SF3TECHNOLOGIES
PanduanPanduan · SOX dan kepatuhan

Pengendalian TI SOX untuk perusahaan pra-IPO: daftar periksa kesiapan

Apa yang diuji auditor di sisi TI, kapan setiap bagian SOX mulai berlaku, dan daftar periksa yang kami gunakan agar pengendalian akses, perubahan, pencadangan, dan pencatatan log sudah berjalan sebelum audit pertama.

Waktu baca 9 menitDiperbarui

Jawaban singkat

Jika Anda berencana melantai di bursa dalam 12 hingga 18 bulan ke depan, mulailah menyiapkan pengendalian umum TI Anda sekarang. Auditor ingin melihat pengendalian akses, perubahan, pencadangan, dan pencatatan log berjalan selama beberapa kuartal, bukan baru disiapkan sebulan sebelum mereka datang. Sebagian besar perusahaan dengan 5 hingga 150 orang dapat mencapainya dengan Microsoft 365 atau Google Workspace yang sudah mereka gunakan, beberapa peningkatan lisensi, dan sejumlah kecil prosedur tertulis yang benar-benar dijalankan orang.

Apa yang diminta SOX dari TI, dalam bahasa sederhana

Undang-Undang Sarbanes-Oxley (SOX) berfokus pada satu hal: laporan keuangan yang dapat dipercaya investor. TI hanya masuk cakupan jika sistemnya membuat, menyimpan, atau mengubah angka keuangan. Karena itu, bagian TI lebih sempit daripada yang dikhawatirkan banyak orang.

BagianArtinyaKapan mulai berlaku bagi perusahaan yang baru tercatat
SOX 302CEO dan CFO secara pribadi menyatakan kebenaran setiap laporan triwulanan dan tahunan, beserta pengendalian pengungkapan yang mendasarinya.Sejak laporan triwulanan atau tahunan pertama setelah pencatatan saham.
SOX 404(a)Manajemen menilai pengendalian internal atas pelaporan keuangan (ICFR) setiap tahun, biasanya berdasarkan kerangka COSO 2013.Biasanya sejak laporan tahunan kedua setelah pencatatan saham.
SOX 404(b)Auditor eksternal menguji pengendalian tersebut dan memberikan atestasi atasnya.Hanya untuk pelapor yang lebih besar (larger filers). Perusahaan pertumbuhan baru (emerging growth companies) dibebaskan hingga lima tahun, dan pelapor non-akselerasi (non-accelerated filers) dibebaskan.

Meskipun perusahaan Anda dibebaskan dari 404(b) untuk sementara, auditor laporan keuangan Anda tetap memeriksa pengendalian TI, dan kelemahan yang ditemukan selama persiapan IPO bisa saja harus diungkapkan dalam pernyataan pendaftaran. Karena itu, buktinya harus memenuhi standar audit sejak awal.

Kapan harus mulai

Waktu sebelum pencatatan sahamApa yang perlu terjadi di sisi TI
18 hingga 12 bulanPastikan jadwal pencatatan saham dan status pelapor (filer status) Anda bersama penasihat hukum dan firma audit. Buat daftar setiap sistem yang menyentuh angka keuangan beserta pemiliknya. Rapikan identitas: akun atas nama masing-masing orang, otentikasi multi-faktor (MFA) di mana-mana, dan lebih sedikit admin.
12 hingga 6 bulanTulis kebijakan dan prosesnya. Mulai jalankan pengendalian: tinjauan akses, catatan perubahan, uji pemulihan dari cadangan. Kumpulkan bukti sambil berjalan.
6 bulan terakhir sebelum pencatatanLakukan simulasi walkthrough setiap pengendalian seperti yang akan dilakukan auditor. Tutup kesenjangannya. Terus jalankan pengendalian setiap kuartal.
Setelah pencatatan sahamSertifikasi SOX 302 dimulai sejak laporan pertama. Teruskan kalender bukti agar penilaian 404(a) pertama oleh manajemen cukup dengan mengambil berkas yang sudah ada, bukan menyusunnya ulang.

