SF3TECHNOLOGIES
РуководстваРуководства · SOX и соответствие требованиям

ИТ-контроли SOX для компаний перед IPO: чек-лист готовности

Что аудиторы проверяют в ИТ, когда вступает в силу каждая часть SOX, и чек-лист, по которому мы запускаем контроли доступа, изменений, резервного копирования и журналирования до первого аудита.

9 минут чтенияОбновлено

Краткий ответ

Если до выхода на биржу у вас от 12 до 18 месяцев, начинайте заниматься общими ИТ-контролями уже сейчас. Аудиторы хотят видеть, что контроли доступа, изменений, резервного копирования и журналирования работают на протяжении нескольких кварталов, а не настроены за месяц до их прихода. Большинству компаний от 5 до 150 человек для этого хватит Microsoft 365 или Google Workspace, которые у них уже есть, перехода на более старшие лицензии в нескольких местах и небольшого набора письменных процедур, которым сотрудники действительно следуют.

Что SOX требует от ИТ, простыми словами

Закон Сарбейнса-Оксли (SOX) посвящён одному: финансовой отчётности, которой могут доверять инвесторы. ИТ попадает в периметр только там, где системы создают, хранят или изменяют финансовые цифры. Поэтому ИТ-часть гораздо уже, чем опасается большинство.

РазделЧто это значитКогда начинается для компании, недавно вышедшей на биржу
SOX 302Генеральный и финансовый директор лично удостоверяют каждый квартальный и годовой отчёт, а также контроли раскрытия информации, на которых он основан.С первого квартального или годового отчёта после листинга.
SOX 404(a)Руководство ежегодно оценивает систему внутреннего контроля над финансовой отчётностью (ICFR), как правило, по модели COSO 2013.Обычно со второго годового отчёта после листинга.
SOX 404(b)Внешний аудитор тестирует эти контроли и выдаёт по ним заключение.Только для более крупных эмитентов (larger filers). Растущие компании (emerging growth companies) освобождены от этого требования на срок до пяти лет, а эмитенты без ускоренного режима отчётности (non-accelerated filers) освобождены полностью.

Даже если ваша компания какое-то время освобождена от 404(b), аудитор финансовой отчётности всё равно смотрит на ИТ-контроли, а недостатки, выявленные при подготовке к IPO, могут в итоге оказаться раскрыты в регистрационном заявлении. Поэтому доказательства с самого начала должны быть аудиторского качества.

Когда начинать

Время до листингаЧто должно происходить в ИТ
От 18 до 12 месяцевУточните сроки листинга и статус эмитента (filer status) у своих юристов и аудиторской фирмы. Составьте список всех систем, через которые проходят финансовые цифры, и их владельцев. Наведите порядок в учётных записях: только именные учётные записи, многофакторная аутентификация (MFA) везде, меньше администраторов.
От 12 до 6 месяцевНапишите политики и процессы. Начните выполнять контроли: проверки доступа, записи об изменениях, тесты восстановления из резервных копий. Собирайте доказательства по ходу работы.
Последние 6 месяцев до листингаПроведите пробную сквозную проверку каждого контроля так, как это сделал бы аудитор. Устраните пробелы. Продолжайте выполнять контроли каждый квартал.
После листингаСертификация отчётности по SOX 302 начинается с первого отчёта. Продолжайте вести календарь доказательств, чтобы для первой оценки руководства по 404(a) оставалось только достать готовые файлы, а не воссоздавать их.

Какие системы входят в периметр

Далеко не все. В периметр входят системы, которые создают, хранят или обрабатывают финансовые данные:

  • Бухгалтерия или ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero и аналогичные системы
  • Зарплата и кадры: ADP, Gusto, Paylocity, Rippling и аналогичные системы
  • Инструменты для банковских операций, платежей и учёта расходов
  • Платформа идентификации, которая управляет доступом ко всему перечисленному: Microsoft Entra ID или Google Workspace, с MFA и единым входом (SSO)
  • Места, где хранятся финансовые файлы и таблицы: SharePoint, OneDrive, Teams или Google Drive
  • Компьютеры, которыми пользуется ваша финансовая команда

Для облачных сервисов, которыми вы не управляете сами, аудиторы опираются на отчёт поставщика SOC 1 Type II. Собирайте эти отчёты каждый год и проверяйте раздел «complementary user entity controls» (дополнительные контроли на стороне клиента). В нём перечислено, что поставщик ожидает от вас на вашей стороне, и обычно это проверки доступа и MFA.

Чек-лист готовности

Это общие ИТ-контроли (ITGC), которые тестируют аудиторы, сгруппированные так же, как их проверяют.

