FATERN Faculdade de Excelência Educacional do RN Coordenação Tecnológica de Redes e Sistemas Curso Superior de Tecnologia em Sistemas para Internet Auditoria em Sistemas de Informação Prof. Fabio Costa Ferrer, M.Sc. Carga Horária: 4h Semanal 88h Total PARTE III Auditoria Conceitos Introdutórios Copyright 2009-2010 Prof. Fabio Ferrer 2 1
Auditoria Conceitos A auditoria é uma atividade que engloba o exame de operações, processos, sistemas e responsabilidades gerenciais de uma determinada entidade, com intuito de verificar sua conformidade com certos objetivos e políticas institucionais, orçamentos, regras, normas ou padrões. Copyright 2009-2010 Prof. Fabio Ferrer 3 Auditoria Elementos Relacionados I Área de Verificação Sub1 Sub2 Sub3 Campo Âmbito Objeto Período Naturez a Copyright 2009-2010 Prof. Fabio Ferrer 4 2
Auditoria Elementos Relacionados II Área de Verificação Sub1 Sub2 Sub3 Campo Campo da auditoria compõe-se de aspectos como objeto a ser fiscalizado, Âmbito período e natureza da auditoria (operacional, financeira ou de legalidade, por exemplo). Objeto Período Naturez a Copyright 2009-2010 Prof. Fabio Ferrer 5 Auditoria Elementos Relacionados III Área de Verificação Sub1 Sub2 Sub3 Campo Objeto pode ser uma entidade completa (instituição pública ou privada), uma parte selecionada ou uma função dessa entidade; Âmbito Período a ser fiscalizado (mês, ano ou período completo da gestão de determinado administrador da instituição) Natureza ou tipo da auditoria Objeto Período Naturez a Copyright 2009-2010 Prof. Fabio Ferrer 6 3
Auditoria Elementos Relacionados IV Âmbito da Auditoria constitui-se da amplitude e exaustão dos processos de auditoria, incluindo uma limitação racional dos trabalhos a serem executados. Define-se, Área de Verificação Campo então, até que ponto serão aprofundadas as tarefas de auditoria e seu grau de abrangência. Objeto Período Naturez a Âmbito Sub1 Sub2 Sub3 Copyright 2009-2010 Prof. Fabio Ferrer 7 Auditoria Elementos Relacionados V Área de Verificação Campo Objeto Período Naturez a Sub1 Sub2 Sub3 Âmbito Área de Verificação conjunto formado por campo e âmbito da auditoria. A área delimita de modo preciso os temas da auditoria, em função da entidade a ser fiscalizada e da natureza da auditoria. Copyright 2009-2010 Prof. Fabio Ferrer 8 4
Auditoria Elementos Relacionados VI Outros elementos: 1. Controle é a fiscalização exercida sobre as atividades, ou produtos, não se desviem das normas preestabelecidas. Classificam-se em: Controles preventivos usados para prevenir erros, omissões ou atos fraudulentos (por exemplo, senhas de acesso a um determinado sistema); Controles detectivos usados para detectar erros, omissões ou atos fraudulentos e ainda relatar sua ocorrência (por exemplo, softwares de controle de acesso e relatórios de tentativas de acesso não autorizado a um determinado sistema; Controles corretivos usados para reduzir impactos ou corrigir erros uma vez detectados (por exemplo, planos de contingência). Copyright 2009-2010 Prof. Fabio Ferrer 9 Auditoria Elementos Relacionados VII Outros elementos: 2. Objetivos de Controle são metas de controle a serem alcançadas, ou efeitos negativos a serem evitados, para cada tipo de transação, atividade ou função fiscalizada. Esses objetivos de controle, para serem alcançados na prática, são traduzidos em diversos procedimentos de auditoria. Copyright 2009-2010 Prof. Fabio Ferrer 10 5
