หากเราได้รับยกเว้นจาก 404(b) ยังต้องทำ SOX อยู่หรือไม่

ยังต้องทำ การรับรองตาม SOX 302 เริ่มตั้งแต่รายงานฉบับแรก และการประเมินตาม 404(a) ของฝ่ายบริหารจะตามมา ผู้สอบบัญชีงบการเงินของคุณก็จะตรวจดูการควบคุมไอทีด้วย สิ่งที่เลื่อนออกไปมีเพียงการให้ความเห็นรับรองแยกต่างหากของผู้สอบบัญชีตาม 404(b) เท่านั้น

ระบบไอทีใดบ้างที่อยู่ในขอบเขตของ SOX

เฉพาะระบบที่สร้าง จัดเก็บ หรือประมวลผลข้อมูลทางการเงิน ได้แก่ ระบบบัญชีและ ERP ระบบเงินเดือน เครื่องมือด้านธนาคารและค่าใช้จ่าย แพลตฟอร์มข้อมูลประจำตัวที่ควบคุมการเข้าถึงระบบเหล่านั้น และที่เก็บไฟล์ด้านการเงิน โดยทั่วไปเครื่องมือการตลาดและระบบด้านวิศวกรรมส่วนใหญ่อยู่นอกขอบเขต

ผู้ให้บริการไอทีแบบจัดการของเราทดสอบการควบคุมด้วยได้หรือไม่

ไม่ควรเป็นผู้ทดสอบอย่างเป็นทางการสำหรับการควบคุมที่ตนเองดำเนินการ ผู้ให้บริการทำการซ้อมทดสอบความพร้อมได้ แต่การทดสอบที่สนับสนุนการประเมินของฝ่ายบริหารควรมาจากบุคคลที่เป็นอิสระ เช่น ผู้ควบคุมบัญชีของคุณหรือบริษัทตรวจสอบภายใน

ต้องใช้ไลเซนส์ใดบ้างใน Microsoft 365

Business Premium ครอบคลุม MFA การเข้าถึงแบบมีเงื่อนไข และการจัดการอุปกรณ์ ส่วน Privileged Identity Management และการทบทวนสิทธิ์เข้าถึงต้องใช้ Entra ID P2 ซึ่งได้จาก Microsoft 365 E5 หรือซื้อเป็นส่วนเสริม ควรวางแผนให้ล็อกการตรวจสอบครอบคลุมเต็มหนึ่งปี

คู่มือคู่มือ · SOX และการปฏิบัติตามข้อกำหนด

การควบคุมไอทีตาม SOX สำหรับบริษัทที่เตรียม IPO: รายการตรวจสอบความพร้อม

ผู้สอบบัญชีทดสอบอะไรบ้างในด้านไอที SOX แต่ละมาตราเริ่มมีผลเมื่อใด และรายการตรวจสอบที่เราใช้เพื่อให้การควบคุมด้านการเข้าถึง การเปลี่ยนแปลง การสำรองข้อมูล และการบันทึกล็อกทำงานได้จริงก่อนการตรวจสอบครั้งแรก

อ่าน 9 นาทีอัปเดตล่าสุด 24 ตุลาคม 2569

คำตอบโดยสรุป

หากคุณวางแผนจะเข้าตลาดหลักทรัพย์ภายใน 12 ถึง 18 เดือนข้างหน้า ควรเริ่มทำการควบคุมทั่วไปด้านไอทีตั้งแต่ตอนนี้ ผู้สอบบัญชีต้องการเห็นการควบคุมด้านการเข้าถึง การเปลี่ยนแปลง การสำรองข้อมูล และการบันทึกล็อกที่ทำงานต่อเนื่องมาหลายไตรมาส ไม่ใช่เพิ่งตั้งขึ้นหนึ่งเดือนก่อนที่พวกเขาจะมา บริษัทส่วนใหญ่ที่มีพนักงาน 5 ถึง 150 คนไปถึงจุดนั้นได้ด้วย Microsoft 365 หรือ Google Workspace ที่ใช้อยู่แล้ว การอัปเกรดไลเซนส์อีกเล็กน้อย และกระบวนการที่เป็นลายลักษณ์อักษรไม่กี่ข้อที่พนักงานทำตามจริง