Sistem mana saja yang masuk cakupan

Tidak semuanya. Cakupannya adalah sistem yang membuat, menyimpan, atau memproses data keuangan:

  • Akuntansi atau ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero, dan sejenisnya
  • Penggajian dan SDM: ADP, Gusto, Paylocity, Rippling, dan sejenisnya
  • Alat perbankan, pembayaran, dan pengelolaan pengeluaran
  • Platform identitas yang mengendalikan akses ke semua sistem di atas: Microsoft Entra ID atau Google Workspace, dengan MFA dan single sign-on (SSO)
  • Tempat berkas dan spreadsheet keuangan disimpan: SharePoint, OneDrive, Teams, atau Google Drive
  • Komputer yang dipakai tim keuangan Anda

Untuk layanan cloud yang tidak Anda kelola sendiri, auditor mengandalkan laporan SOC 1 Type II dari vendor. Kumpulkan laporan tersebut setiap tahun dan periksa bagian "complementary user entity controls" (pengendalian pelengkap di pihak pengguna). Bagian itu mencantumkan apa yang diharapkan vendor untuk Anda lakukan di pihak Anda, biasanya tinjauan akses dan MFA.

Daftar periksa kesiapan

Berikut pengendalian umum TI (ITGC) yang diuji auditor, dikelompokkan sesuai cara mereka mengujinya.

Manajemen akses

  • Proses tertulis untuk karyawan masuk, pindah peran, dan keluar, dengan akses disetujui sebelum diberikan
  • Akun karyawan yang keluar segera dinonaktifkan, dengan tanggal dari SDM yang bisa dicocokkan dengan tanggal penonaktifan
  • Tinjauan akses pengguna triwulanan untuk setiap sistem keuangan, disetujui oleh pemilik sistem
  • Akun admin terpisah atas nama masing-masing orang. Tidak ada login bersama dan tidak ada hak admin pada akun sehari-hari
  • Peran admin dibatasi pada sedikit orang, dengan aktivitas admin dicatat dan ditinjau setiap kuartal

Keamanan logis

  • MFA untuk setiap akun, dan metode tahan phishing seperti kunci sandi (passkey) untuk admin
  • Metode masuk lama (legacy) diblokir
  • Aturan akses bersyarat atau kebijakan masuk yang setara, terdokumentasi
  • Komputer perusahaan terdaftar di manajemen perangkat (Intune untuk Windows, Mosyle atau solusi MDM lain untuk Mac)

Manajemen perubahan

  • Perubahan pada sistem keuangan dan pengaturan keamanan diajukan, disetujui, diuji, dan dicatat
  • Orang yang mengajukan perubahan tidak pernah menjadi orang yang menyetujuinya
  • Riwayat perubahan konfigurasi sistem akuntansi Anda disimpan

Operasi TI dan pencadangan

  • Pencadangan Microsoft 365 atau Google Workspace dan data keuangan Anda, dengan tindak lanjut atas setiap kegagalan
  • Uji pemulihan setiap kuartal, dengan catatan tertulis
  • Insiden dicatat, diselidiki, dan ditutup

Pencatatan log dan bukti

  • Log masuk, log admin, dan log akses berkas disimpan setidaknya selama satu tahun audit penuh
  • Bukti dikumpulkan sesuai kalender (bulanan, triwulanan, tahunan), bukan dikumpulkan di minggu audit
  • Kebijakan ditandatangani, diberi tanggal, dan ditinjau setahun sekali

Pemisahan tugas di sisi TI

  • Admin TI tidak memegang peran transaksional di sistem keuangan
  • Penyedia TI Anda tidak dapat menyetujui akses atau perubahannya sendiri
  • Seorang eksekutif penanggung jawab meninjau dan menyetujui aktivitas admin penyedia TI

Jika Anda menggunakan Microsoft 365 atau Google Workspace

Di Microsoft 365, dua fitur yang paling membantu adalah Privileged Identity Management (PIM), yang membuat hak admin bersifat sementara dan tercatat, serta tinjauan akses. Keduanya memerlukan Microsoft Entra ID P2, yang sudah termasuk dalam Microsoft 365 E5 atau bisa ditambahkan ke Business Premium. Log audit standar disimpan selama 180 hari, lebih pendek dari satu tahun audit, jadi beli lisensi untuk retensi yang lebih panjang atau ekspor log setiap bulan ke tempat yang dapat dibaca auditor Anda.

