Die Gültigkeit des Sarbanes Oxley Acts erstreckt sich auf alle Firmen, deren Aktien an US-Börsen oder außerbörslich in den USA gehandelt oder angeboten werden und die der Aufsicht der Securities and Exchange Commission (SEC) unterstehen. Das trifft auch zu auch auf
– europäische Unternehmen, wenn diese an US Börsenplätzen notiert sind und
– Organisationen, die als Service Provider Dienstleistungen für solche Unternehmen erbringen.
In letzterem Fall gelten die Anforderungen nur für die erbrachten Leistungen und nicht für den Dienstleister als solchen. In der Regel können Dienstleister von ihren Kunden dazu aufgefordert werden, die SOX-Konformität der von ihnen verantworteten Prozesse nachzuweisen, oder ein diesbezügliches Audit im Auftrag der Kunden zuzulassen. SOX-konform sind Prozesse und Dienstleistungen dabei genau dann, wenn für die Finanzberichterstattung relevante Risiken (Falschaussagen, Unvollständigkeit, etc) durch die Dokumentation und Implementierung geeigneter Kontrollen minimiert werden. Und wenn deren Effektivität durch Tests in Bezug auf Kontrolldesign und operative Durchführung belegt werden kann. Der Prüfungsbericht ISAE 3402- Typ II eines externen Wirtschaftsprüfers gilt in aller Regel als geeigneter Nachweis der SOX-Konformität eines IT-Dienstleisters, dessen Dienste von US-börsennotierten Unternehmen in Anspruch genommen werden.