A SOX törvény alapjai és informatikai vonatkozásai

A SOX törvény alapjai és informatikai vonatkozásai Dr. Balla Katalin BME-IIT - SQI Magyar Szoftverminőség Tanácsadó Intézet Kft. CIO 08 Hangszerelés változásszimfóniára Siófok, 2008. 04.17-18

Tartalom Bevezetés Mi is a SOX? A SOX informatikai vonatkozásai Hozzáférhető ellenőrzési keretrendszer Hogyan támogatja a CMMI a SOX-ot? Következtetések 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 2 / 59

Bevezetés Bemutatkozás Tapasztalatok szoftverfejlesztő cégek körében ismert szoftverminőségi megközelítésekről Folyamat alapú megközelítések (ISO 9001:2000, (CMM), CMMI, Automotive Spice, AQAP ) Termék alapú megközelítések (ISO 9126, CC ) Tanúsítások A SOX megjelent a szoftverminőségi szabványok között, kapcsolódni látszik ezekhez Érdemes megvizsgálni a kapcsolódást! 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 3 / 59

Mi is a SOX? Sarbanes-Oxley Act of 2002 An Act to protect investors by improving the accuracy and reliability of corporate disclosures made pursuant to the securities laws, and for other purposes Előterjesztette: Paul Sarbanes szenátor és Michael G. Oxley kongresszusi képviselő A befektetők érdekében született Szigorú előírásokat ad: A vállalkozások pénzügyi jelentéseire és ezek előállításával kapcsolatos ellenőrzési rendszerre A jelentés megbízhatóságára és a kapcsolódó felügyeleti kötelezettségekre Részletesen kitér az információs erőforrásokkal kapcsolatos műveletek szabályozására 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 5 / 59

Mi is a SOX? Cél A testületi vezetés erősítése és a befektetők bizalmának visszaállítása Előzmények A befektetőket megtévesztő / lakosságot megkárosító hamis pénzügyi jelentések, körbeszámlázás Enron, WorldCom, Texaco, Conseco, Suprema Specialities Inc. Securities Act of 1933 Securities Exchange Act of 1943 Kire vonatkozik Az USA tőzsdén jelen levő cégekre Különbséget tesz nagy és kis cég között Az ellenőrzési rendszer megfeleléséért és a szükséges óvintézkedések megtételéért a tőzsdén szereplő vállalkozások első számú vezetője és a pénzügyi vezető a felelős 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 6 / 59

Mi is a SOX? Kiemelt elemek a SOX-ban / a SOX-szal kapcsolatban Új felelősségek az Igazgatótanács számára Új felelősségek a tőzsdén jelen levő cégek vezetősége számára Több hatalmat kap a SEC (Security and Echange Comission ~ USA Értékpapírforgalmat és a tőzsdét felügyelő bizottsága) A SOX értelmében létrehozták a PCAOB-t az Rt.-k auditorainak felügyeletére (non-profit szervezet, US Public Company Accounting Oversight Board ~ USA Számviteli Felügyeleti Tanács) Szigorú büntető intézkedések a törvény előírásait be nem tartóknak 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 7 / 59

Mi is a SOX? Struktúra Bevezetés I. Public company oversight board (101.-109. szakasz) II. Auditor independence (201.-209. szakasz) III. Corporate responsibility (301.-308. szakasz) IV. Enhanced financial disclosures (401.-409. szakasz) V. Analyst conflict of interest (501. szakasz) VI. Commission resources and authority (601.-604. szakasz) VII. Studies and reports (701.-705. szakasz) VIII. Corporate and criminal fault accountability (801.-807. szakasz) IX. White-collar crime penalty enhancements (901.-906. szakasz) X. Corporate tax returns (1001. szakasz) XI. Corporate fraud and accountability (1101.-1107. szakasz) 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 8 / 59

