SF3TECHNOLOGIES
GuíasGuías · SOX y cumplimiento normativo

Controles de TI para SOX en empresas pre-OPI: lista de verificación de preparación

Qué prueban los auditores en el área de TI, cuándo empieza cada parte de SOX y la lista de verificación que usamos para que los controles de acceso, cambios, copias de seguridad y registros funcionen antes de la primera auditoría.

Lectura de 9 minutosActualizado

La respuesta corta

Si planea salir a bolsa en los próximos 12 a 18 meses, empiece ya con sus controles generales de TI. Los auditores quieren ver que los controles de acceso, cambios, copias de seguridad y registros funcionan desde hace varios trimestres, no que se configuraron el mes anterior a su llegada. La mayoría de las empresas de 5 a 150 personas pueden lograrlo con el Microsoft 365 o el Google Workspace que ya utilizan, algunas mejoras de licencia y unos pocos procesos escritos que la gente realmente siga.

Lo que SOX le pide a TI, en palabras sencillas

La Ley Sarbanes-Oxley (SOX) persigue un solo objetivo: informes financieros en los que los inversionistas puedan confiar. TI entra en el alcance solo donde los sistemas generan, almacenan o modifican las cifras. Por eso la parte de TI es más acotada de lo que la mayoría teme.

SecciónQué significaCuándo empieza para una empresa que acaba de salir a bolsa
SOX 302El director ejecutivo y el director financiero certifican personalmente cada informe trimestral y anual, y los controles de divulgación que lo respaldan.Desde el primer informe trimestral o anual después de salir a bolsa.
SOX 404(a)La administración evalúa cada año el control interno sobre la información financiera (ICFR), normalmente con base en el marco COSO 2013.Normalmente desde el segundo informe anual después de salir a bolsa.
SOX 404(b)El auditor externo prueba esos controles y emite un dictamen sobre ellos.Solo para las emisoras de mayor tamaño (larger filers). Las empresas emergentes en crecimiento (emerging growth companies) están exentas hasta por cinco años, y las emisoras no aceleradas (non-accelerated filers) están exentas.

Aunque su empresa esté exenta de 404(b) por un tiempo, el auditor de sus estados financieros igual revisa los controles de TI, y las debilidades detectadas durante la preparación de la OPI pueden terminar divulgadas en la declaración de registro. Por eso la evidencia debe tener calidad de auditoría desde el principio.

Cuándo empezar

Tiempo antes de salir a bolsaQué debe pasar en TI
De 18 a 12 mesesConfirme con su asesor legal y su firma de auditoría el calendario de salida a bolsa y su categoría de emisora ante la SEC (filer status). Haga una lista de todos los sistemas que tocan las cifras y de quién es responsable de cada uno. Ordene las identidades: cuentas nominativas, autenticación multifactorial (MFA) en todas partes y menos administradores.
De 12 a 6 mesesRedacte las políticas y los procesos. Empiece a operar los controles: revisiones de acceso, registros de cambios, pruebas de restauración de copias de seguridad. Reúna la evidencia sobre la marcha.
De 6 meses a la salida a bolsaHaga un recorrido de prueba de cada control tal como lo haría un auditor. Corrija las brechas. Mantenga los controles funcionando cada trimestre.
Después de salir a bolsaLas certificaciones de SOX 302 empiezan con el primer informe. Mantenga al día el calendario de evidencia para que la primera evaluación 404(a) de la administración consista en reunir archivos, no en reconstruirlos.

Qué sistemas entran en el alcance

No todos. El alcance son los sistemas que generan, almacenan o procesan datos financieros:

  • Contabilidad o ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero y similares
  • Nómina y recursos humanos: ADP, Gusto, Paylocity, Rippling y similares
  • Herramientas bancarias, de pagos y de gastos
  • La plataforma de identidad que controla el acceso a todo lo anterior: Microsoft Entra ID o Google Workspace, con MFA e inicio de sesión único (SSO)
  • El lugar donde viven los archivos y las hojas de cálculo de finanzas: SharePoint, OneDrive, Teams o Google Drive
  • Las computadoras que usa su equipo de finanzas

Para los servicios en la nube que usted no opera, los auditores se apoyan en el informe SOC 1 Type II del proveedor. Reúnalos cada año y revise la sección "complementary user entity controls" (los controles que le corresponden a la entidad usuaria). Allí se indica lo que el proveedor espera que usted haga de su lado, que suele ser revisiones de acceso y MFA.

La lista de verificación de preparación

Estos son los controles generales de TI (ITGC) que prueban los auditores, agrupados como ellos los prueban.

