Was ist SOX-Compliance? Anforderungen, Kontrollen und mehr für 2023

Der Sarbanes-Oxley Act von 2002 (SOX) wurde vom Kongress der Vereinigten Staaten verabschiedet, um die Öffentlichkeit vor betrügerischen oder fehlerhaften Praktiken von Unternehmen oder anderen Unternehmen zu schützen. Das Gesetz ist nach Paul Sarbanes und Michael Oxley benannt, den beiden Kongressabgeordneten, die es entworfen haben.

Das Gesetz legte neue und erweiterte Anforderungen an alle Vorstände, das Management und die Wirtschaftsprüfungsgesellschaften von US-Aktiengesellschaften fest, mit dem Ziel, die Transparenz in der Finanzberichterstattung zu erhöhen und die Systeme für interne Kontrollen zu formalisieren. Darüber hinaus sind die Strafen für betrügerische Aktivitäten viel strenger.

Das erklärte Ziel von SOX ist es, "Anleger zu schützen, indem die Genauigkeit und Zuverlässigkeit der Unternehmensangaben verbessert wird".

Daher muss die Geschäftsführung einer Aktiengesellschaft die Richtigkeit der Finanzinformationen einzeln bescheinigen. SOX hat auch die Aufsichtsfunktion der Verwaltungsräte und die Unabhängigkeit der externen Wirtschaftsprüfer, die die Richtigkeit der Unternehmensabschlüsse überprüfen, erhöht.

Die Einhaltung der SOX-Compliance-Anforderungen ist nicht nur eine gesetzliche Verpflichtung, sondern eine gute Geschäftspraxis. Alle Unternehmen sollten sich ethisch verhalten und den Zugriff auf ihre Finanzdaten einschränken. Es hat auch den zusätzlichen Vorteil, dass es Unternehmen dabei hilft, sensible Daten vor Insider-Bedrohungen, Cyberangriffen und Sicherheitsverletzungen zu schützen.

Das Datensicherheits-Framework der SOX-Compliance lässt sich anhand von fünf Hauptsäulen zusammenfassen:

Gewährleisten Sie die Sicherheit von Finanzdaten
Verhindern Sie böswillige Manipulationen von Finanzdaten
Verfolgen Sie Versuche von Datenschutzverletzungen und Abhilfemaßnahmen
Halten Sie Ereignisprotokolle für Auditoren leicht verfügbar
Nachweis der Compliance in 90-Tage-Zyklen

Was ist die Geschichte des SOX Act?

Der Sarbanes-Oxley Act wurde 2002 als Reaktion auf mehrere große Finanzskandale erlassen, darunter Enron, Tyco International, Adelphia, Peregrine Systems und WorldCom. Diese Skandale kosteten die Anleger Milliarden von Dollar, als die Aktienkurse der Unternehmen einbrachen und das Vertrauen der Öffentlichkeit in die US-Wertpapiermärkte beeinträchtigten.

Das Gesetz enthält elf Titel, die sich mit zusätzlichen Verantwortlichkeiten in den Leitungsorganen von Unternehmen und strafrechtlichen Sanktionen befassen. Die Durchsetzung und Umsetzung dieser Anforderungen wurde der Securities and Exchange Commission (SEC) überlassen.

Harvey Pitt, der 26. Vorsitzende der SEC, leitete die Verabschiedung der Regeln und schuf das Public Company Accounting Oversight Board (PCAOB), das für die Beaufsichtigung, Regulierung, Inspektion und Disziplinierung von Wirtschaftsprüfungsgesellschaften in ihrer Rolle als Wirtschaftsprüfer börsennotierter Unternehmen zuständig ist. SOX umfasst auch die Unabhängigkeit des Abschlussprüfers, die Corporate Governance, die Bewertung der internen Kontrolle und die erweiterte finanzielle Offenlegung.

Er wurde im Repräsentantenhaus mit 423 Ja-Stimmen, 3 Nein-Stimmen und 8 Enthaltungen sowie 99 Ja-Stimmen und 1 Enthaltung im Senat angenommen.

Bei der Unterzeichnung des SOX-Gesetzes erklärte Präsident George W. Bush, es handele sich um "die weitreichendste Reform der amerikanischen Geschäftspraktiken seit der Zeit von Franklin D. Roosevelt. Die Ära der niedrigen Standards und falschen Profite ist vorbei; keine Vorstandsetage in Amerika steht über oder steht über dem Gesetz."

