Autoria editorial: Vinícius Costa
Terceirizar folha, ERP, data center, cobrança, pagamentos ou processamento não transfere à prestadora a responsabilidade da administração pelas demonstrações. O auditor precisa compreender como o serviço afeta transações, controles, dados e evidências da entidade usuária.
Quais serviços podem ser relevantes?
- folha de pagamento;
- ERP e hospedagem em nuvem;
- processamento de cartões;
- custódia de ativos;
- administrador de fundos;
- contas a pagar;
- faturamento e cobrança;
- data center e backup;
- marketplaces e gateways;
- contabilidade terceirizada;
- gestão de benefícios;
- plataformas de investimento.
Compreensão do arranjo
O auditor avalia natureza, materialidade, grau de interação, dados enviados e recebidos, controles da usuária, subprestadores, localização, contrato, relatórios disponíveis e incidentes.
Relatórios sobre controles
Relatórios de asseguração do auditor da prestadora podem descrever controles e testes. É necessário avaliar período, escopo, objetivos de controle, opinião, exceções, competência do auditor e cobertura dos serviços efetivamente usados.
| Questão | Verificação |
|---|---|
| Período | Cobre a data da auditoria? |
| Serviço | Inclui o produto e local utilizados? |
| Exceções | Afetam transações da usuária? |
| Subprestador | Está incluído ou excluído? |
| Controles complementares | A empresa os executa? |
Controles complementares da entidade usuária
O relatório do prestador normalmente pressupõe controles da cliente: autorizar usuários, revisar relatórios, conferir interfaces, aprovar alterações e reconciliar saídas. Se a empresa não executa esses controles, a cobertura do prestador pode ser insuficiente.
Subprestadores e cadeia
Cloud, suporte, processamento e backup podem ser subcontratados. O auditor precisa compreender se o método do relatório inclui ou exclui esses controles e como obter evidência sobre lacunas.
Ausência de relatório
Alternativas incluem procedimentos na prestadora, obtenção de evidências específicas, testes na entidade usuária, confirmação e avaliação de controles adicionais. A viabilidade depende de contrato e acesso.
Interfaces e reconciliações
Mesmo com controles fortes na nuvem, erros podem ocorrer na entrada e saída. A empresa deve reconciliar:
- arquivos enviados e processados;
- quantidade e total;
- rejeições;
- duplicidades;
- retornos e baixas;
- mudanças de cadastro;
- dados contábeis e operacionais.
Segurança e disponibilidade
A auditoria financeira considera segurança quando afeta integridade, disponibilidade e confidencialidade das informações. Incidentes, acesso privilegiado, mudança de programas e backup podem gerar distorções.
Contrato e direito de auditoria
Cláusulas devem prever acesso a relatórios, notificação de incidentes, retenção de dados, subcontratação, portabilidade e cooperação com auditores. Ausência dessas previsões aumenta risco de evidência.
Erros recorrentes
- presumir que certificação cobre tudo;
- não ler exceções;
- ignorar controles complementares;
- usar relatório de período diferente;
- não avaliar subprestadores;
- ignorar interfaces;
- confundir SLA com controle financeiro;
- não planejar acesso contratual.
Perguntas frequentes
Certificação de segurança substitui relatório de controles?
Não necessariamente. Objetivo, escopo e nível de asseguração podem ser diferentes.
O auditor precisa visitar a prestadora?
Depende da evidência disponível e do risco. Relatório apropriado pode reduzir essa necessidade.
Cloud elimina responsabilidade da empresa?
Não. A administração continua responsável pelos dados, controles e demonstrações.
Fonte técnica
Conteúdo informativo. A abordagem depende do serviço, do relatório disponível e dos controles da entidade usuária.
Perguntas para revisar a memória: Auditoria de serviços em cloud
Uma memória bem estruturada não depende apenas do total: ela preserva eventos, datas e documentos. Em auditoria de serviços em cloud, a página deve ligar cada afirmação a uma fonte, registrar a competência e mostrar como o evento modifica a memória. Esse cuidado reduz conclusões genéricas e permite comparar versões sem perder a origem dos números.
Perguntas de controle
- Qual documento define a base e a data inicial do exame?
- Quais premissas podem ser verificadas diretamente na prova citada?
- Pagamentos, estornos ou compensações já foram deduzidos uma única vez?
- O saldo final pode ser reconciliado com um documento independente?
Exemplo metodológico
Considere uma situação em que um processo crítico é executado pelo provedor, mas aprovações permanecem com a entidade. A auditoria separa controles do prestador, controles do usuário e evidências complementares. O exemplo não substitui os documentos do caso; ele demonstra a sequência de conferência. Uma tabela adequada identifica evento, competência, data financeira, documento, valor informado, ajuste aceito e saldo após o ajuste.
Conjunto documental mínimo
- contratos, SLAs e matriz de responsabilidades
- relatórios de controles do prestador
- logs, incidentes e mudanças
- evidências de testes e monitoramento
Cada ajuste precisa conservar a referência que permita ao leitor voltar ao documento de origem. Se uma fonte estiver ausente, a memória deve marcar a lacuna, avaliar evidência alternativa e indicar o impacto da limitação, em vez de completar o dado por presunção.
Para continuar a navegação, consulte artigos técnicos e os documentos para análise técnica. Os links conectam o caso específico ao método geral de cálculo, conciliação e prova.
Conteúdo técnico da Costa Nova Associados, republicado na CN Advisors. Datas e exemplos do material original foram preservados. O escopo e a responsabilidade por cada trabalho são definidos na contratação.
Consultar a publicação original na Costa Nova ↗