Analytics eta Sarbanes-Oxley

Qlik, Tableau eta PowerBI bezalako autozerbitzuko BI tresnekin SOX betetzea kudeatzea

Datorren urtean SOXek Texasen garagardoa erosteko adina izango du. "Enpresa Publikoen Kontabilitatearen Erreforma eta Inbertitzaileen Babeserako Legean" sortu zen, gerora, 2002ko Sarbanes-Oxley Legeak babestu zuten senatarien izenez ezaguna. Sarbanes-Oxley 1933ko Baloreen Legearen ondorengoa izan zen, bere helburu nagusia inbertitzaileak iruzurretik babestea zen, finantza korporatiboetan gardentasuna eskainiz. Egintza horren ondorengo gisa, Sarbanes-Oxley-k helburu horiek indartu zituen eta erantzukizuna sustatzen saiatu zen negozio praktika onen bidez. Baina, gazte asko bezala, oraindik ere hori asmatzen saiatzen ari gara. Hogei urteren buruan, enpresak oraindik saiatzen ari dira egintzak beraientzat dituen ondorioak zeintzuk diren jakiteko, baita haien teknologia eta sistemetan gardentasun handiagoa nola eraikitzeko modurik onena betetzen laguntzeko.

Nor da ardura?

Uste denaren aurka, Sarbanes-Oxley ez da finantza-erakundeei soilik aplikatzen, ezta finantza-sailari bakarrik. Bere helburua da gardentasun handiagoa eskaintzea antolakuntzako datu guztiei eta erlazionatutako prozesuei. Teknikoki, Sarbanes-Oxley publikoki merkataritzako korporazioei bakarrik aplikatzen zaie, baina bere eskakizunak ondo kudeatutako edozein negoziorentzat egokiak dira. Legeak CEO eta CFO pertsonalki arduratzen ditu aurkeztutako datuak. Funtzionario horiek, aldi berean, CIO, CDO eta CSOrengan oinarritzen dira datu-sistemak seguruak direla, osotasuna dutela eta betetzen direla frogatzeko beharrezko informazioa emateko gai direla. Azkenaldian, kontrola eta betetzea erronka gehiago bihurtu dira CIOentzat eta haien parekoentzat. Erakunde asko enpresa tradizionaletatik, IT bidez kudeatutako Analytics eta Business Intelligence sistemetatik urruntzen ari dira. Horren ordez, Qlik, Tableau eta PowerBI bezalako autozerbitzu tresnak hartzen ari dira negozio-lerroak. Tresna hauek, diseinuz, ez dira zentralki kudeatzen.

Aldaketaren kudeaketa

Legea betetzeko funtsezko betekizunetako bat indarrean dauden kontrolak eta datuen edo aplikazioen aldaketak sistematikoki erregistratu behar diren zehaztea da. Beste era batera esanda, Aldaketaren Kudeaketa diziplina. Segurtasuna, datuen eta softwarearen sarbidea kontrolatu behar da, baita informatika sistemak behar bezala funtzionatzen ez ote duten ere. Betetzea ingurumena zaintzeko politikak eta prozesuak zehazteaz gain, benetan egin eta, azken finean, egin dela frogatu ahal izatearen menpe dago. Poliziaren ebidentziaren zaintza katearen antzera, Sarbanes-Oxley-ren betetzea bere katerik ahulena bezain indartsua da.  

Lotura ahula

Analitikako ebanjelari gisa, min egiten dit hau esateak, baina Sarbanes-Oxley-ren betekizunaren lotura ahulena Analytics edo Business Intelligence izaten da. Goian aipatutako autozerbitzuko Analytics-en liderrak -Qlik, Tableau eta PowerBI - Gaur egungo analisia eta txostenak gehiago dira. normalean negozio-ildoko sailetan egiten da informatikan baino. Hori are gehiago egia da Qlik, Tableau eta PowerBI bezalako Analytics tresnetan, autozerbitzuko BI eredua hobetu dutenak. Betetzeko gastatutako diru gehiena finantza eta kontabilitate sistemetara bideratu da. Duela gutxi, enpresek auditoretzaren prestaketa beste sail batzuetara zabaldu dute. Aurkitu zutena izan zen IT Aldaketa Kudeatzeko programa formalek datu-baseak edo datu-biltegiak/marts-ak aplikazio eta sistemetarako erabiltzen den zorroztasun berdinarekin ez dituztela bildu.  Aldaketak Kudeatzeko politikak eta prozeduren betetze-eremua Kontrol Orokorren menpe dago eta beste IT politika eta probak, hondamendiak berreskuratzeko, babeskopiak eta berreskuratzeko eta segurtasuneko prozedurekin biltzen dira.

