SF3TECHNOLOGIES
الأدلةالأدلة · SOX والامتثال

ضوابط SOX لتكنولوجيا المعلومات للشركات قبل الطرح العام: قائمة تحقق للاستعداد

ما الذي يختبره المدققون في جانب تكنولوجيا المعلومات، ومتى يبدأ تطبيق كل جزء من SOX، وقائمة التحقق التي نستخدمها لتشغيل ضوابط الوصول والتغيير والنسخ الاحتياطي والسجلات قبل أول تدقيق.

مدة القراءة: 9 دقائقآخر تحديث

الإجابة المختصرة

إذا كنت تخطط للإدراج خلال فترة تتراوح بين 12 و18 شهرًا من الآن، فابدأ العمل على الضوابط العامة لتكنولوجيا المعلومات الآن. يريد المدققون أن يروا ضوابط الوصول والتغيير والنسخ الاحتياطي والسجلات تعمل على مدى عدة أرباع سنوية، لا أن تُعَدّ قبل وصولهم بشهر. ويمكن لمعظم الشركات التي يتراوح حجمها بين 5 و150 شخصًا الوصول إلى ذلك باستخدام Microsoft 365 أو Google Workspace الذي تستخدمه بالفعل، مع بعض ترقيات التراخيص وعدد قليل من الإجراءات المكتوبة التي يلتزم بها الموظفون فعلًا.

ما الذي يطلبه SOX من تكنولوجيا المعلومات، بلغة بسيطة

يتمحور قانون ساربينز-أوكسلي (SOX) حول أمر واحد: تقارير مالية يمكن للمستثمرين الوثوق بها. ولا تدخل تكنولوجيا المعلومات في النطاق إلا حيث تنشئ الأنظمة الأرقام المالية أو تخزنها أو تغيّرها. وهذا يجعل الجزء التقني أضيق مما يخشاه معظم الناس.

البندماذا يعنيمتى يبدأ تطبيقه على شركة مدرجة حديثًا
SOX 302يصادق الرئيس التنفيذي والمدير المالي شخصيًا على كل تقرير ربع سنوي وسنوي، وعلى ضوابط الإفصاح التي يستند إليها.ابتداءً من أول تقرير ربع سنوي أو سنوي بعد الإدراج.
SOX 404(a)تقيّم الإدارة الرقابة الداخلية على التقارير المالية (ICFR) كل عام، وعادةً وفق إطار COSO 2013.عادةً ابتداءً من التقرير السنوي الثاني بعد الإدراج.
SOX 404(b)يختبر المدقق الخارجي تلك الضوابط ويصدر شهادته عليها.للجهات المُصدِرة الأكبر حجمًا فقط (larger filers). وتُعفى الشركات الناشئة سريعة النمو (emerging growth companies) لمدة تصل إلى خمس سنوات، كما تُعفى الجهات المُصدِرة غير المعجَّلة (non-accelerated filers).

حتى لو كانت شركتك معفاة من 404(b) لفترة من الوقت، فإن مدقق قوائمك المالية سيظل يفحص ضوابط تكنولوجيا المعلومات، وقد ينتهي الأمر بالإفصاح عن مواطن الضعف المكتشفة أثناء التحضير للطرح العام في بيان التسجيل. لذا يجب أن تكون الأدلة بمستوى يصلح للتدقيق منذ البداية.

متى تبدأ

الوقت المتبقي قبل الإدراجما يجب أن يحدث في جانب تكنولوجيا المعلومات
من 18 إلى 12 شهرًاتأكد من الجدول الزمني للإدراج ومن تصنيفك كجهة مُصدِرة (filer status) مع مستشارك القانوني وشركة التدقيق. أعدّ قائمة بكل نظام يتعامل مع الأرقام المالية ومن المسؤول عنه. نظّم الهويات: حسابات بأسماء أصحابها، والمصادقة متعددة العوامل (MFA) في كل مكان، وعدد أقل من المسؤولين.
من 12 إلى 6 أشهراكتب السياسات والإجراءات. ابدأ تشغيل الضوابط: مراجعات الوصول، وسجلات التغييرات، واختبارات الاستعادة من النسخ الاحتياطية. واجمع الأدلة أولًا بأول.
من 6 أشهر حتى الإدراجأجرِ استعراضًا تجريبيًا لكل ضابط بالطريقة التي سيتبعها المدقق. سدّ الثغرات. واستمر في تشغيل الضوابط كل ربع سنة.
بعد الإدراجتبدأ شهادات SOX 302 مع التقرير الأول. حافظ على تقويم الأدلة حتى يصبح أول تقييم للإدارة بموجب 404(a) مجرد استخراج للملفات، لا إعادة بنائها.

