SOX Compliance Specialist (IT)

En SOX compliance specialist (IT) passer på de IT-systemer, der producerer tal til årsregnskabet. Opgaven er ikke at stoppe hackere. Opgaven er at bevise, at tallene ikke kan ændres af de forkerte uden opdagelse.

Arbejdet starter med at afgrænse, hvilke systemer der tæller med (scoping). Det er typisk ERP-systemet, lønsystemet, konsolideringsværktøjet og de databaser, der fodrer dem.

Derefter testes de generelle IT-kontroller (ITGC). De falder i tre grupper:

• Adgang: Hvem fik adgang, hvem godkendte det, og blev adgangen fjernet ved fratrædelse? Her indgår også administratorkonti og funktionsadskillelse (Segregation of Duties).
• Ændringer: Blev ændringen testet og godkendt, før den kom i drift? Kan en udvikler selv flytte kode i produktion?
• Drift: Kører de planlagte kørsler (batchjobs)? Bliver fejl fanget og løst? Virker gendannelse fra backup?

Ud over ITGC tester du automatiske kontroller inde i systemet. Et eksempel: fakturaer over et vist beløb kan ikke bogføres uden ekstra godkendelse. Du tester også de rapporter, økonomiafdelingen bruger til deres egne kontroller (IPE). Her skal du vise, at rapportens data er komplette og korrekte.

En almindelig dag ser ofte sådan ud:

• Du udtrækker en stikprøve på fx 25 brugeroprettelser i SAP eller Dynamics 365.
• Du beder systemejeren om bevis: godkendelsen, ticketnummeret, skærmbilledet.
• Du holder en gennemgang (walkthrough) med en SAP Basis-konsulent eller en Active Directory-administrator.
• Du opdaterer kontrolmatricen og teststatus i AuditBoard, Workiva eller et regneark.
• Du svarer den eksterne revisor, som mangler bevis for tre ændringer fra august.
• Du aftaler en plan for at rette en fejlende kontrol (remediation).

Fejl i kontroller får en karakter. En mindre fejl kaldes en deficiency. En alvorlig hedder significant deficiency. Den værste, material weakness, skal oplyses offentligt i selskabets rapportering til den amerikanske børsmyndighed SEC. Derfor tager ledelsen rollen alvorligt.

Meget drift er outsourcet. Så tester du ikke selv, men vurderer leverandørens erklæring. Det er typisk en SOC 1 eller en ISAE 3402 Type 2. Du læser især, hvilke kontroller leverandøren forventer, at I selv udfører.

Året har fast rytme: afgrænsning og risikovurdering først, test i efteråret (interim), opdatering tæt på statusdagen (roll-forward) og oprydning ved årsafslutning.

Du arbejder sammen med intern revision, økonomi, IT-drift, informationssikkerhed og den eksterne revisor. En stor del af jobbet er at få travle IT-folk til at dokumentere det, de allerede gør. Diplomati fylder lige så meget som teknik. Arbejdssproget er næsten altid engelsk.

Hvilken lovgivning dækker denne rolle?
Rollen findes på grund af den amerikanske Sarbanes-Oxley Act. Section 302 kræver, at direktøren og finansdirektøren personligt skriver under på regnskabet. Section 404 kræver, at ledelsen dokumenterer og vurderer de interne kontroller over regnskabsaflæggelsen. I de største selskaber skal den eksterne revisor også teste kontrollerne. Den amerikanske børsmyndighed SEC håndhæver loven, mens tilsynet PCAOB fastlægger revisors fremgangsmåde i standarden AS 2201. Loven er ikke dansk, men rammer danske selskaber noteret på Nasdaq eller NYSE og deres datterselskaber. Kontrollerne struktureres normalt efter COSO-rammeværket og IT-delen efter COBIT fra ISACA. Der findes ingen dansk autorisation til rollen.

Der findes ingen dansk uddannelse, der hedder SOX compliance. Folk kommer typisk ind ad tre veje.

