Conformité SOX dans Salesforce : Ce qui est concerné et comment la simplifier

Il est de plus en plus courant que les Salesforce Orgs soient concernés par SOX. Les auditeurs s'inquiètent des données liées aux revenus et des processus commerciaux critiques sur la plateforme.

Le problème est que les organisations sont complexes, souvent hautement personnalisées, et une grande partie de ce qui préoccupe le plus les auditeurs est dissimulée dans des objets personnalisés ou très difficile à suivre.

Sur cette page, vous trouverez un aperçu des sept choses qui préoccupent le plus les auditeurs, et certaines des manières dont Netwrix Platform Governance aide les équipes Salesforce occupées à les réaliser.

Documentation

Tout dans Salesforce n'est pas concerné par SOX. Vos auditeurs ne se préoccupent probablement pas des opérations de marketing, par exemple, car les opérations de marketing ne touchent généralement pas aux données de revenus.

Le problème est que, à moins d'avoir une compréhension complète des personnalisations et des dépendances dans votre organisation — ce qui est pratiquement impossible dans toutes les entreprises sauf les plus petites — vous ne pouvez pas savoir avec certitude ce qui constitue un changement significatif qui relève de SOX, et ce qui ne l'est pas.

Documenter votre compte est la première étape pour déterminer ce qui est pertinent pour SOX et élaborer des politiques pour le gérer efficacement.

Comment Netwrix Platform Governance aide

• Documentation automatique de l'organisation : Netwrix Platform Governance est le seul outil natif Salesforce qui analyse en continu votre organisation et indexe tous les métadonnées, ainsi que les connexions entre elles.
• Dependency Mapping : Les diagrammes de relations de dépendance de Netwrix Platform Governance vous montrent comment différentes personnalisations sont connectées.

• Dossier de personnalisation : Les dossiers détaillés de personnalisation vous montrent tout ce que vous devez savoir sur une personnalisation — qui l'a créée, qui y a accès, comment elle a changé et à quoi elle est connectée.

Gestion des accès

Pour les besoins de l'audit, comprendre qui a accès aux différentes parties de votre organisation est tout aussi important que de comprendre ce qui se trouve dans votre organisation. En fait, ce sont deux aspects d'une même réalité — il est excellent de savoir où se trouvent les données liées aux revenus dans votre organisation, mais vous devez également savoir qui peut les voir, qui peut les modifier et qui peut les supprimer.

Il n'y a que certains types d'accès qui comptent pour la conformité. Le problème est qu'un objet complexe dans Salesforce peut contenir plusieurs champs personnalisés, champs standards, champs de formule, types d'enregistrement, valeurs de liste de sélection, boutons et liens — sans les outils appropriés, il peut être presque impossible d'obtenir des aperçus précis sur qui peut voir quoi.

Comment Netwrix Platform Governance aide

• Surveillance des rôles, profils et ensembles de permissions : Créez des politiques qui surveillent les modifications apportées à des profils ou ensembles de permissions spécifiques — et consignez tout dans des rapports conviviaux pour l'audit. Netwrix Platform Governance traite les modifications des permissions des utilisateurs de la même manière qu'il traite les autres métadonnées — vous fournissant un journal d'audit vérifiable montrant qui a changé quoi et une différence complète de ce qui a été affecté.
• Revue d'accès aux champs : Un objet complexe dans Salesforce peut contenir plusieurs champs personnalisés, champs standards, champs de formule, types d'enregistrement, valeurs de liste de sélection, boutons et liens. Netwrix Platform Governance vous fournit des rapports et des feuilles de calcul faciles à utiliser montrant tous les paramètres attachés à un objet, profil ou ensemble de permissions.
• Revues des ensembles d'autorisations Utilisateur/Profil : Obtenez un aperçu approfondi de tout ce qu'un utilisateur peut voir et faire, trouvez les autorisations attachées à un profil, et plus encore — Netwrix Platform Governance facilite la réalisation d'examens détaillés et la détermination de qui a accès aux données financières concernées.

Analyse d'impact

Ensemble, la documentation et la révision des accès vous donnent la configuration de votre organisation. L'analyse d'impact vous montre comment la naviguer. Lorsque vous pouvez voir l'impact d'un changement potentiel, vous pouvez savoir s'il affecte ou non quelque chose dans le cadre de SOX, et vous assurer qu'il subit les révisions et approbations appropriées.

L'analyse d'impact dans Salesforce est tout aussi importante du point de vue de l'allocation des ressources. Le fait est que la plupart des changements sont non matériels et sûrs à effectuer. Lorsque vous pouvez identifier immédiatement ces changements, vous pouvez éviter des heures de découverte et libérer votre équipe pour se concentrer sur ce qui est le plus important.

