فرص جديدة للشركات في تقارير S0C

System and Organization Controls- SOC

By Joseph Radigan

  بالتصرف سليمان سليم شعبان

ماجستير محاسبة مالية

  sleimanshaaban@gmail.com

 مدفوعًا بتطور عالم الأعمال المستمر نحو الاستعانة بمصادر خارجية ، وهي خدمة توفر عددًا كبيرًا نسبيًا من الأعمال

 قالت أغلبية ساحقة (84٪) من الشركات التي شملتها الدراسة الاستقصائية العالمية لعام 2018 لشركة Deloitte ، إنها إما بدأت مناقشات أو نفذت على الأقل بعض حلول الاستعانة بمصادر خارجية. وفي الوقت نفسه ، فإن تحرك الشركات نحو الاستفادة من الخدمات السحابية يضع بياناتها في أيدي أطراف ثالثة. الهدف ، في حين أن الاستعانة بمصادر خارجية يمكن أن توفر كفاءات جديدة ووفورات في التكاليف ، تواجه الشركات مخاطر جديدة عندما تقوم بتسليم العمليات والبيانات إلى الشركاء خارج مؤسستهم.

 يمكن التقليل إلى الحد الأدنى من هذه المخاطر إذا كانوا مزودو خدمات الاستعانة بمصادر خارجية ، وكانوا قادرين على منع السرقة والاحتيال والهجمات الإلكترونية وغيرها من التحديات. يمكن لمراجعات ضوابط النظام والهيكل (SOC) التي تقوم بها جهات الاكتساب المؤقتة أن تضمن أن مزودي الاستعانة بمصادر خارجية يمتلكون ضوابط مناسبة. قد يتم اعتبار عمليات إرسال CPA فرصة تجارية لقطع التكاليف.

 كما هو الحال مع أي عرض خدمة جديد ، ينبغي أن تكون الشركة قادرة على تقييم عملائها يمكن الاستفادة من الخدمات الجديدة. إذا كان الأمر كذلك ، يجب على الشركة النظر في إمكانيات المهارات والخبرات التكنولوجية العميقة لإجراء اختبارات SOC.

 لغرض تقديم الخدمات لعملائها ، قد يكون أداء خدماتSOC امتدادًا طبيعيًا لمهارات الشركة وكفاءاتها. الشركات التي لا تملك المهارات والخبرات اللازمة في مقرها لديها خيارات.  بحيث يمكنهم:

 خدمات SOC ؛ مراجع العملاء.أو

 توظيف أشخاص لديهم خبرة تقنية لأداء هذه الخدمات.

 إذا كانت إحدى الشركات تفكر في التوسع لتقديم خط خدمة جديد في خدمات SOC ، فينبغي اتخاذ هذا القرار فقط بعد إجراء تحليل دقيق لاحتياجات عملائها ومداولاتهم حول المخاطر والفرص التي ستنشئها خط الخدمة الجديد. بالنسبة للعديد من الشركات ، تقدم خدمات واحدة من أكثر الشركات الموثوق بها في العالم.

 نمو مطلوبات الشركة. حفزت الابتكارات التكنولوجية مثل البيانات الكبيرة والاعتماد المتزايد على مزودي الحوسبة السحابية تقارير SOC للمحاسبة.

 قال جيم بوركي ، CPA / CITP / CFF ، CGMA ، شريك ومدير تنفيذي للخدمات الاستشارية في Withum Smith + Brown PC ، في مدينة نيويورك. "تعتبر اختبارات SOC مثالاً على واحدة من تلك الخدمات التي تغذيها التكنولوجيا تمامًا ، ولن تختفي".

 ينتج عن التزامات SOC 1 تقارير عن الضوابط الداخلية لمنظمات الخدمة فيما يتعلق بالإبلاغ المالي ، في حين تؤدي التزامات SOC 2 إلى تقارير عن ضوابط مؤسسات الخدمة فيما يتعلق بأمن المعلومات وتوافرها ونزاهة المعالجة والسرية وخصوصية البيانات. SOC للأمن السيبراني هي مشاركة للمنظمات التي تبحث عن تقرير حول برنامج لإدارة مخاطر الأمن السيبراني وفعالية الضوابط داخل البرنامج. قيد التطوير أيضًا التزام جديد ل SOC يركز على ضوابط المصنعين أو المنتجين أو الموزعين (بدلاً من منظمات الخدمات) لصالح عملائهم وشركائهم في العمل.

 أصبح Bourke مدافعًا عن نوبات شركات المحاسبة التي تعمل على تطوير تخصص في التزامات SOC. من وجهة نظر Bourke ، كانت مجموعة متنوعة من أساليب الإبلاغ الاجتماعي الساحقة ، وخاصة في مجال تكنولوجيا المعلومات. تعد ارتباطات SOC وسيلة لشركات الأعمال لإظهارها للعملاء أن خبراتهم وخدماتهم تظل حيوية لقدرة العملاء على إدارة أعمالهم.

 فيما يلي بعض الأشياء التي تحتاج CPA إلى معرفتها:

 الخبرة التكنولوجية ضرورية

 وقال ستيفن أرسيلو جونيور ، CPA / CITP ، CGMA ، وهو شريك مع Cherry Bekaert LLP في West Warwick ، RI ، والزعيم للشركة ، إن التزام SOC "يتطلب فهماً شاملاً لبيئات التكنولوجيا التي تعمل بها معظم هذه الشركات". لضمان المعلومات والأمن السيبراني. من المتوقع أن تفهم تكلفة الاكتساب تقنية العميل وعملياته وملف تعريف المخاطر وما إذا كانوا يشغلون تقنيتهم في الموقع أم في السحابة.