Das Gesetz wurde nach seinen Befürwortern des Gesetzentwurfs, dem US-Senator Paul Sarbanes (D-MD) und dem US-Repräsentanten Michael G. Oxley (R-OH), benannt.

Kanada (2002), Deutschland (2002), Südafrika (2002), Türkei (2002), Frankreich (2003), Australien (2004), Indien (2005), Japan (2006), Italien (2006) und Israel (2006) sind seitdem den Vereinigten Staaten gefolgt und haben ihre eigenen SOX-ähnlichen Vorschriften eingeführt.

Wer muss SOX einhalten?

Alle börsennotierten Unternehmen, hundertprozentigen Tochtergesellschaften und ausländischen Unternehmen, die börsennotiert sind und in den Vereinigten Staaten Geschäfte tätigen, müssen SOX einhalten. SOX gilt auch für Wirtschaftsprüfungsgesellschaften, die börsennotierte Unternehmen prüfen.

SOX stellt eine Barriere zwischen der Wirtschaftsprüfungsfunktion und den Wirtschaftsprüfungsgesellschaften dar. Die Firma, die die Bücher einer Aktiengesellschaft prüft, darf nicht mehr die Buchhaltung, Prüfungen oder Unternehmensbewertungen des Unternehmens durchführen und ist auch nicht mehr berechtigt, Informationssysteme zu entwerfen oder zu implementieren, Anlageberatungs- und Bankdienstleistungen zu erbringen oder in anderen Managementfragen zu beraten.

Private Unternehmen, Wohltätigkeitsorganisationen und gemeinnützige Organisationen müssen in der Regel nicht alle SOX-Vorschriften einhalten, sollten jedoch nicht wissentlich Finanzinformationen vernichten oder fälschen. SOX verhängt auch Strafen gegen Organisationen bei Nichteinhaltung.

Darüber hinaus greift der Hinweisgeberschutz, wie z.B. die Vergeltung gegen jemanden, der einem Strafverfolgungsbeamten Informationen über eine mögliche Bundesstraftat zur Verfügung stellt und mit bis zu 10 Jahren Freiheitsstrafe bestraft wird.

Private Unternehmen, die ihren Börsengang (IPO) planen, müssen die SOX-Anforderungen erfüllen, bevor sie an die Börse gehen.

Schließlich enthält SOX Mandate bezüglich der Einrichtung von Kontrollen des Lohn- und Gehaltsabrechnungssystems. Die Belegschaft, Gehälter, Sozialleistungen, Anreize, bezahlte Freizeit und Schulungskosten eines Unternehmens müssen berücksichtigt werden. Bestimmte Arbeitgeber müssen ein Ethikprogramm einführen, das einen Ethikkodex, einen Kommunikationsplan und Mitarbeiterschulungen umfasst.

SOX-Compliance- und IT-Abteilungen

Die Zusammenarbeit der IT-Abteilungen ist für die SOX-Compliance von entscheidender Bedeutung, da ihre Bemühungen notwendig sind, um die Sicherheit von Finanzdaten und die Verfügbarkeit von Finanzunterlagen zu gewährleisten.

Die IT-Abteilung muss Unterlagen vorlegen, die belegen, dass die internen Prozesse des Unternehmens innerhalb der im Sarbanes-Oxley Act festgelegten Datensicherheitsschwellenwerte liegen.

Um ihre spezifischen Compliance-Verpflichtungen zu erfüllen, müssen IT-Abteilungen:

Zuverlässige Kenntnis aller Richtlinien für den Zugriff auf Berechtigungen
Verstehen der aktuellen Protokollverwaltungsstandards für alle Finanzunterlagen
Seien Sie offen für mehr Transparenz bei der Sicherheit von Finanzdaten.
Streben Sie nach einer kontinuierlichen Verbesserung der Prozesse zur Behebung von Sicherheitsrisiken.
Streben Sie nach der Unbestechlichkeit und kontinuierlichen Zuverlässigkeit aller Finanzdaten

Die Abschnitte 302 und 404 des SOX-Gesetzes legen Berichtsparameter für IT-Abteilungen fest, um zu verhindern, dass interne und externe Agenten Finanzinformationen böswillig ändern.

Erfahren Sie mehr über die Best Practices für die Compliance-Überwachung.>

Was sind die SOX-Compliance-Anforderungen für 2023?

