SF3TECHNOLOGIES
GuiasGuias · SOX e conformidade

Controles de TI da SOX para empresas pré-IPO: um checklist de preparação

O que os auditores testam na área de TI, quando cada parte da SOX começa a valer e o checklist que usamos para colocar em funcionamento os controles de acesso, mudanças, backup e registros antes da primeira auditoria.

Leitura de 9 minutosAtualizado

A resposta curta

Se você pretende abrir capital nos próximos 12 a 18 meses, comece agora pelos seus controles gerais de TI. Os auditores querem ver controles de acesso, mudanças, backup e registros funcionando ao longo de vários trimestres, e não configurados no mês anterior à chegada deles. A maioria das empresas de 5 a 150 pessoas consegue chegar lá com o Microsoft 365 ou o Google Workspace que já usa, alguns upgrades de licença e um punhado de processos escritos que as pessoas realmente sigam.

O que a SOX exige da TI, em palavras simples

A Lei Sarbanes-Oxley (SOX) trata de uma coisa só: relatórios financeiros em que os investidores possam confiar. A TI entra no escopo apenas onde os sistemas criam, armazenam ou alteram os números. Por isso, a parte de TI é mais restrita do que a maioria das pessoas teme.

SeçãoO que significaQuando começa para uma empresa recém-listada
SOX 302O CEO e o CFO certificam pessoalmente cada relatório trimestral e anual, assim como os controles de divulgação por trás dele.A partir do primeiro relatório trimestral ou anual após a listagem.
SOX 404(a)A administração avalia todos os anos o controle interno sobre relatórios financeiros (ICFR), normalmente com base na estrutura COSO 2013.Normalmente a partir do segundo relatório anual após a listagem.
SOX 404(b)O auditor externo testa esses controles e emite um parecer sobre eles.Apenas para as emissoras de maior porte (larger filers). As empresas emergentes em crescimento (emerging growth companies) ficam isentas por até cinco anos, e as emissoras não aceleradas (non-accelerated filers) são isentas.

Mesmo que sua empresa fique isenta da 404(b) por um tempo, o auditor das suas demonstrações financeiras continua analisando os controles de TI, e deficiências encontradas durante a preparação para o IPO podem acabar divulgadas na declaração de registro. Por isso, as evidências precisam ter padrão de auditoria desde o início.

Quando começar

Tempo antes da listagemO que deve acontecer na TI
De 18 a 12 mesesConfirme com seus advogados e sua firma de auditoria o cronograma da listagem e a sua categoria de emissora na SEC (filer status). Liste todos os sistemas que mexem nos números e quem é o responsável por cada um. Organize as identidades: contas nominais, autenticação multifator (MFA) em tudo e menos administradores.
De 12 a 6 mesesEscreva as políticas e os processos. Comece a operar os controles: revisões de acesso, registros de mudanças, testes de restauração de backup. Colete as evidências ao longo do caminho.
De 6 meses até a listagemFaça um ensaio de cada controle do jeito que um auditor faria. Corrija as lacunas. Mantenha os controles funcionando a cada trimestre.
Após a listagemAs certificações da SOX 302 começam com o primeiro relatório. Mantenha o calendário de evidências em dia para que a primeira avaliação 404(a) da administração seja uma questão de reunir arquivos, e não de reconstruí-los.

Quais sistemas estão no escopo

Nem todos. O escopo são os sistemas que criam, armazenam ou processam dados financeiros:

  • Contabilidade ou ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero e similares
  • Folha de pagamento e RH: ADP, Gusto, Paylocity, Rippling e similares
  • Ferramentas bancárias, de pagamento e de despesas
  • A plataforma de identidade que controla o acesso a tudo isso: Microsoft Entra ID ou Google Workspace, com MFA e logon único (SSO)
  • Onde ficam os arquivos e as planilhas do financeiro: SharePoint, OneDrive, Teams ou Google Drive
  • Os computadores que sua equipe financeira usa

Para serviços em nuvem que você não opera, os auditores se apoiam no relatório SOC 1 Type II do fornecedor. Reúna esses relatórios todos os anos e confira a seção "complementary user entity controls" (os controles que cabem à entidade usuária). Ela lista o que o fornecedor espera que você faça do seu lado, o que normalmente significa revisões de acesso e MFA.

O checklist de preparação

Estes são os controles gerais de TI (ITGC) que os auditores testam, agrupados do jeito que eles testam.

