SF3TECHNOLOGIES
PrzewodnikiPrzewodniki · SOX i zgodność

Kontrole IT SOX przed debiutem giełdowym: checklista gotowości

Co audytorzy sprawdzają po stronie IT, kiedy zaczyna obowiązywać każda część SOX i checklista, dzięki której uruchamiamy kontrole dostępu, zmian, kopii zapasowych i rejestrowania zdarzeń przed pierwszym audytem.

9 minut czytaniaZaktualizowano

W skrócie

Jeśli planują Państwo debiut giełdowy w ciągu najbliższych 12 do 18 miesięcy, warto już teraz zająć się ogólnymi kontrolami IT. Audytorzy chcą zobaczyć, że kontrole dostępu, zmian, kopii zapasowych i rejestrowania zdarzeń działają od kilku kwartałów, a nie że zostały wdrożone miesiąc przed ich wizytą. Większość firm zatrudniających od 5 do 150 osób osiągnie to dzięki Microsoft 365 lub Google Workspace, z których już korzysta, kilku rozszerzeniom licencji i garstce spisanych procesów, których ludzie naprawdę przestrzegają.

Czego SOX wymaga od IT, w prostych słowach

Ustawa Sarbanes-Oxley (SOX) dotyczy jednej rzeczy: sprawozdań finansowych, którym inwestorzy mogą ufać. IT wchodzi w zakres tylko tam, gdzie systemy tworzą, przechowują lub zmieniają liczby. Dlatego część dotycząca IT jest węższa, niż obawia się większość osób.

SekcjaCo oznaczaOd kiedy obowiązuje nowo notowaną spółkę
SOX 302Prezes (CEO) i dyrektor finansowy (CFO) osobiście poświadczają każdy raport kwartalny i roczny oraz kontrole ujawniania informacji, na których się opiera.Od pierwszego raportu kwartalnego lub rocznego po debiucie.
SOX 404(a)Zarząd co roku ocenia kontrolę wewnętrzną nad sprawozdawczością finansową (ICFR), zwykle według ramy COSO 2013.Zwykle od drugiego raportu rocznego po debiucie.
SOX 404(b)Audytor zewnętrzny testuje te kontrole i wydaje o nich poświadczenie.Tylko dla większych emitentów (larger filers). Spółki ze statusem emerging growth company są zwolnione maksymalnie przez pięć lat, a emitenci typu non-accelerated filer są zwolnieni całkowicie.

Nawet jeśli Państwa spółka jest przez pewien czas zwolniona z 404(b), audytor sprawozdań finansowych i tak przygląda się kontrolom IT, a słabości wykryte podczas przygotowań do debiutu mogą trafić do ujawnień w dokumencie rejestracyjnym (registration statement). Dlatego dowody od początku muszą spełniać standardy audytu.

Kiedy zacząć

Czas do debiutuCo powinno się dziać po stronie IT
Od 18 do 12 miesięcyPotwierdzić harmonogram debiutu i status emitenta (filer status) z prawnikami i firmą audytorską. Spisać każdy system, który ma styczność z liczbami, oraz jego właściciela. Uporządkować tożsamości: konta imienne, uwierzytelnianie wieloskładnikowe (MFA) wszędzie, mniej administratorów.
Od 12 do 6 miesięcySpisać zasady i procesy. Zacząć prowadzić kontrole: przeglądy dostępu, rejestry zmian, testy odtwarzania kopii zapasowych. Zbierać dowody na bieżąco.
Od 6 miesięcy do debiutuPrzejść próbnie przez każdą kontrolę tak, jak zrobiłby to audytor. Usunąć luki. Prowadzić kontrole co kwartał.
Po debiuciePoświadczenia SOX 302 zaczynają się od pierwszego raportu. Prowadzić dalej kalendarz dowodów, tak aby pierwsza ocena zarządu według 404(a) sprowadzała się do wyciągnięcia plików, a nie do ich odtwarzania.