Auditoria Elementos Relacionados VIII Outros elementos: 3. Procedimentos de Auditoria formam um conjunto de verificações e averiguações que permite obter e analisar as informações necessárias à formulação da opinião do auditor. Em geral, são listas de pontos a serem verificados durante a auditoria. O estabelecimento desses procedimentos, antes de iniciar a execução propriamente dita da auditoria, é uma prática altamente recomendável, pois proporciona um aumento de produtividade e de qualidade do trabalho do auditor. Entidades fiscalizadoras possuem manuais de auditoria contendo objetivos de controle e procedimentos de auditoria preestabelecidos. Copyright 2009-2010 Prof. Fabio Ferrer 11 Auditoria Elementos Relacionados IX Outros elementos: 4. Achados de Auditoria são fatos significativos observados pelo auditor durante a execução da auditoria. Embora sejam geralmente associados a falhas e irregularidades, os achados podem também indicar pontos fortes da instituição auditada. Para que conste do relatório, o achado deve ser relevante e baseado em fatos e evidências irrefutáveis. Copyright 2009-2010 Prof. Fabio Ferrer 12 6
Auditoria Elementos Relacionados X Outros elementos: 5. Papéis de Trabalho são registros que evidenciam atos e fatos observados pelo auditor. Esses registros podem estar sob a forma de documentos, tabelas, planilhas, listas de verificações, arquivos informatizados, etc. Esses documentos dão suporte ao relatório de auditoria, pois contem o registro da metodologia adotada, procedimentos, verificações, fontes de informação, testes, enfim, todas as informações relacionadas ao trabalho de auditoria executado. Copyright 2009-2010 Prof. Fabio Ferrer 13 Auditoria Elementos Relacionados XI Outros elementos: 6. Recomendações de Auditoria na fase de relatório, essas recomendações são medidas corretivas possíveis, sugeridas pela instituição fiscalizadora ou pelo auditor em seu relatório, para corrigir as deficiências detectadas durante a auditoria. Dependendo da competência ou posição hierárquico do órgão de controle em relação à entidade auditada, essas recomendações podem se transformar em determinações a serem cumpridas. Copyright 2009-2010 Prof. Fabio Ferrer 14 7
Auditoria Natureza I Quanto ao Órgão Fiscalizador 1. Auditoria Interna auditoria realizada por departamento interno responsável pela verificação e avaliação dos sistemas e procedimentos internos de uma entidade. Um de seus objetivos é reduzir as probabilidades de fraudes, erros, práticas ineficientes ou ineficazes. O serviços de auditoria interna deve ser independente e prestar contas diretamente à direção da instituição. 2. Auditoria Externa auditoria realizada por instituição externa e independente da entidade fiscalizada, com objetivo de emitir um parecer sobre a gestão de recursos da entidade, sua situação financeira, a legalidade e regularidade de suas operações. 3. Auditoria Articulada trabalho conjunto de auditorias internas e externas, devido à superposição de responsabilidades dos órgãos fiscalizadores, caracterizado pelo uso comum de recursos e comunicação recíproca dos resultados. Copyright 2009-2010 Prof. Fabio Ferrer 15 Auditoria Natureza II Quanto a Forma de Abordagem do Tema 1. Auditoria Horizontal auditoria com tema específico realizada em várias entidades ou serviços paralelamente. 2. Auditoria Orientada auditoria focada em uma atividade específica qualquer ou em atividade com fortes indícios de erros ou fraudes. Copyright 2009-2010 Prof. Fabio Ferrer 16 8
Auditoria Natureza III Quanto ao Tipo ou Área Envolvida 1. Auditoria de Programas de Governo acompanhamento, exame e avaliação da execução de programas e projetos governamentais específicos. Em geral, preocupa-se também com a efetividade das medidas governamentais. 2. Auditoria do Planejamento Estratégico auditoria que verifica se os principais objetivos da entidade são atingidos e se as políticas e estratégias de aquisição, utilização e alienação de recursos são respeitadas. 