Lei SOX: o que ela exige e os controles de acesso que a auditoria testa.
Seções 302, 404 e 906, quem está no escopo no Brasil e como o acesso aos sistemas vira evidência.
A Lei Sarbanes-Oxley (SOX) é a lei americana de 2002 que obriga as empresas com valores mobiliários registrados na SEC a manter e avaliar controles internos sobre o relatório financeiro. Os números saem de sistemas, então a avaliação passa por quem acessa esses sistemas. Veja o que a lei pede, quem precisa cumprir e onde o acesso entra.
Funciona com Microsoft Entra ID e Google Workspace
Uma lei sobre a confiança no número publicado
A SOX foi aprovada pelo Congresso dos EUA em 2002, depois dos escândalos contábeis da Enron e da WorldCom. Ela põe a responsabilidade pelo relatório financeiro nos executivos, cria o PCAOB (o órgão que regula os auditores dessas empresas) e exige que os controles internos sejam avaliados todo ano. Para a TI, o efeito prático é este: o sistema que gera o número também precisa de controle.
Seção 302
O CEO e o CFO assinam
No relatório anual (o 20-F, para a emissora estrangeira; nas americanas, também nos trimestrais), o CEO e o CFO certificam que revisaram o relatório e que, pelo que sabem, ele não tem informação falsa relevante. Também certificam que respondem pelos controles internos e de divulgação e que informaram ao auditor e ao comitê de auditoria as deficiências significativas, as fraquezas materiais e qualquer fraude que envolva a administração ou pessoas com papel relevante nos controles internos.
Seção 404
Controle interno avaliado todo ano
404(a): a administração avalia e relata, no relatório anual, a eficácia dos controles internos sobre o relatório financeiro na data de encerramento do exercício. 404(b): nas empresas de maior porte (accelerated e large accelerated filers), o auditor externo emite opinião própria sobre esses controles.
Seção 906
Uma segunda certificação, com pena criminal
Separada da 302, ela declara que o relatório atende às exigências da lei e retrata adequadamente a situação financeira. Quem assina sabendo que não atende está sujeito a pena criminal. Por isso, a diretoria tende a cobrar evidência, e não só a política escrita.
Quem está no escopo no Brasil
A SOX vale para quem tem valores mobiliários registrados na SEC ou é obrigado a reportar a ela. No Brasil, isso aparece em quatro situações.
No primeiro relatório anual depois da listagem, as regras da SEC dispensam o relatório da administração e a atestação do auditor. Depois disso, a 404(a) vale para todas. A 404(b) não se aplica às emerging growth companies (critério de receita, por até cinco anos após o IPO) nem às non-accelerated filers. A 404(b) vale para as accelerated e large accelerated filers: em resumo, empresas com valor de mercado em circulação a partir de US$ 75 milhões (large accelerated, a partir de US$ 700 milhões), que já reportam à SEC há 12 meses e não se enquadram na exceção de receita abaixo de US$ 100 milhões.
Do COSO ao teste de amostra
A administração avalia os controles contra um modelo de referência, em geral o COSO (versão de 2013). Um dos princípios do COSO pede controles gerais sobre a tecnologia. Quando a 404(b) se aplica, o auditor segue a norma AS 2201 do PCAOB, de cima para baixo: parte das demonstrações financeiras e dos controles no nível da entidade, desce às contas e divulgações significativas e chega aos processos e sistemas que as alimentam.
1. Escopo
O que entra
Contas e divulgações significativas, os processos por trás delas e os sistemas que os alimentam.
2. Walkthrough
Um caso de ponta a ponta
O auditor acompanha uma transação do início ao fim e confere se o controle existe como foi descrito.
3. Teste intermediário
Boa parte do ano
Em geral, o teste começa numa data intermediária e cobre boa parte do ano.
4. Roll-forward
Até o fim do exercício
O teste é atualizado até a data de encerramento do exercício, que é a data da avaliação.
5. Conclusão
Falhas classificadas
Deficiências significativas e fraquezas materiais vão ao comitê de auditoria. As demais vão, por escrito, à administração.
A avaliação vale para a data de encerramento do exercício, mas o auditor precisa de evidência de que o controle funcionou por um período suficiente. Na prática, as amostras pegam vários meses, e uma revisão feita só na véspera não basta.
Quando uma falha de acesso chega ao comitê de auditoria
A administração classifica as falhas na avaliação da 404(a), e o auditor, na opinião da 404(b). Os dois pesam a chance de a falha causar erro, o tamanho do erro possível e se há outro controle que compense com precisão suficiente, como uma conciliação revisada.
Deficiência de controle
O controle não funciona como deveria
O controle não existe ou não opera como foi desenhado. Um desligado com acesso ativo na amostra pode ser uma.
Deficiência significativa
O comitê precisa saber
Menos grave que a fraqueza material, mas importante o bastante para ser levada ao comitê de auditoria.
Fraqueza material
Material weakness
Há possibilidade razoável de um erro relevante nas demonstrações financeiras anuais ou intermediárias não ser evitado nem detectado a tempo. Se existe na data de encerramento, é divulgada no relatório anual e impede a conclusão de que os controles são eficazes.
Os controles de acesso que entram no teste
São os controles gerais de TI (ITGC) de acesso lógico. Para cada um, o auditor pede a regra, uma amostra e a evidência.
Concessão
Aprovação antes do acesso
O pedido é aprovado antes de o acesso existir, com o perfil certo para o cargo.
Revisão periódica
Decisão registrada por linha
Lista de usuários e perfis revisada pelo dono do sistema, com revisor, data e decisão.
Desligamento
Remoção no prazo
Acesso removido no prazo da política, nos sistemas do escopo.
Privilégio e SoD
Poucos administradores, perfis sem conflito
Acesso privilegiado nomeado e justificado, e perfis que não combinam etapas conflitantes (veja a matriz SoD).
Autenticação e trilha
Política aplicada e log protegido
Política de autenticação aplicada no sistema e registro de quem fez o quê, protegido contra edição.
Veja o que o auditor espera em cada controle e onde costuma falhar.
Mesma evidência, perguntas diferentes
A revisão de acessos registrada pode servir a todas, se cobrir os sistemas e o período de cada uma.
SOX
Relatório financeiro
Os controles que protegem o relatório financeiro. Obrigação legal para quem é registrado na SEC.
SOC 1
Sistema financeiro terceirizado
Relatório do auditor de um prestador que roda um sistema financeiro terceirizado, como folha ou ERP em nuvem. É o que o auditor da SOX pede ao prestador.
SOC 2
Segurança do prestador
Relatório de auditor sobre os controles de segurança de um prestador de serviço, pedido pelo cliente. Veja SOC 2 e controles de acesso.
ISO 27001
Certificação voluntária
Certificação do sistema de gestão de segurança da informação. Veja como funciona a certificação ISO 27001.
O CFO assina. A evidência de acesso precisa estar pronta antes.
A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos sistemas conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor. Desligado que segue com acesso aparece no painel de risco, com remoção em massa mediante aprovação. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.
A Niuco não garante a conformidade com a SOX nem substitui a avaliação da administração ou a opinião do auditor. Ela apoia os controles de acesso e guarda a evidência.
Material informativo. Não substitui orientação jurídica.
Perguntas frequentes sobre a Lei SOX
Se a sua dúvida não estiver aqui, fale com um especialista — a conversa leva 30 minutos.
Antes da assinatura do CFO, a lista de acessos.
Fale com um especialista sobre revisão de acessos e evidência para a SOX.