Które systemy są objęte zakresem

Nie wszystkie. Zakres obejmuje systemy, które tworzą, przechowują lub przetwarzają dane finansowe:

  • Księgowość lub ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero i podobne
  • Płace i kadry: ADP, Gusto, Paylocity, Rippling i podobne
  • Narzędzia bankowe, płatnicze i do rozliczania wydatków
  • Platforma tożsamości, która kontroluje dostęp do wszystkich powyższych: Microsoft Entra ID lub Google Workspace, z MFA i jednokrotnym logowaniem (SSO)
  • Miejsca, w których przechowywane są pliki i arkusze finansowe: SharePoint, OneDrive, Teams lub Google Drive
  • Komputery, z których korzysta Państwa zespół finansowy

W przypadku usług chmurowych, których nie prowadzą Państwo sami, audytorzy opierają się na raporcie SOC 1 Type II dostawcy. Warto co roku zbierać te raporty i sprawdzać sekcję „complementary user entity controls” (kontrole uzupełniające po stronie klienta). Wymienia ona, czego dostawca oczekuje od Państwa po Państwa stronie, zwykle przeglądów dostępu i MFA.

Checklista gotowości

Oto ogólne kontrole IT (ITGC), które testują audytorzy, pogrupowane tak, jak je testują.

Zarządzanie dostępem

  • Spisany proces dla nowych, zmieniających stanowisko i odchodzących pracowników, w którym dostęp jest zatwierdzany przed jego nadaniem
  • Konta osób odchodzących szybko wyłączane, z datami z kadr, które można porównać z datami wyłączenia kont
  • Kwartalne przeglądy uprawnień użytkowników w każdym systemie finansowym, zatwierdzane przez właściciela systemu
  • Oddzielne, imienne konta administratorów. Żadnych wspólnych loginów i żadnych uprawnień administratora na kontach do codziennej pracy
  • Role administratorów ograniczone do kilku osób, a działania administracyjne rejestrowane i przeglądane co kwartał

Bezpieczeństwo logiczne

  • MFA na każdym koncie, a dla administratorów metody odporne na phishing, takie jak klucze dostępu (passkeys)
  • Starsze metody logowania zablokowane
  • Udokumentowane reguły dostępu warunkowego lub równoważne zasady logowania
  • Komputery firmowe zarejestrowane w systemie zarządzania urządzeniami (Intune dla Windows, Mosyle lub inne rozwiązanie MDM dla Mac)

Zarządzanie zmianami

  • Zmiany w systemach finansowych i ustawieniach bezpieczeństwa zgłaszane, zatwierdzane, testowane i rejestrowane
  • Osoba, która zgłasza zmianę, nigdy nie jest osobą, która ją zatwierdza
  • Przechowywana historia zmian konfiguracji systemu księgowego

Operacje IT i kopie zapasowe

  • Kopie zapasowe Microsoft 365 lub Google Workspace oraz danych finansowych, z wyjaśnianiem każdej nieudanej kopii
  • Test odtwarzania co kwartał, z pisemnym protokołem
  • Incydenty rejestrowane, analizowane i zamykane

Rejestrowanie zdarzeń i dowody

  • Logi logowań, działań administracyjnych i dostępu do plików przechowywane co najmniej przez cały rok audytowy
  • Dowody zbierane według kalendarza (co miesiąc, co kwartał, co rok), a nie kompletowane w tygodniu audytu
  • Zasady podpisane, opatrzone datą i przeglądane raz w roku

Podział obowiązków po stronie IT

  • Administratorzy IT nie pełnią ról transakcyjnych w systemach finansowych
  • Państwa dostawca IT nie może zatwierdzać własnego dostępu ani własnych zmian
  • Wyznaczony członek kierownictwa przegląda i zatwierdza działania administracyjne dostawcy

Jeśli korzystają Państwo z Microsoft 365 lub Google Workspace

W Microsoft 365 najbardziej pomagają dwie funkcje: Privileged Identity Management (PIM), dzięki której uprawnienia administratora są tymczasowe i rejestrowane, oraz przeglądy dostępu. Obie wymagają Microsoft Entra ID P2, który jest częścią Microsoft 365 E5 lub można go dokupić do Business Premium. Standardowe logi audytu są przechowywane przez 180 dni, czyli krócej niż rok audytowy, dlatego należy wykupić licencję na dłuższe przechowywanie albo co miesiąc eksportować logi w miejsce, do którego audytor ma dostęp.