Gestión de accesos

  • Un proceso escrito de alta, traslado y baja de usuarios, con el acceso aprobado antes de otorgarse
  • Cuentas de quienes dejan la empresa desactivadas sin demora, con fechas de recursos humanos que se puedan comparar con las fechas de desactivación
  • Revisiones trimestrales del acceso de usuarios a cada sistema financiero, aprobadas por el responsable del sistema
  • Cuentas de administrador separadas y nominativas. Sin inicios de sesión compartidos ni derechos de administrador en las cuentas de uso diario
  • Roles de administrador limitados a pocas personas, con la actividad de administración registrada y revisada cada trimestre

Seguridad lógica

  • MFA en todas las cuentas, con métodos resistentes al phishing para los administradores, como las claves de acceso (passkeys)
  • Métodos de inicio de sesión heredados bloqueados
  • Reglas de acceso condicional o políticas de inicio de sesión equivalentes, documentadas
  • Computadoras de la empresa inscritas en la administración de dispositivos (Intune para Windows, Mosyle u otra solución MDM para Mac)

Gestión de cambios

  • Cambios en los sistemas financieros y en la configuración de seguridad solicitados, aprobados, probados y registrados
  • Quien solicita un cambio nunca es quien lo aprueba
  • Historial de cambios de configuración conservado para su sistema contable

Operaciones de TI y copias de seguridad

  • Copias de seguridad de Microsoft 365 o Google Workspace y de sus datos financieros, con seguimiento de las fallas
  • Una prueba de restauración cada trimestre, con un registro por escrito
  • Incidentes registrados, investigados y cerrados

Registros y evidencia

  • Registros de inicio de sesión, de administración y de acceso a archivos conservados al menos durante todo el año de auditoría
  • Evidencia recopilada según un calendario (mensual, trimestral, anual), no reunida a última hora en la semana de auditoría
  • Políticas firmadas, fechadas y revisadas una vez al año

Segregación de funciones en TI

  • Los administradores de TI no tienen roles transaccionales en los sistemas financieros
  • Su proveedor de TI no puede aprobar su propio acceso ni sus propios cambios
  • Un patrocinador ejecutivo revisa y aprueba la actividad de administración del proveedor

Si usa Microsoft 365 o Google Workspace

En Microsoft 365, las dos funciones que más ayudan son Privileged Identity Management (PIM), que hace que los derechos de administrador sean temporales y queden registrados, y las revisiones de acceso. Ambas requieren Microsoft Entra ID P2, que viene con Microsoft 365 E5 o se puede agregar a Business Premium. Los registros de auditoría estándar se conservan 180 días, menos que un año de auditoría, así que contrate una licencia con retención más larga o exporte los registros cada mes a un lugar donde su auditor pueda consultarlos.

En Google Workspace, use cuentas de superadministrador separadas, exija la verificación en dos pasos y compruebe cuánto tiempo conserva su edición los registros de administración y de inicio de sesión. Si es menos de un año, expórtelos de forma programada.

Cinco errores que vemos a menudo

  1. Empezar en el año de auditoría. Los controles necesitan tiempo de funcionamiento antes de que alguien pueda probarlos.
  2. Una sola cuenta de administrador compartida. Si nadie puede saber quién hizo un cambio, el control de cambios falla.
  3. Revisiones de acceso sin evidencia. Para el auditor, una revisión que se hizo pero no se firmó ni se fechó no ocurrió.
  4. Que el proveedor de TI apruebe su propio trabajo. Alguien de la empresa tiene que aprobar y revisar lo que hace el proveedor.
  5. Olvidarse de los proveedores. Que falte el informe SOC 1 de su proveedor de nómina es un hallazgo, aunque sus propios controles sean perfectos.

Quién hace qué

SOX es un trabajo en equipo, y los límites entre roles importan:

  • Su equipo de finanzas es responsable de los controles de los procesos de negocio: ingresos, cierre contable, asientos de diario, quién puede dar de alta proveedores y liberar pagos.
  • Su proveedor de TI configura y opera los controles generales de TI y genera la evidencia.
  • Alguien independiente de la persona que opera cada control realiza las pruebas que respaldan la evaluación de la administración: su contralor, una firma externa de auditoría interna o un consultor de SOX.

Mantener separados estos roles es, en sí mismo, algo que los auditores revisan.

Preguntas frecuentes

Lo que nos preguntan

Respuestas breves a lo que más nos preguntan los fundadores y los responsables de finanzas.

Pregúntenos algo más

Lo cómodo es empezar entre doce y dieciocho meses antes de salir a bolsa. Los controles tienen que funcionar durante varios trimestres antes de poder probarse, y solo ordenar las identidades puede llevar unos meses en una empresa que creció rápido.

Cómo le ayuda SF3 Technologies

Configuramos y operamos la parte de TI de SOX para empresas que cotizan en bolsa y empresas pre-OPI: una evaluación de brechas frente a los controles que su auditor va a probar, la corrección en Microsoft 365, Google Workspace y sus dispositivos, la operación trimestral de los controles con evidencia y apoyo durante el trabajo de campo de la auditoría. Trabajamos dentro de su propio inquilino mediante cuentas de administrador dedicadas a nombre de su empresa, protegidas con MFA y registradas, lo cual es en sí mismo un control que puede mostrarle a su auditor.

Comience con una evaluación de brechasSOX y preparación para el cumplimiento normativo

Esta guía es información general, no asesoría legal ni de auditoría. Confirme su categoría de emisora, su calendario y el alcance con su asesor en valores y su firma de auditoría.