SF3TECHNOLOGIES
KılavuzlarKılavuzlar · SOX ve uyumluluk

Halka arz öncesi şirketler için SOX BT kontrolleri: hazırlık kontrol listesi

Denetçilerin BT tarafında neyi test ettiği, SOX'un her bölümünün ne zaman başladığı ve erişim, değişiklik, yedekleme ve günlük kaydı kontrollerini ilk denetimden önce işler hale getirmek için kullandığımız kontrol listesi.

9 dakikalık okumaGüncellendi

Kısa cevap

Önümüzdeki 12 ila 18 ay içinde halka arz olmayı planlıyorsanız BT genel kontrollerinize şimdi başlayın. Denetçiler erişim, değişiklik, yedekleme ve günlük kaydı kontrollerinin, gelmelerinden bir ay önce kurulmuş değil, birkaç çeyrektir işliyor olduğunu görmek ister. 5 ila 150 kişilik şirketlerin çoğu bunu zaten kullandıkları Microsoft 365 veya Google Workspace, birkaç lisans yükseltmesi ve çalışanların gerçekten uyguladığı bir avuç yazılı süreçle başarabilir.

SOX'un BT'den istedikleri, sade bir dille

Sarbanes-Oxley Yasası (SOX) tek bir şeyle ilgilidir: yatırımcıların güvenebileceği finansal raporlar. BT, yalnızca sistemlerin rakamları oluşturduğu, sakladığı veya değiştirdiği noktalarda kapsama girer. Bu yüzden BT kısmı, çoğu kişinin korktuğundan daha dardır.

BölümNe anlama gelirYeni halka arz olmuş bir şirket için ne zaman başlar
SOX 302CEO ve CFO, her çeyreklik ve yıllık raporu ve arkasındaki bilgilendirme kontrollerini bizzat onaylar.Halka arzdan sonraki ilk çeyreklik veya yıllık rapordan itibaren.
SOX 404(a)Yönetim, finansal raporlama üzerindeki iç kontrolü (ICFR) her yıl, genellikle COSO 2013 çerçevesine göre değerlendirir.Genellikle halka arzdan sonraki ikinci yıllık rapordan itibaren.
SOX 404(b)Dış denetçi bu kontrolleri test eder ve bunlar hakkında görüş bildirir.Yalnızca büyük ölçekli ihraççılar (larger filers) için. Gelişmekte olan büyüme şirketleri (emerging growth companies) beş yıla kadar muaftır, hızlandırılmamış ihraççılar (non-accelerated filers) ise muaftır.

Şirketiniz bir süre 404(b)'den muaf olsa bile mali tablo denetçiniz BT kontrollerine yine de bakar ve halka arz hazırlığı sırasında bulunan zayıflıklar kayıt beyannamesinde açıklanmak zorunda kalınabilir. Bu yüzden kanıtların en baştan denetim kalitesinde olması gerekir.

Ne zaman başlamalı

Halka arza kalan süreBT tarafında neler olmalı
18 ila 12 ayHalka arz takviminizi ve SEC ihraççı kategorinizi (filer status) hukuk danışmanınız ve denetim firmanızla teyit edin. Rakamlara dokunan her sistemi ve her birinin sahibini listeleyin. Kimlikleri düzene sokun: kişiye özel hesaplar, her yerde çok faktörlü kimlik doğrulama (MFA) ve daha az yönetici.
12 ila 6 ayPolitikaları ve süreçleri yazın. Kontrolleri işletmeye başlayın: erişim incelemeleri, değişiklik kayıtları, yedekten geri yükleme testleri. Kanıtları ilerledikçe toplayın.
Son 6 ayHer kontrolü bir denetçinin yapacağı gibi baştan sona deneme amaçlı gözden geçirin. Eksikleri giderin. Kontrolleri her çeyrek işletmeye devam edin.
Halka arzdan sonraSOX 302 onayları ilk raporla başlar. Kanıt takvimini sürdürün; böylece yönetimin ilk 404(a) değerlendirmesi dosyaları yeniden oluşturmak değil, yalnızca bir araya getirmek olur.