Ikuskaritza betetzeko beharrezkoak diren pauso askoren artean, gehien aintzakotzat hartzen den gauzetako bat honakoa da: "Jarrai jardueren arrastoa denbora errealeko auditoretzarekin, operadorearen jarduera guztien nor, zer, non eta noiz barne eta azpiegitura aldaketak, batez ere desegokiak edo gaiztoak izan daitezkeenak».  Aldaketa sistemaren ezarpenetan, software-aplikazio batean edo datuetan bertan, erregistro bat mantendu behar da, gutxienez elementu hauek dituena:

• Nork eskatu zuen aldaketa
• Aldaketa egin zenean
• Zer den aldaketa - deskribapena
• Nork onartu zuen aldaketa

Zure Analytics eta Business Intelligence sistemetan txostenen eta aginte-paneletan egindako aldaketei buruzko informazio hau grabatzea bezain garrantzitsua da. Analitika eta BI tresna kontrolaren etengabeko lekua edozein dela ere: Mendebaldeko basatia, autozerbitzua edo zentralki kudeatutakoa; kalkulu-orriak ala ez (ikara), Tableau/Qlik/Power BI edo Cognos Analytics - Sarbanes-Oxley-rekin bat egiteko, oinarrizko informazio hau erregistratu beharko duzu. Ikuskariari ez zaio axola luma eta papera edo sistema automatizatu bat erabiltzen ari zaren kontrol-prozesuak betetzen ari zaren dokumentatzeko. Aitortzen dut kalkulu-orriak zure "analitika" software gisa erabiltzen badituzu negozio-erabakiak hartzeko, baliteke kalkulu-orriak ere erabiltzea aldaketaren kudeaketa erregistratzeko.  

Hala ere, aukera onak dira dagoeneko PowerBI bezalako analisi-sistema batean edo beste batzuetan inbertitu baduzu, zure negozio adimenaren eta txostenen sisteman aldaketak erregistratzeko moduak bilatu behar dituzu. Onak diren arren, lehenik eta behin, Tableau, Qlik, PowerBI bezalako analisi-tresnek aldaketak kudeatzeko txosten errazak eta ikuskagarriak sartzea alde batera utzi dute. Zure etxeko lanak egin. Bilatu zure ingurune analitikoko aldaketen dokumentazioa automatizatzeko modu bat. Are hobeto, prest egon auditore bati aurkezteko, ez bakarrik zure sistemako aldaketen erregistroa, baizik eta aldaketak onartutako barne politika eta prozesuekin bat datozela.

Gaitasuna izatea: 

1) frogatu barne-politika sendoak dituzula, 

2) zure dokumentatutako prozesuek onartzen dituztela, eta 

3) benetako praktika berretsi daitekeela 

edozein auditore poztuko du. Eta, denek daki ikuskaria pozik badago, denak pozik daudela.

Enpresa asko kexatzen dira betetzearen kostu gehigarriez, eta SOX estandarrak betetzearen kostua handia izan daiteke. "Kostu hauek esanguratsuagoak dira enpresa txikientzat, enpresa konplexuagoentzat eta hazteko aukera txikiagoak dituzten enpresentzat".  Ez-betetzearen kostua are handiagoa izan daiteke.

Ez-betetzearen arriskua

Sarbanes-Oxley-k zuzendari nagusiei eta zuzendariei erantzule egiten dizkie eta 500,000 dolar eta 5 urteko kartzela zigorra ezarri diete. Gobernuak ez du askotan onartzen ezjakintasunaren edo gaitasun ezaren alegaziorik. Zuzendari nagusia banintz, ziur aski nahi nuke nire taldeak praktika onak bete genituela frogatu ahal izatea eta transakzio guztiak nork egin zituen jakin genuela. 

Beste gauza bat. Sarbanes-Oxley merkataritza publikoko enpresentzat dela esan nuen. Hori egia da, baina kontuan hartu barne-kontrolen gabeziak eta dokumentazio faltak nola oztopatzen zaituen eskaintza publiko bat egin nahi baduzu.