Jeśli Państwa firma jest spółką publiczną, przygotowuje się do debiutu giełdowego lub należy do grupy notowanej w Stanach Zjednoczonych, Państwa audytorzy zapytają, jak IT zarządza dostępem, zmianami, kopiami zapasowymi i dowodami. Jako Państwa dostawca usług zarządzanych wdrażamy te kontrole w Microsoft 365, Google Workspace i na Państwa urządzeniach, a dowody utrzymujemy w gotowości co kwartał.
Ogólne kontrole IT SOX, czyli ITGC, to informatyczna część audytu finansowego. Nie ma w nich nic egzotycznego. To dyscyplina wiedzy o tym, kto może dotykać systemów finansowych, jak zatwierdzane są zmiany i czy w razie awarii dałoby się wszystko odtworzyć. Wprowadzamy tę dyscyplinę w systemach, z których już Państwo korzystają.
Pracujemy u boku Państwa zespołu finansowego i firmy audytorskiej. Nie przeprowadzamy audytu i nie zastępujemy właścicieli kontroli wewnętrznych. Dbamy o to, by IT nigdy nie było powodem, dla którego kontrola zawodzi.
Analizujemy Państwa obecne środowisko pod kątem kontroli ITGC, które sprawdzi Państwa audytor, i przekazujemy listę w kolejności priorytetów.
Zamykamy luki: od porządkowania dostępu i dostępu warunkowego po śledzenie zmian i testy kopii zapasowych.
Przeglądy dostępu, rejestry zmian i kontrole kopii zapasowych stają się rutyną, a dowody powstają niejako przy okazji.
Siadamy z Państwa kontrolerem finansowym i audytorem, odpowiadamy na pytania dotyczące IT i dostarczamy dowody w formacie, jakiego oczekują.
Audytorzy lubią tę część. Działamy wewnątrz Państwa własnych systemów Microsoft 365, Google Workspace i systemów finansowych za pośrednictwem dedykowanych kont administracyjnych na nazwę Państwa firmy, chronionych MFA, rejestrowanych i używanych wyłącznie na Państwa polecenie, co samo w sobie jest kontrolą, którą mogą Państwo wykazać. Nic nie trafia do systemów SF3 Technologies.
Jeśli współpraca się zakończy, przekazujemy kontrole, dowody i dokumentację Państwa nowemu zespołowi w ramach udokumentowanego przekazania, wspieramy okres przejściowy, a następnie nasze konta zostają usunięte, dzięki czemu zachowują Państwo całość.
Firmy, które dzieli od debiutu giełdowego od sześciu do osiemnastu miesięcy, mają krótkie okno na to, by kontrole IT działały przez pełne kwartały, zanim audytorzy je sprawdzą. Pomagamy Państwu zacząć wcześnie i na małą skalę: uporządkowane tożsamości, ograniczony i rejestrowany dostęp administracyjny, zarządzanie zmianami wprowadzone tak, że inżynierowie naprawdę będą go przestrzegać, oraz kopie zapasowe ze sprawdzonym odtwarzaniem.
Rozpocznij rozmowęJeśli Państwa spółka macierzysta jest notowana w Stanach Zjednoczonych, Państwa IT dziedziczy SOX niezależnie od tego, czy ktokolwiek w biurze czytał tę ustawę. Pracujemy ze spółkami zależnymi, których centrale raz w roku przysyłają kwestionariusz kontrolny i oczekują czystych odpowiedzi. Przekładamy te wymagania na konkretne ustawienia, prowadzimy kontrole lokalnie i raportujemy w formacie, jakiego oczekuje grupa.
Zarządzanie usługą Microsoft 365Te same kontrole odpowiadają na większość innych pytań, jakie słyszy rozwijająca się firma: gotowość do SOC 2, kwestionariusze bezpieczeństwa od klientów, wnioski o ubezpieczenie cybernetyczne, obowiązki wynikające z RODO w Europie oraz lokalne przepisy o ochronie danych, takie jak kolumbijska Ley 1581. Gdy dowody już istnieją, odpowiedź sprowadza się do wskazania ich palcem.
Bezpieczeństwo poczty elektronicznej i DMARCJeśli nie ma tu Państwa pytania, prosimy je zadać, a odpowie prawdziwa osoba.
Zapytaj nas o coś innegoAudytorzy skupiają się na ogólnych kontrolach IT: kto ma dostęp do systemów finansowych, jak zatwierdzane i rejestrowane są zmiany, czy kopie zapasowe i odtwarzanie są testowane oraz czy na wszystko istnieją dowody. Dla firmy Państwa wielkości ta lista jest do ogarnięcia, gdy tylko zostanie spisana i będzie realizowana według harmonogramu.
Warto zacząć co najmniej rok przed planowanym debiutem, tak aby przeglądy dostępu, zarządzanie zmianami i rejestrowanie zdążyły przejść przez pełne kwartały, zanim audytorzy je sprawdzą. Wcześniejszy start zmniejsza nakład pracy, ponieważ uporządkowany dostęp i dobre kopie zapasowe łatwiej utrzymać niż odtworzyć.
Tak, eksportujemy informacje o tym, kto ma dostęp do czego w Microsoft 365, Google Workspace i Państwa systemach finansowych, przygotowujemy przegląd do zatwierdzenia przez właścicieli kontroli i archiwizujemy dowody. Zmiany wynikające z przeglądu są wprowadzane i rejestrowane w ten sam sposób.
Od oceny ogólnych kontroli IT, która dokumentuje dzisiejszy stan dostępu, zmian i kopii zapasowych, i porównania jej z kwestionariuszem przysłanym przez centralę. Następnie zamykamy luki i przekazujemy Państwu dowody w formacie, jakiego oczekuje audytor Państwa grupy.
Tak, te same kontrole dostępu, zmian, kopii zapasowych i rejestrowania odpowiadają na większość pytań z przeglądu gotowości do SOC 2 i większość kwestionariuszy bezpieczeństwa od klientów. Przygotowujemy odpowiedzi dotyczące IT oraz dowody na ich poparcie, aby Państwa zespół mógł odpowiadać z pewnością.
Nie, kontrole testuje Państwa firma audytorska, a my projektujemy, wdrażamy i prowadzimy stronę IT, aby mieli co solidnego testować. Rozdzielenie tych ról to część tego, co czyni kontrole wiarygodnymi.
Audytor, zarząd lub spółka macierzysta zadają pytania o IT, na które nie potrafią Państwo jeszcze odpowiedzieć?
Porozmawiaj z nami