SARC 2.0 ( System Audit Risk Control)

Apresentação em tema: "SARC 2.0 ( System Audit Risk Control)"— Transcrição da apresentação:

1 SARC 2.0 ( System Audit Risk Control)
Jesús Sandoval Cuesta Aplirh S.L

2 AGENDA 1. Introdução 2. Componentes SARC 3. Vantagens
1.1 Histórico 1.2 SARC. Conceito 1.3 Integração 1. Introdução 2.1 Relatório de riscos. 2.2 Entorno de trabalho com menus e/ou com menu de âmbito 2.3. Matriz de incompatibilidades 2.4. Documentação descritiva dos riscos. 2.5 Ferramentas de ajuda para auditoria e consultores de básico. 2.5 Manutenção de perfis(roles). 2.6. Flexibilidade e capacidade de gerenciamento. 2.7. Manutenção de perfis(roles). 2.8 Manutenção da matriz disponível para o departamento de auditoria 2.9 Gráficos 2.10 Relatórios. 2.11 Simulações 2.12 AAM controle de atribuição de autorizações ( integração) 2.13 Exclusões. 2.14 Log de mudanças na Matriz SARC 2.15 Bloqueio/limitação automático de usuários. 2. Componentes SARC 3. Vantagens 4. Planejamento da Implantação 5. Parceiros e colaboradores

3 INTRODUÇÂO 1.1 HISTÓRICO Nos momentos de turbulência econômica e de desconfiança generalizada dos investidores nos gestores das organizações é necessário estabelecer sistemas confiáveis e seguros que garantam um controle nas empresas. Com este objetivo foi criado o SoX(Segregação de funções) que nasce do cumprimento da lei Sarbanes-Oxley dos Estados Unidos fomentada a partir dos escândalos de Enron e outras corporações. SARC oferece uma solução rápida, simples e econômica para quaisquer tipo de empresas que precise um controle de riscos nos sistemas e ao mesmo tempo otimizar e economizar com a gestão de usuários de SAP.

4 INTRODUÇÂO 1.2 SARC. Conceito
SARC (System Audit Risk Control) é uma solução implantada sobre a plataforma SAP que permite realizar um controle dos processo e funções em SAP, mostrando os riscos e perigos existentes de usuários baseado nos riscos definidos pela auditoria do negocio. o SARC, ajuda na gestão de autorizações de usuário otimizando as autorizações que realmente precisa cada usuários, alem de bloquear e limitar aqueles usuários que não utilizam o sistema economizando em licenças SAP. o SARC é uma ferramenta que garante o cumprimento da separação de funciones necessárias para evitar os riscos de fraude identificados pelos auditores. Na prática os riscos do SARC em SAP são controlados evitando que as pessoas possui autorizações suscetíveis a fraudes. Em SAP as autorizações de cada um dos fluxos de trabalho da organização é feito utilizando “ transações ” SAP e estes são os objetos que devemos controlar. Em conclusão e derivado do SoD, é necessário tomar as medidas organizacionais necessárias para adaptar as tarefas atribuídas as pessoas evitando os riscos identificados pela auditoria. Assim será necessário em muitos casos desenvolver nas estruturas organizativas uma gestão da mudança.

5 INTRODUÇÂO 1.3 Integração
A atribuição de autorizações aos usuários é muito dinâmica e deve responder de forma rápida e flexível as diversas mudanças que são feitas na vida das empresas e se adaptando as normas e controles estabelecidos pelo departamento de auditoria ( SARC). Para oferecer respostas a esta necessidade foi desenvolvido o AAM(Automatic Authorizations Management) que com a integração com o SARC permite realizar um controle de usuários utilizando as diretrizes da auditoria no entorno de usuário final e delimitando com precisão as autorizações as estruturas que o usuário deve acessar. Alem de todo o anterior existe a dificuldade técnica da gestão das autorizações no SAP, tecnicamente chamada SAP roles e/ou perfis. Estes roles e/ou perfis estão composto por transações que controla o GRC por um lado e por objetos de autorização organizativos (empresa, centro de custo, grupo de compras, setor de vendas, etc.) que delimitam e segmentam ao que deve ter acesso cada integrante da organização. Estes casos, geralmente, os roles são administrados pelas pessoas do departamento de TI que não entendem o suficiente da organização das pessoas. Em resposta e como solução a esta problemática se desenvolve o GIRHR, uma ferramenta que integra todos os sistemas com uma gestão automatizada administrada diretamente pelos responsáveis da organização. Estes terão um entorno de trabalho apropriado para a gestão de pessoas mas com os componentes de controle de segurança integrados na mesma funcionalidade.

