Manual de Auditoria de Sistemas

TRIBUNAL DE CONTAS DA UNIO
Secretaria-Geral de Controle Externo

Secretaria de Auditoria e Inspees
MANUAL DE AUDITORIA DE SISTEMAS
Braslia, setembro de 1998.

Presidente:
Ministro Homero Santos
Vice-Presidente:
Ministro Iram de Almeida Saraiva
Ministros:
Adhemar Paladini Ghisi
Carlos tila lvares da Silva
Marcos Vinicios Rodrigues Vilaa
Humberto Guimares Souto
Bento Jos Bugarin
Antnio Valmir Campelo Bezerra
Auditores:
Jos Antnio Barreto de Macedo
Lincoln Magalhes da Rocha
Benjamin Zymler
Procurador-Geral:
Walton Alencar Rodrigues
Subprocuradores-Gerais:
Jatir Batista da Cunha
Lucas Rocha Furtado
Paulo Soares Bugarin
Procuradores:
Maria Alzira Ferreira
Marinus Eduardo Vries Marsico
Ubaldo Alves Caldas
Cristina Machado da Costa e Silva
Comisso Permanente de Regimento:
Ministro Adhemar Paladini Ghisi (Presidente)
Ministro Humberto Guimares Souto (Membro)
Ministro Antnio Valmir Campelo Bezerra (Membro)
Auditor Jos Antnio Barreto de Macedo (Suplente)
Comisso Permanente de Jurisprudncia:
Ministro Carlos tila lvares da Silva (Presidente)
Ministro Marcos Vinicios Rodrigues Vilaa (Membro)

Braslia, setembro de 1998.
Tribunal de Contas da Unio

Internet: http://www.tcu.gov.br
SAFS Lt. 01
CEP: 70.042-900 - Braslia (DF)
Secretrio-Geral de Controle Externo:

Jos Nagel
Secretrio de Auditoria e Inspees:
Cludio Souza Castello Branco
Diretor de Informaes para Planejamento e Execuo de Auditorias:
Andr Luiz Furtado Pacheco
Chefe do Servio de Avaliao de Sistemas de Administrao Pblica
Daniel Dias Pereira
Analistas de Finanas e Controle Externo - rea de Controle Externo:
Adriana de Oliveira Beal (PDTI)
Cludia Augusto Dias
Roberta Ribeiro de Queiroz Martins
657.6:681.3
B823m
Brasil. Tribunal de Contas da Unio

Manual de Auditoria de Sistemas /
Tribunal de Contas da Unio.
Braslia: TCU, Secretaria de Auditoria
e Inspees, 1998.
107p.
Contedo: Portaria n. 455-GP, de
30 de setembro de 1998.
1. TCU - Manual de Auditoria de
Sistemas. 2. Auditoria de Sistemas.
I. Ttulo
Ficha Catalogrfica elaborada pela Diviso de Documentao do TCU.
Portaria n 455, de 30 de setembro de 1998.

Aprova o Manual de Auditoria de
Sistemas do Tribunal de Contas da
Unio.
O PRESIDENTE DO TRIBUNAL DE CONTAS DA UNIO, no uso de suas
atribuies legais e regimentais e tendo em vista o disposto no artigo 35 da Instruo
Normativa n 09, de 16 de fevereiro de 1995, resolve:
Art. 1 Fica aprovado o Manual de Auditoria de Sistemas do Tribunal de Contas
da Unio, contendo os procedimentos operacionais e as estratgias metodolgicas a serem
utilizadas na realizao de auditorias de sistemas.
Art. 2 Esta Portaria entra em vigor na data de sua publicao.
HOMERO SANTOS
APRESENTAO
Um nmero cada vez maior de sistemas computacionais controla operaes de

grande relevncia no contexto das organizaes, tornando imperativa a preparao do TCU
para enfrentar o desafio de auditar uma Administrao Pblica cada vez mais informatizada.
A utilizao da tecnologia da informao para a manipulao e armazenamento
de dados nos rgos auditados introduz novos riscos para o controle externo,
acrescentando outras variveis s questes relacionadas ao planejamento e execuo de
atividades de fiscalizao.
Com o objetivo de aperfeioar as atividades de auditoria desenvolvidas pelo
corpo tcnico do Tribunal, enfrentando a dificuldade de se auditar entidades com alto grau
de informatizao, institu, em 18 de agosto de 1997, um Grupo de Trabalho com o objetivo
de desenvolver e incrementar a aplicao da tecnologia da informao s atividades de
fiscalizao no mbito do TCU.
Este manual, desenvolvido pela Secretaria de Auditoria e Inspees - SAUDI e
pelos componentes do mencionado Grupo de Trabalho, fruto deste esforo de dotar o
TCU dos instrumentos necessrios modernizao de sua atividade fiscalizatria.
Homero Santos
Presidente
SUMRIO
Pgina
LISTA DE QUADROS................................................................................................
12
LISTA DE SIGLAS.....................................................................................................
13
INTRODUO...........................................................................................................
14
PARTE 1 - TECNOLOGIA DA INFORMAO E ATIVIDADE DE FISCALIZAO

AVALIAO DA CONFIABILIDADE DE DADOS PROCESSADOS POR
COMPUTADOR
1. REQUISITOS PARA A UTILIZAO DE EVIDNCIA PROVENIENTE DE DADOS
PROCESSADOS POR COMPUTADOR..........................................................................
2. MTODOS DE AVALIAO DE DADOS PROCESSADOS POR COMPUTADOR........
16
17
3. TCNICAS E PROCEDIMENTOS DE AVALIAO LIMITADA DA CONFIABILIDADE

DOS DADOS...................................................................................................................
3.1. Determinao do uso dos dados....................................................................

3.2. Determinao dos dados que devero ter sua confiabilidade avaliada.........
3.3. Levantamento do conhecimento prvio sobre os sistema e/ou os dados......
3.4. Avaliao dos controles do sistema de processamento dos dados...............
3.4.1.Indcios de ineficcia dos controles de sistema....................................
3.4.2.Parecer sobre a eficcia dos controles de sistema...............................
3.5. Determinao do risco de confiabilidade dos dados......................................
3.6. Teste de dados...............................................................................................
3.6.1.Auditoria sem o auxlio do computador.................................................
3.6.2.Confrontao dos dados de entrada e sada do computador com
fontes independentes............................................................................
3.6.3.Duplicao manual dos processos executados pelo computador.........
3.6.4.Verificaes ditadas pelo senso comum...............................................
3.6.5.Observaes sobre o uso da auditoria sem o auxlio do computador..
3.6.6.Auditoria com o auxlio do computador.................................................
3.7. Divulgao da fonte dos dados e da confiabilidade atribuda aos mesmos..
3.7.1.Papis de trabalho................................................................................
3.7.2.Informaes que devem constar do relatrio........................................
3.7.3.Modelos a serem utilizados nos relatrios............................................
4. ROTEIRO PARA AVALIAO DOS CONTROLES DE SISTEMA..................................
4.1. Controles gerais.............................................................................................
18
18
19
20
20
21
22
22
24
24
25
25
25
26
26
27
27
27
28
29
29
7
4.1.1.Controles organizacionais....................................................................
4.1.2.Controles de projeto, desenvolvimento e modificao de
sistemas................................................................................................
4.1.3. Controles de segurana.......................................................................
4.2. Controles aplicativos......................................................................................
4.2.1. Controles da entrada de dados............................................................
4.2.2. Controles de processamento de dados................................................
4.2.3. Controles da sada de dados...............................................................
4.3. Avaliao extensiva dos controles de sistema...............................................
4.4. Avaliao moderada dos controles de sistema..............................................
4.5. Avaliao reduzida dos controles de sistema................................................
29
5. ESTUDO DE CASO.........................................................................................................
5.1. Situao hipottica.........................................................................................
5.2. Informaes bsicas sobre a rea auditada...................................................
5.3. Procedimentos de avaliao..........................................................................
5.4. Determinao do uso planejado para os dados.............................................
5.5. Levantamento dos elementos de conhecimento prvio sobre os dados e o
sistema............................................................................................................
5.6. Avaliao dos controles do sistema...............................................................
5.6.1. Avaliao extensiva..............................................................................
5.6.2. Avaliao moderada..............................................................................
5.7. Determinao da confiabilidade de dados.....................................................
5.8. Teste de dados...............................................................................................
5.8.1. Teste extensivo.....................................................................................
5.8.2. Teste reduzido......................................................................................
5.9. Concluso.......................................................................................................
35
35
35
35
35
30
31
31
31
32
32
33
34
34
36
36
37
37
37
37
37
39
39
PARTE 2 - AUDITORIA DE SISTEMAS DE INFORMAO

1. CONTROLES GERAIS .........................................................................................
41
1.1. Controles Organizacionais.................................................................................

1.1.1. Organizao do departamento de tecnologia da informao ....................
1.1.2. Segregao das funes............................................................................
1.1.3. Unidades organizacionais bem definidas...................................................
1.1.4. Atividades dos funcionrios controladas e polticas
claras de
seleo, treinamento e avaliao de desempenho........................................
1.1.5. Poltica de segregao de funes e controles de acesso.........................
1.1.6. Recursos computacionais gerenciados de forma eficiente e econmica ..
1.2. Programa Geral de Segurana......................................................................
1.2.1. Princpios da gesto da segurana.............................................................
1.2.2. Avaliao do risco.......................................................................................
1.2.3. Estrutura de segurana...............................................................................
43
43
43
44
45
46
47
48
48
48
49
8
1.2.4. Avaliao peridica do risco........................................................................

1.2.5.
Documentao
do
programa
de
segurana.................................................
1.2.6. Estrutura de gerncia de Segurana com atribuio clara de
responsabilidade............................................................................................
1.2.7. Polticas de segurana eficazes..................................................................
1.2.8. Superviso da eficcia do programa de segurana ...................................
1.3. Continuidade do Servio ...............................................................................
1.3.1. Avaliao da vulnerabilidade das operaes computadorizadas e
identificao dos recursos que os apoiam..................................................
1.3.2. Adoo de medidas para prevenir e minimizar danos e interrupes
potenciais....................................................................................................
1.3.2.1.
Procedimentos
de
cpia
de
Segurana
(backup)..............................
1.3.2.2. Controles de ambiente......................................................................
1.3.2.3. Treinamento do pessoal para responder a emergncias.................
1.3.2.4. Medidas de preveno de interrupes inesperadas.......................
1.3.3. Desenvolvimento e documentao de um plano geral de
contingncia................................................................................................
1.3.3.1. Documentao do plano de contingncia.........................................
1.3.3.2. Alternativas de processamento de dados e telecomunicao ........
1.3.3.3. Teste peridico do plano de contingncia e realizao dos ajustes
apropriados .....................................................................................
1.4. Controles de Acesso...........................................................................................
1.4.1. Classificao dos recursos de informao de acordo com sua
importncia e vulnerabilidade ....................................................................
1.4.2. Manuteno de lista atualizada de usurios autorizados e seu nvel de
acesso........................................................................................................
.
1.4.3. Implantao de controles lgicos e fsicos para preveno ou deteco
de acesso no autorizado...........................................................................
1.4.3.1. Controles lgicos sobre arquivos de dados e programas de
software
1.4.3.2. Controles lgicos sobre a base de dados ........................................
1.4.3.3. Controles lgicos sobre acesso remoto............................................
1.4.4. Superviso do acesso, investigao de indcios de violao de
segurana e adoo das medidas corretivas ............................................
1.5. Controles de Software de Sistema...............................................................
1.5.1. Acesso limitado ao software de sistema.....................................................
1.5.1.1. Caminhos de acesso.........................................................................
1.5.2. Acesso e uso supervisionado do software de sistema ..............................
1.5.3. Controle das alteraes do software de sistema........................................
1.5.3.1. Instalao do software de sistema....................................................
50
50
1.6. Controles de Desenvolvimento e Alterao de softwares aplicativos................

