IT Governance Model for SoX Relevant Business Organizations

Введение и рамки исследования

Постановка бизнес-задачи

Одной из основных задач подсистемы управления ИТ департаментом на Предприятии может являться поддержание системы контрольных точек, позволяющих Организации минимизировать финансовые риски и решать бизнес задачи по соблюдению требований регуляторов в сфере финансовой отчетности. Одним из наиболее значимых регуляторов такого рода является закон Сарбейнса—Оксли (Sarbanes-Oxley Act, SOX) [1].

Закон Сарбейнса—Оксли (Sarbanes-Oxley Act, SOX) был принят в 2002 году и стал наиболее широким по своему охвату законодательным актом о ценных бумагах Соединенных Штатов Америки за последние 70 лет. Закон был разработан для защиты инвесторов путем усовершенствования правильности и достоверности открытой информации, созданной в корпорациях в соответствии с законодательством по ценным бумагам.

Сегодня соответствие Sarbanes-Oxley стало общемировой практикой бизнеса и многие компании, в том числе и российские, добровольно приняли требования SOX для повышения инвестиционной привлекательности и возможности ведения бизнеса на международном рынке. Sarbanes-Oxley (SOX)- это подход, позволяющий предупреждать финансовые риски. Компании, планирующие выходить на фондовый рынок, должны подтвердить достоверность своей финансовой отчетности и эффективность системы внутреннего контроля. Таково одно из основных требований закона Сарбейнса—Оксли. Его выполнение напрямую зависит от эффективности системы контроля деятельности ИТ.

Сегодня в России не так много компаний, акции которых допущены к обращению на биржах США. Тем не менее, нельзя сказать, что североамериканский фондовый рынок не привлекателен для российских предпринимателей.

Портрет компании, которая, может быть заинтересована сейчас либо в ближайшем будущем в размещении своих акций на фондовых рынках США:
• стоимость активов или годовой оборот превышает 150 млн. долл.;
• средние темпы развития отрасли (например, фармацевтика), в которой работает компания, не менее 10% в год;
• на протяжении последних двух-трех лет стабильный рост выручки или активов на 30% в год.

ООО «Новартис Консьюмер Хелс», дочернее подразделение крупного Швейцарского фармацевтического концерна, вполне соответствует данным критериям. Так, достижение высоких бизнес-результатов позволило Российскому подразделению Компании подняться на 5 строчку в списке подразделений Новартис с наибольшей финансовой выручкой в секторе безрецептурных препаратов.

Вместе с тем, с ростом оборота по продажам, неизбежно растут финансовые риски, которые, согласно независимым оценкам, могут составить от 0.5 до 1.5 % от ежегодного объема продаж [2]. В данных условиях задача ревизии как бизнес, так и ИТ контролей SoX и модернизация подсистемы управления ИТ становится весьма актуальной задачей.

Задачи ИТ департамента и актуальность SoX IT проекта

Хотя личную ответственность за соблюдение требований SoX несут Генеральные и Финансовые Директора предприятий, производной задачей ИТ департаментов является выстраивание адекватной подсистемы управления ИТ департаментом, которая бы обеспечивала необходимый контроль над информационными системами, прямо или косвенно задействованными в подготовке финансовой отчетности для инвесторов.

Дополнительным мотивом к выстраиванию эффективной подсистемы управления ИТ является тот факт, что Информационные технологии непосредственно влияют на рыночную стоимость организации. Ключевые факторы акционируемого бизнеса – стоимость информации и репутация. Зачастую лишь 15% рыночной стоимости организации находится в ее материальных активах, тогда как остальные 85% - в нематериальных, и большая часть из них приходится именно на информацию (согласно оценке Brookings Institute [4]). Руководители предприятий все больше осознают стратегическое значение информационных активов и возможностей их использования. По мере роста ценности этих активов возрастает и необходимость адекватной оценки и минимизации рисков, связанных с некорректным определением их влияния на стоимость компании.

Дипломная работа «IT Governance Model for SoX Relevant Business Organizations” посвящена разработке практического подхода к организации подсистемы управления ИТ департаментом дочерней компании крупной транснациональной фармацевтической корпорации, в которой вопросам совместимости органов как бизнес так и ИТ управления со стандартом SoX 404, в виду высоких финансовых рисков, традиционно уделяется большое внимание. Прямой бизнес задачей Проекта, лежащего в основе дипломной работы, как раз и является смягчение, посредством внедрения ИТ контролей, р