Если ваша компания публичная, готовится к листингу или входит в группу, котирующуюся в США, аудиторы спросят, как ИТ управляет доступом, изменениями, резервными копиями и доказательствами. Как ваш поставщик управляемых услуг, мы настраиваем эти контроли в Microsoft 365, Google Workspace и на ваших устройствах и держим доказательства наготове каждый квартал.
Общие ИТ-контроли SOX, или ITGC, это ИТ-часть финансового аудита. В них нет ничего экзотического. Это дисциплина: знать, кто может касаться финансовых систем, как утверждаются изменения и сможете ли вы восстановиться, если что-то сломается. Мы делаем эту дисциплину реальностью в системах, которые вы уже используете.
Мы работаем вместе с вашей финансовой командой и вашей аудиторской фирмой. Мы не проводим аудит и не заменяем владельцев контролей. Мы следим за тем, чтобы ИТ никогда не было причиной провала контроля.
Мы сверяем вашу текущую среду с теми ITGC, которые будет проверять ваш аудитор, и выдаём список с приоритетами.
Мы закрываем пробелы: от очистки прав доступа и условного доступа до отслеживания изменений и тестирования резервных копий.
Проверки доступа, записи об изменениях и проверки резервных копий становятся рутиной, а доказательства появляются как побочный продукт.
Мы садимся вместе с вашим финансовым контролёром и аудитором, отвечаем на вопросы по ИТ и предоставляем доказательства в ожидаемом формате.
Аудиторам нравится эта часть. Мы работаем внутри ваших собственных Microsoft 365, Google Workspace и финансовых систем через выделенные учётные записи администратора на имя вашей компании, защищённые MFA, журналируемые и используемые только по вашему указанию, что само по себе является контролем, который вы можете показать. Ничего не переносится в системы SF3 Technologies.
Если сотрудничество заканчивается, мы передаём контроли, доказательства и документацию вашей новой команде с задокументированной передачей дел, поддерживаем переход, а затем наши учётные записи удаляются, и всё остаётся у вас.
У компаний, которым до листинга остаётся от шести до восемнадцати месяцев, есть короткое окно, чтобы ИТ-контроли отработали полные кварталы до того, как их проверят аудиторы. Мы помогаем начать рано и начать с малого: навести порядок в идентификации, сократить и журналировать доступ администраторов, внедрить управление изменениями так, чтобы инженеры действительно ему следовали, и доказать, что резервные копии восстанавливаются.
Начните разговорЕсли ваша материнская компания котируется в США, ваше ИТ наследует SOX, независимо от того, читал ли кто-нибудь в вашем офисе этот закон. Мы работаем с дочерними компаниями, чьи головные офисы раз в год присылают анкету по контролям и ожидают чистых ответов. Мы переводим эти требования в конкретные настройки, выполняем контроли на месте и отчитываемся в формате, которого ожидает группа.
Управление Microsoft 365Те же контроли отвечают на большинство других вопросов, которые задают растущей компании: готовность к SOC 2, анкеты безопасности от клиентов, заявки на киберстрахование, обязательства по GDPR в Европе и местные законы о защите данных, такие как колумбийский Ley 1581. Когда доказательства существуют, ответить значит просто указать на них.
Безопасность электронной почты и DMARCЕсли вашего вопроса здесь нет, задайте его, и вам ответит живой человек.
Задайте нам другой вопросАудиторы сосредоточены на общих ИТ-контролях: кто имеет доступ к финансовым системам, как утверждаются и журналируются изменения, тестируются ли резервное копирование и восстановление и есть ли доказательства по всему этому. Для компании вашего размера этот список вполне подъёмный, как только он записан и выполняется по графику.
Начинайте как минимум за год до ожидаемого листинга, чтобы проверки доступа, управление изменениями и журналирование отработали полные кварталы к тому моменту, когда их проверят аудиторы. Чем раньше начать, тем меньше работы, потому что чистый доступ и хорошие резервные копии проще поддерживать, чем восстанавливать.
Да, мы выгружаем, у кого к чему есть доступ в Microsoft 365, Google Workspace и ваших финансовых системах, готовим проверку на утверждение вашим владельцам контролей и подшиваем доказательства. Изменения, которые выявляет проверка, выполняются и фиксируются тем же образом.
Начните с оценки общих ИТ-контролей, которая документирует доступ, изменения и резервное копирование в их текущем состоянии, и сравните её с анкетой, присланной вашим головным офисом. Затем мы закрываем пробелы и передаём вам доказательства в формате, которого ожидает аудитор вашей группы.
Да, те же контроли доступа, изменений, резервного копирования и журналирования закрывают большую часть проверки готовности к SOC 2 и большинство анкет безопасности от клиентов. Мы готовим ответы по ИТ и подтверждающие доказательства, чтобы ваша команда могла отвечать уверенно.
Нет, контроли тестирует ваша аудиторская фирма, а мы проектируем, внедряем и выполняем ИТ-часть, чтобы им было что проверять. Разделение этих ролей отчасти и делает контроли достоверными.
Аудитор, совет директоров или материнская компания задают вопросы по ИТ, на которые вы пока не можете ответить?
Свяжитесь с нами