Um die SOX-Vorschriften einzuhalten, müssen Unternehmen eine jährliche Prüfung ihrer Jahresabschlüsse durchführen. Ziel dieser Prüfung ist es, die Integrität aller Datenverarbeitungsprozesse und Jahresabschlüsse zu bestätigen. Das zu prüfende börsennotierte Unternehmen muss einen Nachweis über alle internen SOX-Kontrollen erbringen, um die Datensicherheit und eine genaue Finanzberichterstattung zu gewährleisten.

Als die wichtigsten SOX-Complianceanforderungen gelten 302, 404, 409, 802 und 906. Die Einhaltung von Vorschriften in diesen Bereichen ist besonders wichtig für Organisationen, die sich mit dem Datenschutz befassen.

§ 302 Unternehmensverantwortung für Finanzberichte

Jedes börsennotierte Unternehmen muss periodische Jahresabschlüsse und die interne Kontrollstruktur bei der SEC einreichen.

Abschnitt 302 besagt, dass der Chief Executive Officer (CEO) und der Chief Financial Officer (CFO) direkt für die Richtigkeit, Dokumentation und Übermittlung aller Finanzberichte und der internen Kontrollstruktur an die SEC verantwortlich sind.

Darüber hinaus sind sie für die Einrichtung und Aufrechterhaltung interner SOX-Kontrollen verantwortlich und müssen diese Kontrollen innerhalb von 90 Tagen vor der Veröffentlichung des Berichts validieren.

§ 404 Beurteilung der internen Kontrollen durch das Management

Abschnitt 404 ist der komplizierteste, umstrittenste und teuerste Teil aller SOX-Complianceanforderungen. Sie verlangt, dass alle Jahresfinanzberichte einen internen Kontrollbericht enthalten, aus dem hervorgeht, dass die Geschäftsleitung für eine "angemessene" interne Kontrollstruktur verantwortlich ist, und eine Beurteilung der Wirksamkeit der Kontrollstruktur durch die Geschäftsleitung.

Allfällige Mängel sind ebenfalls zu melden. Darüber hinaus muss ein registrierter unabhängiger Wirtschaftsprüfer die Richtigkeit der Behauptung der Unternehmensleitung bestätigen, dass die internen Rechnungslegungskontrollen und der interne Kontrollrahmen vorhanden, funktionsfähig und wirksam sind.

Sowohl die Geschäftsleitung als auch der externe Abschlussprüfer sind dafür verantwortlich, ihre Beurteilung im Rahmen einer Top-down-Risikobewertung durchzuführen, die von der Geschäftsleitung verlangt, dass sie den Umfang ihrer Beurteilung und die gesammelten Nachweise auf das Risiko stützt.

Abschnitt 409: Echtzeit-Offenlegung von Emittenten

Das Wesentliche von Abschnitt 409 besteht darin, dass Unternehmen alle wesentlichen Änderungen der Finanzlage oder der Geschäftstätigkeit nahezu in Echtzeit offenlegen müssen. Damit sollen die Interessen der Anleger und der Öffentlichkeit geschützt werden.

§ 802 Strafrechtliche Sanktionen für die Veränderung von Dokumenten

§ 802 sieht Strafen von bis zu 20 Jahren Gefängnis für die Veränderung, Zerstörung, Verstümmelung, Verheimlichung oder Fälschung von Finanzunterlagen, Dokumenten oder materiellen Gegenständen mit der Absicht vor, rechtliche Ermittlungen zu behindern, zu behindern oder zu beeinflussen.

Darüber hinaus verhängt es Strafen von bis zu 10 Jahren gegen jeden Buchhalter, Wirtschaftsprüfer oder andere, der wissentlich und vorsätzlich gegen die Anforderungen an die Aufbewahrung aller Prüfungs- oder Überprüfungsunterlagen für einen Zeitraum von 5 Jahren verstößt.

Abschnitt 806: Sarbanes Oxley Whistleblower

Abschnitt 806 fördert die Offenlegung von Unternehmensbetrug, indem er Mitarbeiter von börsennotierten Unternehmen und deren Tochtergesellschaften schützt, die illegale Aktivitäten melden. Es ermächtigt das US-Arbeitsministerium, Whistleblower-Beschwerden gegen Arbeitgeber zu schützen, die Vergeltungsmaßnahmen ergreifen, und ermächtigt das Justizministerium ferner, die für die Vergeltungsmaßnahmen Verantwortlichen strafrechtlich anzuklagen.