SOX ต้องการอะไรจากไอที อธิบายแบบเข้าใจง่าย

กฎหมาย Sarbanes-Oxley (SOX) มีเป้าหมายเดียว คือรายงานทางการเงินที่นักลงทุนเชื่อถือได้ ไอทีจะอยู่ในขอบเขตก็ต่อเมื่อระบบเป็นผู้สร้าง จัดเก็บ หรือเปลี่ยนแปลงตัวเลขทางการเงินเท่านั้น ส่วนที่เกี่ยวกับไอทีจึงแคบกว่าที่คนส่วนใหญ่กังวล

มาตรา	ความหมาย	เริ่มมีผลเมื่อใดสำหรับบริษัทที่เพิ่งเข้าตลาด
SOX 302	CEO และ CFO ลงนามรับรองด้วยตนเองในรายงานรายไตรมาสและรายปีทุกฉบับ รวมถึงการควบคุมการเปิดเผยข้อมูลที่อยู่เบื้องหลังรายงานนั้น	ตั้งแต่รายงานรายไตรมาสหรือรายปีฉบับแรกหลังเข้าตลาด
SOX 404(a)	ฝ่ายบริหารประเมินการควบคุมภายในเกี่ยวกับการรายงานทางการเงิน (ICFR) ทุกปี โดยทั่วไปใช้กรอบ COSO 2013	โดยทั่วไปตั้งแต่รายงานประจำปีฉบับที่สองหลังเข้าตลาด
SOX 404(b)	ผู้สอบบัญชีภายนอกทดสอบและให้ความเห็นรับรองต่อการควบคุมเหล่านั้น	เฉพาะผู้ยื่นแบบรายงานขนาดใหญ่ (larger filers) บริษัทเกิดใหม่ที่เติบโตสูง (emerging growth company) ได้รับยกเว้นนานสูงสุด 5 ปี และผู้ยื่นแบบรายงานประเภทไม่เร่งรัด (non-accelerated filer) ได้รับยกเว้น

แม้บริษัทของคุณจะได้รับยกเว้นจาก 404(b) ไปอีกระยะหนึ่ง ผู้สอบบัญชีงบการเงินก็ยังตรวจดูการควบคุมไอทีอยู่ดี และจุดอ่อนที่พบระหว่างเตรียม IPO อาจต้องเปิดเผยในแบบแสดงรายการข้อมูลการเสนอขายหลักทรัพย์ หลักฐานจึงต้องได้มาตรฐานการสอบบัญชีตั้งแต่แรก

ควรเริ่มเมื่อใด

ระยะเวลาก่อนเข้าตลาด	สิ่งที่ควรเกิดขึ้นในด้านไอที
18 ถึง 12 เดือน	ยืนยันกำหนดการเข้าตลาดและประเภทผู้ยื่นแบบรายงาน (filer status) กับที่ปรึกษากฎหมายและสำนักงานสอบบัญชีของคุณ จัดทำรายชื่อทุกระบบที่เกี่ยวข้องกับตัวเลขทางการเงินพร้อมผู้รับผิดชอบ จัดระเบียบข้อมูลประจำตัว ได้แก่ ใช้บัญชีที่ระบุชื่อบุคคล เปิดการยืนยันตัวตนหลายปัจจัย (MFA) ทุกบัญชี และลดจำนวนผู้ดูแลระบบ
12 ถึง 6 เดือน	เขียนนโยบายและกระบวนการ เริ่มดำเนินการควบคุม ได้แก่ การทบทวนสิทธิ์เข้าถึง บันทึกการเปลี่ยนแปลง และการทดสอบกู้คืนข้อมูลสำรอง เก็บหลักฐานไปพร้อมกัน
6 เดือนจนถึงวันเข้าตลาด	ซ้อมไล่ตรวจทุกการควบคุมแบบเดียวกับที่ผู้สอบบัญชีจะทำ ปิดช่องว่างที่พบ และดำเนินการควบคุมต่อเนื่องทุกไตรมาส
หลังเข้าตลาด	การรับรองตาม SOX 302 เริ่มตั้งแต่รายงานฉบับแรก เก็บหลักฐานตามปฏิทินต่อไป เพื่อให้การประเมินตาม 404(a) ครั้งแรกของฝ่ายบริหารเป็นแค่การดึงไฟล์ออกมา ไม่ต้องสร้างใหม่

