SOX nu este un standard de securitate cibernetică de sine stătător. Relevanța sa apare când riscurile și controalele tehnologice afectează raportarea financiară, certificările executive, evidențele, procesele de divulgare sau eficacitatea controlului intern asupra raportării financiare.
Secțiunile 302 și 404 determină responsabilitățile managementului pentru controalele de divulgare, certificări și evaluarea controlului intern asupra raportării financiare. Controalele de acces, modificare, interfețe, backup, procesare de joburi și incidente pot prin urmare intra în domeniu când eșecurile ar putea cauza o denaturare semnificativă a raportării financiare sau submina divulgarea cerută.
Puncte esențiale
Porniți de la riscul financiarTrasați conturile, afirmațiile, sistemele, fluxurile de date, rapoartele, organizațiile de servicii și dependențele tehnologice semnificative financiar înainte de a selecta controalele.
Testați controalele relevanteDefiniți proprietatea, frecvența, dovezile, precizia, completitudinea populației, tratarea excepțiilor și remedierea pentru controalele pe care se bazează evaluarea.
Coordonați incidenteleEvaluați dacă un eveniment cibernetic afectează evidențele financiare, concluziile despre controlul intern, controalele de divulgare sau deciziile privind semnificația; evaluați separat regulile de divulgare privind securitatea cibernetică ale Securities and Exchange Commission aplicabile.
Limitare importantăA numi un control „conform SOX” nu dovedește securitate cibernetică sau conformitate legală. Domeniul și concluziile depind de emitent, riscurile de raportare financiară, semnificație, judecata auditorului și legea curentă; este necesară o revizuire contabilă și juridică calificată.