Внутренний контроль для MRV ОАЭ: полнота исходных данных, сверки, коэффициенты, оценки, утверждения, журналы аудита, кибербезопасность и внутренний аудит

Закон устанавливает рамки результатов и ответственности: назначенные источники регулярно измеряют выбросы, составляют инвентаризацию, представляют данные по требуемым формам, сокращают выбросы, хранят записи и содействуют верификации со стороны органа власти. Он не содержит корпоративного руководства по контролю для каждой отдельной строки. Поэтому руководству необходимо преобразовать обязательство в цели контроля, которые можно тестировать.

• Реестр организаций/объектов и главная бухгалтерская книга, список счетов за коммунальные услуги и реестр оборудования.

• Итоги по поставщикам топлива и кредиторская задолженность с учетом движения запасов.

• Счета за электроэнергию и показания счетчиков, даты открытия/закрытия объектов и ведомости арендодателей.

• Закупки хладагента и журналы технического обслуживания с данными о заправке и извлечении из оборудования.

• Промежуточные итоги по данным об объемах деятельности и диапазоны входных данных в рабочей книге расчетов.

• Идентификаторы и версии коэффициентов в рабочей книге и утвержденный реестр коэффициентов.

• Итоговые выбросы по источнику и газу с формой представления и заявлением проверяющего.

• Итоги за предыдущий период и реестр пересчетов или изменений методики.

Коэффициенты являются основными данными, а не текстом, скопированным в ячейку формулы. Для каждого коэффициента необходимы стабильный идентификатор, издатель, редакция, география, технология, единица числителя/знаменателя, основа теплотворной способности, источник ПГП и период действия. Изменения должны инициировать оценку воздействия и утвержденное решение о пересчете сравнительных показателей.

У оценок должны быть указаны причина, период охвата, источник прокси-данных, формула, неопределенность или чувствительность, проверяющий и дата устранения. Ячейки с формулами следует защищать, тестировать на известных случаях и независимо пересчитывать для существенных источников.

• Владелец данных подтверждает полноту источников и объясняет аномалии.

• Владелец методики утверждает иерархию коэффициентов, формулы и отступления.

• Проверяющий со стороны финансовой или операционной функции выполняет сверки.

• Проверяющий по вопросам устойчивого развития консолидирует данные и критически оценивает классификацию и оценки.

• Юридический проверяющий контролирует заявления, формулировки полномочий и защищенную информацию.

• Руководство утверждает итоговое представление и пакет документов для подачи.

• Системный администратор управляет доступом, но не утверждает результат по выбросам.

Показывайте происхождение данных и сквозные меры киберзащиты.

В Федеральном декрете-законе № 11 меры киберконтроля не изложены в виде подробного контрольного перечня. Они являются мерами защиты при реализации требований к целостности и доступности доказательств, которые закон требует от компаний хранить и предоставлять. Структура контроля должна отражать профиль рисков компании и применимые требования ОАЭ в области кибербезопасности и конфиденциальности.

Внутренний аудит может оценивать, надлежащим ли образом разработана система внутреннего контроля и функционировала ли она в течение отчётного периода. Он может тестировать выборки, наблюдать за сверками, проверять журналы доступа и отслеживать устранение недостатков. Он не должен подготавливать данные, которые впоследствии сам проверяет, выступать от имени руководства в юридических заявлениях или представлять свою работу как проверку органом.

«Каждый существенный поток данных сверяется с независимой операционной или финансовой совокупностью. Коэффициенты выбросов выбираются из утверждённого реестра с контролем версий. Оценки и изменения формул требуют документированного рассмотрения. Окончательный пакет блокируется после технического, юридического согласования и согласования руководством, а представленная версия и подтверждение получения хранятся вместе с пятилетним комплектом доказательств.»

• Описания контролей существуют, но для них не назначены ответственные или доказательства.

• Финансовая служба и служба устойчивого развития используют разные перечни объектов.

• URL-адреса коэффициентов сохраняются без загруженных редакций.

• Формулы проверяются визуально, а не пересчитываются.

• Оценки перезаписываются при поступлении фактических данных, в результате чего исходный след утрачивается.

• Доступ администратора является общим.

• Проверяющий получает от руководства версию, отличающуюся от представленной.

• Внутренний аудит тестирует только итоговую сумму, а не прослеживаемость от источника до представления.

• Успешное резервное копирование предполагается без проверки восстановления.

• Поздняя корректировка вносится без оценки влияния на представленный отчёт или уведомление органа.

Выполняйте сверки источников и совокупностей данных, а также потоков данных: юридических лиц, объектов, счетов и оборудования со справочниками; топлива — со счетами-фактурами, бухгалтерской книгой и запасами; электроэнергии и охлаждения — со счетчиками и счетами; хладагентов — с оборудованием и движением газа; коэффициентов — с утвержденным реестром. Сверяйте итоговые значения с утвержденной рабочей книгой, формой представления и подтверждением о получении, а данные за предыдущие периоды — с реестром пересчетов или изменений методологии.

Аудиторский след должен идентифицировать составителя, проверяющего, изменение, доказательства и окончательную утвержденную версию для каждого существенного потока данных. Сохраняйте стабильные идентификаторы источников и коэффициентов, исходные данные и формулы расчетов, оценки, утверждения, заблокированное представление, подтверждение о получении, историю исправлений и журналы доступа.

Используйте доступ на основе ролей и принцип наименьших привилегий, многофакторную аутентификацию, неизменяемые журналы изменений и утверждений, шифрование и защищенную передачу, протестированные резервное копирование и восстановление, реагирование на инциденты и режим legal hold. Это меры защиты, применяемые при реализации для обеспечения целостности и доступности сохраняемых доказательств, а не подробные средства контроля, предписанные декретом-законом.