SF3TECHNOLOGIES
LeitfädenLeitfäden · SOX und Compliance

SOX-IT-Kontrollen vor dem Börsengang: eine Checkliste zur Vorbereitung

Was Prüfer auf der IT-Seite testen, wann welcher Teil von SOX greift und mit welcher Checkliste wir Kontrollen für Zugriffe, Änderungen, Datensicherung und Protokollierung vor der ersten Prüfung zum Laufen bringen.

9 Minuten LesezeitAktualisiert

Kurz gesagt

Wenn Sie in den nächsten 12 bis 18 Monaten an die Börse gehen wollen, beginnen Sie jetzt mit Ihren allgemeinen IT-Kontrollen. Prüfer wollen sehen, dass Kontrollen für Zugriffe, Änderungen, Datensicherung und Protokollierung über mehrere Quartale funktionieren, nicht dass sie im Monat vor der Prüfung eingerichtet wurden. Die meisten Unternehmen mit 5 bis 150 Mitarbeitern schaffen das mit dem Microsoft 365 oder Google Workspace, das sie bereits nutzen, ein paar Lizenz-Upgrades und einer Handvoll schriftlicher Prozesse, an die sich alle auch wirklich halten.

Was SOX von der IT verlangt, einfach erklärt

Beim Sarbanes-Oxley Act (SOX) geht es um eines: Finanzberichte, denen Anleger vertrauen können. Die IT ist nur dort betroffen, wo Systeme die Zahlen erzeugen, speichern oder verändern. Deshalb ist der IT-Teil enger gefasst, als die meisten befürchten.

AbschnittBedeutungAb wann er für ein neu börsennotiertes Unternehmen gilt
SOX 302CEO und CFO bestätigen persönlich jeden Quartals- und Jahresbericht sowie die zugrunde liegenden Offenlegungskontrollen.Ab dem ersten Quartals- oder Jahresbericht nach dem Börsengang.
SOX 404(a)Das Management beurteilt jedes Jahr das interne Kontrollsystem über die Finanzberichterstattung (ICFR), meist anhand des Rahmenwerks COSO 2013.In der Regel ab dem zweiten Jahresbericht nach dem Börsengang.
SOX 404(b)Der externe Abschlussprüfer testet diese Kontrollen und bestätigt ihre Wirksamkeit.Nur für größere Emittenten (larger filers). Emerging Growth Companies sind bis zu fünf Jahre lang befreit, und Non-Accelerated Filers sind ganz davon ausgenommen.

Auch wenn Ihr Unternehmen eine Zeit lang von 404(b) befreit ist, sieht sich Ihr Abschlussprüfer die IT-Kontrollen trotzdem an, und Schwächen, die bei der Vorbereitung des Börsengangs auffallen, müssen unter Umständen im Börsenprospekt (Registration Statement) offengelegt werden. Die Nachweise müssen deshalb von Anfang an prüfungsfest sein.

Wann Sie beginnen sollten

Zeit vor dem BörsengangWas auf der IT-Seite passieren sollte
18 bis 12 MonateKlären Sie den Zeitplan für den Börsengang und Ihren Emittentenstatus (filer status) mit Ihrer Rechtsberatung und Ihrer Wirtschaftsprüfungsgesellschaft. Erfassen Sie jedes System, das mit den Zahlen zu tun hat, und wer dafür verantwortlich ist. Räumen Sie bei den Identitäten auf: personalisierte Konten, Multi-Faktor-Authentifizierung (MFA) überall, weniger Administratoren.
12 bis 6 MonateSchreiben Sie die Richtlinien und Prozesse. Beginnen Sie, die Kontrollen durchzuführen: Zugriffsüberprüfungen, Änderungsnachweise, Tests zur Wiederherstellung aus Backups. Sammeln Sie die Nachweise laufend.
6 Monate bis zum BörsengangGehen Sie jede Kontrolle in einem Probedurchlauf so durch, wie es ein Prüfer tun würde. Schließen Sie die Lücken. Führen Sie die Kontrollen weiterhin in jedem Quartal durch.
Nach dem BörsengangDie Bestätigungen nach SOX 302 beginnen mit dem ersten Bericht. Führen Sie den Nachweiskalender weiter, damit für die erste 404(a)-Beurteilung durch das Management nur Dateien herausgesucht und nicht neu erstellt werden müssen.