ระบบใดบ้างที่อยู่ในขอบเขต

ไม่ใช่ทุกระบบ ขอบเขตคือระบบที่สร้าง จัดเก็บ หรือประมวลผลข้อมูลทางการเงิน:

ระบบบัญชีหรือ ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero และระบบที่คล้ายกัน
ระบบเงินเดือนและบุคคล: ADP, Gusto, Paylocity, Rippling และระบบที่คล้ายกัน
เครื่องมือด้านธนาคาร การชำระเงิน และค่าใช้จ่าย
แพลตฟอร์มข้อมูลประจำตัวที่ควบคุมการเข้าถึงทุกระบบข้างต้น: Microsoft Entra ID หรือ Google Workspace พร้อม MFA และการลงชื่อเข้าใช้ครั้งเดียว (SSO)
ที่เก็บไฟล์และสเปรดชีตด้านการเงิน: SharePoint, OneDrive, Teams หรือ Google Drive
คอมพิวเตอร์ที่ทีมการเงินของคุณใช้

สำหรับบริการคลาวด์ที่คุณไม่ได้ดูแลเอง ผู้สอบบัญชีจะอาศัยรายงาน SOC 1 Type II ของผู้ให้บริการ ควรขอรายงานเหล่านี้ทุกปีและตรวจดูส่วน “complementary user entity controls” (การควบคุมที่ผู้ใช้บริการต้องทำเองเพิ่มเติม) ซึ่งระบุสิ่งที่ผู้ให้บริการคาดหวังให้คุณทำในฝั่งของคุณ โดยทั่วไปคือการทบทวนสิทธิ์เข้าถึงและ MFA

รายการตรวจสอบความพร้อม

ต่อไปนี้คือการควบคุมทั่วไปด้านไอที (ITGC) ที่ผู้สอบบัญชีทดสอบ โดยจัดกลุ่มตามแบบที่ผู้สอบบัญชีใช้ทดสอบ

การจัดการสิทธิ์เข้าถึง

มีกระบวนการที่เป็นลายลักษณ์อักษรสำหรับพนักงานเข้าใหม่ ย้ายตำแหน่ง และลาออก โดยต้องอนุมัติสิทธิ์เข้าถึงก่อนให้สิทธิ์
ปิดบัญชีของผู้ที่ลาออกโดยเร็ว และนำวันที่จากฝ่ายบุคคลมาเทียบกับวันที่ปิดบัญชีได้
ทบทวนสิทธิ์เข้าถึงของผู้ใช้ในระบบการเงินทุกระบบทุกไตรมาส โดยเจ้าของระบบลงนามรับรอง
แยกบัญชีผู้ดูแลระบบที่ระบุชื่อบุคคล ไม่ใช้บัญชีร่วมกัน และไม่มีสิทธิ์ผู้ดูแลระบบในบัญชีที่ใช้งานประจำวัน
จำกัดบทบาทผู้ดูแลระบบไว้เพียงไม่กี่คน บันทึกกิจกรรมของผู้ดูแลระบบและทบทวนทุกไตรมาส

ความปลอดภัยเชิงตรรกะ

เปิด MFA ทุกบัญชี และให้ผู้ดูแลระบบใช้วิธีที่ต้านทานฟิชชิง เช่น พาสคีย์
บล็อกวิธีลงชื่อเข้าใช้แบบเดิม (legacy)
มีเอกสารกำกับกฎการเข้าถึงแบบมีเงื่อนไขหรือนโยบายการลงชื่อเข้าใช้ที่เทียบเท่า
ลงทะเบียนคอมพิวเตอร์ของบริษัทในระบบจัดการอุปกรณ์ (Intune สำหรับ Windows และ Mosyle หรือโซลูชัน MDM อื่นสำหรับ Mac)