Управление доступом

  • Письменный процесс приёма, перевода и увольнения сотрудников, в котором доступ утверждается до того, как его предоставят
  • Учётные записи уволившихся отключаются без промедления, а даты увольнения из отдела кадров можно сверить с датами отключения
  • Ежеквартальные проверки доступа пользователей ко всем финансовым системам с подписью владельца системы
  • Отдельные именные учётные записи администраторов. Никаких общих логинов и никаких прав администратора у повседневных учётных записей
  • Роли администраторов только у нескольких человек, а действия администраторов журналируются и проверяются каждый квартал

Логическая безопасность

  • MFA для всех учётных записей, а для администраторов методы, устойчивые к фишингу, например ключи доступа (passkeys)
  • Устаревшие методы входа заблокированы
  • Правила условного доступа или аналогичные политики входа, оформленные документально
  • Корпоративные компьютеры подключены к системе управления устройствами (Intune для Windows, Mosyle или другое MDM-решение для Mac)

Управление изменениями

  • Изменения в финансовых системах и настройках безопасности запрашиваются, утверждаются, тестируются и фиксируются
  • Тот, кто запрашивает изменение, никогда не утверждает его сам
  • История изменений конфигурации вашей бухгалтерской системы сохраняется

ИТ-операции и резервное копирование

  • Резервное копирование Microsoft 365 или Google Workspace и ваших финансовых данных, с разбором каждого сбоя
  • Тест восстановления каждый квартал, с письменным протоколом
  • Инциденты регистрируются, расследуются и закрываются

Журналирование и доказательства

  • Журналы входов, действий администраторов и доступа к файлам хранятся как минимум весь аудиторский год
  • Доказательства собираются по календарю (ежемесячно, ежеквартально, ежегодно), а не в спешке в неделю аудита
  • Политики подписаны, датированы и пересматриваются раз в год

Разделение обязанностей в ИТ

  • У ИТ-администраторов нет ролей для проведения операций в финансовых системах
  • Ваш ИТ-провайдер не может утверждать собственный доступ или собственные изменения
  • Курирующий руководитель проверяет и утверждает действия администраторов провайдера

Если вы работаете в Microsoft 365 или Google Workspace

В Microsoft 365 больше всего помогают две функции: Privileged Identity Management (PIM), которая делает права администратора временными и журналируемыми, и проверки доступа. Для обеих нужен Microsoft Entra ID P2, который входит в Microsoft 365 E5 или докупается к Business Premium. Стандартные журналы аудита хранятся 180 дней, а это меньше аудиторского года, поэтому либо купите лицензию на более долгое хранение, либо каждый месяц выгружайте журналы туда, где их сможет прочитать ваш аудитор.

В Google Workspace используйте отдельные учётные записи суперадминистраторов, сделайте двухэтапную аутентификацию обязательной и проверьте, сколько ваша редакция хранит журналы действий администраторов и входов. Если меньше года, выгружайте их по расписанию.

Пять частых ошибок

  1. Начинать в год аудита. Контролям нужно время поработать, прежде чем кто-то сможет их протестировать.
  2. Одна общая учётная запись администратора. Если невозможно установить, кто внёс изменение, контроль изменений не пройден.
  3. Проверки доступа без доказательств. Для аудитора проверка, которая прошла, но не была подписана и датирована, не состоялась.
  4. ИТ-провайдер сам утверждает свою работу. Кто-то в компании должен утверждать и проверять то, что делает провайдер.
  5. Забытые поставщики. Отсутствие отчёта SOC 1 у провайдера расчёта зарплаты станет замечанием аудитора, даже если ваши собственные контроли безупречны.

Кто за что отвечает

SOX требует командной работы, и важно, где проходят границы:

  • Ваша финансовая команда отвечает за контроли бизнес-процессов: выручку, закрытие периода, бухгалтерские проводки, а также за то, кто может заводить поставщиков и проводить платежи.
  • Ваш ИТ-провайдер настраивает и выполняет общие ИТ-контроли и формирует доказательства.
  • Независимый специалист проводит тестирование, на котором основана оценка руководства. Это не может быть тот, кто выполняет контроль: подойдёт ваш финансовый контролёр, внешняя фирма внутреннего аудита или консультант по SOX.

Само разделение этих ролей аудиторы тоже проверяют.

Часто задаваемые вопросы

Вопросы, которые нам задают

Короткие ответы на вопросы, которые основатели и финансовые руководители задают нам чаще всего.

Задайте нам другой вопрос

Комфортный запас: от двенадцати до восемнадцати месяцев до листинга. Контроли должны проработать несколько кварталов, прежде чем их можно будет протестировать, а в быстро выросшей компании одно только наведение порядка в учётных записях может занять несколько месяцев.

Чем поможет SF3 Technologies

Мы настраиваем и ведём ИТ-часть SOX для публичных компаний и компаний перед IPO: оценка пробелов по тем контролям, которые будет тестировать ваш аудитор, устранение недостатков в Microsoft 365, Google Workspace и на ваших устройствах, ежеквартальное выполнение контролей с доказательствами и поддержка во время аудиторской проверки на месте. Мы работаем внутри вашего собственного клиента (tenant) через выделенные учётные записи администратора на имя вашей компании, защищённые MFA и журналируемые, и это само по себе контроль, который можно показать аудитору.

Начните с оценки пробеловSOX и подготовка к соответствию требованиям

Это руководство носит общий информационный характер и не является юридической или аудиторской консультацией. Уточните статус эмитента, сроки и периметр у своего юриста по ценным бумагам и аудиторской фирмы.