SF3TECHNOLOGIES
गाइडगाइड · SOX और अनुपालन

प्री-IPO कंपनियों के लिए SOX आईटी नियंत्रण: तैयारी की चेकलिस्ट

आईटी की ओर से ऑडिटर क्या परखते हैं, SOX का हर हिस्सा कब लागू होता है, और वह चेकलिस्ट जिससे हम पहले ऑडिट से पहले एक्सेस, परिवर्तन, बैकअप और लॉगिंग नियंत्रण चालू करते हैं।

9 मिनट में पढ़ेंअपडेट किया गया

संक्षिप्त जवाब

अगर आप अगले 12 से 18 महीनों में लिस्टिंग की योजना बना रहे हैं, तो अपने आईटी सामान्य नियंत्रणों पर अभी से काम शुरू करें। ऑडिटर देखना चाहते हैं कि एक्सेस, परिवर्तन, बैकअप और लॉगिंग नियंत्रण कई तिमाहियों से चल रहे हैं, न कि उनके आने से एक महीना पहले लगाए गए हैं। 5 से 150 लोगों वाली ज़्यादातर कंपनियाँ यह उसी Microsoft 365 या Google Workspace से कर सकती हैं जो वे पहले से चला रही हैं, साथ में कुछ लाइसेंस अपग्रेड और गिनी-चुनी लिखित प्रक्रियाएँ, जिनका लोग वाकई पालन करें।

SOX आईटी से क्या चाहता है, आसान शब्दों में

सार्बेन्स-ऑक्सले एक्ट (SOX) का मकसद एक ही है: ऐसी वित्तीय रिपोर्टें जिन पर निवेशक भरोसा कर सकें। आईटी इसके दायरे में सिर्फ़ वहीं आता है जहाँ सिस्टम वित्तीय आँकड़े बनाते, सहेजते या बदलते हैं। इसलिए आईटी वाला हिस्सा उतना बड़ा नहीं है जितना ज़्यादातर लोग डरते हैं।

धाराइसका मतलबनई सूचीबद्ध कंपनी के लिए कब से लागू
SOX 302CEO और CFO हर तिमाही और वार्षिक रिपोर्ट को, और उसके पीछे के प्रकटीकरण नियंत्रणों को, व्यक्तिगत रूप से प्रमाणित करते हैं।लिस्टिंग के बाद पहली तिमाही या वार्षिक रिपोर्ट से।
SOX 404(a)प्रबंधन हर साल वित्तीय रिपोर्टिंग पर आंतरिक नियंत्रण (ICFR) का आकलन करता है, आमतौर पर COSO 2013 फ़्रेमवर्क के आधार पर।आमतौर पर लिस्टिंग के बाद दूसरी वार्षिक रिपोर्ट से।
SOX 404(b)बाहरी ऑडिटर उन नियंत्रणों का परीक्षण करता है और उन पर अपनी पुष्टि (attestation) देता है।सिर्फ़ बड़े फाइलरों (larger filers) के लिए। इमर्जिंग ग्रोथ कंपनियों (emerging growth companies) को पाँच साल तक छूट मिलती है, और नॉन-एक्सेलरेटेड फाइलरों (non-accelerated filers) को इससे छूट है।

भले ही आपकी कंपनी को कुछ समय के लिए 404(b) से छूट हो, आपके वित्तीय विवरणों का ऑडिटर फिर भी आईटी नियंत्रणों को देखता है, और IPO की तैयारी के दौरान मिली कमज़ोरियाँ पंजीकरण विवरण (registration statement) में उजागर करनी पड़ सकती हैं। इसलिए साक्ष्य शुरू से ही ऑडिट के स्तर के होने चाहिए।

