Continuous Control. Metodologia de Implementação. Wilson Luiz Gellacic Partner

Transcrição

1 Continuous Control Monitoring Metodologia de Implementação Wilson Luiz Gellacic Partner 1

2 Agenda Revendo os Conceitos sobre Controles Por quê Focar em Controles Automáticos Oportunidades Existentes Como Implementar Monitoramento Contínuo Alguns Exemplos O Futuro Bate ànossa Porta 2

3 Preparar a Documentação e Avaliar Controles - Abordagem SOX Atividade Contascontábeise sistemasrelacionados Documentaçãoe controles Avaliar /Monitorar 2003 Financial Statements Processo Demonstrações financeiras Contas Significativas Processos significativos? Riscos: O que Poderiadarerrado? Controles Testes/ Monitoramento Riscosinerentes e de negócio Assertivas Identificar controles que mitiguem riscos Controles que forneçam razoável segurança que erros significativos não ocorram; Controles podem ser automatizados e/ou manuais. Exemplo: Conta de Estoque: Existência: produtos finais são registrados quando disponíveis Processo: processo de remessa do armazém O Que Pode Dar Errado? Carregamento não ser registrado Controle: realizar contagem de inventário todo mês 3

4 Controles gerais de TI x Controles de aplicação A Tecnologia da Informação possui um papel essencial em controles internos pois muitos dados financeiros dependem de sistemas Contas Significativas Processos Contas a Pagar Contas a Receber Aplicações Folha Pagto Ativo Fixo etc. ControlesAutomáticos De Aplicações Aplicações de Âmbito Geral na Empresa Segurança e Networking de Informações Tecnologia da Informação Desenvolvimento & Operações Gestão de TI Suporte Técnico & Gestão DBs Controles Gerais de TI 4

5 O ambiente atual de tecnologia permite explorar novas possibilidades em controles automáticos Departamento Data Center Provedor de Acesso Remoto Estação Local Firewall Firewall Internet Firewall Parceiro de Negócios Intranet Home Office Funcionário em Trânsito Servidor de Informações Públicas 5

6 Porquêusarmaiscontrolesautomáticos? Source: IT Control Objectives for Sarbanes-Oxley, 2nd Edition 6

7 Tecnologia e Negócios estão cada vez mais integrados 7 F O R N E C E D O R E S Business Strategy + Process e-business Services Knowledge Management Supply Chain Management Negócio Enterprise Resource Planning Business Intelligence e-business Services Web + IT Integration Tecnologia Customer Relationship Management C L I E N T E S

8 Dentrodessecenário, o quedevemudarno mundode controlesinternos? Como estarpreparado? O quepodemosfazerde forma??? melhor? Como ser maisprodutivo? Como as novas tecnologias podemnosajudar? Quaisas prioridades? Quanto devemosinvestir? Quala melhorsolução tecnológica?

9 Monitoramento Contínuo de Controles (CCM) CCM ( Continuos Control Monitoring ) é um conjunto integrado de processos e técnicas, possibilitados pela tecnologia, que pretendem ajudar a organização a: Identificar deficiências de controle Localizar em que ponto as deficiências de controle são exploradas Quantificar o efeito do descumprimento de controles de forma a entender mais claramente os riscos Sanar as deficiências de controle pela raiz Automatizar o monitoramento contínuo do ambiente de controle Aumentar a eficiência e a eficácia dos processos de controle Impedir que certos riscos se concretizem Um ambiente eficaz de CCM permite que a organização tenha o equilíbrio certo entre controles manuais e automatizados para detectar e impedir falhas nos controles 9

10 Motivadores para se falar sobre CCM 10 Questões CUSTO DA CONFORMIDADE A maioria das organizações gasta tempo e dinheiro significativos para estar em conformidade com os reguladorers e se preocupam com o alto custo envolvido CONTROLES MANUAIS Muitos dos controles que as organizações adotam são manuais e intensivos em mão-de-obra RETORNO QUESTIONÁVEL Na maioria dos casos, o benefício do investimento em SOX não é imediatamente visível para a empresa e o custo de manter um ambiente de controles manuais não é sustentável ESCOPO & CUSTOS GERAIS DE AUDITORIA A gestão do escopo e os custos de auditoria são uma preocupação crescente, tanto da perspectiva de auditoria interna como de auditoria externa CCM pode ajudar as organizações a reduzir os esforços de auditoria e gestão de riscos Implicações NECESSIDADE DE SER MAIS EFICIENTE A maioria das organizações acredita que precisam fazer algo para ser mais eficientes na automação e no monitoramento de controles NECESSIDADE DE UMA MELHOR RELAÇÃO CUSTO-BENEFÍCIO A maioria das organizações não consegue sustentar os custos mais elevados de conformidade a longo prazo FERRAMENTAS & SOLUÇÕES DE SOFTWARE Os fornecedores de software estão desenvolvendo e promovendo ativamente novas ferramentas e técnicas para automatizar o monitoramento de controles (i.e., Approva, Applimation, Logical Apps, Virsa, etc.)