1.6.1. Caractersticas de processamento e modificaes no programa so
devidamente autorizadas............................................................................
65
50
51
51
52
53
53
53
53
53
54
54
54
55
55
55
57
57
58
60
60
60
61
62
63
63
63
64
64
65
9
1.6.2. Todos os softwares novos ou revisados so testados e aprovados...........

1.6.2.1. Alteraes de emergncia................................................................
1.6.3. Bibliotecas de controle do software............................................................
1.6.3.1. Identificao e inventrio de programas...........................................
1.6.3.2. Restries de aceso biblioteca......................................................
1.6.3.3. Controle do movimento de programas e dados entre bibliotecas ....
66
67
67
67
67
67
2. CONTROLES DE APLICATIVOS..........................................................................
2.1. Controles da Entrada de Dados......................................................................
2.1.1. Documentos
ou
telas
de
entradas
de
dados ............................................
2.1.2. Rotinas de preparao dos dados (batch)................................................
2.1.3. Autorizao para entrada de dados..........................................................
2.1.4. Reteno de documentos de entrada (sistema batch).............................
2.1.5. Validao dos dados de entrada..............................................................
2.1.6. Tratamento de erros.................................................................................
2.1.7. Mecanismos de suporte para entrada de dados.......................................
2.2. Controles do Processamento de Dados....................................................
2.2.1. Integridade do processamento.................................................................
2.2.2. Validao do processamento....................................................................
2.2.3. Tratamento de erros do processamento...................................................
2.3. Controles da Sada de Dados.........................................................................
2.3.1. Reviso dos dados de sada.......................................................................
2.3.2. Distribuio dos dados de sada.................................................................
2.3.3. Segurana dos dados de sada...................................................................
68
68
68
3. DESENVOLVIMENTO DE SISTEMAS..................................................................
3.1. Fase 1: Planejamento.....................................................................................
3.2. Fase 2: Elaborao do plano de desenvolvimento e incio do projeto...........
3.3. Fase 3: Organizao do projeto.....................................................................
3.4. Fase 4: Elaborao do projeto do sistema.....................................................
3.5. Fase 5: Reviso e aprovao pelos dirigentes..............................................
3.6. Fase 6: Desenvolvimento e Implantao........................................................
3.6.1. Teste do sistema..................................................................................
3.6.2. Implementao.....................................................................................
3.6.3. Bibliotecas de controles.......................................................................
3.7. Fase 7: Reviso de ps-implementao........................................................
75
75
76
77
77
78
78
79
79
80
80
4. BANCO DE DADOS ..............................................................................................

4.1. Dicionrio de dados .......................................................................................
4.2. Armazenamento de dados ............................................................................
4.3. Acesso ao banco de dados ...........................................................................
4.4. Bancos de dados distribudos .......................................................................
4.5. Administrao de banco de dados ................................................................
4.6. Administrao de dados ................................................................................
4.7. Avaliao de Banco de Dados.......................................................................
4.7.1. Controles de Administrao de dados.................................................
4.7.2. Controles de Administrao de banco de dados .................................
81
81
82
82
82
83
84
84
84
85
69
69
70
70
71
72
72
72
73
73
73
73
73
74
10
4.7.3. Controles de acesso ao banco de dados e dicionrio de dados .........

4.7.4. Controles sobre o contedo e alteraes no dicionrio de dados .......
4.7.5. Disponibilidade e recuperao do banco de dados..............................
4.7.6. Integridade do banco de dados ............................................................
85
85
86
86
5. REDES DE COMPUTADORES ............................................................................

5.1. Avaliao das Redes de Comunicao de Computadores ...........................
5.1.1. Gerncia de rede..................................................................................
5.1.2. Segurana dos dados ..........................................................................
5.1.2.1. Integridade dos dados................................................................
5.1.3. Segurana da rede................................................................................
5.1.3.1. Controle de acesso......................................................................
5.1.3.2. Segurana de comunicao na rede...........................................
5.1.4. Segurana fsica ..................................................................................
5.1.5. Plano de contingncia...........................................................................
5.1.6. Operao da rede.................................................................................
5.1.6.1. Falhas e interrupes de servio................................................
5.1.7. Software de rede...................................................................................
5.1.7.1. Controle de alteraes................................................................
87
88
88
89
90
90
90
91
91
91
92
92
92
93
6. MICROCOMPUTADORES ....................................................................................
6.1. Controles do software em uso........................................................................
6.2. Controles de segurana.................................................................................
6.3. Controles sobre a operao...........................................................................
94
95
95
96
GLOSSRIO.............................................................................................................
97
BIBLIOGRAFIA..........................................................................................................
102
RELAO DOS DOCUMENTOS ELABORADOS NA REA DE FISCALIZAO E

CONTROLE EXTERNO.........................................................................................
104
FOLHA DE SUGESTES..........................................................................................
105
11
LISTA DE QUADROS
PARTE 1 TECNOLOGIA DA INFORMAO E ATIVIDADE DE FISCALIZAO
- AVALIAO DA CONFIABILIDADE DE DADOS PROCESSADOS POR COMPUTADOR
Pgina
1 - Determinao da necessidade ou no de avaliao da confiabilidade dos dados,

quando outras evidncias comprobatrias esto disponveis
19
2 - Determinao da extenso da avaliao dos controles do sistema
21
3 - Determinao do risco de confiabilidade dos dados, a partir do conhecimento

prvio sobre o sistema e o uso planejado para os dados
23
4 - Determinao dos risco de confiabilidade ajustado dos dados
23
5 - Determinao da extenso do teste de dados
24
PARTE 2 AUDITORIA DE SISTEMAS DE INFORMAO

6 - Exemplo de estrutura organizacional para o Departamento de Tecnologia da
Informao
44
12
LISTA DE SIGLAS
CIPFA...........................................The Chartered Institute of Public Finance and Accountancy

EFS..............................................Entidade Fiscalizadora Superior
GAO.............................................United States General Accounting Office
ICAS.............................................The Institute of Chartered Accountants of Scotland
INTOSAI.......................................International Organization of Supreme Audit Institutions
NAO.............................................National Audit Office
TCU..............................................Tribunal de Contas da Unio
13
INTRODUO
Grande parte dos rgos e entidades sob a jurisdio do TCU j utiliza

maciamente a tecnologia da informao para automatizar sua operao e registrar,
processar, manter e apresentar informaes. Por isso, cada vez mais as equipes de
auditoria tero que usar como evidncia dados provenientes de sistemas informatizados.
No se deve partir do princpio de que dados extrados de computadores so
confiveis. Embora ofeream vantagens para as organizaes, os sistemas informatizados
podem tambm representar grandes riscos. possvel que erros e fraudes no sejam
detectados por causa da enorme quantidade de dados controlados pelos sistemas, da
possvel discrepncia entre o que est armazenado e o que efetivamente apresentado em
relatrios de sada, e da mnima necessidade de interveno humana nos processos.
Este Manual foi elaborado com o intuito de orientar os Analistas do Tribunal em
suas atividades de fiscalizao, devendo ser utilizado em auditorias em geral, como parte
das tarefas de planejamento e execuo, em complemento s normas e procedimentos de
auditoria adotados pelo TCU.
A primeira parte deste Manual, aplicvel a qualquer auditoria, possibilita avaliar
se os dados processados por computador, que serviro de evidncia para os achados de
auditoria, so confiveis, ou seja, completos e exatos. A segunda parte voltada
especificamente para as auditorias de sistemas, onde os sistemas computacionais sero
analisados detalhadamente.
Seguindo as instrues da primeira parte deste Manual, os usurios estaro
capacitados a constatar, com segurana, se as informaes que iro fundamentar o relatrio
so ntegras e se possuem um grau de preciso adequado ao alcance dos objetivos de
auditoria.
Para o bom aproveitamento das informaes apresentadas, recomendvel que
os usurios j possuam conhecimentos elementares de informtica, abrangendo hardware
dos computadores, softwares aplicativos, redes de comunicao e outras noes
apresentadas em cursos introdutrios ao Processamento Eletrnico de Dados.
14

PARTE 1 - TECNOLOGIA DA INFORMAO E
ATIVIDADE DE FISCALIZAO
AVALIAO DA CONFIABILIDADE DE DADOS

PROCESSADOS POR COMPUTADOR
1.
REQUISITOS PARA A UTILIZAO DE EVIDNCIA PROVENIENTE DE

DADOS PROCESSADOS POR COMPUTADORES
Ao utilizar dados fornecidos por computador para fundamentar achados de

auditoria, a equipe precisa levar em considerao as seguintes questes :
Qual a importncia desses dados para o alcance dos objetivos da auditoria?

Os dados podem ser considerados completos e exatos? O que se sabe sobre
o sistema que os processou?
Quando os dados processados por computador so utilizados pela equipe de

auditoria ou includos no relatrio apenas com o propsito de fornecer um histrico ou
relatar fatos no significativos para os resultados do trabalho, a citao da fonte dos dados
no relatrio normalmente ser suficiente para estabelecer a confiabilidade das informaes
apresentadas. Se esses dados servirem como o principal instrumento para se atingir os
objetivos de auditoria, a equipe deve atestar sua confiabilidade, mediante a prtica de
procedimentos de avaliao tanto dos dados quanto do sistema que os processou. Os
dados somente podero ser considerados confiveis se forem completos (sem omisses ou
incluses indevidas capazes de distorcer as anlises) e exatos (sem incorrees
significativas nos valores atribudos). Eles no precisam estar 100% corretos, mas tm que
representar "adequadamente" o universo auditado. Na prtica, pode ser que a equipe de
auditoria tenha que estimar, com a ajuda de mtodos estatsticos, o valor provvel do erro
mximo dos dados, ou "limite superior do erro", e compar-lo com o nvel de materialidade,
a ser estabelecido levando-se em conta o uso previsto para os dados.
A determinao da confiabilidade dos dados necessria independentemente de
serem eles fornecidos pela organizao auditada ou extrados dos sistemas pela prpria
equipe de auditoria.
A anlise da confiabilidade dos dados processados por computador deve ser
iniciada ainda na fase de planejamento da auditoria, sempre que os estudos preparatrios
permitam identificar e investigar as fontes dos dados que iro servir para se alcanar os
objetivos de auditoria.
Se os dados a serem utilizados no forem suficientemente confiveis para
atender aos objetivos da auditoria, eles no servem de evidncia primria, e a equipe ter
que planejar um procedimento alternativo. As seguintes opes devem ser consideradas e
discutidas com os superiores:
obter os dados de outras fontes, cuja confiabilidade possa ser confirmada;

coletar dados primrios para atender aos objetivos, em vez de utilizar fontes
secundrias (esse procedimento somente pode ser adotado se for possvel
completar o trabalho no tempo previsto para a auditoria);
redefinir os objetivos da auditoria, para eliminar a necessidade de utilizar
dados no confiveis;
utilizar os dados, explicando sua limitao e abstendo-se de extrair concluses
ou recomendaes;
interromper a tarefa se nenhuma outra alternativa for possvel.
16
MTODOS DE AVALIAO DE DADOS PROCESSADOS POR COMPUTADOR