3. Auditoria Administrativa auditoria que engloba o plano da organização, seus procedimentos e documentos de suporte à tomada de decisão. Copyright 2009-2010 Prof. Fabio Ferrer 17 Auditoria Natureza IV Quanto ao Tipo ou Área Envolvida 4. Auditoria Contábil auditoria relativa à salvaguarda dos ativos e à fidedignidade das contas da instituição. Essa auditoria, conseqüentemente, tem como finalidade fornecer uma certa garantia de que as operações e o acesso aos ativos se efetuem de acordo com as devidas autorizações. A contabilização dos ativos é comparada com sua existência física a intervalos razoáveis de tempo e são recomendadas ou exigidas as medidas corretivas adequadas, caso ocorram diferenças não justificadas. 5. Auditoria Financeira também conhecida como auditoria de contas. Consiste na análise das contas, da situação financeira, da legalidade e regularidade das operações e aspectos contábeis, financeiros, orçamentários e patrimoniais, verificando se todas as operações foram corretamente autorizadas, liquidadas, ordenadas, pagas e registradas. Esse tipo de auditoria checa se foram tomadas medidas apropriadas para registrar com exatidão e proteger todos os ativos, e se todas as operações registradas estão em conformidade com a legislação em vigor. Copyright 2009-2010 Prof. Fabio Ferrer 18 9
Auditoria Natureza V Quanto ao Tipo ou Área Envolvida 6. Auditoria de Legalidade também conhecida como auditoria de regularidade ou de conformidade. Consiste na análise da legalidade e regularidade das atividades, funções, operações ou gestão de recursos, verificando se estão em conformidade com a legislação em vigor. 7. Auditoria Operacional auditoria que incide em todos os níveis de gestão, nas fases de programação, execução e supervisão, sob o ponto de vista da economia, eficiência e eficácia. É também conhecida como auditoria de eficiência, de gestão, de resultados ou de práticas de gestão, onde são auditados todos os sistemas e métodos utilizados pelo gestor para tomar decisões. Analisa a execução das decisões tomadas e aprecia até que ponto os resultados pretendidos foram atingidos. Copyright 2009-2010 Prof. Fabio Ferrer 19 Auditoria Natureza VI Quanto ao Tipo ou Área Envolvida 8. Auditoria Integrada inclui simultaneamente a auditoria financeira e operacional. 9. Auditoria da Tecnologia da Informação tipo de auditoria, essencialmente operacional, por meio da qual os auditores analisam os sistemas de informática, o ambiente computacional, a segurança de informações e o controle interno da entidade fiscalizada, identificando seus pontos fortes e ou deficiências. Em alguns países é conhecida como auditoria informática, computacional ou de sistemas. Copyright 2009-2010 Prof. Fabio Ferrer 20 10
Auditoria de T.I. Conceitos A auditoria em ambiente de TI não muda a formação exigida para a profissão de auditor, apenas percebe que as informações até então disponíveis em forma de papel são agora guardadas em forma eletrônica e que o enfoque de auditoria teria que mudar para se assegurar de que essas informações em forma eletrônica sejam confiáveis antes de emitir sua opinião. A filosofia de auditoria em TI está calcada em confiança e em controles internos. Estes visam confirmar se os controles internos foram implementados e se existem; caso afirmativo, se são efetivos. Copyright 2009-2010 Prof. Fabio Ferrer 21 Auditoria de T.I. Objetivos Melhorar a eficiência e reduzir os custos; Melhorar a quantidade do trabalho de auditoria, reduzindo, assim, os níveis de risco de auditoria; Atender às expectativas dos clientes, que esperam de seus auditores o mesmo grau de automatização que utilizam em seu próprio negócio; Preparar-se para a globalização dos negócios, que vem exigindo uma globalização dos auditores; Manter-se entre as maiores e mais reconhecidas pelo mercado. Copyright 2009-2010 Prof. Fabio Ferrer 22 11
