Czym jest SOX i czym są ITGC?
Ustawa Sarbanes-Oxley (SOX) została uchwalona przez Kongres USA w 2002 roku po skandalach księgowych Enronu i WorldComu. Jej sekcja 404 wymaga, aby zarząd spółki co roku ocenił i potwierdził skuteczność kontroli wewnętrznej nad sprawozdawczością finansową (ICFR), a niezależny audytor (dla większych spółek) wydał o niej własną opinię. Sekcja 302 dodaje osobistą odpowiedzialność CEO i CFO za rzetelność raportów, a nadzór nad audytorami sprawuje rada PCAOB.
Ponieważ dane finansowe powstają i są przetwarzane w systemach IT, wiarygodność sprawozdań zależy od kontroli nad tymi systemami. ITGC (IT General Controls) to fundament: kontrole ogólne środowiska IT, na których opierają się zautomatyzowane kontrole aplikacyjne (na przykład trójstronne dopasowanie faktur) i integralność raportów generowanych systemowo. Jeżeli ITGC są nieskuteczne (na przykład programista może samodzielnie zmienić kod na produkcji), audytor nie może polegać na żadnej kontroli automatycznej działającej w tym systemie.
Kogo dotyczy?
SOX obowiązuje wszystkie spółki notowane na giełdach amerykańskich (NYSE, Nasdaq) i zarejestrowane w SEC, w tym spółki zagraniczne (foreign private issuers) oraz, w praktyce, ich istotne spółki zależne na całym świecie. Polska lub europejska spółka wchodząca w skład grupy notowanej w USA często musi utrzymywać ITGC lokalnie, bo jej systemy zasilają skonsolidowane sprawozdanie grupy.
Wymagania pośrednio obejmują też firmy prywatne: spółki przygotowujące się do IPO w USA wdrażają SOX z wyprzedzeniem, a dostawcy usług (SaaS, outsourcing IT, płace, hosting) obsługujący klientów objętych SOX są proszeni o raporty SOC 1 / ISAE 3402, w których niezależny audytor bada kontrole dostawcy istotne dla sprawozdawczości klientów. Solidne ITGC to więc także argument sprzedażowy dla dostawców B2B celujących w spółki giełdowe.
Cztery domeny ITGC
ITGC tradycyjnie grupuje się w cztery domeny, obejmujące wszystkie warstwy systemów istotnych finansowo: aplikację, bazę danych, system operacyjny i infrastrukturę. Zakres wyznaczają systemy „in-scope", czyli te, które tworzą, przetwarzają lub przechowują dane trafiające do sprawozdania finansowego.
- Dostęp do programów i danych: nadawanie i odbieranie dostępu za zatwierdzeniem, okresowe przeglądy uprawnień, kontrola kont uprzywilejowanych, uwierzytelnianie i MFA, podział obowiązków (SoD).
- Zarządzanie zmianą: każda zmiana na produkcji testowana i zatwierdzona przed wdrożeniem, rozdzielone środowiska, kontrola wersji, nadzorowana ścieżka zmian awaryjnych.
- Rozwój i wdrażanie systemów: metodyka projektowa z bramkami, testy akceptacyjne użytkowników (UAT), kontrola migracji danych z rekoncyliacją, formalna zgoda na uruchomienie produkcyjne.
- Operacje IT: kopie zapasowe z monitorowaniem i testami odtwarzania, nadzór nad zadaniami wsadowymi i interfejsami, zarządzanie incydentami, podatnościami i poprawkami, ciągłość działania.
- Wspólny mianownik: każda kontrola musi zostawiać dowód (zgłoszenie, raport, zatwierdzenie z datą), który audytor może zbadać na próbce z całego roku.
Jak wygląda audyt ITGC?
ITGC nie mają certyfikatu. Są badane co roku w ramach audytu sprawozdania finansowego. Zespół IT audytora najpierw potwierdza zakres (które systemy zasilają sprawozdanie), a następnie testuje kontrole dwuetapowo: ocenia ich zaprojektowanie i wdrożenie (design and implementation) oraz skuteczność operacyjną (operating effectiveness) na próbkach z całego badanego okresu, na przykład 25 losowych zmian produkcyjnych czy nowych kont, każdorazowo żądając kompletu dowodów.
Wyjątki są klasyfikowane według wagi: od zwykłej deficiency, przez significant deficiency raportowaną komitetowi audytu, po material weakness, czyli istotną słabość ujawnianą publicznie w raporcie rocznym, która zwykle skutkuje spadkiem zaufania inwestorów. Nieskuteczne ITGC zmuszają audytora do rozszerzenia kosztownych testów substantywnych: musi ręcznie zweryfikować dane, którym nie może zaufać systemowo. Dlatego spółki testują ITGC wewnętrznie w ciągu roku i naprawiają odchylenia, zanim znajdzie je audytor zewnętrzny.
Ile to trwa i kosztuje?
Zbudowanie działającego programu ITGC od podstaw zajmuje zwykle od 6 do 12 miesięcy: określenie zakresu systemów, spisanie macierzy ryzyk i kontroli (RCM), wdrożenie brakujących procesów (przeglądy dostępów, formalna ścieżka zmian, monitorowanie kopii zapasowych) i, co najważniejsze, kilka miesięcy działania kontroli, żeby powstały dowody, które audytor może testować. Spółki przygotowujące się do IPO zaczynają zwykle co najmniej rok przed debiutem.
Koszt zależy od liczby systemów in-scope, stopnia automatyzacji i dojrzałości procesów IT. Składają się na niego: czas zespołu IT na obsługę kontroli i dostarczanie dowodów, ewentualne wsparcie doradcze, narzędzia (ITSM, zarządzanie tożsamością, automatyzacja dowodów) oraz honoraria audytowe. Największe oszczędności daje ograniczenie liczby systemów in-scope, automatyzacja zbierania dowodów i porządek w danych: audyt ITGC, do którego dowody są gotowe od ręki, potrafi być o połowę tańszy w godzinach zespołu niż audyt „gaszony" ad hoc.
Jak pomaga Guardiso?
Guardiso porządkuje program ITGC, od macierzy kontroli po dowody gotowe na próbkowanie audytora, i utrzymuje kontrole działające przez cały rok, nie tylko przed audytem.
- Kontrole ITGC we wszystkich czterech domenach (dostęp, zmiany, rozwój, operacje) tworzone automatycznie po włączeniu standardu, z opisami, statusami i właścicielami.
- Samoocena dojrzałości pokazująca luki w kontrolach, zanim znajdzie je audytor finansowy.
- Zbieranie dowodów dla każdej kontroli: przeglądy dostępów, zatwierdzenia zmian, raporty z kopii zapasowych. Wszystko w jednym miejscu, z historią przez cały badany okres.
- Zadania cykliczne pilnujące kontroli okresowych (kwartalne przeglądy uprawnień, testy odtwarzania, przeglądy kont uprzywilejowanych).
- Rejestr ryzyk powiązany z kontrolami: naturalna baza pod macierz ryzyk i kontroli (RCM).
- Portal audytora: zespół audytu IT dostaje kontrolowany dostęp do dowodów bez wysyłania plików mailem.
- Mapowanie krzyżowe na ISO 27001, SOC 2 i inne standardy: te same kontrole dostępu, zmian i operacji zaliczają wymagania wielu ram jednocześnie.