6 PASSOS PARA IMPLEMENTAR UMA AUDITORIA CONTÍNUA EM SUA ORGANIZAÇÃO. Washington Lopes da Silva

Transcrição

1 6 PASSOS PARA IMPLEMENTAR UMA AUDITORIA CONTÍNUA EM SUA ORGANIZAÇÃO Washington Lopes da Silva

2 Agenda Histórico da Auditoria Contínua A Evolução do Ambiente de TI nas Organizações A Evolução da Automação da Auditoria Inteligência Artificial Aplicada aos Negócios Auditoria Contínua na Visão do AICPA / CICA Aspectos da Implantação - Six steps to an effective continuous audit process Impactos nos Métodos Tradicionais de Auditoria

3 Histórico da Auditoria Contínua

4 Histórico da Auditoria Contínua Laboratórios Bell (AT&T) Símpósios de Auditoria Contínua na Rutgers 1999 (I WCARS) Lei Sarbanes Oxley 2002 IIA 2005 GTAG # 3 CarLab Fundado 2002 I CONTECSI 2004 Pesquisas da ACL e PWC I Pesquisa FEBRABAN sobre Auditoria Contínua em 2006 Artigo IIA - Six Steps to an Effective Continuous Audit Process o. CONTECSI 2009 com o 18o. WCARS 7o. CONTECSI 2010 com o 19o. WCARS 8o. CONTECSI 2011 com o 22o. WCARS 9o. CONTECSI 2012 com o 25o. WCARS 10o. CONTECSI 2012 com o 27o. WCARS Muitos produtos e esforços na área de Gestão Integrada de Riscos

5 A Evolução do Ambiente de TI nas Organizações

6 A Evolução do Ambiente de TI nas Organizações Qualquer organização alcançará um nível razoável de Automação de Auditoria até a chegada da Auditoria Contínua somente se ela estiver caminhando para a Quarta Fase de utilização da tecnologia da informação.

7 A Evolução do Ambiente de TI nas Organizações Fases de Utilização da tecnologia da Informação nas organizações Primeira Fase Processamento de Dados Segunda Fase Sistemas de Informações Terceira Fase Informações Estratégicas Quarta Fase Tecnologia da Informação

8 A Evolução do Ambiente de TI nas Organizações Primeira Fase Processamento de Dados Podemos chamá-la de a Era do Papel, embora ainda hoje, a maioria das organizações pareçam estar no ramo de impressões, como se fossem gráficas, dado o volume de papel existente nelas, naquele tempo pelo menos não havia outra opção. O único meio de se comunicar com um computador era por meio de papel.

9 A Evolução do Ambiente de TI nas Organizações Primeira Fase Processamento de Dados Profissionais caros e inexperientes Sistemas estanques Processamento batch, ou em lotes Interfaces Medo do desconhecido e síndrome da inutilidade

10 A Evolução do Ambiente de TI nas Organizações Segunda Fase Sistemas de Informações Podemos chamá-la de era do Suporte Eletrônico, pois foi quando surgiram os discos magnéticos, os disquetes de 8 e os terminais que começaram a substituir o papel na comunicação com o computador.

11 A Evolução do Ambiente de TI nas Organizações Segunda Fase Sistemas de Informações Profissionais mais caros, e alguns muito mais caros Data Entry Software de banco de dados Teleprocessamento Sistemas Transacionais Multiprocessamento

12 A Evolução do Ambiente de TI nas Organizações Terceira Fase Informações Estratégicas Era do Ambiente Virtual Era do Ambiente Virtual. Essa era foi extremamente curta, embora tinha sido muito importante, pois serviu de transição entre dois modus operandi no tratamento da informação. A Era do Ambiente Virtual serviu de ponte entre o reinado absoluto dos mainframes e as novas tecnologias de informação.

13 A Evolução do Ambiente de TI nas Organizações Terceira Fase Informações Estratégicas Era do Ambiente Virtual Usuário muito mais participativo Os Planos Diretores de Informática (PDIs) A decepção do usuário final O pessoal da área de sistemas de informação não conseguia dar conta das demandas As empresas disseminaram o uso da máquina que iria revolucinar o modus operandi de todas as atividades em qualquer ramo do conhecimento o dos negócios. O MICROCOMPUTADOR!

14 A Evolução do Ambiente de TI nas Organizações Quarta Fase Tecnologia da Informação, Era da Globalização A Era da Globalização é a que nós vivemos hoje. Ela tem como máximo símbolo da idéia do mundo sem fronteiras, tendo como um dos elementos facilitadores para isso a Tecnologia da Informação (TI). Tecnologia da Informação é o conjunto de dispositivos individuais, como hardware, software, telecomunicações ou qualquer outra tecnologia que, faça parte ou gere tratamento da informação, ou, ainda, que a contenha.

