Usługi atestacyjne

Usługi atestacyjne, w tym usługi oparte o standard ISAE 3402, ISAE 3000 i inne, są usługami, w których KPMG wydaje niezależną opinię skierowaną do odbiorców raportów na temat zgodności funkcjonowania systemu kontroli wewnętrznej z w odniesieniu do uzgodnionych kryteriów.

Dedykowany zespół w ramach departamentu audytu wykonuje szereg tego typu usług, które są kierowane do firm świadczących dla innych podmiotów usługi istotne z punktu widzenia ich sprawozdań finansowych (organizacje usługowe - service organizations). Dotyczy to takich firm jak:

• firmy świadczące usługi IT – centra przetwarzania danych, udostępnianie aplikacji (SaaS – Software as a Service) itp.;
• centra usług wspólnych;
• banki-powiernicy;
• agenci transferowi / księgowość funduszy;
• firmy zarządzające nieruchomościami.

Przykładem są raporty ISAE 3402 (Assurance Reports on Controls at a Service Organization) – odpowiednik amerykańskiego SOC 1 (SSAE 18). Są one wykorzystywane zarówno przez klientów organizacji usługowych, jak i przez audytorów sprawozdań finansowych tych klientów i pozwalają ograniczyć zakres prac wykonywanych przez audytorów.

Zespół Assurance oferuje również usługi atestacyjne dedykowane dla firm świadczących usługi, gdzie kluczowa jest poufność lub dostępność danych, np.

• usługi IT w chmurze (cloud);
• przetwarzanie danych HR (rekrutacja, prowadzenie dokumentacji kadrowej);
• przetwarzanie danych medycznych.

Chodzi tu o raporty typu::

• SOC2 (Report on Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality or Privacy) – typu 1 i typu 2;
• SOC3 (Trust Services Report for Service Organizations).

Oba typy raportów są wykonywane zgodnie z Międzynarodowym Standardem Usług Atestacyjnych ISAE 3000. SOC 2 jest rozwiązaniem w przypadku przekazywania bardziej szczegółowych informacji w postaci raportu z dostępem ograniczonym do klientów danej firmy, a SOC 3 – w przypadku krótkiego raportu z nieograniczonym dostępem (np. raportu dostępnego na stronie WWW firmy).

Alternatywą do raportów SOC 2 i SOC 3 są raporty ISAE 3000 w oparciu o inne ustalone kryteria. W przypadku zainteresowania klienta wyłącznie tematem ochrony osobowych, KPMG może wykonać usługę atestacyjną dotyczącą zgodności z wymogami Rozporządzenia 2016/679 (RODO lub GDPR) kończącą się wydaniem raportu ISAE 3000 w tym obszarze.

Poza tym, świadczymy usługi atestacyjne związane z raportowaniem danych pozafinansowych – CSR (Corporate Social Responsibility) – zgodnie z wytycznymi uznanych standardów międzynarodowych (GRI, ISO26000, IIRC, Accounting for Sustainability).

Audyt IT

Audyt IT Co/outsourcing audytu IT jest usługą, w ramach której klienci korzystają z wiedzy i umiejętności specjalistów KPMG w zakresie Audytu IT. Usługa ta pozwala na efektywny z perspektywy kosztów dostęp do umiejętności, których brakuje w wewnętrznych zespołach firmy klienta, a które są potrzebne w danym momencie.