Auditoria contábil de segregação de funções e acessos ao ERP: guia técnico

Auditoria contábil de segregação de funções e acessos ao ERP examina se perfis respeitam responsabilidades e acessos críticos são aprovados, revisados e removidos. Este guia organiza o objeto, as evidências, os testes, a quantificação e a comunicação dos achados sem substituir o planejamento específico de cada trabalho.

O conteúdo integra o núcleo de auditoria contábil da Costa Nova Associados. A contratação começa pela pergunta que precisa ser respondida, pelo período, pelas entidades e pelos sistemas incluídos. A conclusão depende da evidência obtida e não constitui promessa de resultado.

Pergunta de auditoria e critérios

A pergunta central é verificar se perfis respeitam responsabilidades e acessos críticos são aprovados, revisados e removidos. Para torná-la testável, o planejamento identifica afirmações como existência, completude, competência, mensuração, direitos, obrigações, apresentação e autorização. O critério pode decorrer de política aprovada, contrato, norma contábil, procedimento interno ou obrigação aplicável ao período.

Documentos e população

As fontes normalmente abrangem matriz de funções, perfis, usuários, logs, chamados, RH e aprovações. O inventário registra origem, custodiante, versão, data de extração, filtros, quantidade de linhas, campos-chave e totais de controle. A população analítica precisa fechar com uma fonte independente antes de qualquer amostra ou regra automatizada.

• Documento que estabelece o critério ou a obrigação.
• Relatório analítico com chaves e valores originais.
• Razão, extrato ou balancete para conciliação.
• Evidência primária do evento e de sua autorização.
• Comprovante de liquidação, estorno ou evento posterior.
• Registro de limitações, substituições e mudanças de versão.

Procedimentos centrais

Os procedimentos incluem mapear conflitos, testar usuários privilegiados, desligados e genéricos e revisar recertificação. A sequência parte da integridade dos dados, passa por reconciliação, seleção, inspeção, recálculo e investigação das exceções. O papel de trabalho preserva o caminho entre a população, o item testado, a evidência e a conclusão.

Risco específico e explicações alternativas

O risco central é preparar e aprovar, acesso de desligado, conta compartilhada e privilégio emergencial permanente. Uma diferença não prova automaticamente erro ou irregularidade. Antes da conclusão, devem ser testadas explicações alternativas relacionadas a corte, preço, quantidade, mix, câmbio, classificação, sistema, estimativa, documento posterior ou mudança legítima de operação.

Estudos aprofundados

• escopo e matriz de riscos: delimitar objetivo, período, população, afirmações relevantes, materialidade e riscos antes de selecionar procedimentos.
• documentos, população e teste de corte: inventariar fontes, reconciliar contagens e totais e separar eventos anteriores e posteriores à data-base.
• testes substantivos e reconciliação: combinar inspeção, recálculo, confirmação, rastreamento e conciliação para responder à pergunta definida.
• controles internos e segregação de funções: avaliar desenho, implementação e funcionamento dos controles que previnem ou detectam diferenças.
• amostragem e seleção dirigida: definir população, unidade, método, cobertura, itens-chave e tratamento das exceções sem generalização indevida.
• análise de dados e investigação de exceções: aplicar regras documentadas, preservar a população original e investigar resultados sem confundir alerta com erro.
• quantificação, materialidade e sensibilidade: mensurar diferenças, separar causas, evitar compensação indevida e demonstrar efeitos de premissas alternativas.
• achados, causa e impacto: redigir condição, critério, causa, efeito e evidência, distinguindo fato, estimativa e interpretação.
• remediação e monitoramento: converter achados em ações com responsável, prazo, evidência de conclusão e teste posterior de efetividade.

Quantificação e materialidade

A memória separa valor de origem, ajuste de corte, ausência de suporte, classificação, estimativa e efeito de cenário. Diferenças de sinais opostos não são compensadas antes de sua investigação. Materialidade considera valor, natureza, frequência, abrangência, descumprimento e influência sobre decisões.

Entrega e controle de qualidade

O resultado esperado é matriz de conflitos, responsáveis e plano de remediação. A entrega informa objetivo, período, critérios, fontes, limitações, população, procedimentos, seleção, achados, memória e recomendações. A revisão independente confere vínculos, fórmulas, somatórios, sinais, unidades, versões e coerência entre texto e anexos.

Referências oficiais e limites

• Normas de auditoria independente do CFC
• Normas de auditoria interna do CFC
• Pronunciamentos técnicos do CPC

As normas e orientações devem ser consultadas na redação vigente no período examinado. Este material é informativo, não substitui a análise dos documentos da entidade e não atribui responsabilidade jurídica. Dados pessoais, fiscais, bancários e empresariais exigem finalidade, acesso e retenção controlados.