6 2. COMPONENTES GIRHR 2.1 Informe prévio de riscos
Funcionalidade externa a SAP que permite de uma forma rápida realizar uma análise dos riscos existentes sobre uma matriz standard. Para realizar este primeiro análise unicamente precisamos que sejam enviados vários arquivos em formato txt do seu sistema e retornaremos o seguinte informe:

7 2. COMPONENTES SARC 2.2. Entorno de trabalho dos menus y/o com menu de âmbito O menu do entorno de trabalho está desenvolvido com SVMI ( System Visual Menu Interactive), com ajudas e organizado para uma melhor compreensão.

8 2. COMPONENTES SARC 2.3. Matriz de incompatibilidades
A base do funcionamento do SARC é a manutenção de uma matriz de incompatibilidades baseada numa matriz standard que cada cliente deverá adaptar a suas necessidades, incluindo tanto seus desenvolvimento próprios(trans. Z), como novos riscos particulares da empresa.

9 2. COMPONENTES SARC 2.4. Documentação descritiva dos riscos
A solução será entregue com documentos anexados a cada risco com uma explicação detalhada e exemplo dos mesmos.

10 2. COMPONENTES SARC 2.5 Ferramenta de ajuda auditoria e consultores de básico SARC poderá ser utilizado de forma Independente como auditor do sistema para verificar em qualquer momento os riscos existentes nos usuários do sistema ou inclusive na elaboração de novos roles/perfis como ajuda na construção.

11 2. COMPONENTES SARC 2.6. Flexibilidade e capacidade de gerenciamento
SARC é muito simples de administrar e manter. Os responsáveis da auditoria poderão configurar como desejem os riscos, funções e transações.

12 2. COMPONENTES SARC 2.7. Manutenção de roles
SARC ajuda a configurar de forma correta os roles/perfis, evitando incluir num mesmo rol transações que apresentem risco entre elas.

13 2. COMPONENTES SARC 2.8 Manutenção da matriz ao alcance do departamento de auditoria A manutenção da matriz de incompatibilidades é simples e navegável. Desde a mesma Matriz pode obter relatórios das pessoas que possuem algum tipo de risco.

14 2. COMPONENTES SARC 2.9 Gráficos
Permite executar relatórios de gráficos para ter uma visão geral da situação dos riscos.

15 2. COMPONENTES SARC 2.10 Relatórios
SARC possui desenvolvido distintos relatórios que permite manter o sistema livre de riscos.

16 2. COMPONENTES SARC 2.11 Simulações
Permite realizar simulações para comprovar se ao atribuir algum novo perfil(rol) para um usuário gera incompatibilidades sobrevindas a outros.

17 2. COMPONENTES SARC 2.12 AAM Controle de atribuição de autorizações ( integração) A atribuição de perfis(roles) desde a estrutura organizacional pode ser limitada na matriz de riscos, de forma que nenhum usuário, onde é administrado seus roles utilizando a estrutura organizativa, permita atribuir roles que sejam incompatíveis.

18 2. COMPONENTES SARC 2.13 Exclusões
O sistema permite realizar exclusões de usuários específicos ou grupos de usuário que não seja requerido o controle utilizando o SARC

19 2. COMPONENTES SARC 2.13 Exclusões II
Também será possível determinar a que países é necessário controlar os riscos específicos de pais utilizando o SARC.

20 2. COMPONENTES SARC 2.14 Log de mudanças na Matriz SARC
O sistema permite ativar log de mudanças para conhecer em todo momento cuando as modificações da matriz e as datas nas que foram executado os relatórios.

21 2. COMPONENTES SARC 2.15 Bloqueio/limitações automático de usuários
Com o objeto de otimizar os custos de licencia SAP. SARC dispõe de um sistema de bloqueio/limitações de todos usuários sem utilização do sistema desde um determinado período de dias.

