A SOX törvény alapjai és informatikai vonatkozásai

1. A SOX törvény alapjai és informatikai vonatkozásai Dr.Balla Katalin BME-IIT - SQI Magyar Szoftverminőség Tanácsadó Intézet Kft. CIO’08 Hangszerelés változásszimfóniára Siófok, 2008. 04.17-18

2. Tartalom • Bevezetés • Mi is a SOX? • A SOX informatikai vonatkozásai • Hozzáférhető ellenőrzési keretrendszerek • Hogyan támogatja a CMMI a SOX-ot? • Következtetések A SOX alapjai és informatikai vonatkozásai

3. Bevezetés • Bemutatkozás • Tapasztalatok szoftverfejlesztő cégek körében ismert szoftverminőségi megközelítésekről • Folyamat alapú megközelítések (ISO 9001:2000, (CMM), CMMI, Automotive Spice, AQAP…) • Termék alapú megközelítések (ISO 9126, CC…) • Tanúsítások • A SOX megjelent a „szoftverminőségi szabványok” között, kapcsolódni látszik ezekhez • Érdemes megvizsgálni a kapcsolódást! A SOX alapjai és informatikai vonatkozásai

4. Tartalom • Bevezetés • Mi is a SOX? • A SOX informatikai vonatkozásai • Hozzáférhető ellenőrzési keretrendszerek • Hogyan támogatja a CMMI a SOX-ot? • Következtetések A SOX alapjai és informatikai vonatkozásai

5. Mi is a SOX? • Sarbanes-Oxley Act of 2002 • „An Act to protect investors by improving the accuracy and reliability of corporate disclosures made pursuant to the securities laws, and for other purposes” • Előterjesztette: Paul Sarbanes szenátor és Michael G. Oxley kongresszusi képviselő • http://www.pcaob.org/About_the_PCAOB/Sarbanes_Oxley_Act_of_2002.pdf • A befektetők érdekében született • Szigorú előírásokat ad: • A vállalkozások pénzügyi jelentéseire és ezek előállításával kapcsolatos ellenőrzési rendszerre • A jelentés megbízhatóságára és a kapcsolódó felügyeleti kötelezettségekre • Részletesen kitér az információs erőforrásokkal kapcsolatos műveletek szabályozására A SOX alapjai és informatikai vonatkozásai

6. Mi is a SOX? • Cél • A „testületi vezetés” erősítése és a befektetők bizalmának visszaállítása • Előzmények • A befektetőket megtévesztő / lakosságot megkárosító hamis pénzügyi jelentések, körbeszámlázás… • Enron, WorldCom, Texaco, Conseco, Suprema Specialities Inc…. • Securities Act of 1933 • Securities Exchange Act of 1943 • Kire vonatkozik • Az USA tőzsdén jelen levő cégekre • Különbséget tesz „nagy” és „kis” cég között • Az ellenőrzési rendszer megfeleléséért és a szükséges óvintézkedések megtételéért a tőzsdén szereplő vállalkozások első számú vezetője és a pénzügyi vezető a felelős A SOX alapjai és informatikai vonatkozásai

7. Mi is a SOX? • Kiemelt elemek a SOX-ban / a SOX-szal kapcsolatban • Új felelősségek az Igazgatótanács számára • Új felelősségek a tőzsdén jelen levő cégek vezetősége számára • Több hatalmat kap a SEC (Security and Echange Comission ~ USA Értékpapírforgalmat és a tőzsdét felügyelő bizottsága) • Ellenőrzi és támogatja a SOX betartását • Honlap, adatokkal : http://www.sec.gov/ • Electronic Data Gathering, Analysis and Retrieval system http://www.sec.gov/edgar.shtml • A SOX értelmében létrehozták a PCAOB-t az Rt.-k és auditoraik felügyeletére (non-profit szervezet, US Public Company Accounting Oversight Board ~ USA Számviteli Felügyeleti Tanács) http://www.pcaob.org/ • Szigorú büntető intézkedések a törvény előírásait be nem tartóknak A SOX alapjai és informatikai vonatkozásai

