تحليلات و Sarbanes-Oxley

إدارة توافق SOX مع أدوات BI ذاتية الخدمة مثل Qlik و Tableau و PowerBI

في العام المقبل ، سيكون SOX كبيرًا بما يكفي لشراء البيرة في تكساس. وُلدت من "قانون إصلاح محاسبة الشركات العامة وحماية المستثمر" ، المعروف بعد ذلك بأسماء أعضاء مجلس الشيوخ الذين رعوا مشروع القانون ، قانون Sarbanes-Oxley لعام 2002. كان Sarbanes-Oxley من نسل قانون الأوراق المالية لعام 1933 الذي كان هدفه الرئيسي حماية المستثمرين من الاحتيال من خلال توفير الشفافية في الشؤون المالية للشركات. وباعتباره سلالة هذا الفعل ، عزز ساربينز أوكسلي تلك الأهداف وحاول تعزيز المساءلة من خلال الممارسات التجارية الجيدة. لكن ، مثل العديد من الشباب ، ما زلنا نحاول معرفة ذلك. بعد مرور عشرين عامًا ، لا تزال الشركات تحاول معرفة الآثار المترتبة على القانون بالنسبة لها على وجه التحديد ، وكذلك أفضل السبل لبناء شفافية متزايدة في التكنولوجيا والأنظمة الخاصة بها لدعم الامتثال.

من المسؤول؟

خلافًا للاعتقاد الشائع ، لا ينطبق نظام Sarbanes-Oxley على المؤسسات المالية فقط ، أو على القسم المالي فقط. هدفها هو توفير قدر أكبر من الشفافية في جميع البيانات التنظيمية والعمليات ذات الصلة. من الناحية الفنية ، تنطبق Sarbanes-Oxley فقط على الشركات المتداولة علنًا ، ولكن متطلباتها سليمة لأي عمل تجاري جيد الإدارة. القانون يجعل الرئيس التنفيذي والمدير المالي مسؤولين شخصيًا عن البيانات المقدمة. يعتمد هؤلاء المسؤولون ، بدورهم ، على CIO و CDO و CSO لضمان أن أنظمة البيانات آمنة ونزاهة وقادرة على توفير المعلومات اللازمة لإثبات الامتثال. في الآونة الأخيرة ، أصبحت الرقابة والامتثال أكثر تحديًا لمدراء تقنية المعلومات وأقرانهم. تبتعد العديد من المؤسسات عن المؤسسات التقليدية وأنظمة التحليلات التي تديرها تكنولوجيا المعلومات وأنظمة ذكاء الأعمال. بدلاً من ذلك ، فهم يعتمدون أدوات الخدمة الذاتية التي يقودها خط الأعمال مثل Qlik و Tableau و PowerBI. هذه الأدوات ، حسب التصميم ، لا تدار مركزيًا.

تغيير الإدارة

أحد المتطلبات الرئيسية للامتثال للقانون هو تحديد الضوابط المعمول بها وكيفية تسجيل التغييرات في البيانات أو التطبيقات بشكل منهجي. بمعنى آخر ، نظام إدارة التغيير. يجب مراقبة الأمن والبيانات والوصول إلى البرامج ، وكذلك ما إذا كانت أنظمة تكنولوجيا المعلومات لا تعمل بشكل صحيح. لا يعتمد الامتثال على تحديد السياسات والعمليات لحماية البيئة فحسب ، بل يعتمد أيضًا على القيام بذلك فعليًا والقدرة في النهاية على إثبات أنه تم القيام به. تمامًا مثل سلسلة احتجاز أدلة الشرطة ، فإن الامتثال لقانون Sarbanes-Oxley لا يقل قوة إلا عن أضعف حلقاته.  

الحلقة الضعيفة

بصفتي مبشرًا للتحليلات ، فإنه يؤلمني أن أقول هذا ، لكن الحلقة الأضعف في امتثال Sarbanes-Oxley غالبًا ما تكون Analytics أو Business Intelligence. القادة في تحليلات الخدمة الذاتية المذكورين أعلاه - Qlik و Tableau و PowerBI - أصبح التحليل وإعداد التقارير اليوم أكثر يتم إجراؤه بشكل شائع في إدارات خط الأعمال مقارنةً بتكنولوجيا المعلومات. ينطبق هذا بشكل أكبر على أدوات التحليلات مثل Qlik و Tableau و PowerBI التي أتقنت نموذج BI للخدمة الذاتية. تركز معظم الأموال التي تنفق على الامتثال على الأنظمة المالية والمحاسبية. في الآونة الأخيرة ، وسعت الشركات بحق في إعداد المراجعة لتشمل إدارات أخرى. ما وجدوه هو أن برامج إدارة تغيير تكنولوجيا المعلومات الرسمية فشلت في تضمين قواعد البيانات أو مستودعات البيانات / المتاجر بنفس الدقة المستخدمة في التطبيقات والأنظمة.  يندرج مجال الامتثال لسياسات وإجراءات إدارة التغيير ضمن الضوابط العامة ويتم تجميعه مع سياسات وإجراءات تكنولوجيا المعلومات الأخرى الخاصة بالاختبار والتعافي من الكوارث والنسخ الاحتياطي والاسترداد والأمن.

