

    Nos sentamos con su controller y su auditor, respondemos las preguntas de TI y entregamos la evidencia en el formato que esperan.

Su inquilino sigue siendo suyo

Nosotros nos encargamos de su Microsoft 365 o Google Workspace. Usted conserva la plena propiedad.

A los auditores les gusta esta parte. Operamos dentro de su propio Microsoft 365, Google Workspace y sus sistemas financieros a través de cuentas de administrador dedicadas a nombre de su empresa, protegidas con autenticación multifactorial (MFA), registradas y utilizadas únicamente siguiendo sus instrucciones, lo que es en sí mismo un control que usted puede mostrar. Nada se transfiere a los sistemas de SF3 Technologies.

Si la relación termina, entregamos los controles, la evidencia y la documentación a su nuevo equipo mediante un traspaso documentado, acompañamos la transición y después eliminamos nuestras cuentas, de modo que usted lo conserva todo.

Antes de salir a bolsa

Preparación de TI antes de la salida a bolsa

Las empresas que están a entre seis y dieciocho meses de salir a bolsa tienen una ventana corta para que los controles de TI funcionen durante trimestres completos antes de que los auditores los prueben. Le ayudamos a empezar pronto y en pequeño: identidades depuradas, acceso de administrador reducido y registrado, una gestión de cambios implantada de forma que los ingenieros la sigan de verdad, y copias de seguridad con restauración comprobada.

Inicie la conversación
Filiales

Filiales de grupos cotizados en EE. UU.

Si su empresa matriz cotiza en Estados Unidos, su TI hereda SOX aunque nadie en su oficina haya leído la ley. Trabajamos con filiales cuya sede central envía un cuestionario de controles una vez al año y espera respuestas claras. Traducimos esos requisitos en configuraciones concretas, operamos los controles en local y reportamos en el formato que el grupo espera.

Gestión de Microsoft 365
Más allá de SOX

La misma evidencia responde a otras preguntas

Los mismos controles responden a la mayoría de las demás preguntas que recibe una empresa en crecimiento: preparación para SOC 2, cuestionarios de seguridad de clientes, solicitudes de ciberseguro, obligaciones del RGPD en Europa y leyes locales de protección de datos como la Ley 1581 de Colombia. Una vez que la evidencia existe, responder se convierte en señalarla.

Seguridad del correo electrónico y DMARC
Lo que obtendrá

Semanas de auditoría más cortas, menos hallazgos.

  • Un conjunto de controles que se adapta a su tamaño y a las expectativas de su auditor
  • Controles de acceso, cambios y copias de seguridad operando cada trimestre con evidencia
  • Menos hallazgos, semanas de auditoría más cortas y sin prisas de última hora
  • Documentación de su propiedad, que puede entregar a un nuevo auditor o a un nuevo director financiero
  • TI que respalda la salida a bolsa en lugar de frenarla
Preguntas que nos hacen a menudo

Respuestas claras sobre SOX y los controles de TI.

Si el suyo no aparece aquí, pregúntelo y una persona real le responderá.

Pregúntenos cualquier otra cosa

Los auditores se centran en los controles generales de TI: quién tiene acceso a los sistemas financieros, cómo se aprueban y registran los cambios, si se prueban las copias de seguridad y la recuperación, y si existe evidencia de todo ello. Para una empresa de su tamaño, la lista es manejable una vez que se documenta y se ejecuta según un calendario.

¿Un auditor, un consejo de administración o una empresa matriz le plantean preguntas sobre TI que aún no puede responder?

Hable con nosotros