11 Exemplosde métricasde CCM Limites Excedidos Identificar Transferências acima de 100 Mil Acesso a Transações Críticas Usuários com Acessos irrestritos O que pode dar errado? Registros Nãoautorizados Mudanças de Configuração Transações Nãoautorizadas Registros Duplicados Falta ou Ausência de Dados Controles Monitorados Ajustes Contábeis sem Identificação Fornecedores com Pagamentos Duplicados Usuários que Liberaram Depósitos Bloqueados Fornecedores com Pagamentos Iguais Aprovações Atípicas Indefinidas Alguns Exemplos Segregação de Funções Acesso Para Criar Fornecedores Diferente de Pagadores Dados incorretos Bens Recebidos no Mesmo Dia da Ordem de Compra 11

12 Porquêcomeçar? Situação Atual Grande quantidade de controles manuais Custo elevado de conformidade Novas soluções de software Exceções de controle durante a auditoria anual Excesso de confiança nos controles de detecção Número elevado de casos de descumprimento dos controles Foco na conformidade vs. riscos operacionais e do negócio Situação Futura Desejada Ambiente de controles com melhor relação custobenefício Monitoramento eficiente dos controles Economias de custo e eficiências geradas por CCM Aumento do número de controles automatizados Conscientização contínua sobre risco digital Aumento no uso de controles preventivos Redução do número de casos de descumprimento Abordar riscos operacionais e do negócio 12 Sustentabilidade

13 Por onde começar? Representação Gráfica de Controles Integrados Conciliações Contábeis Controles de Dados Cadastrais Controles de Acesso Documentação SOX Controles de Transações Segregação de Funções Controles Manuais Controles Configuráveis Controles de Interface Controles Gerais do Ambiente de Informática Foco: Vulnerabilidades, Quantidade de controles manuais, Nívelde Automação do Processo 13

14 Como Começar? Inventário dos Processos Priority Project Name Description Sponsor Contact Appx. Size 1 IT Asset Landscape 2 Privacy Diagnostic Solutions Alignment Controls Optimization End User Computing Control Review Vendor Management Appx Start Resources Required Resource Contact LOU Schedule, Staffing & Notes High level study of potential Salluzzo Sep Mgr and Sr Grossberg 80% Complete risk areas and development of Mgr streamlined audit and IT risk remediation needs including consideration of control work being documented under Process Inventory various projects. Umbrella review of various Salluzzo Jan Senior for Leizerov Applications by Region regulatory requirements 8 weeks regarding data privacy and Significant Mega security that are most Processes Sub Processes Asia Pacific North America EMEA Latin America significant to ABC s global business and an assessment Cash of Receipts Cash Receipts--Wire and APS OneGlobe SAP APS the processes, procedures and Checks In Office AccPac CitiDirect MultiCash technology to ensure AccPac compliance. Desk Bank RM Evaluate application portfolio Webber 600 Sr Mgr, Grossberg for efficiency and effectiveness Mgr & Sr SM Banking in meeting strategic business for 6-8 needs. weeks DBS Web Banking Evaluate SOX documentation Webber 120/ Sr Mgr, Grossberg for opportunities to leverage process Mgr & Sr Hexagon Client application controls. Hexagon Server For the spreadsheets/ databases Webber 400 Sr Mgr, Levy [End User Computing (EUC)] Cash Receipts--Lockbox Mgr & Sr Mellon Telecash NA N/A that support a significant for 4 business process where Cash the AP/Cash Disbursements weeks -- AccPac OneGlobe SAP AccPac importance is assessed as Disbursements high / Wire & Check or critical, identify and Desk Bank JPMC Insight MultiCash RM Payables recommend policy/procedure to support audit reliance. PNC Bank IDDC Direct Determine a roadmap to Webber A/P--Receipt 200 and Recording Sr Mgr and Grossberg AccPac OneGlobe SAP address risks related to Mgr for 4 AccPac (invoices) outsourcing IT processes. weeks Excel RM Provide detailed risk assessment and risk Cash Disbursements--Imprest NA Excel NA NA management guidance. AP/Procurement Card Aplicação NA OneGlobe NA NA NA Works NA NA AP Sub-Contractors AccPac OneGlobe SAP AccPac Análise de Controles de Processos do Negócio Fluxogramas dos Processos do Negócio (Riscos & Controles) Índice de Controles Automáticos Experiências Externas Workshop Controles a Serem Automatizados Conhecimento do Cliente Entender o Processo Validar O que Poderia Dar Errado (WCGWs) Avaliar/ Otimizar Controles Identificar Falhas nos Controle Identificar Controles a Serem Automatizados 14 Relatório de Exceções Emitir Relatório & Aperfeiçoar Corrigir Identificar Controles Compensatórios Validar Exceções Desenvolvimento das Regras

15 Ponto de vista tradicional sobre CCM Avaliar Abordagem de Avaliação Baseada em Risco, Top-Down Controles a Nível da Administração Melhorar Racionalização de Controles Otimização de Controles Monitorar Monitoramento de Controles Manter Nossa Empresa Longe de Problemas Promover Conformidade Sustentável com a Melhor Relação Custo-Benefício 15

16 Ponto de vista da Ernst & Young sobre CCM Avaliar Abordagem de Avaliação Baseada em Risco, Top-Down Controles a Nível da Administração Melhorar Racionalização de Controles Otimização de Controles Monitorar Conformidade & Monitoramento de Controles Monitoramento de Controles Monitoramento do Desempenho do Negócio & Suporte à Tomada de Decisões Manter Nossa Empresa Longe de Problemas Promover Conformidade Sustentável com a Melhor Relação Custo-Benefício Tornar Nossa Empresa Melhor Promover Melhorias dos Processos & Operacionais 16

17 Explorando possibilidades Somente para fins ilustrativos 17

18 Muito obrigado Palestrante: Wilson Luiz Gellacic Sócio 18