Hangi sistemler kapsamda

Her şey değil. Kapsam, finansal verileri oluşturan, saklayan veya işleyen sistemlerdir:

  • Muhasebe veya ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero ve benzerleri
  • Bordro ve İK: ADP, Gusto, Paylocity, Rippling ve benzerleri
  • Bankacılık, ödeme ve harcama araçları
  • Bunların tümüne erişimi kontrol eden kimlik platformu: MFA ve tek oturum açma (SSO) ile Microsoft Entra ID veya Google Workspace
  • Finans dosyalarının ve tablolarının bulunduğu yerler: SharePoint, OneDrive, Teams veya Google Drive
  • Finans ekibinizin kullandığı bilgisayarlar

Kendiniz işletmediğiniz bulut hizmetleri için denetçiler, sağlayıcının SOC 1 Type II raporuna dayanır. Bu raporları her yıl toplayın ve "complementary user entity controls" (kullanıcı kuruluşa düşen tamamlayıcı kontroller) bölümünü kontrol edin. Bu bölüm, sağlayıcının sizin tarafınızda yapmanızı beklediklerini listeler; bunlar genellikle erişim incelemeleri ve MFA'dır.

Hazırlık kontrol listesi

Bunlar denetçilerin test ettiği BT genel kontrolleridir (ITGC); denetçilerin test ettiği şekilde gruplanmıştır.

Erişim yönetimi

  • Erişimin verilmeden önce onaylandığı, yazılı bir işe giriş, görev değişikliği ve işten ayrılma süreci
  • İşten ayrılanların hesaplarının vakit kaybetmeden devre dışı bırakılması ve İK tarihlerinin devre dışı bırakma tarihleriyle karşılaştırılabilmesi
  • Her finansal sistem için, sistem sahibinin onayladığı üç aylık kullanıcı erişim incelemeleri
  • Ayrı ve kişiye özel yönetici hesapları. Ortak oturum açma bilgisi yok, günlük kullanılan hesaplarda yönetici hakkı yok
  • Yönetici rollerinin birkaç kişiyle sınırlı tutulması, yönetici faaliyetlerinin kaydedilmesi ve her çeyrek incelenmesi

Mantıksal güvenlik

  • Her hesapta MFA; yöneticiler için geçiş anahtarları (passkeys) gibi kimlik avına dayanıklı yöntemler
  • Eski oturum açma yöntemlerinin engellenmesi
  • Belgelenmiş koşullu erişim kuralları veya eşdeğer oturum açma ilkeleri
  • Şirket bilgisayarlarının cihaz yönetimine kaydedilmesi (Windows için Intune, Mac için Mosyle veya başka bir MDM çözümü)

Değişiklik yönetimi

  • Finansal sistemlerde ve güvenlik ayarlarında yapılan değişikliklerin talep edilmesi, onaylanması, test edilmesi ve kaydedilmesi
  • Bir değişikliği talep eden kişinin asla onu onaylayan kişi olmaması
  • Muhasebe sisteminiz için yapılandırma değişikliği geçmişinin saklanması

BT operasyonları ve yedekleme

  • Microsoft 365 veya Google Workspace'in ve finansal verilerinizin yedeklenmesi, başarısız yedeklemelerin takip edilmesi
  • Her çeyrek yazılı kaydı tutulan bir geri yükleme testi
  • Olayların kaydedilmesi, araştırılması ve kapatılması

Günlük kaydı ve kanıt

  • Oturum açma, yönetici ve dosya erişim günlüklerinin en az tam bir denetim yılı boyunca saklanması
  • Kanıtların denetim haftasında toparlanması yerine bir takvime göre (aylık, üç aylık, yıllık) toplanması
  • Politikaların imzalanması, tarihlenmesi ve yılda bir gözden geçirilmesi

BT tarafında görevler ayrılığı

  • BT yöneticilerinin finansal sistemlerde işlem yapma rolü olmaması
  • BT sağlayıcınızın kendi erişimini veya kendi değişikliklerini onaylayamaması
  • Bir üst düzey yöneticinin sağlayıcının yönetici faaliyetlerini incelemesi ve onaylaması

