Disminuya los riesgos de la tercerización de las actividades de control

Disminuya los riesgos de la
tercerización de las actividades de control
En más de una ocasión hemos escuchado frases de seguridad como: “ese control lo maneja una
compañía externa especializada. No debemos preocuparnos por gestionar los riesgos”; y seguramente,
en más de una oportunidad, el auditor ha advertido sobre la necesidad de asegurar que ese proveedor
esté realizando su trabajo de forma apropiada, con los estándares de control y administración de riesgos
requeridos… Sin que nadie se detenga a revisarlos.
Es allí cuando ocurren situaciones de mal manejo o pérdida de la información. Es allí cuando nos damos
cuenta de que necesitamos los reportes SOC 1.
Las necesidades de los clientes son las obligaciones de sus proveedores de servicios
Toda organización que pretenda generar confianza en sus clientes actuales y futuros, debe garantizar
que cuenta con un portafolio de servicios que cumple con altos estándares de calidad y seguridad. De
esta manera certifican la integridad, confidencialidad y disponibilidad de la información que procesen.
Los clientes de estas organizaciones de servicio podrían requerir evaluar los procesos y controles de los
servicios que han contratado, con el fin de obtener una confiabilidad sobre el control interno de éstos y
atender sus requerimientos de seguridad. Por lo que necesitarán:
 Entender los controles sobre los procesos y su efecto en el control interno.
 Evaluar el diseño de tales controles, a través de revisiones directas o de terceros.
 Confiar en que los controles están operando y que los servicios que han contratado son
prestados bajo buenas prácticas de seguridad y control.
Y es por todo lo anteriormente mencionado que en su compromiso por tener una operación efectiva y
con altos estándares de calidad, los prestadores de estos servicios se interesarán por ejecutar
evaluaciones independientes control interno sobre sus servicios: obteniendo reportes SOC 1.
Informes Tipo SOC 1
A nivel internacional, la gestión de riesgo y control ha establecido estándares profesionales que sirven
de guía para evaluar y reportar sobre el control interno de terceras partes: El reporte SOC 1 (Report on
Controls at a Service Organization Relevant to User Entities’Internal Control over Financial Reporting, de
acuerdo al AICPA).
Disminuya los riesgos de la
tercerización de las actividades de control
El propósito: dar a los clientes de una “organización de servicios” información sobre los controles que
pueden ser relevantes para el control interno y la gestión de riesgos asociada a los mismos. En ciertas
circunstancias, cuando aplique, los auditores internos o externos de los clientes de una organización de
servicios pueden usar estos reportes con el fin de reducir la cantidad de procedimientos sustantivos de
auditoría requeridos.
Los reportes SOC 1 pueden ser de dos tipos:
 Tipo I – Reporte sobre los controles implementados puestos en operación.
 Tipo II – Reporte sobre los controles implementados y pruebas para determinar que hayan
operado eficazmente durante el período de tiempo definido en el alcance.
Los reportes Tipo II, son los más utilizados puesto que sirven a las organizaciones de servicios para
proveer un mayor nivel de aseguramiento a sus clientes, quienes les confían la administración de
servicios internos o externos.
Beneficios de los Informes SOC 1 –
 Satisfacer requerimientos de cumplimiento y auditoría: un reporte de este tipo es un
componente potencial de sus servicios que le ayudará a lograr las metas de satisfacción de
sus clientes.
 Eliminar o reducir auditorías repetitivas por parte de los clientes (y en consiguiente reducción
de costos): las organizaciones sin estos reportes pueden estar sujetas a pruebas por parte de
los auditores internos y externos de los clientes, lo que interrumpe las operaciones y requiere
la redistribución de recursos para ayudar a estos auditores.
 Contar con un elemento diferenciador frente a sus competidores: genera confianza entre sus
clientes.
 Anticiparse a posibles requerimientos de un informe de esta naturaleza por parte de sus
clientes actuales y futuros.
Disminuya los riesgos de la
tercerización de las actividades de control
Metodología
Para el desarrollo de las actividades inmersas en la emisión de un Reporte SOC1, se sigue, en general,
una metodología similar a la que se presenta en la figura anexa.
Ninguna evaluación de controles bajo metodologías SOC 1 se parece a otra. La selección del universo de
riesgos y sus actividades de control, depende muchas veces de la naturaleza y variedad de servicios que
son ejecutados por la Organización de Servicios, la complejidad del sector, el impacto que los mismos
puedan tener en los sistemas de control interno de sus clientes, entre otros factores.
Bismark Rodríguez
Socio de EY LAFSA