ما الأنظمة المشمولة في النطاق

ليس كل شيء. يشمل النطاق الأنظمة التي تنشئ البيانات المالية أو تخزنها أو تعالجها:

  • المحاسبة أو تخطيط موارد المؤسسات (ERP): QuickBooks Online وNetSuite وSage Intacct وXero وما يماثلها
  • الرواتب والموارد البشرية: ADP وGusto وPaylocity وRippling وما يماثلها
  • أدوات الخدمات المصرفية والمدفوعات والمصروفات
  • منصة الهوية التي تتحكم في الوصول إلى كل ما سبق: Microsoft Entra ID أو Google Workspace، مع المصادقة متعددة العوامل (MFA) وتسجيل الدخول الموحد (SSO)
  • أماكن حفظ الملفات وجداول البيانات المالية: SharePoint أو OneDrive أو Teams أو Google Drive
  • أجهزة الكمبيوتر التي يستخدمها فريقك المالي

بالنسبة للخدمات السحابية التي لا تديرها بنفسك، يعتمد المدققون على تقرير SOC 1 Type II الصادر عن المورّد. اجمع هذه التقارير كل عام وراجع قسم «complementary user entity controls» (الضوابط التكميلية المطلوبة من جهة المستخدم). فهو يوضح ما يتوقع المورّد أن تقوم به من جهتك، وغالبًا ما يكون ذلك مراجعات الوصول والمصادقة متعددة العوامل (MFA).

قائمة التحقق من الاستعداد

هذه هي الضوابط العامة لتكنولوجيا المعلومات (ITGC) التي يختبرها المدققون، مجمّعة بالطريقة التي يختبرونها بها.

إدارة الوصول

  • إجراء مكتوب لانضمام الموظفين وانتقالهم بين الأدوار ومغادرتهم، يُعتمد فيه الوصول قبل منحه
  • تعطيل حسابات المغادرين فورًا، مع تواريخ من الموارد البشرية يمكن مقارنتها بتواريخ التعطيل
  • مراجعات ربع سنوية لوصول المستخدمين إلى كل نظام مالي، يعتمدها مالك النظام
  • حسابات إدارية منفصلة تحمل أسماء أصحابها. لا عمليات دخول مشتركة، ولا صلاحيات إدارية على الحسابات اليومية
  • أدوار إدارية مقتصرة على عدد قليل من الأشخاص، مع تسجيل نشاط المسؤولين ومراجعته كل ربع سنة

الأمن المنطقي

  • المصادقة متعددة العوامل (MFA) على كل حساب، وللمسؤولين أساليب مقاومة للتصيد الاحتيالي مثل مفاتيح المرور (passkeys)
  • حظر أساليب تسجيل الدخول القديمة
  • قواعد وصول مشروط أو سياسات تسجيل دخول مماثلة، موثقة كتابيًا
  • تسجيل أجهزة الشركة في نظام لإدارة الأجهزة (Intune لأجهزة Windows، وMosyle أو حل MDM آخر لأجهزة Mac)

إدارة التغيير

  • طلب التغييرات على الأنظمة المالية وإعدادات الأمان واعتمادها واختبارها وتسجيلها
  • الشخص الذي يطلب التغيير لا يكون أبدًا هو من يعتمده
  • الاحتفاظ بسجل تغييرات الإعدادات في نظامك المحاسبي

عمليات تكنولوجيا المعلومات والنسخ الاحتياطي

  • نسخ احتياطي لـ Microsoft 365 أو Google Workspace ولبياناتك المالية، مع متابعة حالات الفشل
  • اختبار استعادة كل ربع سنة، مع محضر مكتوب
  • تسجيل الحوادث والتحقيق فيها وإغلاقها

السجلات والأدلة

  • الاحتفاظ بسجلات تسجيل الدخول ونشاط المسؤولين والوصول إلى الملفات طوال سنة التدقيق كاملة على الأقل
  • جمع الأدلة وفق تقويم (شهريًا وربع سنويًا وسنويًا)، لا تجميعها في أسبوع التدقيق
  • سياسات موقّعة ومؤرخة تُراجع مرة كل عام

فصل المهام في جانب تكنولوجيا المعلومات

  • لا يشغل مسؤولو تكنولوجيا المعلومات أي أدوار لتنفيذ المعاملات في الأنظمة المالية
  • لا يستطيع مزوّد تكنولوجيا المعلومات اعتماد وصوله أو تغييراته بنفسه
  • يراجع مسؤول تنفيذي راعٍ نشاط حسابات الإدارة لدى المزوّد ويعتمده

