Lei Sarbanes Oxley – SOx - Abordagem para a auditoria de controles internos com enfoque em sistemas Abril de 2005

Palestrante: Cristiano Silva Borges Gerente de auditoria de sistemas, formado pela Universidade Federal da Bahia, mestrando em Ciência Forense Aplicada a Sistemas de Informação pela Escola Politécnica de São Paulo - Poli – USP; Possui nove anos de experiência profissional na área de Auditoria Contábil e de Sistemas em empresas de grande porte, com forte atuação na área de segurança da informação com enfoque no mapeamento de processos, análise de riscos e implementação de controles.

Agenda Objetivo Controles Internos Sarbanes-Oxley Framework da Sox Framework de TI

Objetivo Realizar uma breve apresentação sobre processos, riscos de processo, componentes de controles internos e ambiente de controles para contextualizar com os procedimentos adotados pela Sox e seu impacto no ambiente de Tecnologia da Informação – TI, bem como os modelos adotados para as analises de riscos e controles.

O que é o Controle Interno? É um processo sistematicamente executado pelo conselho de administração, diretoria e restante do pessoal do cliente, podendo ser informatizado ou manual. Deve ser projetado para dar uma garantia razoável de que serão atingidos os objetivos de uma ou mais das seguintes categorias: eficácia e eficiência de operações; confiabilidade de informações financeiras; cumprimento da legislação e regulamentos aplicáveis.

Ciclo de processo para formação das DFs Processos Classificado por Ciclos, como por exemplo: Vendas e Compras. Avaliação de Controles Internos Transações Classificadas como Rotineiras; Não rotineiras;e Estimativas Contábeis Registros Contábeis Demonstrações Financeiras

Componentes do controle interno avaliação de riscos; ambiente de controle; informações e comunicações; monitoração; atividades de controle.

Tipos de controles Preventivo – age para que não ocorra a falha. Detectivo – evidencia a existência da falha.

Categorias de Controles Relatórios gerenciais e revisão da gerência; Sistemas de informação Segregação de funções Autorização Configuração do Sistema Instructor Notes

O que é a Lei Sarbane Oxley? Lei promulgada pelo Presidente americano Bush em 30/7/2002 tem por objetivo coibir a fraude, aumentar a responsabilidade corporativa e revelação de informações relevantes nas Demonstrações Financeiras; Nesse mesmo ato foi criado o PCAOB – Public Company Accounting Oversight Board, para fiscalizar a atividade de auditoria. PCAOB – Public Company Accounting Oversight Board – Companhia publica para vigilância contábil da administração executiva da Empresa

Quem deve se adequar aos padrões da Sox? Todas as empresas americanas ou estrangeiras com capital aberto e ações negociadas na bolsa de valores norte americana.

Qual o impacto da Sox sobre a área de TI? A lei SOX em seu parágrafo 404, que trata da avaliação dos controles internos, tem por objetivo avaliar a efetividade dos controles internos de uma Empresa que suportam os processos que geram informações significativas para as Demonstrações Financeiras;

Qual o impacto da Sox sobre a área de TI? – Cont. A premissa é que a confiabilidade nos relatórios financeiros dependem significativamente de um ambiente de TI com controles eficientes e efetivos que suportem o ambiente de controle interno que mitigam o risco sobre as operações da Empresa.

Ciclo de processos para a elaboração das DF’s suportados por TI Infra-estrutura Aplica-ções Proces-sos de Negócios Demons-trações Financei-ras Servidores; Redes; Backup ERPs, Ex.: SAP, EMS Vendas; Compras; FOPAG BP; DRE; DOAR; DMPL; NE ERP – Enterprise Resource Planning (Recurso de planejamento/Gestão da operação) Enterprise – Negócio, operação

A visão do auditor para elaboração do escopo de auditoria para a área de TI A PCAOB aprovou o padrão de auditoria PCAOB no 2 em março de 2004, que considera o mapeamento dos fluxos das transações, atentando para como são: Iniciados; Autorizados; Registrados; Processados; e Reportados. PCAOB n2 - “An Audit of Internal Control Over Financial Report in Conjunction with an Audit of Financial Statements”

A visão do auditor para elaboração do escopo de auditoria para a área de TI – Cont. A avaliação deve considerar que: Geralmente os fluxos de processos de negócios são suportados por sistemas aplicativos que realizam o processamento de grande volume de informações; Os controles internos operacionais derivam ou fazem parte do aplicativo; Os controles do ambiente de TI que são compostos por: operações computacionais; acesso a programas e dados desenvolvimento de programas; e mudanças de programas.

Controles na Aplicação Controles nas DFs Apresentação Obrigações & Direitos DFs Controles na Aplicação Integridade Existência Precisão Valorização Controles de TI Operações computacionais; Acesso a programas e dados; Mudanças de programas; Computação para usuário final Desenvimento de programas. Processos Aplicações Infraestrutura

Método para realização do trabalho Adoção de um modelo de trabalho (“framework”) de controles internos SOX COSO (Committee of the Sponsoring Organizations of the Treadway Comission). É um comitê independente, sem fins lucrativos, que estuda controles internos.