8. Mi is a SOX? • Struktúra • (Short title, Table of contents) • I. Public company oversight board (101.-109. szakasz) • II. Auditor independence (201.-209. szakasz) • III. Corporate responsibility (301.-308. szakasz) • IV. Enhanced financial disclosures (401.-409. szakasz) • V. Analyst conflict of interest (501. szakasz) • VI. Commission resources and authority (601.-604. szakasz) • VII. Studies and reports (701.-705. szakasz) • VIII. Corporate and criminal fault accountability (801.-807. szakasz) • IX. White-collar crime penalty enhancements (901.-906. szakasz) • X. Corporate tax returns (1001. szakasz) • XI. Corporate fraud and accountability (1101.-1107. szakasz) A SOX alapjai és informatikai vonatkozásai

9. Mi is a SOX? • Pontosan mit ír elő a SOX? Menedzsment 302. szakasz: A CEO/CFO Által kiadott „hitelesítés” Ellenőrzések és folyamatok Menedzsment és auditorok Belső ellenőrzés és pénzügyi jelentés Közzététel / beszámolók 404 szakasz: A felsővezetés éves jelentései és az auditor tanúsítása / hitelesítése Hivatkozás: 906. szakasz A SOX alapjai és informatikai vonatkozásai

10. Mi is a SOX? • Pontosan mit ír elő a SOX? • A felsővezető + pénzügyi vezető ne csak az anyag helyességét szavatolják (aláírásukkal), hanem az adatok helyességét biztosító ellenőrzési intézkedések, eljárások – a teljes ellenőrzési rendszer megfelelését • Feladatuk az ellenőrzési rendszer megtervezése, kialakítása, karbantartása • A jelentés elkészítése előtt 90 nappal mindig rendszeresen értékeljék a belső ellenőrzési rendszer célnak való megfelelését • Jelentsenek minden hiányosságot, mely negatívan befolyásolja a pénzügyi adatok • Rögzítését • Feldolgozását • Összegzését • Jelentését A SOX alapjai és informatikai vonatkozásai

11. Mi is a SOX? • Pontosan mit ír elő a SOX? • Gondolni kell a csalás minden lehetőségére, a csalásokat minden eszközzel meg kell akadályozni • A munkatársak ártó szándékkel ne törölhessenek vagy módosíthassanak adatokat • A feljegyzések, dokumentumok védelme A SOX alapjai és informatikai vonatkozásai

12. Tartalom • Bevezetés • Mi is a SOX? • A SOX informatikai vonatkozásai • Hozzáférhető ellenőrzési keretrendszerek • Hogyan támogatja a CMMI a SOX-ot? • Következtetések A SOX alapjai és informatikai vonatkozásai

13. A SOX informatikai vonatkozásai • Az amerikai tőzsdén jelenlevő informatikai cégeknek önmagukra kell alkalmazni a törvényt, annak minden vonatkozásával • A cégek informatikai részlegei, tanácsadók, szoftvergyártók és –forgalmazók támogathatják a SOX-ot alkalmazó cégeket • Folyamatok kialakítása, dokumentálása • Belső ellenőrzési rendszer kialakítása • Dokumentumok, feljegyzések, információ védelmének biztosítása / garantálása • Dokumentumkezelő rendszerek • Informatikai biztonsági megfontolások • A cég üzleti folyamatait és a cégnek az üzleti életben való boldogulását támogató alkalmazói rendszerek • Minden szempontból vizsgált megbízható működés A SOX alapjai és informatikai vonatkozásai

