Se la Sua azienda è quotata, si prepara alla quotazione o fa parte di un gruppo quotato negli Stati Uniti, i Suoi revisori chiederanno come l’IT gestisce accessi, modifiche, backup ed evidenze. In qualità di Suo fornitore di servizi gestiti, impostiamo quei controlli in Microsoft 365, Google Workspace e sui Suoi dispositivi, e teniamo pronte le evidenze ogni trimestre.
I controlli generali IT SOX, o ITGC, sono la parte informatica di una revisione contabile. Non sono nulla di esotico. Sono la disciplina di sapere chi può toccare i sistemi finanziari, come vengono approvate le modifiche e se sarebbe possibile ripristinare tutto in caso di guasto. Noi rendiamo concreta quella disciplina nei sistemi che già utilizza.
Lavoriamo a fianco del Suo team finanziario e della Sua società di revisione. Non effettuiamo la revisione contabile e non sostituiamo i responsabili dei controlli interni della Sua azienda. Ci assicuriamo che l’IT non sia mai la causa del fallimento di un controllo.
Esaminiamo il Suo ambiente attuale rispetto agli ITGC che il Suo revisore verificherà e Le forniamo un elenco in ordine di priorità.
Colmiamo le lacune, dalla pulizia degli accessi e dall’accesso condizionale al tracciamento delle modifiche e ai test di backup.
Revisioni degli accessi, registri delle modifiche e verifiche dei backup diventano routine, con le evidenze prodotte come sottoprodotto.
Ci sediamo con il Suo controller e il Suo revisore, rispondiamo alle domande IT e forniamo le evidenze nel formato che si aspettano.
Questa parte piace ai revisori. Operiamo all’interno dei Suoi sistemi Microsoft 365, Google Workspace e finanziari tramite account amministrativi dedicati intestati alla Sua azienda, protetti da autenticazione a più fattori (MFA), con registrazione delle attività e utilizzati esclusivamente su Sua indicazione; ciò costituisce di per sé una misura di controllo che potrà dimostrare. Nessun dato viene trasferito ai sistemi di SF3 Technologies.
Se il rapporto si conclude, consegniamo i controlli, le evidenze e la documentazione al Suo nuovo team con un passaggio di consegne documentato, assistiamo la transizione e poi i nostri account vengono rimossi, così Lei conserva tutto.
Le aziende a sei-diciotto mesi dalla quotazione hanno una finestra breve per far funzionare i controlli IT per trimestri interi prima che i revisori li verifichino. La aiutiamo a iniziare presto e a iniziare in piccolo: identità ripulite, accessi amministrativi ridotti e registrati, gestione delle modifiche introdotta in un modo che gli ingegneri seguiranno davvero e backup di cui è stato provato il ripristino.
Iniziamo a parlarneSe la Sua capogruppo è quotata negli Stati Uniti, il Suo IT eredita la SOX, che qualcuno nel Suo ufficio abbia letto la legge o meno. Lavoriamo con società controllate la cui sede centrale invia un questionario di controllo una volta all’anno e si aspetta risposte pulite. Traduciamo quei requisiti in impostazioni concrete, eseguiamo i controlli a livello locale e riferiamo nel formato che il gruppo si aspetta.
Gestione di Microsoft 365Gli stessi controlli rispondono alla maggior parte delle altre domande che vengono poste a un’azienda in crescita: preparazione SOC 2, questionari di sicurezza dei clienti, richieste di assicurazione informatica, obblighi GDPR in Europa e leggi locali sulla protezione dei dati come la Ley 1581 colombiana. Una volta che le evidenze esistono, rispondere diventa una questione di indicarle.
Sicurezza della posta elettronica e DMARCSe la Sua domanda non è tra queste, ce la ponga: Le risponderà una persona in carne e ossa.
Ci chieda qualcos’altroI revisori si concentrano sui controlli generali IT: chi ha accesso ai sistemi finanziari, come vengono approvate e registrate le modifiche, se backup e ripristino vengono testati e se esistono evidenze di tutto questo. Per un’azienda delle Sue dimensioni l’elenco è gestibile, una volta messo per iscritto ed eseguito secondo un calendario.
Inizi almeno un anno prima della quotazione prevista, così che revisioni degli accessi, gestione delle modifiche e registrazione dei log abbiano coperto trimestri interi quando i revisori le verificheranno. Iniziare prima riduce il lavoro, perché accessi in ordine e buoni backup sono più facili da mantenere che da ricostruire.
Sì, esportiamo chi ha accesso a cosa in Microsoft 365, Google Workspace e nei Suoi sistemi finanziari, prepariamo la revisione per l’approvazione dei Suoi responsabili dei controlli e archiviamo le evidenze. Le modifiche emerse dalla revisione vengono eseguite e registrate allo stesso modo.
Inizi con una valutazione dei controlli generali IT che documenti accessi, modifiche e backup così come sono oggi, e la confronti con il questionario inviato dalla Sua sede centrale. Noi poi colmiamo le lacune e Le consegniamo le evidenze nel formato che il revisore del Suo gruppo si aspetta.
Sì, gli stessi controlli su accessi, modifiche, backup e registrazione rispondono alla maggior parte di una valutazione di preparazione SOC 2 e della maggior parte dei questionari di sicurezza dei clienti. Prepariamo le risposte IT e le evidenze a supporto, così il Suo team può rispondere con sicurezza.
No, la Sua società di revisione verifica i controlli, mentre noi progettiamo, implementiamo e gestiamo la parte IT, così che ci sia qualcosa di solido da verificare. Tenere separati questi ruoli è parte di ciò che rende credibili i controlli.
Un revisore, un consiglio di amministrazione o una società madre Le pone domande in ambito IT alle quali non è ancora in grado di rispondere?
Parliamone