Welke IT-systemen vallen onder SOX?

Alleen de systemen die financiële gegevens aanmaken, opslaan of verwerken: boekhouding en ERP, salarisadministratie, tools voor bankzaken en onkosten, het identiteitsplatform dat de toegang ertoe regelt, en de plek waar financiële bestanden staan. Marketingtools en de meeste ontwikkelsystemen vallen er meestal buiten.

Kan onze managed service provider de controles ook testen?

Hij hoort niet de formele tester te zijn van controles die hij zelf uitvoert. De dienstverlener kan wel een proefronde doen om de gereedheid te toetsen, maar de tests waarop de beoordeling door het management steunt, moeten komen van iemand die onafhankelijk is, zoals uw controller of een bureau voor interne audit.

Welke licenties hebben we nodig in Microsoft 365?

Business Premium dekt MFA, voorwaardelijke toegang en apparaatbeheer. Privileged Identity Management en toegangsbeoordelingen vereisen Entra ID P2, via Microsoft 365 E5 of als add-on. Zorg voor auditlogboeken die een volledig jaar beslaan.

GidsenGidsen · SOX en compliance

SOX-IT-controles vóór de beursgang: een checklist ter voorbereiding

Q: Hebben we SOX nodig als we zijn vrijgesteld van 404(b)?

Ja. De SOX 302-certificeringen beginnen bij uw eerste verslag en de 404(a)-beoordeling door het management volgt. De accountant die uw jaarrekening controleert, kijkt ook naar de IT-controles. Alleen de afzonderlijke verklaring van de auditor onder 404(b) wordt uitgesteld.

Wat auditors aan IT-kant toetsen, wanneer elk onderdeel van SOX ingaat, en de checklist die wij gebruiken om controles op toegang, wijzigingen, back-up en logging draaiend te hebben vóór de eerste audit.

Leestijd: 9 minutenBijgewerkt 24 oktober 2026

Kort gezegd

Als u van plan bent om binnen 12 tot 18 maanden naar de beurs te gaan, begin dan nu met uw algemene IT-controles. Auditors willen zien dat controles op toegang, wijzigingen, back-up en logging al meerdere kwartalen werken, niet dat ze de maand voor hun komst zijn ingericht. De meeste bedrijven met 5 tot 150 medewerkers redden dat met de Microsoft 365- of Google Workspace-omgeving die ze al gebruiken, een paar licentie-upgrades en een handvol vastgelegde processen waar mensen zich ook echt aan houden.

Wat SOX van IT vraagt, in gewone taal

De Sarbanes-Oxley Act (SOX) draait om één ding: financiële verslaggeving waarop beleggers kunnen vertrouwen. IT valt er alleen onder waar systemen de cijfers aanmaken, opslaan of wijzigen. Daardoor is het IT-deel kleiner dan de meeste mensen vrezen.

Sectie	Wat het inhoudt	Wanneer het ingaat voor een pas genoteerd bedrijf
SOX 302	De CEO en de CFO certificeren persoonlijk elk kwartaal- en jaarverslag en de onderliggende controles op de openbaarmaking.	Vanaf het eerste kwartaal- of jaarverslag na de beursgang.
SOX 404(a)	Het management beoordeelt elk jaar de interne beheersing van de financiële verslaggeving (ICFR), meestal aan de hand van het raamwerk COSO 2013.	Meestal vanaf het tweede jaarverslag na de beursgang.
SOX 404(b)	De externe auditor toetst deze controles en geeft er een verklaring over af.	Alleen voor grotere uitgevende instellingen (larger filers). Emerging growth companies zijn maximaal vijf jaar vrijgesteld en non-accelerated filers zijn helemaal vrijgesteld.

Ook als uw bedrijf een tijd is vrijgesteld van 404(b), kijkt de accountant die uw jaarrekening controleert toch naar de IT-controles, en zwakke plekken die tijdens de voorbereiding op de beursgang aan het licht komen, kunnen in het registratiedocument (registration statement) terechtkomen. Het bewijs moet dus vanaf het begin auditwaardig zijn.