§ 906 Corporate Responsibility für Finanzberichte

Die strafrechtliche Strafe für die Zertifizierung eines irreführenden oder betrügerischen Finanzberichts kann Geldstrafen in Höhe von bis zu 5 Millionen US-Dollar und 20 Jahre Gefängnis betragen.

Welche Strafen drohen bei Nichteinhaltung von SOX?

Zu den formellen Strafen für die Nichteinhaltung von SOX gehören Geldstrafen, der Ausschluss von Delistings von öffentlichen Börsen und die Ungültigkeit von D&O-Versicherungspolicen. Nach dem Gesetz können CEOs und CFOs, die vorsätzlich eine falsche Zertifizierung bei einem SOX-Compliance-Audit einreichen, mit Geldstrafen von 5 Millionen US-Dollar und bis zu 20 Jahren Gefängnis rechnen.

Was ist ein SOX-Compliance-Audit?

Ein SOX-Compliance-Audit ist eine vorgeschriebene jährliche Bewertung, wie gut Ihr Unternehmen seine internen Kontrollen verwaltet, und die Ergebnisse werden den Aktionären zur Verfügung gestellt. Der Hauptzweck eines SOX-Compliance-Audits besteht darin, die Echtheit der Jahresabschlüsse eines Unternehmens zu überprüfen, jedoch wird die Cybersicherheit zu einem immer wichtigeren Faktor bei SOX-Audits.

Unternehmen beauftragen unabhängige Prüfer, um das SOX-Audit durchzuführen, da sie von allen anderen Audits getrennt sein müssen, um Interessenkonflikte zu vermeiden, die zu Manipulationen oder anderen Problemen führen könnten.

Auditoren können auch Mitarbeiter befragen und überprüfen, ob Compliance-Kontrollen ausreichend sind, um SOX-Compliance-Standards aufrechtzuerhalten. Insbesondere erfordern die SOX-Abschnitte 302, 404 und 409, dass die folgenden Parameter und Bedingungen überwacht, protokolliert und überwacht werden müssen:

Interne Kontrollen
Aktivitäten des Netzwerks
Datenbank-Aktivität
Anmeldeaktivität (Erfolg und Fehler)
Konto-Aktivitäten
Benutzeraktivität
Zugang zu Informationen

Die digitale Transformation erweitert das Spektrum potenzieller Wege zu Prozessen im Umgang mit Finanzdaten und macht Finanzprozesse zunehmend anfällig für cyberkriminelle Kompromittierungen. Zukünftige SOX-Audits werden sich wahrscheinlich mehr auf die Rolle der internen Kontrolle und der Cybersicherheits-Frameworks bei der Aufrechterhaltung der Integrität von Finanzdaten konzentrieren.

Um sich auf diese unvermeidliche Zukunft vorzubereiten, müssen Finanzunternehmen Lösungen zur Überwachung der Angriffsfläche implementieren, um ihre privaten Daten zu schützen.

So bereiten Sie sich auf ein SOX-Compliance-Audit im Jahr 2023 vor

Aktualisieren Sie Ihre Berichts- und internen Auditsysteme, damit Sie jeden vom Prüfer angeforderten Bericht schnell abrufen und sicherstellen können, dass Ihre SOX-Compliance-Software wie vorgesehen funktioniert, damit es keine unvorhergesehenen Probleme gibt.

Ihr SOX-Auditor konzentriert sich im Rahmen des jährlichen Audits auf vier wichtige interne Kontrollen. Um SOX-konform zu sein, muss Ihre Organisation 4 primäre Sicherheitskontrollen nachweisen:

1. Sichere Verwaltung der Zugriffskontrolle

Zutrittskontrolle bedeutet physische Kontrollen wie Türen, Ausweise und Schlösser sowie elektronische Steuerungen wie rollenbasierte Zutrittskontrolle (RBAC), das Prinzip der geringsten Rechte und Berechtigungsprüfungen.

Durch die Beibehaltung eines robusten permissiven Zugriffsmodells können Sie nachweisen, dass jeder Benutzer nur Zugriff auf das hat, was er für seine Arbeit benötigt. Die Beschränkung des Benutzerzugriffs auf die erforderlichen Kontrollen kann das Risiko eines unbefugten Zugriffs im Falle einer Sicherheitsverletzung erheblich verhindern.

