عناصر تحكم تقنية المعلومات  في الأعمال التجارية والمحاسبة، تعتبر عناصر التحكم في تقنية المعلومات (أو عناصر التحكم في تكنولوجيا المعلومات) عبارة عن أنشطة محددة يقوم بها أشخاص أو أنظمة مصممة لضمان تحقيق أهداف العمل. ويمكن تعريفها أيضاً بـ «المجموعات الفرعية من الرقابة الداخلية للمؤسسة». تتعلق أهداف التحكم في تقنية المعلومات بسرية البيانات وتكاملها وتوافرها والإدارة الكلية لوظيفة تقنية المعلومات في مؤسسة الأعمال. غالباً ما يتم وصف عناصر التحكم في تقنية المعلومات في فئتين رئيسيتين هما: عناصر التحكم العامة في تقنية المعلومات (ITGC) وضوابط تطبيق تقنية المعلومات. ITGC تشمل الرقابة على بيئة تقنية المعلومات (IT)، وعمليات الحاسوب، والوصول إلى البرامج والبيانات، وتطوير البرامج والتغيرات في البرنامج. تشير ضوابط تطبيق تقنية المعلومات إلى عناصر التحكم في معالجة المعاملات، والتي تسمى أحياناً عناصر التحكم «معالجة الإدخال - ومعالجة الإخراج». تم إعطاء ضوابط تقنية المعلومات أهمية متزايدة في الشركات المدرجة في الولايات المتحدة بموجب قانون ساربانيس أوكسلي. إطار COBIT (أهداف التحكم لتقنية المعلومات) هو إطار يستخدم على نطاق واسع يصدره معهد حوكمة تقنية المعلومات، والذي يحدد مجموعة متنوعة من أهداف ITGC ومراقبة التطبيق وأساليب التقييم الموصى بها. غالباً ما يرأس أقسام تقنية المعلومات في المؤسسات كبير مسؤولي المعلومات وهو المسؤول عن ضمان استخدام أدوات التحكم الفعالة في تقنية المعلومات.  تمثل ITGC أساس بنية التحكم في تقنية المعلومات. فهي تساعد على ضمان موثوقية البيانات التي يتم إنشاؤها بواسطة أنظمة تقنية المعلومات ودعم التأكيد على أن الأنظمة تعمل على النحو المقصود وأن الإخراج موثوق. يتضمن ITGC عادة أنواع الضوابط التالية:  عناصر التحكم في تطبيق أو برنامج تقنية المعلومات هي آلية مبرمجة بالكامل (أي، يتم تنفيذها تلقائياً بواسطة الأنظمة) المصممة لضمان المعالجة الكاملة والدقيقة للبيانات، من الإدخال إلى الإخراج. تختلف عناصر التحكم هذه استناداً إلى الغرض التجاري من التطبيق المحدد. قد تساعد عناصر التحكم هذه أيضاً في ضمان الخصوصية وأمان البيانات المنقولة بين التطبيقات. قد تشمل فئات عناصر التحكم في تطبيق تقنية المعلومات التالي:   عادةً ما يكون كبير موظفي المعلومات بالمنظمة (CIO) أو كبير موظفي أمن المعلومات (CISO) مسؤولين عن أمن ودقة وموثوقية الأنظمة التي تدير بيانات الشركة وتبلغ عنها، بما في ذلك البيانات المالية. يتم دمج أنظمة المحاسبة المالية وتخطيط موارد المؤسسة في بدء البيانات المالية والترخيص بها ومعالجتها والإبلاغ عنها وقد تشارك في الامتثال Sarbanes-Oxley ، إلى الحد الذي تخفف فيه من المخاطر المالية المحددة.  COBIT هو إطار أو نموذج عمل أو معيار مستخدم على نطاق واسع يحتوي على أفضل الممارسات لكل من ITGC وضوابط التطبيق. وهو يتألف من المجالات والعمليات. يشير الهيكل الأساسي إلى أن عمليات تقنية المعلومات تفي بمتطلبات العمل، والتي يتم تمكينها من خلال أنشطة معينة للتحكم في تكنولوجيا المعلومات. كما توصي بأفضل الممارسات وطرق تقييم ضوابط تقنية المعلومات الخاصة بالمؤسسة.  