22 Vantagens 3. VANTAGENS Implantação rápida e simples.
Flexibilidade, agilidade e rapidez na atribuição ou mudança das autorizações existentes ( maior eficácia ). Maior eficiência e concreção na atribuição dos perfis(roles), evitando atribuir autorizações que não são necessárias, diminuindo o risco de má utilização de informações e/ou fraude. Diminuição considerável nos recursos técnicos necessários para a gestão dos perfis ou roles (economia de custes). Gestão de roles de usuário estruturada e relacionada com objetos estruturais da organização da companhia (organograma da empresa). Adequação e dimensionamento das autorizações dos usuários aos objetos de autorização (empresa, grupos de compras, centros de custo, etc. ) dentro de suas competências e da estrutura organizativa. Limitação dos usuários que não tenham acesso ao sistema gerando uma economia de custos de licenças. Entorno amigable para la gestión de las autorizaciones Automatización de los procesos de gestión de autorizaciones creación de roles y asignación a usuarios finales. No es necesaria la intervención de ningún técnico para asignar autorizaciones de sap a personas ya que el propio usuario final designado podrá realizar dicha función de una manera sencilla e intuitiva. Gestión de roles de usuario estructurada y relacionada con objetos estructurales de la organización de la compañía (organigrama de la empresa) Adecuación y acotación de las autorizaciones de usuarios a los objetos de autorización ( sociedades, grupos de compras, centros de coste etc ) dentro de sus competencias dentro de la estructura organizativa. Mayor eficiencia y concreción en la asignación de los roles, evitando asignar autorizaciones que no necesita Agilidad e inmediatez en la asignación o modificación de las autorizaciones existentes. Se evitan intermediarios en la gestión de autorizaciones, de manera que el propio sistema los genera automáticamente con la frecuencia y periodicidad que se determine. Disminución notable en los recursos técnicos necesarios para la gestión de los roles. Gestión de autorizaciones basada en el organigrama de la empresa, utilizando objetos y conceptos propios de la gestión de personas. Es decir, posiciones, tareas y funciones. Visibilidad por parte de usuarios claves sobre los controles aplicados a los procesos de negocio y las personas que los desempeñan, ayudando en la toma de decisiones respecto a la organización de la compañía. Unifica y alinea los procesos de negocio, el cumplimiento normativo interno y la gestión de riesgos. Ayuda a conocer los flujos de trabajo desarrollados en el sistema tendiendo a homogeneizar los puestos de trabajo de las distintas unidades organizativas, influyendo positivamente en la estandarización de puestos dentro de la organización que ayudan a la movilidad de las personas entre distintos puestos de la organización, dotando de mayor flexibilidad de las estructuras organizativas

23 Vantagens 3. VANTAGENS (2)
Gestão de autorizações baseada no organograma da empresa, utilizando objetos e conceitos próprios de gestão de pessoas (posições, tarefas e funções). Visibilidade por parte de usuários chaves sobre os controles aplicados nos processos de negocio e as pessoas, ajudando na tomada de decisões com relação à organização da companhia. Unifica e alinha os processos de negocio, o cumprimento normativo interno e a gestão de riscos. Ajuda a conhecer os fluxos de trabalho desenvolvidos no sistema que tem como objetivo uniformizar os cargos de trabalho das distintas unidades organizativas, influindo positivamente na padronização dos cargos dentro da organização. Como consequência, melhora consideravelmente a mobilidade das pessoas entre distintos cargos da organização, fornecendo de maior flexibilidade das estruturas organizativas. Entorno amigable para la gestión de las autorizaciones Automatización de los procesos de gestión de autorizaciones creación de roles y asignación a usuarios finales. No es necesaria la intervención de ningún técnico para asignar autorizaciones de sap a personas ya que el propio usuario final designado podrá realizar dicha función de una manera sencilla e intuitiva. Gestión de roles de usuario estructurada y relacionada con objetos estructurales de la organización de la compañía (organigrama de la empresa) Adecuación y acotación de las autorizaciones de usuarios a los objetos de autorización ( sociedades, grupos de compras, centros de coste etc ) dentro de sus competencias dentro de la estructura organizativa. Mayor eficiencia y concreción en la asignación de los roles, evitando asignar autorizaciones que no necesita Agilidad e inmediatez en la asignación o modificación de las autorizaciones existentes. Se evitan intermediarios en la gestión de autorizaciones, de manera que el propio sistema los genera automáticamente con la frecuencia y periodicidad que se determine. Disminución notable en los recursos técnicos necesarios para la gestión de los roles. Gestión de autorizaciones basada en el organigrama de la empresa, utilizando objetos y conceptos propios de la gestión de personas. Es decir, posiciones, tareas y funciones. Visibilidad por parte de usuarios claves sobre los controles aplicados a los procesos de negocio y las personas que los desempeñan, ayudando en la toma de decisiones respecto a la organización de la compañía. Unifica y alinea los procesos de negocio, el cumplimiento normativo interno y la gestión de riesgos. Ayuda a conocer los flujos de trabajo desarrollados en el sistema tendiendo a homogeneizar los puestos de trabajo de las distintas unidades organizativas, influyendo positivamente en la estandarización de puestos dentro de la organización que ayudan a la movilidad de las personas entre distintos puestos de la organización, dotando de mayor flexibilidad de las estructuras organizativas

24 FASE I. Instalação em SAP do componente SARC
4. PLANEJAMENTO DA IMPLANTAÇÂO SARC FASES DO PROJETO E RECURSOS Consultor SARC Aplirh S.L. ou parceiro autorizado com usuário/s clave/s Pessoal Técnico de Aplirh S.L. ou parceiro autorizado. Equipe exclusivo de desenvolvimento Equipe misto consultor SARC com recursos de auditoria de negocio FASE I. Instalação em SAP do componente SARC FASE II. Parametrização em GRC dos riscos estabelecidos com transações SAP que os geram. FASE III. Capacitação a usuários chaves (auditores e pessoal técnico SAP) Desenvolvimentos e tabelas de integração Matriz de incompatibilidades Entrada em produção e suporte de incidências

25 5. PARCEIROS E COLABORADORES.

26 OBRIGADO