• Revisorvejen er den mest almindelige. HA eller HD 1. del tager tre år, derefter cand.merc.aud på to år eller HD i regnskab på deltid. Så følger to til fire år i IT-revision hos et større revisionshus. Der tester man ITGC hos mange kunder på kort tid. Derefter skifter mange til en koncern som Internal Controls eller SOX Specialist.
• IT-vejen går gennem datamatiker, softwareudvikling, cand.it eller år som systemadministrator. Erfaring med SAP-autorisationer, Active Directory eller ændringsstyring i ServiceNow vejer tungt. Du skal så lære revisionslogikken: bevis, stikprøve, konklusion, dokumentation.
• Sidevejen indefra sker ofte tilfældigt. Man sidder i økonomi eller IT-drift i en amerikansk-ejet koncern, hjælper med SOX-testen én sæson og bliver hængende.

Adgangskrav til de erhvervsøkonomiske bacheloruddannelser er en gymnasial eksamen, typisk med Dansk A, Engelsk B og Matematik B. De præcise krav står i UddannelsesGuiden fra Uddannelses- og Forskningsministeriet og varierer mellem universiteterne.

Certificeringer betyder meget i dette fag. CISA fra ISACA er reelt adgangsbilletten. Den kræver en eksamen og fem års relevant erfaring, hvor dele kan erstattes af uddannelse. Derefter er CRISC og CISM fra ISACA, CIA fra IIA og CISSP fra ISC2 almindelige. Kurser og netværk findes gennem ISACA Denmark Chapter og IIA Danmark.

Regn med fem til otte år fra studiestart til en selvstændig SOX-rolle. Kommer du fra IT-drift med tung ERP-erfaring, kan skiftet tage et til to år.

Jobbene i Danmark ligger hos danske selskaber noteret i USA, ofte medicinal- og biotekselskaber på Nasdaq. Dertil danske datterselskaber af amerikanske koncerner, nordiske shared service centre og revisionshusenes IT-revisionsafdelinger. Opslagene hedder ofte IT Audit, Internal Controls eller IT Risk & Compliance i stedet for SOX.

Skal du hyre, så spørg konkret. Hvor mange ITGC-kontroller har kandidaten selv testet, i hvilke systemer, og over hvor mange sæsoner? Bed om et eksempel på et testskript og en beskrivelse af en fejl, de har fundet. Mange kandidater har koordineret SOX-arbejdet uden selv at teste. Det er to forskellige profiler.

• ERP og økonomisystemer: SAP ECC og S/4HANA, Oracle, Microsoft Dynamics 365, NetSuite og Workday. Konsolidering sker ofte i OneStream eller HFM.
• Adgangsstyring: Active Directory og Microsoft Entra ID. I større SAP-huse også SAP GRC Access Control, SailPoint eller Saviynt til roller og rettigheder.
• Sagsstyring: ServiceNow og Jira leverer bevis for godkendte ændringer og hændelser. Azure DevOps, GitHub og Jenkins viser, hvem der har flyttet kode i produktion.
• GRC-platforme til at holde styr på kontroller, test og fejl: AuditBoard, Workiva, ServiceNow IRM, Archer og LogicGate. Mindre selskaber kører stadig på regneark og SharePoint.
• Dataanalyse: Excel med Power Query, Power BI, Alteryx og revisionsværktøjerne IDEA og ACL. Bruges til at bevise, at et udtræk er komplet.
• Cloud: AWS, Azure og Google Cloud. Her tester du sjældent selv. Du læser leverandørens SOC 1- og SOC 2-rapporter.
• Rammeværker: COSO fra Committee of Sponsoring Organizations til kontrolstrukturen og COBIT fra ISACA til IT-delen.

En stor del af beviset er stadig dateret skærmklip med brugernavn og systemtid. Det lyder gammeldags, men eksterne revisorer accepterer det, når det er konsistent.