Precisamos da SOX se estivermos isentos da 404(b)?

Sim. As certificações da SOX 302 começam com o seu primeiro relatório, e segue-se a avaliação 404(a) da gestão. O auditor das suas demonstrações financeiras também vai analisar os controlos de TI. Só o parecer separado do auditor ao abrigo da 404(b) é adiado.

Que sistemas de TI estão no âmbito da SOX?

Apenas os sistemas que criam, armazenam ou processam dados financeiros: contabilidade e ERP, processamento salarial, ferramentas bancárias e de despesas, a plataforma de identidade que controla o acesso a eles e o local onde estão os ficheiros financeiros. As ferramentas de marketing e a maioria dos sistemas de engenharia ficam normalmente fora do âmbito.

O nosso prestador de serviços geridos também pode testar os controlos?

Não deve ser o testador formal dos controlos que ele próprio opera. O prestador pode fazer um ensaio de preparação, mas os testes que sustentam a avaliação da gestão devem vir de alguém independente, como o seu controller ou uma sociedade de auditoria interna.

De que licenças precisamos no Microsoft 365?

O Business Premium cobre MFA, acesso condicional e gestão de dispositivos. O Privileged Identity Management e as revisões de acesso exigem o Entra ID P2, incluído no Microsoft 365 E5 ou disponível como suplemento. Planeie registos de auditoria que cubram um ano completo.

GuiasGuias · SOX e conformidade

Controlos de TI da SOX para empresas pré-IPO: uma lista de verificação de preparação

O que os auditores testam do lado das TI, quando começa cada parte da SOX e a lista de verificação que usamos para pôr a funcionar os controlos de acessos, alterações, cópias de segurança e registos antes da primeira auditoria.

9 minutos de leituraAtualizado 24 de outubro de 2026

A resposta curta

Se tenciona entrar em bolsa nos próximos 12 a 18 meses, comece já pelos seus controlos gerais de TI. Os auditores querem ver controlos de acessos, alterações, cópias de segurança e registos a funcionar ao longo de vários trimestres, e não configurados no mês anterior à sua chegada. A maioria das empresas de 5 a 150 pessoas consegue lá chegar com o Microsoft 365 ou o Google Workspace que já utiliza, algumas atualizações de licenças e meia dúzia de processos escritos que as pessoas sigam de facto.

O que a SOX pede às TI, em palavras simples

A Lei Sarbanes-Oxley (SOX) tem um único objetivo: relatórios financeiros em que os investidores possam confiar. As TI só entram no âmbito onde os sistemas criam, armazenam ou alteram os números. Por isso, a parte de TI é mais restrita do que a maioria das pessoas receia.

Secção	O que significa	Quando começa para uma empresa recém-cotada
SOX 302	O CEO e o CFO certificam pessoalmente cada relatório trimestral e anual, bem como os controlos de divulgação que lhe estão subjacentes.	A partir do primeiro relatório trimestral ou anual após a entrada em bolsa.
SOX 404(a)	A gestão avalia todos os anos o controlo interno sobre o relato financeiro (ICFR), normalmente com base no quadro COSO 2013.	Normalmente a partir do segundo relatório anual após a entrada em bolsa.
SOX 404(b)	O auditor externo testa esses controlos e emite um parecer sobre eles.	Apenas para os emitentes de maior dimensão (larger filers). As empresas emergentes em crescimento (emerging growth companies) estão isentas até cinco anos, e os emitentes não acelerados (non-accelerated filers) estão isentos.

Mesmo que a sua empresa esteja isenta da 404(b) durante algum tempo, o auditor das suas demonstrações financeiras continua a analisar os controlos de TI, e as fragilidades detetadas durante a preparação do IPO podem acabar divulgadas na declaração de registo. Por isso, as provas têm de ter qualidade de auditoria desde o início.

Quando começar

Tempo antes da entrada em bolsa	O que deve acontecer do lado das TI
De 18 a 12 meses	Confirme com os seus advogados e a sua sociedade de auditoria o calendário da entrada em bolsa e a sua categoria de emitente junto da SEC (filer status). Faça a lista de todos os sistemas que mexem nos números e de quem é responsável por cada um. Ponha as identidades em ordem: contas nominativas, autenticação multifator (MFA) em todo o lado e menos administradores.
De 12 a 6 meses	Escreva as políticas e os processos. Comece a operar os controlos: revisões de acessos, registos de alterações, testes de restauro de cópias de segurança. Recolha as provas à medida que avança.
De 6 meses até à entrada em bolsa	Faça um ensaio de cada controlo tal como um auditor o faria. Corrija as lacunas. Mantenha os controlos a funcionar todos os trimestres.
Depois da entrada em bolsa	As certificações da SOX 302 começam com o primeiro relatório. Mantenha o calendário de provas em dia para que a primeira avaliação 404(a) da gestão seja uma questão de reunir ficheiros, e não de os reconstruir.

Que sistemas estão no âmbito

Nem todos. O âmbito são os sistemas que criam, armazenam ou processam dados financeiros:

Contabilidade ou ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero e semelhantes
Processamento salarial e RH: ADP, Gusto, Paylocity, Rippling e semelhantes
Ferramentas bancárias, de pagamentos e de despesas
A plataforma de identidade que controla o acesso a tudo isto: Microsoft Entra ID ou Google Workspace, com MFA e início de sessão único (SSO)
O local onde estão os ficheiros e as folhas de cálculo financeiros: SharePoint, OneDrive, Teams ou Google Drive
Os computadores que a sua equipa financeira utiliza

Para os serviços na nuvem que não opera diretamente, os auditores baseiam-se no relatório SOC 1 Type II do fornecedor. Recolha esses relatórios todos os anos e verifique a secção "complementary user entity controls" (os controlos que cabem à entidade utilizadora). Essa secção indica o que o fornecedor espera que faça do seu lado, que normalmente são revisões de acessos e MFA.

