Evidência e desenho dos controles
Perfis elevados podem permitir corrigir dados ou parâmetros fora do fluxo usual. A auditoria examina a justificativa do acesso e a trilha das alterações financeiras realizadas. O nome do perfil não basta para entender quais capacidades estavam disponíveis e como foram utilizadas.
Quando esse exame faz sentido
O exame é útil quando suporte interno ou externo recebe acesso temporário para resolver incidentes. A revisão deve considerar o período efetivo da permissão e os registros de atividade, sem coletar credenciais secretas.
Roteiro de conferência
- Relacionar concessões de acesso elevado a chamados, autorização, finalidade e prazo. Comparar a necessidade descrita com as permissões efetivamente habilitadas.
- Rastrear eventos financeiros relevantes no intervalo, identificando valores anteriores e posteriores quando disponíveis. Confrontar alterações com a solução prevista e com os documentos de suporte.
- Conferir encerramento do acesso e revisão posterior por responsável adequado. Examinar se a trilha é suficiente e quem pode modificá-la, registrando limitações de evidência.
Os procedimentos são um ponto de partida. A seleção dos registros, o período e a extensão dos testes são definidos conforme o objetivo e os riscos do trabalho.
Documentos para organizar
Chamados; autorizações; histórico de permissões; registros de atividade; alterações de dados e parâmetros; validação da solução e encerramento do acesso.
Exemplo ilustrativo
Exemplo ilustrativo: um acesso excepcional é concedido para corrigir o cadastro de um fornecedor. Durante o período também há alteração de uma regra de aprovação. O teste verifica o vínculo dessa segunda mudança com a autorização e sua revisão, sem presumir que a conta foi usada de forma indevida apenas por possuir privilégio elevado.
O que a análise pode entregar
O relatório pode apresentar acessos além do prazo, mudanças sem vínculo documental e lacunas na trilha. O efeito nos registros financeiros é avaliado para as operações identificadas.
Este recorte examina processos e registros. A emissão de opinião sobre demonstrações contábeis exige contratação e requisitos próprios.
Dúvida frequente
Revogar o acesso após o atendimento encerra a necessidade de revisão?
A revogação limita usos futuros, mas não esclarece o que ocorreu enquanto o acesso estava ativo. A revisão dos eventos é uma etapa distinta.
Continue a análise
Defina o trabalho com a Costa Nova
Para avaliar uma proposta, informe o período, os sistemas utilizados, o volume aproximado de operações e a questão que precisa ser esclarecida. Escopo, prazo e honorários dependem dessas informações e da documentação disponível.
Contato: contato@cnassociados.com.br
Referência de consulta: CFC — Normas de Auditoria Interna.