Orientações de Auditoria de Governação das TIC

O modelo de avaliação do controlo mais comum é o modelo de auditoria. Outra abordagem cada vez mais em voga é o modelo de análise de risco, também descrito num dos recursos do site www.migovtic.com. Todos aqueles que estejam envolvidos na avaliação do controlo podem fazer uso de qualquer um dos modelos.

Os objectivos da auditoria são:

• Fornecer aos gestores uma garantia razoável do cumprimento dos objectivos de controlo;
• Identificar os pontos fracos de controlo mais significativos, de forma a consubstanciar os riscos que lhe estão inerentes;
• Recomendar aos gestores acções correctivas.
  

A estrutura do processo de auditoria geralmente utilizada e aceite consiste em:

• Identificar e documentar
• Avaliar
• Testar a conformidade
• Testes de validação
  

Os processos das TIC são então auditados através da realização das seguintes tarefas:

• Obter uma compreensão dos requisitos de negócio e dos riscos associados, bem como das medidas de controlo relevantes;
• Avaliar a adequação dos controlos identificados;
• Avaliar a conformidade, realizando teste de verificação do funcionamento dos controlos identificados de acordo com o descrito, de forma continuada e consistente;
• Formalização do riscos associados ao não cumprimento dos objectivos de controlo, utilizando técnicas analíticas e/ou outras fontes alternativas de consultoria.
  

Com o objectivo de fornecer assistência à gestão sob a forma de recomendações, desenvolvemos um modelo de auditoria com uma estrutura baseada nos requisitos do CobIT:

• Decomposição em níveis
• Orientação aos objectivos de negócio
• Orientação ao processo
• Focalização nos recursos a gerir e nos critérios de informação requeridos.
  

Ao nível superior (macro), este modelo genérico de auditoria é suportado:

• Pelo modelo CobIT, especificamente a síntese de classificação dos processos, os critérios de informação aplicáveis e os recursos de TIC;
• Pelos requisitos próprios para o processos de auditoria;
• Pelos requisitos genéricos para auditoria aos processos de TIC;
• Pelos princípios genéricos de controlo.

Estas orientações seguem a estrutura genérica - obter informação e documentar, avaliar os controlos, avaliar conformidade, e fundamentar conclusões e recomendações.  Sugere-se que seja realizada uma avaliação macro dos riscos para determinar quais os objectivos que devem ser obrigatoriamente analisados e quais os que podem ser ignorados.

Requisitos do processo de auditoria

Definido aquilo que vamos auditar e quais as áreas em que iremos efectuar recomendações, torna-se fundamental definir qual a abordagem ou estratégia mais adequada para realizar o trabalho inerente à auditoria. Em primeiro lugar, temos que determinar o âmbito da nossa auditoria. Para o conseguirmos isso, é necessário investigar, analisar e definir:

• Os processos de negócio envolvidos;
• As plataformas tecnológicas e os sistemas de informação que dão suporte aos processos de negócio, bem como a sua interoperabilidade com outras plataformas e sistemas;
• Os papéis e responsabilidades definidos para as TIC, incluindo aquilo que estiver realizado ?dentro de casa? e o que estiver contratado em regime de outsourcing;
• Os riscos do negócio associados e escolhas estratégicas.
  

O próximo passo será a identificação dos requisitos de informação de particular relevância para os processos de negócio em causa. De seguida, será inerentemente necessário identificar os riscos associados às TIC, assim como o nível global de controlo a associar aos processos de negócio. Para o conseguirmos, é necessário
identificar:

• Alterações recentes ao ambiente de negócio com impacto nas TIC;
• Alterações recentes no ambiente das TIC, novos desenvolvimentos, etc.;
• Incidentes recentes com relevância para os controlos e para o ambiente do negócio;
• Controlos de monitorização das TIC determinados pela gestão;
• Relatórios de auditorias e/ou certificação recentes;
• Resultados de auto-avaliações recentes.
  

Com base na informação obtida, estamos em condições de seleccionar os processos CobIT relevantes, bem como os recursos que lhe estão associados. Isto significa que alguns processos do CobIT terão que ser auditados diversas vezes, uma vez por cada plataforma ou sistema diferentes.

