¿Qué es SSAE 18? Una descripción completa de la norma.

Hoy en día, la mayoría de las empresas dependen de la nube, y puede resultar complicado garantizar que los datos, ya sean información sobre nóminas, archivos en la nube u otro material confidencial, permanezcan bien protegidos y organizados. 

Ahí es donde entra en juego el Instituto Americano de Contadores Públicos Certificados (AICPA) con sus requisitos de certificación SOC 1. Originalmente codificadas bajo formularios como SSAE 18 y SSAE 16, pero ahora actualizadas por SOC 1, estas regulaciones brindan la garantía de que una empresa supervisa sus operaciones de manera responsable. 

En este artículo, profundizaremos en qué es la norma SSAE 18 y si aún es necesaria.

¿Qué es SSAE 18?

La Declaración sobre Normas para Encargos de Atestiguación 18 (SSAE 18) fue establecida por el Instituto Americano de Contadores Públicos Certificados (AICPA). El Consejo de Normas de Auditoría de la organización la formuló para evaluar a las empresas de servicios. 

Si una empresa presta servicios que podrían influir en los estados financieros de otra compañía, puede solicitar una auditoría para cumplir con las normas y regulaciones de la SSAE 18.

La norma SSAE n.º 18 establece estándares claros que los contadores públicos certificados (CPA, por sus siglas en inglés) deben seguir al realizar trabajos de atestación, garantizando que sus informes sobre información financiera sean precisos y fiables. 

El propósito de la SSAE 16

Publicada por el AICPA, la norma SSAE 16 tiene como objetivo proporcionar un marco integral para evaluar los controles internos sobre la información financiera (ICFR) de las organizaciones de servicios. Esto garantiza a los clientes o usuarios de dichos servicios que existen controles relevantes sobre la información financiera.

Sin embargo, en 2016, el AICPA reemplazó la SSAE n.° 16 por la SSAE n.° 18. La SSAE 18 es sencilla y no fue diseñada únicamente para auditorías SOC 1.
De hecho, la nueva norma abarca una gama ampliada de servicios de certificación, incluidos: Auditorías SOC 2 que ofrecen información más detallada para las organizaciones que buscan comprender su calidad financiera, seguridad, confidencialidad durante la operación, disponibilidad y capacidades de privacidad. 

Este cambio de la norma SSAE 16 a la 18 aclaró cómo las organizaciones miden e informan sobre el desempeño de sus servicios.

El consejo de Normas de Auditoría del AICPA se centra en los controles sobre los sistemas de información y la información financiera, proporcionando a los contadores públicos certificados todas las herramientas que necesitan para evaluar si el informe coincide con lo que revelan sus clientes. 

SSAE 18 vs SSAE 16: Diferencias clave

La principal diferencia entre la SSAE 18 y la SSAE 16 es que la SSAE 18 reemplaza a la SSAE 16 a partir del 1 de mayo de 2017. Mientras que la SSAE 16 se centra principalmente en los informes SOC 1 que afectan a la información financiera del cliente, la SSAE 18 integra e incluye todas las normas anteriores del AICPA para ir más allá de la SOC 1 y abarcar otros informes de certificación.

Aquí están las 6 diferencias clave en detalle:

• El estándar SSAE-16, de larga trayectoria, se ha renovado y actualizado con el nuevo acrónimo SOC. En lugar de Control de la Organización de Servicios, ahora significa Controles del Sistema y de la Organización, lo que permite a las empresas de todo el mundo aplicar este marco integral tanto a nivel de sistema como de entidad.

• La norma SSAE-16 incluía anteriormente controles complementarios de la entidad usuaria, tanto necesarios como innecesarios, para alcanzar los objetivos establecidos por la dirección. Sin embargo, la nueva norma SSAE 18 ha ajustado esta definición para abarcar únicamente los controles necesarios para el cumplimiento de la objetividad de control, tal como lo define la dirección.

• La nueva norma SSAE-18 hace hincapié en la evaluación de riesgos, con requisitos más estrictos centrados en la evaluación de los procesos de control externo en las entidades usuarias y las organizaciones de subservicios.

• La norma SSAE-18 ha reforzado los requisitos para la carta de declaración de la dirección, al exigir que ahora debe estar firmada y aceptada como prueba de la responsabilidad de la descripción de la organización. La norma SSAE 16 anterior requería que la dirección proporcionara su declaración, pero era necesario revisar el requisito de firma.

