Analytics dhe Sarbanes-Oxley

Menaxhimi i pajtueshmërisë SOX me mjetet e vetë-shërbimit BI si Qlik, Tableau dhe PowerBI

Vitin e ardhshëm SOX do të jetë mjaft i vjetër për të blerë birrë në Teksas. Ai lindi nga "Akti i Reformës së Kontabilitetit të Kompanive Publike dhe Mbrojtjes së Investitorëve", i njohur më pas me dashuri nga emrat e senatorëve që sponsorizuan projektligjin, Aktin Sarbanes-Oxley të 2002. Sarbanes-Oxley ishte pasardhësi i Aktit të Letrave me Vlerë të vitit 1933, qëllimi kryesor i të cilit ishte të mbronte investitorët nga mashtrimi duke ofruar transparencë në financat e korporatave. Si pasardhës i këtij akti, Sarbanes-Oxley i përforcoi ato synime dhe u përpoq të promovonte llogaridhënien përmes praktikave të mira të biznesit. Por, si shumë të rinj të rritur, ne ende po përpiqemi ta kuptojmë. Njëzet vjet më vonë, kompanitë janë ende duke u përpjekur të kuptojnë se cilat janë implikimet e aktit për to në mënyrë specifike, si dhe mënyrën më të mirë për të ndërtuar transparencë të shtuar në teknologjinë dhe sistemet e tyre për të mbështetur pajtueshmërinë.

Kush është përgjegjës?

Në kundërshtim me besimin popullor, Sarbanes-Oxley nuk vlen vetëm për institucionet financiare, ose vetëm për departamentin e financave. Qëllimi i tij është të sigurojë transparencë më të madhe në të gjitha të dhënat organizative dhe proceset përkatëse. Teknikisht, Sarbanes-Oxley zbatohet vetëm për korporatat e tregtuara publikisht, por kërkesat e tij janë të shëndosha për çdo biznes të mirë-drejtuar. Akti i bën CEO dhe CFO personalisht përgjegjës për të dhënat e paraqitura. Këta zyrtarë mbështeten, nga ana tjetër, te CIO, CDO dhe OSHC për të siguruar që sistemet e të dhënave janë të sigurta, kanë integritet dhe janë në gjendje të japin informacionin e nevojshëm për të provuar pajtueshmërinë. Kohët e fundit, kontrolli dhe pajtueshmëria janë bërë më shumë një sfidë për CIO-të dhe kolegët e tyre. Shumë organizata po largohen nga sipërmarrjet tradicionale, sistemet e Analitikës së menaxhuar nga IT dhe Inteligjenca e Biznesit. Në vend të kësaj, ata po miratojnë mjete vetë-shërbimi të udhëhequra nga linja e biznesit si Qlik, Tableau dhe PowerBI. Këto mjete, sipas dizajnit, nuk menaxhohen nga qendra.

Menaxhimi i ndryshimit

Një nga kërkesat kryesore për pajtueshmërinë me ligjin është përcaktimi i kontrolleve të vendosura dhe se si ndryshimet në të dhëna ose aplikacione duhet të regjistrohen sistematikisht. Me fjalë të tjera, disiplina e Menaxhimit të Ndryshimit. Siguria, aksesi i të dhënave dhe softuerit duhet të monitorohet, si dhe nëse sistemet e TI nuk funksionojnë siç duhet. Pajtueshmëria nuk varet vetëm nga përcaktimi i politikave dhe proceseve për të mbrojtur mjedisin, por edhe nga ta bësh atë në të vërtetë dhe në fund të jesh në gjendje të provosh se është bërë. Ashtu si zinxhiri i provave policore të paraburgimit, pajtueshmëria me Sarbanes-Oxley është po aq e fortë sa hallka e saj më e dobët.  

Lidhja e dobët

Si një ungjilltar analitik, më dhemb ta them këtë, por lidhja më e dobët në pajtueshmërinë Sarbanes-Oxley është shpesh Analytics ose Inteligjenca e Biznesit. Udhëheqësit në Analytics për vetë-shërbim të përmendur më sipër – Qlik, Tableau dhe PowerBI – Analiza dhe raportimi sot është më shumë zakonisht bëhet në departamentet e linjës së biznesit sesa në IT. Kjo është edhe më e vërtetë për mjetet e Analytics si Qlik, Tableau dhe PowerBI të cilat kanë përsosur modelin BI të vetë-shërbimit. Shumica e parave të shpenzuara për pajtueshmërinë janë fokusuar në sistemet financiare dhe të kontabilitetit. Kohët e fundit, kompanitë me të drejtë e kanë zgjeruar përgatitjen e auditimit në departamente të tjera. Ajo që ata gjetën ishte se programet formale të Menaxhimit të Ndryshimit të IT-së kishin dështuar të përfshinin bazat e të dhënave ose depot e të dhënave/martet me të njëjtën ashpërsi të përdorur për aplikacionet dhe sistemet.  Fusha e pajtueshmërisë me politikat dhe procedurat e menaxhimit të ndryshimeve bie nën Kontrollet e Përgjithshme dhe grupohet me politikat dhe procedurat e tjera të TI-së të testimit, rikuperimit nga fatkeqësitë, rezervimit dhe rikuperimit dhe sigurisë.