การจัดการการเปลี่ยนแปลง

การเปลี่ยนแปลงระบบการเงินและการตั้งค่าความปลอดภัยต้องผ่านการขอ อนุมัติ ทดสอบ และบันทึก
ผู้ขอเปลี่ยนแปลงต้องไม่ใช่ผู้อนุมัติการเปลี่ยนแปลงนั้น
เก็บประวัติการเปลี่ยนแปลงการตั้งค่าของระบบบัญชีไว้

การดำเนินงานด้านไอทีและการสำรองข้อมูล

สำรองข้อมูล Microsoft 365 หรือ Google Workspace และข้อมูลทางการเงิน พร้อมติดตามแก้ไขเมื่อการสำรองล้มเหลว
ทดสอบการกู้คืนทุกไตรมาส พร้อมบันทึกเป็นลายลักษณ์อักษร
บันทึก ตรวจสอบ และปิดเหตุการณ์ด้านความปลอดภัยทุกครั้ง

ล็อกและหลักฐาน

เก็บล็อกการลงชื่อเข้าใช้ ล็อกของผู้ดูแลระบบ และล็อกการเข้าถึงไฟล์ไว้อย่างน้อยตลอดปีที่ถูกตรวจสอบ
เก็บหลักฐานตามปฏิทิน (รายเดือน รายไตรมาส รายปี) ไม่ใช่รวบรวมในสัปดาห์ที่ตรวจสอบ
นโยบายมีการลงนาม ลงวันที่ และทบทวนปีละครั้ง

การแบ่งแยกหน้าที่ด้านไอที

ผู้ดูแลระบบไอทีไม่มีบทบาทในการทำธุรกรรมในระบบการเงิน
ผู้ให้บริการไอทีของคุณอนุมัติสิทธิ์เข้าถึงหรือการเปลี่ยนแปลงของตนเองไม่ได้
ผู้บริหารที่เป็นผู้สนับสนุนโครงการทบทวนและลงนามรับรองกิจกรรมผู้ดูแลระบบของผู้ให้บริการ

หากคุณใช้ Microsoft 365 หรือ Google Workspace

ใน Microsoft 365 ฟีเจอร์สองอย่างที่ช่วยได้มากที่สุดคือ Privileged Identity Management (PIM) ซึ่งทำให้สิทธิ์ผู้ดูแลระบบเป็นแบบชั่วคราวและมีการบันทึก กับการทบทวนสิทธิ์เข้าถึง (access reviews) ทั้งสองอย่างต้องใช้ Microsoft Entra ID P2 ซึ่งรวมอยู่ใน Microsoft 365 E5 หรือซื้อเพิ่มให้ Business Premium ได้ ล็อกการตรวจสอบมาตรฐานเก็บไว้ 180 วัน ซึ่งสั้นกว่าหนึ่งปีที่ถูกตรวจสอบ ดังนั้นควรซื้อไลเซนส์ที่เก็บได้นานขึ้น หรือส่งออกล็อกทุกเดือนไปยังที่ที่ผู้สอบบัญชีของคุณเปิดอ่านได้

ใน Google Workspace ให้ใช้บัญชีผู้ดูแลระบบขั้นสูงสุดแยกต่างหาก บังคับใช้การยืนยันแบบ 2 ขั้นตอน และตรวจดูว่ารุ่นที่คุณใช้เก็บล็อกของผู้ดูแลระบบและล็อกการเข้าสู่ระบบไว้นานเท่าใด หากน้อยกว่าหนึ่งปี ให้ส่งออกตามกำหนดเวลา