2.
A eficcia da utilizao dos procedimentos aqui recomendados depender da
capacidade da equipe de auditoria em julgar a qualidade dos controles do sistema e a
extenso e forma do teste dos dados. Erros nesse julgamento podem trazer conseqncias
indesejveis: um aprofundamento excessivo da investigao desperdia recursos valiosos,
enquanto um esforo insuficiente pe em risco a confiabilidade do trabalho. Em algumas
circunstncias, a equipe poder concluir ser necessria a presena de um especialista na
rea de auditoria de sistemas informatizados para auxili-la no trabalho. Para que esse
auxlio possa ser providenciado, o coordenador da equipe dever informar o fato ao
responsvel pela superviso do trabalho.
Existem basicamente dois mtodos para a avaliao da confiabilidade de dados
extrados de computadores:
Avaliao do sistema: testa e avalia com profundidade todos os controles num
sistema informatizado, abrangendo suas aplicaes e produtos. Os
procedimentos utilizados so: (1) exame dos controles gerais e de aplicativos do
sistema; (2) teste da observncia dos controles; e (3) teste dos dados produzidos
pelo sistema. Apesar de oferecer uma melhor compreenso da finalidade e da
forma de operao do sistema, este tipo de avaliao tende a consumir muito
tempo e exige a participao de um especialista na rea de Auditoria de Sistemas
Informatizados.
Avaliao limitada: direcionada para dados especficos. Por essa razo, ela
normalmente requer uma avaliao menos profunda dos controles gerais e de
aplicativos, podendo ser realizada por equipes compostas, somente, por tcnicos
generalistas. Os controles pertinentes so examinados na extenso necessria
para julgar o grau de abrangncia dos testes a serem feitos nos dados visando a
determinar sua confiabilidade.
H casos em que opo pela avaliao do sistema ser mais vantajosa. Por
exemplo: quando uma unidade tcnica utiliza repetidamente dados do mesmo sistema
informatizado em suas atividades de fiscalizao. Nessas circunstncias, uma avaliao
extensiva, periodicamente atualizada, pode revelar-se menos onerosa, a longo prazo, que
sucessivas avaliaes limitadas dos dados. Para execuo de uma avaliao extensiva
deve-se utilizar os captulos 1 e 2 da Parte 2 deste Manual. Na maioria das auditorias,
entretanto, o segundo mtodo de avaliao adequado e suficiente, podendo ser aplicado
atravs das tcnicas e procedimentos constantes dos itens 3 e 4 seguintes.
17
3.
TCNICAS E PROCEDIMENTOS
CONFIABILIDADE DOS DADOS
DE
AVALIAO
LIMITADA
DA
Para se determinar a confiabilidade de dados processados por computador, pelo

mtodo de avaliao limitada, so utilizados os seguintes passos:
1) Determinao do uso dos dados - decidir quais os dados processados por
computador iro ser utilizados para se alcanar dos objetivos de auditoria,
assim como de que maneira esses dados sero utilizados, identificando
aqueles que: (a) provavelmente iro servir como nica evidncia para um
achado; (b) podero ser confirmados por outras fontes independentes; (c)
serviro apenas como referncia para os trabalhos, no influindo nos
resultados da auditoria;
2) Definio dos dados que devero ter sua confiabilidade avaliada;
3) Levantamento do conhecimento prvio sobre o sistema e/ou os dados;
4) Avaliao dos controles do sistema de processamento dos dados restrita aos controles relevantes do sistema, que podem reduzir o risco de erro
para um nvel aceitvel;
5) Determinao do risco de confiabilidade dos dados e da extenso do
teste de dados;
6) Teste de dados - execuo de procedimentos para avaliar a integridade e
autenticidade dos dados e a exatido do seu processamento por computador;
7) Divulgao da fonte dos dados e da confiabilidade atribuda aos
mesmos.
Sempre que possvel, as atividades relacionadas aos passos 1 a 3 devem ser
executadas durante a etapa de planejamento da auditoria. Entretanto, em muitos casos no
ser possvel obter ainda nessa fase as informaes necessrias. Nessas situaes ou
quando durante os trabalhos surgirem novas evidncias ou achados que exijam o uso de
outros dados processados por computador, todas as etapas podero ser cumpridas no
perodo de execuo da auditoria.
A seguir, so apresentados as tcnicas e procedimentos associados a cada etapa
da avaliao da confiabilidade dos dados.
3.1.
Determinao do uso dos dados
Quando uma auditoria requer o uso de dados processados por computador, o

primeiro passo decidir como eles sero utilizados para se alcanar os objetivos de
auditoria. Normalmente, os dados so utilizados como:
nica evidncia para fundamentar um achado;

evidncia auxiliar, ou de ratificao; ou
informao geral (histrico, descries etc.).
18
TCNICAS E PROCEDIMENTOS DE AVALIAO LIMITADA DA CONFIABILIDADE DOS DADOS
Inicialmente, deve-se identificar os dados e sistemas a serem utilizados. Em

seguida, cada grupo de dados deve ser classificado de acordo com sua utilidade (nica
evidncia, comprovao auxiliar ou dado de informao geral).
3.2. Definio dos dados que devero ter sua confiabilidade avaliada
A partir da definio do uso a ser dado s informaes provenientes de sistemas
informatizados, pode-se determinar quais os grupos de dados que precisaro ter sua
confiabilidade avaliada, antes de poderem ser utilizados como evidncia no relatrio de
auditoria. Com base na classificao definida no passo anterior, tem-se uma das seguintes
situaes:
Dados classificados como nica evidncia - quando os dados processados
por computador so o nico suporte para um objetivo de auditoria, o grau de
confiabilidade exigido deles alto, devendo a equipe de auditoria proceder a um
rigoroso teste de avaliao dos dados e do sistema.
Dados classificados como evidncia auxiliar - quando os dados processados
por computador podem ser ratificados por outras comprovaes de auditoria, o
grau de confiabilidade exigido vai depender do quanto as outras evidncias
seriam suficientes para, vistas isoladamente, respaldar as concluses.
Dados classificados como de informao geral - menor risco de se usar
dados informatizados ocorre quando esses tm uma funo apenas informativa,
no contribuindo para os resultados da auditoria. Nesse caso, a citao da fonte
dos dados e a garantia de que estes so os melhores disponveis satisfaro os
padres de confiabilidade esperados do relatrio, a menos que haja razo para
se acreditar que uma falta de rigor nos dados pode distorcer os resultados do
trabalho.
O Quadro a seguir resume as implicaes dos trs usos possveis para os dados.
Quadro 1 - Determinao da necessidade ou no de avaliao da confiabilidade dos dados quando outras
evidncias comprobatrias esto disponveis.
TIPO DE USO
nica evidncia
Evidncia auxiliar
Informao geral
CARACTERSTICAS DAS OUTRAS EVIDNCIAS

Fonte primria de informao (ex.:
comprovao fsica da existncia de um
bem, documento bancrio que confirma
um valor declarado etc.)
EXIGNCIA
DE AVALIAO
DOS DADOS PROCESSADOS
POR COMPUTADOR
SIM
NO
Fontes auxiliares que por si ss no

podem ser consideradas suficientes (ex.:
entrevista com funcionrios da unidade)
Fontes primrias ou auxiliares
NO
Inexistentes
NO*
SIM
(*) A menos que haja razes para se acreditar que uma falta de rigor nos dados pode de alguma forma
distorcer os resultados do trabalho
3.3. Levantamento do conhecimento prvio sobre o sistema e/ou os dados
19
Nos casos em que se inferiu a necessidade de avaliao da confiabilidade dos

dados, a prxima etapa consiste no levantamento de todas as informaes disponveis
sobre o sistema e os dados.
Informaes favorveis sobre a confiabilidade do sistema ou dos dados podem
reduzir o risco de confiabilidade, e diminuir o trabalho de avaliao dos controles do
sistema e de teste de dados. Informaes desfavorveis levaro ao aumento do risco,
exigindo maior cuidado na avaliao dos controles e na realizao de testes de dados, os
quais devero ser suficientes para garantir que as informaes que iro servir de evidncia
sejam completas e exatas.
Os seguintes exemplos ilustram como a equipe pode saber mais sobre os dados
ou o sistema que os processou:
Os mesmos dados j foram utilizados em auditorias anteriores, aps ter sido
estabelecida sua confiabilidade. O risco de se utilizar os mesmos dados

novamente em outro relatrio seria baixo, mas seria necessrio averiguar se
os dados no foram modificados aps a ltima auditoria.
Os controles do sistema que processou os dados foram avaliados em uma
auditoria recente e considerados adequados. Aps certificar-se de que

nenhuma mudana significativa ocorreu no sistema desde aquela avaliao, a
equipe de auditoria pode reduzir a extenso do teste de dados que ir
determinar sua confiabilidade.
Uma auditoria de sistemas informatizados, executada recentemente, abrangeu
o sistema responsvel pelo processamento dos dados sob exame, ainda que
em outra aplicao. Os resultados dessa avaliao do sistema, aps
confirmada a ausncia de alteraes significativas em sua operao, podem
ser utilizados para definir a amplitude dos testes a serem realizados nos
dados.
3.4. Avaliao dos controles do sistema de processamento dos dados
Durante a fase de execuo da auditoria, e antes de se proceder ao teste de
dados (procedimento que, em ltima instncia, ir determinar a sua confiabilidade),
normalmente indicada a avaliao dos controles presentes no sistema de processamento
desses dados.
Segundo princpios geralmente aceitos de auditoria, quanto menor a
confiabilidade dos controles gerais ou de aplicativo (ou se esses no forem avaliados),
maior a extenso do teste necessrio para determinar a confiabilidade dos dados.
A abrangncia da avaliao dos controles depende do conhecimento prvio
sobre os dados e o sistema. O quadro 3 mostra como pode ser definida a extenso da
avaliao dos controles a partir das informaes obtidas:
20
Quadro 2 - Determinao da extenso da avaliao dos controles do sistema
AMPLITUDE
DA AVALIAO
DOS
CONTROLES
DO
SISTEMA
CONHECIMENTO
PRVIO SOBRE
O SISTEMA OU OS DADOS
USO PLANEJADO PARA OS DADOS
As
informaes
so
insuficientes ou avaliaes
anteriores detectaram erros
significativos nos controles
do sistema ou nos prprios
dados.
nica evidncia para possveis Extensiva

achados
Evidncia auxiliar
Moderada
*
Informaes gerais (histrico, Desnecessria
descrio etc.)
A confiabilidade do sistema nica evidncia para possveis Moderada