Gestão de acessos

  • Um processo escrito de admissão, movimentação e desligamento, com o acesso aprovado antes de ser concedido
  • Contas de quem sai desativadas sem demora, com datas do RH que possam ser comparadas com as datas de desativação
  • Revisões trimestrais do acesso dos usuários a cada sistema financeiro, aprovadas pelo responsável pelo sistema
  • Contas de administrador separadas e nominais. Nada de logins compartilhados nem de direitos de administrador nas contas do dia a dia
  • Funções de administrador restritas a poucas pessoas, com a atividade administrativa registrada e revisada a cada trimestre

Segurança lógica

  • MFA em todas as contas, com métodos resistentes a phishing para os administradores, como as chaves de acesso (passkeys)
  • Métodos de login legados bloqueados
  • Regras de acesso condicional ou políticas de login equivalentes, documentadas
  • Computadores da empresa inscritos no gerenciamento de dispositivos (Intune para Windows, Mosyle ou outra solução de MDM para Mac)

Gestão de mudanças

  • Mudanças nos sistemas financeiros e nas configurações de segurança solicitadas, aprovadas, testadas e registradas
  • Quem solicita uma mudança nunca é quem a aprova
  • Histórico de mudanças de configuração mantido para o seu sistema contábil

Operações de TI e backup

  • Backups do Microsoft 365 ou do Google Workspace e dos seus dados financeiros, com acompanhamento das falhas
  • Um teste de restauração a cada trimestre, com registro por escrito
  • Incidentes registrados, investigados e encerrados

Registros e evidências

  • Logs de login, de administração e de acesso a arquivos mantidos por pelo menos todo o ano de auditoria
  • Evidências coletadas conforme um calendário (mensal, trimestral, anual), e não reunidas às pressas na semana da auditoria
  • Políticas assinadas, datadas e revisadas uma vez por ano

Segregação de funções na TI

  • Administradores de TI não têm funções transacionais nos sistemas financeiros
  • Seu provedor de TI não pode aprovar o próprio acesso nem as próprias mudanças
  • Um patrocinador executivo revisa e aprova a atividade administrativa do provedor

Se você usa Microsoft 365 ou Google Workspace

No Microsoft 365, os dois recursos que mais ajudam são o Privileged Identity Management (PIM), que torna os direitos de administrador temporários e registrados, e as revisões de acesso. Ambos exigem o Microsoft Entra ID P2, que vem com o Microsoft 365 E5 ou pode ser adicionado ao Business Premium. Os logs de auditoria padrão ficam guardados por 180 dias, menos que um ano de auditoria, então contrate uma licença com retenção mais longa ou exporte os logs todo mês para um local que seu auditor possa consultar.

No Google Workspace, use contas de superadministrador separadas, exija a verificação em duas etapas e confira por quanto tempo a sua edição guarda os logs de administração e de login. Se for menos de um ano, exporte-os de forma programada.

Cinco erros que vemos com frequência

  1. Começar no ano da auditoria. Os controles precisam de tempo funcionando antes que alguém possa testá-los.
  2. Uma única conta de administrador compartilhada. Se ninguém consegue dizer quem fez uma mudança, o controle de mudanças falha.
  3. Revisões de acesso sem comprovação. Para o auditor, uma revisão que aconteceu, mas não foi assinada nem datada, não aconteceu.
  4. O provedor de TI aprovando o próprio trabalho. Alguém da empresa precisa aprovar e revisar o que o provedor faz.
  5. Esquecer os fornecedores. A falta do relatório SOC 1 do seu fornecedor de folha de pagamento é um apontamento de auditoria, mesmo que os seus próprios controles sejam perfeitos.

Quem faz o quê

A SOX é um trabalho de equipe, e os limites entre os papéis importam:

  • Sua equipe financeira é dona dos controles dos processos de negócio: receita, fechamento contábil, lançamentos contábeis, quem pode cadastrar fornecedores e liberar pagamentos.
  • Seu provedor de TI implementa e opera os controles gerais de TI e produz as evidências.
  • Alguém independente de quem opera cada controle faz os testes que embasam a avaliação da administração: seu controller, uma firma terceirizada de auditoria interna ou um consultor de SOX.

Manter esses papéis separados é, por si só, algo que os auditores verificam.

Perguntas frequentes

O que nos perguntam

Respostas curtas para o que fundadores e responsáveis financeiros mais nos perguntam.

Faça outra pergunta

De doze a dezoito meses antes da listagem é um prazo confortável. Os controles precisam funcionar por vários trimestres antes de poderem ser testados, e só a organização das identidades pode levar alguns meses em uma empresa que cresceu rápido.

Como a SF3 Technologies ajuda

Implementamos e operamos a parte de TI da SOX para empresas de capital aberto e empresas pré-IPO: uma análise de lacunas em relação aos controles que seu auditor vai testar, correções no Microsoft 365, no Google Workspace e nos seus dispositivos, os controles operados a cada trimestre com evidências e suporte durante o trabalho de campo da auditoria. Trabalhamos dentro do seu próprio locatário por meio de contas de administrador dedicadas em nome da sua empresa, protegidas por MFA e registradas em log, o que por si só já é um controle que você pode apresentar ao seu auditor.

Comece com uma análise de lacunasSOX e preparação para conformidade

Este guia traz informações gerais, não aconselhamento jurídico nem de auditoria. Confirme sua categoria de emissora, o cronograma e o escopo com seus advogados de mercado de capitais e sua firma de auditoria.