实施 SOX 404 计划

场景

您是负责两个项目的 SOX 审计经理。您希望确保两个 SOX 项目中显示的术语与您组织的首选词库保持一致。

流程

帮助主题 自定义术语、字段和通知

您前往 Sarbanes-Oxley 审核项目类型，并在每个选项卡上配置以下术语：

结果

自定义术语将应用于您创建的项目，并与 Sarbanes-Oxley 审核项目类型相关联。

场景

为了开始集中处理 SOX 文档，您创建了两个项目：

• 加拿大 - 2018 年 SOX 审核
• 巴西 - 2018 年 SOX 审核

您最近认识到类似的风险和控制可用于这两个项目。要提供构建项目的起点，您可以从名为 Sarbanes-Oxley (SOX) 审计模板（COSO 2013 框架）的项目模板创建项目。您希望使用此模板创建一组可同时用于这两个项目的风险和控制。

流程

帮助主题

• 创建项目
• 使用项目模板
• 框架概览
• 克隆和导入目标

您创建了一个名为 SOX 流程控制框架的新框架。然后，将目标（包含风险和控制）从项目模板导入框架。最后，将框架中的目标导入到每个项目中。

结果

框架中的目标、风险和控制被链接到项目中的目标、风险和控制。

您现在可以根据需要更新项目，也可以将那些更新应用回框架，并通过将项目与框架同步来确保在框架中做出的更新被传至适当的项目。

场景

您的组织涵盖不同的部门、地区和地点。您希望能够报告来自业务不同交叉部分的内部控制措施，使组织所有级别的利益相关者都能够获得他们需要的信息。

流程

帮助主题 设置实体标签

在管理实体下，您根据适用于这两个项目的部门、地区和位置为业务结构建模：

• 加拿大 - 2018 年 SOX 审核
• 巴西 - 2018 年 SOX 审核

结果

您现在可以将项目、重要目标、风险、控制和不足标记到相关的情境数据点，并启用上述维度的风险和控制报告。

场景

您负责准备和整合与加拿大 - 2018 年 SOX 审核项目相关的所有计划文档。您需要在项目中获取该信息，以便日后可以参考它。

流程

帮助主题 计划项目

首先，前往计划页面，开始定义项目的背景、目的和范围。然后，使用计划文件页面添加支持文档：

结果

已捕获计划信息：

• 背景 2002 年，SOX 法案要求组织提供季度和年度报告来证明其财务报表的准确性，这让企业合规再次成为关注焦点。SOX 法案旨在提高财务报告的透明度，并使内部检查和平衡标准化。SOX 法案第 404 款要求组织进行外部审计，以评估和报告内部控制措施的有效性。
• 目的/目标 该组织投资于采用 SOX，旨在采用最佳实践模型，为其上市做好合规准备。
• 范围 该项目将评估组织实施预防性与探测性控制的设计和有效性，以减轻与 SOX 404 合规相关的流程级风险。我们将在项目范围内包括所有关键业务流程，具体包括：
  • 实体级控制：控制环境，风险评估，信息与沟通，监控活动，控制活动
  • 财务关账与报告
  • 披露控制和程序
  • 税收
  • 收入和应收账款
  • 信息技术一般控制
  • 电子表格控制
  • 采购
  • 财政
  • 库存
  • 薪资和人力资源
  • 物业厂房及设备

场景

作为审计经理，您的其中一个职责是记录描述每个流程的注解。您需要在加拿大 - 2018 年 SOX 审核项目中构建与收入和应收账款流程相关的注解。在注解中，您计划定义流程，清晰地概述支持计费流程的 IT 系统，并附上与流程相关的风险和主要控制的摘要。当您收集更多信息时，您打算相应地更新注解。