कब शुरू करें

लिस्टिंग से पहले का समयआईटी की ओर से क्या होना चाहिए
18 से 12 महीने पहलेअपने वकील और ऑडिट फ़र्म के साथ लिस्टिंग की समय-सीमा और अपनी फाइलर स्थिति (filer status) की पुष्टि करें। हर उस सिस्टम की सूची बनाएँ जो वित्तीय आँकड़ों से जुड़ा है, और यह भी कि उसका स्वामी कौन है। पहचान को व्यवस्थित करें: नाम वाले खाते, हर जगह मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA), और कम एडमिन।
12 से 6 महीने पहलेनीतियाँ और प्रक्रियाएँ लिखें। नियंत्रण चलाना शुरू करें: एक्सेस समीक्षाएँ, परिवर्तन रिकॉर्ड, बैकअप से रीस्टोर के परीक्षण। साथ-साथ साक्ष्य इकट्ठा करते रहें।
लिस्टिंग से पहले के आखिरी 6 महीनेहर नियंत्रण का उसी तरह अभ्यास वॉकथ्रू करें जैसे कोई ऑडिटर करेगा। कमियाँ दूर करें। हर तिमाही नियंत्रण चलाते रहें।
लिस्टिंग के बादSOX 302 प्रमाणन पहली रिपोर्ट से शुरू होते हैं। साक्ष्य कैलेंडर चलाते रहें, ताकि प्रबंधन का पहला 404(a) आकलन बस फ़ाइलें निकालने का काम रहे, उन्हें दोबारा बनाने का नहीं।

कौन से सिस्टम दायरे में आते हैं

सब कुछ नहीं। दायरे में वे सिस्टम आते हैं जो वित्तीय डेटा बनाते, सहेजते या प्रोसेस करते हैं:

  • अकाउंटिंग या ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero और इसी तरह के सिस्टम
  • पेरोल और HR: ADP, Gusto, Paylocity, Rippling और इसी तरह के सिस्टम
  • बैंकिंग, भुगतान और ख़र्च प्रबंधन के टूल
  • ऊपर दिए सभी सिस्टम तक पहुँच नियंत्रित करने वाला पहचान प्लेटफ़ॉर्म: Microsoft Entra ID या Google Workspace, MFA और सिंगल साइन-ऑन (SSO) के साथ
  • वित्त की फ़ाइलें और स्प्रेडशीट जहाँ रखी जाती हैं: SharePoint, OneDrive, Teams या Google Drive
  • आपकी वित्त टीम के कंप्यूटर

जिन क्लाउड सेवाओं को आप खुद नहीं चलाते, उनके लिए ऑडिटर वेंडर की SOC 1 Type II रिपोर्ट पर भरोसा करते हैं। ये रिपोर्टें हर साल इकट्ठा करें और "complementary user entity controls" (ग्राहक की ओर से अपेक्षित पूरक नियंत्रण) वाला हिस्सा ज़रूर देखें। उसमें लिखा होता है कि वेंडर आपसे आपकी ओर से क्या करने की अपेक्षा रखता है, और आमतौर पर यह एक्सेस समीक्षा और MFA होता है।

तैयारी की चेकलिस्ट

ये वे आईटी सामान्य नियंत्रण (ITGC) हैं जिनका ऑडिटर परीक्षण करते हैं, उसी तरह समूहों में बँटे हुए जैसे वे इनका परीक्षण करते हैं।

एक्सेस प्रबंधन

  • कर्मचारियों के जुड़ने, भूमिका बदलने और जाने की लिखित प्रक्रिया, जिसमें एक्सेस देने से पहले उसकी मंज़ूरी ली जाती है
  • जाने वाले कर्मचारियों के खाते तुरंत बंद किए जाते हैं, और HR की तारीखों का खाते बंद होने की तारीखों से मिलान किया जा सकता है
  • हर वित्तीय सिस्टम की त्रैमासिक उपयोगकर्ता एक्सेस समीक्षा, जिस पर सिस्टम का स्वामी हस्ताक्षर करता है
  • अलग, नाम वाले एडमिन खाते। कोई साझा लॉगिन नहीं और रोज़मर्रा के खातों पर कोई एडमिन अधिकार नहीं
  • एडमिन भूमिकाएँ कुछ ही लोगों तक सीमित, और एडमिन गतिविधि लॉग होती है और हर तिमाही उसकी समीक्षा होती है

