El programa de TPRM de una compañía de seguros aceptó un informe SOC 2 Tipo II de una firma de las Cuatro Grandes como la evidencia principal, y en la práctica la única, para la evaluación de un proveedor de analítica de datos. La lógica era sencilla: un SOC 2 Tipo II sin salvedades de una gran firma contable representa el estándar más alto de garantía de seguridad de terceros disponible. La evaluación se cerró sin solicitar más evidencia. Varios meses después, el equipo de auditoría interna de la compañía de seguros revisó la relación con el proveedor como parte de un programa más amplio de auditoría de terceros. Los auditores internos hicieron preguntas que la evaluación de TPRM no había hecho: el informe SOC 2 lo había preparado una firma de auditoría que también prestaba servicios de consultoría al proveedor, una relación divulgada en la sección de independencia del informe que la evaluación de TPRM no había revisado. El alcance del examen excluía la filial de enriquecimiento de datos que el proveedor había adquirido recientemente y que trataba una parte de los datos de los asegurados de la compañía. Las pruebas de los controles de cifrado habían usado los procedimientos de prueba estándar del auditor, que validaban el cifrado en reposo y en tránsito, pero no evaluaban las prácticas de gestión de claves en la arquitectura multiinquilino concreta que usaba el proveedor. Ninguna de estas brechas invalidaba el informe SOC 2. Eran factores que afectaban a la relevancia de la garantía del informe para el perfil de riesgo concreto de la compañía de seguros, factores que justificaban una evaluación complementaria en lugar de una confianza exclusiva.
¿Qué es realmente el problema de la confianza en auditorías de terceros?
Los informes de auditoría de terceros (SOC 2, ISO 27001, atestaciones PCI-DSS, informes de pruebas de penetración de firmas reconocidas) aportan una valiosa evidencia de aseguramiento. Representan el juicio profesional de especialistas independientes que han examinado los controles del proveedor frente a criterios definidos. Confiar de forma adecuada en los informes de auditoría de terceros es un componente eficiente y legítimo de la evaluación de seguridad de proveedores. El exceso de confianza se produce cuando los informes de auditoría se aceptan como una garantía integral que elimina la necesidad de una evaluación específica del cliente, sin evaluar los factores que afectan a la relevancia del informe para la relación concreta con el cliente.
La independencia del auditor y el alcance son los factores principales que afectan a la relevancia del informe. Las inquietudes sobre la independencia surgen cuando la firma de auditoría tiene una relación de consultoría o asesoría con el proveedor, una situación que no es necesariamente descalificante, pero que merece atención al evaluar la objetividad de la opinión de aseguramiento. Las inquietudes sobre el alcance surgen de los factores tratados a lo largo de este pilar: qué sistemas están dentro del alcance del examen, qué cubrió la metodología de muestreo y si el alcance definido incluye los sistemas más relevantes para el riesgo del cliente. Ambos se divulgan en el informe de auditoría, en la sección de independencia y en la descripción del sistema, y ambos deben revisarse antes de confiar en el informe como garantía integral.
La pericia del auditor es un factor de relevancia que se examina con menos frecuencia. Los exámenes SOC 2 los realizan firmas de CPA que aplican metodologías de auditoría contable a los controles de TI. La calidad del examen depende de si el equipo del encargo tiene suficiente pericia técnica en las tecnologías concretas que se evalúan. Un equipo que evalúa una arquitectura multinube compleja sin una pericia profunda en tecnologías nativas de la nube puede aplicar procedimientos de prueba estándar que no detectan vulnerabilidades propias de la nube. El informe de auditoría refleja con exactitud lo que se probó con los métodos aplicados. Si los métodos eran adecuados para el entorno tecnológico concreto es una dimensión de calidad que la existencia del informe no resuelve.
- Sección de independencia no revisada: no se evalúan las relaciones de consultoría entre el auditor y el proveedor
- Alcance no verificado para los sistemas relevantes para el cliente
- Pericia del auditor no evaluada para el ámbito tecnológico concreto
- Confianza exclusiva en el informe de auditoría sin una evaluación complementaria específica del cliente
- Informe aceptado sin leer las secciones críticas: independencia, alcance, metodología de pruebas
Por qué es importante
La confianza en auditorías de terceros es importante para TPRM porque los informes de auditoría son la evidencia más aceptada y de mayor peso en las evaluaciones de proveedores, y su valor depende de factores propios de cada informe y de cada relación con el cliente, no de la reputación de la firma ni de que el informe tenga una opinión sin salvedades. Un SOC 2 sin salvedades de una firma de las Cuatro Grandes emitido por un auditor que tiene una relación de consultoría con el proveedor, con un alcance que excluye la filial adquirida que guarda datos de clientes y con procedimientos de prueba adecuados para arquitecturas estándar pero no para la arquitectura multiinquilino concreta en cuestión, no es la misma evidencia que una auditoría inequívocamente independiente con un alcance completo y una metodología adecuada. Ambos son informes SOC 2 sin salvedades de firmas de las Cuatro Grandes. Uno ofrece una garantía más sólida que el otro para esta relación concreta.
Dónde se equivocan la mayoría de los equipos
La falla más constante es tratar la reputación de la firma auditora y la opinión sin salvedades como indicadores de calidad suficientes sin evaluar los tres factores propios del informe (independencia, alcance y metodología) que determinan la calidad de la garantía para la relación concreta con el cliente.