إذا كنت تستخدم Microsoft 365 أو Google Workspace

في Microsoft 365، الميزتان الأكثر فائدة هما إدارة الهويات المتميزة (PIM)، التي تجعل الصلاحيات الإدارية مؤقتة ومسجّلة، ومراجعات الوصول. وتتطلب كلتاهما Microsoft Entra ID P2، المتضمن في Microsoft 365 E5 أو الذي يمكن إضافته إلى Business Premium. تُحفظ سجلات التدقيق القياسية لمدة 180 يومًا، وهي أقصر من سنة التدقيق، لذا إما أن تشتري ترخيصًا لمدة احتفاظ أطول، أو أن تصدّر السجلات كل شهر إلى مكان يستطيع مدققك قراءتها فيه.

في Google Workspace، استخدم حسابات منفصلة للمشرف المتميز، وافرض التحقق بخطوتين، وتحقق من المدة التي يحتفظ فيها إصدارك بسجلات المشرفين وتسجيل الدخول. وإذا كانت أقل من سنة، فصدّرها وفق جدول منتظم.

خمسة أخطاء نراها كثيرًا

  1. البدء في سنة التدقيق. تحتاج الضوابط إلى وقت لتعمل قبل أن يتمكن أحد من اختبارها.
  2. حساب إداري مشترك واحد. إذا لم يستطع أحد معرفة من أجرى التغيير، يفشل ضابط التغيير.
  3. مراجعات وصول دون إثبات. بالنسبة للمدقق، المراجعة التي جرت لكنها لم تُوقَّع ولم تُؤرَّخ لم تحدث أصلًا.
  4. مزوّد تكنولوجيا المعلومات يعتمد عمله بنفسه. يجب أن يعتمد شخص من داخل الشركة ما يقوم به المزوّد ويراجعه.
  5. نسيان المورّدين. غياب تقرير SOC 1 لمزوّد خدمة الرواتب يُعد ملاحظة تدقيق، حتى لو كانت ضوابطك الداخلية مثالية.

من يتولى ماذا

SOX عمل جماعي، والحدود بين الأدوار مهمة:

  • فريقك المالي يتولى ضوابط العمليات التجارية: الإيرادات، والإقفال المالي، وقيود اليومية، ومن يمكنه إنشاء الموردين وإصدار المدفوعات.
  • مزوّد تكنولوجيا المعلومات يُعدّ الضوابط العامة لتكنولوجيا المعلومات ويشغّلها ويُنتج الأدلة.
  • شخص مستقل عن القائم على تشغيل الضابط يجري الاختبارات التي يستند إليها تقييم الإدارة: المراقب المالي لديك، أو شركة خارجية للتدقيق الداخلي، أو مستشار SOX.

والفصل بين هذه الأدوار هو في حد ذاته أمر يبحث عنه المدققون.

الأسئلة الشائعة

ما يسألنا عنه الناس

إجابات قصيرة عن أكثر ما يسألنا عنه المؤسسون ومسؤولو الشؤون المالية.

اسألنا عن أي شيء آخر

البدء قبل الإدراج بفترة تتراوح بين اثني عشر وثمانية عشر شهرًا يمنحك وقتًا مريحًا. يجب أن تعمل الضوابط لعدة أرباع سنوية قبل أن يمكن اختبارها، وقد يستغرق تنظيم الهويات وحده بضعة أشهر في شركة نمت بسرعة.

كيف تساعدك SF3 Technologies

نُعدّ الجانب التقني من SOX ونشغّله للشركات العامة والشركات المقبلة على الطرح العام: تقييم الفجوات مقابل الضوابط التي سيختبرها مدققك، والمعالجة في Microsoft 365 وGoogle Workspace وأجهزتك، وتشغيل الضوابط كل ربع سنة مع الأدلة، والدعم خلال العمل الميداني للتدقيق. نعمل داخل المستأجر الخاص بك عبر حسابات إدارية مخصصة باسم شركتك، محمية بالمصادقة متعددة العوامل (MFA) ومسجَّلة النشاط، وهذا بحد ذاته ضابط يمكنك عرضه على مدققك.

ابدأ بتقييم الفجواتSOX والاستعداد للامتثال

هذا الدليل معلومات عامة، وليس مشورة قانونية أو مشورة تدقيق. تأكد من تصنيفك كجهة مُصدِرة ومن الجدول الزمني والنطاق مع مستشارك القانوني المختص بالأوراق المالية وشركة التدقيق.