14. A SOX informatikai vonatkozásai • Az alkalmazói rendszerek funkcionális megfelelőségéből és adataik érzékenységéből a törvény szerint eredő követelmények • (Adatok létrehozásának algoritmusai és feldolgozási módszereik helyessége: a pénzügyi szakértők felelőssége, az IT itt nem tud segíteni.) • Algoritmusok futtatása, adatfeldolgozás: IT feladata • A pénzügyi jelentések előállításában részt vevő informatikai folyamatokat olyan, mérhető teljesítményű ellenőrző rendszerbe kell foglalni, amely biztosítja: • A folyamatok működését (igény szerint, a követelmények alapján), akár fejlesztett, akár vásárolt szoftverről van szó • A folyamatok minden lépésének történeti visszakeresését • A lépések okával, végrehajtójával, engedélyezőjével, időpontokkal együtt • Védelmet a pénzügyi adatok szándékos vagy véletlen manipulációjával szemben. • Vagyis, fontos (és vizsgálandó): • Az információ rendelkezésre állása • Az információ biztonsága • Az információ integritása / sértetlensége • Ezek ISO /IEC 17799 ill. ISO 27000 (27001, 27002…) és COBIT követelményekben szerepelnek A SOX alapjai és informatikai vonatkozásai

15. A SOX informatikai vonatkozásai • Az alkalmazói rendszerek funkcionális megfelelőségéből és adataik érzékenységéből a törvény szerint eredő követelmények (folyt.) • A pénzügyi adatok teljes életciklusának követése (keletkezés, feldolgozás, továbbítás, tárolás) • Elektronikus kommunikáció (e-mail, feljegyzések…) eredményeinek, nyomainak, bizonyítékainak kezelése • Naplózás, biztonságos tárolás, spam- és vírusvédelem, jogosultságok beállítása és változásuk követése… • Elektronikus formában tárolt dokumentumok kezelése • Adathozzáférés, biztonságos tárolás, mentések, konfigurációkezelés… • Fontos, hogy az informatikai támogatás megfeleljen a vállalkozás üzleti céljainak (lásd COBIT - információ kritériumok) • Információ bizalmas kezelése A SOX alapjai és informatikai vonatkozásai

16. A SOX informatikai vonatkozásai • Követelmények a cég dokumentációs rendszerére és az auditorok dokumentumkezelésére vonatkozóan • Mindenfajta információ megőrzésének fokozott igénye • Megőrzendő dokumentumok (pl. felső vezetők 302. szakaszban előírt nyilatkozatai, pénzügyi jelentés, alkalmazottak „sípjelei”, auditorok dokumentumai …) • Megőrzési idők, büntetések az információ megsemmisítőinek, módosítóinak („fehérgalléros bűnözés…) • Érdemes (jó) dokumentumkezelő rendszert alkalmazni • Változások követése • Skálázhatóság, robosztusság (a dokumentumkezelő alkalmazásra és az őt ellátó adatbázis-kezelőre, operációs rendszerre, hardverre…) • Hiszen: az összes pénzügyi adat megőrzése kötelező – érdemes ezt a követelményt minden kritikus információt tartalmazó kommunikációra is kiterjeszteni A SOX alapjai és informatikai vonatkozásai

17. A SOX informatikai vonatkozásai • Informatikai cégek esetében szükség van • Jó folyamatokra • Megfelelő ellenőrzésre • Ezek kialakítására és működtetésére tulajdonképpen bármilyen, belső minőségügyi rendszert, szoftverfejlesztési, irányítási, támogató… folyamatokat, valamint biztonsági elemeket leíró szabvány vagy megközelítés (kombinált) alkalmazása megfelelő • Pl: ISO 9001:2000, CMMI, SPICE, COBIT, ISO 27001, EFQM, ITIL… • Ha a cég SOX alkalmazását támogató terméket gyárt • Jó termékekre! • Termék megfelelőségét szavatolós szabványok / megközelítések kellenek, kiemelten figyelve a biztonsági követelményekre • ISO 27002 / ISO 17799, CC (ISO 15408), ISO 9126… A SOX alapjai és informatikai vonatkozásai

