De maneira geral, um planejamento de auditoria deve identificar problemas potenciais de segurança da entidade, com base na legislação vigente, atividades e transações da empresa de forma a propiciar o cumprimento dos serviços contratados com entidade dentro dos prazos e de forma segura, estabelecendo a natureza, oportunidade e extensão dos exames a serem efetuados em conjunto com os termos constantes na sua proposta de serviços para a realização do trabalho.

A auditoria de sistemas de informação visa verificar a conformidade não dos aspectos contábeis da organização, mas sim do próprio ambiente informatizado, garantindo a integridade dos dados manipulados pelo computador. Assim, ela estabelece e mantém procedimentos documentados para planejamento e utilização dos recursos computacionais da empresa, verificando aspectos de segurança e qualidade. O trabalho da auditoria de sistemas acontece com o estabelecimento de metodologias, objetivos de controle e procedimentos a serem adotados por todos aqueles que operam ou são responsáveis por equipamentos de TI e/ou sistemas dentro da organização.

Em uma auditoria os objetivos de controle são estabelecidos com base nas atividades da entidade, seu tamanho, qualidade de seus sistemas e controle interno e competência de sua administração. É necessário que o auditor tenha um modelo normativo de como as atividades devem estar sendo feitas. Assim, deve-se levar em conta as atividades das pessoas, órgãos e produtos da entidade de modo que tais atividades não se desviem das normas preestabelecidas pela organização.

Objetos de controle são metas de controle a serem alcançadas ou efeitos negativos a serem evitados traduzidos em procedimentos de auditoria. Assim os objetivos de controle são detalhados conforme o enfoque ao qual está relacionado. Existem diversas áreas que esses objetivos podem contemplar, como segurança, atendimento à solicitações externas, materialidade, altos custos de desenvolvimento, grau de envolvimento dos usuários e outsourcing.

Segundo o COBIT, as metas a serem alcançadas em uma auditoria de Sistemas de Informação se enquadrarão em algum dos itens abaixo:

Por fim, é importante ressaltar que a necessidade de controlar e auditar os recursos da tecnologia da informação e da comunicação nunca foi tão grande. Para garantir segurança e qualidade em seus processos e serviços é necessário verificação e controle constante!

Veja perfil e 42 post(s)

Olá Caros leitores!

Vamos iniciar o post com uma ilustração:

Era para ser um dia normal, mas o dia começou cinza e todos estão tensos. O chefe chegou extremamente preocupado e logo de manhã reúne a equipe e diz: “Leiam os procedimentos e registrem o que está faltando, pois amanhã temos a auditoria externa. Se perdermos o selo da ISO, cabeças vão rolar!”

Alguma semelhança com algo que você já presenciou, viu ou ouviu?

Empresas e profissionais buscam mostrar ao mercado que estão aptos a atenderem seus clientes (internos e externos) dentro de padrões de qualidade. Muitas vezes esta busca por qualificação e certificação é um instrumento utilizado mais para marketing pessoal/empresarial do que garantir que as entregas são feitas com a qualidade esperada pelo cliente, mas acredito que esta seja a minoria.

Quando falamos em Governança de TI, um dos objetivos de se implementar certificações/auditorias, é a busca de transparência da área de TI perante seus stakeholders (a organização, clientes e principalmente a alta administração). A TI é um ativo estratégico que representa um risco dentro da organização, já que suporta de alguma forma praticamente todos os processos de negócio, e por isso precisa ser mitigado. Alguns regulamentos, como a SOX, aumentam ainda mais esta necessidade de transparência, pois os gestores do negócio são responsabilizados em causa de fraudes e/ou por desobediência a estas leis. Neste contexto, ao contrário do cenário que abordamos no início do post, a auditoria de TI precisa ser encarada como algo que agrega maior valor a TI, e não como algo que serve para revelar as falhas das pessoas e puni-las. Um relato interessante sobre os benefícios de auditorias externas pode ser encontrado no site tiespecialistas.