ou dos dados j foi avaliada achados
e considerada adequada em Evidncia auxiliar
Reduzida
trabalhos anteriores.
Informaes gerais (histrico, Desnecessria
descrio etc.)
(*) A menos que haja razes para se acreditar que uma falta de rigor nos dados pode de alguma forma
distorcer os resultados do trabalho. Nesse caso, a equipe deve decidir entre avaliar a existncia e eficcia dos
elementos-chave de controle, desistir do uso das informaes ou confirmar sua validade atravs de outras
fontes.
No item 4 deste mdulo, so apresentados os procedimentos para a avaliao

dos controles dos sistemas, nos trs nveis indicados (extensivo, moderado e reduzido).
A seguir, apresentam-se os indcios que podem caracterizar a inadequao dos
controles de sistema, e um mtodo para a classificao desses controles, de acordo com o
grau de eficcia a eles atribudo.
3.4.1. Indcios de ineficcia dos controles de sistema
Ainda que bem planejados e projetados, se aplicados de forma inconsistente ou
incorreta, os controles de sistema sero ineficazes. H muitas razes para que os controles
sejam desconsiderados ou ignorados pelo pessoal envolvido, tais como falta de tempo,
fadiga, tdio, falta de ateno, controles que oneram a operao do sistema e at mesmo
conluio para ganho pessoal. Por esse motivo, a equipe deve selecionar os procedimentos
de controle mais significativos e confirmar sua eficcia.
A documentao de um sistema bem controlado deve ser completa e atualizada.
A ausncia dessa documentao pode indicar que no existem controles, que eles no so
compreendidos ou so inadequadamente aplicados. Outros sinais que sugerem
vulnerabilidade de dados a erros podem ser:
sistemas antigos, que exigem muita manuteno;

grande volume de dados;
atividades de atualizao muito freqentes;
numerosos tipos de transao e de fontes de dados;
grande nmero de elementos de dados codificados (por exemplo, itens do
estoque representados por meio de cdigos numricos, em vez do nome do

bem, podem dificultar a identificao at mesmo de erros grosseiros);
21
alta rotatividade de pessoal (digitadores, operadores, programadores,

analistas) e treinamento inadequado ou em escala insuficiente;
estruturas de dados complexas ou desorganizadas;

falta de padres para o processamento de dados, especialmente quanto
segurana, acesso e controle de mudana de programas.
Entrevistas com funcionrios com grande conhecimento da organizao podem

auxiliar a equipe no entendimento dos controles do sistema. A evidncia testemunhal,
entretanto, sempre que possvel, deve ser corroborada atravs de observao direta e
outros testes, como prev o Manual de Auditoria do TCU.
3.4.2. Parecer sobre a eficcia dos controles do sistema
Aps avaliar os controles do sistema, a equipe dever dar um parecer sobre a
sua eficcia, isso , sua capacidade de prevenir erros e detectar e corrigir aqueles que
venham a ocorrer.
De acordo com os resultados da anlise efetuada, a equipe de auditoria ir
classific-los em:
Controles slidos - quando assumir-se que o sistema como um todo est
capacitado a prevenir, detectar e corrigir qualquer erro significativo nos dados;
Controles adequados - quando forem detectadas deficincias nos controles,
mas de modo geral esses demonstrarem ser suficientes para prevenir os erros
mais significativos, e acusar os que venham a ocorrer; ou
Controles fracos/indeterminados - quando identificar-se a ausncia ou
ineficcia dos controles de sistema, e, conseqentemente, oportunidades de
introduo de dados incorretos no sistema.
A opinio da equipe quanto ao grau de eficcia dos controles depender de
evidncia que seja ao mesmo tempo relevante e confivel. Assim como em outras atividades
de auditoria (conforme prev o Manual de Auditoria do TCU), pode ser necessrio definir
ndices de materialidade e outros critrios a serem observados como base de comparao,
julgamento e apreciao de desempenho.
3.5. Determinao do risco de confiabilidade dos dados
O risco de confiabilidade dos dados definido como sendo o "risco de que os
dados utilizados no sejam suficientemente confiveis para o fim a que se destinam", ou
seja, o risco de que esses no sejam exatos e completos o suficiente para servir de
fundamento para achados de auditoria.
A partir das informaes reunidas e do uso planejado para os dados, pode-se
identificar o risco de confiabilidade envolvido, a ser definido como alto, moderado ou baixo,
como mostra o quadro abaixo.
Quadro 3 - Determinao do risco de confiabilidade dos dados, a partir do conhecimento prvio sobre o
sistema e o uso planejado para os dados.
CONHECIMENTO
PRVIO SOBRE
USO
PLANEJADO
PARA
OS
RISCO DE CONFIABILIDADE
22
O SISTEMA OU OS DADOS
DADOS
As
informaes
so
insuficientes ou avaliaes
anteriores detectaram erros
significativos nos controles
do sistema ou nos prprios
dados.
nica
evidncia
possveis achados
A confiabilidade do sistema
ou dos dados j foi avaliada
e considerada adequada em
trabalhos anteriores.
nica
evidncia
para Moderado
possveis achados
Evidncia auxiliar
Baixo
Informaes gerais (histrico, Muito baixo
descrio etc.)
para Alto
Evidncia auxiliar
Moderado
Informaes gerais (histrico, Baixo
descrio etc.)
O risco de confiabilidade dos dados pode ser ajustado pelos resultados da

avaliao dos controles do sistema, como mostra o quadro a seguir.
Quadro 4 - Determinao do risco de confiabilidade ajustado dos dados
RISCO
DE
CONFIABILIDADE
INICIALMENTE CALCULADO
Alto
Moderado
Baixo
Muito baixo
AVALIAO DOS CONTROLES DO

SISTEMA
Fracos/Indeterminados
Adequados
Slidos
Adequados
Slidos
Adequados
Slidos
normalmente no necessria e de
alto custo-benefcio
AJUSTADO
Alto
Alto a moderado
Moderado a baixo
Moderado
Moderado a baixo
Baixo
Baixo
Baixo a muito baixo
Muito baixo
Muito baixo
Com a determinao do risco de confiabilidade ajustado, define-se a extenso do

teste de dados, como mostra o quadro 5.
23

Quadro 5 - Determinao da extenso do teste de dados.
ABRANGNCIA DO TESTE DE DADOS
Alto
Extensivo
Moderado
Moderado
Baixo
Reduzido
3.6. Teste de dados
Os princpios de auditoria exigem que qualquer evidncia (independentemente de

sua fonte ou formato) seja confivel, relevante e suficiente. O teste dos dados tem o objetivo
de estabelecer a consistncia deles em relao ao uso planejado.
Algum teste de dados sempre ser necessrio quando se pretende avaliar a
confiabilidade de informaes processadas por computador. Mesmo quando os controles do
sistema so bem projetados e, de modo geral, eficazes, a exatido dos dados no
garantida. Ainda que a equipe possa fiar-se em bons controles para reduzir a amplitude do
teste dos dados, como demonstra o quadro 5, a avaliao dos controles do sistema no
pode substitu-lo.
Embora seja improvvel que qualquer sistema de computador contenha dados
completamente livres de erro, o conceito de confiabilidade no exige dados perfeitos. Ele
pressupe, no entanto, a execuo de procedimentos para avaliar a integridade e
autenticidade dos dados e a exatido do seu processamento por computador, abrangendo:
Testes da integridade dos dados: determinam se o universo contm todos os
elementos de dados e registros relevantes para o objetivo de auditoria, no
perodo abrangido. A omisso de dados particularmente danosa se ela
representar um segmento especfico da populao total (exemplo, todos os
pagamentos efetuados a um mesmo fornecedor).
Testes de autenticidade dos dados: verificam se os dados computadorizados
refletem com exatido sua fonte (os registros de entrada de dados devem
reproduzir fielmente os documentos-fonte).
Testes de exatido do processamento: informam se todos os registros
relevantes foram processados de forma completa, e se todos os processamentos
atenderam aos objetivos pr-estabelecidos.
Existem duas maneiras de se testar dados processados por computador. Elas so
diferenciadas pela participao ou no do sistema computadorizado no processo. O mtodo
apropriado, ou a combinao de mtodos, vai depender da natureza do sistema envolvido.
3.6.1. Auditoria sem o auxlio do computador
A auditoria sem o auxlio do computador parte do princpio de que as tcnicas e
procedimentos que o computador utiliza para processar dados no precisam ser
considerados, desde que exista uma trilha de auditoria visvel e/ou o resultado do processo
possa ser manualmente verificado. Existem trs formas de se realizar esse tipo de auditoria:
confrontao dos dados de entrada e sada do computador com fontes independentes,
duplicao manual dos processos executados pelo computador e verificaes ditadas pelo
senso comum, as quais sero descritas a seguir.
24
3.6.2. Confrontao dos dados de entrada e sada do computador com

fontes independentes
Este procedimento confronta os dados mantidos pelo computador com os dados
provenientes de outras fontes (tais como relatrios de inspeo, arquivos, registros
documentais), ou compara dados com contagens fsicas ou inspees que confirmem
quantidades, tipos e condies de bens tangveis. Relatrios de programas do governo e
outros documentos produzidos por terceiros (tais como universidades, auditorias
independentes e organizaes privadas) tambm podem fornecer uma base de dados til
para comparao.
Outras fontes independentes das quais pode-se obter confirmao incluem:
bancos (extratos bancrios, etc.);

almoxarifado (bens armazenados, volume de sada, etc.);
instituies de treinamento (nmero de estudantes ou valor dos contratos).
3.6.3. Duplicao manual dos processos executados pelo computador
Outro meio de se evitar o uso do computador ao confirmar a confiabilidade dos
dados selecionar transaes, duplicar manualmente os processos do computador e
comparar os resultados com a sada de dados. Esse procedimento poderia ser usado, por
exemplo, em uma auditoria na rea de licitaes e contratos, em que os dados relativos aos
contratos auditados fossem processados por um sistema informatizado. Nesse caso, a
equipe poderia utilizar uma frmula matemtica para o clculo do reajuste dos preos
contratuais, a ser aplicada a uma amostra de contratos, para a posterior confrontao com
os valores calculados pelo sistema auditado.
3.6.4. Verificaes ditadas pelo senso comum
possvel, tambm, revelar problemas potenciais de confiabilidade, por meio de
verificaes ditadas pelo senso comum. As questes a seguir so exemplos de testes que
podem ser executados, especialmente nos casos em que for concludo que um teste
reduzido de dados j suficiente para atender aos objetivos do trabalho (quando testes
extensivos ou moderados forem necessrios, essas verificaes devem ser completadas
com outros testes mais abrangentes):
os valores so pequenos demais (o custo mensal de manuteno dos veculos
da entidade igual a R$ 0,01) ou muito altos (uma bolsa de estudante no valor
de R$ 200.000,00).
os campos de dados no esto todos preenchidos (as datas de pagamento
mensal de um contrato esto em branco).
os resultados so invlidos (o valor do inventrio um nmero negativo).
3.6.5. Observaes sobre o uso da auditoria sem o auxlio do computador
25
Apesar de os testes mencionados indicarem a preciso dos dados mantidos pelo