A estratégia de auditoria deverá ser determinada em função de qual o tipo de plano detalhado de auditoria elaborado. Ou seja, seguimos uma abordagem baseada nos controlos ou uma abordagem orientada à elaboração de recomendações. Apresentamos de seguida um exemplo de um processo genérico de auditoria, incluindo etapas, tarefas e pontos de decisão, preparado pela ISACA (Information Systems and Control Association).

1. Etapa de auditoria - Identificar/documentar

Objectivo da etapa. O objectivo desta etapa de auditoria identificar/documentar consiste em que na familiarização do auditor com a actividade abrangida pelo objectivo de controlo e com a forma como a gestão das TIC pensa estar a controlá-la. Isto inclui a identificação dos indivíduos, processos e locais de realização da actividade, bem como os procedimentos de controlo declarados.

Outputs da etapa desejáveis. Na conclusão da etapa de auditoria identificar/documentar, o auditor deve ter identificado, documentado e verificado:

• Quem executa a actividade abrangida pelo objectivo de controlo;
• Onde é executada a actividade;
• Quando é executada a actividade;
• Com que produtos de input é executada a actividade;
• Quais os produtos de output expectáveis da actividade;
• Quais são os procedimentos documentados para a realização da actividade.
  

2. Etapa de auditoria - Avaliar

Objectivo da etapa. O objectivo da etapa de auditoria avaliar é analisar os procedimentos documentados e determinar se esses procedimentos fornecem uma estrutura de controlo eficaz. Os procedimentos devem ser avaliados face aos critérios identificados, práticas standard da indústria e julgamento do auditor. Uma estrutura de controlo eficaz, é eficaz em termos de custos e fornece uma garantia razoável de que a actividade é realizada e o objectivo de controlo é cumprido.

Outputs da etapa desejáveis. No final da etapa de avaliação, o auditor deve ter:

• Avaliado leis, regulamentação e critérios organizacionais aplicáveis aos procedimentos;
• Avaliado os procedimentos documentados para determinar se eles são eficazes em termos de custos e se fornecem uma garantia razoável de que a actividade é realizada e o objectivo de controlo é cumprido;
• Avaliado eventuais controlos compensatórios dos pontos fracos dos procedimentos;
• Concluído se os procedimentos documentados e os controlos compensatórios fornecem uma estrutura de controlo eficaz;
• Identificado se os testes de conformidade são apropriados.
  

3. Etapa de auditoria - Testar conformidade

Objectivo da etapa. O objectivo da etapa de auditoria testar conformidade consiste em analisar a aderência da organização aos controlos prescritos. Os procedimentos actuais e os controlos compensatórios devem ser comparados com os procedimentos documentados. Devem igualmente realizar-se entrevistas e revisões à documentação para determinar se os controlos são adequados e aplicados de forma consistente. O teste de conformidade deve ser apenas realizado face aos procedimentos que demonstraram ser eficazes.

Outputs da etapa desejáveis. No final da etapa testar conformidade, o auditor deve ter documentado a aderência da organização aos procedimentos anteriormente identificados e concluído se os procedimentos documentados e controlos compensatórios estão a ser realizados pela organização de forma adequada e consistente. Com base no nível de conformidade, o auditor deve determinar qual o nível de testes de validação necessário para poder garantir a adequação do processo de controlo.

4. Etapa de auditoria - Testes de validação

Objectivo da etapa. O objectivo da etapa de auditoria testes de validação é realizar os testes de dados necessários para transmitir à gestão a garantia ou não do cumprimento de um determinado objectivo de negócio.

Outputs da etapa desejáveis. No final da etapa testes de validação, o auditor deve ter realizado testes suficientes aos produtos de output da actividade para concluir se um determinado objectivo de controlo está a ser cumprido. Os testes de validação devem ser massivamente realizados se:

• Não existirem medições do controlo;
• As medições do controlo foram avaliadas como não satisfatórias;
• Os testes de conformidade dão indicação de que as medições do controlo não foram realizadas de forma consistente e adequada.

Para conhecer as tarefas de avaliação, deverá consultar o site www.migovtic.com.

 
Produzido em 2008