SF3TECHNOLOGIES
指南指南 · SOX 与合规

IPO 前企业的 SOX IT 控制：准备清单

审计师在 IT 方面测试什么，SOX 各条款何时开始适用，以及我们在首次审计前用来让访问、变更、备份和日志控制运转起来的清单。

阅读时间：9 分钟更新于

简要回答

如果您计划在未来 12 到 18 个月内上市，现在就应着手建立 IT 一般控制。审计师希望看到访问、变更、备份和日志控制已经持续运行了几个季度，而不是在他们到来前一个月才搭建起来。大多数 5 至 150 人的企业，只需利用现有的 Microsoft 365 或 Google Workspace，做几项许可证升级，再加上几套员工真正会遵守的书面流程，就能达到要求。

用通俗的话说，SOX 对 IT 有什么要求

《萨班斯-奥克斯利法案》（SOX）只关心一件事：投资者可以信赖的财务报告。只有在系统生成、存储或更改财务数字的地方，IT 才会纳入范围。因此，IT 部分的范围比大多数人担心的要窄。

条款含义新上市公司何时开始适用
SOX 302CEO 和 CFO 亲自为每份季度报告和年度报告，以及其背后的信息披露控制出具证明。从上市后的第一份季度报告或年度报告开始。
SOX 404(a)管理层每年评估财务报告内部控制（ICFR），通常以 COSO 2013 框架为标准。通常从上市后的第二份年度报告开始。
SOX 404(b)外部审计师对这些控制进行测试并出具鉴证意见。仅适用于规模较大的申报公司。新兴成长公司（emerging growth company）最长可豁免五年，非加速申报公司（non-accelerated filer）则予以豁免。

即使贵公司在一段时间内可豁免 404(b)，财务报表审计师仍会检查 IT 控制，而 IPO 准备期间发现的缺陷可能最终会在注册声明中披露。因此，证据从一开始就必须达到审计要求。

何时开始

距上市的时间IT 方面应完成的工作
上市前 18 至 12 个月与您的律师和审计事务所确认上市时间表和申报人类别（filer status）。列出所有涉及财务数字的系统及其负责人。清理身份：使用实名账户，所有账户启用多因素身份验证（MFA），减少管理员人数。
上市前 12 至 6 个月编写政策和流程。开始运行控制：访问审查、变更记录、备份恢复测试。边运行边收集证据。
上市前 6 个月至上市按照审计师的方式，对每项控制做一次模拟穿行测试。弥补差距，并坚持每个季度运行控制。
上市后SOX 302 证明从第一份报告开始。持续按证据日历执行，管理层首次进行 404(a) 评估时，只需调取文件，而不必重新整理。

哪些系统在范围内

并非所有系统。范围是生成、存储或处理财务数据的系统：

  • 会计或 ERP：QuickBooks Online、NetSuite、Sage Intacct、Xero 等
  • 薪资与人力资源：ADP、Gusto、Paylocity、Rippling 等
  • 银行、支付和费用管理工具
  • 控制上述所有系统访问权限的身份平台：启用 MFA 和单点登录（SSO）的 Microsoft Entra ID 或 Google Workspace
  • 财务文件和电子表格的存放位置：SharePoint、OneDrive、Teams 或 Google Drive
  • 财务团队使用的电脑

对于不由您自己运行的云服务，审计师依赖供应商的 SOC 1 Type II 报告。请每年收集这些报告，并查看其中的“complementary user entity controls”（用户实体补充控制）部分。这一部分列出了供应商希望您在自身一侧完成的事项，通常是访问审查和 MFA。

准备清单

以下是审计师测试的 IT 一般控制（ITGC），按审计师测试时的分组方式排列。

访问管理

  • 有书面的入职、调岗和离职流程，访问权限在授予前须经批准
  • 离职人员账户及时停用，可将人力资源记录的日期与停用日期进行比对
  • 每季度对每个财务系统进行用户访问审查，并由系统负责人签字确认
  • 管理员账户独立且实名。不共用登录，日常账户不具备管理员权限
  • 管理员角色仅限少数人，管理员操作有日志记录并每季度审查