Welche Systeme betroffen sind

Nicht alle. Betroffen sind die Systeme, die Finanzdaten erzeugen, speichern oder verarbeiten:

  • Buchhaltung oder ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero und ähnliche Systeme
  • Lohnabrechnung und Personalwesen: ADP, Gusto, Paylocity, Rippling und ähnliche Systeme
  • Tools für Bankgeschäfte, Zahlungen und Spesen
  • Die Identitätsplattform, die den Zugriff auf all diese Systeme steuert: Microsoft Entra ID oder Google Workspace, mit MFA und Single Sign-On (SSO)
  • Der Ort, an dem Finanzdateien und Tabellen liegen: SharePoint, OneDrive, Teams oder Google Drive
  • Die Computer, mit denen Ihr Finanzteam arbeitet

Bei Cloud-Diensten, die Sie nicht selbst betreiben, stützen sich Prüfer auf den Bericht des Anbieters nach SOC 1 Type II. Holen Sie diese Berichte jedes Jahr ein und prüfen Sie den Abschnitt „complementary user entity controls“ (ergänzende Kontrollen beim Kunden). Dort steht, was der Anbieter auf Ihrer Seite von Ihnen erwartet, meist Zugriffsüberprüfungen und MFA.

Die Checkliste zur Vorbereitung

Das sind die allgemeinen IT-Kontrollen (ITGC), die Prüfer testen, gruppiert so, wie sie getestet werden.

Zugriffsverwaltung

  • Ein schriftlicher Prozess für Eintritte, Wechsel und Austritte, bei dem Zugriffe genehmigt werden, bevor sie vergeben werden
  • Konten ausscheidender Mitarbeiter werden zeitnah deaktiviert, und die Austrittstermine der Personalabteilung lassen sich mit den Deaktivierungszeitpunkten abgleichen
  • Vierteljährliche Überprüfung der Benutzerzugriffe für jedes Finanzsystem, abgezeichnet vom Systemverantwortlichen
  • Separate, personalisierte Administratorkonten. Keine gemeinsam genutzten Logins und keine Administratorrechte auf Alltagskonten
  • Administratorrollen auf wenige Personen beschränkt, Administratoraktivitäten protokolliert und jedes Quartal überprüft

Logische Sicherheit

  • MFA für jedes Konto, für Administratoren mit Phishing-resistenten Methoden wie Passkeys
  • Veraltete Anmeldemethoden blockiert
  • Dokumentierte Regeln für bedingten Zugriff oder gleichwertige Anmelderichtlinien
  • Firmencomputer in der Geräteverwaltung registriert (Intune für Windows, Mosyle oder eine andere MDM-Lösung für Mac)

Änderungsmanagement

  • Änderungen an Finanzsystemen und Sicherheitseinstellungen werden beantragt, genehmigt, getestet und protokolliert
  • Wer eine Änderung beantragt, genehmigt sie nie selbst
  • Der Verlauf der Konfigurationsänderungen in Ihrem Buchhaltungssystem wird aufbewahrt

IT-Betrieb und Datensicherung

  • Backups von Microsoft 365 oder Google Workspace und Ihren Finanzdaten, fehlgeschlagene Sicherungen werden nachverfolgt
  • Jedes Quartal ein Wiederherstellungstest mit schriftlichem Protokoll
  • Vorfälle werden erfasst, untersucht und abgeschlossen

Protokollierung und Nachweise

  • Anmelde-, Administrator- und Dateizugriffsprotokolle werden mindestens für das gesamte Prüfungsjahr aufbewahrt
  • Nachweise werden nach Kalender gesammelt (monatlich, vierteljährlich, jährlich) und nicht erst in der Prüfungswoche zusammengesucht
  • Richtlinien sind unterschrieben, datiert und werden einmal im Jahr überprüft

Funktionstrennung auf der IT-Seite

  • IT-Administratoren haben keine transaktionsbezogenen Rollen in Finanzsystemen
  • Ihr IT-Dienstleister kann weder seine eigenen Zugriffe noch seine eigenen Änderungen genehmigen
  • Ein verantwortliches Mitglied der Geschäftsleitung prüft die Administratoraktivitäten des Dienstleisters und zeichnet sie ab

Wenn Sie Microsoft 365 oder Google Workspace nutzen

In Microsoft 365 helfen zwei Funktionen am meisten: Privileged Identity Management (PIM), das Administratorrechte nur befristet vergibt und protokolliert, und Zugriffsüberprüfungen. Beide setzen Microsoft Entra ID P2 voraus, das in Microsoft 365 E5 enthalten ist oder zu Business Premium hinzugebucht werden kann. Standard-Audit-Protokolle werden 180 Tage aufbewahrt, also kürzer als ein Prüfungsjahr. Lizenzieren Sie deshalb entweder eine längere Aufbewahrung, oder exportieren Sie die Protokolle jeden Monat an einen Ort, auf den Ihr Prüfer zugreifen kann.