• La nueva norma SSAE-18 ha revolucionado el lenguaje de los informes, introduciendo revisiones que se adaptan al entorno externo en constante cambio y a los factores de control de las entidades usuarias y las organizaciones de subservicios. La Carta de Declaración de la Dirección y el informe del Auditor de Servicios ahora reflejan estos avances, proporcionando un nivel de precisión sin precedentes para las partes interesadas.

• La adopción de la nueva norma SSAE-18 supone un cambio en las expectativas sobre cómo controlar la dependencia de las organizaciones respecto a los subproveedores de servicios. 

Los controles de suborganización complementarios y los procesos de gestión de proveedores permiten a las entidades supervisar de cerca sus relaciones con los proveedores de servicios y garantizar que los objetivos de control establecidos en la descripción de la gerencia se cumplan con los niveles de eficiencia máximos. Estas actividades de monitoreo de proveedores incluyen:

• Revisión y conciliación de informes de producción 
• Celebrar reuniones periódicas con la organización subcontratada.
• Pruebas de controles en la organización subcontratada por miembros del departamento de auditoría interna de la organización proveedora de servicios.
• Revisar los informes de tipo 1 o tipo II en el sistema de la organización subcontratada y monitorear las comunicaciones externas (quejas de clientes relacionadas con los servicios prestados por la organización subcontratada).

¿Sigue siendo relevante la norma SSAE 18?

Sí, la norma SSAE 18 sigue vigente. El 1 de mayo de 2017, se estableció la nueva norma SSAE-18, "Conceptos comunes a todos los trabajos de certificación", para reemplazar la antigua norma SSAE-16. 

Muchas organizaciones de servicios profesionales han tomado nota del cambio, reconociendo que la nueva norma SSAE-18 se creó pensando en el usuario y se basa en los requisitos y la orientación recientes proporcionados por la sección 320 de las Normas de Atestación. 

Con la implementación de la norma SSAE-18, los usuarios pueden tener la seguridad de que las organizaciones son responsables de brindar un soporte de alta calidad para el control interno sobre la información financiera.

Proceso y requisitos de auditoría SSAE 18

A estas alturas ya conoces los principales cambios que se introdujeron en la norma SSAE 18. Así que, aquí tienes lo que necesitas hacer para prepararte para la SSAE 18 y no quedarte desanimado cuando llegue el momento de la auditoría oficial.

Estos son los 3 pasos de implementación de SSAE 18:

Énfasis en la evaluación de riesgos y la responsabilidad. 

Con esta nueva norma, ahora es obligatorio realizar una evaluación de riesgos al completar el informe SOC . Es necesario comprender el concepto de "riesgo de incorrección material" y sus consecuencias.

El riesgo de incorrección material se produce cuando el tema y/o la afirmación de la dirección como elemento(s) del informe SOC necesitan una representación correcta, lo que podría tener consecuencias importantes. 

De hecho, esta responsabilidad recaía tradicionalmente en el auditor de servicios; sin embargo, ahora esta función se ha transferido a la parte responsable: la organización. 

De esta forma, podrá asumir la responsabilidad evaluando de forma proactiva los riesgos asociados a los objetivos y controles que establezca. Esto, a su vez, fomenta la rendición de cuentas entre las organizaciones y proporciona un marco de auditoría de sistemas seguro que aumenta la transparencia y la confianza.

Cada organización es única y, como resultado, sus procesos de evaluación de riesgos variarán en aspectos pequeños pero importantes. 

Al preparar a su equipo directivo para desarrollar un enfoque, es importante formular las preguntas adecuadas para identificar cualquier riesgo potencial que pueda causar pérdidas financieras o informes inexactos. Las preguntas incluyen:

• ¿Quién es tu audiencia?
• ¿Qué acciones podrían ocasionar pérdidas financieras y la divulgación de información confidencial debería abordarse para una revisión más exhaustiva?
• ¿Qué acciones podrían provocar interrupciones, tanto inmediatas como prolongadas, en las operaciones diarias?

Proveedores frente a organizaciones de subcontratación  

Muchas empresas dependen de proveedores o subcontratistas. Si bien el uso de estas entidades no es nuevo, es importante reconocer que las diferencias entre un proveedor y un subcontratista son lo suficientemente grandes como para requerir un nivel de revisión significativamente distinto.

Una organización subcontratada es una entidad utilizada por otro proveedor de servicios para ayudar a prestar los servicios descritos en su informe SOC. Por lo tanto, tiene una autoridad considerable para establecer controles dentro de los sistemas de su cliente. 