ห้าข้อผิดพลาดที่เราพบบ่อย

เริ่มเมื่อถึงปีที่ถูกตรวจสอบแล้ว การควบคุมต้องทำงานไปสักระยะก่อนที่ใครจะทดสอบได้
ใช้บัญชีผู้ดูแลระบบร่วมกันบัญชีเดียว หากไม่มีใครบอกได้ว่าใครเป็นผู้เปลี่ยนแปลง การควบคุมการเปลี่ยนแปลงก็ไม่ผ่าน
ทบทวนสิทธิ์เข้าถึงโดยไม่มีหลักฐาน การทบทวนที่ทำไปแล้วแต่ไม่มีลายมือชื่อและวันที่ ในสายตาของผู้สอบบัญชีถือว่าไม่ได้ทำ
ผู้ให้บริการไอทีอนุมัติงานของตนเอง ต้องมีคนในบริษัทเป็นผู้อนุมัติและทบทวนสิ่งที่ผู้ให้บริการทำ
ลืมผู้ให้บริการภายนอก หากไม่มีรายงาน SOC 1 ของผู้ให้บริการระบบเงินเดือน ก็ถือเป็นข้อตรวจพบ แม้การควบคุมของคุณเองจะสมบูรณ์แบบก็ตาม

ใครทำหน้าที่อะไร

SOX เป็นงานที่ต้องทำร่วมกันเป็นทีม และเส้นแบ่งหน้าที่เป็นเรื่องสำคัญ:

ทีมการเงินของคุณ เป็นเจ้าของการควบคุมกระบวนการทางธุรกิจ ได้แก่ รายได้ การปิดบัญชี รายการบันทึกบัญชี และใครมีสิทธิ์สร้างผู้ขายและสั่งจ่ายเงิน
ผู้ให้บริการไอทีของคุณ วางระบบและดำเนินการควบคุมทั่วไปด้านไอที พร้อมจัดทำหลักฐาน
บุคคลที่เป็นอิสระ จากผู้ดำเนินการควบคุมนั้นเป็นผู้ทดสอบเพื่อสนับสนุนการประเมินของฝ่ายบริหาร เช่น ผู้ควบคุมบัญชีของคุณ บริษัทตรวจสอบภายในที่จ้างจากภายนอก หรือที่ปรึกษาด้าน SOX

การแยกบทบาทเหล่านี้ออกจากกันก็เป็นสิ่งหนึ่งที่ผู้สอบบัญชีตรวจดูเช่นกัน

คำถามที่พบบ่อย

คำถามที่เราได้รับบ่อย

คำตอบสั้น ๆ สำหรับคำถามที่ผู้ก่อตั้งและผู้บริหารฝ่ายการเงินถามเราบ่อยที่สุด

ถามเราเรื่องอื่น

เริ่ม 12 ถึง 18 เดือนก่อนเข้าตลาดจะมีเวลาพอสมควร การควบคุมต้องทำงานมาหลายไตรมาสก่อนจึงจะทดสอบได้ และในบริษัทที่เติบโตเร็ว แค่การจัดระเบียบข้อมูลประจำตัวอย่างเดียวก็อาจใช้เวลาหลายเดือน

SF3 Technologies ช่วยได้อย่างไร

เราวางระบบและดำเนินการส่วนไอทีของ SOX ให้บริษัทจดทะเบียนและบริษัทที่เตรียม IPO ได้แก่ การประเมินช่องว่างเทียบกับการควบคุมที่ผู้สอบบัญชีของคุณจะทดสอบ การแก้ไขใน Microsoft 365, Google Workspace และอุปกรณ์ของคุณ การดำเนินการควบคุมทุกไตรมาสพร้อมหลักฐาน และการสนับสนุนระหว่างการตรวจสอบภาคสนาม เราทำงานภายใน tenant ของคุณเองผ่านบัญชีผู้ดูแลระบบเฉพาะในนามบริษัทของคุณ ซึ่งป้องกันด้วย MFA และมีการบันทึกการใช้งาน สิ่งนี้เองก็เป็นการควบคุมอย่างหนึ่งที่คุณแสดงให้ผู้สอบบัญชีดูได้

เริ่มด้วยการประเมินช่องว่าง SOX และความพร้อมด้านการปฏิบัติตามข้อกำหนด

คู่มือนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมายหรือการสอบบัญชี โปรดยืนยันประเภทผู้ยื่นแบบรายงาน กำหนดเวลา และขอบเขตกับที่ปรึกษากฎหมายด้านหลักทรัพย์และสำนักงานสอบบัญชีของคุณ