15 A Evolução do Ambiente de TI nas Organizações Quarta Fase Tecnologia da Informação, Era da Globalização E antes? Por que não chamávamos de TI a todo esse conjunto? Simplesmente porque as tecnologias existentes nas outras fases não eram tecnologias integradas. Cabe ressaltar que nesta fase o item de maior importância é o Planejamento Estratégico de Tecnologia da Informação que se divide em três partes básicas: 1) Necessidades 2) Softwares 3) Hardwares

16 A Evolução do Ambiente de TI nas Organizações Quarta Fase Tecnologia da Informação, Era da Globalização Matriz de Viabilidade do Plano Estratégico de TI Aplicações sem as quais a organização não conseguirá manter-se no mercado. Aplicações para que o plano estratégico seja cumprido. NATUREZA VITAL NATUREZA OPERACIONAL Fábrica de Idéias para novos Sistemas AUDITORIA CONTÍNUA?? NATUREZA ESTRATÉGICA NATUREZA SUPORTE Aplicações que garantem o dia-a-dia da organização e o sucesso das operações. Aplicações sem criticidade, mas importantes por racionalizar as atividades corriqueiras.

17 A Evolução do Ambiente de TI nas Organizações Questões sobre Automação da Auditoria para solucionar a Matriz de Viabilidade de TI Sua organização trata a Auditoria como sendo Vital, Estratégica, Operacional ou Suporte? A Automação da Auditoria permitirá que fatores críticos de sucesso sejam alcançados pela organização?... fará com que a organização consiga desenvolver um novo negócio?... permitirá que a organização corrija alguma falha operacional?... permitirá reverter alguma desvantagem frente à concorrência?... permitirá que futuros problemas possam ser evitados?... reduzirá custos?... aumentará a produtividade?... resultará numa clara vantagem competitiva?... permitirá que a organização alcance um objetivo específico, por exemplo cumprir uma lei ou norma vigente?

18 A Evolução da Automação da Auditoria

19 Complexidade A Evolução da Automação da Auditoria Auditoria Contínua Forte uso de Sistemas Especialistas EAMs Embedded Audit Modules TAACs Tempo

20 A Evolução da Automação da Auditoria EAMs Embedded Audit Modules EAMs São sub-rotinas dentro de um programa aplicativo que executa controles ou procedimentos de auditoria concorrentemente com a aplicação principal. Devido às dificuldades de se manter estas sub-rotinas, devido ao alto custo, poucas organizações mantiveram os EAMs.

21 A Evolução da Automação da Auditoria 1980 TAACs Técnicas de Auditoria com Auxílio do Computador As TAACs auxiliam os auditores em campo a realizarem testes, de forma a garantir uma maior cobertura nas análises de auditorias programadas ou ad hocs.

22 A Evolução da Automação da Auditoria 1990 Forte uso de Sistemas Especialistas Durante 1990 o uso de sistemas especialistas para examinar transações ou eventos que ocorreram devido a falhas nos controles. Sistemas que pudessem identificar transações que não seguiram controles padrões. Como exemplos dos sistemas analisadores de redes computacionais, que analisam perfis de acessos, ou sistemas que analisam perfis de acessos de outros sistemas como os ERPs.

23 A Evolução da Automação da Auditoria Auditoria Contínua O conceito atual de auditoria contínua está relacionado com a disponibilidade de dados mais próximos de um evento, se possível em tempo real, com capacidade de serem processados e correlacionados em um ambiente computadorizado seguro, que traga informações eletrônicas fidedignas, que serão tratadas pelos auditores e gestores da organização.

24 Inteligência Artificial Aplicada aos Negócios

25 Inteligência Artificial Aplicada aos Negócios Atualmente, a Inteligência Artificial possibilita um grande número de aplicações que simulam e representam novas conexões entre Pessoas, computadores, conhecimento e o mundo físico; Podem auxiliar na tomada de decisão; IA está presente em diferentes áreas: Distribuição e recuperação de informações; Data Mining; Desenho de produtos; Manufatura; Inspeção; Treinamento e suporte aos usuários; Planejamento; Administração de recursos; Etc...

26 Inteligência Artificial Aplicada aos Negócios Inteligência Artificial Ciência Cognitiva Baseada em pesquisas em biologia, neurologia, psicologia, matemática e áreas afins Concentra-se em pesquisar como o cérebro humano funciona e como os seres humanos pensam e aprendem Robótica Interfaces Naturais

27 Inteligência Artificial Aplicada aos Negócios Inteligência Artificial Ciência Cognitiva Robótica Interfaces Naturais Áreas: Sistemas Especialistas Sistemas de Aprendizagem Adaptativa Sistemas de Lógica Difusa Agentes Inteligentes Redes Neurais

