Nuevos estándares de ciberseguridad: el futuro de la auditoría interna en Colombia

La ciberseguridad es un tema que no deja de crecer en importancia para las organizaciones de todo el mundo. De hecho, es una de las principales preocupaciones tanto de las grandes empresas como de las pymes, y más aún en el contexto actual donde los ciberataques son cada vez más frecuentes y sofisticados. 

Si eres contador o auditor, es crucial que conozcas estos cambios, ya que influirán directamente en la forma en que se evalúan la gobernanza, la gestión de riesgos y los controles cibernéticos en las organizaciones.

¿Qué son los nuevos estándares de ciberseguridad del IIA?

El IIA, ha lanzado recientemente un nuevo estándar de ciberseguridad, que marca el inicio de una serie de requerimientos que se publicarán a lo largo de 2025. Este estándar, desarrollado con la retroalimentación de auditores y expertos globales, establece una metodología específica para evaluar los aspectos más críticos de la ciberseguridad dentro de las organizaciones.

Propósito de los estándares de ciberseguridad

La ciberseguridad sigue siendo una de las principales preocupaciones a nivel global, como lo confirma el informe Risk in Focus 2025 del IIA. Este informe resalta que la protección frente a ciberataques se clasifica como el riesgo número uno para las organizaciones de todo el mundo. Por ello, este primer estándar de la serie no solo proporciona directrices claras para la gestión de riesgos, sino que también establece la importancia de garantizar un entorno de control interno robusto que pueda prevenir y mitigar posibles amenazas.

Evaluación y valoración de los procesos de gobernanza, gestión de riesgos y control de la Ciberseguridad

Este requisito temático establece un enfoque claro y exhaustivo para evaluar la gobernanza, la gestión de riesgos y los controles en ciberseguridad dentro de las organizaciones. Los requisitos propuestos proporcionan una base mínima esencial para llevar a cabo una evaluación completa de la ciberseguridad, sentando las bases para un análisis detallado de cada uno de estos aspectos clave. 

A continuación, exploraremos los puntos fundamentales que deben considerarse para cumplir con estos estándares:

1. Evaluación de la gobernanza en ciberseguridad

El nuevo estándar del IIA establece que los auditores internos deben evaluar la gobernanza de la ciberseguridad dentro de las organizaciones. Esto incluye asegurarse de que existan políticas y estrategias formales actualizadas, alineadas con los objetivos estratégicos de la empresa.

Aspectos clave:

• Estrategias y objetivos claros: la organización debe contar con objetivos de ciberseguridad bien definidos y actualizados periódicamente. Estos deben ser revisados por la alta dirección para garantizar que se alineen con los recursos y presupuestos disponibles.
• Roles y responsabilidades: es fundamental que se establezcan roles claros en relación con la ciberseguridad. Además, estos roles deben ser evaluados constantemente para garantizar que las personas responsables tengan las habilidades y conocimientos necesarios.
• Compromiso con la seguridad: las partes interesadas dentro de la organización deben comprometerse a abordar las vulnerabilidades y amenazas cibernéticas de manera proactiva, trabajando en conjunto para fortalecer la defensa cibernética.

2. Gestión de riesgos en ciberseguridad: un enfoque integral

Los auditores internos también deben realizar una evaluación detallada de los procesos de gestión de riesgos de ciberseguridad. Esto no solo implica identificar los riesgos, sino también gestionar y mitigar sus efectos potenciales sobre los objetivos de la organización.

Aspectos que se deben evaluar en la gestión de riesgos de ciberseguridad:

• Identificación y análisis de riesgos: los riesgos de ciberseguridad deben ser identificados, analizados y mitigados de manera integral, involucrando áreas clave como TI, finanzas y operaciones.
• Rendición de cuentas: es fundamental designar a un responsable o equipo para supervisar los riesgos de ciberseguridad y reportar de manera continua sobre las amenazas emergentes.
• Respuesta rápida a incidentes: las organizaciones deben contar con un proceso claro para responder a incidentes de ciberseguridad, que incluya la detección, contención y recuperación de datos.

3. Controles de ciberseguridad: fortaleciendo la protección de la información

Los controles internos son una pieza clave en la defensa contra los ciberataques. Este nuevo estándar establece que las organizaciones deben asegurarse de contar con controles sólidos para proteger sus sistemas y datos críticos.

Evaluación de los controles de ciberseguridad:

• Controles internos: las organizaciones deben implementar controles internos que aseguren la confidencialidad, integridad y disponibilidad de sus sistemas. Estos controles deben ser evaluados periódicamente para garantizar su efectividad.
• Gestión de talento: es necesario establecer procesos para formar y mantener las competencias técnicas del personal encargado de la ciberseguridad. Esto incluye entrenamientos periódicos y evaluaciones de desempeño.
• Monitoreo continuo: se debe garantizar que los sistemas de monitoreo estén en su lugar para identificar y responder rápidamente a las amenazas emergentes.

El rol del auditor interno en la evaluación de la ciberseguridad

Los auditores internos desempeñan un rol crucial en la evaluación de los estándares de ciberseguridad dentro de las organizaciones. Su función es garantizar que la empresa cuente con un sistema de control adecuado y que se cumplan las políticas de seguridad.

¿Qué debe hacer un auditor interno para cumplir con los nuevos estándares?

• Revisión de políticas y procedimientos: los auditores deben asegurarse de que las políticas de ciberseguridad sean completas y estén actualizadas.
• Evaluación de la implementación de controles: los auditores internos deben evaluar si los controles de ciberseguridad están implementados correctamente y si son efectivos para mitigar riesgos.
• Informe de resultados: es fundamental que los auditores reporten sus hallazgos a la alta dirección y recomienden las acciones correctivas necesarias para mejorar la seguridad cibernética.

La implementación de los nuevos estándares de ciberseguridad representa una gran oportunidad para fortalecer la auditoría interna y mejorar la gestión de riesgos cibernéticos. A medida que las amenazas continúan evolucionando, las organizaciones deberán adaptarse rápidamente a estos estándares para protegerse frente a los ciberataques y garantizar la seguridad de sus sistemas.

Para mantenerse actualizado con las últimas novedades sobre auditoría interna, ciberseguridad y otros temas de interés para contadores y auditores en Colombia, te invitamos a seguir explorando el contenido exclusivo de Siempre Al Día. ¡Sigue aprendiendo y mantén tu práctica al día con la normativa vigente!