Mi is a SOX? Pontosan mit ír elő a SOX? Menedzsment 302. szakasz: A CEO/CFO Által kiadott hitelesítés Ellenőrzések és folyamatok Belső ellenőrzés és pénzügyi jelentés Menedzsment és auditorok Közzététel / beszámolók 404 szakasz: A felsővezetés éves jelentései és az auditor tanúsítása / hitelesítése Hivatkozás: 906. szakasz 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 9 / 59

Mi is a SOX? Pontosan mit ír elő a SOX? A felsővezető + pénzügyi vezető ne csak az anyag helyességét szavatolják (aláírásukkal), hanem az adatok helyességét biztosító ellenőrzési intézkedések, eljárások a teljes ellenőrzési rendszer megfelelését Feladatuk az ellenőrzési rendszer megtervezése, kialakítása, karbantartása A jelentés elkészítése előtt 90 nappal mindig rendszeresen értékeljék a belső ellenőrzési rendszer célnak való megfelelését Jelentsenek minden hiányosságot, mely negatívan befolyásolja a pénzügyi adatok Rögzítését Feldolgozását Összegzését Jelentését 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 10 / 59

Mi is a SOX? Pontosan mit ír elő a SOX? Gondolni kell a csalás minden lehetőségére, a csalásokat minden eszközzel meg kell akadályozni A munkatársak ártó szándékkel ne törölhessenek vagy módosíthassanak adatokat A feljegyzések, dokumentumok védelme 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 11 / 59

A SOX informatikai vonatkozásai Az amerikai tőzsdén jelenlevő informatikai cégeknek önmagukra kell alkalmazni a törvényt, annak minden vonatkozásával A cégek informatikai részlegei, tanácsadók, szoftvergyártók és forgalmazók támogathatják a SOX-ot alkalmazó cégeket Folyamatok kialakítása, dokumentálása Belső ellenőrzési rendszer kialakítása Dokumentumok, feljegyzések, információ védelmének biztosítása / garantálása Dokumentumkezelő rendszerek Informatikai biztonsági megfontolások A cég üzleti folyamatait és a cégnek az üzleti életben való boldogulását támogató alkalmazói rendszerek Minden szempontból vizsgált megbízható működés 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 13 / 59

A SOX informatikai vonatkozásai Az alkalmazói rendszerek funkcionális megfelelőségéből és adataik érzékenységéből a törvény szerint eredő követelmények 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 14 / 59

A SOX informatikai vonatkozásai Követelmények a cég dokumentációs rendszerére és az auditorok dokumentumkezelésére vonatkozóan 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 15 / 59

Hozzáférhető ellenőrzési keretrendszer 2006: IS Control Objectives for Sarbanes-Oxley A SOX követelményeinek informatikai oldali kezelésére 2006-ban A 404. szakasz követelményeinek kielégítésére COSO ISACA???? 1985: Comission of Fraudulent Financial Reporting 2003: a SEC javasolja a COSO-t = szabvány 1992: COSO Framework : Internal Control 2004: COSO Framework: Integrated Enterprise COBIT ITIL ISO 27701 : Information Technology Security techniques Information security management systems - Requirements CMMI 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 17 / 59

A COSO célja Belső ellenőrzési keretrendszer leírása, amely Egy közös 2.4.3. fejezet, 3. oldal A vállalati belső ellenőrzési rendszer a COSO értelmezésében Ennelőrzési környezet Kockézatbecslés Ellenőrtési tevkenységek Információ és kommunikáció felügyelet 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 18 / 59

Hozzáférhető ellenőrzési keretrendszer A COSO implementálása A rajz hogy mit mivel támogatunk (felépül, több slide-on keresztül) 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 19 / 59

Hogyan támogatja a CMMI a SOX-ot? 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 21 / 59

Következtetések A SOX megjelent a szoftverminőségi szabványok között, kapcsolódik ezekhez bár nem szoftverminőségi szabvány! Sok más szabvány / megközelítés alkalmazása szükséges ahhoz, hogy a SOX-ból eredő követelmények informatikai vonatkozásait megértsük, alkalmazzuk 2008.04.17-18 A SOX alapjai és informatikai vonatkozásai 23 / 59