Si el vostre despatx prepara declaracions federals, gestiona nòmines o accedeix al flux bancari d'un client, el govern federal ja us considera una "institució financera" i, a partir de la temporada de presentació de 2026, l'IRS no renovarà el vostre PTIN tret que certifiqueu, sota pena de perjuri, que disposeu d'un programa de seguretat de la informació per escrit (WISP). Aquesta certificació no és una formalitat de marcar una casella. És una declaració jurada que el vostre despatx ha implementat els nou elements de la Norma de Salvaguardes de l'FTC, ha designat una Persona Qualificada per dirigir el programa, l'ha provat durant l'últim any i té un pla per informar d'una filtració de dades als reguladors en un termini de trenta dies.
La majoria de professionals autònoms i petits despatxos de comptabilitat s'assabenten del requisit del WISP quan un client el demana com a part d'un qüestionari de diligència deguda del proveïdor, o quan l'IRS envia una carta de "conscienciació sobre seguretat per a professionals fiscals" després d'un incident de pesca de dades (phishing). Cap d'aquests moments és bo per començar de zero. Aquesta guia detalla què ha de contenir realment el WISP, com s'aplica la Norma de Salvaguardes de l'FTC a la realitat d'un despatx petit i com establir un programa creïble sense contractar un CISO fraccionat ni comprar una eina GRC empresarial.
Per què un WISP ja no és opcional
Dos reguladors supervisen cada preparador d'impostos i comptable als Estats Units, i es reforcen mútuament.
El primer és l'IRS, que fa anys que exigeix un pla de seguretat per escrit segons la Secció 7216 i la Llei Gramm-Leach-Bliley, però que només recentment hi ha posat mesures de control reals. Començant amb el cicle de renovació del PTIN de 2024, cada preparador ha d'afirmar que disposa d'un WISP vigent. La finestra de renovació de 2026 afegeix una certificació explícita sobre els nou elements de la Norma de Salvaguardes de l'FTC. Les certificacions falses o descuidades són el tipus de cosa que es descobreix a posteriori durant una investigació de filtració de dades, i una declaració falsa en una sol·licitud de PTIN és una exposició independent de la filtració en si mateixa.
El segon és la Comissió Federal de Comerç (FTC), que aplica la Norma de Salvaguardes segons 16 CFR Part 314. L'FTC té el poder d'imposar sancions civils de fins a 100.000 dòlars per infracció contra les empreses que no mantinguin un programa conforme, i una "infracció" es pot definir de manera restrictiva: un sol control absent en centenars de registres de clients és el tipus de càlcul que ha produït ordres de consentiment de vuit xifres contra preparadors més grans.
La Norma de Salvaguardes també s'ha tornat més estricta en els darrers tres anys. L'esmena d'octubre de 2023 exigeix que les empreses notifiquin a l'FTC en un termini de 30 dies qualsevol "esdeveniment de notificació" (una adquisició no autoritzada d'informació de clients no xifrada que afecti 500 o més persones). Aquest requisit de notificació va entrar en vigor el maig de 2024, i l'FTC ja l'ha utilitzat per identificar empreses que no tenien un WISP quan es va produir la filtració. Una filtració sense un pla és una situació molt pitjor que una filtració amb un pla.
Per als professionals fiscals, aquesta estructura superposada significa que un sol incident de phishing pot desencadenar una exposició del PTIN amb l'IRS, sancions civils amb l'FTC, consultes del fiscal general de l'estat sota les lleis de notificació de filtracions dels 50 estats i una onada de reclamacions per robatori d'identitat dels clients afectats. El WISP és l'únic document que redueix significativament l'abast d'aquest desastre.
Els nou elements que heu de documentar
La Norma de Salvaguardes de l'FTC llista nou elements específics del programa a 16 CFR § 314.4. La plantilla de l'IRS a la Publicació 5708 organitza les seves seccions al voltant dels mateixos nou, i un WISP que no abordi cadascun d'ells per escrit no és un WISP conforme. Aquí teniu el que significa realment cada element en un despatx petit.
1. Designar una Persona Qualificada
Heu d'anomenar una persona —per càrrec i per nom— que sigui responsable del programa de seguretat. L'FTC és explícita en el fet que la Persona Qualificada no necessita un títol o certificació particular. El que importa és que el rol estigui documentat, que la persona tingui l'autoritat per prendre decisions i que informi l'alta direcció almenys anualment. En un despatx individual, la Persona Qualificada sol ser el propietari. En un despatx petit, sovint és el soci director o el gerent de l'oficina, amb el suport d'un MSP extern per a la tasca tècnica. El rol es pot externalitzar, però la responsabilitat no.
