Se a sua empresa está cotada em bolsa, se prepara para entrar em bolsa ou faz parte de um grupo cotado nos EUA, os seus auditores vão perguntar como as TI tratam os acessos, as alterações, as cópias de segurança e as provas. Enquanto seu prestador de serviços geridos, implementamos esses controlos no Microsoft 365, no Google Workspace e nos seus dispositivos, e mantemos as provas prontas todos os trimestres.
Os controlos gerais de TI da SOX, ou ITGC, são a parte de TI de uma auditoria financeira. Não têm nada de exótico. São a disciplina de saber quem pode mexer nos sistemas financeiros, como as alterações são aprovadas e se conseguiria recuperar caso algo falhasse. Tornamos essa disciplina real nos sistemas que já utiliza.
Trabalhamos lado a lado com a sua equipa financeira e a sua empresa de auditoria. Não fazemos a auditoria nem substituímos os responsáveis pelos controlos internos. Garantimos que as TI nunca são o motivo de um controlo falhar.
Comparamos o seu ambiente atual com os ITGC que o seu auditor vai testar e entregamos-lhe uma lista por ordem de prioridade.
Colmatamos as lacunas, da limpeza de acessos e do acesso condicional ao rastreio de alterações e aos testes das cópias de segurança.
As revisões de acessos, os registos de alterações e as verificações das cópias de segurança tornam-se rotina, com as provas produzidas como subproduto.
Sentamo-nos com o seu controller e o seu auditor, respondemos às perguntas de TI e fornecemos as provas no formato que eles esperam.
Os auditores gostam desta parte. Operamos dentro do seu próprio Microsoft 365, Google Workspace e sistemas financeiros através de contas de administrador dedicadas em nome da sua empresa, protegidas por MFA, com registo de atividade e utilizadas apenas sob as suas instruções, o que é, por si só, um controlo que pode apresentar. Nada é transferido para os sistemas da SF3 Technologies.
Se a relação terminar, entregamos os controlos, as provas e a documentação à sua nova equipa com uma passagem documentada, apoiamos a transição e depois as nossas contas são removidas, para que fique com tudo.
As empresas a seis a dezoito meses de uma entrada em bolsa têm uma janela curta para pôr os controlos de TI a funcionar durante trimestres completos antes de os auditores os testarem. Ajudamo-lo a começar cedo e a começar pequeno: identidades arrumadas, acesso administrativo reduzido e registado, gestão de alterações introduzida de uma forma que os engenheiros sigam de facto e cópias de segurança com restauro comprovado.
Inicie a conversaSe a sua empresa-mãe está cotada nos Estados Unidos, as suas TI herdam a SOX, quer alguém no seu escritório tenha lido a lei, quer não. Trabalhamos com subsidiárias cuja sede envia um questionário de controlos uma vez por ano e espera respostas limpas. Traduzimos esses requisitos em definições concretas, operamos os controlos localmente e reportamos no formato que o grupo espera.
Gestão do Microsoft 365Os mesmos controlos respondem à maioria das outras perguntas que uma empresa em crescimento recebe: preparação para a SOC 2, questionários de segurança de clientes, propostas de seguro cibernético, obrigações do RGPD na Europa e leis locais de proteção de dados, como a Lei 1581 da Colômbia. Uma vez que as provas existem, responder passa a ser uma questão de apontar para elas.
Segurança de e-mail e DMARCSe a sua dúvida não estiver aqui, pergunte e uma pessoa real responde-lhe.
Faça-nos outra perguntaOs auditores concentram-se nos controlos gerais de TI: quem tem acesso aos sistemas financeiros, como as alterações são aprovadas e registadas, se as cópias de segurança e a recuperação são testadas e se existem provas de tudo isso. Para uma empresa da sua dimensão, a lista é gerível depois de estar escrita e de ser executada segundo um calendário.
Comece pelo menos um ano antes da entrada em bolsa prevista, para que as revisões de acessos, a gestão de alterações e os registos já tenham decorrido durante trimestres completos quando os auditores os testarem. Começar mais cedo torna o trabalho mais pequeno, porque acessos limpos e boas cópias de segurança são mais fáceis de manter do que de reconstruir.
Sim, exportamos quem tem acesso a quê no Microsoft 365, no Google Workspace e nos seus sistemas financeiros, preparamos a revisão para aprovação pelos responsáveis pelos controlos e arquivamos as provas. As alterações que a revisão revela são executadas e registadas da mesma forma.
Comece por uma avaliação dos controlos gerais de TI que documente os acessos, as alterações e as cópias de segurança tal como estão hoje, e compare-a com o questionário que a sua sede enviou. Depois, colmatamos as lacunas e entregamos-lhe as provas no formato que o auditor do seu grupo espera.
Sim, os mesmos controlos de acessos, alterações, cópias de segurança e registos respondem à maior parte de uma avaliação de preparação para a SOC 2 e à maioria dos questionários de segurança de clientes. Preparamos as respostas de TI e as provas de apoio para que a sua equipa responda com confiança.
Não. A sua empresa de auditoria testa os controlos, e nós concebemos, implementamos e operamos o lado de TI para que haja algo sólido para eles testarem. Manter esses papéis separados é parte do que dá credibilidade aos controlos.
Um auditor, um conselho de administração ou uma empresa-mãe a fazer perguntas de TI a que ainda não consegue responder?
Fale connosco