安全控制保证负责人 - SOX
岗位摘要
为SOX范围内的系统定义逻辑访问、变更管理、计算机操作和程序开发等核心ITGC领域的控制要求和验收标准，包括需要将控制设计到系统中的自建平台；在财务重要系统构建、迁移或替换时，从第一天起设定范围系统的标准，明确系统在上线前必须提供的功能（可审计性、职责分离、变更控制、不可变日志、证据保留），避免事…
岗位职责
- 为SOX范围内的系统定义逻辑访问、变更管理、计算机操作和程序开发等核心ITGC领域的控制要求和验收标准，包括需要将控制设计到系统中的自建平台
- 在财务重要系统构建、迁移或替换时，从第一天起设定范围系统的标准，明确系统在上线前必须提供的功能（可审计性、职责分离、变更控制、不可变日志、证据保留），避免事后补救控制
- 在设计阶段对重大基础设施、系统和代理框架变更进行SOX影响压力测试，审查控制影响，并清晰了解哪些变更会改变SOX范围、关键控制 population 或证据要求
- 负责第二道防线的控制监控和证据准备，建立ITGC的持续控制监控和自动化证据收集（控制测试、走查准备、population 和完整性验证以及映射到通用控制框架），显著提高自动化证据覆盖率并缩短审计准备时间
- 与跨职能合作伙伴推动控制缺陷整改，跟踪监控、内部审计或外部审计发现的ITGC缺陷并进行根因分析，与工程负责人合作设计整改方案，并在重新测试前评估整改是否真正关闭差距
- 从SOX角度评估范围变更，当新产品、实体、系统或集成进入范围时，在做出承诺前对其对控制设计、证据要求和工程工作量的影响进行技术和合规评估
- 与更广泛的合规组合保持一致性，在SOX ITGC与SOC 2、ISO 27001/42001或其他框架重叠的地方，确保控制措施协调一致
任职要求
- 具备SOX 404合规和IT一般控制（ITGC）方面的丰富经验，熟悉逻辑访问、变更管理、计算机操作和程序开发等领域
- 具有定义控制要求和验收标准的能力，能够与工程团队合作将控制设计到系统中
- 具备持续控制监控和自动化证据收集的经验，能够提高审计效率
- 能够对基础设施和系统变更进行SOX影响评估，并管理范围变更
- 具备跨职能协作能力，能够与内部审计、外部审计和工程团队有效合作
- 熟悉SOC 2、ISO 27001/42001等框架，能够确保控制措施的协调一致
- 具备较强的分析和问题解决能力，能够推动控制缺陷的根因分析和整改