ITGC · Controles gerais de TI

ITGC: os controles de acesso que a auditoria vai testar.
Revisão de acessos, desligados e evidência para SOX e auditoria externa.

Controles gerais de TI (ITGC) são os controles que mostram que os sistemas por trás das demonstrações financeiras são confiáveis: quem acessa, quem muda e quem opera. O acesso é uma das áreas em que as falhas mais aparecem. Veja o que o auditor pede, como preparar a evidência e como manter o controle o ano inteiro.

Fale com um especialista

Funciona com Microsoft Entra ID e Google Workspace

O que são

Quatro famílias de controles. Esta página trata do acesso

ITGC é a sigla em inglês para controles gerais de tecnologia da informação. Eles sustentam os controles automáticos dos sistemas: se o acesso ou a mudança falham, o relatório que sai do sistema deixa de ser confiável. O acesso é uma das áreas em que as falhas mais aparecem, e é dele que esta página trata.

Acesso lógico

Quem entra e com qual perfil

Concessão, revisão periódica, desligamento, acesso privilegiado, segregação de funções e autenticação.

Gestão de mudanças

Quem muda e quem aprova

Mudanças em sistemas testadas e aprovadas antes de ir para produção, por pessoas diferentes de quem desenvolveu.

Operações de TI

Quem opera e monitora

Backup, processamento de rotinas, tratamento de incidentes e monitoramento dos jobs que alimentam o financeiro.

Desenvolvimento e aquisição

Como um sistema novo entra

Seleção, implantação e migração de dados com teste e aprovação formal.

Acesso lógico

Os controles de acesso que a auditoria testa

Para cada controle, o auditor pede a regra, uma amostra e a evidência de que a regra foi seguida. A terceira coluna mostra onde costuma falhar.

ControleO que o auditor espera verFalha comum

Concessão de acessoPedido aprovado pelo gestor antes de o acesso existir, com o perfil certo para o cargoAcesso criado sem pedido, ou aprovado por quem pediu

Revisão periódica de acessosLista de usuários e perfis revisada pelo dono do sistema, com data, revisor e decisão por linhaRevisão sem registro de quem revisou, ou aprovação em bloco sem olhar

DesligamentoAcesso removido no prazo definido na política (por exemplo, no mesmo dia), em todos os sistemas, com a data do RH como referênciaDesligado com acesso ativo semanas depois, conta compartilhada sem dono

Acesso privilegiadoAdministradores nomeados, poucos, com justificativa e atividade registradaUsuário administrador genérico usado por várias pessoas

Segregação de funçõesPerfis que não combinam etapas conflitantes, como lançar e aprovar (veja a matriz SoD)Quem cadastra o fornecedor também aprova o pagamento

AutenticaçãoPolítica de senha aplicada no sistema, segundo fator onde a política exigir (em geral acessos administrativos e remotos), bloqueio por tentativasPolítica escrita, sistema sem MFA e sem bloqueio

Trilha de auditoriaRegistro de quem fez o quê e quando, retido pelo período exigido e protegido contra ediçãoLog desligado, ou editável pelo próprio administrador

Como preparar

Revisão de acessos para a auditoria em cinco passos

1. Escopo

Liste os sistemas que importam

ERP, folha, bancos, sistemas de faturamento e os SaaS fora do SSO que alimentam números do balanço. Planilha crítica também conta.

2. Lista

Extraia quem tem acesso a quê

Usuários e perfis de cada sistema, cruzados com o RH: quem é a pessoa, qual o cargo e se ainda trabalha na empresa.

3. Revisão

O dono do sistema decide linha a linha

Manter ou remover, com nome do revisor e data. É essa decisão registrada que vira evidência.

4. Remediação

Remova no prazo e guarde a prova

Acesso removido dentro do prazo definido, com o registro de quem removeu e quando. O auditor compara a decisão com o que aconteceu.

5. Rotina

Repita antes de o auditor pedir

A lei não fixa frequência; a prática comum é revisão trimestral nos sistemas críticos e remoção em cada desligamento no prazo da política. O auditor tira amostras de vários meses, então uma revisão feita só na véspera da visita não basta.

Na auditoria

Onde os ITGC de acesso são cobrados

SOX

Empresas listadas nos EUA e o escopo consolidado

A Lei Sarbanes-Oxley (seção 404) exige que a administração das empresas com ações listadas em bolsa nos EUA, inclusive brasileiras com ADR de níveis 2 e 3, avalie os controles internos sobre o relatório financeiro e, nas empresas de maior porte, que o auditor ateste essa avaliação. Subsidiárias brasileiras podem entrar no escopo quando são relevantes para o consolidado. O auditor testa os ITGC dos sistemas que geram esses números. Veja o que a Lei SOX exige.

Auditoria externa

Mesmo sem SOX

Quando o auditor das demonstrações financeiras confia nos sistemas, ele avalia os controles gerais de TI. Falha no acesso vira apontamento e mais testes manuais.

ISO 27001

Controles parecidos na ISO 27001

Controle de acesso, gestão de identidade, informação de autenticação, direitos de acesso, acesso privilegiado, autenticação e registro de eventos aparecem no Anexo A da versão de 2022 (controles 5.15 a 5.18, 8.2, 8.5 e 8.15). Veja os controles de identidade da ISO 27001.

Como a Niuco ajuda

A evidência nasce da rotina, não da véspera da auditoria.

A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos sistemas conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor. Desligado que segue com acesso aparece no painel de risco, com remoção em massa mediante aprovação. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.

Veja a revisão de acessos na prática

Material informativo. Não substitui orientação jurídica.

Perguntas frequentes sobre ITGC

Se a sua dúvida não estiver aqui, fale com um especialista — a conversa leva 30 minutos.

ITGC são os controles gerais de tecnologia da informação: as regras e rotinas que mostram que os sistemas por trás das demonstrações financeiras são confiáveis. Cobrem quatro famílias: acesso lógico, gestão de mudanças, operações de TI e desenvolvimento ou aquisição de sistemas. Sem eles, o auditor deixa de confiar nos relatórios do sistema e compensa com mais testes manuais.

Concessão de acesso com aprovação do gestor, revisão periódica de acessos com registro do revisor, remoção de acesso no desligamento, acesso privilegiado nomeado e justificado, segregação de funções nos perfis, política de autenticação aplicada e trilha de auditoria protegida. Para cada um, o auditor pede a regra, uma amostra do período e a evidência.

A lei não fixa frequência. Nos sistemas que alimentam o financeiro, a prática comum é trimestral; a remoção no desligamento segue o prazo definido na política da empresa (por exemplo, no mesmo dia). A avaliação vale para a data de encerramento do exercício, mas o auditor precisa de evidência de que o controle funcionou por um período suficiente, com amostras de vários meses. Uma revisão feita só na véspera da visita não basta.

A lista de usuários e perfis que foi revisada, quem revisou, em que data e qual foi a decisão para cada linha, mais a prova de que os acessos marcados para remoção foram removidos no prazo. Uma mensagem dizendo "revisado, tudo certo" sem a lista não é evidência.

Não. A Lei Sarbanes-Oxley exige que a administração das empresas com ações listadas em bolsa nos EUA avalie os controles internos sobre o relatório financeiro e, nas de maior porte, que o auditor ateste essa avaliação; subsidiárias brasileiras podem entrar no escopo quando são relevantes para o consolidado. Mas qualquer auditoria externa que confie nos sistemas avalia os controles gerais de TI, e controles parecidos aparecem no Anexo A da ISO 27001.

A próxima auditoria começa pela lista de acessos.

Fale com um especialista sobre revisão de acessos e evidência para auditoria.