computador, muito difcil identificar todas as situaes que ameacem a integridade e a
autenticidade dos dados, assim como a exatido do processamento. Quando a
autenticidade dos dados do computador estiver sob suspeita (ou seja, quando existir a
possibilidade da presena de dados fictcios), deve ser considerada a hiptese de
complementao dos testes atravs do rastreamento de uma amostra de dados da sada do
computador at os seus documentos-fonte. Se a dvida for quanto integridade dos dados
(isto , quando houver suspeita de que os dados no esto completos), uma amostra vlida
de documentos-fonte pode ser acompanhada at se chegar aos dados de sada do sistema,
para confirmar se todos os documentos de origem foram devidamente inseridos.
A utilidade de se auditar sem o auxlio do computador diminui medida que
aumenta o nmero e a complexidade das decises por ele tomadas, podendo tornar-se
invivel quando o processamento dos dados abranger muitos elementos e operaes que
dificultem a anlise manual dessas informaes.
3.6.6. Auditoria com o auxlio do computador
Auditar com o auxlio do computador, no contexto deste manual, significa utilizar
testes programados em computador para auxiliar a medio da confiabilidade dos dados.
Aps a determinao da integridade e exatido dos documentos-fonte, utilizamse testes programados por computador (que podem ser desenvolvidos pela prpria equipe
de auditoria) para examinar a legitimidade dos dados e identificar defeitos que poderiam
torn-los no confiveis.
Uma vantagem de se auditar com o auxlio do computador que esse mtodo
pode ser usado independentemente da complexidade do sistema ou do nmero de decises
que o computador tem que tomar durante o processo. Tal procedimento proporciona, alm
de rapidez e exatido, uma amplitude muito maior de teste do que seria possvel com outros
mtodos.
Para se desenvolver um teste de dados programado em computador,
necessrio identificar quais os elementos de dados que afetam os objetivos de auditoria.
Todos os dados significativos para os resultados da auditoria devem ser testados.
Quando um elemento de dado significativo para a auditoria derivado (isto ,
calculado pelo computador baseado em outros elementos de dados), a equipe deve tambm
testar os elementos de dados de origem. Por exemplo, o elemento salrio lquido pode ser
empregado como evidncia para atingir um objetivo de auditoria. Se o dicionrio de dados
do sistema indicar que um programa de computador usa trs outros elementos de dados
(salrio por hora de trabalho, horas trabalhadas e dedues) para calcular esse valor, erros
em quaisquer desses elementos acarretariam erros no valor do pagamento. Dessa forma, a
equipe deve determinar a exatido de cada um desses elementos.
Alguns sistemas possuem ambiente de processamento de dados de teste, com
funes idnticas s do ambiente de operao normal. Esse ambiente comumente
utilizado para testes de sistemas e aplicativos antes de sua aprovao pelos usurios, e
pode ser aproveitado pela equipe de auditoria para o processamento e anlise de dados de
teste.
3.7. Divulgao da fonte dos dados e da confiabilidade atribuda aos
mesmos
26
Concludo o processo de avaliao da confiabilidade dos dados, necessrio

documentar os resultados obtidos, mediante o preenchimento de papis de trabalho e a
incluso de um parecer no relatrio de auditoria.
3.7.1. Papis de trabalho
Os papis de trabalho devem ser documentados de forma a deixarem claro:
os objetivos de auditoria que sero fundamentados por dados processados por
computador;
o grau de importncia desses dados para os objetivos de auditoria, e as fontes
adicionais que podem confirm-los;
as informaes coletadas sobre os dados, o sistema que os processa e seus
controles.
3.7.2. Informaes que devem constar do relatrio
Quando os dados processados por computador so usados apenas para
elaborao de histrico, descrio, ou informao geral sobre o rgo, e no tm influncia
sobre os resultados de auditoria, geralmente ser suficiente a citao da fonte dos dados no
relatrio. Para os dados processados por computador que sejam cruciais para os objetivos de
auditoria, o relatrio deve assegurar aos leitores que a informao em que se baseia
confivel. Especificamente, devem ser informados:
a abrangncia da avaliao dos controles, quando a confiana atribuda aos
controles do sistema utilizada para reduzir o teste de dados;

os tipos de teste de dados executados, seu propsito, e as taxas de erro
encontradas nas trs reas de operao (entrada, processamento e sada de
dados);
qualquer fator conhecido que limite a confiabilidade dos dados, e o tipo de
influncia que essa limitao teria sobre os resultados e concluses
apresentados
Se uma amostragem foi usada para determinar a confiabilidade dos dados, o
relatrio dever incluir o objetivo de sua utilizao, os tamanhos do universo e da amostra,
a base para o dimensionamento da amostra, o tipo de amostra (randmica, sistemtica etc.)
e os erros porventura detectados.
No caso de a confiabilidade dos dados no ter sido determinada no nvel
desejado, o relatrio dever incluir uma declarao clara dessa situao. A equipe dever
considerar a convenincia de se apresentar concluso ou proposta de determinao
baseada nesses dados.
3.7.3. Modelos a serem utilizados nos relatrios
A seguir, apresentam-se exemplos que ilustram as formas como podem ser
apresentados os resultados da avaliao da confiabilidade dos dados em relatrios:
Dados confiveis so utilizados:
Para alcanar o objetivo de auditoria, nos baseamos em dados processados
pelo sistema (citar a base de dados utilizada). Avaliamos a confiabilidade desses
27
dados atravs dos controles gerais e de aplicao relevantes, e os consideramos

adequados. Tambm conduzimos testes suficientes nos dados. Baseados nesses
testes e avaliaes, conclumos que os dados so suficientemente confiveis
para serem utilizados como evidncia para fundamentar as concluses e
proposies apresentadas."
Dados no confiveis no so utilizados:
pelo sistema (citar a base de dados utilizada). A avaliao dos controles dos
sistema e o resultado dos testes de dados demonstram uma taxa de erro que
coloca em dvida a validade dos dados. Uma vez que o objetivo de auditoria
depende de informaes baseadas nesses dados, e fatos e provas suficientes
para servir de evidncia independente no esto disponveis, no nos foi
possvel prover projees, concluses ou propostas de determinao
especficas.
A confiabilidade no foi estabelecida:
pelo sistema (citar a base de dados utilizada). No estabelecemos a
confiabilidade desses dados porque (citar as razes). Desta forma, estamos
impossibilitados de prover projees, concluses ou determinaes sobre esses
dados. Com exceo do acima informado, o trabalho foi conduzido de acordo
com os padres previstos nas normas e procedimentos de auditoria adotados por
este Tribunal.
28
4.
ROTEIRO PARA AVALIAO DOS CONTROLES DE SISTEMA
Neste item so apresentados os conceitos bsicos sobre controles de sistemas

informatizados, os elementos que determinam a eficcia desses controles, e os roteiros
para as avaliaes (1) extensiva, (2) moderada e (3) reduzida. As verificaes sugeridas
no so obrigatrias, devendo a equipe de auditoria decidir sobre os itens adequados a
cada situao concreta. O tempo e esforo gastos com a avaliao dos controles do
sistema devem ser proporcionais sua possvel influncia na reduo do teste de dados : o
custo de avaliao dos controles no pode ultrapassar o benefcio da diminuio de
trabalho na fase de teste de dados.
Se for concludo que os controles do sistema so insuficientes para limitar o teste
de dados ou que continuar a avaliao dos controles ser mais custoso que efetuar um
teste extensivo de dados, a fase de avaliao dos controles do sistema deve ser
interrompida. Nesses casos, a equipe deve passar para a etapa de teste extensivo de
dados, como se os controles do sistema fossem fracos ou inexistentes.
Os controles dos sistemas informatizados so classificados em dois grupos
principais: controles gerais, que se aplicam a todos os processamentos executados em um
ambiente informatizado, visando garantir que o ambiente computacional como um todo seja
seguro e confivel; e controles de aplicao ou de aplicativos, incorporados diretamente em
aplicaes individuais, com o objetivo de garantir um processamento confivel e exato.
apresentado, a seguir, um roteiro com os aspectos mais importantes desses
controles, quando o propsito da avaliao permitir uma reduo no volume de testes de
dados.
4.1 . Controles Gerais
So controles que se aplicam a todos os processamentos executados em um
ambiente informatizado, visando a garantir que o ambiente computacional como um todo
seja eficiente, eficaz, seguro e confivel. Esto relacionados organizao, projeto,
desenvolvimento, modificao e segurana dos sistemas
4.1.1. Controles Organizacionais:
Objetivo - garantir a organizao das responsabilidades do pessoal envolvido
nas funes de processamento de dados e os padres estabelecidos para o seu
funcionamento eficiente.
Procedimentos de controle - verificar a existncia dos seguintes elementos de
controle:
Participao ativa da alta administrao e dos gestores do sistema nas

decises que afetam o processamento de dados.
Avaliaes rotineiras das funes de processamento de dados pela auditoria

interna ou externa.
29
Evidncia de aes efetivas de acompanhamento em relao s

recomendaes de auditoria.
Adequada segregao de funes dentro da operao do processamento de

dados. As seguintes funes devem ser preferivelmente executadas por
diferentes indivduos ou grupos:
anlise de sistemas;
programao de aplicaes;
teste de aceitao;
controle de alterao de programa;
controle de dados;
manuteno de sistemas de software; e
manuteno de arquivos informatizados, e operao do equipamento de
informtica.
4.1.2. Controles de projeto, desenvolvimento e modificao de sistemas
Objetivo - assegurar que os sistemas atendam s necessidades dos usurios,
sejam desenvolvidos com economicidade, sejam totalmente documentados e testados e
incluam os controles internos apropriados.
controle:
Procedimentos formais para requisitar, aprovar, testar e implementar mudanas

no sistema.
Mtodo formal de abordagem para o desenvolvimento de sistemas.