28 Inteligência Artificial Aplicada aos Negócios Sistemas Especialistas Sistemas de informação que utilizam o conhecimento sobre uma área de aplicação específica para atuar como um consultor especializado para os usuários Base de conhecimento e módulos de software que executam inferências no conhecimento e transmitem respostas para as perguntas de um usuário Ex.: sistema de diagnóstico médico; Sistemas de Informações Gerenciais (MIS)

29 Inteligência Artificial Aplicada aos Negócios Componentes de um Sistema Especialista O Sistema Especialista Conselho Especializado Programas Interface de com o Usuário o Usuário Programa de Inferência Utilitário de Inferência Base de Conhecimento Usuário Estação de Trabalho Desenvolvimento Desenvolvimento do do Sistema Sistema Especialista Especialista Programa de Aquisição de Conhecimento Engenharia do Conhecimento Estação de Trabalho Drivers with Pagers Especialista e/ou Engenheiro do Conhecimento

30 Inteligência Artificial Aplicada aos Negócios Sistemas de Aprendizagem Adaptativa Podem modificar seu comportamento com base em informações adquiridas enquanto opera Ex.: Jogo de xadrez; Exames de Certificação, TOEFL; etc Sistemas de Lógica Difusa Podem processar dados incompletos ou apenas parcialmente corretos Podem resolver problemas não estruturados com conhecimento incompleto mediante o desenvolvimento de inferências e respostas aproximadas; Ex.: Se o tempo de um investimento é longo e o sistema financeiro tem sido não muito estável, então a taxa de risco do investimento é muito alta.

31 Inteligência Artificial Aplicada aos Negócios Agentes Inteligentes Utilizam sistema especialista e outras tecnologias de IA para uma diversidade de aplicações Ex.: detecção de intrusão em redes de computadores; programas anti-vírus de computador. Redes Neurais Podem aprender processando exemplos de problemas e suas soluções; Assim que as redes neurais reconhecem padrões, elas podem começar a se programar para resolver problemas por si mesmas. Exemplo: Autorizador de operações de Cartões de Crédito

32 Inteligência Artificial Aplicada aos Negócios Conexões (pesos) Entradas Saídas

33 Inteligência Artificial Aplicada aos Negócios Estudo de Caso 1 Banco Exemplo Objetivo principal: descobrir como os mercados vão se comportar no dia seguinte; A Nasdaq vai cair? A Bovespa vai fechar em quanto? O dólar vai se manter? Outros objetivos: tendências de médio prazo; Amanhã o índice Dow Jones vai cair, mas que a tendência é de alta Na véspera do crash da Nasdaq, o sistema (as redes neurais) sinalizava que comprar ações não era uma boa idéia Rede Neural: índice de acerto de cerca de 70% Objetivo: 80%

34 Inteligência Artificial Aplicada aos Negócios Estudo de Caso 1 Banco Exemplo Série de indicadores (entradas): Preços de papéis da dívida externa brasileira Cotação de diversas moedas Cenário mundial Oscilações no preço do petróleo Conflitos no Oriente Médio Incertezas na política econômica Resultados abaixo do esperado divulgados por empresas de Internet são transformados em números A análise gerada (saídas) pelo sistema fornece os valores futuros para o Ibovespa (índice da Bolsa de São Paulo), índice Dow Jones, Nasdaq, taxas de juros, cotação do dólar, etc

35 Inteligência Artificial Aplicada aos Negócios Inteligência Artificial Ciência Cognitiva Robótica Tecnologia produz máquinas-robôs com habilidades físicas semelhantes às humanas Interfaces Naturais

36 Inteligência Artificial Aplicada aos Negócios Inteligência Artificial Ciência Cognitiva Robótica Interfaces Naturais Percepção visual (visão) Habilidades táteis (tato) Destreza (habilidade no manuseio e manipulação) Locomoção e Condução Ex.: Aplicações industriais Mergulho em grandes profundidades; Dispensador de dinheiro dos ATMs.

37 Inteligência Artificial Aplicada aos Negócios Inteligência Artificial Ciência Cognitiva Robótica Interfaces Naturais Essencial ao uso natural dos computadores por seres humanos Capacidade de conversar com computadores e robôs (URA)

38 Auditoria Contínua na Visão do AICPA / CICA

39 Auditoria Contínua na Visão do AICPA / CICA Tipo de auditoria que produz resultados simultaneamente ou em um pequeno período de tempo após a ocorrência de um evento relevante. Conjunto de evidências e indicadores de auditoria gerados de forma freqüente e automática, baseados em sistemas, processos e transações. Avaliar controles e riscos automaticamente em bases contínuas, de forma a identificar exceções e anomalias, tendências e indicadores de riscos.