Erfahren Sie mehr über die > der Zugriffskontrolle

2. Demonstrieren Sie ein widerstandsfähiges Cybersicherheits-Framework

Sicherheit bedeutet, dass Sie Sicherheitskontrollen nachweisen können, die Datenschutzverletzungen verhindern, Datenlecks schließen und Cyberbedrohungen eindämmen. Dazu gehören in der Regel das Risikomanagement von Anbietern, die kontinuierliche Sicherheitsüberwachung und das Management der Angriffsfläche.

UpGuard Vendor Risk kann Ihnen dabei helfen, die externe Sicherheitslage von Drittanbietern kontinuierlich zu bewerten, und UpGuard BreachSight findet automatisch Datenlecks und Angriffsvektoren in Ihrer Angriffsfläche. Sie helfen auch bei der Berichterstattung an den Vorstand, die Aktionäre und das Management, indem sie leicht verständliche Wertpapierbewertungen erstellen.

3. Demonstrieren Sie Datensicherungsprotokolle

SOX verlangt von Finanzdienstleistungsunternehmen, dass sie SOX-konforme Backups aller Finanzunterlagen extern durchführen. Jedes zentrale Rechenzentrum, das gesicherte Daten enthält, wird ebenfalls durch SOX reguliert.

Erfahren Sie, wie Sie Datenschutzverletzungen > minimieren können

4. Veränderungsmanagement

SOX erfordert, dass Sie Prozesse definiert haben, um Benutzer hinzuzufügen und zu verwalten, neue Software zu installieren und Änderungen an Datenbanken oder Anwendungen vorzunehmen, die die Finanzen Ihres Unternehmens verwalten.

Eine gute Möglichkeit, dies zu dokumentieren, ist das Konfigurationsmanagement.

Was hat die SOX-Compliance mit der Datensicherheit zu tun?

Für IT-Abteilungen und Führungskräfte ist die Einhaltung von SOX ein wichtiges Daueranliegen. SOX-Compliance ist jedoch mehr als nur das Bestehen eines Audits. Geeignete Data-Governance-Prozesse und -Verfahren haben eine Reihe von greifbaren Vorteilen für Ihr Unternehmen.

Laut einer Umfrage aus dem Jahr 2019:

57 % profitieren von verbesserten internen Kontrollen der Finanzberichterstattungsstruktur
51 % verbessertes Verständnis des Steuerungsdesigns und der Betriebseffektivität der Steuerung
47 % sahen eine kontinuierliche Verbesserung der Geschäftsprozesse

Was sind die Vorteile der SOX-Compliance?

Als SOX in aller Eile verabschiedet wurde, fragten sich viele Führungskräfte, warum sie den gleichen Compliance-Lasten ausgesetzt sein sollten wie diejenigen, die unehrlich oder fahrlässig gehandelt hatten. Kleinere Unternehmen beschwerten sich über die Monopolisierung der Zeit der Führungskräfte und die Compliance-Kosten in Millionenhöhe.

Die SOX-Compliance kommt allen börsennotierten Unternehmen zugute, indem sie ein grundlegendes Maß an finanzieller Sicherheit vermittelt und das Vertrauen der Anleger, des Vertrauens der Stakeholder und der Marktsicherheit fördert.

SOX bietet Führungskräften einen Grund, einen Teil der Unternehmensgewinne in die Verbesserung der Finanzmanagementprozesse und -fähigkeiten umzuleiten, was die Aktionäre schützt, das Risiko von Klagen verringert und die Unternehmensabläufe verbessert, indem es ihnen hilft, schlechte Entscheidungen zu vermeiden.

Der SOX Act hat es Unternehmen ermöglicht, wichtige Finanzprozesse zu standardisieren und zu konsolidieren, redundante Informationssysteme zu eliminieren, Inkonsistenzen in ihren Richtlinien zur Verhinderung von Datenverlusten zu minimieren, manuelle Prozesse zu automatisieren, die Anzahl der Übergaben zu reduzieren und unnötige Kontrollen zu eliminieren.