2. Realitzar una avaluació de riscos per escrit
L'avaluació de riscos identifica els riscos interns i externs previsibles per a la informació del client en registres en paper, fitxers digitals, aplicacions al núvol, correu electrònic, dispositius mòbils i qualsevol servei de tercers que utilitzeu. Ha de ser per escrit, ha de ser periòdica i ha de ser prou específica perquè algú que la llegeixi pugui veure quines amenaces heu considerat. Una taula d'una pàgina que mapegi "actiu → amenaça → probabilitat → impacte → mitigació" és suficient per a la majoria de despatxos petits. Una declaració de dues línies dient que "fem servir un programari antivirus" no ho és.
3. Dissenyar i implementar salvaguardes
La Norma de Salvaguardes especifica controls tècnics concrets que el vostre programa ha d'abordar: controls d'accés, inventari d'actius, xifratge de la informació dels clients tant en repòs com en trànsit, pràctiques de desenvolupament segur per a qualsevol aplicació interna, autenticació multifactor per a qualsevol sistema que accedeixi a dades de clients, eliminació segura de la informació dels clients no més tard de dos anys després de l'última interacció, gestió de canvis i monitoratge de l'activitat dels usuaris autoritzats.
Els dos controls en què la majoria de petites empreses fallen són el xifratge i l'MFA. La Norma exigeix el xifratge de la informació dels clients en els vostres sistemes i en trànsit. Si les vostres cartes d'encàrrec es troben sense xifrar en una carpeta de Dropbox sincronitzada amb un ordinador portàtil personal, això és una deficiència. L'MFA ha d'utilitzar almenys dos dels tres factors d'autenticació —coneixement, possessió, inherència— i l'única via per ometre-ho és una aprovació escrita de la Persona Qualificada per a un control equivalent. "És inconvenient" no és un control equivalent.
4. Monitorar i provar les salvaguardes regularment
La Norma exigeix un monitoratge continu o proves de penetració anuals i avaluacions de vulnerabilitat semestrals. Per a una empresa petita, la via realista és la segona: un escaneig de vulnerabilitats autenticat dues vegades a l'any i una prova de penetració anual si gestioneu un volum significatiu de declaracions o dades de clients d'alt risc. Els resultats de les proves han de ser documentats i revisats per la Persona Qualificada.
5. Formar el personal
Cada empleat amb accés a la informació dels clients necessita una formació en seguretat adequada al seu rol, i aquesta formació s'ha de renovar periòdicament. La Persona Qualificada necessita quelcom més que la formació bàsica. Les simulacions de pesca de credencials (phishing), la higiene de contrasenyes, la gestió segura de fitxers i els procediments de notificació d'incidents són els temes fonamentals. Els registres de formació —data, assistent, tema— han de guardar-se a la carpeta del WISP.
6. Supervisar els proveïdors de serveis
Si utilitzeu un proveïdor de programari fiscal, una plataforma d'emmagatzematge al núvol, un servei de signatura de documents, un processador de nòmines o una aplicació de comptabilitat, aquests són proveïdors de serveis segons la Norma. Heu de seleccionar-los en funció de la seva capacitat per mantenir les salvaguardes adequades, exigir-los contractualment que ho facin i avaluar periòdicament si continuen complint aquest estàndard. Els informes SOC 2 Tipus II són l'evidència estàndard; un proveïdor que no en pugui presentar un és un senyal d'alerta.
7. Mantenir el programa actualitzat
Un WISP és un document viu. La Norma us exigeix avaluar i ajustar el programa a la llum dels resultats de les proves, dels canvis materials en les operacions i dels canvis en el panorama d'amenaces. Com a mínim cal fer una revisió anual, a més d'una actualització cada vegada que canvieu de programari fiscal, migreu a una nova plataforma al núvol, obriu una nova oficina o incorporeu un nou soci.
8. Redactar un pla escrit de resposta a incidents
L'IRP ha d'especificar el procés intern per respondre a un esdeveniment de seguretat: objectius, rols i responsabilitats, comunicacions internes, comunicacions externes, preservació de proves, passos de remediació i revisió post-incident. El pla també ha d'incloure la via de notificació regulatòria: a l'FTC en un termini de 30 dies per a esdeveniments que afectin més de 500 persones, a l'Enllaç amb les Parts Interessades de l'IRS per a qualsevol robatori de dades, i a cada fiscal general de l'estat segons la llei de violació de dades estatal pertinent.