من بين العديد من الخطوات المطلوبة للامتثال للتدقيق ، فإن أحد الأشياء التي غالبًا ما يتم إغفالها هو: "حافظ على مسار نشاط مع تدقيق في الوقت الفعلي ، بما في ذلك من وماذا وأين ومتى لجميع أنشطة المشغل وتغييرات البنية التحتية ، لا سيما تلك التي قد تكون غير مناسبة أو ضارة ".  سواء كان التغيير في إعدادات النظام أو تطبيق برمجي أو البيانات نفسها ، يجب الاحتفاظ بسجل يحتوي على العناصر التالية على الأقل:

• من الذي طلب التغيير
• عندما تم إجراء التغيير
• ما هو التغيير - وصف
• من وافق على التغيير

يعد تسجيل هذه المعلومات حول التغييرات التي تطرأ على التقارير ولوحات المعلومات في أنظمة التحليلات وذكاء الأعمال بنفس الأهمية. بغض النظر عن مكان وجود أداة Analytics و BI في سلسلة التحكم - الغرب المتوحش أو الخدمة الذاتية أو الإدارة المركزية ؛ سواء كانت جداول البيانات (يرتجف) أو Tableau / Qlik / Power BI أو Cognos Analytics - لكي تكون متوافقًا مع Sarbanes-Oxley ، ستحتاج إلى تسجيل هذه المعلومات الأساسية. لا يهتم المدقق إذا كنت تستخدم القلم والورق أو نظامًا آليًا لتوثيق أن عمليات التحكم الخاصة بك يتم اتباعها. أقر بأنه إذا كنت تستخدم جداول البيانات كبرنامج "تحليلات" لاتخاذ قرارات العمل ، فقد تستخدم أيضًا جداول البيانات لتسجيل إدارة التغيير.  

ومع ذلك ، هناك احتمالات جيدة أنه إذا كنت قد استثمرت بالفعل في نظام تحليلات مثل PowerBI أو غيره ، فيجب أن تبحث عن طرق لأتمتة تسجيل التغييرات في نظام ذكاء الأعمال وإعداد التقارير. على الرغم من أنها جيدة ، فقد أهملت أدوات التحليلات الجاهزة مثل Tableau و Qlik و PowerBI تضمين تقارير إدارة تغيير سهلة وقابلة للتدقيق. قم بواجبك المنزلى. اعثر على طريقة لأتمتة توثيق التغييرات في بيئة التحليلات الخاصة بك. والأفضل من ذلك ، كن مستعدًا للتقديم إلى المدقق ، ليس فقط سجل التغييرات على نظامك ، ولكن أن التغييرات تتوافق مع السياسات والعمليات الداخلية المعتمدة.

القدرة على: 

1) إثبات أن لديك سياسات داخلية قوية ، 

2) أن عملياتك الموثقة تدعمها ، و 

3) أن الممارسة الفعلية يمكن تأكيدها 

سيجعل أي مدقق سعيدًا. والجميع يعلم أنه إذا كان المدقق سعيدًا ، فسيكون الجميع سعداء.

تشكو العديد من الشركات من التكاليف الإضافية للامتثال ، وقد تكون تكلفة الامتثال لمعايير SOX مرتفعة. "هذه التكاليف أكثر أهمية بالنسبة للشركات الأصغر والشركات الأكثر تعقيدًا والشركات ذات فرص النمو المنخفضة."  يمكن أن تكون تكلفة عدم الامتثال أعلى.

مخاطر عدم الامتثال

يحمل Sarbanes-Oxley الرؤساء التنفيذيين والمديرين للمساءلة ويعاقبون بما يصل إلى 500,000 دولار و 5 سنوات في السجن. لا تقبل الحكومة في كثير من الأحيان دعوى الجهل أو عدم الكفاءة. إذا كنت مديرًا تنفيذيًا ، فسأريد بالتأكيد أن يتمكن فريقي من إثبات التزامنا بأفضل الممارسات وعرفنا من أجرى كل معاملة. 

شيء اخر. قلت إن Sarbanes-Oxley مخصص للشركات المتداولة علنًا. هذا صحيح ، لكن ضع في اعتبارك كيف أن الافتقار إلى الضوابط الداخلية ونقص الوثائق قد يعيقك إذا أردت في أي وقت تقديم عرض عام.