Dobbiamo occuparci della SOX se siamo esenti dalla 404(b)?

Sì. Le certificazioni SOX 302 partono dalla prima relazione, e poi arriva la valutazione 404(a) del management. Anche il revisore del bilancio esaminerà i controlli IT. Viene rinviata solo l’attestazione separata del revisore ai sensi della 404(b).

Quali sistemi IT rientrano nel perimetro SOX?

Solo i sistemi che creano, archiviano o elaborano dati finanziari: contabilità ed ERP, paghe, strumenti per banca e note spese, la piattaforma di identità che ne controlla l’accesso e il luogo in cui si trovano i file finanziari. Gli strumenti di marketing e la maggior parte dei sistemi di sviluppo di solito restano fuori.

Il nostro fornitore di servizi gestiti può anche testare i controlli?

Non dovrebbe essere il tester formale dei controlli che gestisce. Il fornitore può fare una prova generale di preparazione, ma i test su cui si basa la valutazione del management dovrebbero essere svolti da qualcuno di indipendente, come il Suo controller o una società di internal audit.

Di quali licenze abbiamo bisogno in Microsoft 365?

Business Premium copre MFA, accesso condizionale e gestione dei dispositivi. Privileged Identity Management e le revisioni degli accessi richiedono Entra ID P2, incluso in Microsoft 365 E5 o disponibile come componente aggiuntivo. Preveda log di audit che coprano un anno intero.

GuideGuide · SOX e conformità

Controlli IT SOX per le società pre-IPO: una checklist di preparazione

Che cosa verificano i revisori sul fronte IT, quando si applica ciascuna parte della SOX e la checklist che usiamo per rendere operativi i controlli su accessi, modifiche, backup e log prima del primo audit.

9 minuti di letturaAggiornato 24 ottobre 2026

In breve

Se prevede di quotarsi tra 12 e 18 mesi, inizi subito a lavorare sui controlli generali IT. I revisori vogliono vedere controlli su accessi, modifiche, backup e log che funzionano da diversi trimestri, non impostati il mese prima del loro arrivo. La maggior parte delle aziende da 5 a 150 persone può arrivarci con il Microsoft 365 o il Google Workspace che già utilizza, qualche upgrade delle licenze e una manciata di procedure scritte che le persone seguono davvero.

Che cosa chiede la SOX all’IT, in parole semplici

Il Sarbanes-Oxley Act (SOX) riguarda una cosa sola: relazioni finanziarie di cui gli investitori possano fidarsi. L’IT è coinvolto solo dove i sistemi generano, archiviano o modificano i numeri. Per questo la parte IT è più circoscritta di quanto molti temano.

Sezione	Che cosa significa	Quando si applica a una società appena quotata
SOX 302	L’amministratore delegato e il direttore finanziario certificano personalmente ogni relazione trimestrale e annuale, e i controlli sull’informativa che la supportano.	Dalla prima relazione trimestrale o annuale dopo la quotazione.
SOX 404(a)	Il management valuta ogni anno il controllo interno sull’informativa finanziaria (ICFR), di solito in base al framework COSO 2013.	Di solito dalla seconda relazione annuale dopo la quotazione.
SOX 404(b)	Il revisore esterno verifica questi controlli e ne attesta l’efficacia.	Solo per gli emittenti di maggiori dimensioni (larger filers). Le «emerging growth companies» sono esenti per un massimo di cinque anni e i «non-accelerated filers» ne sono esentati.

Anche se la Sua società è esente dalla 404(b) per un certo periodo, il revisore del bilancio esamina comunque i controlli IT, e le carenze emerse durante la preparazione all’IPO possono finire nel documento di registrazione (registration statement). Per questo le evidenze devono essere a prova di audit fin dall’inizio.

Quando iniziare

Tempo prima della quotazione	Cosa deve succedere sul fronte IT
Da 18 a 12 mesi	Confermi con i Suoi legali e la Sua società di revisione i tempi della quotazione e la Sua categoria di emittente (filer status). Elenchi ogni sistema che tocca i numeri e chi ne è responsabile. Faccia ordine nelle identità: account nominativi, autenticazione a più fattori (MFA) ovunque, meno amministratori.
Da 12 a 6 mesi	Scriva le politiche e le procedure. Inizi a eseguire i controlli: revisioni degli accessi, registri delle modifiche, test di ripristino dei backup. Raccolga le evidenze strada facendo.
Da 6 mesi alla quotazione	Faccia una prova generale di ogni controllo, come la farebbe un revisore. Colmi le lacune. Continui a eseguire i controlli ogni trimestre.
Dopo la quotazione	Le certificazioni SOX 302 partono dalla prima relazione. Mantenga attivo il calendario delle evidenze, così la prima valutazione 404(a) del management sarà questione di recuperare file, non di ricostruirli.

Quali sistemi sono coinvolti

Non tutti. Sono coinvolti i sistemi che creano, archiviano o elaborano dati finanziari:

Contabilità o ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero e simili
Paghe e risorse umane: ADP, Gusto, Paylocity, Rippling e simili
Strumenti per banca, pagamenti e note spese
La piattaforma di identità che controlla l’accesso a tutto quanto sopra: Microsoft Entra ID o Google Workspace, con MFA e Single Sign-On (SSO)
Il luogo in cui si trovano file e fogli di calcolo finanziari: SharePoint, OneDrive, Teams o Google Drive
I computer usati dal Suo team finanziario

Per i servizi cloud che non gestisce direttamente, i revisori si basano sul report SOC 1 Type II del fornitore. Li raccolga ogni anno e controlli la sezione «complementary user entity controls» (i controlli che spettano al cliente). Elenca ciò che il fornitore si aspetta che Lei faccia dalla Sua parte, di solito revisioni degli accessi e MFA.

