Evaluaciones de riesgos, verificaciones de cumplimiento, alcance de la auditoría: el tema de las auditorías internas de cumplimiento puede parecer desalentador. Pero realizar una auditoría interna de cumplimiento es menos acerca de dominar la jerga y más sobre crear un enfoque estructurado para evaluar la postura de cumplimiento de su organización. Esencialmente, es una herramienta de diagnóstico para asegurarse de que no solo esté hablando de cumplimiento, sino también actuando en consecuencia.

¿Por qué es esto tan importante? Para empezar, el incumplimiento puede resultar en multas y sanciones legales considerables. Pero lo que es más, una auditoría interna bien ejecutada revela información invaluable sobre sus operaciones, identificando fortalezas y debilidades y ofreciendo recomendaciones para mejorar. Le permite abordar problemas antes de que se conviertan en problemas más graves.

A continuación, desmitificaremos el proceso y compartiremos los pasos prácticos para realizar una auditoría interna de cumplimiento de manera efectiva.

¿Qué es una auditoría de cumplimiento?

Una auditoría de cumplimiento es una revisión integral de cómo una organización sigue sus propias reglas para la seguridad de la información y la privacidad de los datos. Algunas de estas pueden ser reglas que la organización está legalmente obligada a seguir, como HIPAA o GDPR. Algunas pueden ser reglas que la organización ha decidido seguir como mejor práctica, como SOC 2, ISO 27001 o PCI DSS. A veces es ambos.

Las auditorías de cumplimiento también prueban la efectividad de los controles de seguridad de una organización. ¿Funcionan como se pretende? ¿Hay alguna brecha que necesite ser llenada?

Las auditorías de cumplimiento varían ampliamente dependiendo de varios factores, incluyendo:

• Industria
• Base de clientes
• Empresa pública vs. privada
• Tipo de datos manejados

Es importante notar que las auditorías de cumplimiento no son lo mismo que el monitoreo continuo. Las auditorías son eventos distintos, como proyectos, que son realizados por auditores independientes. El monitoreo es una vigilancia y reporte continuos de los controles de una organización, generalmente utilizando herramientas automatizadas.

Las auditorías de cumplimiento también son distintas de las auditorías internas. Una auditoría interna está destinada a proporcionar una garantía independiente de que la gestión de riesgos, la gobernanza y los procesos internos de una organización son suficientes y están operando de manera efectiva. Las auditorías internas pueden cubrir una variedad de procesos, desde prácticas financieras hasta operaciones, gobernanza de TI y gestión de riesgos.

Las auditorías de cumplimiento tienen un alcance más limitado, enfocándose en asegurar que la organización está cumpliendo con los requisitos de cualquier ley externa, regulaciones de cumplimiento y/o estándares de seguridad que apliquen al negocio.

Ejemplos de auditorías de cumplimiento

• Una auditoría de cumplimiento del Sarbanes-Oxley Act (SOX) tendría que demostrar que las comunicaciones electrónicas son seguras y están respaldadas por un plan de recuperación ante desastres.
• Una auditoría del Health Insurance Portability and Accountability Act (HIPAA) se realizaría para asegurar que la información de salud protegida (PHI) se mantenga segura y privada.
• Una auditoría del Payment Card Industry Data Security Standard (PCI DSS) tendría que probar que los datos de la tarjeta de pago se mantienen seguros y privados.

Para todas las auditorías de cumplimiento, las organizaciones deben producir evidencia documentada que demuestre que cumplen con cada requisito mediante los controles implementados adecuadamente. Estos registros de auditoría típicamente incluyen cientos de documentos, incluyendo, pero no limitándose a, registros de eventos y accesos, políticas y procedimientos de seguridad, certificados de capacitación en concienciación sobre seguridad y mucho más.

Tipos de auditorías de cumplimiento: Internas vs. externas

Las auditorías internas de cumplimiento a menudo son realizadas por los propios empleados de la organización. Si no las lleva a cabo un empleado propio, pueden ser realizadas por un tercero. Las auditorías internas evalúan el rendimiento general del programa de cumplimiento, identificando cualquier nuevo riesgo u oportunidad de mejora. Cada organización debe decidir su propio cronograma de auditorías, de acuerdo con el marco de cumplimiento que está siguiendo, ya sea anual, semestral o trimestral.