A lista de verificação de preparação

Estes são os controlos gerais de TI (ITGC) que os auditores testam, agrupados da forma como eles os testam.

Gestão de acessos

Um processo escrito de entrada, mudança de funções e saída, com o acesso aprovado antes de ser concedido
Contas de quem sai desativadas sem demora, com datas dos RH que possam ser comparadas com as datas de desativação
Revisões trimestrais dos acessos dos utilizadores a cada sistema financeiro, aprovadas pelo responsável pelo sistema
Contas de administrador separadas e nominativas. Sem inícios de sessão partilhados e sem direitos de administrador nas contas do dia a dia
Funções de administrador limitadas a poucas pessoas, com a atividade de administração registada e revista todos os trimestres

Segurança lógica

MFA em todas as contas, com métodos resistentes a phishing para os administradores, como as chaves de acesso (passkeys)
Métodos de início de sessão antigos bloqueados
Regras de acesso condicional ou políticas de início de sessão equivalentes, documentadas
Computadores da empresa inscritos na gestão de dispositivos (Intune para Windows, Mosyle ou outra solução MDM para Mac)

Gestão de alterações

Alterações aos sistemas financeiros e às definições de segurança pedidas, aprovadas, testadas e registadas
Quem pede uma alteração nunca é quem a aprova
Histórico de alterações de configuração guardado para o seu sistema de contabilidade

Operações de TI e cópias de segurança

Cópias de segurança do Microsoft 365 ou do Google Workspace e dos seus dados financeiros, com acompanhamento das falhas
Um teste de restauro todos os trimestres, com registo escrito
Incidentes registados, investigados e encerrados

Registos e provas

Registos de início de sessão, de administração e de acesso a ficheiros guardados pelo menos durante todo o ano de auditoria
Provas recolhidas segundo um calendário (mensal, trimestral, anual), e não reunidas à pressa na semana da auditoria
Políticas assinadas, datadas e revistas uma vez por ano

Segregação de funções nas TI

Os administradores de TI não têm funções transacionais nos sistemas financeiros
O seu prestador de TI não pode aprovar o próprio acesso nem as próprias alterações
Um patrocinador executivo revê e aprova a atividade de administração do prestador

Se utiliza o Microsoft 365 ou o Google Workspace

No Microsoft 365, as duas funcionalidades que mais ajudam são o Privileged Identity Management (PIM), que torna os direitos de administrador temporários e registados, e as revisões de acesso. Ambas exigem o Microsoft Entra ID P2, que vem com o Microsoft 365 E5 ou pode ser adicionado ao Business Premium. Os registos de auditoria padrão são guardados durante 180 dias, menos do que um ano de auditoria, por isso adquira uma licença com retenção mais longa ou exporte os registos todos os meses para um local que o seu auditor possa consultar.

No Google Workspace, utilize contas de superadministrador separadas, imponha a validação em dois passos e verifique durante quanto tempo a sua edição guarda os registos de administração e de início de sessão. Se for menos de um ano, exporte-os de forma programada.

Cinco erros que vemos com frequência

Começar no ano da auditoria. Os controlos precisam de tempo a funcionar antes de alguém os poder testar.
Uma única conta de administrador partilhada. Se ninguém consegue dizer quem fez uma alteração, o controlo de alterações falha.
Revisões de acessos sem provas. Para o auditor, uma revisão que aconteceu, mas não foi assinada nem datada, não aconteceu.
O prestador de TI a aprovar o próprio trabalho. Alguém na empresa tem de aprovar e rever o que o prestador faz.
Esquecer os fornecedores. A falta do relatório SOC 1 do seu fornecedor de processamento salarial é uma constatação de auditoria, mesmo que os seus próprios controlos sejam perfeitos.

Quem faz o quê

A SOX é um trabalho de equipa, e as fronteiras entre funções contam:

A sua equipa financeira é responsável pelos controlos dos processos de negócio: receitas, fecho de contas, lançamentos contabilísticos, quem pode criar fornecedores e libertar pagamentos.
O seu prestador de TI implementa e opera os controlos gerais de TI e produz as provas.
Alguém independente de quem opera cada controlo faz os testes que sustentam a avaliação da gestão: o seu controller, uma sociedade externa de auditoria interna ou um consultor de SOX.

Manter estas funções separadas é, por si só, algo que os auditores verificam.

Perguntas frequentes

O que nos perguntam

Respostas curtas ao que os fundadores e os responsáveis financeiros mais nos perguntam.

Faça-nos outra pergunta

Doze a dezoito meses antes da entrada em bolsa é um prazo confortável. Os controlos têm de funcionar durante vários trimestres antes de poderem ser testados, e só arrumar as identidades pode levar alguns meses numa empresa que cresceu depressa.

Como a SF3 Technologies ajuda

Implementamos e operamos a parte de TI da SOX para empresas cotadas e empresas pré-IPO: uma análise de lacunas face aos controlos que o seu auditor vai testar, a correção no Microsoft 365, no Google Workspace e nos seus dispositivos, os controlos operados todos os trimestres com provas e apoio durante o trabalho de campo da auditoria. Trabalhamos dentro do seu próprio inquilino através de contas de administrador dedicadas em nome da sua empresa, protegidas por MFA e com registo de atividade, o que é, por si só, um controlo que pode apresentar ao seu auditor.

Comece por uma análise de lacunas SOX e preparação para a conformidade

Este guia contém informação geral e não constitui aconselhamento jurídico nem de auditoria. Confirme a sua categoria de emitente, o calendário e o âmbito com os seus advogados de mercado de capitais e a sua sociedade de auditoria.