Microsoft 365 veya Google Workspace kullanıyorsanız

Microsoft 365'te en çok işe yarayan iki özellik, yönetici haklarını geçici ve kayıt altında hale getiren Privileged Identity Management (PIM) ile erişim incelemeleridir. İkisi de Microsoft 365 E5 ile gelen veya Business Premium'a eklenebilen Microsoft Entra ID P2'yi gerektirir. Standart denetim günlükleri 180 gün saklanır; bu bir denetim yılından kısadır. Bu yüzden ya daha uzun saklama için lisans alın ya da günlükleri her ay denetçinizin okuyabileceği bir yere dışa aktarın.

Google Workspace'te ayrı süper yönetici hesapları kullanın, 2 Adımlı Doğrulama'yı zorunlu kılın ve sürümünüzün yönetici ve oturum açma günlüklerini ne kadar süre sakladığını kontrol edin. Bu süre bir yıldan kısaysa günlükleri düzenli bir programla dışa aktarın.

Sık gördüğümüz beş hata

  1. Denetim yılında başlamak. Kontrollerin, birileri onları test edebilmeden önce bir süre işlemesi gerekir.
  2. Tek bir ortak yönetici hesabı. Bir değişikliği kimin yaptığını kimse söyleyemiyorsa değişiklik kontrolü başarısız olur.
  3. Kanıtı olmayan erişim incelemeleri. Denetçinin gözünde, yapılmış ama imzalanıp tarihlenmemiş bir inceleme hiç yapılmamış sayılır.
  4. BT sağlayıcısının kendi işini onaylaması. Sağlayıcının yaptıklarını şirketten birinin onaylaması ve incelemesi gerekir.
  5. Tedarikçileri unutmak. Bordro sağlayıcınızın SOC 1 raporunun eksik olması, kendi kontrolleriniz kusursuz olsa bile bir denetim bulgusudur.

Kim ne yapar

SOX bir ekip işidir ve sınırların net olması önemlidir:

  • Finans ekibiniz iş süreci kontrollerinin sahibidir: gelir, dönem sonu kapanışı, yevmiye kayıtları, tedarikçileri kimin tanımlayıp ödemeleri kimin serbest bırakabileceği.
  • BT sağlayıcınız BT genel kontrollerini kurar, işletir ve kanıtları üretir.
  • Kontrolü işletenden bağımsız biri yönetimin değerlendirmesini destekleyen testleri yapar: mali kontrolörünüz, dışarıdan bir iç denetim firması veya bir SOX danışmanı.

Bu rolleri ayrı tutmak da başlı başına denetçilerin baktığı bir konudur.

SSS

Bize sorulan sorular

Kurucuların ve finans yöneticilerinin bize en sık sorduklarına kısa cevaplar.

Bize başka bir şey sorun

Halka arzdan on iki ila on sekiz ay önce başlamak rahat bir süredir. Kontrollerin test edilebilmesi için birkaç çeyrek boyunca işlemesi gerekir ve hızlı büyümüş bir şirkette yalnızca kimlikleri düzene sokmak bile birkaç ay sürebilir.

SF3 Technologies nasıl yardımcı olur

Halka açık ve halka arz öncesi şirketler için SOX'un BT tarafını kurar ve işletiriz: denetçinizin test edeceği kontrollere göre bir eksiklik değerlendirmesi, Microsoft 365, Google Workspace ve cihazlarınızda iyileştirme, her çeyrek kanıtlarıyla işletilen kontroller ve denetim saha çalışması sırasında destek. Şirketinizin adına açılmış, MFA ile korunan ve kayıt altına alınan özel yönetici hesaplarıyla kendi kiracınızın içinde çalışırız; bu da başlı başına denetçinize gösterebileceğiniz bir kontroldür.

Bir eksiklik değerlendirmesiyle başlayınSOX ve uyumluluk hazırlığı

Bu kılavuz genel bilgi amaçlıdır; hukuki veya denetim tavsiyesi değildir. İhraççı kategorinizi, takviminizi ve kapsamı sermaye piyasası hukuk danışmanınız ve denetim firmanızla teyit edin.