- Tratar la reputación de la firma como indicador de la calidad del informe
- La opinión sin salvedades como garantía integral
- Sección de independencia no revisada
- Alcance no verificado para los sistemas relevantes para el cliente
- Sin evaluación complementaria para las brechas identificadas en la revisión del informe
Cómo se ve una buena práctica
Los programas maduros de confianza en auditorías revisan las tres secciones críticas de cada informe de auditoría antes de determinar el grado de confianza (la sección de independencia, la descripción del sistema y el alcance, y la metodología de pruebas) y encargan una evaluación complementaria para las brechas identificadas en la revisión.
- Revisión de la sección de independencia: se registran las relaciones del auditor con el proveedor
- Verificación del alcance: confirmación de que los sistemas relevantes para el cliente están dentro del alcance del examen
- Evaluación de la metodología de pruebas: si los métodos son adecuados para el ámbito tecnológico concreto
- Evaluación complementaria para las brechas de alcance: pruebas específicas del cliente para las exclusiones
- Confianza proporcionada: peso del informe calibrado según los factores de relevancia, no según la reputación de la firma
Herramientas
Estructura del informe SOC 2: normas AICPA para revisar la independencia, el alcance y la metodología
Los informes SOC 2 siguen las normas AICPA, que exigen divulgar las consideraciones de independencia y las descripciones del sistema. La sección de independencia divulga las relaciones entre el auditor y el proveedor que pueden afectar a la objetividad. La descripción del sistema define el alcance. Para los profesionales de TPRM, leer ambas secciones como primer paso estándar antes de confiar en cualquier informe SOC 2 aporta la evaluación de relevancia que la reputación y la opinión sin salvedades por sí solas no ofrecen.
Desafíos de gobernanza
El desafío de gobernanza de la confianza en las auditorías es la presión por la eficiencia. Los informes de auditoría de terceros existen precisamente para reducir la carga de evaluación de los clientes: aceptar una auditoría de buena reputación como evidencia es más eficiente que volver a probar cada control. La solución de gobernanza es una revisión proporcionada en lugar de una confianza ilimitada: una revisión definida de los tres factores críticos, una evaluación complementaria para las brechas identificadas y un grado de confianza calibrado según los hallazgos de la revisión.
- Revise siempre la sección de independencia de cualquier informe de auditoría antes de confiar en él
- Verifique siempre el alcance para los sistemas relevantes para el cliente
- Evalúe si la metodología de pruebas es adecuada para la tecnología concreta
- Encargue una evaluación complementaria para las brechas identificadas
- Documente la justificación de la confianza: qué se revisó y por qué el informe se considera suficiente o insuficiente
Si usted forma parte de un equipo pequeño
En los tres informes de auditoría en los que más se apoya su programa de TPRM, lea tres secciones: la divulgación de independencia (normalmente cerca del principio), la descripción del sistema o declaración de alcance (que define lo que se evaluó) y la descripción de la metodología de los controles más relevantes para su riesgo. Cualquier relación de independencia, brecha de alcance o limitación de metodología identificada en esas tres secciones es la base de una pregunta de evaluación complementaria. Ese ejercicio de lectura, aplicado de forma constante, convierte la confianza ciega en una confianza informada.
- Lea la sección de independencia de cada informe de auditoría en el que confíe
- Verifique que el alcance incluya los sistemas relevantes para el cliente
- Evalúe si la metodología es adecuada para el ámbito tecnológico concreto
- Encargue una evaluación complementaria para las brechas identificadas
Qué exigir
Pregunte directamente:
"En su informe SOC 2 más reciente, ¿tiene el auditor alguna relación de consultoría o asesoría con su organización divulgada en la sección de independencia, y el alcance del examen incluye [sistema concreto] que guarda nuestros datos?"
Evidencia que debe esperar
- Confirmación de la divulgación en la sección de independencia
- Confirmación del alcance para los sistemas relevantes para el cliente
- Descripción de la metodología para las categorías de controles relevantes para el cliente
- Evaluación complementaria para cualquier exclusión del alcance que afecte a los datos del cliente
A un proveedor que entrega un SOC 2 sin salvedades de una firma de las Cuatro Grandes se le debe preguntar si el auditor tiene alguna relación divulgada y si el alcance cubre los sistemas concretos que manejan los datos del cliente. La calidad del informe empieza por esas dos preguntas.
Cómo demostrarlo
- Registros de revisión de la sección de independencia
- Documentación de la verificación del alcance
- Registros de evaluación de la metodología
- Evaluación complementaria para las brechas de alcance
Conclusión clave
El mandato del auditor eran los criterios SOC 2 para el alcance definido. El riesgo del cliente es la exposición concreta que generan los datos concretos, la arquitectura concreta y la integración concreta. Un informe sin salvedades de una firma reconocida responde a la pregunta del auditor. La pregunta del cliente exige evaluar si la independencia, el alcance y la metodología de la auditoría bastan para responderla. Revise la sección de independencia. Verifique el alcance. Evalúe la metodología. Encargue el complemento donde haya brechas. Los informes de auditoría de terceros son evidencia. No son oráculos. La calidad de la evidencia depende de leer el informe, no de confiar en la firma.