Auditoria de cibersegurança

Cibersegurança não é um tema restrito à infraestrutura de tecnologia. Um incidente pode interromper faturamento, comprometer registros, desviar pagamentos, expor dados, gerar multas, afetar estimativas contábeis e colocar em dúvida a continuidade da operação. Por isso, a auditoria de cibersegurança precisa conectar controles técnicos à governança e aos efeitos financeiros.

No Risk in Focus 2026, do Institute of Internal Auditors, cibersegurança permaneceu como o risco mais citado globalmente e como a principal prioridade de auditoria. O dado confirma uma mudança de abordagem: não basta perguntar se há antivírus, firewall e backup. É necessário avaliar se a organização conhece seus ativos críticos, controla identidades, responde a incidentes e consegue sustentar a integridade das informações que alimentam a contabilidade.

Comece pelos processos críticos, não pela lista de ferramentas

A auditoria deve identificar quais processos geram ou movimentam valor: vendas, contas a pagar, folha, tesouraria, estoque, produção, atendimento, dados pessoais e demonstrações financeiras. Depois, mapeia sistemas, integrações, prestadores e usuários que suportam esses processos.

Essa visão evita uma auditoria excessivamente técnica e desconectada do risco empresarial. Uma vulnerabilidade em um sistema secundário pode ser pouco relevante; uma credencial fraca no fluxo de pagamentos pode ser material.

Identidades e acessos

• usuários ativos após desligamento ou mudança de função;
• contas genéricas e compartilhadas;
• privilégios administrativos sem justificativa;
• ausência de autenticação multifator em sistemas críticos;
• conflitos de segregação de funções;
• acessos emergenciais sem revisão posterior;
• chaves, tokens e senhas armazenados em locais inadequados.

O teste não termina na política. A auditoria deve confrontar a relação de empregados com diretórios, ERPs, bancos, nuvem e aplicações terceirizadas. Também precisa verificar se os acessos concedidos foram realmente utilizados de modo compatível com a função.

Integridade dos dados financeiros

Os registros contábeis dependem de cadeias de integração. Um pedido gera faturamento, que gera recebível, baixa de estoque e contabilização. A auditoria deve testar se interfaces possuem totais de controle, rejeições tratadas, logs, reconciliação e mecanismos para impedir alterações não autorizadas.

• há reconciliação entre origem e destino?
• falhas de integração são identificadas e resolvidas?
• alterações de cadastro sensível deixam trilha?
• logs podem ser modificados pelo mesmo usuário que executa a transação?
• o backup preserva apenas arquivos ou também configurações e chaves?

Terceiros e cadeia digital

Ambientes modernos dependem de nuvem, plataformas, gateways, escritórios, processadores de folha e fornecedores de software. O risco não desaparece quando o serviço é terceirizado. Contratos devem prever requisitos de segurança, notificação de incidente, acesso a evidências, retenção de logs, continuidade, subcontratação e devolução ou eliminação de dados.

Questionários autodeclaratórios são insuficientes para fornecedores críticos. Sempre que o impacto potencial for elevado, a organização deve obter relatórios independentes, testar controles relevantes ou realizar procedimentos adicionais.

Resposta a incidentes e prova

Um plano só é confiável quando foi exercitado. A auditoria deve verificar papéis, contatos, critérios de escalonamento, preservação de evidências, comunicação regulatória, decisão de desligamento de sistemas e capacidade de operar manualmente. Simulações de ransomware, desvio de pagamento e vazamento de dados revelam falhas que políticas escritas não mostram.

Efeitos contábeis que não podem ser ignorados

• perdas por fraude e pagamentos indevidos;
• provisões e contingências;
• redução ao valor recuperável de ativos;
• custos de recuperação, interrupção e comunicação;
• receita perdida e penalidades contratuais;
• riscos à continuidade operacional;
• divulgações sobre eventos subsequentes e incertezas relevantes.

A equipe de auditoria financeira e a de tecnologia precisam compartilhar conclusões. Uma falha de acesso que permita alteração de dados não é apenas deficiência de TI; ela afeta a confiabilidade dos saldos e pode exigir procedimentos adicionais sobre as demonstrações.

Indicadores de maturidade

• inventário atualizado de ativos e responsáveis;
• tempo para revogar acessos e corrigir vulnerabilidades críticas;
• percentual de sistemas cobertos por autenticação forte e logs centralizados;
• testes de restauração concluídos com sucesso;
• incidentes detectados internamente versus comunicados por terceiros;
• cobertura de avaliação dos fornecedores críticos;
• tempo entre detecção, contenção e recuperação.

A auditoria de cibersegurança é eficaz quando traduz vulnerabilidade técnica em risco de processo, efeito financeiro e decisão de governança.

Conclusão

Em 2026, a auditoria precisa avaliar cibersegurança como componente da confiabilidade da informação e da resiliência empresarial. O trabalho deve integrar tecnologia, controles internos, terceiros, resposta a incidentes e contabilidade, com testes que comprovem a operação dos controles.

A Costa Nova Associados atua em auditoria forense, análise de controles e investigação dos efeitos financeiros de incidentes. Converse com nossa equipe.

Fonte técnica consultada

• Internal Audit Foundation — Risk in Focus 2026 Global Summary