SF3TECHNOLOGIES
Hướng dẫnHướng dẫn · SOX và tuân thủ

Kiểm soát CNTT theo SOX cho công ty trước IPO: danh sách kiểm tra sẵn sàng

Kiểm toán viên kiểm tra những gì ở phía CNTT, khi nào từng phần của SOX bắt đầu áp dụng, và danh sách kiểm tra chúng tôi dùng để đưa các kiểm soát truy cập, thay đổi, sao lưu và ghi nhật ký vào vận hành trước đợt kiểm toán đầu tiên.

9 phút đọcCập nhật

Câu trả lời ngắn

Nếu bạn dự định niêm yết trong 12 đến 18 tháng tới, hãy bắt đầu với các kiểm soát chung CNTT ngay từ bây giờ. Kiểm toán viên muốn thấy các kiểm soát truy cập, thay đổi, sao lưu và ghi nhật ký đã vận hành qua nhiều quý, chứ không phải mới thiết lập một tháng trước khi họ đến. Hầu hết các công ty từ 5 đến 150 người có thể làm được điều này với chính Microsoft 365 hoặc Google Workspace đang dùng, thêm vài lần nâng cấp giấy phép và một số ít quy trình bằng văn bản mà mọi người thực sự làm theo.

SOX yêu cầu gì ở CNTT, nói một cách dễ hiểu

Đạo luật Sarbanes-Oxley (SOX) xoay quanh một điều: báo cáo tài chính mà nhà đầu tư có thể tin tưởng. CNTT chỉ nằm trong phạm vi ở những nơi hệ thống tạo ra, lưu trữ hoặc thay đổi số liệu tài chính. Vì vậy phần CNTT hẹp hơn nhiều so với điều mà phần lớn mọi người lo ngại.

Điều khoảnÝ nghĩaKhi nào bắt đầu áp dụng với công ty mới niêm yết
SOX 302CEO và CFO đích thân xác nhận từng báo cáo quý và báo cáo năm, cùng các kiểm soát công bố thông tin làm nền tảng cho báo cáo đó.Từ báo cáo quý hoặc báo cáo năm đầu tiên sau khi niêm yết.
SOX 404(a)Ban lãnh đạo đánh giá kiểm soát nội bộ đối với báo cáo tài chính (ICFR) hằng năm, thường dựa trên khung COSO 2013.Thường từ báo cáo năm thứ hai sau khi niêm yết.
SOX 404(b)Kiểm toán viên độc lập bên ngoài kiểm tra và đưa ra ý kiến xác nhận về các kiểm soát đó.Chỉ áp dụng cho các đơn vị phát hành lớn hơn (larger filers). Công ty tăng trưởng mới nổi (emerging growth companies) được miễn tối đa năm năm, và đơn vị phát hành không thuộc diện nộp báo cáo nhanh (non-accelerated filers) được miễn.

Ngay cả khi công ty bạn được miễn 404(b) trong một thời gian, kiểm toán viên báo cáo tài chính vẫn xem xét các kiểm soát CNTT, và những điểm yếu phát hiện trong quá trình chuẩn bị IPO có thể phải công bố trong hồ sơ đăng ký phát hành. Vì vậy bằng chứng phải đạt chuẩn kiểm toán ngay từ đầu.

Khi nào nên bắt đầu

Thời gian trước khi niêm yếtNhững việc cần làm ở phía CNTT
Từ 18 đến 12 thángXác nhận lộ trình niêm yết và phân loại đơn vị nộp báo cáo (filer status) với luật sư và công ty kiểm toán của bạn. Liệt kê mọi hệ thống có liên quan đến số liệu tài chính và người chịu trách nhiệm từng hệ thống. Dọn dẹp danh tính: tài khoản đứng tên từng người, xác thực đa yếu tố (MFA) ở mọi nơi, ít quản trị viên hơn.
Từ 12 đến 6 thángSoạn chính sách và quy trình. Bắt đầu vận hành các kiểm soát: rà soát quyền truy cập, hồ sơ thay đổi, kiểm thử khôi phục từ bản sao lưu. Thu thập bằng chứng trong quá trình làm.
6 tháng cuối trước khi niêm yếtChạy thử từng kiểm soát từ đầu đến cuối theo đúng cách một kiểm toán viên sẽ làm. Khắc phục các khoảng cách. Tiếp tục vận hành các kiểm soát mỗi quý.
Sau khi niêm yếtViệc xác nhận theo SOX 302 bắt đầu từ báo cáo đầu tiên. Tiếp tục duy trì lịch thu thập bằng chứng để lần đánh giá 404(a) đầu tiên của ban lãnh đạo chỉ là lấy các tệp sẵn có ra, chứ không phải dựng lại chúng.