W Google Workspace warto używać oddzielnych kont superadministratora, wymusić weryfikację dwuetapową i sprawdzić, jak długo Państwa wersja przechowuje logi administracyjne i logi logowania. Jeśli krócej niż rok, należy je regularnie eksportować według harmonogramu.

Pięć błędów, które często widzimy

  1. Start dopiero w roku audytu. Kontrole muszą działać przez jakiś czas, zanim ktokolwiek będzie mógł je przetestować.
  2. Jedno wspólne konto administratora. Jeśli nie da się ustalić, kto wprowadził zmianę, kontrola zmian nie działa.
  3. Przeglądy dostępu bez dowodów. Dla audytora przegląd, który się odbył, ale nie został podpisany i opatrzony datą, nie odbył się.
  4. Dostawca IT zatwierdzający własną pracę. Ktoś w firmie musi zatwierdzać i przeglądać to, co robi dostawca.
  5. Zapominanie o dostawcach usług. Brak raportu SOC 1 od dostawcy usług płacowych to ustalenie audytu, nawet jeśli Państwa własne kontrole są bez zarzutu.

Kto za co odpowiada

SOX to praca zespołowa, a podział ról ma znaczenie:

  • Państwa zespół finansowy odpowiada za kontrole procesów biznesowych: przychody, zamknięcie okresu, zapisy księgowe, a także to, kto może zakładać dostawców i zwalniać płatności.
  • Państwa dostawca IT wdraża i prowadzi ogólne kontrole IT oraz przygotowuje dowody.
  • Osoba niezależna od tej, która wykonuje daną kontrolę, przeprowadza testy, na których opiera się ocena zarządu: Państwa kontroler finansowy, zewnętrzna firma audytu wewnętrznego lub konsultant SOX.

Samo rozdzielenie tych ról jest czymś, na co audytorzy zwracają uwagę.

Najczęściej zadawane pytania

Pytania, które często słyszymy

Krótkie odpowiedzi na pytania, które założyciele i osoby odpowiedzialne za finanse zadają nam najczęściej.

Zapytaj nas o coś innego

Komfortowy termin to dwanaście do osiemnastu miesięcy przed debiutem. Kontrole muszą działać przez kilka kwartałów, zanim będzie można je przetestować, a samo uporządkowanie tożsamości w szybko rosnącej firmie może zająć kilka miesięcy.

Jak SF3 Technologies może Państwu pomóc

Wdrażamy i prowadzimy część IT SOX dla spółek publicznych i firm przed debiutem giełdowym: ocenę luk względem kontroli, które przetestuje Państwa audytor, działania naprawcze w Microsoft 365, Google Workspace i na Państwa urządzeniach, kontrole prowadzone co kwartał wraz z dowodami oraz wsparcie podczas prac audytowych w terenie. Pracujemy w Państwa własnej dzierżawie (tenant) za pośrednictwem dedykowanych kont administracyjnych na nazwę Państwa firmy, chronionych MFA i rejestrowanych, co samo w sobie jest kontrolą, którą mogą Państwo pokazać audytorowi.

Zacznij od oceny lukSOX i przygotowanie do zgodności

Ten przewodnik ma charakter ogólnoinformacyjny i nie stanowi porady prawnej ani audytowej. Status emitenta (filer status), harmonogram i zakres prosimy potwierdzić z prawnikiem specjalizującym się w rynku kapitałowym oraz z firmą audytorską.