Di Google Workspace, gunakan akun super admin yang terpisah, wajibkan Verifikasi 2 Langkah, dan periksa berapa lama edisi Anda menyimpan log admin dan log login. Jika kurang dari setahun, ekspor log tersebut secara terjadwal.

Lima kesalahan yang sering kami temui

  1. Baru mulai di tahun audit. Pengendalian perlu waktu berjalan sebelum ada yang bisa mengujinya.
  2. Satu akun admin bersama. Jika tidak ada yang bisa mengetahui siapa yang membuat perubahan, pengendalian perubahan dianggap gagal.
  3. Tinjauan akses tanpa bukti. Bagi auditor, tinjauan yang sudah dilakukan tetapi tidak ditandatangani dan tidak diberi tanggal dianggap tidak pernah terjadi.
  4. Penyedia TI menyetujui pekerjaannya sendiri. Seseorang di perusahaan harus menyetujui dan meninjau apa yang dikerjakan penyedia TI.
  5. Melupakan vendor. Laporan SOC 1 yang tidak ada untuk penyedia penggajian Anda adalah temuan audit, meskipun pengendalian Anda sendiri sempurna.

Siapa mengerjakan apa

SOX adalah kerja tim, dan batas perannya penting:

  • Tim keuangan Anda bertanggung jawab atas pengendalian proses bisnis: pendapatan, tutup buku, entri jurnal, serta siapa yang boleh membuat vendor dan mencairkan pembayaran.
  • Penyedia TI Anda menyiapkan dan menjalankan pengendalian umum TI serta menghasilkan buktinya.
  • Pihak independen yang bukan pelaksana pengendalian melakukan pengujian yang mendukung penilaian manajemen: controller Anda, firma audit internal alih daya, atau konsultan SOX.

Pemisahan peran ini sendiri merupakan hal yang diperiksa auditor.

Pertanyaan umum

Yang sering ditanyakan kepada kami

Jawaban singkat atas pertanyaan yang paling sering diajukan para pendiri dan pimpinan keuangan kepada kami.

Tanyakan hal lain kepada kami

Dua belas hingga delapan belas bulan sebelum pencatatan saham adalah waktu yang nyaman. Pengendalian harus berjalan selama beberapa kuartal sebelum bisa diuji, dan merapikan identitas saja bisa memakan waktu beberapa bulan di perusahaan yang tumbuh cepat.

Bagaimana SF3 Technologies membantu

Kami menyiapkan dan menjalankan sisi TI dari SOX untuk perusahaan publik dan pra-IPO: penilaian kesenjangan terhadap pengendalian yang akan diuji auditor Anda, perbaikan di Microsoft 365, Google Workspace, dan perangkat Anda, pengendalian yang dijalankan setiap kuartal beserta buktinya, dan dukungan selama pekerjaan lapangan audit. Kami bekerja di dalam penyewa (tenant) Anda sendiri melalui akun admin khusus atas nama perusahaan Anda, dilindungi MFA dan tercatat, yang dengan sendirinya merupakan pengendalian yang dapat Anda tunjukkan kepada auditor.

Mulailah dengan penilaian kesenjanganSOX dan kesiapan kepatuhan

Panduan ini berisi informasi umum, bukan nasihat hukum atau audit. Pastikan status pelapor, jadwal, dan cakupan Anda bersama penasihat hukum pasar modal dan firma audit Anda.