عناصر تحكم تقنية المعلومات
ضوابط تقنية المعلومات وقانون «ساربينز أوكسلي» (SOX)

يتطلب SOX (جزء من القانون الفيدرالي للولايات المتحدة) من الرئيس التنفيذي وكبار المسؤولين الماليين في الشركات العامة أن يشهدوا على دقة التقارير المالية (القسم 302) وأن يطلبوا من الشركات العامة وضع ضوابط داخلية كافية على التقارير المالية (القسم 404). أسفر مرور SOX عن زيادة التركيز على ضوابط تقنية المعلومات، حيث أن هذه العمليات تدعم المعالجة المالية وبالتالي تدخل في نطاق تقييم الإدارة للرقابة الداخلية بموجب القسم 404 من SOX.
يمكن استخدام المعيار ونموذج العمل COBIT للمساعدة في امتثال SOX ، على الرغم من أن COBIT أوسع نطاقاً إلى حد كبير. تشير إرشادات SOX لعام 2007 الصادرة عن PCAOB  و SEC  أن ضوابط تقنية المعلومات يجب أن تكون فقط جزءًا من تقييم SOX 404 إلى الحد الذي يتم فيه معالجة المخاطر المالية المحددة، مما يقلل بشكل كبير من نطاق ضوابط تقنية المعلومات المطلوبة في التقييم. يعد قرار تحديد النطاق هذا جزءًا من تقييم مخاطر SOX 404 الخاص بالكيان. بالإضافة إلى ذلك، تناقش التقارير والبيانات حول معايير التدقيق رقم 109 (SAS109)  مخاطر تقنية المعلومات وأهداف الرقابة المتعلقة بالتدقيق المالي ويتم الرجوع إليها بواسطة إرشادات SOX.
قد تتضمن عناصر التحكم في تقنية المعلومات التي تقع عادةً ضمن نطاق تقييم SOX 404 ما يلي:
إجراءات التحكم في التطبيق (معالجة المعاملات) التي تخفف بشكل مباشر من مخاطر الإبلاغ المالي المحددة. عادة ما يكون هناك عدد قليل من هذه الضوابط داخل التطبيقات الرئيسية في كل عملية مالية، مثل الحسابات المستحقة الدفع، كشوف المرتبات، دفاتر المخصصات العامة، إلخ. ينصب التركيز على الضوابط «الرئيسية» (تلك التي تعالج المخاطر على وجه التحديد)، وليس على التطبيق بأكمله.
الضوابط العامة لتقنية المعلومات هي ضوابط تدعم التأكيدات بأن البرامج تعمل على النحو المنشود وأن التقارير المالية الرئيسية يمكن الاعتماد عليها، وتغيير ضوابط الرقابة والأمن في المقام الأول.
ضوابط عمليات تكنولوجيا المعلومات، والتي تضمن تحديد مشاكل المعالجة وتصحيحها.
تشمل الأنشطة المحددة التي قد تحدث لدعم تقييم عناصر التحكم الرئيسية أعلاه:
فهم برنامج الرقابة الداخلية للمنظمة وعمليات إعداد التقارير المالية.
تحديد أنظمة تقنية المعلومات المشاركة في بدء البيانات المالية والترخيص بها ومعالجتها وتلخيصها والإبلاغ عنها.
تحديد الضوابط الرئيسية التي تعالج مخاطر مالية محددة.
تصميم وتنفيذ الضوابط المصممة للتخفيف من المخاطر المحددة ورصدها من أجل استمرار الفعالية الكاملة للأنظمة.
توثيق واختبار ضوابط تقنية المعلومات.
ضمان تحديث ضوابط تقنية المعلومات وتغييرها، حسب الاقتضاء، لتتوافق مع التغييرات في عمليات الرقابة الداخلية أو عمليات إعداد التقارير المالية.
مراقبة ضوابط تقنية المعلومات للتشغيل الفعال مع مرور الوقت.
للامتثال لقانون ساربينز أوكسلي، يجب أن تفهم المؤسسات كيف تعمل عملية إعداد التقارير المالية ويجب أن تكون قادرة على تحديد المجالات التي تلعب فيها التقنية دوراً حاسماً. عند النظر في الضوابط التي يجب تضمينها في البرامج، يجب أن تدرك المنظمات أن عناصر التحكم في تقنية المعلومات يمكن أن يكون لها تأثير مباشر أو غير مباشر على عملية إعداد التقارير المالية. على سبيل المثال، يمكن أن تكون ضوابط تطبيق تقنية المعلومات التي تضمن اكتمال المعاملات مرتبطة مباشرة بتأكيدات مالية. من ناحية أخرى، توجد عناصر التحكم في الوصول داخل هذه التطبيقات أو ضمن أنظمة الدعم الخاصة بها، مثل قواعد البيانات والشبكات وأنظمة التشغيل، بنفس القدر من الأهمية، ولكنها لا تتماشى مباشرة مع التأكيد المالي.
تتم موائمة عناصر التحكم في التطبيق عموماً مع عملية الأعمال التي تؤدي إلى ظهور تقارير مالية. في حين أن هناك العديد من أنظمة تقنية المعلومات التي تعمل داخل المنظمة، فإن التزام بقانون Sarbanes-Oxley يركز فقط على الأنظمة المرتبطة بحساب كبير أو عملية تجارية ذات صلة، وتخفيف المخاطر المالية المادية المحددة. يمكّن هذا التركيز على إدارة المخاطر الذي من شأنه يأمل بأن يقلل نطاق اختبار التحكم العام في تقنية المعلومات في عام 2007 مقارنة بالسنوات السابقة.
| 0 | 1 | 2 |
| --- | --- | --- |
|  الجزء  |  عنوان  |  وصف  |
| 302 | مسؤولية الشركات عن التقارير المالية | يشهد بأنه تم توثيق دقة البيانات المالية والأنشطة التشغيلية وتم تقديمها إلى المدير التنفيذي والمدير المالي للحصول على الشهادات |
| 404 | تقييم الإدارة للضوابط الداخلية | يتم توثيق العمليات التشغيلية وممارستها لإظهار أصول البيانات في الميزانية العمومية. تنص المادة 404 من قانون SOX (المادة 404 من قانون ساربان أوكسلي) على أنه يتعين على جميع الشركات المتداولة علناً وضع ضوابط وإجراءات داخلية للإبلاغ المالي ويجب عليها توثيق واختبار والحفاظ على تلك الضوابط والإجراءات لضمان فعاليتها. |
| 409 | الإفصاحات المصدرة في الوقت الراهن | يجب أن تكشف الشركات العامة عن التغييرات التي تطرأ على حالتها المالية أو عملياتها في الوقت الفعلي لحماية المستثمرين من تأخر الإبلاغ عن الأحداث المادية |
| 802 | العقوبات الجنائية لتعديل الوثائق | يتطلب من الشركات العامة وشركات المحاسبة العامة الاحتفاظ بالسجلات، بما في ذلك السجلات الإلكترونية التي تؤثر على أصول الشركة أو أدائها.  سيكون هنالك غرامات وسجن لأولئك الذين ينتهكون هذا القسم عن قصد وعمد فيما يتعلق بـ (1) إتلاف أو تغيير أو تزوير السجلات في التحقيقات الفيدرالية والإفلاس و (2) إتلاف سجلات تدقيق الشركات.  |