Polscy usługodawcy stosują prawo utworzone po aferach w USA
Ustawa SOX obowiązuje też część polskich firm. Ich zasobami IT należy więc umiejętnie zarządzać. Samodzielnie lub z pomocą...
Jest rok 2002. Amerykańską gospodarką wstrząsają dwa potężne skandale — sprawa Enronu oraz Worldcomu, dwóch wielkich firm, których bankructwo było szokiem zarówno dla udziałowców, jak i pracowników (którzy często byli też ich udziałowcami). Straty były ogromne. Głównym powodem tej katastrofy było zjawisko określane mianem kreatywnej księgowości. Żeby takie skandale nie wybuchały ponownie, uchwalono ustawę Sarbanes-Oxley Act (SOX) określaną skrótem SOX.
— Ustawa ta z 2002 r. dotyczy amerykańskich spółek akcyjnych, które podlegają kontroli ze strony amerykańskiej komisji papierów wartościowych. Celem jej uchwalenia było zapewnienie dokładności i wiarygodności informacji finansowych, publikowanych przez firmy notowane na giełdzie. Dla przykładu, sekcja 302 tej ustawy nakłada na zarząd i dyrektorów finansowych odpowiedzialność za to, że dane finansowe poprawnie odzwierciedlają sytuację finansową firmy, zaś sekcja 404 zobowiązuje kierownictwo do stworzenia i utrzymania procedur kontroli wewnętrznej, dotyczącej sprawozdawczości finansowej — wyjaśnia Dariusz Kugler, specjalista do spraw jakości oprogramowania w Epicore Software Poland.
W praktyce jednak ustawie podlegają nie tylko przedsiębiorstwa z USA.
— SOX obowiązuje również firmy, których współudziałowcami są amerykańskie spółki giełdowe. W globalnej gospodarce może to oznaczać, że w praktyce firmy poszukujące strategicznego partnera nie mogą ograniczać się wyłącznie do lokalnych przepisów, lecz muszą także brać pod uwagę SOX — mówi Piotr Nogaś z firmy Symantec, działającej na rynku bezpieczeństwa IT.
Trzeba jednak zaznaczyć, że w Polsce warunki narzucone przez SOX muszą spełnić tylko te firmy, które albo są notowane na amerykańskiej giełdzie, albo mają udziałowców tam notowanych.
Co na to informatycy?
Jak amerykańskie regulacje mają się do zasobów IT przedsiębiorstwa?
— Dla dostawcy rozwiązań informatycznych takich jak firma Epicor oznaczało to konieczność dostosowania swoich systemów w ten sposób, aby umożliwiały praktyczne przestrzeganie ustawy SOX. W przypadku systemu iScala polegało to m.in. na dodaniu modułów związanych z bezpieczeństwem i możliwością realizowania konkretnych reguł — opowiada Dariusz Kugler.
Sama ustawa co prawda nie definiuje precyzyjnych wymagań w stosunku do systemów informatycznych, nakazuje jednak, żeby informacja finansowa była odpowiedniej jakości.
— W praktyce spełnienie wymogów SOX wymaga rewizji organizacji całego działu IT. W przetwarzanie informacji finansowej zaangażowany jest bowiem nie tylko sprzęt i aplikacje, ale także bazy danych, sieci i systemy operacyjne. Do każdej z tych części składowych środowiska IT zarząd firmy musi podejść wieloaspektowo, kontrolując wszystkie etapy tworzenia, modyfikowania i przesyłania informacji. Od efektywności tej kontroli zależy wprost wiarygodność raportów finansowych, którą zarząd poświadcza pod groźbą odpowiedzialności karnej — mówi Arnold Nowak, prezes firmy Itelligence.
Spełnieniem warunków zawartych w SOX zainteresowane są przede wszystkim firmy z sektora finansowego, ale też takie przedsiębiorstwa, jak np. Kompania Piwowarska.
Outsourcing SOX
Dla firmy, która chce lub musi spełnić warunki nałożone w ustawie, jednym z rozwiązań jest outsourcing.
