SOC 1 y controles que tocan el reporte financiero

Un SOC 1 no evalúa «la seguridad» del proveedor en general. Evalúa los controles de la organización de servicio que pueden afectar a la información financiera de las entidades usuarias. El informe se organiza por objetivos de control (qué debe lograrse, por ejemplo que los pagos se registren completos) y, bajo cada uno, los controles que lo logran. Un servicio del proveedor que no toca los saldos de la entidad usuaria puede quedar fuera sin que eso sea un defecto del informe.

La consecuencia práctica para el analista: antes de apoyarse en un SOC 1, se cruza la lista de servicios que el proveedor presta con la lista de servicios que el informe cubre. Lo que está fuera no tiene opinión de nadie.

En la consola, SELECT * FROM servicios_de_cobranza lista lo que Cobranzas Rio Sur hace para Quebradahonda, si el informe SOC 1 lo cubre y qué efecto tiene en la cartera. Para el auditor externo, la fila peligrosa es la que afecta al saldo contable y no está en el alcance: nadie probó ese control, y el saldo depende de él.

Los objetivos de control de un SOC 1 deberían estar ligados a un riesgo para la información financiera de los usuarios: que algo se registre incompleto, se aplique mal, lo cambie quien no debe. Con SELECT * FROM objetivos_de_control se ven los cinco del informe. Uno de ellos describe algo que, aunque fallara, no cambiaría ningún saldo ni ninguna cifra de los estados financieros de Quebradahonda; le sirve al servicio al cliente, no al auditor.

Los controles de negocio de una organización de servicio casi siempre se apoyan en programas: la aplicación del pago a la factura la hace una plataforma. Si cualquiera puede cambiar el programa, o si los accesos no se controlan, el control de negocio deja de ser fiable aunque en papel esté bien diseñado. Por eso el informe incluye los controles generales de TI de las plataformas que procesan lo financiero: accesos, cambios a los programas, copias de seguridad. La consulta SELECT * FROM controles_ti_en_alcance muestra los tres que cubre este informe.