18. Tartalom • Bevezetés • Mi is a SOX? • A SOX informatikai vonatkozásai • Hozzáférhető ellenőrzési keretrendszerek • Hogyan támogatja a CMMI a SOX-ot? • Következtetések A SOX alapjai és informatikai vonatkozásai

19. Hozzáférhető ellenőrzési keretrendszerek • A 404. szakasz követelményeinek kielégítésére (Management assessment of internal controls) támogatást nyújt: • COSO (http://www.coso.org/) • 1985-ben alakult, a pénzügyi jelentések minőségének fejlesztésére, a könyvszakértők, pénzügyi és számviteli szakértők szervezetei támogatásával, a National Commission on Fraudulent Financial Reporting tevékenységének támogatására • 1992: COSO Framework : Internal Control • 2004: COSO Framework: Integrated Enterprise • COSO anyagok beszerezhetők: http://www.aicpa.org/ (American Institute of Certified Public Accountants) • ISACA (http://www.isaca.org/ , http://www.isaca.hu/ ) • COBIT • Information Systems Audit and Control Association • Certified Information Systems Auditor (CISA) certification • Certified Information Security Manager (CISM) certification • ITGI - 2006: IT Control Objectives for Sarbanes-Oxley (ISACA segédlet) • A SOX követelményeinek informatikai oldali kezelésére 2006-ban ( http://www.itgi.org/ ) A SOX alapjai és informatikai vonatkozásai

20. Hozzáférhető ellenőrzési keretrendszerek • COBIT – Control OBjectives for Information Technology • Az informatikai folyamat-üzleti célegyüttest vizsgálja, a vállalkozás informatikai rendszerét 34 folyamatra / 4 szakterületre bontja (tervezés és szervezet, beszerzés és rendszermegvalósítás, szolgáltatás és támogatás, monitorozás és kiértékelés) • ITIL - Information Technology Infrastructure Library • Az információtechnológiai infrastruktúra, fejlesztés és üzemeltetés menedzselését támogató fogalmak és technikák rendszere • ISO 27701 : Information Technology –Security techniques – Information security management systems – Requirements • CMMI – Capability Maturity Model Integration • Szoftverfejlesztő / szoftvert beszerző / szoftvert szolgáltató cégek számára, 22 folyamat, 4 csoportban (szervezeti, projektirányítási, támogató, fejlesztési / ill. beszerzési) A SOX alapjai és informatikai vonatkozásai

21. Hozzáférhető ellenőrzési keretrendszerek • A COSO célja • Belső ellenőrzési keretrendszer leírása, amely • Közös definíciókészletet ad • Szabvány a szervezeti kiértékelésre és a javítási lehetőségek azonosítására • Biztosítja az eredményes és a vállalkozási céloknak megfelelő működést • Lehetővé teszi és megkönnyíti a megbízható pénzügyi jelentések készítését • Lehetővé teszi és megkönnyíti a vállalkozásra vonatkozó törvények betartását • A vállalati belső ellenőrzési rendszer a COSO értelmezésében a következő részekből áll: • Ellenőrzési környezet • Kockázatbecslés • Ellenőrzési tevékenységek • Információ és kommunikáció • Felügyelet A SOX alapjai és informatikai vonatkozásai

22. Hozzáférhető ellenőrzési keretrendszerek Célok • COSO & Integrated Framework • Forrás: Sarbanes-Oxley & CMMI. Mazars. Stratégiai Megfelelőség Műveletek Jelentés Belső környezet Célok meghatározása Leányvállalat Esemény azonosítása Üzleti egység Divízió Kockázatbecslés Komponensek Entitás-szint Kockázatot elhárító intézkedések Ellenőrzési tevékenységek Információ és kommunikáció Felügyelet Szervezet A SOX alapjai és informatikai vonatkozásai

23. Tartalom • Bevezetés • Mi is a SOX? • A SOX informatikai vonatkozásai • Hozzáférhető ellenőrzési keretrendszer • Hogyan támogatja a CMMI a SOX-ot? • Következtetések A SOX alapjai és informatikai vonatkozásai