COSO - Definições O COSO faz definição de Controles Internos como “processo desenvolvido para garantir, com razoável certeza, que sejam atingidos os objetivos da Empresa, nas seguintes categorias: Eficiência e efetividade operacional (Objetivos de desempenho ou estratégia); Confiança nos registros contábeis/financeiros (objetivos de comunicação); Conformidade – com leis, políticas, normas aplicáveis à empresa e sua área de atuação.

Método para realização do trabalho – Cont. O COSO têm cinco componentes: Ambiente de Controle; Avaliação e gerenciamento de riscos; Atividade de Controle; Informação e Comunicação; e Monitoramento.

COSO – Ambiente de Controle Têm por objetivo dar parâmetro para análise de processos, implementação e monitoramento de controles internos aplicados a Empresa. Esses parâmetros geralmente são fixados por meio de implementação de código de conduta e de procedimentos; Disseminação da “cultura de controle”, pois o controle mais efetivo é realizado quando os funcionários conhecem suas responsabilidades.

COSO – Avaliação e gerenciamento de riscos Estratégico: Analisar se a condução das atividades de TI objetivam suprir a necessidade das áreas operacionais e dão suporte para os controles internos mitigarem os riscos. Operacional: Avaliação dos riscos de operação de TI, como por exemplo, mudanças de programas e desenvolvimento de sistemas.

COSO – Atividade de controle Devem ser definidas considerando as categorias de controles para que possam ser adotadas políticas, normas e procedimentos a fim de garantir que as atividades sejam executadas de acordo com o seu desenho de processo original, ou seja, sem desvios; Caso ocorram desvios, deve haver controles detectivos que possam identifica-los. Vide slide 9

COSO – Atividade de controle – Cont. As principais atividades de controle são: Alçadas (preventiva); Autorização (Preventiva); Conciliação (Detectiva); Revisão de desempenho (Detectiva); Segurança física (Preventiva e Detectiva); Segregação de Funções (Preventiva); Normatização Interna (Preventiva); Sistemas Informatizados (Preventiva e Detectiva).

COSO – Informação e Comunicação Considera a disseminação da informação necessária ao bom andamento dos processos e controles em seus diversos níveis organizacionais. A comunicação da informação deve ser realizada de forma prática e tempestiva.

COSO – Monitoramento Tem por objetivo monitorar a eficiência dos controles internos ao longo do tempo; É um indicador para avaliar se os controles internos são adequados e eficientes. Controles adequados são aqueles em que os cinco elementos de controles estão presentes; E os eficientes quando a administração tem uma razoável certeza que o objetivo do controle foi cumprido.

Utilização de “Framework” específico para TI O COSO possui um modelo de controles internos e destaca a importância dos controles de TI, contudo, devido a sua abrangência, não trata de especificidades da área de TI; Devido a isso, são utilizados outros modelos para avaliar processos e riscos, determinar atividades de controle e monitoramento destes.

Utilização de “Framework” específico para TI – Cont. Existem alguns guias de controles de TI , entre eles o ITIL – Information Technology Infrastructure Library, ISO 17799, e COBIT – Control Objectives for Information and related Technology No Brasil, geralmente as Empresas utilizam o COBIT para organizar os processos de controles.

COBIT Contém 34 objetivos de controle de alto nível e 318 objetivos detalhados para os processos de TI; Vem sendo utilizado no processo de Governança de TI que prevê objetivos de controle de alto nível e detalhados.

COBIT Está dividido em quatro domínios: Planejamento e organização; Aquisição e implementação; Operação e suporte; e Monitoramento.

Atividades de Controle Informação e Comunicação COSO x COBIT Domínios do COBIT Aquisição e Implementação Planejamento e Organização Operação e Suporte Monitoramento Ambiente de Controle Avaliação de Riscos Atividades de Controle Componentes do COSO Informação e Comunicação Monitoramento

Operações computacionais Determinar se há controles adequados para o backup e processo de salvaguarda e recuperação de dados operacionais, aplicações e sistemas operacionais. Controles de TI Operações computacionais; Acesso a programas e dados; Mudanças de programas; Desenvolvimento de programas; Computação para usuário final Infraestrutura

Acesso a programas e dados Analisar se há gerência de segurança da informação implementada e se é seguida pelos usuários, bem como está o controle de acesso as informações. Controles de TI Operações computacionais; Acesso a programas e dados; Mudanças de programas; Desenvolvimento de programas; Computação para usuário final Infraestrutura

Mudança de programas Analisar se os processos de mudanças nos sistemas/aplicações possuem controles que minimizem o risco de alterações indevidas que possam causar impacto nas DF’s. Controles de TI Operações computacionais; Acesso a programas e dados; Mudanças de programas; Desenvolvimento de programas; Computação para usuário final Infraestrutura

Desenvolvimento de programas Verificar se os processos de desenvolvimentos e aquisição possuem aprovação apropriada para colocar o sistema em produção. Controles de TI Operações computacionais; Acesso a programas e dados; Mudanças de programas; Desenvolvimento de programas; Computação para usuário final Infraestrutura

Computação para o usuário final Verificar se a administração implementou políticas e procedimentos para os usuários finais. Controles de TI Operações computacionais; Acesso a programas e dados; Mudanças de programas; Desenvolvimento de programas; Computação para usuário final Infraestrutura

Agradeço a atenção e coloco-me à disposição para tirar dúvidas. Cristiano Silva Borges