40 Auditoria Contínua na Visão do AICPA / CICA Aplicabilidade Para que serve? Usar intensivamente de tecnologia para tratar grandes quantidades de dados e transações Identifica e comunica os achados em prazos oportunos Aplicação intensiva em casos com significativo nível de risco Trabalhar sobre o conceito de exceção; Repetível

41 Auditoria Contínua na Visão do AICPA / CICA Quando deve ser feito? Quando os custos-benefícios e /ou riscos justificam uma segunda camada de monitoramento Quando identificamos situações cujos controles não são suficientes para mitigar todos os riscos. Apontamentos recorrentes a partir de Auditoria Convencional Dirigir esforços para questões/matérias que ofereçam maiores riscos e complexidade Situações que permitem uma afirmação à distância

42 Auditoria Contínua na Visão do AICPA / CICA Quando não podemos fazer? Situações que apresentam características específicas sem tendência a padrões determinados ou com grande complexidade operacional. Quando não há Tecnologia da Informação disponível Como deve ser feito? O mais próximo possível do evento, respeitando seu ciclo de vida. Parametrizar em relação a freqüência, população, distribuição dos processos de Auditoria Contínua.

43 Auditoria Contínua na Visão do AICPA / CICA Quais os resultados? Uma série de alertas que podem indicar a existência de discrepâncias (erros ou fraudes). Acompanhamento sistemático destes alertas (painel de controle). Relatórios analíticos de tendências.

44 Auditoria Contínua na Visão do AICPA / CICA Por que deve ser feito? Para aproveitar as oportunidades da tecnologia moderna em melhorar os processos corporativos e de auditoria, conseqüentemente mitigando riscos. Aumentar a cobertura dos riscos do negócio reportando de forma independente à alta administração. Ser mais ágil na identificação de problemas.

45 Aspectos da Implantação Six Steps to an Effective Continuous Audit Process

46 Aspectos da Implantação 1. Áreas Prioritárias 2. Regras 6. Ação e Reação Painel de Controle 3. Freqüência 5. Follow-up 4. Parametrização

47 Aspectos da Implantação 1 Áreas Prioritárias Identificar as áreas de Risco, ranquear os riscos e avaliar os custos benefícios Identificar os objetivos básicos da Auditoria Escolher os processos críticos de negócios que serão foco da Auditoria Contínua Identicar os low hanging fruit Identificar os dados chaves para a implementação da Auditoria Contínua nos processos mapeados Identificar as considerações políticas

48 Aspectos da Implantação Objetivos Chaves da Auditoria Detectivas: Rotinas que detectam erros potenciais Preventivas / Psicológicas: Rotinas que inibem comportamentos e eventos inapropriados Financeiras: Rotinas para reduzir ou evitar perdas financeiras Compliance: Rotinas para verificar a aderência às leis existentes, normas e procedimentos

49 Aspectos da Implantação 2 Regras - Um processo de Auditoria Contínua é escolhido e as regras para monitoramento, alarme são estabelecidos - Deve ser levado em consideração os objetivos chaves e aspectos ambientais, bem como os objetivos particulares do processo - O processo de Auditoria Contínua é estabelecido adotando algumas regras, freqüência e parâmetros Exemplo: Monitorar contas com excesso sobre limite

50 Aspectos da Implantação 3 Frequência - Ritmo Natural do Processo Tempo do Processo Computacional Tempo do Processo de Negócio - Considerações sobre o Custo X Benefício

51 Aspectos da Implantação 4 Parametrização - Definir parâmetros para analisar de acordo com os riscos - Exemplo: Monitorar todas as contas em excesso sobre limites, diariamente, as quais têm saldo negativo maior do que 20% de seu limite de crédito e maior do que R$ ,00

52 Aspectos da Implantação 5 Follow-up - Definir quem receberá o alarme? Gerente Auditor líder Superior imediato responsável pelo processo - Qual será a periodicidade do follow-up? O alarme será imediato? O alarme considerará recorrência de ponto de auditoria Esperar 3 dias corridos do alarme para considerar possíveis regularizações - Considerar a Escalabilidade O follow-up deverá subir as alçadas de acordo com o nível de resposta

53 Aspectos da Implantação 6 Ação e Reação - Definir como lidar com os auditados Falta de concordância com os pontos de auditoria Resposta inconsistente Definir como lidar com as considerações individuais Ser conciso e objetivo com o ponto levantado

54 Impactos nos Métodos Tradicionais de Auditoria

55 Impactos nos Métodos Tradicionais de Auditoria Parecer Futuro de Auditoria Nós examinamos os relatórios financeiros da companhia ABC e fomos contratados para uma auditoria contínua para o ano de 20xx. Nós monitoraremos as operações e realizações estratégicas usando uma série de regras analíticas de acordo com os padrões geralmente aceitos e outras regras analíticas que acharmos necessárias e reportaremos em auditoria por exceção quando encontrarmos mais do que xx % de variação em relação aos modelos apropriados. Estes relatórios de exceção serão emitidos a todos clientes registrados (pagantes).

56

57 Obrigado!!