Kelemahan Material ITGC ICOFR Aspek Cybersecurity, User Access, Patch Management, dan Backup & Recovery Johnson Controls International plc

Johnson Controls International plc (Perusahaan) adalah konglomerat multinasional asal Amerika Serikat yang berdomisili di Irlandia, dengan kantor pusat di Cork, Irlandia, yang memproduksi peralatan kebakaran, HVAC (pemanas, ventilasi, dan pendingin udara), serta sistem keamanan untuk bangunan. Perusahaan ini terbentuk melalui merger antara perusahaan Amerika Johnson Controls dan Tyco International, yang diumumkan pada 25 Januari 2016. Per pertengahan tahun 2019, perusahaan ini mempekerjakan 105.000 orang di sekitar 2.000 lokasi di enam benua. Pada tahun 2017, perusahaan ini tercatat di peringkat ke-389 dalam daftar Fortune Global 500.

Per 30 September 2023, manajemen mengungkapkan bahwa Perusahaan tidak memelihara Information Technology General Controls (ITGC) yang memadai untuk mencegah atau mendeteksi secara tepat waktu akses tidak sah ke beberapa sistem pelaporan keuangan miliknya. Secara khusus, perusahaan tidak merancang dan memelihara pengendalian yang efektif terkait dengan pemantauan akses, deteksi dan respons terhadap intrusi, patch management, serta prosedur backup & recovery, sehingga pemulihan dari insiden siber tidak dapat dilakukan secara tepat waktu. Kelemahan material/Material Weakness (MW) ini dapat mengakibatkan salah saji material pada laporan keuangan konsolidasian tahunan atau interim yang tidak dapat dicegah atau dideteksi.

Perusahaan berkomitmen untuk memperbaiki kelemahan material yang telah diidentifikasi di atas dan telah secara aktif menerapkan langkah-langkah yang dirancang untuk memastikan kelemahan tersebut diperbaiki sesegera mungkin. Meskipun beberapa langkah remediasi telah diselesaikan, tindakan lain dalam rencana remediasi perusahaan masih berlangsung, termasuk namun tidak terbatas pada:

• menggunakan spesialis keamanan siber untuk membantu peninjauan, penilaian, dan perbaikan pengendalian TI perusahaan;
• memperkuat access requirements dan deteksi akses tidak sah ke sistem pelaporan keuangan perusahaan;
• menerapkan prosedur tambahan untuk meningkatkan backup & recovery sistem pelaporan keuangan perusahaan yang lebih efektif.

Rencana remediasi ini berada di bawah pengawasan Komite Audit, dan kelemahan material yang telah diidentifikasi tidak akan dianggap telah diperbaiki sampai rencana tersebut telah sepenuhnya diterapkan, pengendalian yang relevan telah dijalankan selama periode waktu yang memadai, dan perusahaan menyimpulkan bahwa pengendalian yang baru diterapkan tersebut berfungsi secara efektif.

Sumber: SEC (2023). Form 10-K.