9. Informar el consell (o el propietari) anualment
La Persona Qualificada ha d'informar per escrit, almenys anualment, a l'òrgan de govern de l'empresa: el consell, el soci director o el propietari individual. L'informe cobreix l'estat general del programa, els riscos materials, els resultats de les proves, els problemes amb els proveïdors de serveis i qualsevol esdeveniment de seguretat. Per a una empresa d'una sola persona, això significa que el propietari es redacta un memoràndum a si mateix, hi posa la data i l'arxiva. Sembla absurd fins que us trobeu asseguts davant d'un investigador de l'FTC.
La plantilla de la Publicació 5708 de l'IRS és el punt de partida més fàcil
La Cimera de Seguretat —una col·laboració entre l'IRS, les agències fiscals estatals i els principals proveïdors de programari fiscal— publica una plantilla de WISP emplenable com a Publicació 5708 de l'IRS. És un document de 28 pàgines, estructurat al voltant dels nou elements de l'FTC, que guia una petita empresa a través de cada secció obligatòria. Les revisions recents han afegit llenguatge sobre els fluxos de treball d'aprovació de l'MFA, alternatives de xifratge i el procés de notificació de violació de dades de 30 dies.
Dues notes pràctiques sobre la Publicació 5708:
- Considereu-la com una estructura base, no com un pla acabat. La plantilla us demana que ompliu les salvaguardes específiques de la vostra empresa, els proveïdors, els temes de formació i els contactes de resposta a incidents. Un WISP que encara contingui el text de farciment és pitjor que no tenir cap WISP: és una prova documental que no heu realitzat una avaluació de riscos.
- No us salteu els elements de l'apèndix. L'apèndix de classificació de dades de la plantilla, l'inventari d'actius i la llista de proveïdors són les parts que fan que el WISP sigui defensable. Una resposta a una violació de dades que comenci amb un "no sabem exactament quins clients s'han vist afectats" perquè no hi havia un inventari d'actius és el pitjor punt de partida possible.
La publicació complementària, Publicació 4557 de l'IRS — Salvaguarda de les dades dels contribuents, és una guia educativa més extensa que cobreix el panorama general: lleis federals i estatals de notificació de violacions, patrons d'atac comuns contra professionals del sector fiscal, el flux de treball de notificació de l'IRS quan l'EFIN d'un preparador es veu compromès, i una llista de recursos tècnics gratuïts o de baix cost. Llegiu-la un cop, guardeu-la als preferits i torneu-hi a recórrer quan incorporeu personal nou.
La implementació real: un full de ruta de 90 dies per a una petita firma
Establir un WISP (Pla de Seguretat de la Informació per Escrit) des de zero intimida, principalment perquè les normatives descriuen un programa de seguretat empresarial en un llenguatge que no s'adapta fàcilment a una firma de comptables de sis persones. Aquí teniu una seqüenciació que realment encaixa en un despatx petit.
Dies 1 a 14 — Inventari i designació. Designeu la Persona Qualificada per escrit. Elaboreu l'inventari d'actius: cada dispositiu que toca dades de clients, cada aplicació al núvol, cada ubicació de fitxers en paper, cada proveïdor de serveis. L'inventari és el document amb més pes del WISP: l'avaluació de riscos, les decisions de xifratge, la supervisió de proveïdors i la resposta a incidents s'hi refereixen constantment.
Dies 15 a 30 — Avaluació de riscos. Reviseu l'inventari i identifiqueu les amenaces previsibles. Phishing contra el personal. Pèrdua d'un ordinador portàtil amb fitxers de clients sincronitzats. Ransomware que xifra el dipòsit de documents. Bretxa de seguretat d'un proveïdor que exposa les càrregues dels clients. Puntuï cada risc, anoti les mitigacions actuals i identifiqui les mancances.
Dies 31 a 60 — Implementació de controls. Tanqueu les escletxes. MFA (autenticació de múltiples factors) en cada sistema que toqui dades de clients, incloent-hi el programari fiscal, el correu electrònic, l'emmagatzematge al núvol, la signatura de documents i les plataformes de comptabilitat. Xifratge de disc complet a cada estació de treball i portàtil. Procediments d'eliminació segura per a paper, discs durs i carpetes d'antics clients. Contractes amb proveïdors actualitzats per incloure obligacions de seguretat. Formació del personal posada en marxa amb un registre de finalització supervisat.
