Si su empresa cotiza en bolsa, se prepara para salir a bolsa o forma parte de un grupo que cotiza en Estados Unidos, sus auditores le preguntarán cómo maneja TI el acceso, los cambios, las copias de seguridad y la evidencia. Como su proveedor de servicios gestionados, configuramos esos controles en Microsoft 365, Google Workspace y sus dispositivos, y mantenemos la evidencia lista cada trimestre.
Los controles generales de TI de SOX, o ITGC, son la parte de TI de una auditoría financiera. No tienen nada de exótico. Son la disciplina de saber quién puede tocar los sistemas financieros, cómo se aprueban los cambios y si podría recuperarse si algo fallara. Hacemos realidad esa disciplina en los sistemas que ya utiliza.
Trabajamos junto a su equipo de finanzas y su firma de auditoría. No realizamos la auditoría ni sustituimos a los responsables de sus controles internos. Nos aseguramos de que TI nunca sea la razón por la que falla un control.
Revisamos su entorno actual frente a los ITGC que su auditor pondrá a prueba y le entregamos una lista priorizada.
Cerramos las brechas, desde la limpieza de accesos y el acceso condicional hasta el seguimiento de cambios y las pruebas de copias de seguridad.
Las revisiones de acceso, los registros de cambios y las verificaciones de copias de seguridad se vuelven rutina, y la evidencia se genera como subproducto.
Nos sentamos con su contralor y su auditor, respondemos las preguntas de TI y entregamos la evidencia en el formato que esperan.
A los auditores les gusta esta parte. Operamos dentro de su propio Microsoft 365, Google Workspace y sus sistemas financieros a través de cuentas de administrador dedicadas a nombre de su empresa, protegidas con autenticación multifactorial (MFA), registradas y utilizadas únicamente bajo sus instrucciones, lo cual es en sí mismo un control que usted puede mostrar. Nada se transfiere a los sistemas de SF3 Technologies.
Si la relación termina, entregamos los controles, la evidencia y la documentación a su nuevo equipo mediante un traspaso documentado, acompañamos la transición y después eliminamos nuestras cuentas, de modo que usted conserva todo.
Las empresas que están a entre seis y dieciocho meses de salir a bolsa tienen una ventana corta para que los controles de TI operen durante trimestres completos antes de que los auditores los prueben. Le ayudamos a empezar pronto y en pequeño: identidades depuradas, acceso de administrador reducido y registrado, una gestión de cambios introducida de forma que los ingenieros realmente la sigan, y copias de seguridad con restauración comprobada.
Inicie la conversaciónSi su empresa matriz cotiza en Estados Unidos, su TI hereda SOX aunque nadie en su oficina haya leído la ley. Trabajamos con filiales cuya casa matriz envía un cuestionario de controles una vez al año y espera respuestas claras. Traducimos esos requisitos en configuraciones concretas, operamos los controles localmente y reportamos en el formato que el grupo espera.
Administración de Microsoft 365Los mismos controles responden a la mayoría de las demás preguntas que recibe una empresa en crecimiento: preparación para SOC 2, cuestionarios de seguridad de clientes, solicitudes de seguros cibernéticos, obligaciones del RGPD en Europa y leyes locales de protección de datos como la Ley 1581 de Colombia. Una vez que la evidencia existe, responder se convierte en señalarla.
Seguridad del correo electrónico y DMARCSi el suyo no aparece aquí, pregúntelo y una persona real le responderá.
Pregúntenos algo másLos auditores se centran en los controles generales de TI: quién tiene acceso a los sistemas financieros, cómo se aprueban y registran los cambios, si se prueban las copias de seguridad y la recuperación, y si existe evidencia de todo ello. Para una empresa de su tamaño, la lista es manejable una vez que se documenta y se ejecuta según un calendario.
Empiece al menos un año antes de la fecha prevista de salida a bolsa, para que las revisiones de acceso, la gestión de cambios y los registros hayan operado durante trimestres completos cuando los auditores los prueben. Empezar antes reduce el trabajo, porque un acceso limpio y buenas copias de seguridad son más fáciles de mantener que de reconstruir.
Sí, exportamos quién tiene acceso a qué en Microsoft 365, Google Workspace y sus sistemas financieros, preparamos la revisión para que la aprueben sus responsables de control y archivamos la evidencia. Los cambios que surgen de la revisión se ejecutan y se registran de la misma manera.
Empiece con una evaluación de controles generales de TI que documente el acceso, los cambios y las copias de seguridad tal como están hoy, y compárela con el cuestionario que le envió su casa matriz. Después cerramos las brechas y le entregamos la evidencia en el formato que espera el auditor de su grupo.
Sí, los mismos controles de acceso, cambios, copias de seguridad y registro responden a la mayor parte de una revisión de preparación para SOC 2 y a la mayoría de los cuestionarios de seguridad de clientes. Preparamos las respuestas de TI y la evidencia de respaldo para que su equipo pueda responder con confianza.
No. Su firma de auditoría prueba los controles, y nosotros diseñamos, implementamos y operamos la parte de TI para que tengan algo sólido que probar. Mantener esas funciones separadas es parte de lo que hace creíbles los controles.
¿Un auditor, una junta directiva o una empresa matriz le hacen preguntas de TI que aún no puede responder?
Contáctenos