Kurz gesagt, die größten Vorteile der SOX-Compliance sind:

Verstärktes Kontrollumfeld
Verbesserte Dokumentation
Verstärkte Einbindung des Prüfungsausschusses
Chancen der Konvergenz
Standardisierte Prozesse
Reduzierte Komplexität
Stärkung der Schwachstellen
Minimierung menschlicher Fehler

Häufige Herausforderungen bei der SOX-Compliance

Es gibt zwei häufige SOX-Compliance-Herausforderungen, mit denen die meisten Unternehmen konfrontiert sind:

1. Probleme mit Tabellenkalkulationen und Endbenutzern

Tabellenkalkulationen sind nach wie vor ein fester Bestandteil des SOX-Workflows, was zum Teil auf ihre Fähigkeit zurückzuführen ist, Daten über verschiedene Dokumente hinweg zu verknüpfen und grundlegende Aufgaben zu automatisieren. Moderne Audit-Projekte erfordern jetzt jedoch mehr Attribute und Details zu Kontrollen, was zu Problemen mit der Versionskontrolle, unvollständigen oder unvollständigen Daten, Tippfehlern, gelöschten Daten, der Analyse unvollständiger Datensätze und Prozessverantwortlichen führen kann, die im Dunkeln gelassen werden.

2. Steigende Kosten und Ressourcen

Während SOX viele Vorteile für die Finanzberichterstattung und die Datensicherheit mit sich gebracht hat, steigen die Kosten für die Einhaltung von SOX weiter an.

Bemerkenswerte Organisationen und Frameworks

Der Sarbanes-Oxley Act umfasst über 60 Seiten und hat eine Reihe von verwandten Konzepten, Ausschüssen und Richtlinien hervorgebracht, die sich auf den Prüfungsprozess beziehen:

Das Public Company Accounting Oversight Board (PCAOB): Eine gemeinnützige Gesellschaft, die durch den Sarbanes-Oxley Act gegründet wurde, um die Prüfungen von börsennotierten Unternehmen und anderen Emittenten zu überwachen, um die Interessen der Anleger und der Öffentlichkeit zu schützen. Die PCAOB beaufsichtigt auch die Prüfungen von Broker-Dealern, einschließlich Compliance-Berichten, die gemäß den Bundeswertpapiergesetzen eingereicht werden, um den Anlegerschutz zu fördern. Alle PCAOB-Regeln und -Standards werden von der SEC genehmigt.
Das Committee of Sponsoring Organizations of the Treadway Commission (COSO): Eine gemeinsame Initiative zur Bekämpfung von Unternehmensbetrug, die in den Vereinigten Staaten von fünf Organisationen des privaten Sektors gegründet wurde und sich der Beratung der Geschäftsleitung und staatlicher Stellen in relevanten Aspekten der organisatorischen Governance, der Geschäftsethik, der internen Kontrolle, des Geschäftsrisikomanagements, des Betrugs und der Finanzberichte widmet. COSO hat ein gemeinsames internes Kontrollmodell etabliert, anhand dessen Unternehmen und Organisationen ihre Kontrollsysteme bewerten können.
Control Objectives for Information and Related Technologies (COBIT): COBIT ist ein von ISACA entwickeltes Framework für IT-Management und IT-Governance. Das Framework definiert eine Reihe von generischen Prozessen für das IT-Management, wobei jeder Prozess zusammen mit Prozessein- und -ausgaben, wichtigen Prozessaktivitäten, Prozesszielen, Leistungskennzahlen und einem elementaren Reifegradmodell definiert wird.
Das Information Technology Governance Institute (ITGI): Ein IT-Framework zur Erreichung der SOX-Compliance, das COBIT und COSO verwendet, sich aber auf Sicherheit statt auf allgemeine Compliance konzentriert.

SOX-Compliance-Checkliste 2023 (kostenloser Download)

Der Grad der Einhaltung des Sarbanes-Oxley Act von 2002 durch Ihre Organisation kann anhand der folgenden Fragen bewertet werden. Um den Überblick über jedes angesprochene Element bequem zu behalten, können diese Fragen in Form eines editierbaren PDFs heruntergeladen werden, indem Sie dem unten stehenden Link folgen

Laden Sie die SOX-Compliance-Checkliste >
herunter

Haben Sie eine Lückenanalyse im Vergleich zu Ihren bestehenden Kontrollen und den Sicherheitsanforderungen von SOX durchgeführt?

Haben Sie einen Prozess zur laufenden Messung der SOX-Compliance (kontinuierlich aktualisierte Gap-Analyse)?

Verwenden Sie ein allgemein anerkanntes Framework wie COSO, COBIT, ITGI oder eine Kombination aus den dreien?

Verfügen Sie über Informationssicherheitsrichtlinien, die beschreiben, wie Buchhaltungsinformationssysteme, die Finanzdaten verarbeiten, erstellt, geändert und gepflegt werden?