Những hệ thống nào nằm trong phạm vi

Không phải tất cả. Phạm vi gồm các hệ thống tạo ra, lưu trữ hoặc xử lý dữ liệu tài chính:

  • Kế toán hoặc ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero và các hệ thống tương tự
  • Tiền lương và nhân sự: ADP, Gusto, Paylocity, Rippling và các hệ thống tương tự
  • Công cụ ngân hàng, thanh toán và quản lý chi phí
  • Nền tảng danh tính kiểm soát quyền truy cập vào tất cả các hệ thống trên: Microsoft Entra ID hoặc Google Workspace, với MFA và đăng nhập một lần (SSO)
  • Nơi lưu các tệp và bảng tính tài chính: SharePoint, OneDrive, Teams hoặc Google Drive
  • Máy tính mà đội ngũ tài chính của bạn sử dụng

Với các dịch vụ đám mây mà bạn không tự vận hành, kiểm toán viên dựa vào báo cáo SOC 1 Type II của nhà cung cấp. Hãy thu thập các báo cáo này hằng năm và kiểm tra phần "complementary user entity controls" (các kiểm soát bổ sung mà phía người dùng phải thực hiện). Phần này liệt kê những việc nhà cung cấp mong bạn làm ở phía mình, thường là rà soát quyền truy cập và MFA.

Danh sách kiểm tra sẵn sàng

Đây là các kiểm soát chung CNTT (ITGC) mà kiểm toán viên kiểm tra, được nhóm theo đúng cách họ kiểm tra.

Quản lý quyền truy cập

  • Quy trình bằng văn bản cho nhân viên mới vào, chuyển vị trí và nghỉ việc, trong đó quyền truy cập được phê duyệt trước khi cấp
  • Tài khoản của người nghỉ việc được vô hiệu hóa kịp thời, với ngày nghỉ việc từ bộ phận nhân sự có thể đối chiếu với ngày vô hiệu hóa
  • Rà soát quyền truy cập người dùng hằng quý cho mọi hệ thống tài chính, có chữ ký xác nhận của người chịu trách nhiệm hệ thống
  • Tài khoản quản trị riêng, đứng tên từng người. Không dùng chung thông tin đăng nhập và không có quyền quản trị trên tài khoản dùng hằng ngày
  • Vai trò quản trị chỉ giao cho một vài người, hoạt động quản trị được ghi nhật ký và rà soát mỗi quý

Bảo mật logic

  • MFA trên mọi tài khoản, và với quản trị viên là các phương thức chống lừa đảo (phishing) như khóa truy cập (passkey)
  • Chặn các phương thức đăng nhập cũ
  • Quy tắc truy cập có điều kiện hoặc chính sách đăng nhập tương đương, được lập thành văn bản
  • Máy tính công ty được đăng ký vào hệ thống quản lý thiết bị (Intune cho Windows, Mosyle hoặc giải pháp MDM khác cho Mac)

Quản lý thay đổi

  • Thay đổi trên hệ thống tài chính và cài đặt bảo mật đều được yêu cầu, phê duyệt, kiểm thử và ghi nhật ký
  • Người yêu cầu thay đổi không bao giờ là người phê duyệt thay đổi đó
  • Lưu giữ lịch sử thay đổi cấu hình của hệ thống kế toán

Vận hành CNTT và sao lưu

  • Sao lưu Microsoft 365 hoặc Google Workspace và dữ liệu tài chính của bạn, có theo dõi xử lý khi sao lưu thất bại
  • Kiểm thử khôi phục mỗi quý, có biên bản bằng văn bản
  • Sự cố được ghi nhận, điều tra và đóng lại

Ghi nhật ký và bằng chứng

  • Nhật ký đăng nhập, quản trị và truy cập tệp được lưu giữ ít nhất trọn một năm kiểm toán
  • Bằng chứng được thu thập theo lịch (hằng tháng, hằng quý, hằng năm), không phải gom lại trong tuần kiểm toán
  • Chính sách được ký, ghi ngày và rà soát mỗi năm một lần

Phân tách nhiệm vụ ở phía CNTT

  • Quản trị viên CNTT không giữ vai trò giao dịch nào trong hệ thống tài chính
  • Nhà cung cấp CNTT của bạn không thể tự phê duyệt quyền truy cập hoặc thay đổi của chính mình
  • Một lãnh đạo cấp cao được giao phụ trách rà soát và ký duyệt hoạt động quản trị của nhà cung cấp

Nếu bạn dùng Microsoft 365 hoặc Google Workspace

Trong Microsoft 365, hai tính năng hữu ích nhất là Privileged Identity Management (PIM), giúp quyền quản trị chỉ mang tính tạm thời và được ghi nhật ký, và rà soát quyền truy cập (access reviews). Cả hai đều cần Microsoft Entra ID P2, có sẵn trong Microsoft 365 E5 hoặc có thể mua thêm cho Business Premium. Nhật ký kiểm toán tiêu chuẩn được lưu 180 ngày, ngắn hơn một năm kiểm toán, vì vậy hãy mua giấy phép lưu giữ lâu hơn hoặc xuất nhật ký mỗi tháng sang nơi kiểm toán viên của bạn có thể đọc.