逻辑安全

  • 所有账户启用 MFA，管理员使用通行密钥等防钓鱼验证方式
  • 阻止旧式登录方式
  • 条件访问规则或同等登录策略已形成文档
  • 公司电脑已纳入设备管理（Windows 使用 Intune，Mac 使用 Mosyle 或其他 MDM 解决方案）

变更管理

  • 财务系统和安全设置的变更经过申请、审批、测试并记录
  • 提出变更的人绝不是审批该变更的人
  • 保留会计系统的配置变更历史

IT 运维与备份

  • 备份 Microsoft 365 或 Google Workspace 以及财务数据，备份失败时及时跟进
  • 每季度进行一次恢复测试，并留存书面记录
  • 事件均有记录、调查并关闭

日志与证据

  • 登录、管理员操作和文件访问日志至少保留一个完整的审计年度
  • 证据按日历（每月、每季度、每年）收集，而不是在审计周临时汇总
  • 政策经签署、注明日期，并每年复审一次

职责分离（IT 方面）

  • IT 管理员在财务系统中不担任任何交易处理角色
  • IT 服务商不能批准自己的访问权限或自己的变更
  • 由一位高管负责人审查并签批服务商的管理员操作

如果您使用 Microsoft 365 或 Google Workspace

在 Microsoft 365 中，最有帮助的两项功能是 Privileged Identity Management（PIM），它让管理员权限变为临时权限并留下记录，以及访问审查。两者都需要 Microsoft Entra ID P2，它包含在 Microsoft 365 E5 中，也可以加购到 Business Premium。标准审计日志保留 180 天，短于一个审计年度，因此要么购买更长保留期的许可证，要么每月把日志导出到审计师可以查阅的位置。

在 Google Workspace 中，请使用单独的超级管理员账号，强制启用两步验证，并确认您的版本会将管理员日志和登录日志保留多久。如果不足一年，请定期导出。

我们常见的五个错误

  1. 到审计年度才开始。控制需要先运行一段时间，才能接受测试。
  2. 共用一个管理员账户。如果没人能说清是谁做了变更，变更控制就不合格。
  3. 访问审查没有留证。审查做了，却没有签字和日期，在审计师看来就等于没做。
  4. IT 服务商自己审批自己的工作。服务商所做的工作，必须由公司内部的人来审批和审查。
  5. 忽略了供应商。即使您自己的控制无懈可击，薪资服务商缺少 SOC 1 报告也会成为一项审计发现。

谁负责什么

SOX 需要团队协作，职责界线很重要：

  • 您的财务团队负责业务流程控制：收入、财务结账、会计分录，以及谁可以新建供应商和放行付款。
  • 您的 IT 服务商负责建立和运行 IT 一般控制，并生成证据。
  • 独立人员（不能是执行该控制的人）负责开展支持管理层评估的测试，可以是您的财务主管、外包的内部审计机构或 SOX 顾问。

让这些角色彼此分离，本身就是审计师会检查的一点。

常见问题

大家最常问的问题

创始人和财务负责人最常问我们的问题，这里给出简短的回答。

还有其他问题？欢迎咨询我们

在上市前 12 到 18 个月开始比较从容。控制必须先运行几个季度才能接受测试，而在快速成长的公司里，仅清理身份就可能需要几个月。

SF3 Technologies 如何帮助您

我们为上市公司和 IPO 前企业搭建并运行 SOX 的 IT 部分：对照审计师将测试的控制进行差距评估，在 Microsoft 365、Google Workspace 和您的设备中完成整改，每季度运行控制并留存证据，并在审计现场工作期间提供支持。我们通过以贵公司名义开设的专用管理员账户在您自己的租户内工作，这些账户受 MFA 保护并记录日志，这本身就是一项您可以向审计师展示的控制。

从差距评估开始SOX 与合规准备

本指南仅提供一般性信息，不构成法律或审计建议。请与您的证券律师和审计事务所确认您的申报人类别、时间表和范围。