تحدد لجنة المنظمات الراعية للجنة Treadway (COSO) خمسة مكونات للرقابة الداخلية ألا وهي: بيئة الرقابة ، وتقييم المخاطر ، وأنشطة الرقابة ، والمعلومات والاتصالات والمراقبة ، وكل تلك الخمس المكونات يجب أن تكون قائمة لتحقيق أهداف الإبلاغ المالي والإفصاح؛ حيث يوفر COBIT أيضاً إرشادات مفصلة مماثلة لتقنية المعلومات، في حين يركز Val IT المترابط على حوكمة تقنية المعلومات عالية المستوى وقضايا القيمة مقابل المال. يمكن تصور المكونات الخمسة لـ COSO كطبقات أفقية لمكعب ثلاثي الأبعاد، مع تطبيق مجالات الهدف COBIT - على كل على حدة وبشكل إجمالي. المجالات الأربعة الرئيسية لـ COBIT هي: التخطيط والتنظيم واكتساب وتنفيذ وتقديم الدعم والمراقبة والتقييم.  يتطلب SOX (جزء من القانون الفيدرالي للولايات المتحدة) من الرئيس التنفيذي وكبار المسؤولين الماليين في الشركات العامة أن يشهدوا على دقة التقارير المالية (القسم 302) وأن يطلبوا من الشركات العامة وضع ضوابط داخلية كافية على التقارير المالية (القسم 404). أسفر مرور SOX عن زيادة التركيز على ضوابط تقنية المعلومات، حيث أن هذه العمليات تدعم المعالجة المالية وبالتالي تدخل في نطاق تقييم الإدارة للرقابة الداخلية بموجب القسم 404 من SOX.  يمكن استخدام المعيار ونموذج العمل COBIT للمساعدة في امتثال SOX ، على الرغم من أن COBIT أوسع نطاقاً إلى حد كبير. تشير إرشادات SOX لعام 2007 الصادرة عن PCAOB و SEC أن ضوابط تقنية المعلومات يجب أن تكون فقط جزءًا من تقييم SOX 404 إلى الحد الذي يتم فيه معالجة المخاطر المالية المحددة، مما يقلل بشكل كبير من نطاق ضوابط تقنية المعلومات المطلوبة في التقييم. يعد قرار تحديد النطاق هذا جزءًا من تقييم مخاطر SOX 404 الخاص بالكيان. بالإضافة إلى ذلك، تناقش التقارير والبيانات حول معايير التدقيق رقم 109 (SAS109) مخاطر تقنية المعلومات وأهداف الرقابة المتعلقة بالتدقيق المالي ويتم الرجوع إليها بواسطة إرشادات SOX.  قد تتضمن عناصر التحكم في تقنية المعلومات التي تقع عادةً ضمن نطاق تقييم SOX 404 ما يلي:   تشمل الأنشطة المحددة التي قد تحدث لدعم تقييم عناصر التحكم الرئيسية أعلاه:   للامتثال لقانون ساربينز أوكسلي، يجب أن تفهم المؤسسات كيف تعمل عملية إعداد التقارير المالية ويجب أن تكون قادرة على تحديد المجالات التي تلعب فيها التقنية دوراً حاسماً. عند النظر في الضوابط التي يجب تضمينها في البرامج، يجب أن تدرك المنظمات أن عناصر التحكم في تقنية المعلومات يمكن أن يكون لها تأثير مباشر أو غير مباشر على عملية إعداد التقارير المالية. على سبيل المثال، يمكن أن تكون ضوابط تطبيق تقنية المعلومات التي تضمن اكتمال المعاملات مرتبطة مباشرة بتأكيدات مالية. من ناحية أخرى، توجد عناصر التحكم في الوصول داخل هذه التطبيقات أو ضمن أنظمة الدعم الخاصة بها، مثل قواعد البيانات والشبكات وأنظمة التشغيل، بنفس القدر من الأهمية، ولكنها لا تتماشى مباشرة مع التأكيد المالي.  تتم موائمة عناصر التحكم في التطبيق عموماً مع عملية الأعمال التي تؤدي إلى ظهور تقارير مالية. في حين أن هناك العديد من أنظمة تقنية المعلومات التي تعمل داخل المنظمة، فإن التزام بقانون Sarbanes-Oxley يركز فقط على الأنظمة المرتبطة بحساب كبير أو عملية تجارية ذات صلة، وتخفيف المخاطر المالية المادية المحددة. يمكّن هذا التركيز على إدارة المخاطر الذي من شأنه يأمل بأن يقلل نطاق اختبار التحكم العام في تقنية المعلومات في عام 2007 مقارنة بالسنوات السابقة.  