Plan WISP para preparadores de impuestos: la plantilla gratuita del IRS y cómo completarla
Esta guía también está disponible en inglés.
¿Existe una plantilla WISP gratuita para preparadores de impuestos?
Sí. La plantilla del plan WISP para preparadores de impuestos, gratuita, es la Publicación 5708 del IRS, “Creating a Written Information Security Plan for your Tax & Accounting Practice”, preparada por la Cumbre de Seguridad (Security Summit) del IRS. Incluye un modelo de plan y seis anexos de ejemplo, solo en inglés. No le pague a nadie por el documento; el trabajo está en que lo que dice sea cierto en su oficina.
WISP significa Written Information Security Plan, es decir, plan escrito de seguridad de la información. La Publicación 5708 (revisión 8-2024) tiene 29 páginas y está pensada para oficinas pequeñas. Ella misma aclara que no existe un WISP único para todos: un preparador que trabaja solo puede tener un plan más breve que una firma con diez socios.
¿Los preparadores de impuestos están obligados a tener un WISP?
Sí. Según la ley Gramm-Leach-Bliley, los profesionales de impuestos y contabilidad se consideran “instituciones financieras”, sin importar su tamaño, y la Regla de Salvaguardas de la FTC (FTC Safeguards Rule) exige que cada una implemente y mantenga un plan escrito de seguridad. La Publicación 5708 dice que su WISP “debe estar por escrito y accesible”. La línea 11 del formulario de renovación del PTIN, el Formulario W-12, le pide confirmar que conoce este requisito; por eso el tema aparece cada otoño.
La obligación no es solo el documento. La regla también pide nombrar a una persona responsable (el “Qualified Individual”), evaluar los riesgos, poner en marcha y probar las medidas de seguridad, supervisar a sus proveedores y usar autenticación de dos pasos para cualquier persona que acceda a sus sistemas. El plan es donde se deja todo eso por escrito.
¿Qué incluye la plantilla WISP del IRS?
El esquema de la Publicación 5708 tiene siete partes:
- Objetivos, propósito y alcance. Qué cubre el plan y por qué. El texto de ejemplo se puede usar casi tal cual.
- La persona responsable. Quien coordina la seguridad (la publicación también la llama Data Security Coordinator) y quién más tiene acceso a los datos de clientes, y con qué nivel.
- Evaluación de riesgos. Qué tipo de información de clientes maneja, dónde se podría perder (dentro y fuera de la oficina) y cómo lo vigila y lo prueba.
- Inventario de equipos. Cada computadora, servidor, teléfono y disco que toca datos de clientes, dónde está y qué guarda.
- Medidas de seguridad. Sus políticas sobre recopilación y conservación de datos, divulgación, protección de la red, acceso de usuarios, intercambio electrónico de datos, Wi-Fi, acceso remoto, dispositivos conectados e incidentes reportables, además de un código de conducta para el personal.
- Cláusula de implementación. La fecha, el nombre de la firma, una declaración de que el plan cumple con la ley GLBA y la Regla de Salvaguardas de la FTC, y las firmas del dueño y del coordinador.
- Anexos. La publicación trae modelos para cada uno: A, política de conservación de registros; B, reglas de conducta para proteger los datos de clientes; C, procedimiento ante una violación de seguridad y notificaciones; D, constancia firmada de empleados y contratistas; E, inventario de equipos; y F, empleados autorizados a acceder a datos de clientes.
¿Cómo se completa la plantilla para que realmente sirva?
La mayoría de las plantillas se llenan una vez, en una tarde, y nunca vuelven a coincidir con la oficina. Estos son los puntos que más vemos fallar:
- La sección II nombra a una persona, no a “la oficina”. Un responsable con nombre y un suplente. Si es su proveedor de informática, dígalo y ponga el contacto.
- La sección III enumera dónde están realmente los datos, no solo el programa de impuestos: el correo, la bandeja del escáner, el portal de clientes, una carpeta compartida, la laptop que se lleva a casa, las copias de seguridad y cualquier herramienta de inteligencia artificial conectada al correo de la empresa.
- La sección IV y el anexo E salen de recorrer la oficina, incluida la computadora vieja del fondo y los teléfonos personales que reciben correo del trabajo.
- La sección V solo afirma lo que es cierto hoy. Si la autenticación de dos pasos está activa en el programa de impuestos pero no en el correo, el plan debe decirlo, y decir cuándo se activará. Un plan que promete medidas que no existen es peor que no tener plan.
- El anexo C tiene números de teléfono reales: su contacto de informática, su aseguradora y el enlace del IRS para su estado (Stakeholder Liaison). Durante un incidente nadie se pone a buscarlos.
- El anexo D se firma cada año por todo el personal, incluidos los empleados de temporada, para que quede constancia de la capacitación.
¿Una oficina pequeña está exenta de algo?
En parte. Según la Regla de Salvaguardas (16 CFR 314.6), una firma que guarda información de menos de 5,000 consumidores no tiene que cumplir cuatro requisitos concretos: la evaluación de riesgos por escrito, el monitoreo continuo o las pruebas de penetración anuales, el plan escrito de respuesta a incidentes y el informe anual a la junta directiva. Todo lo demás sigue aplicando, incluido el WISP, la persona responsable, la autenticación de dos pasos, el cifrado, la capacitación y la supervisión de proveedores.
¿Hay una fecha límite para el WISP del IRS?
No hay una fecha de presentación aparte, y el WISP no se envía al IRS. La versión actualizada de la Regla de Salvaguardas está plenamente vigente desde junio de 2023, así que el plan ya debería existir. Las fechas prácticas son la temporada de renovación del PTIN (de octubre al 31 de diciembre), cuando la línea 11 pregunta por él, y antes de que empiece la temporada de impuestos en enero, cuando ya no hay tiempo para cambios. La publicación recomienda revisar y actualizar el plan al menos una vez al año.
¿Qué no hace el WISP por usted?
No activa la autenticación de dos pasos, no cifra una laptop, no prueba una copia de seguridad ni le quita el acceso a un preparador de temporada que ya se fue. La plantilla es la lista; el trabajo es que cada línea sea cierta y poder demostrarlo. Revise los doce puntos en nuestra lista de verificación de la Regla de Salvaguardas, y compruebe si alguien podría enviar correos haciéndose pasar por su oficina (herramienta en inglés): 7 de las 10 oficinas de impuestos del condado de Polk que revisamos este mes no pasaron la prueba.
¿Necesita ayuda para que su plan sea real?
iTech Plus atiende a oficinas de impuestos y contabilidad en el condado de Polk y en Osceola, en español y en inglés (vea nuestro soporte técnico en español). Le ayudamos a completar la Publicación 5708 para que refleje su oficina, ponemos en marcha las medidas de seguridad y las mantenemos durante toda la temporada, con el plan y la evidencia al día en nuestro WISP Manager. Llame al (321) 221-7117 o escriba a info@itechplus.co.
Información general sobre las guías del IRS y la FTC; no constituye asesoría legal ni tributaria.
