Governança e acompanhamento
O desligamento no RH não garante que os acessos financeiros tenham sido encerrados no mesmo momento. A auditoria reconstrói a comunicação e o bloqueio nos sistemas incluídos no escopo, verificando permissões e operações posteriores. O exame trata de controle de acesso, sem presumir uso indevido pela pessoa desligada.
Quando esse exame faz sentido
A revisão é útil quando ERP, banco e aplicações auxiliares têm responsáveis distintos. Contas técnicas e compartilhadas merecem tratamento próprio, pois a retirada de um usuário individual pode não encerrar todas as formas de acesso relacionadas à função.
Roteiro de conferência
- Relacionar desligamentos a identificadores de usuários e datas de comunicação. Conferir bloqueio em cada sistema, distinguindo solicitação aberta e conclusão efetiva.
- Examinar permissões e registros posteriores, preservando origem e horário. Diferenciar autenticação, tentativa rejeitada e transação efetiva; eventos automáticos podem usar uma identificação antiga.
- Revisar tratamento de sessões, acessos compartilhados e substituição de responsáveis com a equipe técnica. Documentar sistemas fora do alcance e controles compensatórios demonstrados.
Os procedimentos são um ponto de partida. A seleção dos registros, o período e a extensão dos testes são definidos conforme o objetivo e os riscos do trabalho.
Documentos para organizar
Relação autorizada de desligamentos; chamados; cadastro de usuários; permissões; confirmações de bloqueio; logs pertinentes; registros de operações e responsáveis por contas técnicas.
Exemplo ilustrativo
Exemplo ilustrativo: o desligamento ocorre na sexta-feira, o ERP é bloqueado no mesmo dia e a autorização bancária somente na segunda-feira. Há uma janela a examinar, mas isso não comprova movimentação indevida. A auditoria confronta logs e transações desse intervalo para distinguir exposição de uso efetivamente identificado.
O que a análise pode entregar
A entrega pode mostrar tempos de bloqueio, sistemas pendentes e operações que exigem esclarecimento. Dados pessoais devem ser restritos ao necessário para os objetivos do trabalho.
Este recorte examina processos e registros. A emissão de opinião sobre demonstrações contábeis exige contratação e requisitos próprios.
Dúvida frequente
Usuário sem movimentação está automaticamente seguro para permanecer ativo?
Não. Ausência de uso observado não justifica acesso sem necessidade. O exame considera autorização e privilégio disponível, além da atividade registrada e das limitações dos logs.
Continue a análise
Defina o trabalho com a Costa Nova
Para avaliar uma proposta, informe o período, os sistemas utilizados, o volume aproximado de operações e a questão que precisa ser esclarecida. Escopo, prazo e honorários dependem dessas informações e da documentação disponível.
Contato: contato@cnassociados.com.br
Referência de consulta: CFC — Normas de Auditoria Interna.