Envolvimento dos usurios no desenvolvimento dos requisitos dos sistemas
Documentao atualizada sobre o sistema, incluindo:
documentos de requisitos funcionais;

requisitos de coleta de dados;
caractersticas de projeto dos sistemas e subsistemas;
manual do usurio;
manual de operao do sistema;
estratgia para teste do sistema automatizado, incluindo procedimentos de
teste e critrios de avaliao;
relatrios de anlise de teste, documentando os resultados e concluses
dos testes efetuados.
30
4.1.3. Controles de segurana

Objetivo - garantir que os computadores e os dados processados esto
adequadamente protegidos contra roubo, perda, acesso no autorizado e desastres
naturais.
controle:
Anlise de risco peridica;

Responsabilidades
pela
segurana
dos
computadores
formalmente
estabelecidas;
Acesso ao centro de processamento de dados controlado por algum

mecanismo fsico (porta trancada, crachs de segurana, etc.);
Permanncia de pelo menos duas pessoas na sala de computao durante

todo o expediente;
Responsabilidade pelo armazenamento de dados magnticos claramente

documentada;
Plano de recuperao de desastres, periodicamente testado;

Senhas individuais de acesso aos sistemas, alteradas periodicamente e no
sujeitas a divulgao pelos usurios; e
Software de controle do acesso aos computadores, encarregado de identificar
os usurios e verificar a permisso de uso das pessoas que tentam ganhar
acesso.
4.2. Controles de aplicativos
Objetivo - garantir que o processamento seja confivel e exato, a partir de
controles incorporados diretamente em programas aplicativos, nas trs reas de operao
(entrada, processamento e sada de dados).
controle:
4.2.1. Controle da entrada de dados
So projetados para garantir que os dados sejam convertidos para um formato
padro e inseridos na aplicao de forma precisa, completa e tempestiva. Controles a
serem verificados:
Procedimentos documentados para a insero de dados na aplicao;

Procedimentos de autorizao fsica ou eletrnica para os registros de
entrada;
Medidas de segurana para limitar o acesso aos terminais de entrada e validar

a inscrio de usurios;
Validao de todos os campos de dados, antes de sua entrada no sistema;

31
Rejeio e armazenagem automtica de dados que no atendam aos

requisitos de entrada em um arquivo de dados de processamento interrompido;
Procedimentos documentados para o tratamento de erros (identificao,

correo e reprocessamento de dados rejeitados pela aplicao);
Anlise peridica do arquivo de processamento interrompido para examinar a

taxa de erro de entrada de dados e a situao dos registros no corrigidos;
Medidas corretivas para reduo de taxas de erro excessivas;

Controle da integridade dos dados de entrada, por meio da confrontao entre
total de registros inseridos (registros rejeitados + registros aceitos) e o total de

documentos de origem.
4.2.2. Controles do processamento de dados

So utilizados para garantir que os dados sejam manipulados pelo computador
de uma forma precisa, completa e tempestiva. Devem ser verificados:
Procedimentos documentados sobre os mtodos de processamento utilizados
(ex.: frmulas usadas para o clculo de juros, tabelas consultadas para o

clculo do vencimento bsico etc.);
Registro histrico que armazene eventos registrados pelo computador e seus

operadores, durante o processamento de aplicaes;
Proteo contra o acesso e alterao de programas aplicativos atravs de

terminais de operao;
Proteo dos sistemas on-line contra a atualizao simultnea de arquivos por

diferentes usurios;
Testes de integridade de arquivos para garantir que os arquivos do aplicativo

foram completamente processados.
4.2.3. Controles da sada de dados

Presentes para garantir a integridade e a correta e tempestiva distribuio dos
dados de sada. Devem ser verificados os seguintes pontos:
Procedimentos documentados para confirmao da validade dos produtos de

sada, e sua distribuio adequada;
Entrevista peridica dos usurios, para determinar se os dados produzidos

continuam sendo necessrios ou teis;
Produtos de sada etiquetados para identificar o nome do produto, nome do

destinatrio e data e hora de produo;
Procedimentos documentados sobre os mtodos para relatar, corrigir e

reprocessar produtos de sada com erros;
Conferncia dos montantes de registros de entrada e de sada com totais de
controle, para garantir que nenhum dado foi extraviado ou adicionado durante
o processo; e
32
Armazenamento dos documentos de origem em uma seqncia lgica, para

fcil recuperao.
4.3.
Avaliao extensiva dos controles de sistema
A partir dos procedimentos para avaliao de cada grupo de controles

apresentados nos itens anteriores, deve ser elaborado um roteiro para avaliao extensiva
dos controles de sistema.
Os principais pontos que definem a adequao dos controles gerais so:
Grau de comprometimento da administrao com o projeto e a operao dos
sistemas:
os mtodos de superviso e acompanhamento da administrao e do
desempenho dos sistemas; e
aes corretivas em relao s recomendaes da auditoria interna e
reclamaes dos usurios.
Organizao das funes dos sistemas, incluindo a atribuio formal das
responsabilidades e segregao de funes, no sentido de garantir que
funes crticas e responsabilidades de autorizar, processar, registrar e revisar
transaes sejam atribudas a diferentes indivduos.
Segurana fsica das instalaes, especialmente quanto s restries de

acesso.
Segurana lgica (controle de acesso aos sistemas e dados atravs de senhas
e outros mtodos) que ajudam a garantir a confiabilidade dos dados reduzindo

o risco de ocorrer entrada ou modificao no autorizada de dados.
33
Os principais elementos que definem a adequao dos controles de aplicativos

so:
Existncia de procedimentos que garantam que os programas aplicativos e

suas modificaes subseqentes sejam autorizados e testados antes de sua
implementao.
Freqncia das alteraes no sistema e motivo de sua realizao.

Procedimentos adequados de controle e documentao das alteraes nos
programas.
Procedimentos de reviso, aprovao, controle e edio de dados de entrada,

para garantir sua integridade e prevenir erros.
Existncia de documentao e fluxogramas atualizados para os sistemas.

Confrontao entre registros de sada e entrada (para confirmar que todos os
registros vlidos de entrada foram processados, e somente esses).
Procedimentos de deteco de erro e correo.

Opinio dos usurios sobre a confiabilidade dos dados.
Relatrios da auditoria interna e outros estudos de avaliao.
4.4.
Avaliao moderada dos controles de sistema
O roteiro da avaliao extensiva pode servir de base para a elaborao do

programa de avaliao moderada, que dever enfatizar os elementos-chave de controle, e
se direcionar, mediante o conhecimento prvio dos dados, para onde a ocorrncia de falhas
mais provvel.
4.5 .Avaliao reduzida dos controles de sistema
Quando o conhecimento prvio dos dados indicar que a confiabilidade do sistema
j foi avaliada e considerada adequada em trabalhos anteriores, a avaliao dos controles
dever se resumir atualizao das informaes existentes. A equipe de auditoria deve
determinar se:
alguma modificao foi feita no sistema aps o trabalho anterior;

os elementos-chave de controle ainda esto atuando;
eventuais recomendaes feitas sobre os controles do sistema foram
implementadas.
34
ESTUDO DE CASO
5.
Nesta seo apresentado um exemplo da aplicao dos procedimentos

mencionados neste mdulo para determinar a confiabilidade de evidncias processadas por
computador.
5.1. Situao hipottica
Uma equipe designada para auditar a folha de pagamento da Empresa Pblica
X, devendo determinar se:
o pagamento dos salrios est sendo feito de acordo com a legislao
pertinente;
as dedues sobre os salrios esto corretas, e foram transferidas para as
contas apropriadas;
existem controles suficientes para garantir que no haja desvio de valores
destinados ao pagamento da folha.
5.2. Informaes bsicas sobre a rea auditada
A Empresa X tem 500 funcionrios, cuja folha de pagamento preparada pelo
Setor de Pagamento do seu Departamento de Pessoal. O Setor de Pagamento usa um
sistema informatizado denominado Folha de Pagamento para o clculo dos salrios e
dedues. Esse sistema foi desenvolvido pelo Centro de Processamento de Dados (CPD)
da Empresa, e administrado pelo Setor de Pagamento, que tambm responsvel por
solicitar ao CPD quaisquer alteraes necessrias no sistema.
5.3. Procedimentos de avaliao
Uma vez que os dados que iro fundamentar o trabalho de auditoria devero ser
extrados do sistema informatizado Folha de Pagamento, antes de iniciar a auditoria
propriamente dita, a equipe de auditoria dever proceder avaliao da confiabilidade
desses dados.
O objetivo dessa avaliao determinar se as declaraes contidas no sistema
correspondem efetivamente situao real auditada, respondendo pergunta: os dados
provenientes do sistema 'Folha de Pagamento', que sero utilizados como evidncia para
os objetivos de auditoria, so confiveis - completos e exatos?
Aplicando-se os procedimentos indicados no captulo 3 deste mdulo, a
confiabilidade dos dados ser avaliada com o propsito de obter-se uma segurana
razovel de que os dados do sistema Folha de Pagamento no contm erros capazes de
comprometer a credibilidade das anlises e concluses da equipe de auditoria.
5.4.
Determinao do uso planejado para os dados
Para determinar o uso planejado para os dados provenientes do sistema Folha

de Pagamento, a equipe deve analisar os seguintes pontos:
Os dados sero realmente importantes para se atingir os objetivos de
auditoria? O sistema ser utilizado apenas para estabelecer um histrico da
35
ESTUDO DE CASO
folha de pagamento, ou seus dados vo ser diretamente utilizados como

evidncia nas concluses do relatrio?
Os dados do sistema Folha de Pagamento so a nica fonte de informao
sobre as despesas com o pagamento de pessoal, ou fazem parte de um

conjunto maior de evidncias comprobatrias?
Nesse exemplo, ser utilizada a hiptese de que os dados do sistema "Folha de

Pagamento" so os nicos capazes de fornecer as informaes necessrias para a
realizao da auditoria.
Tendo sido planejado o uso a ser feito dos dados processados pelo sistema
Folha de Pagamento, e identificada a necessidade de avaliao da sua confiabilidade
pode-se passar ao levantamento das informaes disponveis sobre esse sistema.
5.5. Levantamento dos elementos de conhecimento prvio sobre os dados
e o sistema
A equipe de auditoria deve formular questes como estas:
O TCU utilizou esta mesma base de dados como suporte para achados de
auditoria em outros trabalhos recentes? Se a resposta for sim, qual foi a
avaliao da confiabilidade desses dados naquela ocasio?
A Auditoria Interna da Empresa X avaliou recentemente o sistema, ou a

confiabilidade desses dados? Se a resposta for sim, qual foi a opinio emitida
sobre esses dados? Foram feitas recomendaes para melhorar os controles
do sistema? O Departamento de Pessoal e o CPD adotaram as medidas
necessrias para implementar essas recomendaes?
O que os funcionrios do Departamento de Pessoal e outros usurios do

sistema dizem sobre a exatido dos dados? Com que freqncia eles
encontram erros nesses dados? Qual a importncia desses erros?
Os funcionrios tm relatado problemas ou dvidas quanto exatido dos

valores declarados no sistema? Eles confiam nos dados para desempenhar
suas funes, ou mantm registros manuais em separado?
Outras fontes de informao tendem a confirmar ou contradizer os dados

processados por computador?
5.6.
Avaliao dos controle do sistema
A extenso dos trabalhos de avaliao dos controles do sistema vai depender do

resultado do levantamento anterior. Como os dados sero utilizados como nica evidncia,
a avaliao dos controles dever ser extensiva ou moderada, dependendo das informaes
obtidas sobre a confiabilidade do sistema ou dos dados (ver quadro 2).
A seguir, apresentam-se os procedimentos a serem adotados em cada situao:
5.6.1.
Avaliao extensiva
36
ESTUDO DE CASO
Hiptese: os dados do sistema Folha de Pagamento so os nicos disponveis

como evidncia para os objetivos de auditoria, e as informaes conhecidas sobre o
sistema no permitem consider-lo confivel.
A avaliao deve seguir os procedimentos indicados no captulo 4 deste mdulo,
abrangendo todos os aspectos dos controles gerais e de aplicativos
5.6.2. Avaliao moderada
Hiptese: determinada unidade do TCU utilizou informaes da mesma base de
dados para fundamentar achados em relatrio elaborado nos ltimos 6 meses. Naquela
ocasio, a equipe concluiu que os controles do sistema eram eficientes, e que os dados
eram confiveis.
Nessa situao, a avaliao extensiva dos controles do sistema no seria
necessria. A confiana no sistema seria determinada com base principalmente nas
informaes conhecidas, associadas a um teste reduzido para indicar se:
alguma modificao foi feita no sistema aps o trabalho anterior;