24. Hogyan támogatja a CMMI a SOX-ot? • Integrált modell • A felsővezetés közvetlen bevonása • Folyamatfejlesztési modell • A szervezetet nagy arányban lefedi • A „képesség, képességi szint” fogalmának bevezetése • Intézményesítés fontossága • Megfelelőség: egyértelmű • A megközelítés a szervezet igényei szerint testreszabható • Pl. folytonos / lépcsős megközelítés A SOX alapjai és informatikai vonatkozásai

25. Hogyan támogatja a CMMI a SOX-ot? • Nagyon „erős” a konfigurációkezelés, mérési, minőségbiztosítási, szervezeti folyamatok meghatározására és szervezeti szintű folyamatszemlélet bevezetésére, valamint az oksági elemzésre vonatkozó követelményrendszere • CM – GP 2.6, MA – GP 2.8, PPQA- GP 2.9, CAR – GP5.2, OPF, OPD folyamata ill. beépülésük az általános gyakorlatokba) • Ezeket a SOX felhasználja / megköveteli • Világos követelmények, mérhető megközelítésben • Általános gyakorlatok miatt egyes követelmények (pl. mérések végzése, konfigurációkezelés és minőségbiztosítás) minden folyamat esetében megjelennek • Világos felmérési módszertan (SCAMPI A, B, C) • Nemzetközi auditor-hálózat • www.sei.cmu.edu , www.sqi.hu • CMMI-felmérés: • Bizalom megalapozója, útmutató a továbbiakra A SOX alapjai és informatikai vonatkozásai

26. Hogyan támogatja a CMMI a SOX-ot? Célok • COSO & Integrated Framework • Forrás: Sarbanes-Oxley & CMMI. Mazars. Stratégiai Megfelelőség Műveletek Jelentés Belső környezet (CM,SAM, OT, Célok meghatározása Leányvállalat Üzemeltetés Esemény azonosítása (OPD, OPF) Fejlesztési részleg Komponensek Kockázatbecslés (PP, RSKM) Entitás-szint Kock. elhárító intézkedések (PP, PMC, RSKM) Ellenőrzési tevékenységek (MA, PPQA) Információ és kommunikáció (OT, OID) Felügyelet (MA, PPQA, DAR, OPP, QPM, CAR, OID…) Szervezet A SOX alapjai és informatikai vonatkozásai

27. Tartalom • Bevezetés • Mi is a SOX? • A SOX informatikai vonatkozásai • Hozzáférhető ellenőrzési keretrendszer • Hogyan támogatja a CMMI a SOX-ot? • Következtetések A SOX alapjai és informatikai vonatkozásai

28. Következtetések • A SOX megjelent a „szoftverminőségi szabványok” között, kapcsolódik ezekhez • …bár nem szoftverminőségi szabvány! • Sok más szabvány / megközelítés alkalmazása szükséges ahhoz, hogy a SOX-ból eredő követelmények informatikai vonatkozásait megértsük, alkalmazzuk A SOX alapjai és informatikai vonatkozásai

29. Felhasznált irodalom • Sarbanes-Oxley Act of 2002.http://www.pcaob.org/About_the_PCAOB/Sarbanes_Oxley_Act_of_2002.pdf • Dr. Szenes Katalin: Informatikai biztonsági megfontolások a Sarbanes-Oxley törvény ürügyén. Az informatikai biztonság kézikönyve. Verlag Dashöfer Szakkiadó, 2007 március. 2.2. fejezet.Szerkesztő: Dr. Szenes Katalin, Muha Lajos • Sarbanes-Oxley & CMMI. Mazars, Conference of European Software Engineering Process Group (ESPEG), June 2005., London A SOX alapjai és informatikai vonatkozásai

30. Köszönöm a figyelmet! balla@iit.bme.hu balla.katalin@sqi.hu A SOX alapjai és informatikai vonatkozásai