लॉजिकल सुरक्षा

  • हर खाते पर MFA, और एडमिन के लिए पासकी जैसे फ़िशिंग-प्रतिरोधी तरीके
  • पुराने (लेगेसी) साइन-इन तरीके ब्लॉक
  • कंडीशनल एक्सेस नियम या उनके समकक्ष साइन-इन नीतियाँ, लिखित रूप में दर्ज
  • कंपनी के कंप्यूटर डिवाइस मैनेजमेंट में नामांकित (Windows के लिए Intune, Mac के लिए Mosyle या कोई अन्य MDM समाधान)

परिवर्तन प्रबंधन

  • वित्तीय सिस्टम और सुरक्षा सेटिंग्स में हर बदलाव का अनुरोध, मंज़ूरी, परीक्षण और लॉग
  • बदलाव का अनुरोध करने वाला व्यक्ति कभी उसे मंज़ूर करने वाला व्यक्ति नहीं होता
  • आपके अकाउंटिंग सिस्टम में कॉन्फ़िगरेशन बदलावों का इतिहास सुरक्षित रखा जाता है

आईटी संचालन और बैकअप

  • Microsoft 365 या Google Workspace और आपके वित्तीय डेटा का बैकअप, और हर विफलता पर अनुवर्ती कार्रवाई
  • हर तिमाही एक रीस्टोर परीक्षण, लिखित रिकॉर्ड के साथ
  • घटनाएँ दर्ज की जाती हैं, उनकी जाँच होती है और उन्हें बंद किया जाता है

लॉगिंग और साक्ष्य

  • साइन-इन, एडमिन और फ़ाइल एक्सेस लॉग कम से कम पूरे ऑडिट वर्ष तक रखे जाते हैं
  • साक्ष्य एक तय कैलेंडर (मासिक, त्रैमासिक, वार्षिक) पर इकट्ठा होते हैं, ऑडिट वाले सप्ताह में नहीं
  • नीतियों पर हस्ताक्षर और तारीख होती है, और साल में एक बार उनकी समीक्षा होती है

कर्तव्यों का पृथक्करण, आईटी की ओर

  • आईटी एडमिन के पास वित्तीय सिस्टम में लेनदेन से जुड़ी कोई भूमिका नहीं होती
  • आपका आईटी प्रदाता अपने ही एक्सेस या अपने ही बदलावों को मंज़ूरी नहीं दे सकता
  • कंपनी का एक वरिष्ठ अधिकारी (executive sponsor) प्रदाता की एडमिन गतिविधि की समीक्षा करता है और उस पर हस्ताक्षर करता है

अगर आप Microsoft 365 या Google Workspace चलाते हैं

Microsoft 365 में सबसे ज़्यादा मदद करने वाली दो सुविधाएँ हैं: Privileged Identity Management (PIM), जो एडमिन अधिकारों को अस्थायी और लॉग किया हुआ बनाती है, और एक्सेस समीक्षाएँ। दोनों के लिए Microsoft Entra ID P2 चाहिए, जो Microsoft 365 E5 में शामिल है या Business Premium में जोड़ा जा सकता है। मानक ऑडिट लॉग 180 दिन तक रखे जाते हैं, जो एक ऑडिट वर्ष से कम है, इसलिए या तो लंबे अवधारण का लाइसेंस लें या हर महीने लॉग ऐसी जगह एक्सपोर्ट करें जहाँ आपका ऑडिटर उन्हें पढ़ सके।

Google Workspace में अलग सुपर एडमिन खाते इस्तेमाल करें, 2-चरणों में पुष्टि अनिवार्य करें, और देखें कि आपका संस्करण एडमिन और लॉगिन लॉग कितने समय तक रखता है। अगर यह एक साल से कम है, तो उन्हें तय समय पर एक्सपोर्ट करें।

