Folha e controles
Um usuário capaz de cadastrar um fornecedor, aprovar uma obrigação e liberar o pagamento concentra etapas sensíveis. A auditoria de segregação verifica as permissões efetivas e como elas foram utilizadas. Ter acesso representa uma exposição; demonstrar uso inadequado exige análise das operações.
Quando esse exame faz sentido
O trabalho é útil em equipes enxutas, reorganizações e concessão de perfis temporários. A revisão deve incluir o banco e os sistemas auxiliares: separar funções no ERP perde força se a mesma pessoa pode alterar o arquivo de remessa e autorizar o pagamento fora dele.
Roteiro de conferência
- Mapear funções críticas e critérios de incompatibilidade, contemplando cadastro, aprovação, geração de remessa e autorização bancária. Validar o desenho com os responsáveis pelo processo.
- Conciliar usuários ativos, perfis e procurações operacionais com a estrutura atual. Examinar acessos compartilhados, técnicos e emergenciais, identificando quem responde por cada utilização.
- Cruzar combinações de acesso com eventos reais e controles de revisão. Avaliar se a pessoa que revisa consegue identificar alterações e bloquear ou questionar pagamentos antes da conclusão.
Os procedimentos são um ponto de partida. A seleção dos registros, o período e a extensão dos testes são definidos conforme o objetivo e os riscos do trabalho.
Documentos para organizar
Matriz de funções; exportação de usuários e perfis; autorizações bancárias; logs de cadastro e aprovação; remessas; histórico de concessões; evidências de revisão de exceções.
Exemplo numérico ilustrativo
Exemplo ilustrativo: entre 18 usuários, três podem alterar fornecedores e gerar remessas. Um deles também autoriza no banco. A análise deve examinar essa combinação e os controles existentes, sem afirmar que houve desvio. Se quatro pagamentos de R$ 10.000 passaram integralmente por esse usuário, são R$ 40.000 de operações selecionadas para verificação.
O que a análise pode entregar
Pode ser entregue uma matriz de incompatibilidades, eventos examinados e medidas de redução do risco, como ajuste de acesso e revisão documentada. Controles compensatórios precisam ser executáveis pela equipe real.
Este recorte examina processos e registros. A emissão de opinião sobre demonstrações contábeis exige contratação e requisitos próprios.
Dúvida frequente
Uma empresa pequena precisa contratar outra pessoa para cada etapa?
A solução depende do risco e da estrutura. Quando a separação integral não for viável, podem ser avaliadas revisões independentes e limites, desde que haja evidência de execução e possibilidade efetiva de intervenção.
Continue a análise
Defina o trabalho com a Costa Nova
Para avaliar uma proposta, informe o período, os sistemas utilizados, o volume aproximado de operações e a questão que precisa ser esclarecida. Escopo, prazo e honorários dependem dessas informações e da documentação disponível.
Contato: contato@cnassociados.com.br
Referência de consulta: CFC — Normas de Auditoria Interna.