Dies 61 a 80 — Redacció del pla. Obriu la Publicació 5708 i ompliu cada secció segons l'inventari, l'avaluació de riscos i els controls que ja heu implementat. Redacteu el pla de resposta a incidents amb contactes concrets, el flux de treball d'informació a la FTC i el contacte de l'Enllaç de Parts Interessades de l'IRS per a la vostra regió. Documenteu el calendari de revisió anual.
Dies 81 a 90 — Prova, formació i informe. Realitzeu un exercici de simulació del pla de resposta a incidents. Obtingueu un escaneig de vulnerabilitats d'un proveïdor amb bona reputació. Realitzeu la sessió de formació formal del personal i recolliu el registre d'assistència. Redacteu el primer informe anual de la Persona Qualificada, signeu-lo i arxiveu-lo.
Al final dels 90 dies, tindreu un WISP defensable. No és una tasca d'una sola vegada; és l'inici d'un cicle anual que fa avançar el programa cada any.
On encara fallen la majoria de firmes petites
Després d'observar uns quants centenars de despatxos petits passar pel seu primer cicle de WISP, les mateixes mancances apareixen repetidament.
- Tractar el WISP com un document de Word en lloc d'una pràctica operativa. Un pla guardat en un calaix no és un programa. La prova del compliment resideix en els registres de formació, les revisions de proveïdors, els informes d'escaneig de vulnerabilitats i els informes anuals de la junta, no en el document del pla en si mateix.
- Confondre la confidencialitat del client amb la seguretat de les dades. Una clàusula de confidencialitat en una carta d'encàrrec és una obligació contractual. La Norma de Salvaguardes de la FTC és una obligació regulatòria amb requisits de control tècnics, administratius i físics. Se superposen, però no són el mateix.
- Ignorar els dispositius personals. Si un soci consulta el correu electrònic del client en un telèfon personal, aquest telèfon entra dins l'àmbit del WISP. L'avaluació de riscos l'ha d'abordar, s'hi ha d'imposar l'MFA i el pla de resposta a incidents l'ha de preveure.
- Ometre la revisió dels proveïdors de serveis. Un proveïdor que pateixi una bretxa que afecti els vostres clients us deixa com a responsables de la notificació a la FTC si no podeu demostrar una supervisió adequada. La revisió anual de la SOC 2 triga una hora i pot salvar la firma.
- Arxivar el flux de treball de notificació de bretxes sota l'epígraf "ja ho resoldrem si passa". El termini de 30 dies de la FTC comença en el moment del descobriment, no en la data en què decidiu que és real. Tenir preparat el formulari d'informe, la llista de contactes de notificació estat per estat i el número de l'assegurança ciber en el WISP marca la diferència entre un incident controlat i una acumulació de sancions regulatòries.
Què té a veure la bona comptabilitat amb tot això
El WISP és fonamentalment una història sobre registres: què teniu, on viu, qui ho pot tocar i què feu quan alguna cosa surt malament. Les firmes que tenen més dificultats amb la Norma de Salvaguardes són les mateixes que tenen dificultats amb els seus propis llibres: registres dispersos en sistemes desconnectats, sense historial de versions, sense rastre d'auditoria de qui ha canviat què i quan.
La connexió no és casual. Una pràctica comptable basada en una comptabilitat en text pla i amb control de versions us ofereix els mateixos elements primitius que necessita un programa de seguretat creïble: una font única de veritat, un historial a prova de manipulacions, la capacitat de reconstruir exactament quin era l'estat del món en qualsevol data donada i la capacitat de concedir o revocar l'accés sense perdre el rastre. Quan la FTC pregunta quines dades de clients teníeu en la data d'un incident, poder dir "deixeu-me consultar el llibre major en aquest segell de temps" és molt millor que dir "deixeu-me comprovar si aquella còpia de seguretat encara és bona".
Mantingueu els registres financers de la vostra firma tan defensables com el vostre WISP
Un Pla de Seguretat de la Informació per Escrit només és tan bo com els registres que protegeix. Si els vostres propis llibres viuen en sistemes opacs sense historial de versions, ja heu perdut el rastre d'auditoria que la Norma de Salvaguardes de la FTC, la vostra companyia de responsabilitat professional i els vostres clients esperen que mantingueu. Beancount.io ofereix una comptabilitat en text pla amb versions de Git que proporciona a les firmes comptables una transparència total sobre les seves pròpies dades financeres: cada transacció, cada reclassificació, cada conciliació capturada en un historial a prova de manipulacions que realment controleu. Comenceu de franc i gestioneu el vostre despatx amb el mateix estàndard de prova que deveu als vostres clients.