Sarbanes-Oxley en de gevolgen voor IT. Daniel van Burk 7 november 2005

Maat: px

Weergave met pagina beginnen:

Download "Sarbanes-Oxley en de gevolgen voor IT. Daniel van Burk 7 november 2005"

Oscar van der Horst
7 jaren geleden
Aantal bezoeken:

1 Sarbanes-Oxley en de gevolgen voor IT Daniel van Burk 7 november 2005

2 Even voorstellen... Daniel van Burk Voorzitter van de afdeling Beheer van het NGI Senior Business Consultant bij Atos Consulting Veel ervaring met inrichten IT Service Management Focus op IT compliancy en IT Sourcing vraagstukken Actief in groot SOx-programma als trekker voor IT General Controls 2

3 Inhoud van de lezing Wat houdt de Sarbanes-Oxley (SOx) wetgeving in? Op welke wijze raakt SOx IT? Wat houden de IT General Controls in? 3

4 Sarbanes-Oxley Act of 2002 Goal: To protect investors (after Enron, Worldcom) by improving the accuracy and reliability of corporate disclosures made pursuant to the securities laws, and for other purposes. Congressman Oxley and Sarbanes of the Finance Committee Enacted by the Senate and House of Representatives of the United States of America in Congress, summer The quickest (2 months) law in history 4

5 When trust reduces, the need for transparancy, control increases High Trust Trust me AZIE Tell me Show me Low EUROPA USA Low Transparancy High 5

6 SOx Internal Control Certification Requirements Internal control over financial reporting SOX provision 404 requires a company to report annually on the adequacy of the design and effectiveness of internal control over financial reporting; To be ultimately signed by CEO and CFO and independently attested by the external auditors (under PCAOB standards); To be filed in conjunction with Annual Report (SEC s Form 20-F), for the fiscal year of 2005 and onwards. Non US-based companies compliance has been postponed until Statements Disclosure Controls and Procedures SOX 302 Internal control over financial reporting SOX 404 Internal Controls (TO BE DONE as of 2005) 6

7 This implies... Administrative Organization and Internal Control must be adequate, so no major deficiencies are present in the financial reporting. When material deficiencies are found, those must be disclosed. Every year, the management delivers a statement about the operational effectiveness of the AO/IC over the past year. 7

8 SOx compliance roadmap Source: 8

9 9 Risico van non-compliance is groot

10 10

11 Inhoud van de lezing Wat houdt de Sarbanes-Oxley (SOx) wetgeving in? Op welke wijze raakt SOx IT? Wat houden de IT General Controls in? 11

12 Starting point SOX & IT Programs with key-application controls embedded, must have trusted functionality. This means there must be no more or less functionality than specified and the existing functionality must meet the specifications. The operating effectiveness of the application controls must be guaranteed over a period of time, which can be supported by the IT General Controls. SOx related evidence must be kept undisturbed, and this must be proven. Availability of financial data must be guaranteed, also in case of major continuity problems. 12

13 Control objective SOx An example of control objective SOx SOx AO/IC Put requirements on Put requirements on Application Put requirements on Put requirements on IT procedures Infrastructure Focus on relations and requirements. Results will be Control Objectives for SOx security 13

14 Professioneel IT Beheer is een externe verplichting geworden Voorheen was er alleen een interne drijfveer voor voor verbetering van ontwikkel- en beheerprocessen Nu wordt het aantoonbaar werken volgens ingerichte processen van buitenaf opgelegd De controle door de externe auditor wordt zwaarder en frequenter Bewijslast voor het op orde hebben van key controls moet minimaal 7 jaar worden bewaard na aftekenen van het in control statement Window dressing of zaken slechts tijdelijk op orde hebben werkt niet 14

15 Wat betekent SOx voor medewerkers... Beheersing van risico s moet vast onderdeel van het dagelijkse werk worden Moet in het reguliere proces worden geïncorporeerd en niet meer projectmatig aangepakt Hele jaar door worden de processen getest in verschillende frequenties (wettelijk vastgelegd) Vereist denken over processen en risico s Vereist pro-actieve houding ten aanzien van wijzigingen in processen Wordt elk jaar getest door accountant 15

16 Inhoud van de lezing Wat houdt de Sarbanes-Oxley (SOx) wetgeving in? Op welke wijze raakt SOx IT? Wat houden de IT General Controls in? 16

17 IT General Controls hebben de grootste impact op IT Beheer IT General Controls kent een viertal aandachtsgebieden IT IT General Controls Access to to programs and and data data Program Changes Program development Computer Operations Voor End User Computing geldt veelal een beperkte set controls 17

18 Kenmerken van IT General Controls Generiek karakter: als de onderliggende processen gelijk zijn hoeven controls voor meerdere applicaties maar één keer getest te worden Steunen op processen uit o.a. ITIL, CMM en code voor informatiebeveiliging (BS7799) 18

19 19 Vragen

Vergelijkbare documenten

Sarbanes-Oxley en de gevolgen voor IT Beheer. Daniel van Burk 26 april 2005

Sarbanes-Oxley en de gevolgen voor IT Beheer. Daniel van Burk 26 april 2005 Sarbanes-Oxley de gevolg voor IT Beheer Daniel van Burk 26 april 2005 Ev voorstell... Daniel van Burk Voorzitter van de afdeling Beheer van het NGI Sior Business Consultant bij Atos Consulting Veel ervaring