SOX 404 est la section de la loi américaine Sarbanes-Oxley de 2002 qui impose à la direction de toute société enregistrée auprès de la SEC d'évaluer chaque année l'efficacité de son contrôle interne sur l'information financière (ICFR) et d'en rendre compte, et, pour les plus grandes sociétés, de faire attester cette évaluation par l'auditeur externe.
SOX 404 comporte deux volets :
- 404(a) : l'évaluation annuelle du contrôle interne par la direction, exigée de toutes les sociétés enregistrées auprès de la SEC
- 404(b) : l'attestation de l'auditeur, exigée des accelerated et large accelerated filers. Depuis les amendements de la SEC entrés en vigueur le 27 avril 2020, les smaller reporting companies dont le chiffre d'affaires annuel est inférieur à 100 millions de dollars ne sont plus accelerated filers et en sont exemptées
La plupart des sociétés s'appuient sur le référentiel COSO 2013 comme cadre de contrôle interne, et les auditeurs réalisent l'attestation selon la norme PCAOB AS 2201. Les contrôles sont documentés dans une matrice des risques et contrôles, évalués par un test de contrôle sur échantillon, et les défaillances sont classées en control deficiencies, significant deficiencies ou material weaknesses. Une material weakness doit être publiée.
SOX 404 dépasse les frontières américaines. La filiale française d'un groupe coté aux États-Unis applique localement les contrôles SOX du groupe, et son équipe finance produit les preuves que l'auditeur du groupe teste. Les sociétés cotées françaises relèvent d'un autre régime, la loi de sécurité financière du 1er août 2003 (LSF), qui impose de rendre compte des procédures de contrôle interne sans attestation d'efficacité par l'auditeur comparable à celle de SOX.
Phacet fait de la preuve SOX un sous-produit des opérations courantes. Chaque contrôle automatisé s'exécute sur toutes les transactions plutôt que sur un échantillon, conserve une piste d'audit horodatée et sépare la préparation de l'approbation conformément à la séparation des tâches, si bien que la population testée est complète par construction.