Haben Sie alle vorhandenen Sicherheitskontrollen und -richtlinien dokumentiert?

Gibt es Sicherheitsvorkehrungen, um Datenmanipulationen zu verhindern und Datenlecks zu erkennen? Wenn ja, wurden sie getestet?

Gibt es einen Incident-Response-Plan für Sicherheitsverletzungen?

Wird der Zugriff auf sensible Informationen überwacht und aufgezeichnet?

Wurden frühere Verstöße und Versäumnisse von Sicherheitsvorkehrungen den Auditoren offengelegt?

Sind Systeme vorhanden, um Anzeichen für eine Sicherheitsverletzung zu erkennen?

Sind Prozesse für die automatische Protokollierung von Sicherheitsereignissen in Incident-Management-Systemen vorhanden?

Ermöglichen Ihre Incident-Management-Systeme dem Sicherheitspersonal, Details zu den Abhilfemaßnahmen einzureichen?

Ist das Sammeln gültiger SAS 70-Berichte von allen relevanten Serviceorganisationen Teil Ihres Risikomanagement-Frameworks für Drittanbieter?

Ist Ihre SOX-Compliance-Software auf dem neuesten Stand und frei von Warnungen?

Haben Sie SOX-Auditoren den für ihre Arbeit erforderlichen Zugriff gewährt?

Führen Sie regelmäßige SOX-Compliance-Statusberichte?

Verfügen Sie über Prozesse, um eine genaue und aktuelle Erstellung von Finanzberichten zu gewährleisten?

Verwenden Sie die Datenklassifizierung, um die Überwachung und Durchsetzung von Unternehmensrichtlinien für die Datenverarbeitung zu vereinfachen?

Können Sie den Auditoren sicher nachweisen, dass alle erforderlichen Kontrollen, Prozesse und Verfahren für die SOX-Compliance vorhanden sind?

Haben der CEO und der CFO alle Finanzberichte unterschrieben, um deren Wahrheitsgehalt zu bestätigen?

Wurden alle Finanzberichte bei der Security Exchange Commission (SEC) eingereicht?

Wurde ein vorläufiges internes Audit durchgeführt, um etwaige Compliance-Mängel zu bewerten?

Gibt es Prozesse für die Veröffentlichung von Echtzeit-Updates über wichtige Änderungen der finanziellen Situation des Unternehmens und/oder der Fähigkeit, effektiv zu arbeiten, für Investoren und die Öffentlichkeit?

Gibt es Prozesse zur Erkennung betrügerischer oder irreführender Einträge in Finanzberichte?

Sind physische und elektronische Maßnahmen vorhanden, um unbefugten Zugriff auf sensible Informationen zu verhindern?

Können Sie in Echtzeit nachvollziehen, wer auf Daten zugegriffen und/oder diese geändert hat, die für SOX-Bestimmungen relevant sind?

Haben die Mitarbeiter eine Schulung zum Sicherheitsbewusstsein absolviert, in der erklärt wird, wie sie potenzielle cyberkriminelle Aktivitäten wie Phishing-E-Mails erkennen und melden können?

Sind zuverlässige Backup-Prozesse vorhanden, um die Geschäftskontinuität im Falle einer vollständigen Systemkompromittierung, z. B. bei Ransomware-Angriffen, zu gewährleisten?

Verfolgen Sie alle Anmeldeversuche sensibler Assets (insbesondere Ressourcen, die sensible Finanzdaten enthalten)?

Wenden Sie Zeitstempel auf Sitzungen an, die den Zugriff auf Finanzdaten beinhalten, die für SOX-Bestimmungen relevant sind?

Sind alle sensiblen Finanzdaten verschlüsselt (sowohl im Ruhezustand als auch während der Übertragung)?

Können Sie Berichte für ausgewählte Beamte erstellen, in denen der tägliche Wirksamkeitsstatus aller SOX-Kontrollmaßnahmen aufgeführt ist?

Können Sie Berichte zu Sicherheitsvorfällen für SOX-Auditoren erstellen, in denen aufgeführt ist, welche Ereignisse erfolgreich behoben wurden und welche nicht?

Haben Sie SOX-Auditoren Zugriff auf alle relevanten Systeme und Datenströme gegeben?

Ist der gesamte Systemzugriff für SOX-Auditoren schreibgeschützt?