os elementos-chave de controle continuam operando;
eventuais recomendaes feitas sobre os controles do sistema foram
implementadas.
A avaliao dos controles do sistema concluir com o parecer da equipe de

auditoria, que dever classific-los como slidos, adequados ou fracos.
5.7. Determinao da confiabilidade dos dados
Com base na tabela do quadro 3, o risco de confiabilidade, no caso hipottico
aqui tratado, poder ser classificado como alto ou moderado. Com a avaliao dos
controles, obtm-se o risco de confiabilidade ajustado, que poder ser reduzido ou mantido
no mesmo nvel, caso haja, respectivamente, uma avaliao positiva ou negativa dos
controles do sistema (quadro 4). Conhecendo-se risco de confiabilidade ajustado dos
dados, obtm-se, de acordo com o quadro 5, o grau de abrangncia a ser atribudo ao teste
de dados.
5.8.
Teste de dados
A seguir, apresentam-se os procedimentos que poderiam ser adotados nas duas

situaes extremas possveis (risco de confiabilidade alto, exigindo a execuo de um teste
extensivo dos dados, e risco de confiabilidade baixo, autorizando a realizao de um teste
mnimo). Em ambas situaes, utilizou-se o mtodo da auditoria sem o auxlio do
computador, possvel nesse caso porque o resultado do processamento dos dados pode
ser manualmente verificado.
5.8.1.
Teste extensivo
Hiptese: a equipe de auditoria determinou que:

o sistema Folha de Pagamento a nica fonte disponvel para os dados a
serem utilizados como evidncia;
37
ESTUDO DE CASO
nenhum trabalho do TCU ou do controle interno determinou recentemente a

confiabilidade desses dados;
os controles gerais e de aplicao mostraram-se deficientes.
Nesse caso, o risco de confiabilidade alto, e os resultados do teste de dados
por si ss devero determinar a confiana nos dados. Assim, a abrangncia dos testes ser
extensiva, como indica o quadro 5.
Todos os testes devero ento ser executados em amostras estatisticamente
vlidas (v. seo Tcnicas de Auditoria do Manual de Auditoria do TCU), ou, se possvel,
realizados em todos os registros, atravs de uma ferramenta automatizada de extrao e
anlise de dados.
O primeiro teste de dados consistiria na confirmao de que os dados de entrada
foram inseridos de forma exata e completa. Isso pode ser conseguido por meio dos
seguintes procedimentos:
comparar o total de registros de entrada do computador com fontes

independentes (e confiveis) da mesma informao (ex.: relao do pessoal
em atividade arquivado no Departamento de Pessoal; relatrio da
Contabilidade que informe o nmero de funcionrios que receberam salrio no
ms investigado; etc.), para verificar se todos os funcionrios que recebem
salrio foram efetivamente cadastrados no sistema;
para uma amostra vlida de registros, fazer uma confrontao entre os
registros existentes no computador e as fontes primrias desses dados (ex.:

para a maioria dos campos, a fonte primria seria a pasta funcional do
servidor, onde poderia ser verificada a exatido dos campos tempo de
servio, "cargo" etc.), para averiguar se todos os campos importantes dos
registros foram preenchidos corretamente e qual a taxa de erro de entrada dos
dados no sistema.
Os prximos testes seriam projetados para avaliar a exatido e integridade dos

dados de sada do sistema, podendo incluir:
classificao dos registros em ordem alfabtica dos beneficirios do

pagamento, para permitir a identificao de possveis duplicatas e eventuais
discrepncias entre a lista de nomes constante no sistema e a relao do
pessoal em atividade fornecida pelo Departamento de Pessoal;
utilizao de frmulas para recalcular elementos de dados gerados pelo
computador (ex.: clculo do valor do anunio devido a partir dos dados

vencimento bsico e do tempo de servio), para confirmar a correo do
processamento efetuado nos dados de entrada;
comparao do total de registros constantes no relatrio final da folha de
pagamento com o total de registros de entrada, para garantir que todos os

dados de entrada foram processados e todos os funcionrios cadastrados no
sistema esto presentes nesse relatrio final;
se os valores dos pagamentos informados pelo sistema esto dentro de

parmetros razoveis (no so quantias irrisrias ou extremamente
elevadas) e no extrapolam os limites legais;
38
ESTUDO DE CASO
se a soma dos valores dos pagamentos mensais corresponde ao valor da
despesa com pagamento de pessoal declarado pelo setor de contabilidade da

Empresa.
5.8.2. Teste reduzido

Para uma pequena amostra de funcionrios, deve-se comparar os registros
funcionais e de pagamento obtidos do computador com os documentos-fonte dessas
informaes (formulrios de entrada de dados no computador, fichas funcionais etc.).
Se esses testes bsicos produzirem taxas significativas de erros, a abrangncia
do teste deve ser expandida, utilizando-se os procedimentos indicados para o teste
extensivo. Se a taxa de erro for aceitvel, baseada nessa atualizao do trabalho anterior
de confiabilidade a equipe concluiria que os dados so confiveis.
5.9. Concluso
A partir do resultado dos testes de dados e das respectivas taxas de erro
encontradas, a equipe estar apta a avaliar a confiabilidade dos dados (que poder ser
relatada de acordo com um dos modelos constantes deste mdulo), e a iniciar os trabalhos
necessrios para atender aos objetivos de auditoria.
39

PARTE 2 - AUDITORIA DE SISTEMAS
DE INFORMAO
1 CONTROLES GERAIS
Controles gerais consistem na estrutura, polticas e procedimentos que se

aplicam s operaes do sistema computacional de uma organizao como um todo. Eles
criam o ambiente em que os sistemas aplicativos e os controles iro operar.
Durante uma auditoria em que seja necessrio avaliar algum sistema
informatizado, seja ele financeiro, contbil, de pagamento de pessoal etc., preciso
inicialmente avaliar os controles gerais que atuam sobre o sistema computacional da
organizao.
Controles gerais deficientes acarretam uma diminuio da confiabilidade a ser
atribuda aos controles das aplicaes individuais. Por essa razo, os controles gerais so
normalmente avaliados separadamente, e antes da avaliao dos controles dos aplicativos
que venham a ser examinados em uma auditoria de sistemas informatizados.
Quando o objetivo da auditoria de sistemas informatizados a avaliao de um
aplicativo especfico (por exemplo, sistema de processamento da folha de pagamento de
uma entidade, ou de controle de emprstimos de uma instituio bancria), a equipe de
auditoria pode muitas vezes economizar tempo, antecipando atividades de auditoria, ao
planejar testes que avaliem controles tanto do ambiente geral quanto do aplicativo. Por
exemplo, como parte da avaliao dos controles gerais, a equipe ir testar controles que
abrangem alteraes de programas.
Existem seis categorias de controles gerais que devem ser consideradas em
auditorias:
controles
organizacionais:
polticas,
procedimentos
e
estrutura
organizacional estabelecidos para organizar as responsabilidades de todos os
envolvidos nas atividades relacionadas rea da informtica;
programa geral de segurana: oferece a estrutura para: (1) gerncia do
risco, (2) desenvolvimento de polticas de segurana, (3) atribuio das
responsabilidades de segurana, e (3) superviso da adequao dos controles
gerais da entidade;
continuidade do servio: controles que garantem que, na ocorrncia de
eventos inesperados, as operaes crticas no sejam interrompidas, ou sejam
imediatamente retomadas, e os dados crticos sejam protegidos.
controles de software de sistema: limitam e supervisionam o acesso aos
programas e arquivos crticos para o sistema, que controlam o hardware do
sistema computacional e protegem as aplicaes presentes;
controles de acesso: limitam ou detectam o acesso a recursos
computacionais (dados, programas, equipamentos e instalaes), protegendo
esses recursos contra modificao no autorizada, perda e divulgao de
informaes confidenciais;
controles de desenvolvimento e alterao de softwares aplicativos:
previnem a implementao ou modificao no autorizada de programas.
Para cada uma dessas seis categorias, este manual identifica os elementos
crticos que iro determinar a qualidade dos controles auditados e apresenta as tcnicas e
procedimentos de auditoria recomendveis para a avaliao desses controles.
De modo a facilitar a utilizao dessas informaes em auditorias, o manual
contm um roteiro que rene todas as tcnicas e procedimentos distribudos nos diversos
41
itens. O roteiro apresentado deve servir apenas como referncia para a equipe de auditoria,
que dever determinar, em cada caso, quais as tcnicas e procedimentos a serem aplicados
e a extenso dos testes a serem realizados, levando em conta o mbito da auditoria e a
complexidade da organizao auditada.
Alm do roteiro apresentado a seguir a equipe de auditoria deve utilizar os
Procedimentos de Auditoria de Sistemas (PA-02) para planejar e executar um trabalho mais
completo e com maior nvel de detalhe.
42
1.1. Controles Organizacionais

1.1.1. Organizao do departamento de tecnologia da informao
Como estabelecido no glossrio de termos tcnicos deste manual, o termo
"departamento de tecnologia da informao" (ou DTI) ser utilizado para substituir o antigo
CPD (Centro de Processamento de Dados), representando o departamento responsvel por
todos os servios relacionados rea de informtica, (redes de computadores, centrais de
telecomunicao etc.)
O DTI precisa ter uma estrutura organizacional bem definida, com as
responsabilidades de suas unidades organizacionais claramente estabelecidas,
documentadas e divulgadas, e polticas de pessoal adequadas, quanto seleo,
segregao de funes, treinamento e avaliao de desempenho. Essa estrutura deve
gerenciar racionalmente os recursos computacionais da organizao, de modo a suprir as
necessidades de informao de forma eficiente e econmica.
1.1.2. Segregao de funes
A segregao de funes tem como objetivo evitar que um indivduo venha a
controlar todos os estgios crticos de um processo (por exemplo, um programador com
permisso para independentemente escrever, testar e aprovar alteraes de programa).
Freqentemente, a segregao de funes alcanada pela diviso de
responsabilidades entre dois ou mais grupos organizacionais. Com essa diviso, a
probabilidade de que erros e aes indevidas sejam detectadas aumenta sensivelmente,
visto que as atividades de um grupo ou indivduo iro servir para checar as atividades do
outro.
A ausncia ou inadequao da segregao de funes de informtica aumenta o
risco de ocorrncia de transaes errneas ou fraudulentas, alteraes imprprias de
programa e danos em recursos computacionais.
A extenso da segregao de funes a ser aplicada em uma organizao ir
depender do seu tamanho e do risco associado s suas instalaes e atividades. Uma
organizao de grande porte ter mais flexibilidade em separar funes-chave que
organizaes pequenas, que dependem de poucos indivduos para executar suas
operaes. Da mesma forma, atividades que envolvem transaes financeiras de alto valor,
ou que de alguma outra forma so bastante arriscadas, devem ser divididas entre diversos
indivduos e sujeitas a uma superviso mais rigorosa.
Um exemplo de estrutura organizacional para o DTI, que permite uma adequada
segregao de funes, est ilustrado no quadro 6, a seguir.
Gerente de T.I.
(ou de Processamento de Dados)
43
CONTROLES GERAIS
Gerente de Operaes
Supervisor de
Controle de
Dados
Lderes de
Turno
Gerente de Sistemas
Gerente de Suporte
Tcnico
Especialista
Tcnico
Administrador
de Banco de
Dados
Operadores
Lderes de
Projetos
Analistas/
Programadores
Quadro 6: Exemplo de estrutura organizacional para o Departamento de Tecnologia da Informao