Comment Netwrix Platform Governance aide

• Rapports d'impact : Netwrix Platform Governance vous fournit des rapports détaillés pour analyser l'impact d'un changement proposé. Nos rapports d'impact vous montrent toutes les personnalisations sur un enregistrement de base, ainsi que leurs dépendances. Cette méthode est particulièrement utile pour enquêter et examiner les changements dans plusieurs personnalisations à la fois.
• Intégration Jira/ServiceNow : Si vous utilisez Jira ou ServiceNow pour gérer les tickets, vous pouvez accéder directement à l'analyse d'impact de Netwrix Platform Governance au niveau du ticket et obtenir une liste complète des personnalisations associées qui seront affectées par un changement potentiel. Vous pouvez également synchroniser les tickets Jira/ServiceNow avec les demandes de changement dans Netwrix Platform Governance, de sorte que l'analyse d'impact et l'approbation, si nécessaire, soient collectées dans un rapport prêt pour l'audit.
• Prise de décision sur les risques : Netwrix Platform Governance vous permet de développer des politiques de changement spécifiques et des exigences d'approbation basées sur le risque.

Voici le registre de politique de Netwrix Platform Governance, où nous pouvons spécifier quels types de changements nécessitent un cycle complet de SDLC, lesquels nécessitent des tests dans le Sandbox, lesquels nécessitent une approbation, ceux qui peuvent être gérés via un problème de processus, et ceux qui sont simplement consignés, c'est-à-dire, ils sont sûrs et ne nécessitent aucune investigation supplémentaire :

Gestion du changement

Toutes les activités de développement dans Salesforce ne nécessitent pas de révision. Mais dans une Org mature, les facteurs de risque peuvent être complexes — si votre équipe apporte une modification à un objet personnalisé ou à un champ sans en connaître l'impact, elle peut accidentellement interrompre un processus critique pour l'entreprise, ou affecter les rapports financiers et la SOX compliance.

Le problème est qu'il n'existe pas de moyen facile de savoir ce qui est sûr de changer et ce qui nécessite une révision. En conséquence, les équipes Salesforce sont confrontées à deux extrêmes : passer des heures à découvrir avec chaque changement — ce qui est pratiquement impossible à faire dans une Org chargée — ou accepter le risque et gérer les choses de manière réactive lorsque quelque chose se casse.

En réalité, la plupart des équipes Salesforce feront un mélange des deux, en s'appuyant sur la connaissance institutionnelle et, souvent, la chance, pour décider ce qui nécessite une révision. Mais et si il y avait un moyen de formaliser et d'automatiser cela, et de baser les décisions sur des renseignements exploitables plutôt que sur la compréhension du système par un seul administrateur ?

Comment Netwrix Platform Governance aide

• Journaux de modifications : Netwrix Platform Governance enregistre automatiquement chaque modification dans votre organisation et la consigne dans des journaux de modifications. Les journaux de modifications sont un enregistrement immuable, horodaté, contenant un diff complet et détaillé montrant ce qui s'est passé et quand cela s'est produit.
• Politiques de changement : Netwrix Platform Governance vous permet de créer un ensemble de règles pour élever automatiquement certains types de changements nécessitant une attention particulière. Les changements déclaratifs simples peuvent être immédiatement identifiés et accélérés sans enquête supplémentaire. Les changements plus complexes peuvent être gérés via un problème de processus ou une demande de changement (dans Jira, ServiceNow, ou en utilisant le système de gestion des changements natif de Netwrix Platform Governance).
• Gestion des changements en boucle fermée : Netwrix Platform Governance est un véritable système de gestion des changements en boucle fermée. Chaque modification des métadonnées est capturée dans un journal immuable. Chaque changement effectué est réconcilié avec une demande initiale et, si nécessaire, une approbation.

Chaque modification et approbation est vérifiée pour la conformité avec les politiques que vous avez établies. Tout ce qui ne suit pas la politique est capturé dans un rapport de modifications non conformes pour examen et autorisation.

La meilleure partie ? Les modifications apportées à vos politiques sont enregistrées et surveillées en utilisant le même processus. Cela rend impossible de modifier une approbation après coup ou de résoudre artificiellement un changement non conforme.

En d'autres termes, tout le processus est étanche et entièrement validé — un aspect crucial pour la sécurité, la gouvernance et la préparation aux audits.

Rapports et Réconciliation

Quelle facilité votre équipe a-t-elle pour obtenir une vue complète des changements matériels qui ont lieu dans votre Org ? Peut-elle visualiser les changements par personne, par objet et par type ? Peut-elle rapprocher votre journal d'audit avec vos tickets Jira, et démontrer pourquoi les changements ont été effectués ?