流程

帮助主题 定义注解

您前往项目中的注解选项卡，并添加标题为营收确认流程注解的新注解。

您开始如下定义注解：

流程概览 营收确认是记录北美 (NA) 收入、发票和应收账款的过程。

IT 系统

最后，附上一个 Word 文档，其中包含与收入和应收账款流程相关的风险和主要控制措施摘要。

结果

注解的第一部分是草稿，Word 文档被添加为支持附件。在多数情况下，需要以每季度或中期和滚动形式更新注解。

要围绕广播、更新的流程表审核、注解以及其他过程相关文档，增加工作流管理和自动化，您可以：

• 在工作上签核，并将您的团队中的成员指定为注解内容的下一个审核者。
• 在您对应的 SOX 404 GRC 项目中创建超链接至汇总的流程表报告。

场景

您的组织拥有成熟和完善的风险评估流程，并从两个维度（影响和可能性）评估风险。使用 5 分制评分机制对影响进行评分，使用 3 分制评分机制对可能性进行评分。

您需要评估固有风险评分，以确定在没有实施控制或其他缓解因素的情况下，组织面临的原始风险。您还希望为主要控制措施指定有效性得分，以便在稍后的测试期间，任何失败的控制措施都将提供残留风险评分。

流程

帮助主题

• 定义风险和控制
• 使用框架跟踪保障

您在加拿大 - 2018 年 SOX 审核和巴西 - 2018 年 SOX 审核项目中捕获了以下信息：

您还可以为每个项目中的相关控制指定有效性得分（控制权重）：

• REV-03 30%
• REV-04 20%
• REV-05 50%

结果

已完成固有风险评估。固有和残留风险评分被汇总到框架中，以进行报告。在评估控制设计和有效性之前，残留风险评分与固有风险评分保持一致。

场景

您需要从会计部门收集其他信息，以更好地了解组织的现金流入量，因为它涉及商品销售。

流程

帮助主题 添加请求

您向会计部门发送请求，要求提供当前会计期间的现金收入日记账摘要。

• 说明请提供当前会计期间的现金收入日记帐摘要。
• 状态打开
• 所有者会计
• 到期日期2018 年 08 月 03 日

结果

会计部收到请求并能够通过附加文件和发表评论提供相关文档。

场景

既然您已评估固有风险并获得所需文档，则需要执行排查来评估每个控制的设计。

流程

帮助主题 执行程序和测试控制

您在加拿大 - 2018 年 SOX 审核和巴西 - 2018 年 SOX 审核项目中捕获了以下排查：

设计合理

项目	风险	控制	控制属性	排查结果
加拿大——2018 年 SOX 审核	REV-R.01： 无标题风险	REV-03	描述 会计将现金收据与银行对账单和基础发票进行核对，以确保在适当的会计期间准确而完整一致地记录。管理会计审核对账并批准相关日记账分录。 权重 30%
		REV-04	描述管理会计审查会计期结束前或结束后不久发生的货运，以确保在适当的会计期间完整而一致地记录，包括审查相关发票。 权重 20%
		REV-05	描述 管理会计会对该期间的收入进行对账，并将其与部门报告的收入活动进行比较。根据需要审查和调查任何大的差异。 权重 50%
巴西——2018 年 SOX 审核	REV-R.01： 无标题风险	REV-03	描述 会计将现金收据与银行对账单和基础发票进行核对，以确保在适当的会计期间准确而完整一致地记录。管理会计审核对账并批准相关日记账分录。 权重 30%
		REV-04	描述 财务主管审查会计期结束前或结束后不久发生的货运，以确保在适当的会计期间完整而一致地记录，包括审查相关发票。 权重 20%
		REV-05	描述 管理会计会对该期间的收入进行对账，并将其与部门报告的收入活动进行比较。根据需要审查和调查任何大的差异。 权重 50%

结果

两个项目均捕获了每个控制的排查：

场景

在开始测试控制措施的有效性之前，您需要制定一个测试计划，以确定测试每个控制措施的方式。您想定义测试方法、总样本数（在测试周期中分割）以及测试控制措施所需执行的测试步骤。

流程

帮助主题 执行程序和测试控制

您如下记录REV-03测试计划：

• REV-03 会计将现金收据与银行对账单和基础发票进行核对，以确保在适当的会计期间准确而完整一致地记录。管理会计审核对账并批准相关日记账分录。
• 测试方法 检查
• 总样本数 25
• 测试步骤/测试属性
  1. 确认有适当的职责分离。
  2. 确认应收账款余额。
  3. 将现金收据的详细信息与日记账分录和相应的银行存款回单进行比较。
  4. 跟踪银行转账并执行现金截账测试，以确保财务报表中包含适当的交易。
  5. 将现金余额与预测和预算进行比较。