Wanneer u moet beginnen

Tijd tot de beursgang	Wat er aan IT-kant moet gebeuren
18 tot 12 maanden	Stem de planning van de beursgang en uw filerstatus (filer status) af met uw advocaat en uw auditkantoor. Breng elk systeem in kaart dat met de cijfers te maken heeft, en wie de eigenaar is. Ruim de identiteiten op: persoonsgebonden accounts, overal meervoudige authenticatie (MFA), minder beheerders.
12 tot 6 maanden	Schrijf het beleid en de processen. Begin de controles uit te voeren: toegangsbeoordelingen, wijzigingsregistraties, hersteltests van back-ups. Verzamel het bewijs gaandeweg.
6 maanden tot de beursgang	Loop elke controle in een proefronde door zoals een auditor dat zou doen. Dicht de gaten. Blijf de controles elk kwartaal uitvoeren.
Na de beursgang	De SOX 302-certificeringen beginnen bij het eerste verslag. Houd de bewijskalender bij, zodat de eerste 404(a)-beoordeling door het management neerkomt op bestanden opzoeken in plaats van ze opnieuw samenstellen.

Welke systemen eronder vallen

Niet alles. Het gaat om de systemen die financiële gegevens aanmaken, opslaan of verwerken:

Boekhouding of ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero en vergelijkbare systemen
Salarisadministratie en HR: ADP, Gusto, Paylocity, Rippling en vergelijkbare systemen
Tools voor bankzaken, betalingen en onkosten
Het identiteitsplatform dat de toegang tot dit alles regelt: Microsoft Entra ID of Google Workspace, met MFA en single sign-on (SSO)
De plek waar financiële bestanden en spreadsheets staan: SharePoint, OneDrive, Teams of Google Drive
De computers die uw financiële team gebruikt

Voor clouddiensten die u niet zelf beheert, vertrouwen auditors op het SOC 1 Type II-rapport van de leverancier. Vraag die rapporten elk jaar op en bekijk de sectie ‘complementary user entity controls’ (aanvullende controles die bij de gebruiker liggen). Daarin staat wat de leverancier aan uw kant van u verwacht, meestal toegangsbeoordelingen en MFA.

De checklist ter voorbereiding

Dit zijn de algemene IT-controles (ITGC) die auditors toetsen, gegroepeerd zoals zij ze toetsen.

Toegangsbeheer

Een vastgelegd proces voor instroom, doorstroom en uitstroom, waarbij toegang wordt goedgekeurd voordat die wordt verleend
Accounts van vertrekkers worden direct uitgeschakeld, met HR-datums die u kunt vergelijken met de datums van uitschakeling
Driemaandelijkse toegangsbeoordelingen voor elk financieel systeem, afgetekend door de systeemeigenaar
Aparte, persoonsgebonden beheerdersaccounts. Geen gedeelde inlogs en geen beheerdersrechten op accounts voor dagelijks gebruik
Beheerdersrollen beperkt tot een paar mensen, met beheerdersactiviteit die wordt gelogd en elk kwartaal wordt beoordeeld

Logische beveiliging

MFA op elk account, met phishingbestendige methoden zoals passkeys voor beheerders
Verouderde aanmeldmethoden geblokkeerd
Gedocumenteerde regels voor voorwaardelijke toegang of gelijkwaardig aanmeldbeleid
Bedrijfscomputers ingeschreven in apparaatbeheer (Intune voor Windows, Mosyle of een andere MDM-oplossing voor Mac)

Wijzigingsbeheer

Wijzigingen in financiële systemen en beveiligingsinstellingen worden aangevraagd, goedgekeurd, getest en vastgelegd
Wie een wijziging aanvraagt, keurt die nooit zelf goed
De geschiedenis van configuratiewijzigingen in uw boekhoudsysteem wordt bewaard

IT-beheer en back-up

Back-ups van Microsoft 365 of Google Workspace en van uw financiële gegevens, met opvolging van mislukte back-ups
Elk kwartaal een hersteltest, met een schriftelijk verslag
Incidenten worden geregistreerd, onderzocht en afgesloten

Logging en bewijs

Aanmeld-, beheerders- en bestandstoegangslogboeken worden minstens het volledige auditjaar bewaard
Bewijs wordt volgens een kalender verzameld (maandelijks, per kwartaal, jaarlijks) en niet pas in de auditweek bij elkaar gezocht
Beleid wordt ondertekend, gedateerd en eens per jaar herzien

