Segregação de funções (SoD)

Segregação de funções: quem cria não aprova.
Como montar a matriz SoD e manter o controle em dia.

A segregação de funções divide as etapas de um processo crítico entre pessoas diferentes, para que ninguém consiga, sozinho, fazer e esconder um erro ou uma fraude. Veja o que é, como montar a matriz SoD e como cruzar a matriz com os acessos que existem hoje.

Fale com um especialista

Funciona com Microsoft Entra ID e Google Workspace

O que é

Quatro funções que não devem ficar na mesma mão

Em todo processo crítico existem etapas que se controlam umas às outras. Quando a mesma pessoa faz duas delas, o controle some.

Autorizar

Quem aprova

Aprova a compra, o pagamento, a mudança ou o acesso.

Executar

Quem faz

Emite o pedido, paga, publica a mudança ou concede o acesso.

Registrar

Quem lança

Cadastra o fornecedor, lança no sistema e mantém o registro.

Conferir

Quem revisa

Concilia, revisa os logs e confere se o que foi feito era o que foi aprovado.

Matriz SoD

Exemplos de conflitos na matriz SoD

A matriz SoD lista os pares de atividades que não podem ficar com a mesma pessoa e o risco de cada par. Comece por estes.

AtividadeNão junte comRisco

Cadastrar fornecedorAprovar pagamentoPagamento a fornecedor fictício

Emitir pedido de compraRegistrar o recebimentoCompra paga sem entrega

Alterar dados da folhaAprovar a folhaPagamento indevido a funcionário

Desenvolver códigoPublicar em produçãoMudança sem revisão

Pedir acessoAprovar o mesmo acessoAcesso autoaprovado, sem validação de ninguém

Administrar um sistemaRevisar os logs desse sistemaRastro apagado ou ignorado

Como montar

Matriz SoD em cinco passos

1. Processos

Escolha os processos críticos

Pagamentos, compras, folha, mudanças em produção e concessão de acesso costumam vir primeiro.

2. Atividades

Quebre em atividades

Cadastrar, aprovar, executar, registrar e conferir. Cada uma vira uma linha da matriz.

3. Conflitos

Marque os pares proibidos

Para cada par que não pode ficar com a mesma pessoa, escreva o risco e quem é o dono da regra.

4. Acessos

Traduza em acessos

Ligue cada atividade ao acesso que a permite: perfil no ERP, papel no sistema, grupo no diretório.

5. Tratamento

Cruze com quem tem acesso hoje

Exporte usuários e perfis de cada sistema e cruze com a matriz: um acesso nos dois lados de um par proibido é um conflito. Tire o acesso ou registre a exceção com um controle compensatório e revise de tempos em tempos.

Na auditoria

Onde a segregação de funções é cobrada

ISO 27001

Controle 5.3 do Anexo A

Na versão de 2022, funções e áreas de responsabilidade conflitantes devem ser segregadas. Veja os controles de identidade da ISO 27001.

Controles de TI

Auditoria de ITGC

Nos controles gerais de TI (ITGC), a auditoria confere quem pode mudar sistemas, dar acessos e aprovar o próprio trabalho.

Controles internos

Financeiro e compras

Auditorias de controles internos, como as ligadas à SOX (controles internos sobre o relatório financeiro) nas empresas com ações listadas em bolsa nos EUA, inclusive brasileiras com ADR de níveis 2 e 3, testam a separação entre aprovar, executar e registrar.

Como a Niuco ajuda

A matriz no papel não basta. O conflito aparece no acesso.

A segregação de funções é um recurso do IGA Advanced e do Ultimate da governança de identidade (IGA) da Niuco: ela identifica pessoas com acessos que não deveriam andar juntos, como criar e aprovar o mesmo pagamento. O inventário de quem tem acesso a quê nos sistemas conectados acompanha a folha de pagamento (entrada, mudança e saída), e as campanhas de revisão de acessos registram a decisão do gestor com trilha para auditoria. Veja os planos. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.

Veja a revisão de acessos na prática

Material informativo. Não substitui orientação jurídica.

Perguntas frequentes sobre segregação de funções

Se a sua dúvida não estiver aqui, fale com um especialista — a conversa leva 30 minutos.

É o princípio de dividir as etapas de um processo crítico entre pessoas diferentes, para que ninguém consiga, sozinho, autorizar, executar, registrar e conferir a mesma operação. Assim, um erro ou uma fraude precisa passar por mais de uma pessoa para acontecer, e fica mais fácil de achar.

É a tabela que lista as atividades de um processo e marca os pares que não podem ficar com a mesma pessoa, com o risco de cada par. Por exemplo: quem cadastra fornecedor não aprova pagamento. Para ser útil, cada atividade precisa estar ligada ao acesso que a permite nos sistemas, como um perfil no ERP ou um grupo no diretório.

Cadastrar fornecedor e aprovar pagamento. Quem faz as duas coisas pode criar um fornecedor fictício e pagar a ele. Outros exemplos comuns: emitir pedido de compra e registrar o recebimento, desenvolver código e publicar em produção, pedir um acesso e aprovar o mesmo acesso.

Registre a exceção e use um controle compensatório: uma revisão periódica feita por outra pessoa, a conferência dos logs por alguém de fora do processo ou uma aprovação adicional acima de um valor. O importante é que o conflito seja conhecido, tenha dono e seja revisado de tempos em tempos.

O Anexo A da versão de 2022 traz o controle 5.3, que pede que funções e áreas de responsabilidade conflitantes sejam segregadas. A empresa pode excluir um controle do Anexo A com justificativa na Declaração de Aplicabilidade, e o auditor de certificação avalia essa justificativa. Na auditoria, ela mostra quais conflitos definiu e como trata quem tem acessos em conflito.

Quem cria não aprova. Veja onde isso falha hoje.

Fale com um especialista e veja como a Niuco identifica acessos em conflito.