Analytics kaj Sarbanes-Oxley

Administri SOX-konformecon per memservaj BI-iloj kiel Qlik, Tableau kaj PowerBI

Venontjare SOX estos sufiĉe aĝa por aĉeti bieron en Teksaso. Ĝi estis naskita el la "Public Company Accounting Reform and Investor Protection Act", ame konata poste sub la nomoj de la senatanoj kiuj sponsoris la fakturon, la Sarbanes-Oxley-Leĝon de 2002. Sarbanes-Oxley estis la idoj de la Valorpaperleĝo de 1933 kies ĉefa celo estis protekti investantojn kontraŭ fraŭdo disponigante travideblecon en entreprenan financon. Kiel la epigono de tiu ago, Sarbanes-Oxley plifortikigis tiujn celojn kaj provis antaŭenigi respondigeblecon per bonaj komercpraktikoj. Sed, kiel multaj junaj plenkreskuloj, ni ankoraŭ provas eltrovi ĝin. Post dudek jaroj, kompanioj ankoraŭ provas eltrovi, kiaj la implicoj de la ago estas por ili specife, kaj ankaŭ kiel plej bone konstrui pli grandan travideblecon en siaj teknologioj kaj sistemoj por subteni konformecon.

Kiu respondecas?

Kontraŭe al popolkredo, Sarbanes-Oxley ne validas nur por financaj institucioj, aŭ nur por la financsekcio. Ĝia celo estas provizi pli grandan travideblecon en ĉiuj organizaj datumoj kaj rilataj procezoj. Teknike, Sarbanes-Oxley validas nur por publike komercitaj korporacioj, sed ĝiaj postuloj estas solidaj por iu ajn bone administrita komerco. La Ago igas la ĉefoficiston kaj CFO propre respondecajn pri la datumoj prezentitaj. Ĉi tiuj oficiroj dependas, siavice, de la CIO, CDO kaj CSO por certigi, ke la datumsistemoj estas sekuraj, havas integrecon kaj kapablas disponigi informojn necesajn por pruvi konformecon. Lastatempe, kontrolo kaj observo fariĝis pli defio por CIOoj kaj iliaj kunuloj. Multaj organizoj foriras de tradiciaj entreprenoj, IT-administritaj Analytics kaj Komercaj Inteligentaj sistemoj. Anstataŭe, ili adoptas memservajn ilojn kiel Qlik, Tableau kaj PowerBI. Ĉi tiuj iloj, laŭ dezajno, ne estas administritaj centre.

Ŝanĝi Administradon

Unu el la ŝlosilaj postuloj por plenumo de la Ago estas difini la kontrolojn en loko kaj kiel ŝanĝoj en datumoj aŭ aplikoj devus esti sisteme registritaj. Alivorte, la disciplino de Ŝanĝadministrado. Sekureco, datumoj kaj programaro aliro devas esti monitoritaj, same kiel, ĉu IT-sistemoj ne funkcias ĝuste. Konformeco dependas ne nur de difini la politikojn kaj procezojn por protekti la medion, sed ankaŭ efektive fari ĝin kaj finfine povi pruvi, ke ĝi estis farita. Same kiel polica pruva ĉeno de gardado, plenumo de Sarbanes-Oxley estas nur same forta kiel ĝia plej malforta ligo.  

La Malforta Ligo

Kiel analiza evangeliisto, doloras min diri ĉi tion, sed la plej malforta ligilo en Sarbanes-Oxley-konformeco ofte estas Analytics aŭ Komerca Inteligenteco. La gvidantoj en memserva Analytics menciita supre -Qlik, Tableau kaj PowerBI - Analizo kaj raportado hodiaŭ estas pli kutime farata en komercaj fakoj ol en IT. Ĉi tio estas eĉ pli vera pri Analytics-iloj kiel Qlik, Tableau kaj PowerBI, kiuj perfektigis la memservan BI-modelon. Plej multe da mono elspezita por plenumado koncentriĝis pri financaj kaj kontadaj sistemoj. Pli lastatempe, kompanioj prave vastigis revizian preparadon al aliaj fakoj. Kion ili trovis, ke formalaj programoj pri IT Change Management malsukcesis ampleksi datumbazojn aŭ datumstokejojn/vendejojn kun la sama rigoro uzata por aplikoj kaj sistemoj.  La observo-politikoj kaj proceduroj de Ŝanĝadministrado kategoriiĝas sub Ĝeneralaj Kontroloj kaj estas grupigita kun aliaj IT-politikoj kaj proceduroj de testado, katastrofa reakiro, sekurkopio kaj reakiro kaj sekureco.

