Um usuário pode ter recebido dois perfis incompatíveis sem ter os dois ativos ao mesmo tempo. Para avaliar esse risco, a auditoria interna cruza as permissões efetivas, o âmbito de atuação e os intervalos de concessão. Juntar apenas o nome da conta em duas listas pode gerar uma exceção que nunca existiu no período examinado.
Estudo didático da Costa Nova, com dados fictícios. Não representa cliente nem resultado de auditoria. O exemplo permite conferir a lógica do teste e reconhecer as evidências necessárias para aplicá-lo a uma empresa.
O que será testado
O período do exercício é outubro de 2026, em um único ERP. A regra interna fictícia R-S01 exige revisão quando a mesma identidade pode alterar os dados bancários de fornecedores e aprovar pagamentos em caráter final, simultaneamente, na mesma empresa. O alerta identifica uma combinação de permissões a examinar; não comprova uso indevido ou fraude.
Para simplificar o cálculo, as datas de início e fim são inclusivas e representam dias completos no mesmo fuso. Admitimos que os perfis indicados correspondem às permissões efetivas, sem outras heranças, restrições ou delegações. Em um sistema real, essas premissas precisam ser verificadas: horários, revogações, escopo por unidade e bloqueios podem mudar o resultado.
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Concessão / conta | Perfil efetivo | Empresa | Vigência em outubro | Origem |
|---|---|---|---|---|
| G01 / U01 | Alterar banco do fornecedor | A | 01 a 31 | H01 — histórico de concessões |
| G02 / U01 | Aprovar pagamento final | A | 01 a 31 | H01 — histórico de concessões |
| G02 / U01 | Aprovar pagamento final | A | 01 a 31 | H02 — reextração da mesma concessão |
| G03 / U02 | Alterar banco do fornecedor | A | 01 a 15 | H01 — histórico de concessões |
| G04 / U02 | Aprovar pagamento final | A | 16 a 31 | H01 — histórico de concessões |
| G05 / U03 | Somente consulta | A | 01 a 31 | H01 — histórico de concessões |
Primeiro, conferir a unidade contada
G02 aparece duas vezes porque H02 repete uma extração de H01. No exercício, a chave da concessão e todos os campos de negócio são idênticos; a origem foi reconciliada. Conservamos as duas linhas na trilha e apenas uma concessão no teste. Assim, seis linhas correspondem a cinco concessões distintas, ligadas a três identidades. Não são seis concessões nem necessariamente três pessoas.
A retirada da cópia depende dessa conferência. Duas linhas com o mesmo nome de usuário podem pertencer a ambientes, empresas ou concessões diferentes. Uma chave repetida com datas divergentes deve ser investigada, não apagada para fazer o total fechar.
Depois, cruzar os intervalos no mesmo âmbito
Para cada par de permissões incompatíveis, tomamos o início mais tardio e o fim mais antigo, dentro de outubro. Se o início ultrapassa o fim, não há interseção. Se existe interseção, o número de dias inclusivos é a diferença entre as datas mais um. O cruzamento só vale quando ambiente e âmbito também coincidem.
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Identidade | Interseção das permissões | Dias simultâneos | Leitura do teste |
|---|---|---|---|
| U01 | 01 a 31 de outubro, empresa A | 31 | Uma combinação potencial para revisar; a cópia de G02 não gera uma segunda exceção. |
| U02 | Cadastro termina em 15; aprovação começa em 16 | 0 | As duas funções existem no histórico, mas não ficam ativas juntas nas premissas do exemplo. |
| U03 | Somente consulta | Não se aplica | Não há par de permissões incompatíveis definido pela regra. |
Se G04 começasse em 15/10, U02 teria um dia de sobreposição: 15/10. Se a aprovação valesse somente para a empresa B, o par não atenderia à regra de mesmo âmbito da empresa A. E, se faltasse a data de revogação, seria necessário esclarecer a vigência; ausência de informação não equivale automaticamente a acesso ativo ou inativo.
O que a conclusão pode afirmar
Nesta base fictícia, há uma identidade com combinação potencial simultânea durante 31 dias. Isso não demonstra que U01 executou pagamentos, que houve desvio ou que existe determinada taxa de fraude. O exercício não estima perdas nem projeta resultados para outras contas ou períodos.
Uma matriz atualizada em novembro não resolve a reconstrução de outubro. Para avaliar a execução, é preciso ligar as permissões históricas às operações e às autorizações pertinentes. O estudo de segregação com quatro pagamentos mostra essa etapa separada: confrontar o cadastro de acessos com os eventos efetivamente registrados.
Documentos e entrega de uma auditoria de acessos
- Histórico de concessões e revogações, com ambiente, empresa, conta, aprovador e referência de origem.
- Descrição das permissões efetivas dos perfis, heranças, delegações e restrições relevantes.
- Critério aprovado para as combinações incompatíveis e eventuais controles compensatórios.
- Data e fuso dos eventos, versões dos arquivos e totais antes e depois do tratamento de cópias.
- Relatório com regra aplicada, população coberta, exceções, evidências examinadas, pendências e recomendações.
O programa de trabalho da auditoria interna define como essas verificações serão executadas e revisadas. A referência normativa para documentação e procedimentos é a NBC TI 01, indicada pelo CFC; as seções 12.1.2 e 12.2 da publicação de auditoria interna tratam desses assuntos. A regra R-S01 e os dados acima são escolhas didáticas, não exigências universais da norma.
Perguntas sobre acessos históricos
A matriz atual prova as permissões do mês inteiro?
Não. Ela retrata a data a que se refere. Para reconstruir outro período, a equipe precisa de histórico confiável e deve conferir as datas de concessão, alteração e revogação, além das permissões efetivas.
Uma sobreposição de perfis comprova fraude?
Não. A sobreposição pode indicar um conflito potencial segundo uma regra definida. Uso do acesso, autorização da operação, controles compensatórios e eventual efeito financeiro exigem exames próprios.
O identificador do usuário comprova quem fez a operação?
Não sozinho. Contas compartilhadas, integrações, delegações e trilhas incompletas podem limitar a atribuição. O relatório deve explicitar o que os registros sustentam e o que depende de evidência adicional.
Solicitar auditoria interna em São Paulo
Informe o ERP, os processos que preocupam a empresa, o período a examinar e o prazo. A Costa Nova delimita os testes e o relatório na proposta de auditoria interna. A disponibilização dos arquivos é combinada com os responsáveis autorizados, após a definição inicial do trabalho.
Auditoria interna para empresas · Segregação de funções no ERP · Programa de trabalho