पाँच गलतियाँ जो हम अक्सर देखते हैं

  1. ऑडिट वाले साल में शुरुआत करना। किसी के परीक्षण कर पाने से पहले नियंत्रणों को कुछ समय तक चलना ज़रूरी है।
  2. एक साझा एडमिन खाता। अगर कोई नहीं बता सकता कि बदलाव किसने किया, तो परिवर्तन नियंत्रण विफल हो जाता है।
  3. बिना सबूत की एक्सेस समीक्षाएँ। ऑडिटर की नज़र में, जो समीक्षा हुई पर जिस पर हस्ताक्षर और तारीख नहीं है, वह हुई ही नहीं।
  4. आईटी प्रदाता का अपने ही काम को मंज़ूरी देना। कंपनी में किसी को प्रदाता के काम को मंज़ूरी देनी होगी और उसकी समीक्षा करनी होगी।
  5. वेंडरों को भूल जाना। आपके पेरोल प्रदाता की SOC 1 रिपोर्ट न होना एक ऑडिट आपत्ति है, भले ही आपके अपने नियंत्रण त्रुटिहीन हों।

कौन क्या करता है

SOX टीम का काम है, और ज़िम्मेदारियों की सीमाएँ मायने रखती हैं:

  • आपकी वित्त टीम व्यावसायिक प्रक्रिया नियंत्रणों की ज़िम्मेदार होती है: राजस्व, वित्तीय क्लोज़, जर्नल एंट्री, और यह कि कौन वेंडर बना सकता है और भुगतान जारी कर सकता है।
  • आपका आईटी प्रदाता आईटी सामान्य नियंत्रण स्थापित करता है, उन्हें चलाता है और साक्ष्य तैयार करता है।
  • कोई स्वतंत्र व्यक्ति (नियंत्रण चलाने वाले व्यक्ति से अलग) वह परीक्षण करता है जिस पर प्रबंधन का आकलन टिका होता है: आपका कंट्रोलर, कोई आउटसोर्स आंतरिक ऑडिट फ़र्म या कोई SOX सलाहकार।

इन भूमिकाओं को अलग रखना अपने आप में ऐसी चीज़ है जिसे ऑडिटर देखते हैं।

अक्सर पूछे जाने वाले सवाल

लोग हमसे क्या पूछते हैं

संस्थापक और वित्त प्रमुख हमसे सबसे ज़्यादा जो पूछते हैं, उनके संक्षिप्त जवाब।

हमसे कुछ और पूछें

लिस्टिंग से बारह से अठारह महीने पहले शुरू करना आरामदायक रहता है। नियंत्रणों का परीक्षण होने से पहले उन्हें कई तिमाहियों तक चलना होता है, और तेज़ी से बढ़ी कंपनी में सिर्फ़ पहचान को व्यवस्थित करने में ही कुछ महीने लग सकते हैं।

SF3 Technologies कैसे मदद करती है

हम सार्वजनिक और प्री-IPO कंपनियों के लिए SOX का आईटी पक्ष स्थापित करते और चलाते हैं: उन नियंत्रणों के मुकाबले गैप असेसमेंट जिनका आपका ऑडिटर परीक्षण करेगा, Microsoft 365, Google Workspace और आपके डिवाइसों में सुधार, हर तिमाही साक्ष्य के साथ नियंत्रणों का संचालन, और ऑडिट फ़ील्डवर्क के दौरान सहायता। हम आपकी कंपनी के नाम पर बने समर्पित एडमिन खातों के ज़रिए आपके अपने टेनेंट के भीतर काम करते हैं, जो MFA से सुरक्षित हैं और लॉग किए जाते हैं, और यह अपने आप में एक नियंत्रण है जिसे आप अपने ऑडिटर को दिखा सकते हैं।

गैप असेसमेंट से शुरू करेंSOX और अनुपालन तैयारी

यह गाइड सामान्य जानकारी है, कानूनी या ऑडिट सलाह नहीं। अपनी फाइलर स्थिति, समय-सीमा और दायरे की पुष्टि अपने सिक्योरिटीज़ वकील और अपनी ऑडिट फ़र्म से करें।