Hablemos de estándares de auditoría para auditar empresas prestadoras de servicios

Recordando aquellos años en los cuales era necesario realizar visita de auditoría presencial a los proveedores de  servicios externos (que presta servicios de subcontratación, tercerización, externalización u outsourcing), una vez fui a visitar una empresa proveedora de servicios de cajeros automáticos y, ¡oh sorpresa!, había auditores de otros tres bancos en proceso de realización de auditoría, similar a la que yo iba a ejecutar. En aquella época utilizábamos las normas SAS 70 (Statement on Auditing Standards No. 70), desarrollada por la AICPA ( American Institute of Certified  Public Accountants), para evaluar los controles de TI, cuya aplicabilidad era a nivel mundial.

Pobre proveedor de servicios, en muchas oportunidades requería un equipo de personas para atender a los auditores de TI y sus auditorías, que eran continuas durante todo el año y que generalmente se enfocaban en evaluar los mismos controles.

Afortunadamente la AICPA reemplazó la SAS 70 por el SSAE 16 (Statement on Standards for Attestation Engagements No. 16) en el 2010, entrando en vigencia en el 2011 en Estados Unidos. Esta norma, en el resto del mundo fue reemplazada por la ISAE 3402, emitida por la International Auditing and Assurance Standards Board (IAASB) y, posteriormente, en el año 2017,  la SSAE 16 fue actualizada en la SSAE 18.

Con estas nuevas normas, ahora es posible que un auditor externo evalúe o audite los controles de las organizaciones prestadoras de servicios y como resultado de la auditoría, el auditor externo, expida una “atestación” donde el auditor atestigua si los controles son adecuados o no. Ahora con este reporte no es necesario que los auditores de las entidades financieras, por ejemplo, realicemos nuestra auditoría sino que la evidencia del cumplimiento de los controles es la “atestación” emitida por el auditor externo.

Estados Unidos continúa aplicando la SSAE 18 y en Latinoamérica utilizamos la ISAE3402. Esta norma no es obligatoria para nuestra región. Sin embargo, empresas importantes que contratan servicios de outsourcing para completar o complementar la prestación de servicios informáticos lo exigen a sus terceros, como requisito para su contratación. En Colombia, la Superintendencia Bancaria expidió una regulación asociada al uso de servicios de computación en la nube (Circular externa 005 de 2019) donde obliga a las entidades financieras a solicitar los reportes generados a partir  de la aplicación de esta norma, a los terceros que apoyan sus procesos informáticos.

Continuar leyendo…