Estudo didático com usuários, operações e documentos fictícios. Não descreve um cliente da Costa Nova. O objetivo é mostrar como a auditoria interna distingue conflito de permissões, uso efetivo de funções incompatíveis e limitação de identificação nos logs.
A pergunta da empresa é se o mesmo usuário pode preparar e aprovar um pagamento e se isso aconteceu no período. A proposta de exame precisa identificar o processo, a política adotada, a data de referência, os sistemas e o histórico disponível.
Premissas: qual regra será testada?
A política fictícia exige aprovador diferente do preparador. Não há exceção formal nem revisão compensatória documentada para os eventos deste exercício. A matriz extraída em 31/10/2026 mostra a situação nessa data; os logs de outubro identificam preparação e aprovação de quatro pagamentos. Uma fotografia atual das permissões não substitui seu histórico.
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Identidade fictícia | Permissões no extrato recebido | Pergunta de auditoria |
|---|---|---|
| U01 | Cadastrar fornecedor, preparar e aprovar pagamento | A combinação é incompatível com a política? Foi usada? |
| U02 | Preparar pagamento | Quem realizou a aprovação das operações preparadas? |
| U03 | Aprovar pagamento | O histórico confirma esse papel nas datas examinadas? |
| SVC-01 | Executar aprovação na integração | Que origem autorizada disparou o evento e quem pode ser identificado? |
Eventos: o que aconteceu em cada pagamento?
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Operação | Preparação e aprovação | Confronto com as fontes |
|---|---|---|
| P101 — 25/10 — R$ 12.000 | U02 preparou; U03 aprovou | Logs e histórico do período confirmam papéis distintos |
| P102 — 26/10 — R$ 8.000 | U01 preparou; U01 aprovou | Mesma identidade nas duas etapas, sem exceção admitida no cenário |
| P103 — 27/10 — R$ 5.000 | U02 preparou; SVC-01 aprovou | O log recebido não identifica quem autorizou o disparo da integração |
| P104 — 03/10 — R$ 6.000 | U02 preparou; U03 aprovou | Não foi entregue o histórico de permissões correspondente a 03/10 |
Os valores totalizam R$ 31.000. Eles identificam as operações e ajudam a reconciliar a seleção; não são uma quantificação de perda. O evento registrado no ERP também não substitui a conferência da obrigação e da liquidação bancária, se essas verificações integrarem o escopo.
Conclusões que a evidência permite
- P101: a distinção de funções foi demonstrada nas fontes do exercício. A conclusão é sobre esse critério e essa operação.
- P102: existe exceção confirmada à regra de aprovador distinto. O valor de R$ 8.000 não pode ser apresentado como prejuízo apenas por esse fato.
- P103: a atribuição da autorização permanece limitada. A conta técnica não prova que um usuário humano específico aprovou a operação. É necessário obter a origem e o vínculo do evento na integração.
- P104: a segregação na data do evento não foi plenamente testada. A matriz de 31/10 não resolve, sozinha, a situação de 03/10.
Nesta seleção dirigida de quatro operações, uma tem exceção confirmada: 1 ÷ 4 × 100 = 25%. Duas têm limitações de fonte: 2 ÷ 4 × 100 = 50%. Uma demonstra o critério nas fontes examinadas. Esses grupos são distintos; os percentuais não são estimativas estatísticas para toda a empresa nem notas de risco.
Documentos adicionais e preservação da trilha
- Matriz de funções incompatíveis e política vigente no período.
- Histórico de concessão, mudança e revogação dos perfis, ligado às datas dos eventos.
- Logs com identificador da operação, etapa, data, horário e origem, com totais de controle da extração.
- Chamados de acesso, responsáveis por autorizar a mudança e documentação da integração.
- Evidência de eventual revisão compensatória, com responsável, data, escopo e resultado.
Os acessos às bases e a forma de disponibilização devem ser autorizados pela empresa. O relatório registra as fontes efetivamente recebidas e evita preencher lacunas com presunções. Prints de configuração podem complementar a análise; não recompõem uma sequência de eventos que não foi disponibilizada.
Como a correção entra no plano de ação
O plano deve responder ao achado: restringir a combinação de funções quando cabível, identificar quem autoriza eventos da integração e manter o histórico necessário. Configurar a restrição é uma etapa; demonstrar seu funcionamento é outra. O reteste usa operações posteriores à implantação e registra a seleção, as exceções e as limitações.
Se não houver operação posterior no período de acompanhamento, o status é ausência de ocorrência para testar, sem presumir aprovação do controle. Veja os critérios do reteste de controles.
O que a empresa pode contratar
A Costa Nova organiza o exame dos acessos e das operações financeiras para apoiar gestores, sócios e assessores da empresa. A proposta define processos, sistemas, período, extensão dos testes e relatório. O trabalho pode começar em uma revisão preventiva ou extrajudicial e atender empresas em São Paulo.
Auditoria interna de controles · Guia de acessos ao ERP · Planos de ação e reteste · Auditoria forense
Referência de enquadramento: NBC TI 01 — Auditoria Interna, no CFC. Este estudo não certifica um sistema nem emite opinião sobre demonstrações contábeis completas.