مسك الدفاتر للجاهزية لـ SOC

معيار أمريكي يطلبه مشترٍ أجنبي

لا علاقة لـ SOC 2 بمعايير المحاسبة في الإمارات إطلاقًا. هو تقرير توكيد أمريكي يصدر وفق قواعد AICPA عن جهة مخولة تحديدًا بإصدار هذا التقرير، ولا تصادفه معظم الشركات في الإمارات إلا لأن عميلًا في الولايات المتحدة أو أوروبا يرفض التوقيع دونه. العمل التقني الأمني الذي يقوم عليه يعود إلى مسؤول الهندسة أو البنية التقنية لديك. أما ما يقع على عاتق الإدارة المالية فهو أضيق، وهذا الجزء الأضيق هو ما نتولاه.

أجزاء قائمة الأدلة التي تملكها الإدارة المالية فعلًا

يطلب الفاحصون أمورًا يقترب منها مسك الدفاتر أصلًا: فواتير تطابق عقودًا موقعة، وإيرادات معترف بها على أساس شهري ثابت، ومسار لمدفوعات الموردين يبيّن من وافق على ماذا، وسجل بمن كان بإمكانه الوصول إلى الأنظمة التي تحمل بيانات العملاء. وتمتد فترة الفحص عادةً عدة أشهر لا تاريخًا واحدًا، لذلك فإن بقاء الدفاتر محدّثة طوال الفترة أهم من لقطة نظيفة واحدة في النهاية.

نتتبع القائمة، ولا نجيب عن الفاحص

نحتفظ بجدول متابعة للبنود المالية التي طلبها الفاحص ولوضع كل منها. أما أي شيء يحتاج إلى عمق تقني، كسجل وصول أو ضبط شبكي أو نتيجة اختبار اختراق، فيذهب مباشرة إلى مسؤول الأمن لديك بدل أن نخمّن فيه خمينًا يتجاوز ما تُظهره السجلات المحاسبية فعلًا.

لماذا يتكرر هذا الطلب كثيرًا لدى شركات التقنية والخدمات في الإمارات

الشركة في DMCC أو DIFC أو البر الرئيسي التي تبيع برمجيات أو خدمات إلى الولايات المتحدة أو أوروبا تواجه بشكل متزايد طلب SOC 2 في مرحلة المشتريات، قبل أن يقترب العقد من التوقيع بوقت طويل. وتنظيم الأدلة المالية مبكرًا يقصّر المدة بين طلب العميل وصفقة موقعة.

الحد الذي نلتزم به

لا نجلس في الفحص ولا نوقّع التقرير ولا نصدره، فهذا يبقى للجهة الفاحصة المخولة، التي تعمل على أدلة يجمعها فريقاك المالي والأمني معًا. وغالبًا ما تغطي مصفوفة الضوابط المبنية ضمن توثيق الضوابط الداخلية جزءًا كبيرًا من الطلبات المالية قبل أن يضطر الفاحص إلى السؤال مرتين.