Nós, profissionais de TI, precisamos nos colocar no lugar de quem está à frente do negócio. Por melhor que seja a equipe de TI, como ter certeza que de fato que a TI está alinhada com a empresa e mitigando os riscos? Nós sabemos na prática aos riscos que estamos sujeitos e o impacto que isto pode causar para o negócio, tanto em imagem quanto financeiro. Alguns exemplos de itens simples que geram grande impacto para o negócio se não forem bem gerenciados: backup, processos de gestão de serviços, segurança da informação, sistemas e etc. Isto para não entrar no mérito das empresas que necessitam de auditoria externa por obrigações legais. Acredito que este exame de conformidade que a auditoria traz, comprova que a TI está no caminho certo, ou então aponta o que está errado e precisa ser corrigido. Vejo que é uma forma do negócio compartilhar de fato as responsabilidades da TI e seus riscos.

O COBIT é uma ferramenta muito utilizada em auditorias de TI. Ele permite uma avaliação padronizada para fundamentar a opinião do auditor sobre a TI da organização e permite apresentar recomendações à administração sobre melhoria dos controles internos.
A conclusão que chegamos com esta reflexão é que diferente do título do post, a auditoria de TI é um “bem necessário”, que traz benefícios para todos os stakeholders de TI, desde clientes, passando pela alta administração e principalmente para a própria TI.

Espero que tenham gostado. Sugestão, dúvidas, críticas? Deixem seus comentários

Um grande abraço e até a próxima!

Hoje vamos abordar algo complexo em Gestão de Projetos: A Auditoria com foco em Riscos. A auditoria é a maneira mais conclusiva para encontrar e solucionar riscos nos projetos, portanto desconsiderá-la é um equivoco.

A auditoria em riscos deve envolver todos os setores da empresa, não pode desconsiderar nada, deve ir desde o início dos processos até a conclusão dos mesmos, coletando todas as informações e visões diferenciadas dos colaboradores envolvidos, deve também abordar desde o gerente do setor até o operador, pois todos tem suas dificuldades em algum momento no decorrer do projeto e essa dificuldade quando apresentada pode mostrar um problema maior do que aparenta e encontrá-lo é o dever de uma auditoria.

De forma simples podemos considerar três ações que devem ser realizados pelo auditor, essas ações tem sua sequência necessária para desenvolvimento, ou seja, devem ser mantidas as ordens aqui apresentadas para que o resultado seja o esperado.

Quando um projeto já existente é colocado em minhas mãos eu mesmo tenho como padrão iniciar uma auditoria em todos os setores, não só para saber os procedimentos, mas também para modificar o que considerar necessário e porque não dizer para mostrar posicionamento diante todos os funcionários, isso mostrará duas coisas:

Esse posicionamento que tomo, apesar de aparentar simples, não o é. Entenda que no momento que você sai da sua sala e vai no operacional você está visivelmente se aprofundando no projeto, e isso requer a capacidade de se impor diante das situações com firmeza e de assumir resultados dos quais agora (já que está ciente) você está completamente a par, sejam eles positivos ou nem tanto.

A primeira tarefa em uma auditoria é ir direto no operacional, esqueça as maçantes horas de reuniões com diretores e gestores, faça apenas pequenas reuniões para saber do que se trata e onde se quer chegar, fora isso gaste seu tempo indo no foco – vá para o operacional, converse com quem esta diariamente com a mão na massa, colete informações, pergunte se tem idéias para resolver os problemas, isso é muito importante porque inúmeras vezes esses que tantos desconsideram encontram as melhores soluções para tal problema. Em um projeto simples em uma empresa na qual trabalhei lembro-me de que existiam dois problemas que os Diretores e Gestores não resolviam, não por falta que capacitação e sim por falta de comunicação, sempre arranjavam modos burocráticos para solucionar o que era tão simples, na verdade a solução surgiu de imediato quando saímos de trás das mesas e nos colocamos junto a equipe de vendas externas, que nos mostrou o porque do problema e como na visão deles podíamos solucionar, quando vimos a simplicidade do fato percebemos a importância de começar a pesquisar na base, no operacional.

Dê espaço para as pessoas te encontrarem, seja acessível e assim ganhe confiança, se mostre capaz de solucionar esses dilemas e assim com um grau de comprometimento alto e revelado diante esses profissionais você terá deles a confiança merecida e recebera informações e sugestões cada vez mais concretas e eficazes.