Functiescheiding aan IT-kant

IT-beheerders hebben geen transactierollen in financiële systemen
Uw IT-dienstverlener kan zijn eigen toegang en wijzigingen niet zelf goedkeuren
Een verantwoordelijke uit de directie beoordeelt de beheerdersactiviteit van de dienstverlener en tekent die af

Als u Microsoft 365 of Google Workspace gebruikt

In Microsoft 365 helpen twee functies het meest: Privileged Identity Management (PIM), dat beheerdersrechten tijdelijk maakt en vastlegt, en toegangsbeoordelingen. Beide vereisen Microsoft Entra ID P2, dat bij Microsoft 365 E5 zit of aan Business Premium kan worden toegevoegd. Standaard auditlogboeken worden 180 dagen bewaard, korter dan een auditjaar. Neem dus een licentie voor langere bewaring, of exporteer de logboeken elke maand naar een plek die uw auditor kan inzien.

Gebruik in Google Workspace aparte superbeheerdersaccounts, dwing verificatie in twee stappen af en controleer hoe lang uw editie beheer- en inloglogboeken bewaart. Is dat korter dan een jaar, exporteer ze dan volgens een vast schema.

Vijf fouten die we vaak zien

Pas in het auditjaar beginnen. Controles moeten een tijd draaien voordat iemand ze kan toetsen.
Eén gedeeld beheerdersaccount. Als niemand kan zien wie een wijziging heeft gedaan, faalt de wijzigingscontrole.
Toegangsbeoordelingen zonder bewijs. Een beoordeling die wel is gedaan maar niet is ondertekend en gedateerd, heeft voor de auditor nooit plaatsgevonden.
De IT-dienstverlener die zijn eigen werk goedkeurt. Iemand binnen het bedrijf moet goedkeuren en controleren wat de dienstverlener doet.
De leveranciers vergeten. Een ontbrekend SOC 1-rapport van uw salarisverwerker is een bevinding, ook als uw eigen controles perfect zijn.

Wie doet wat

SOX is teamwerk, en de taakverdeling doet ertoe:

Uw financiële team is eigenaar van de controles op de bedrijfsprocessen: omzet, de financiële afsluiting, journaalposten, en wie leveranciers mag aanmaken en betalingen mag vrijgeven.
Uw IT-dienstverlener richt de algemene IT-controles in, voert ze uit en levert het bewijs.
Iemand die onafhankelijk is van degene die een controle uitvoert, doet de tests waarop de beoordeling door het management steunt: uw controller, een extern bureau voor interne audit of een SOX-consultant.

Dat deze rollen gescheiden blijven, is op zich al iets waar auditors naar kijken.

Veelgestelde vragen

Vragen die we vaak krijgen

Korte antwoorden op de vragen die oprichters en financieel verantwoordelijken ons het vaakst stellen.

Stel ons nog een vraag

Twaalf tot achttien maanden voor de beursgang is comfortabel. Controles moeten meerdere kwartalen draaien voordat ze getoetst kunnen worden, en alleen al het opschonen van identiteiten kan in een snel gegroeid bedrijf een paar maanden duren.

Hoe SF3 Technologies helpt

Wij richten de IT-kant van SOX in en voeren die uit voor beursgenoteerde bedrijven en bedrijven in aanloop naar een beursgang: een gap-analyse ten opzichte van de controles die uw auditor zal toetsen, herstel in Microsoft 365, Google Workspace en op uw apparaten, de controles elk kwartaal uitgevoerd met bewijs, en ondersteuning tijdens het auditwerk ter plaatse. Wij werken binnen uw eigen tenant via speciale beheerdersaccounts op naam van uw bedrijf, beveiligd met MFA en gelogd, wat op zichzelf al een controle is die u aan uw auditor kunt laten zien.

Begin met een gap-analyse SOX en voorbereiding op compliance

Deze gids bevat algemene informatie en is geen juridisch of auditadvies. Stem uw filerstatus (filer status), planning en reikwijdte af met uw effectenadvocaat en uw auditkantoor.