SOX 与 IT 控制
SOX（萨班斯-奥克斯利法案，2002 年）要求美国上市公司管理层对财务报告相关内部控制的有效性负责，并由外部审计师出具意见。IT 侧需要证明支撑财务数据的系统在访问、变更、运维等环节受控，由此形成 ITGC（IT 一般控制）的固定工作内容，控制点覆盖到接口与外包。
基本信息
| 适用范围 | 影响财务报告的系统、数据与流程（含外包） |
|---|---|
| 核心要求 | 控制设计文档 + 执行证据 + 缺陷评估整改 |
| 审计节奏 | 年度测试，季度更新与缺陷跟踪 |
| 常见控制域 | 访问管理、变更管理、运维与作业、程序开发 |
典型使用场景
- 年度审计前：梳理财务相关系统清单，确认是否新增系统
- 控制文档更新：系统或流程变更后同步修订控制描述
- 证据收集：按抽样清单准备审批记录、日志与报告
- 缺陷整改：审计发现后制定计划并跟踪到验证关闭
- 外包场景：向供应商索取控制报告并确认覆盖范围
- 新系统上线：判断是否落入财务报告相关范围
工作步骤示例
工作步骤示例
1. 识别财务相关系统清单（含接口与外包） # 范围先行
2. 为每个系统记录关键控制与责任人（控制矩阵）
3. 明确证据形式：审批记录、系统日志、复核签字
4. 按季度收集证据，避免审计期临时补材料 # 平时留痕
5. 缺陷分级、制定整改计划并跟踪至验证关闭
6. 与外部审计对齐测试范围与抽样口径控制域与证据
| 控制域 | 典型控制点 | 常见证据 |
|---|---|---|
| 访问管理 | 账号开通、权限变更、离职回收需审批 | 工单与审批记录、权限复核表 |
| 变更管理 | 变更需审批、测试与回滚预案 | 变更单、测试记录、发布记录 |
| 运维与作业 | 批量作业与数据修改有授权与复核 | 作业日志、授权单 |
| 程序开发 | 需求、开发、测试、上线职责分离 | 项目文档与上线审批 |
非上市公司也可能被客户或投资方按 SOX 口径要求提供控制说明，提前建立控制矩阵比临时应付省力得多。