Auditoria de T.I. Benefícios da Automação Treinamento de pessoal e superação de resistências a tecnologias; Decisão de quais tarefas devem ser automatizadas primeiro; Avaliação, escolha e implantação de softwares e hardwares; Gerenciamento dos arquivos eletrônicos: dispositivos de segurança e backup; Disponibilização de equipamentos para toda a equipe de auditores, podendo trabalhar em redes; Instalação e manutenção de uma malha de comunicações; Maior transferência de conhecimento entre os membros da equipe e entre trabalhos de equipes diferentes; Independência das limitações impostas pelos arquivos de auditoria em papel; Economia de tempo das atualizações; Melhor qualidade na apresentação; Copyright 2009-2010 Prof. Fabio Ferrer 23 Auditoria de T.I. Benefícios da Automação Liberação de funcionários mais experientes para que se dediquem a áreas mais técnicas e de maior risco; Agregação de valor ao trabalho de auditoria; Formação de equipes virtuais (groupware), maximizando a especialização; Fluxo de informações mais rápido; Maior satisfação profissional; Maior respeito pelo auditado; Maior produtividade; Realização das tarefas sem a automatização pelos profissionais menos experientes. Antes somente poderiam ser executadas por profissionais mais experientes. Copyright 2009-2010 Prof. Fabio Ferrer 24 12
Auditoria de T.I. Contexto A auditoria tradicional sempre foi conhecida por sua responsabilidade nos testes de confiabilidade dos registros de acordo com os documentos-fonte (os documentos que geram todas as transações econômica, financeiras e contábeis) disponíveis através de quaisquer dados intermediários que possam existir e para os quais são produzidos relatórios para a tomada de decisões gerenciais. Porém, devido à evolução da tecnologia da informação, que interfere nas tecnologias gerenciais, geração a geração, é necessário guardar as informações para que sejam acessíveis para auditoria quando forem requisitadas. Sabe-se que, devido à complexidade dos ambientes e expansão dos negócios que atingiram implementações em ambiente de intranet e internet, há grandes problemas quanto à vulnerabilidade de computadores e alguns casos comuns de fraudes. Copyright 2009-2010 Prof. Fabio Ferrer 25 Auditoria de T.I. Aspectos I 1. Auditoria da Segurança de Informações determina a postura da organização com relação à segurança. Avalia a política de segurança e os controles relacionados com aspectos de segurança institucional mais globais. Na verdade, a auditoria de segurança de informações faz parte da auditoria da tecnologia da informação, cujo escopo envolve: Avaliação da política de segurança; Controles de acesso lógico; Controles de acesso físico; Controles ambientais; Plano de contingências e continuidade dos serviços. Copyright 2009-2010 Prof. Fabio Ferrer 26 13
Auditoria de T.I. Aspectos II 2. Auditoria da Tecnologia da Informação além dos aspectos relacionados a auditoria da segurança de informações, a auditoria da tecnologia da informação abrange ainda outros controles que podem influenciar a segurança de informações e o bom funcionamento dos sistemas de toda a organização: Organizacionais; De mudanças; De operação de sistemas; Sobre banco de dados; Sobre microcomputadores; Sobre ambientes cliente-servidor. Copyright 2009-2010 Prof. Fabio Ferrer 27 Auditoria de T.I. Aspectos III 3. Auditoria da Aplicativos está voltado para a segurança e o controle de aplicativos específicos, incluindo aspectos intrínsecos à área a que o aplicativo atende, como orçamento, contabilidade, estoque, vendas, pessoal, etc. Esta auditoria compreende: Controles sobre aplicativos; o desenvolvimento de sistemas Controles de entrada, processamento e saída de dados; Controles sobre o conteúdo e funcionamento do aplicativo, com relação à área por ele atendida. Copyright 2009-2010 Prof. Fabio Ferrer 28 14