La checklist di preparazione

Questi sono i controlli generali IT (ITGC) che i revisori verificano, raggruppati nel modo in cui li verificano.

Gestione degli accessi

Una procedura scritta di ingresso, trasferimento e uscita, con accessi approvati prima di essere concessi
Account di chi lascia l’azienda disattivati tempestivamente, con date delle risorse umane da confrontare con le date di disattivazione
Revisioni trimestrali degli accessi utente a ogni sistema finanziario, approvate dal responsabile del sistema
Account amministrativi separati e nominativi. Nessuna credenziale condivisa e nessun diritto di amministratore sugli account di uso quotidiano
Ruoli di amministratore limitati a poche persone, con attività amministrativa registrata e rivista ogni trimestre

Sicurezza logica

MFA su ogni account, con metodi resistenti al phishing come le passkey per gli amministratori
Metodi di accesso legacy bloccati
Regole di accesso condizionale o criteri di accesso equivalenti, documentati
Computer aziendali registrati nella gestione dei dispositivi (Intune per Windows, Mosyle o un’altra soluzione MDM per Mac)

Gestione delle modifiche

Modifiche ai sistemi finanziari e alle impostazioni di sicurezza richieste, approvate, testate e registrate
Chi richiede una modifica non è mai chi la approva
Cronologia delle modifiche di configurazione conservata per il Suo sistema contabile

Operazioni IT e backup

Backup di Microsoft 365 o Google Workspace e dei Suoi dati finanziari, con verifica dei backup non riusciti
Un test di ripristino ogni trimestre, con un verbale scritto
Incidenti registrati, analizzati e chiusi

Log ed evidenze

Log di accesso, di amministrazione e di accesso ai file conservati almeno per l’intero anno di audit
Evidenze raccolte secondo un calendario (mensile, trimestrale, annuale), non messe insieme nella settimana dell’audit
Politiche firmate, datate e riviste una volta all’anno

Separazione dei compiti, lato IT

Gli amministratori IT non ricoprono ruoli transazionali nei sistemi finanziari
Il Suo fornitore IT non può approvare i propri accessi né le proprie modifiche
Un dirigente referente esamina e approva l’attività amministrativa del fornitore

Se utilizza Microsoft 365 o Google Workspace

In Microsoft 365 le due funzionalità più utili sono Privileged Identity Management (PIM), che rende i diritti di amministratore temporanei e tracciati, e le revisioni degli accessi. Entrambe richiedono Microsoft Entra ID P2, incluso in Microsoft 365 E5 o acquistabile in aggiunta a Business Premium. I log di audit standard sono conservati per 180 giorni, meno di un anno di audit: acquisti quindi la licenza per una conservazione più lunga, oppure esporti i log ogni mese in un luogo accessibile al Suo revisore.

In Google Workspace usi account di super amministratore separati, imponga la verifica in due passaggi e controlli per quanto tempo la Sua edizione conserva i log di amministrazione e di accesso. Se è meno di un anno, li esporti a intervalli regolari.

Cinque errori che vediamo spesso

Iniziare nell’anno dell’audit. I controlli devono funzionare per un po’ prima che qualcuno possa verificarli.
Un unico account amministratore condiviso. Se nessuno sa dire chi ha fatto una modifica, il controllo delle modifiche non regge.
Revisioni degli accessi senza prove. Per il revisore, una revisione fatta ma non firmata e datata non è mai avvenuta.
Il fornitore IT che approva il proprio lavoro. Qualcuno in azienda deve approvare e controllare ciò che fa il fornitore.
Dimenticare i fornitori esterni. Un report SOC 1 mancante per il Suo fornitore delle paghe è un rilievo, anche se i Suoi controlli sono perfetti.

Chi fa cosa

La SOX è un lavoro di squadra, e i confini contano:

Il Suo team finanziario è responsabile dei controlli sui processi aziendali: ricavi, chiusura contabile, scritture contabili, chi può creare fornitori e autorizzare i pagamenti.
Il Suo fornitore IT configura e gestisce i controlli generali IT e produce le evidenze.
Una persona indipendente da chi esegue un controllo svolge i test a supporto della valutazione del management: il Suo controller, una società esterna di internal audit o un consulente SOX.

Tenere separati questi ruoli è di per sé uno degli aspetti che i revisori verificano.

Domande frequenti

Cosa ci chiedono più spesso

Risposte brevi alle domande che fondatori e responsabili finanziari ci pongono più spesso.

Ci chieda qualcos’altro

Da dodici a diciotto mesi prima della quotazione è un margine comodo. I controlli devono funzionare per diversi trimestri prima di poter essere verificati, e la sola pulizia delle identità può richiedere qualche mese in un’azienda cresciuta in fretta.

Come La aiuta SF3 Technologies

Configuriamo e gestiamo la parte IT della SOX per società quotate e pre-IPO: una valutazione delle lacune rispetto ai controlli che il Suo revisore verificherà, gli interventi correttivi in Microsoft 365, Google Workspace e sui Suoi dispositivi, i controlli eseguiti ogni trimestre con le relative evidenze e il supporto durante le attività di audit sul campo. Lavoriamo all’interno del Suo tenant tramite account amministrativi dedicati intestati alla Sua azienda, protetti da MFA e con le attività registrate: già questo è un controllo che può mostrare al Suo revisore.

Inizi con una valutazione delle lacune SOX e preparazione alla conformità

Questa guida contiene informazioni di carattere generale e non costituisce consulenza legale o di revisione. Verifichi la Sua categoria di emittente (filer status), le tempistiche e il perimetro con il Suo consulente legale in materia di mercati finanziari e con la Sua società di revisione.