SOX není samostatný standard kybernetické bezpečnosti. Jeho relevance vzniká, když technologická rizika a kontroly ovlivňují finanční výkaznictví, certifikace vedení, záznamy, procesy zveřejňování či účinnost interní kontroly nad finančním výkaznictvím.
Sekce 302 a 404 určují odpovědnosti vedení za kontroly zveřejňování, certifikace a hodnocení interní kontroly nad finančním výkaznictvím. Kontroly přístupu, změn, rozhraní, záloh, zpracování úloh a incidentů proto mohou vstoupit do rozsahu, když selhání by mohla způsobit podstatné zkreslení finančního výkaznictví či podkopat požadované zveřejňování.
Klíčové body
Začněte finančním rizikemVysledujte finančně významné účty, výroky, systémy, toky dat, reporty, servisní organizace a technologické závislosti před výběrem kontrol.
Testujte relevantní kontrolyDefinujte vlastnictví, frekvenci, důkazy, přesnost, úplnost populace, nakládání s výjimkami a nápravu pro kontroly, na které hodnocení spoléhá.
Koordinujte incidentyHodnoťte, zda kybernetická událost ovlivňuje finanční záznamy, závěry interní kontroly, kontroly zveřejňování či rozhodnutí o podstatnosti; odděleně posuďte platná pravidla Securities and Exchange Commission o zveřejňování kybernetické bezpečnosti.
Důležité omezeníNazvání kontroly „kompatibilní se SOX" nedokazuje kybernetickou bezpečnost ani právní compliance. Rozsah a závěry závisí na emitentovi, rizicích finančního výkaznictví, podstatnosti, úsudku auditora a aktuálním právu; vyžaduje se kvalifikovaný účetní a právní přezkum.