SOX kontroly a možnosti jejich automatizace

Vít Řezáč

Master's thesis

Possibilities of SOX Controls Automation

Abstract:

Diplomová práce se zaměřuje na problematiku zákona SOX. Analyzuje jeho příčiny a dopady. Primárně se zaměřuje na sekci 404. Ta stanovuje pro veřejně obchodované společnosti povinnost interních kontrol nad finančním vykazováním. V rámci práce je provedena analýza systému interních kontrol a také samotných interních kontrol. Spolu se samotným systémem jsou diskutovány frameworky, které mohou s implementací pomoci. Frameworky mohou pomoci s identifikací rizik, které je třeba interními kontrolami pokrývat. Součástí analýzy interních kontrol je jejich kategorizace podle typu vykonávání kontroly.V závěru teoretické části je provedena analýza jedné kategorie, kterou se zabývá zbývající část práce. Tou jsou konfigurační kontroly. Kromě samotných kontrol je analyzováno jejich testování a různé přístupy k němu – od manuálního přes automatické testování až po průběžné monitorování. V závěru je analyzován nástroj SAP GRC a v jeho rámci je implementována jedna konfigurační kontrola. Touto implementací se začíná práce přesouvat z teoretické části do praktické.Kromě části o SAP GRC je praktická část zaměřena na splnění hlavního cíle práce. Tím je vývoj nástroje pro automatizované testování konfiguračních kontrol. V praktické části je provedena analýza technologií pro frontend a backend. Aby mohl nástroj správně fungovat, vyžaduje data ze zdrojového systému. Proto je část kapitoly věnována možným přístup, jak provést extrakci dat ze systému SAP ERP.V závěrečné kapitole je provedena implementace nástroje. V rámci ní jsou v nástroji přítomny čtyři konfigurační kontroly. Nad jednou kontrolou je provedena analýza celého procesu vyhodnocení kontroly. Na tomto procesu je demonstrována nejen samotná implementace nástroje, ale také způsob extrakce dat ze zdrojového systému a jejich nahrání do nástroje. V poslední části kapitole je podrobná analýza čtyř implementovaných kontrol. Ty jsou analyzovány nejen z obecného pohledu, ale také technického, který je specifický pro systém SAP ERP.

Abstract:

The diploma thesis focuses on a problematic of SOX act of 2004 and its consequences. SOX section 404 is the main area of interest. It requires public companies to have an assessment of effectiveness of their internal control system for financial reporting. Thesis focuses on the internal controls from a general point of view, not just the financial reporting aspects. During an analysis a process of implementation of internal controls is described. This covers different frameworks that can be used to identify relevant risks and internal controls themselves.The last chapter of the theoretical part of this thesis focuses on configuration controls, which are a subset of internal controls. Furthermore, three kinds of testing procedures are also analyzed in this chapter, consisting of a manual and automatic procedures and a continuous monitoring approach, represented by SAP GRC. From here the thesis transitions from theoretical to practical segment, where the implementation of control in SAP GRC Process Control is analyzed and realized.The main goal of the diploma thesis is the development of a configuration control testing tool, which would automatize the tasks performed manually during the course of configuration testing, as required by the SOX act. The rest of the practical part focuses on this topic. Backend and frontend design analysis is performed. Possible data extraction approaches are analyzed as the data extraction from a source system is crucial for this tool to function properly.Final implementation of the set controls into the tool is described in the last chapter of the thesis. The process of implementation is described on an example control, where the testing is run end to end and all parts of the control are shown in this process. The analysis and SAP implementation of four controls that are implemented in the tool is at the end of the chapter. These configuration controls are analyzed from both general and technical standpoint. The technical standpoint covers the implementation of these controls in the SAP ERP.

Keywords

interní kontroly, testování, SOX, SQL, VBA, konfigurační kontroly

Keywords

internal controls, SOX, configuration controls, testing, SQL, VBA

Language used: Czech

Date on which the thesis was submitted / produced: 13. 6. 2018

Thesis defence

• Date of defence: 28. 5. 2019
• Supervisor: Ota Novotný
• Reader: Tomáš Legát

Vysoká škola ekonomická v Praze

Master programme / field:
Aplikovaná informatika / Informační systémy a technologie