Voici toutes les choses que vos auditeurs peuvent demander à voir. Si vous ne pouvez pas produire ces rapports automatiquement, vous et votre équipe devrez trier manuellement votre piste d'audit, avec beaucoup d'effort et de dépenses. Et si vous ne le faites pas à l'avance, vous courrez le risque que vos auditeurs trouvent des lacunes, ce qui sera encore plus coûteux à résoudre.

Comment Netwrix Platform Governance aide

• Rapport ‘What Changed’ : Le rapport ‘What Changed’ est votre relevé instantané de toute l'activité de développement dans votre Org.
• Rapprochement du journal des modifications : Il ne sert à rien d'avoir un document Excel ou une chaîne d'e-mails approuvant un changement si vous ne pouvez pas le réconcilier avec l'activité de développement dans votre organisation. Démontrer que les demandes de changement et les approbations sont liées à un journal vérifiable est une partie clé pour réussir un audit et maintenir l'intégrité globale de votre organisation. Normalement, cela nécessite des heures, sinon des jours, de rapprochement manuel. Netwrix Platform Governance résout ce problème en faisant le travail pour vous !

Préparation d'audit de 10 minutes

Avec Netwrix Platform Governance opérationnel dans votre système, réussir un audit est aussi simple qu'imprimer trois rapports :

Changements conformes

Ce rapport montre tous les changements qui ont suivi la politique, c'est-à-dire tout ce qui a été révisé et approuvé selon le processus que vous avez établi dans vos dossiers de politique ou tout ce que Netwrix Platform Governance a déterminé comme non essentiel et sûr à modifier.

Résolution des changements non conformes

Ce rapport montre tout ce qui n'a pas suivi la politique, comme les correctifs d'urgence — et les mesures que vous avez prises pour le résoudre

Modifications non conformes non résolues

Ce rapport montre tout ce qui n'a pas suivi la politique et qui est toujours en cours de révision. Idéalement, il devrait être vide lorsque vous entamez l'audit ! De nombreuses équipes Salesforce planifient des réunions régulières hebdomadaires ou mensuelles pour examiner et éliminer les anomalies restantes dans le système.

Déploiement

Le déploiement avec les jeux de modifications Salesforce est chronophage. De plus, dans les domaines où SOX est applicable ou la sécurité est un enjeu, il n'offre aucun moyen d'imposer la séparation des tâches entre les utilisateurs qui développent et ceux qui déploient.

Trop souvent, les équipes Salesforce sont coincées entre la productivité et la conformité, et la capacité à faire évoluer votre Org en pâtit en conséquence.

Comment Netwrix Platform Governance aide

• Libération et déploiement automatiques : Automatisez les décisions critiques concernant les approbations appropriées, les processus de test et de libération requis pour différents types de changements.
• Comparaison d'environnement : Obtenez instantanément un diff complet des changements entre les Orgs de production, de test et de bac à sable.
• Validation post-déploiement : Dépannez et validez les déploiements dans plusieurs environnements.

Données de configuration

Pour de nombreuses équipes, surveiller les données de configuration est la partie la plus difficile de la conformité SOX. Dans l'application CPQ, par exemple, des règles importantes concernant les produits, les prix, les remises et les approbations sont stockées sous forme de données dans des objets personnalisés. Obtenir une visibilité sur ces changements prend un temps incroyable, et il existe peu d'options pour prévenir les modifications susceptibles de compromettre la conformité.

Cela ne se limite pas à CPQ, non plus. L'application de facturation et de nombreuses autres qui touchent aux données liées aux revenus sont toutes potentiellement concernées. Si vos auditeurs ne les ont pas encore demandées, il est fort probable qu'ils le feront à l'avenir.

Comment Netwrix Platform Governance aide

• Surveillance des données de configuration : Netwrix Platform Governance traite les données de configuration avec la même rigueur qu'elle applique aux autres métadonnées Apex de votre Org. Ensuite, Netwrix Platform Governance vous offre une méthode systématique pour vous concentrer sur les objets concernés et créer des politiques très détaillées pour les suivre et les surveiller.
• Policy Records : Netwrix Platform Governance vous permet de créer des contrôles d'atténuation qui bloquent automatiquement les modifications des règles CPQ critiques. En conséquence, les clients de Netwrix Platform Governance n'ont plus à dépendre de rapports d'historique de champ et de révision manuelle pour garantir que les données de configuration CPQ et autres sont protégées. Les auditeurs sont satisfaits, les coûts d'audit diminuent et les dirigeants informatiques peuvent dormir sur leurs deux oreilles sachant qu'il n'y aura pas de surprises.
• Contrôles de blocage : Netwrix Platform Governance vous offre la possibilité de bloquer les modifications risquées sans approbation préalable. Cela est souvent utilisé pour les données de tarification et de remise qui ont un impact direct sur les revenus. Si un utilisateur tente de modifier un champ pour lequel le blocage est activé, il ne pourra pas le faire à moins qu'une demande de modification n'ait été soumise au préalable.