In ambienti altamente regolamentati, come il settore dei servizi finanziari, la segregazione dei compiti è un meccanismo essenziale per evitare la collisione tra persone con responsabilità di sviluppo e privilegi di produzione.
Tradizionalmente questo ha significato che gli sviluppatori sviluppano il codice e poi lo passano alle operazioni, tuttavia in molti modelli operativi DevOps la separazione tra sviluppo e operazioni è, come minimo, offuscata:
Nell'ambito dell'ingegneria dell'affidabilità del sito di Google , o pratica SRE, esiste una funzione SRE separata all'interno di Google, tuttavia, gli sviluppatori vengono portati a sostenere gli SRE in tempi di elevato carico operativo.
Nel modello "Costruisci, esegui" non esiste una funzione operativa separata.
Dopo aver trascorso mesi a esaminare le cause profonde di un meccanismo di segregazione dei doveri, sembra esistere prevalentemente per soddisfare la sezione 404 di Sarbanes Oxley : valutazione della gestione dei controlli interni:
(a) Regole richieste. La Commissione prescrive norme che richiedono che ogni relazione annuale richiesta dalla sezione 13 (a) o 15 (d) del Securities Exchange Act del 1934 contenga una relazione di controllo interno, che deve:
(1) dichiarare la responsabilità della direzione per stabilire e mantenere una struttura e procedure di controllo interno adeguate per l'informativa finanziaria; e
(2) contiene una valutazione, alla fine dell'esercizio fiscale più recente dell'emittente, dell'efficacia della struttura di controllo interno e delle procedure dell'emittente per l'informativa finanziaria.
(b) Valutazione e comunicazione del controllo interno. Sulla valutazione del controllo interno richiesta dalla sottosezione (a), ogni impresa di contabilità pubblica registrata che redige o emette la relazione di revisione contabile per l'emittente deve attestare e riferire sulla valutazione effettuata dalla direzione dell'emittente. Un attestato rilasciato ai sensi della presente sottosezione deve essere redatto conformemente alle norme per gli incarichi di attestazione emessi o adottati dal Consiglio. Qualsiasi attestazione di questo tipo non deve essere oggetto di un incarico separato.
Sulla base dei commenti è importante mettere in evidenza un paio di ipotesi che sto formulando:
- Prendo principalmente in considerazione i servizi finanziari del mercato di massa, vale a dire i volumi delle transazioni sono alti ma relativamente bassi. Ciò sarebbe in contrasto con i servizi finanziari commerciali che hanno un diverso profilo del valore delle transazioni.
- L'offerta online di un istituto finanziario sarà composta da molti componenti che presentano diverse considerazioni sul rischio:
- Sposta denaro : sposta denaro tra conti o trasferimenti tra conti di proprietari diversi. Un'operazione che deve prendere in considerazione i paesi contro il riciclaggio di denaro, la protezione dalle frodi e l'embargo per citarne alcuni.
- Acquisizione del cliente - Meno "rischioso" in quanto ha bassi volumi di transazione rispetto a Move Money ma ha ancora bisogno di considerazione.
- Internet Banking - Copre una vasta gamma di servizi con vari livelli di rischio, Move Money sarebbe considerato parte di questo.
- Concepibilmente un approccio diverso potrebbe essere adottato per ciascuno a seconda del rischio, tuttavia, nell'interesse di mantenerlo semplice, sto lavorando a una soluzione che si applicherebbe ad alcune delle operazioni più rischiose.
TL; DR : E 'la responsabilità della gestione per garantire che adeguati controlli interni sono in atto che sono conformi alla Securities and Exchange Commissione regolamenti .
Sarbanes Oxley 404 è normalmente soddisfatto attraverso il completamento di una valutazione dei rischi top-down, parte della quale valuterà il rischio di collusione e proporrà strategie di mitigazione.
All'interno di un'azienda che utilizza la pratica e la cultura DevOps, in cui gli sviluppatori hanno regolarmente accesso sia al controllo delle fonti che alla produzione, come è possibile ottenere la Segregazione dei compiti o, più in generale, come mitigare il rischio di collusione.