Trong Google Workspace, hãy dùng tài khoản quản trị viên cấp cao riêng biệt, bắt buộc Xác minh 2 bước và kiểm tra phiên bản của bạn lưu nhật ký quản trị và nhật ký đăng nhập trong bao lâu. Nếu dưới một năm, hãy xuất các nhật ký này theo lịch định kỳ.

Năm sai lầm chúng tôi thường gặp

  1. Đến năm kiểm toán mới bắt đầu. Các kiểm soát cần thời gian vận hành trước khi bất kỳ ai có thể kiểm tra.
  2. Một tài khoản quản trị dùng chung. Nếu không ai biết được ai đã thực hiện thay đổi, kiểm soát thay đổi bị coi là không đạt.
  3. Rà soát quyền truy cập không có bằng chứng. Với kiểm toán viên, một lần rà soát đã diễn ra nhưng không có chữ ký và ngày tháng thì coi như chưa từng diễn ra.
  4. Nhà cung cấp CNTT tự phê duyệt công việc của mình. Phải có người trong công ty phê duyệt và rà soát những gì nhà cung cấp làm.
  5. Quên các nhà cung cấp bên ngoài. Thiếu báo cáo SOC 1 của nhà cung cấp dịch vụ tiền lương là một phát hiện kiểm toán, ngay cả khi các kiểm soát của chính bạn hoàn hảo.

Ai làm gì

SOX là việc của cả đội, và ranh giới giữa các vai trò rất quan trọng:

  • Đội ngũ tài chính của bạn chịu trách nhiệm các kiểm soát quy trình kinh doanh: doanh thu, khóa sổ kế toán, bút toán, và ai được tạo nhà cung cấp mới và giải ngân thanh toán.
  • Nhà cung cấp CNTT của bạn thiết lập và vận hành các kiểm soát chung CNTT, đồng thời tạo ra bằng chứng.
  • Một người độc lập với người vận hành kiểm soát thực hiện việc kiểm tra làm cơ sở cho đánh giá của ban lãnh đạo: kế toán trưởng của bạn, một công ty kiểm toán nội bộ thuê ngoài hoặc một chuyên gia tư vấn SOX.

Bản thân việc tách biệt các vai trò này cũng là điều kiểm toán viên xem xét.

Câu hỏi thường gặp

Những điều mọi người hay hỏi chúng tôi

Câu trả lời ngắn cho những điều mà nhà sáng lập và người phụ trách tài chính hỏi chúng tôi nhiều nhất.

Hỏi chúng tôi điều khác

Từ mười hai đến mười tám tháng trước khi niêm yết là thoải mái. Các kiểm soát phải vận hành qua nhiều quý trước khi có thể được kiểm tra, và chỉ riêng việc dọn dẹp danh tính đã có thể mất vài tháng ở một công ty tăng trưởng nhanh.

SF3 Technologies hỗ trợ như thế nào

Chúng tôi thiết lập và vận hành phần CNTT của SOX cho các công ty đại chúng và công ty trước IPO: đánh giá khoảng cách so với các kiểm soát mà kiểm toán viên của bạn sẽ kiểm tra, khắc phục trong Microsoft 365, Google Workspace và thiết bị của bạn, vận hành các kiểm soát mỗi quý kèm bằng chứng, và hỗ trợ trong giai đoạn kiểm toán tại chỗ. Chúng tôi làm việc bên trong đối tượng thuê (tenant) của chính bạn thông qua các tài khoản quản trị chuyên dụng mang tên công ty bạn, được bảo vệ bằng MFA và có ghi nhật ký, và bản thân điều đó đã là một kiểm soát mà bạn có thể trình bày với kiểm toán viên.

Bắt đầu với một đánh giá khoảng cáchSOX và sẵn sàng tuân thủ

Hướng dẫn này chỉ là thông tin chung, không phải tư vấn pháp lý hay tư vấn kiểm toán. Hãy xác nhận phân loại đơn vị nộp báo cáo, lộ trình và phạm vi với luật sư chứng khoán và công ty kiểm toán của bạn.