Nga shumë hapa të nevojshëm për t'iu përmbajtur një auditimi, një nga gjërat që shpesh neglizhohet është që: "Mbani një gjurmë aktiviteti me auditim në kohë reale, duke përfshirë një kush, çfarë, ku dhe kur të gjithë aktivitetit të operatorit dhe ndryshimet e infrastrukturës, veçanërisht ato që mund të jenë të papërshtatshme ose me qëllim të keq.”  Pavarësisht nëse ndryshimi ka të bëjë me cilësimet e sistemit, një aplikacion softueri ose vetë të dhënat, duhet të mbahet një regjistrim i cili përmban, të paktën, elementët e mëposhtëm:

• Kush e kërkoi ndryshimin
• Kur është kryer ndryshimi
• Cili është ndryshimi - një përshkrim
• Kush e miratoi ndryshimin

Regjistrimi i këtij informacioni në lidhje me ndryshimet në raportet dhe tabelat e kontrollit në sistemet tuaja Analytics dhe Inteligjenca e Biznesit janë po aq të rëndësishme. Pavarësisht se ku është mjeti Analytics dhe BI në vazhdimësinë e kontrollit - Perëndimi i Egër, vetë-shërbimi ose i menaxhuar nga qendra; qofshin fletëllogaritëse (dridhet), Tableau/Qlik/Power BI, ose Cognos Analytics – për të qenë në përputhje me Sarbanes-Oxley, do t'ju duhet të regjistroni këtë informacion bazë. Audituesit nuk i intereson nëse po përdorni stilolaps dhe letër ose një sistem të automatizuar për të dokumentuar që proceset tuaja të kontrollit po ndiqen. E pranoj se nëse po përdorni fletëllogaritëse si softuerin tuaj të "analitikës" për të marrë vendime biznesi, mund të përdorni gjithashtu fletëllogaritëse për të regjistruar menaxhimin e ndryshimeve.  

Megjithatë, shanset janë të mira që nëse keni investuar tashmë në një sistem analitik si PowerBI, ose të tjerë, duhet të kërkoni mënyra për të automatizuar regjistrimin e ndryshimeve në sistemin tuaj të inteligjencës dhe raportimit të biznesit. Sado të mira që janë, mjetet analitike si Tableau, Qlik, PowerBI kanë lënë pas dore përfshirjen e raportimit të lehtë dhe të auditueshëm të menaxhimit të ndryshimeve. Bej detyrat. Gjeni një mënyrë për të automatizuar dokumentimin e ndryshimeve në mjedisin tuaj analitik. Edhe më mirë, përgatituni t'i paraqisni një auditori, jo vetëm një regjistër të ndryshimeve në sistemin tuaj, por që ndryshimet të jenë në përputhje me politikat dhe proceset e brendshme të miratuara.

Duke pasur aftësinë për të: 

1) demonstroni se keni politika të brendshme solide, 

2) që proceset tuaja të dokumentuara i mbështesin ato, dhe 

3) se praktika aktuale mund të konfirmohet 

do të bëjë të lumtur çdo auditor. Dhe, të gjithë e dinë se nëse auditori është i lumtur, të gjithë janë të lumtur.

Shumë kompani ankohen për kostot e shtuara të përputhshmërisë dhe kostoja e pajtueshmërisë me standardet SOX mund të jetë e lartë. “Këto kosto janë më të rëndësishme për firmat më të vogla, për firmat më komplekse dhe për firmat me mundësi më të ulëta rritjeje.”  Kostoja për mospërputhje mund të jetë edhe më e lartë.

Rreziku i mospërputhjes

Sarbanes-Oxley i mban CEO-të dhe drejtorët përgjegjës dhe të dënuar me deri në 500,000 dollarë dhe 5 vjet burg. Qeveria nuk pranon shpesh një deklaratë të injorancës ose paaftësisë. Nëse do të isha CEO, me siguri do të doja që ekipi im të ishte në gjendje të provonte se ne kishim respektuar praktikat më të mira dhe e dinim se kush kishte kryer çdo transaksion. 

Edhe nje gje. Thashë që Sarbanes-Oxley është për kompanitë e tregtuara publike. Kjo është e vërtetë, por merrni parasysh se si mungesa e kontrolleve të brendshme dhe mungesa e dokumentacionit mund t'ju pengojnë nëse keni dashur ndonjëherë të bëni një ofertë publike.