结果

已捕获 REV-03 的测试计划。

场景

现在您已评估控制措施设计，并制定了一个测试计划，其中规定了如何测试每个控制措施，您还需要评估控制措施的有效性以确定残留风险或在实施控制措施后剩余的风险量。

流程

帮助主题

• 执行程序和测试控制
• 使用框架跟踪保障

您在加拿大——2018 年 SOX 审核和巴西——2018 年 SOX 审核项目中测试了每个控制措施的操作有效性，并捕获以下信息：

有效运行

发现异常

项目	风险	控制	控制属性	Q1 测试	Q2 测试	Q3 测试	Q4 测试
加拿大——2018 年 SOX 审核	REV-R.01： 无标题风险	REV-03	描述 会计将现金收据与银行对账单和基础发票进行核对，以确保在适当的会计期间准确而完整一致地记录。管理会计审核对账并批准相关日记账分录。 权重 30%
		REV-04	描述 财务主管审查会计期结束前或结束后不久发生的货运，以确保在适当的会计期间完整而一致地记录，包括审查相关发票。 权重 20%
		REV-05	描述 管理会计会对该期间的收入进行对账，并将其与部门报告的收入活动进行比较。根据需要审查和调查任何大的差异。 权重 50%
巴西——2018 年 SOX 审核	REV-R.01： 无标题风险	REV-03	描述 会计将现金收据与银行对账单和基础发票进行核对，以确保在适当的会计期间准确而完整一致地记录。管理会计审核对账并批准相关日记账分录。 权重 30%
		REV-04	描述 财务主管审查会计期结束前或结束后不久发生的货运，以确保在适当的会计期间完整而一致地记录，包括审查相关发票。 权重 20%
		REV-05	描述 管理会计会对该期间的收入进行对账，并将其与部门报告的收入活动进行比较。根据需要审查和调查任何大的差异。 权重 50%

结果

与控制相关的测试结果被汇总到框架，以进行报告：

场景

由于巴西 - 2018 年 SOX 审核项目中的控制措施 REV-03 在第 4 季度测试中未通过，所以您需要通过记录不足来指出异常情况。您还希望创建与确定的不足相关的具体后续措施，并将其分配给相应的员工。

流程

帮助主题

• 记录问题
• 记录操作

您在巴西 - 2018 年 SOX 审核项目中记录了以下不足和操作：

问题

• 标题/大标题缺乏职责分离
• 描述 会计职责的分离或分割是指将任务分开，从而将交易处理、数据记录、财务报表编制和审计交由不同的人员处理。让一个人负责处理所有会计职能可能会导致内部控制不力、会计舞弊和公司资产被挪用。
• 所有者会计经理
• 问题类型不足
• 识别日期日期
• 严重性高——审计观察表明将导致财务损失，须予以重视
• 已发布已发布

操作

• 标题 强制执行职责分离或实施补偿性控制措施
• 所有者会计经理
• 描述确保会计部门的组织方式能够实现充分的职责分离。当无法分离职责时，应实施以下补偿性控制：
  • 在监管层面处理所有异常报告。
  • 在 IT 系统中实施基于角色的访问控制。
• 到期日日期
• 状态未结
• 优先级高

结果

已捕获不足和操作。审计员日后可以审核补救计划，记录重新测试结果，以确定不足是否真正得到了补救。

场景

您需要向 PMO 提供详细的控制测试状态信息。报告应包括两个项目（加拿大 - 2018 年 SOX 审核和巴西 - 2018 年 SOX 审核）的控制措施测试进度，包括控制措施属性、有效性评估和控制措施测试准备者签核。您还希望提供基于项目或有效性评分过滤控制测试数据的机会。

流程

帮助主题

• 复制报告和仪表盘
• 通过电子邮件群发报告

首先，复制控制测试详情报告模板，然后根据需要修改报告。然后，保存并激活报告。最后，您通过电子邮件将报告按指定的计划群发给相应的收件人。

结果

按周期计划与指定的收件人共享报告。群发报告是按周期计划与其他人共享数据的有效方式。如果您需要针对不同的受众群发，那么您可以为单个报告设置多个群发时间表。