Las auditorías externas de cumplimiento son realizadas por una tercera parte independiente, como un contador público certificado o una firma de auditoría. El formato exacto varía según el marco específico. En general, las auditorías externas de cumplimiento evalúan si el programa de seguridad de la organización satisface los requisitos de cumplimiento.

Las organizaciones utilizan informes de cumplimiento para:

• Demostrar cumplimiento a organismos reguladores, junta directiva, prospectos o inversores
• Identificar y gestionar proactivamente el riesgo organizacional
• Ajustar políticas de seguridad, procesos o necesidades de formación para mejorar la eficiencia operativa y la protección contra amenazas
• Promover la responsabilidad en toda la organización para mantener los estándares de ciberseguridad y privacidad de datos
• Generar confianza en el cliente y aumentar el crecimiento de los ingresos

Cómo funciona una auditoría de cumplimiento externa

¿Qué sucede durante una auditoría de cumplimiento externa? Depende del marco o estándar por el que se está evaluando, pero en general, una auditoría de cumplimiento externa seguirá estos pasos:

1. La dirección de la empresa evaluará y seleccionará un auditor independiente o una firma de auditoría. Luego se reunirán con el auditor de cumplimiento para discutir el tipo de auditoría, el alcance, el cronograma y el proceso.
2. El auditor externo evalúa las políticas de seguridad, los procesos comerciales, los sistemas y los controles internos de la organización contra los requisitos del marco.
3. El auditor revisa la documentación, prueba los controles y entrevista al personal.
4. El auditor emite un informe final de auditoría o certificación.
5. La organización completa auditorías internas o de vigilancia periódicas, o auditorías anuales de recertificación, para mantener su estado de cumplimiento.

Cómo realizar una auditoría interna de cumplimiento + lista de verificación

Realizar una auditoría interna de cumplimiento es un proceso meticuloso que requiere personal experimentado, comunicación clara y atención a los detalles.

Paso 1: Determinar el alcance de la auditoría

El primer paso es definir el propósito y los objetivos de la auditoría. ¿Contra qué marcos o regulaciones se está evaluando? ¿Qué riesgos o amenazas se están tratando de mitigar? ¿Qué cambios han ocurrido desde su última auditoría?

Paso 2: Seleccionar un auditor interno

Quizás el aspecto más importante de una auditoría interna efectiva es la selección del auditor adecuado. Es esencial que el auditor interno sea completamente objetivo. Encuentre a alguien dentro de su organización que no haya estado involucrado en el diseño o implementación de sus controles de seguridad. Esta persona también debe tener excelentes habilidades de comunicación, ser detallista y tener fuertes habilidades analíticas. También es importante considerar el impacto en la carga de trabajo del individuo, dado el compromiso de tiempo requerido para llevar a cabo una auditoría interna exhaustiva.

Paso 3: Prepararse para la auditoría

Compile y organice la documentación que debe presentar a su auditor interno. La documentación exacta variará según los marcos aplicables, pero probablemente incluirá:

• Políticas de recursos humanos y corporativas
• Procedimientos operativos, incluidos los procedimientos de manejo de datos, planes de recuperación ante desastres y respuesta a incidentes, etc.
• Registros financieros, como declaraciones de impuestos, informes financieros y estados financieros
• Contratos de proveedores y empleados
• Cualquier informe de auditoría previo y certificaciones de cumplimiento
• Registros de acceso e incidentes
• Registros de capacitación en concienciación sobre seguridad

Paso 4: Realizar la auditoría

Su auditor interno designado revisará la documentación y las pruebas, recorrerá los espacios de trabajo, examinará la infraestructura y los controles de seguridad, y realizará entrevistas para evaluar su nivel de cumplimiento.

Paso 5: Crear el informe de auditoría

El auditor interno entregará un informe escrito que resumen el proceso de auditoría, sus hallazgos y sus recomendaciones para abordar cualquier área de riesgo.

Paso 6: Remediar las no conformidades

La organización utilizará las recomendaciones del informe de auditoría interna para abordar cualquier riesgo no tratado o llenar cualquier vacío en su postura de cumplimiento.

Si bien las necesidades de cada organización son únicas, una lista de verificación de auditoría de cumplimiento puede ser una guía útil para comenzar. A continuación, encontrará una lista de verificación de los puntos principales que una auditoría de cumplimiento interna debe cubrir para su referencia.