 "كما يتضمن معرفة وفهم هامين لماهية تهديدات الأمن السيبراني ، وما هو برنامج حوكمة الأمن السيبراني النموذجي ، وما الذي يتوقعون تحقيقه؟"  للمنظمة ".

 وأضاف أورسيلو أن SOC عضو في لجنة المنظمات الراعية للضوابط الداخلية COSO - الإطار المتكامل لهيئة Treadway.

 وأضاف أورسيلو أن مجلس الرقابة الداخلية - COSO (الضوابط الداخلية - الإطار المتكامل).

 يمكن أن تساعد ارتباطات SOC العملاء في إدارة مخاطر الأمن السيبراني.

 قال بورك إن كل أصحاب المصلحة في الأعمال التجارية - بما في ذلك الشركاء والمساهمين والعملاء والموردين - هم في مجال الأمن السيبراني للأعمال.

 وقال بورك: "إنهم يريدون أن يكونوا مرتاحين لأن SOC في لعبتها فيما يتعلق بتأمين الأمن السيبراني". "أريد التأكيد على حقيقة أن لديهم التزام SOC القيام به."

 تتضاعف الرغبة في الراحة على الأمن السيبراني وحماية البيانات بسبب الاعتماد المتزايد على مزودي التكنولوجيا من الأطراف الثالثة.

 وقال أورسيلو: "من أجل المحافظة على هذه البيانات ، لديك توقعات بالأمان". "مقدار الانتهاكات ومستوى الضرر [الذي قد ينتج عنه] جعل القوانين والهيئات التنظيمية مسؤولة عن مساءلة الأفراد والمنظمات"

 كلما زادت المنظمات التي تعتمد على التكنولوجيا الناشئة ، كلما زادت أهمية الحماية الفعالة للبيانات.

 وقال أورسيلو: "تحتاج المنظمات بالتأكيد إلى التخفيف من مخاطر البيانات وتجاوز الضوابط الداخلية للإبلاغ المالي.

 تحديد الصناعة في السوق الخاص بك

 جينا برويت ، CPA / CITP ، CGMA ، العضو المسؤول ، تأمين المخاطر والخدمات الاستشارية لـ KraftCPAs PLLC في ناشفيل ، تينيسي ، قال إن السوق المحلي لشركتها لديها صناعة رعاية صحية كبيرة ومجموعة متنامية من موردي الطرف الثالث خدمة سوق الرعاية الصحية ، بما في ذلك معالجات المطالبات وشركات إدارة البيانات ومقدمي خدمات البرمجيات كخدمة (SaaS). تعد حماية البيانات مصدر قلق كبير للموردين ومقدمي الرعاية الصحية.

وقال برويت "هناك سمعة عالية للغاية لدى أطراف ثالثة". "إن الطريقة الوحيدة التي ستعمل بها هذه المهنة الرعاية الصحية هي إذا كان لديهم تقرير SOC".

 لا تدع شرط مراجعة النظراء يصبح عائقًا أمام الدخول

 الممارسون مع التزامات المشاركة الاجتماعية الراسخة الذين يترددون في دخول السوق الاجتماعي. في رأي الممارسين SOC ، يتم المبالغة بالاستمرارية.

وقال بروت SOC المشاركة. تعمل مع الشريك الرئيسي الآخر لشركتها في ممارسة الخدمات المالية لعمل الشركة لضمان الامتثال للمعايير. يقوم Pruitt وهذا الشريك بإجراء المراجعات الفنية لعمل الآخر.

 الطلب على تقارير SOC كبير بالفعل ومن المرجح أن ينمو

 جعلت الشعبية المتزايدة للخدمات السحابية الأمر أسهل من أي وقت مضى. يحتاج عملاء شركة CPA إلى تأمين أنظمتهم وبياناتهم مع تغير البنية التحتية التكنولوجية الخاصة بهم ، وتقارير SOC هي وسيلة لتحقيق ذلك.

 فرق العمل المشاركة تحتاج إلى كفاءات محددة

 يحدد دليل AICPA SOC 2 التقارير عن فحص الضوابط وتقرير منظمة الخدمة بشأن الأمن أو التوفر أو معالجة النزاهة أو السرية أو الخصوصية كفاءات وقدرات فرق المشاركة.

    فهم الأنظمة المستخدمة لتوفير الخدمات ، بما في ذلك التشغيل والأمن لهذه الأنظمة.
    دلالة على صناعة وتنظيم الأعمال التجارية
    فهم العمليات التجارية والضوابط.
    أنظمة الكمبيوتر والشبكات وجدران الحماية أو تقنيات جدار الحماية وبروتوكولات الأمان وأنظمة التشغيل وقواعد البيانات.
    معرفة أي تقنيات غير مألوفة أو تكنولوجيا خاصة بالصناعة تستخدمها منظمة الخدمة.
    فهم عمليات تكنولوجيا المعلومات والضوابط ، مثل إدارة أنظمة التشغيل والشبكات وبرامج المحاكاة الافتراضية وتقنيات الأمان ذات الصلة ؛ مبادئ ومفاهيم الأمن ؛ تطوير البرمجيات ؛ وإدارة الحوادث وإدارة مخاطر المعلومات.
    تجربة مع تقييم تصميم وفعالية تشغيل الضوابط.
    فهم المعايير المهنية والقدرة على تطبيق الشك المهنية والحكم في الامتحان.
    فهم المتطلبات القانونية والتنظيمية المتعلقة بالفحص.

إدارة الممارسات الثابتة
         ممارسة النمو وخدمة العملاء