القسم 409 يتطلب من الشركات العامة الكشف عن معلومات حول التغييرات المادية في حالتها المالية أو عملياتها على أساس سريع. تحتاج الشركات إلى تحديد ما إذا كانت أنظمتها المالية الحالية، مثل تطبيقات إدارة موارد المؤسسة، قادرة على توفير البيانات في الوقت الفعلي، أو ما إذا كانت المؤسسة ستحتاج إلى إضافة هذه القدرات أو استخدام برامج خاصة للوصول إلى تلك البيانات. يجب على الشركات أيضاً حساب التغيرات التي تحدث بسبب ظروف خارجية، مثل التغييرات التي يتم إجراؤها من قبل العملاء أو الشركاء التجاريين والتي قد تؤثر بشكل جوهري على مركزها المالي الخاص (مثل إفلاس العميل / المورد الرئيسي والإفلاس).  للامتثال للمادة 409، يجب على المؤسسات تقييم قدراتها التقنية في الفئات التالية:  تطلب المادة 802 من Sarbanes-Oxley من الشركات العامة وشركات المحاسبة العامة الاحتفاظ بجميع أوراق العمل الخاصة بالتدقيق أو المراجعة لمدة خمس سنوات من نهاية الفترة المالية التي انتهى فيها التدقيق أو المراجعة. يتضمن ذلك السجلات الإلكترونية التي يتم إنشاؤها أو إرسالها أو استلامها فيما يتعلق بالتدقيق أو المراجعة. نظراً لأن المدققين الخارجيين يعتمدون إلى حد ما على عمل المراجعة الداخلية، فهذا يعني ضمناً أن سجلات التدقيق الداخلي يجب أن تمتثل أيضاً للمادة 802.  بالاقتران مع الاحتفاظ بالمستند، هناك مسألة أخرى تتعلق بأمان وسائط التخزين ومدى حماية المستندات الإلكترونية للاستخدام الحالي والمستقبلي. يعني شرط الاحتفاظ بالسجلات لمدة خمس سنوات أن التقنية الحالية يجب أن تكون قادرة على دعم ما تم تخزينه قبل خمس سنوات. نظراً للتغيرات السريعة في عالم التقنية، قد تكون بعض الوسائط الحالية قديمة في السنوات الثلاث أو الخمس القادمة. قد لا يمكن استرجاع بيانات المراجعة المحتجزة اليوم ليس بسبب تدهور البيانات، ولكن بسبب المعدات القديمة ووسائط التخزين التي تم استخدامها سابقاً.  يتوقع القسم 802 من المؤسسات أن ترد على الأسئلة المتعلقة بإدارة محتوى SOX. تشمل القضايا المتعلقة بتقنية المعلومات السياسة والمعايير المتعلقة بالاحتفاظ بالسجلات والحماية والتدمير والتخزين عبر الإنترنت ومسارات التدقيق والتكامل مع مستودع المؤسسة وتقنية السوق وبرامج SOX والمزيد. بالإضافة إلى ذلك، ينبغي أن تكون المنظمات مستعدة للدفاع عن جودة برنامج إدارة السجلات (RM) الخاص بها؛ شمولية RM (أي الاتصالات الورقية والإلكترونية والمعاملات، والتي تشمل رسائل البريد الإلكتروني والرسائل الفورية وجداول البيانات التي تستخدم لتحليل النتائج المالية)، ومدى ملائمة دورة الحياة الخاصة بالاحتفاظ، وقابلية ممارسات RM ، وقابلية التدقيق وإمكانية الوصول إلى محتوى RM.  غالباً ما يتم استخدام جداول البيانات أو قواعد البيانات المستندة إلى الحاسب الشخصي لتوفير بيانات أو حسابات مهمة تتعلق بمجالات المخاطر المالية في نطاق تقييم SOX 404. غالباً ما يتم تصنيف جداول البيانات المالية على أنها أدوات حوسبة للمستخدم النهائي (EUC) حيث أنها كانت غائبة تاريخياً عن ضوابط تقنية المعلومات التقليدية. يمكنهم دعم الحسابات المعقدة وتوفير مرونة كبيرة. ومع ذلك، في ظل المرونة والقوة، تتعرض لخطر الأخطاء وإمكانية الاحتيال المتزايدة وإساءة استخدام جداول البيانات المهمة التي لا تتبع دورة حياة تطوير البرامج (مثل التصميم والتطوير والاختبار والتحقق من الصحة والنشر). لتصحيح ومراقبة جداول البيانات، قد تطبق المؤسسات العامة ضوابط مثل:   مسؤولية التحكم في جداول البيانات هي مسؤولية مشتركة مع مستخدمي الأعمال وتقنية المعلومات. تهتم مؤسسة تقنية المعلومات عادة بتوفير محرك أقراص مشترك آمن لتخزين جداول البيانات والنسخ الاحتياطي للبيانات. موظفو العمل مسؤولون عن الباقي.