Por otro lado, los proveedores suministran principalmente productos o servicios que no están directamente relacionados con la prestación a los clientes de los servicios descritos en su informe. 

Por lo tanto, comprender la diferencia entre un proveedor y una organización de subcontratación puede garantizar que usted cumpla con los estándares de garantía de calidad en beneficio de su cliente.

Pero la cosa no termina ahí; revisar a fondo los servicios y controles de un proveedor es fundamental para determinar si se trata de una organización de subservicios relevante para SOC1.

Pregúntese: ¿la función del proveedor forma parte de la descripción del sistema, o sus servicios permiten que los controles mencionados funcionen eficazmente? 

Si responde afirmativamente a estas preguntas, significa que el proveedor debe incluirse en su evaluación SOC 1.

Esto puede ayudarle a identificar riesgos potenciales y a desarrollar controles internos más sólidos sobre la información financiera de sus usuarios. ¡Por supuesto, garantizar el cumplimiento de los requisitos normativos siempre es la prioridad!

Consejos de preparación para la SSAE 18:

• Asegúrese de tener toda la información correcta y de que todos estén de acuerdo con cualquier cambio en los nuevos controles o procesos. 
• Considere la posibilidad de celebrar todas las reuniones necesarias para lograrlo. Para ello, la gerencia debe reunirse con los auditores, el jefe de departamento, los empleados principales responsables del proceso y cualquier otra persona que pueda aportar información valiosa. 
• Analicen qué medidas de control son las más adecuadas y cómo deberían implementarse, teniendo en cuenta las aportaciones de los demás participantes.
• Antes de finalizar, verifique con las personas que realizan las tareas para asegurarse de que refleje con precisión su flujo de trabajo. 
• Invertir tiempo en definir los controles antes de que comiencen las pruebas es fundamental. A menudo, se intenta acelerar este proceso y se descuida, dejando muchos puntos sin resolver que podrían convertirse fácilmente en un gran problema durante las pruebas. Cuando el control no está completamente definido antes de las pruebas y se detecta una desviación, resulta difícil decidir entre descartar el control o ajustarlo para que refleje el proceso con precisión. 
• Invertir un esfuerzo adicional desde el principio para asegurar correctamente sus procesos antes de someterlos a pruebas conforme a la norma SSAE 18.

Si continúa de esta manera, podrá tener la seguridad de que sus controles funcionan correctamente.

Beneficios de SSAE 18

Los beneficios de la norma SSAE 18 son los siguientes:

• El cumplimiento de la norma SSAE 18 le ayuda a mejorar significativamente la seguridad de los datos y los sistemas. Proporciona una evaluación independiente de los controles implementados y garantiza el cumplimiento de los estándares del sector. Esto reduce el riesgo de filtraciones de datos u otros incidentes de seguridad, lo que le permite proteger sus datos de forma más eficaz.

• El cumplimiento de la norma SSAE 18 simplifica las auditorías al proporcionar un marco estandarizado para evaluar los controles. Esto facilita y agiliza la auditoría de diferentes organizaciones, reduciendo los costos y la complejidad asociados a las auditorías.

• Siguiendo las directrices de la SSAE 18, podrá obtener una mayor visibilidad de sus sistemas y controles. Esto ayuda a las organizaciones a comprender cómo funcionan sus sistemas e identificar posibles áreas de mejora.

• El cumplimiento de las normas SSAE 18 demuestra el compromiso de una organización con la normativa y puede facilitar el cumplimiento de los requisitos legales. Además, reduce el riesgo de incumplimiento, que puede acarrear sanciones económicas y otras consecuencias negativas.

¡Descubre Sprinto!

En general, la norma SSAE 18 es importante porque proporciona orientación a las organizaciones sobre cómo cumplir con los requisitos del informe SOC 2. Sin embargo, ¡no es necesario hacerlo todo manualmente!

Descubre Sprinto , una plataforma de cumplimiento automatizada que te ayuda a cumplir con la normativa fácilmente. Con nuestro proceso integral, puedes personalizar funciones principales y secundarias y tener la tranquilidad de que tu programa de cumplimiento funciona de forma automática.

Con Sprinto, puede supervisar continuamente su nivel de cumplimiento normativo para garantizar un funcionamiento sin contratiempos.

¡Póngase en contacto hoy mismo con uno de nuestros expertos para un proceso sencillo hacia la aprobación regulatoria!

Preguntas frecuentes