El la multaj paŝoj necesaj por plenumi revizion, unu el la aferoj plej ofte preteratentitaj estas: "Konservu agadspuron kun realtempa revizio, inkluzive de kiu, kio, kie kaj kiam de ĉiuj agado de operaciisto kaj infrastrukturaj ŝanĝoj, precipe tiuj kiuj povus esti netaŭgaj aŭ malicaj."  Ĉu la ŝanĝo temas pri sistemaj agordoj, programaro aŭ datumoj mem, rekordo devas esti konservita, kiu enhavas minimume la sekvajn elementojn:

• Kiu petis la ŝanĝon
• Kiam la ŝanĝo estis farita
• Kio estas la ŝanĝo - priskribo
• Kiu aprobis la ŝanĝon

Registri ĉi tiujn informojn pri ŝanĝoj al raportoj kaj paneloj en viaj Analizaj kaj Komercaj Inteligentaj sistemoj estas same grava. Sendepende de kie la Analytics kaj BI-ilo estas sur la kontinuumo de kontrolo - la Sovaĝa Okcidento, memserva, aŭ centre administrita; ĉu kalkultabeloj (ektremo), Tableau/Qlik/Power BI, aŭ Cognos Analytics - por esti konforma al Sarbanes-Oxley, vi devos registri ĉi tiujn bazajn informojn. La revizoro ne zorgas ĉu vi uzas skribilon kaj paperon aŭ aŭtomatigitan sistemon por dokumenti, ke viaj kontrolprocezoj estas sekvataj. Mi koncedas, ke se vi uzas kalkultabelojn kiel vian "analizan" programaron por fari komercajn decidojn, vi eble ankaŭ uzas kalkultabelojn por registri la ŝanĝadministradon.  

Tamen, estas bonaj ŝancoj, ke se vi jam investis en analiza sistemo kiel PowerBI aŭ aliaj, vi devus serĉi manierojn aŭtomatigi registri la ŝanĝojn en via komerca inteligenteco kaj raporta sistemo. Tiel bonaj kiel ili estas, ekster la skatolo, analizaj iloj kiel Tableau, Qlik, PowerBI neglektis inkluzivi facilan, aŭdeblan ŝanĝadministran raportadon. Faru vian hejmtaskon. Trovu manieron aŭtomatigi la dokumentadon de ŝanĝoj al via analiza medio. Eĉ pli bone, estu preta prezenti al revizoro, ne nur protokolon de ŝanĝoj al via sistemo, sed ke la ŝanĝoj konformas al aprobitaj internaj politikoj kaj procezoj.

Havante la kapablon: 

1) pruvu, ke vi havas solidajn internajn politikojn, 

2) ke viaj dokumentitaj procezoj subtenas ilin, kaj 

3) ke efektiva praktiko povas esti konfirmita 

feliĉigos ajnan revizoron. Kaj, ĉiuj scias, ke se la revizoro estas feliĉa, ĉiuj estas feliĉaj.

Multaj kompanioj plendas pri la aldonitaj kostoj de plenumado, kaj la kosto de plenumado de SOX-normoj povas esti alta. "Ĉi tiuj kostoj estas pli signifaj por pli malgrandaj firmaoj, por pli kompleksaj firmaoj kaj por firmaoj kun pli malaltaj kreskaj ŝancoj."  La kosto por nerespekto povas esti eĉ pli alta.

La Risko de Ne-Respekto

Sarbanes-Oxley tenas ĉefoficistojn kaj direktorojn respondecaj kaj punindaj je ĝis 500,000 USD kaj 5 jaroj en malliberejo. La registaro ne ofte akceptas pledon de nescio aŭ nekompetenteco. Se mi estus ĉefoficisto, mi certe dezirus, ke mia teamo povu pruvi, ke ni aliĝis al plej bonaj praktikoj kaj ni sciis, kiu faris ĉiun transakcion. 

Ankoraŭ unu afero. Mi diris, ke Sarbanes-Oxley estas por publike komercitaj kompanioj. Tio estas vera, sed konsideru kiel la manko de internaj kontroloj kaj manko de dokumentaro povus malhelpi vin se vi iam volis fari publikan oferton.