Als uw bedrijf beursgenoteerd is, een beursgang voorbereidt of deel uitmaakt van een in de VS genoteerde groep, zullen uw auditors vragen hoe IT omgaat met toegang, wijzigingen, back-ups en bewijs. Als uw managed service provider richten wij die controles in binnen Microsoft 365, Google Workspace en op uw apparaten, en houden het bewijs elk kwartaal paraat.
Algemene IT-controles voor SOX, ofwel ITGC, vormen het IT-deel van een financiële audit. Ze zijn niet exotisch. Het is de discipline om te weten wie bij financiële systemen kan, hoe wijzigingen worden goedgekeurd en of u zou kunnen herstellen als er iets stukgaat. Wij maken die discipline concreet in de systemen die u al gebruikt.
Wij werken samen met uw financiële team en uw auditkantoor. Wij voeren de audit niet uit en wij vervangen uw interne controle-eigenaren niet. Wij zorgen ervoor dat IT nooit de reden is dat een controle faalt.
Wij beoordelen uw huidige omgeving aan de hand van de ITGC die uw auditor zal toetsen en geven u een lijst op volgorde van prioriteit.
Wij dichten de gaten, van het opschonen van toegang en voorwaardelijke toegang tot het bijhouden van wijzigingen en het testen van back-ups.
Toegangsbeoordelingen, wijzigingsregistraties en back-upcontroles worden routine, en het bewijs ontstaat als bijproduct.
Wij zitten samen met uw controller en uw auditor, beantwoorden de IT-vragen en leveren het bewijs aan in het formaat dat zij verwachten.
Auditors waarderen dit onderdeel. Wij werken binnen uw eigen Microsoft 365, Google Workspace en financiële systemen via speciale beheerdersaccounts op naam van uw bedrijf, beveiligd met MFA, gelogd en uitsluitend gebruikt op uw instructie, wat op zichzelf al een controle is die u kunt laten zien. Er wordt niets overgezet naar de systemen van SF3 Technologies.
Als de samenwerking eindigt, dragen wij de controles, het bewijs en de documentatie met een gedocumenteerde overdracht over aan uw nieuwe team, ondersteunen wij de overgang en worden daarna onze accounts verwijderd, zodat u alles behoudt.
Bedrijven die zes tot achttien maanden van een beursgang verwijderd zijn, hebben een kort venster om IT-controles volledige kwartalen te laten draaien voordat auditors ze toetsen. Wij helpen u vroeg en klein te beginnen: identiteiten opgeschoond, beheerderstoegang beperkt en gelogd, wijzigingsbeheer ingevoerd op een manier die engineers ook echt volgen, en back-ups waarvan is aangetoond dat ze herstellen.
Begin het gesprekAls uw moedermaatschappij in de Verenigde Staten beursgenoteerd is, erft uw IT de SOX-verplichtingen, of iemand op uw kantoor de wet nu heeft gelezen of niet. Wij werken met dochterondernemingen waarvan het hoofdkantoor eens per jaar een controlevragenlijst stuurt en schone antwoorden verwacht. Wij vertalen die eisen naar concrete instellingen, draaien de controles lokaal en rapporteren in het formaat dat de groep verwacht.
Beheer van Microsoft 365Dezelfde controles beantwoorden de meeste andere vragen die een groeiend bedrijf krijgt: voorbereiding op SOC 2, beveiligingsvragenlijsten van klanten, aanvragen voor cyberverzekeringen, AVG-verplichtingen in Europa en lokale privacywetgeving zoals de Colombiaanse Ley 1581. Zodra het bewijs er is, hoeft u er bij het beantwoorden alleen nog naar te wijzen.
E-mailbeveiliging en DMARCStaat uw vraag er niet bij, stel hem dan gerust en een echt mens geeft u antwoord.
Stel ons nog een vraagAuditors richten zich op algemene IT-controles: wie heeft toegang tot financiële systemen, hoe worden wijzigingen goedgekeurd en geregistreerd, worden back-ups en herstelprocedures getest, en is er voor al deze zaken bewijs aanwezig? Voor een bedrijf van uw omvang is deze lijst goed beheersbaar zodra deze op schrift is gesteld en volgens een vast schema wordt uitgevoerd.
Begin ten minste een jaar vóór de verwachte beursgang, zodat toegangsbeoordelingen, wijzigingsbeheer en logboekregistratie volledige kwartalen hebben gedraaid tegen de tijd dat auditors ze toetsen. Eerder beginnen maakt het werk kleiner, omdat schone toegang en goede back-ups makkelijker te onderhouden zijn dan achteraf te reconstrueren.
Ja, wij exporteren wie waar toegang toe heeft in Microsoft 365, Google Workspace en uw financiële systemen, bereiden de beoordeling voor zodat uw controle-eigenaren die kunnen goedkeuren, en archiveren het bewijs. Wijzigingen die uit de beoordeling naar voren komen, worden op dezelfde manier doorgevoerd en vastgelegd.
Begin met een beoordeling van de algemene IT-controles die vastlegt hoe toegang, wijzigingen en back-ups er vandaag voor staan, en vergelijk die met de vragenlijst die uw hoofdkantoor heeft gestuurd. Daarna dichten wij de gaten en overhandigen wij u het bewijs in het formaat dat de auditor van uw groep verwacht.
Ja, dezelfde controles voor toegang, wijzigingen, back-ups en logboekregistratie beantwoorden het grootste deel van een voorbereidingsbeoordeling voor SOC 2 en de meeste beveiligingsvragenlijsten van klanten. Wij bereiden de IT-antwoorden en het onderbouwende bewijs voor, zodat uw team met vertrouwen kan reageren.
Nee, uw auditkantoor toetst de controles, en wij ontwerpen, implementeren en beheren de IT-kant, zodat er iets degelijks is om te toetsen. Het gescheiden houden van die rollen is deel van wat de controles geloofwaardig maakt.
Heeft u te maken met een auditor, een raad van bestuur of een moedermaatschappij die IT-vragen stelt waarop u nog geen antwoord kunt geven?
Neem contact met ons op