Auditoria de Sistemas Computacionais Conceitos Gerais de Auditoria

Auditoria de Sistemas Computacionais Conceitos Gerais de Auditoria de Sistemas Prof. Henrique J. Brodbeck UFRGS

Henrique J. Brodbeck n UFRGS - Instituto de Informática Professor Adjunto n Brodbeck Consultores em Informática Ltda Diretor e-mail: Web: henrique@brodbeck. com. br http: //henrique. brodbeck. com. br/audit/ Prof. Henrique J. Brodbeck 2

Programa n n n Fundamentos de Auditoria de SI n Contexto, Problemas, Forma de Atuação n Controles Internos n Pontos de Controle Parâmetros de Controles Internos O Planejamento da Auditoria Prof. Henrique J. Brodbeck 3

O Contexto da Auditoria de Sistemas n Auditoria de SI é instrumento da direção, dos acionistas, do ambiente externo, do povo para: n n n opinar, avaliar, validar a qualidade dos dados e da informação e dos sistemas que a geram e mantêm, em termos de segurança, confiabilidade e eficiência. Interna ou Externa Exige conhecimentos de TI Prof. Henrique J. Brodbeck 4

Problemas da Auditoria de Sistemas n n n Auditores tendem a ficar defasados tecnologicamente em relação ao ambiente computacional da organização Falta de bons profissionais em auditoria, combinando experiência e conhecimento em TI e auditoria Executivos precisam ser educados para obter proveito da auditoria Prof. Henrique J. Brodbeck 5

Problemas da Auditoria de Sistemas n 2 Complexidade crescente do ambiente computacional n n n sistemas centrais (mainframes, sistemas multiusuários) microcomputadores independentes redes de computadores Ambiente atual ambiente cliente/servidor internet e intranet web services e organizações interconectadas Prof. Henrique J. Brodbeck 6

Complexidade Crescente da TI n n n Novos modelos de desenvolvimento de software – CMM/CMMI Gerência de projetos – PMI/PMBOK Novos aspectos da segurança e avaliação de riscos Prof. Henrique J. Brodbeck 7

O futuro da auditoria de sistemas n Novas funções no ambiente: n n n n Analista de Segurança (security officer) Analista de Qualidade Analista de Conformidade (compliance officer) Auditoria de segurança e qualidade Maior automação do processo de auditoria, através de suporte intrínseco dos sistemas Análise de custo/benefício da auditoria Gestão e qualidade da auditoria Prof. Henrique J. Brodbeck 8

Controle Interno n n n Controle interno é função administrativa, exercida pelo auditor de sistemas, que valida as demais funções administrativas planejamento, execução e controle Ênfase da auditoria nos processos computacionais e na administração de tecnologia da informação Certificar a qualidade intrínseca dos sistemas e dos processos Prof. Henrique J. Brodbeck 9

Controle Interno e Auditoria n Administração por confronto n n Administração por exceção n n Ambiente de contestação, buscando otimização, eficiência, eficácia e segurança onde atuar? que subconjunto avaliar e validar? otimização da análise de risco Ponto de Controle n n subconjunto submetido à auditoria alto risco Prof. Henrique J. Brodbeck 10

Controle Interno e Auditoria n Frameworks de Controles Internos: n n n Co. Co (CICA - Canadá) COSO - Comittee of Sponsoring Organizations of the Threadway (USA) Cadbury - The Cadbury Commision (UK) BIS (Comitê da Basiléia): A Framework for Internal Control for Banking Organizations Autoavaliação n Utiliza o framework para determinar o grau de risco Prof. Henrique J. Brodbeck 11

Parâmetros de Controle Interno n Controle Interno Sistemas n n n n Fidelidade da informação em relação ao dado Segurança física Segurança lógica Confidencialidade Segurança ambiental Obediência à legislação Controle Interno Administrativo n n n Eficiência Eficácia Obediência às políticas da administração Prof. Henrique J. Brodbeck 12

Pontos de Controle n n Abordagem do parâmetro de controle interno Abordagem da fraqueza buscada n n erro, omissão, falha de procedimentos falta, erro, correção de resultados Formado por rotinas e informações operacionais e de controle Recursos humanos, materiais, tecnológicos Prof. Henrique J. Brodbeck 13

Forma de Atuação n n n Através dos sistemas de informações Através do centro de computação Através dos processos ou resultados analisando n n Rotinas operacionais Informações operacionais Rotinas de controle Informações de controle Prof. Henrique J. Brodbeck 14

Ponto de Controle n É a situação do ambiente computacional caracterizada como de interesse para validação e avaliação n n n sistema módulo de um sistema banco de dados tabela de um banco de dados (arquivo) coluna de uma tabela (campo) linhas na tabela (registros) Prof. Henrique J. Brodbeck 15

Auditoria do Ponto de Controle n n n Identificação dentro do ambiente Caracterização em termos de recursos, processos e resultados Análise de risco n n parâmetros do controle interno fraquezas passíveis de ocorrer Técnica de auditoria x Risco Aplicar a técnica de auditoria Analisar os resultados apurados Prof. Henrique J. Brodbeck Apresentar uma opinião 16

Ciclo de Vida do Ponto de Controle Início Ponto de Controle identificado Avaliar? S Fraquezas? N S Ponto de Auditoria N Fim Prof. Henrique J. Brodbeck Auditoria 17

Análise de Risco n Conhecer o ambiente a ser auditado n levantamento de dados n n n n fluxo do processamento inventário de recursos humanos e materiais arquivos processados (bancos de dados) relatórios e consultas produzidos estudo da documentação do ambiente complementação de informações visita ao ambiente computacional entrevistas com os profissionais do ambiente Prof. Henrique J. Brodbeck 18

Análise de Risco n 2 Planejamento da auditoria n n n conhecimento do ambiente computacional determinação dos Pontos de Controle estabelecimento dos objetivos de validação e avaliação dos Pontos de Controle n n n técnicas de auditoria prazos de execução da validação custos incorridos com a validação nível de tecnologia exigida do auditor natureza da fraqueza do controle internos passível de ser alcançada Prof. Henrique J. Brodbeck 19

Análise de Risco n 3 Planejamento da auditoria n análise da sensibilidade de cada Ponto de Controle n n n (cont) matriz Ponto de Controle, Parâmetro, Voto, Fraqueza do Controle, Voto, Técnica de Auditoria a aplicar, Voto Médio hierarquização dos Pontos de Controle documentação do processo de planejamento da auditoria Prof. Henrique J. Brodbeck 20

Produtos Gerados n Relatórios de Fraquezas de Controle Interno n n n Objetivos do projeto de auditoria pontos de controle auditados conclusão sobre cada ponto de controle alternativas de solução propostas (pontos de recomendação) Certificado de Controle Interno Prof. Henrique J. Brodbeck 21

Técnicas de AS n n n Questionário Simulação de dados (test-deck) Visita in loco Mapeamento estatístico Rastreamento Entrevista n n n Análise relatório / tela Simulação paralela Análise de log Análise de programa fonte Snapshot Prof. Henrique J. Brodbeck 22

Auditoria do Ambiente Computacional n n n Sistemas em operação Desenvolvimento de sistemas Centro de computação n n Gestão Segurança Prof. Henrique J. Brodbeck 23

Leitura e Discussão n n Selecione um sistema considerado crítico na tipologia definida no exercício anterior e identifique os pontos de controle e riscos associados. Identifique as interfaces com o processo de trabalho que este sistema apoia. Prof. Henrique J. Brodbeck 24