Pregătirea pentru SOX 404: checklist practic pentru filiale și companii aflate în primul an

Secțiunea 404 din Legea Sarbanes-Oxley (SOX) obligă conducerea companiilor listate în SUA să evalueze și să raporteze eficacitatea controlului intern asupra raportării financiare (ICFR); pentru multe companii, auditorul extern trebuie să emită și o opinie asupra acestuia. Prin consolidare, cerința ajunge la filialele din întreaga lume — inclusiv la numeroase entități din România și din Europa Centrală și de Est.

Fie că sunteți o entitate nou achiziționată, fie o companie care se pregătește de listare, activitatea urmează un traseu previzibil.

Etapa 1 — Stabilirea perimetrului

• Agreați pragul de semnificație și criteriile de includere cu departamentul financiar al grupului
• Identificați conturile și prezentările semnificative
• Corelați conturile cu procesele de business și cu sistemele IT care le susțin
• Confirmați entitățile și locațiile incluse
• Identificați furnizorii de servicii externalizate și obțineți rapoartele SOC 1 ale acestora

Etapa 2 — Documentarea

• Redactați descrieri de proces sau diagrame pentru fiecare proces inclus
• Identificați riscurile de denaturare semnificativă („ce ar putea merge prost”)
• Documentați controalele-cheie într-o matrice a riscurilor și controalelor: responsabil, frecvență, tip (manual/automat, preventiv/de detectare), probe
• Corelați controalele cu componentele și principiile COSO 2013, inclusiv controalele la nivel de entitate
• Documentați controalele generale IT pentru fiecare aplicație, bază de date și sistem de operare inclus

Etapa 3 — Controalele generale IT

ITGC sunt zona în care multe programe aflate în primul an întâmpină dificultăți. Asigurați-vă că puteți dovedi:

• Accesul la programe și date — crearea conturilor, eliminarea celor care au plecat, revizuiri periodice ale accesului, acces privilegiat, segregarea atribuțiilor
• Modificarea programelor — schimbări solicitate, testate, aprobate și migrate de persoane diferite
• Operațiunile IT — planificarea job-urilor, monitorizare, backup și gestionarea incidentelor
• Dezvoltarea programelor (unde este cazul) — controale asupra implementării de sisteme noi și a migrării datelor

Etapa 4 — Testarea

• Efectuați walkthrough-uri pentru confirmarea proiectării și implementării
• Agreați dimensiunea eșantioanelor în funcție de frecvența controalelor, împreună cu auditorul extern
• Testați eficacitatea operațională cu probe documentate și reproductibile
• Testați rapoartele și fișierele Excel-cheie folosite în controale (completitudinea și acuratețea informațiilor)

Etapa 5 — Deficiențe și remediere

• Evaluați fiecare excepție: deficiență, deficiență semnificativă sau slăbiciune materială
• Identificați cauza-rădăcină, nu doar simptomul
• Remediați suficient de devreme pentru a permite retestarea înainte de finalul anului
• Comunicați deficiențele semnificative nivelului de guvernanță adecvat

Sfaturi practice din teren

• Mai puține controale-cheie, dar mai bune. Un perimetru supradimensionat creează costuri fără asigurare suplimentară.
• Precizia contează. Un control de revizuire trebuie să spună ce se revizuiește, față de ce prag și cum sunt urmărite diferențele.
• Proba este controlul. Dacă nu este documentat, pentru auditor nu s-a întâmplat.
• Instruiți responsabilii de control. Cele mai multe eșecuri vin de la oameni care nu știu cum arată o „probă bună”.

Dacă aveți nevoie de testare independentă, suport pentru remediere sau o evaluare a nivelului de pregătire, consultați serviciul de conformitate SOX sau cursul Controale interne și SOX 404.