In Google Workspace sollten Sie separate Super-Admin-Konten verwenden, die Bestätigung in zwei Schritten erzwingen und prüfen, wie lange Ihre Edition Administrator- und Anmeldeprotokolle aufbewahrt. Wenn es weniger als ein Jahr ist, exportieren Sie die Protokolle regelmäßig nach einem festen Zeitplan.

Fünf Fehler, die wir oft sehen

  1. Erst im Prüfungsjahr anfangen. Kontrollen müssen eine Weile laufen, bevor jemand sie testen kann.
  2. Ein gemeinsames Administratorkonto. Wenn niemand nachvollziehen kann, wer eine Änderung vorgenommen hat, versagt die Änderungskontrolle.
  3. Zugriffsüberprüfungen ohne Nachweis. Eine Überprüfung, die zwar stattgefunden hat, aber nicht unterschrieben und datiert wurde, hat aus Sicht des Prüfers nicht stattgefunden.
  4. Der IT-Dienstleister genehmigt seine eigene Arbeit. Jemand im Unternehmen muss genehmigen und überprüfen, was der Dienstleister tut.
  5. Die Anbieter vergessen. Ein fehlender SOC 1-Bericht Ihres Lohnabrechnungsanbieters ist eine Beanstandung, auch wenn Ihre eigenen Kontrollen einwandfrei sind.

Wer was macht

SOX ist Teamarbeit, und die klare Abgrenzung ist wichtig:

  • Ihr Finanzteam verantwortet die Kontrollen der Geschäftsprozesse: Umsatz, Abschluss, Buchungen und die Frage, wer Lieferanten anlegen und Zahlungen freigeben darf.
  • Ihr IT-Dienstleister richtet die allgemeinen IT-Kontrollen ein, führt sie durch und liefert die Nachweise.
  • Eine unabhängige Stelle übernimmt die Tests, auf die sich die Beurteilung durch das Management stützt, also nicht die Person, die die Kontrolle durchführt, sondern Ihr Controller, eine externe Firma für interne Revision oder ein SOX-Berater.

Dass diese Rollen getrennt sind, ist selbst etwas, worauf Prüfer achten.

Häufig gestellte Fragen

Was uns oft gefragt wird

Kurze Antworten auf die Fragen, die uns Gründer und Finanzverantwortliche am häufigsten stellen.

Stellen Sie uns eine andere Frage

Zwölf bis achtzehn Monate vor dem Börsengang sind ein komfortabler Vorlauf. Kontrollen müssen mehrere Quartale laufen, bevor sie getestet werden können, und allein das Aufräumen der Identitäten kann in einem schnell gewachsenen Unternehmen einige Monate dauern.

So unterstützt Sie SF3 Technologies

Wir richten den IT-Teil von SOX für börsennotierte Unternehmen und Unternehmen vor dem Börsengang ein und betreiben ihn: eine Gap-Analyse anhand der Kontrollen, die Ihr Prüfer testen wird, die Behebung der Lücken in Microsoft 365, Google Workspace und auf Ihren Geräten, die Durchführung der Kontrollen in jedem Quartal mit Nachweisen und Unterstützung während der Prüfung vor Ort. Wir arbeiten in Ihrem eigenen Mandanten über dedizierte Administratorkonten im Namen Ihres Unternehmens, geschützt durch MFA und protokolliert. Das ist bereits eine Kontrolle, die Sie Ihrem Prüfer zeigen können.

Beginnen Sie mit einer Gap-AnalyseSOX und Compliance-Vorbereitung

Dieser Leitfaden ist eine allgemeine Information und keine Rechts- oder Prüfungsberatung. Klären Sie Ihren Emittentenstatus (filer status), Ihren Zeitplan und den Umfang mit Ihrer kapitalmarktrechtlichen Beratung und Ihrer Wirtschaftsprüfungsgesellschaft.