Dlaczego nadszedł czas na emeryturę IPE: mądrzejsze podejście do SOX

Informacje opracowane przez Podmiot, powszechnie znane jako IPE, od lat stanowią kamień węgielny testów zgodności z SOX. Chociaż koncepcja IPE pozostaje słuszna, sposób, w jaki większość organizacji nią zarządza, stał się znaczącym źródłem nieefektywności. Być może nadszedł czas, aby całkowicie przemyśleć to podejście.

Co to jest IPE?

IPE odnosi się do dowolnego raportu, wyciągu danych lub wyników wygenerowanych przez własne systemy firmy, które są wykorzystywane jako dowód w testach kontroli wewnętrznej. Jeżeli audytor opiera się na raporcie wiekowania w celu sprawdzenia kontroli należności, raport ten stanowi IPE. Jeżeli kierownictwo korzysta z wygenerowanej przez system listy zapisów księgowych w celu sprawdzenia podziału obowiązków, taką listą jest IPE.

Zasada jest prosta: jeśli do testowania kontroli wykorzystujesz dane wygenerowane przez firmę, musisz sprawdzić, czy same dane są dokładne i kompletne. W przeciwnym razie cały wniosek z testu opiera się na niezweryfikowanym fundamencie.

Problem z obecnymi praktykami IPE

Teoretycznie walidacja IPE jest rozsądnym zabezpieczeniem. W praktyce stało się to jednym z najbardziej uciążliwych i najmniej wartościowych aspektów zgodności z SOX.

Większość organizacji waliduje IPE, przeprowadzając kontrole kompletności i dokładności każdego raportu wykorzystywanego w testach kontrolnych. Często oznacza to ponowne uruchomienie raportów, powiązanie sum z systemami źródłowymi i udokumentowanie walidacji w oddzielnych dokumentach roboczych. W przypadku organizacji posiadających setki kontroli, z których każda opiera się na wielu raportach, ilość pracy związanej z walidacją IPE jest ogromna.

Wysiłek ten potęguje fakt, że wiele z tych raportów jest generowanych przez te same systemy, w sposób powtarzalny wykorzystujący te same dane. Jednak zespoły często sprawdzają każdą instancję niezależnie, nawet jeśli podstawowe źródło danych nie uległo zmianie.

Dlaczego tradycyjne podejście jest niewystarczające

Nadmiarowy wysiłek. Zespoły często wielokrotnie weryfikują dane wyjściowe tego samego systemu przy użyciu różnych elementów sterujących. Bilans próbny wygenerowany przez ERP może zostać zweryfikowany oddzielnie na potrzeby badania przychodów, badania wydatków i przeglądu bilansu, mimo że jest to ten sam raport z tego samego systemu.

Narzut związany z dokumentacją. Każda walidacja IPE wymaga własnej dokumentacji, tworzącej papierową ścieżkę, która zwiększa objętość bez proporcjonalnej wartości. Audytorzy spędzają więcej czasu na dokumentowaniu walidacji niż na jej przeprowadzaniu.

Fałszywe poczucie pewności. Sprawdzenie, czy suma raportu jest zgodna z sumą systemową, potwierdza, że ​​raport został wygenerowany poprawnie. Nie dotyczy to, czy podstawowe dane w systemie są dokładne. Walidacja sprawdza raport, a nie dane.

Drenaż zasobów. Walidacja IPE pochłania godziny audytu, które można przeznaczyć na obszary o podwyższonym ryzyku. Kiedy w trakcie pracowitego sezonu zespoły są przeciążone, błędna alokacja wysiłku ma realne konsekwencje.

Inteligentniejsza alternatywa

Zamiast weryfikować pojedyncze przypadki raportów, organizacje powinny rozważyć podejście na poziomie systemu. Oznacza to budowanie zaufania do systemów tworzących raporty, zamiast testowania każdego wyniku osobno.

Ogólne kontrole IT (ITGC) już dotyczą integralności danych generowanych przez system. Jeżeli ITGC dotyczące konkretnej aplikacji są skuteczne, istnieje uzasadniona pewność, że raporty generowane przez tę aplikację są wiarygodne. Wzmocnienie powiązania między testowaniem ITGC a poleganiem na IPE może znacznie ograniczyć powielanie pracy.

Automatyczne uzgodnienia mogą zastąpić ręczne kontrole IPE. Kiedy przepływy danych są uzgadniane automatycznie pomiędzy systemami, potrzeba walidacji IPE w określonym momencie maleje. Samo pojednanie zapewnia ciągłą pewność.

Standardowe źródła danych zmniejszają liczbę unikalnych elementów IPE wymagających walidacji. Jeśli wszystkie kontrole w procesie opierają się na tym samym wyciągu danych, zweryfikuj ekstrakt raz, a nie osobno dla każdej kontroli.

Co to oznacza dla zespołów audytowych

Wycofanie się z tradycyjnego podejścia IPE nie oznacza rezygnacji z walidacji danych. Oznacza to strategiczne podejście do tego, gdzie i w jaki sposób stosowane są wysiłki związane z walidacją. Skoncentruj się na systemach i przepływach danych, które stwarzają największe ryzyko. Wykorzystaj ITGC i zautomatyzowane kontrole, aby zapewnić pewność wyników systemu.

Nowoczesne narzędzia audytu mogą wspierać to przejście, utrzymując bezpośrednie powiązania między danymi źródłowymi a dokumentami roboczymi, redukując potrzebę ręcznej walidacji. Platformy takie jak Blast Audit, które wyodrębniają i dopasowują dane w ramach Excel, tworzą możliwe do prześledzenia powiązania między dowodami i wnioskami, co zmniejsza zależność od samodzielnej dokumentacji IPE.

Celem jest przekierowanie wysiłków z dokumentacji o niskiej wartości na analizę o wyższej wartości, co ostatecznie sprawi, że proces zgodności z SOX będzie zarówno wydajniejszy, jak i skuteczniejszy.