Busque também informar-se sobre os riscos externos, informações que somente seus clientes possuem, essas podem ser inúmeras informações, mas todas são importantes já que esse é o destino do seu produto ou serviço – Seu cliente.

Informações coletadas com fornecedores e parceiros são bem importantes, com um pouco de experiência se pode extrair de uma simples conversa informações sobre concorrentes que utilizam serviços do mesmo fornecedor ou parceiro. Informações como estas são de suma importância já que possibilitam maior flexibilidade para reposicionamento diante o mercado caso necessário.

Após a busca por coletar informações consistentes e úteis se tem um novo caminho a percorrer, esse é o de identificar os riscos internos. Lembre-se no primeiro momento nossa tarefa foi coletar informações e sugestões para resolver os dilemas, tanto internos quanto externos que podem se apresentar durante as entrevistas. Agora o que estaremos propondo é selecionar as informações colhidas e juntá-las as observações feitas sobre os dilemas internos do projeto, isso vai resultar em um controle mais amigável para análises posteriores.

Esses dilemas internos devem ser abordados de frente, já que o resultado das decisões poderão ser um desastre a longo prazo, por exemplo, um pedido de demissão de um profissional de uma determinada área que existe uma escassez de profissionais no mercado, isso desestrutura o projeto, exige tempo e recursos para treinamento e busca por um substituto, que as vezes não está à altura do anterior. Fora as questões de RH os riscos internos podem ser vistos nos setores que demandam procedimentos manuais, como departamento de qualidade,  análises de crédito, cadastro de clientes, gestão de estoque e outros, erros nesses setores geram desconforto na equipe, baixa a qualidade do serviço prestado e logo divulga-se a marca como imprópria para consumo. Mas se levarmos em consideração que isso é de alto risco então podemos relacionar isso à:

Esses riscos relacionados nem sempre são compreendidos pelos gestores, que permitem inúmeras acrobacias internas só para não perder uma venda, eu prefiro deixar de vender um produto com defeito do que vendê-lo para tirá-lo do estoque e abastecer a mesa do diretor com solicitações de órgãos de defesa do consumidor e comunicados judiciais. Leve em consideração esse exemplo.

Após conseguir relacionar as informações e sugestões e controlar o fluxo interno dos procedimentos temos que identificar nossas dificuldades externas, essas não são previsíveis mas podem ser solucionadas com um bom planejamento. Quando falamos de riscos externos estamos mencionando aquela tecnologia do inicio do projeto que tornou-se obsoleta e que a sua substituta já está nas mãos do seu concorrente, posso dizer também que pode ser uma nova lei que regulamenta a atividade exercida no projeto, o que altera o planejamento drasticamente para se adaptar, isso é visto normalmente em projetos que tem  necessidades de liberação ambiental.

Mas dentro dessas áreas (Equipe, procedimentos internos e externos) existem setores que requerem maior atenção, esses devem ser considerados inicialmente a cada etapa, identificá-los no inicio ajudará a manter um controle melhor em sua auditoria melhorando assim os resultados que serão obtidos.

Até aqui analisamos riscos já existentes e no caso dos riscos externos fizemos um planejamento de resposta imediata a uma situação adversa. Porém isso não basta para sentir-se seguro em um projeto inovador ou de risco, o ideal é continuar o processo de auditoria com uma consultoria, essa consultoria deve ter o foco de trazer soluções para possíveis problemas que poderão ocorrer durante o processo.

Com as informações em mãos que foram colhidas durante a auditoria pode-se ter uma melhor visão de um todo para análise, assim provendo melhores soluções. Não tenha medo de mudanças, quando elas se fazem necessárias em um projeto é melhor fazê-las (claro quando cabíveis), pois não aceita-las é aumentar a probabilidade de riscos, pois você está dando mais tempo para o erro ocorrer.

Não corra riscos, tenha um  controle operacional e um plano estratégico muito bem elaborado, só assim você terá capacidade de gerenciar um projeto e seus riscos.

Até a próxima.

Criticas e sugestões de temas – contato@alpisconsultoria.com.br. Aproveite e leia os outros artigos da série – Os segredos das grandes realizações na web.