— Przekazanie najbardziej obwarowanych ustawą SOX i aktami pokrewnymi części działalności w ręce wyspecjalizowanej firmy, realizującej już analogiczne kontrakty, niesie redukcję kosztów. Dodatkowo koszty wyspecjalizowanych rozwiązań i procedur, rozkładają się na większą liczbę klientów firmy outsourcingowej zwiększając efektowność kosztową. Czasem najważniejszą wartością są gotowe, zweryfikowane przez niezależnych audytorów rozwiązania, dostępne niemal na wyciągnięcie ręki — zaznacza Piotr Nogaś.
Trzeba też zwrócić uwagę na to, że ustawa SOX jest aktem względnie nowym, mogą być więc trudności ze znalezieniem specjalistów.
— Istotną korzyścią jest również czas. Dzięki decyzji o outsourcingu kontroli wynikających z SOX firmy unikają zatrudniania dodatkowych pracowników, a także istotnie oszczędzają czas zatrudnionych specjalistów IT. Przykładowe kontrole mogą zajmować od kilku do kilkuset godzin pracy specjalisty miesięcznie — mówi Arnold Nowak.
Biorąc jednak pod uwagę wszystkie zalety takiego rozwiązania, trzeba pamiętać, że nie można outsourcingować odpowiedzialności.
— Istnieje jednak możliwość kontraktowego zabezpieczenia się od skutków niewłaściwego wykonania kontraktu. Należy pamiętać, że w sprawach spornych zawsze wnikliwie ocenia się aspekty „dołożenia wszelkich starań”, „należytej staranności”, które w przypadkach dobrze podpisanej i prawidłowo realizowanej umowy nie sposób przecenić — informuje Piotr Nogaś.
okiem eksperta
dr Bogdan Fischer
radca prawny, partner w Kancelarii Prawnej Chałas i Wspólnicy
SOX warto stosować
Ustawa SOX (Sarbanes-Oxley Act z 2002 r.) pośrednio dotyczy firm outsourcingowych (w tym polskich), które świadczą usługi na rzecz podmiotów zobowiązanych do zapewnienia zgodności z SOX. Kontroli podlegają bowiem istotne procesy oddane przez te podmioty firmom zewnętrznym. Szczególne oczekiwania związane są z outsourcingiem usług informatycznych i zapewnieniem w ramach tych usług skuteczności działania systemów informatycznych, gwarantujących poprawność informacji finansowej. Nie ma przepisów prawnych określających kompleksowo i precyzyjnie wymagania w stosunku do systemów informatycznych przetwarzających informacje finansowe. Same regulacje SOX nie odnoszą się wprost do systemów informatycznych. Są przy tym mało precyzyjne, co daje swobodę interpretacji.
Przy wyborze, akceptacji i kontraktowaniu z firmą outsourcingową trzeba uwzględnić wiele przepisów wchodzących w zakres prawa, a dotyczących informacji finansowej oraz właściwych norm, w tym m.in. standaryzujących jakość i bezpieczeństwo informacji.
Przykładowo zastosowanie Normy PNISO/IEC 270001:2007 umożliwia budowę systemu zarządzania bezpieczeństwem informacji zintegrowanego z systemem zarządzania jakością, zgodnym ze standardem ISO 9001: 2000. W warstwie narzędziowej należy więc uwzględniać zarówno uwarunkowania prawne, jak i normalizacyjne. Szczegółowo kwestie odpowiedzialności (w tym zakres odpowiedzialności za zgodność z wymaganiami SOX) regulowane są kontraktowo. Umowy powinny uwzględniać m.in. kwestie bezpieczeństwa informacji, zabezpieczeń aktywów, strukturę raportowania wraz z kontrolą procesów związanych z raportowaniem finansowym, do których zobowiązuje SOX, zarządzanie zmianami, wymagania co do ciągłości usług i pomiaru ich niezawodności. Powinny też określać dostęp do informacji, w tym ich klasyfikację bezpieczeństwa, sposoby gwarantowania, że wymagania wynikające z przepisów prawa są spełniane, weryfikowalne kryteria oceny odpowiedzialności, zakres przeprowadzania niezależnych audytów (w tym oceny zgodności z wymaganiami SOX).
Wojciech Chmielarz