如果贵公司已上市、正准备上市，或隶属于美国上市集团，审计师会询问 IT 如何处理访问、变更、备份和证据。作为您的托管服务提供商，我们在 Microsoft 365、Google Workspace 和您的设备中建立这些控制，并让证据每个季度都准备就绪。
SOX IT 一般控制（ITGC）是财务审计中的 IT 部分。它们并不深奥，而是一套规范：知道谁能接触财务系统、变更如何获得批准，以及出了问题能否恢复。我们把这套规范落实到您已经在用的系统中。
我们与您的财务团队和审计事务所并肩工作。我们不执行审计，也不取代您的内部控制负责人。我们确保 IT 绝不会成为控制失效的原因。
我们对照审计师将要测试的 ITGC 审查您当前的环境，并为您提供一份按优先级排序的清单。
我们逐一补齐差距，从访问权限清理和条件访问，到变更追踪和备份测试。
访问审查、变更记录和备份检查成为例行工作，证据随之自然产生。
我们与您的财务主管和审计师一起，解答 IT 方面的问题，并按他们期望的格式提供证据。
审计师很欣赏这一点。我们通过以贵公司名义开设的专用管理员账户，在您自己的 Microsoft 365、Google Workspace 和财务系统内部开展工作。这些账户受 MFA 保护、全程留有日志，且仅在您的指示下使用，这本身就是一项您可以展示的控制措施。没有任何数据会转移到 SF3 Technologies 的系统。
若合作关系结束，我们会通过书面交接，把控制措施、证据和文档移交给您的新团队，协助完成过渡；随后移除我们的账户，所有内容都归您保留。
距离上市还有六到十八个月的公司，只有很短的窗口期让 IT 控制在审计师测试之前完整运行数个季度。我们帮助您尽早起步、小步开始：清理身份、减少并记录管理员访问、以工程师真正会遵循的方式引入变更管理，并验证备份确实可以恢复。
开始交流如果您的母公司在美国上市，无论贵公司内部是否有人读过这部法律，您的 IT 都要承担 SOX 要求。我们与许多子公司合作，它们的总部每年发来一份控制问卷，并期望得到干净利落的答复。我们把这些要求转化为具体的配置，在本地运行控制措施，并按集团期望的格式报告。
Microsoft 365 管理同一套控制措施能回答成长型企业常被问到的大多数其他问题：SOC 2 准备情况、客户安全问卷、网络保险申请、欧洲的 GDPR 义务，以及哥伦比亚第 1581 号法律等当地数据保护法规。一旦证据存在，回答问题就只是把它指出来而已。
电子邮件安全与 DMARC审计师关注 IT 一般控制：谁能访问财务系统、变更如何获得批准和记录、备份和恢复是否经过测试，以及这一切是否都有证据。对于贵公司这样规模的企业，只要把这些写下来并按计划执行，这份清单是完全可控的。
至少在预计上市前一年开始，这样在审计师测试时，访问审查、变更管理和日志记录已经完整运行了数个季度。越早开始，工作量越小，因为规范的访问权限和良好的备份，维持起来比事后重建容易得多。
可以。我们会导出 Microsoft 365、Google Workspace 和贵公司财务系统中谁有权访问什么，为您的控制负责人准备好待审批的审查材料，并归档证据。审查中发现需要的变更，也会以同样的方式执行并记录。
先做一次 IT 一般控制评估，记录当前的访问、变更和备份状况，并与总部发来的问卷进行对照。然后我们补齐差距，并按贵集团审计师期望的格式向您提供证据。
是的，同一套访问、变更、备份和日志控制能回答 SOC 2 就绪审查和大多数客户安全问卷中的大部分问题。我们会准备 IT 方面的答复和支持性证据，让您的团队能够自信地作出回应。
不。审计事务所负责测试控制措施，而我们负责设计、实施和运行 IT 方面的工作，让他们有扎实的对象可以测试。保持这些角色分离，正是控制措施可信的原因之一。
审计师、董事会或母公司提出了您目前还无法回答的 IT 问题？
联系我们