(organizao de tamanho mdio)
Por causa da natureza da operao dos computadores, a segregao de funes

por si s no garante que somente atividades autorizadas sejam executadas pelos
funcionrios, especialmente operadores de computador. Para auxiliar na preveno e
deteco de aes no autorizadas ou incorretas, tambm necessria uma superviso
gerencial efetiva e procedimentos formais de operao.
Os elementos crticos para a avaliao dos controles organizacionais so:
Unidades organizacionais bem definidas, com nveis claros de autoridade,
responsabilidades e habilidades tcnicas necessrias para exercer os cargos;

Atividades dos funcionrios controladas atravs de procedimentos de
operao e superviso documentados e polticas claras de seleo,
treinamento e avaliao de desempenho;
Poltica de segregao de funes e controles de acesso para garantir na
prtica a segregao de funes;
Recursos computacionais gerenciados de forma a suprir as necessidades de
informao de forma eficiente e econmica.
A seguir apresentado um roteiro contendo os elementos crticos dos controles
organizacionais.
1.1.3. Unidades organizacionais bem definidas
Foram definidas, para cada unidade organizacional do DTI:
seus principais objetivos e padres de desempenho;

os diversos nveis de autoridade, as responsabilidades de cada cargo e as
habilidades tcnicas necessrias para exerc-los.
Os funcionrios do DTI:
exercem atividades compatveis com as estabelecidas formalmente pela

organizao;
44
CONTROLES GERAIS
possuem capacitao tcnica compatvel com o previsto no respectivo plano

de cargos.
1.1.4. Atividades dos funcionrios controladas e polticas claras de seleo,

treinamento e avaliao de desempenho
Pontos a serem verificados:
existem instrues documentadas para o desempenho das atividades dentro
do DTI, que so seguidas pelos funcionrios;
manuais de instruo indicam como operar softwares de sistema e
aplicativos.
o pessoal tem superviso adequada, inclusive nas trocas de turno de
operao de computadores;
todas as atividades dos operadores do sistema computacional so
automaticamente armazenadas no registro histrico de operao;
supervisores revisam periodicamente o registro histrico de operao, e
investigam qualquer anormalidade;
a inicializao do sistema supervisionada e executada por pessoal
autorizado e os parmetros informados durante o carregamento inicial do
sistema operacional (initial program load - IPL) esto de acordo com os
procedimentos estabelecidos;
feito um planejamento das necessidades de pessoal especializado e
existem polticas definidas, mtodos e critrios para o preenchimento de
vagas que permitem aferir as reais habilidades tcnicas dos pretendentes;
existe um programa de treinamento de pessoal na rea de tecnologia da
informao, com recursos suficientes para capacitar o pessoal tcnico;
existe um programa de avaliao de desempenho eficaz.
45
CONTROLES GERAIS
1.1.5. Poltica de segregao de funes e controles de acesso

Funes distintas so desempenhadas por diferentes indivduos, incluindo as
seguintes:
gerncia dos sistemas de informao;

projeto de sistemas;
programao de aplicativos;
programao de sistemas;
teste e garantia de qualidade;
gerncia de biblioteca/gerncia de alterao;
operao de computador;
controle de dados;
segurana de dados;
administrao de dados.
A seguir esto destacados os principais pontos a serem verificados quanto

poltica de segregao de funes em um DTI.
Nenhum indivduo deve ter o controle completo sobre funes de processamento
incompatveis (exemplos: entrada de dados e verificao da validade dos dados; entrada de
dados e conferncia dos dados de sada; cadastro de notas fiscais e recebimento de bens,
e assim por diante). Observar as atividades dos tcnicos para determinar se esto em
conformidade com a segregao de funes pretendida.
Os tcnicos de processamento de dados e os gerentes de segurana no devem
estar encarregados de inserir dados ou executar transaes nos sistemas de informao
que atendem s reas-fim da organizao.
Os procedimentos normais de operao
documentados e aes indevidas so identificadas.
do
DTI
so
adequadamente
So previstas rotaes peridicas de pessoal e substituies no perodo de

frias, tendo em vista que indivduos desempenhando funes incompatveis e conduzindo
aes fraudulentas podem ser descobertos quando substitudos por motivo de frias ou
rotao de pessoal.
As descries das atribuies dos cargos refletem os princpios de segregao
de funes. Examinar as descries para uma amostra de cargos dentro da administrao
de segurana e no grupo de usurios.
Todos os funcionrios esto cientes de suas funes e responsabilidades, e
desempenham essas responsabilidades de acordo com as descries do cargo. Entrevistar
ocupantes dos cargos cujas descries foram examinadas. Verificar se as suas atividades e
responsabilidades conferem com o formalmente estabelecido.
A alta administrao oferece recursos e treinamento adequados para garantir que
os princpios de segregao de funes sejam conhecidos, seguidos e institucionalizados
dentro da organizao.
46
CONTROLES GERAIS
As responsabilidades por restringir o acesso de funcionrios em atividades

crticas de operao e programao foram claramente definidas, divulgadas e aplicadas.
Existem controles lgicos e fsicos de acesso para auxiliar na restrio das
atividades dos funcionrios s aes autorizadas, de acordo com as responsabilidades dos
respectivos cargos.
O desempenho dos funcionrios supervisionado periodicamente e controlado
para garantir que as atividades de cada um sejam compatveis com as atribuies dos
respectivos cargos.
A alta administrao realiza avaliaes peridicas do risco, para determinar se as
tcnicas de controle para segregao de funes esto funcionando como esperado e
mantendo o risco em nveis aceitveis. Este procedimento deve ser executado em conjunto
com os previstos no item 2.1 - SEG-1.
1.1.6.
Recursos computacionais
econmica
gerenciados
de
forma
eficiente
As tarefas executadas pelo DTI obedecem a um cronograma adequado, de forma

a permitir que os recursos computacionais sejam utilizados com eficincia e que as
solicitaes dos usurios possam ser atendidas. Entrevistar usurios e proprietrios de
recursos computacionais para detectar eventuais distores na alocao de recursos e/ou
conflitos causados por falhas no planejamento da distribuio da carga de trabalho.
A capacidade do hardware instalado suficiente para atender a demanda nos
horrios de pico e manter a qualidade do servio para os usurios. Entrevistar usurios e
analisar os registros de utilizao do hardware - log accounting - para detectar
desbalanceamento da configurao do sistema, pela caracterizao de dispositivos unidades de disco, impressoras, terminais etc. - que estejam com folga ou sobrecarregados.
Existe um plano definido ou um acordo entre o DTI e os grupos de usurios,
quanto disponibilidade dos recursos computacionais, com prioridades de processamento
adequadas s necessidades da organizao.
Foram estabelecidas metas pela alta administrao quanto disponibilidade de
processamento de dados e servios on-line.
A alta administrao periodicamente avalia e compara os desempenhos de
servio com as metas previstas e pesquisa junto aos departamentos usurios para saber se
as necessidades de disponibilidade dos sistemas esto sendo atendidas.
47
CONTROLES GERAIS
1.2. Programa Geral de Segurana

O programa de segurana da entidade inclui suas polticas de segurana e o
respectivo plano de implementao.
Esse programa deve estabelecer uma estrutura para a avaliao do risco, o
desenvolvimento e implementao de procedimentos eficazes de segurana e a superviso
da eficcia desses procedimentos. Sem um programa bem elaborado, os controles de
segurana podem ser inadequados, as responsabilidades podem no estar claras, no
serem compreendidas e propriamente implementadas, e os controles podem ser aplicados
de forma inconsistente. Tais condies podem levar a uma proteo insuficiente de recursos
crticos ou vulnerveis e, possivelmente, a um desperdcio de recursos para implantao de
controles em situaes de baixo risco.
1.2.1. Princpios da gesto da segurana
A gesto da segurana regida pelos seguintes princpios bsicos:
Os dispositivos de proteo da segurana devem ser consistentes com a
vulnerabilidade dos dados que esto sendo protegidos.
A proteo de segurana deve acompanhar os dados durante todas as etapas
do seu processamento e transmisso, e permanecer efetiva em todas as
situaes.
Estes princpios so postos em prtica determinando-se o grau de
vulnerabilidade dos dados 1, sob o ponto de vista de sua integridade, carter confidencial e
disponibilidade, e atravs da aplicao concreta de um Plano de Segurana que abranja os
seguintes aspectos de proteo: elemento humano, fatores fsicos, prticas e
procedimentos, hardware, software, aplicaes e elementos de apoio segurana.
1.2.2. Avaliao do risco
Uma avaliao completa do risco deve ser o ponto de partida para o
desenvolvimento ou modificao do plano e das polticas de segurana da organizao.
Essa avaliao importante porque atravs dela que se identifica todas as ameaas e
vulnerabilidades do sistema e se decide quais riscos sero aceitos e quais devero ser
reduzidos atravs de controles de segurana.
A avaliao do risco deve considerar a vulnerabilidade inerente aos dados (ou
seja, sua susceptibilidade a erros materiais causados por omisso ou insero incorreta ou
indevida de dados), e o risco adicional a que os sistemas e os dados podem estar sujeitos,
em funo do seu uso por usurios internos e externos e eventuais tentativas de acesso por
estranhos no autorizados.
Essa anlise deve tambm contemplar revises da configurao do sistema e da
rede, e observao e teste dos controles de segurana j implantados. Ainda que o pessoal
envolvido em atividades de segurana possa oferecer uma viso valiosa sobre as
vulnerabilidades existentes, a avaliao geral do risco deve ser feita por pessoal
independente, para garantir sua objetividade.
Avaliao do risco e gerncia do risco so esforos contnuos. Ainda que a
avaliao geral do risco possa ser feita mais espaadamente (a cada ano ou dois), o risco
1
V. termo "vulnerabilidade de dados" no Glossrio deste manual.
48
CONTROLES GERAIS
deve ser reavaliado toda vez que houver mudana na operao da organizao, ou em
influncias externas que afetem essa operao.
1.2.3. Estrutura de segurana
As organizaes de grande porte que possuam uma estrutura completa de
administrao da segurana apresentaro os seguintes cargos, que podem assumir
diferentes denominaes em cada caso:
Superintendente de segurana: administrador snior que tem a
responsabilidade final pela segurana da organizao. Ele o elo de ligao
com os outros rgos e entidades da Administrao e presta contas por todas
as questes de segurana dentro da organizao.
Diretor de segurana: gerente snior, com autoridade delegada pelo
Superintendente de Segurana, com a responsabilidade de administrar as
questes rotineiras de segurana dentro da organizao.
Gerente de segurana computacional: gerente snior, com autoridade
delegada pelo Superintendente de Segurana, que presta contas ao Diretor de
Segurana, tendo a responsabilidade de administrar a rotina da administrao
da segurana das questes de informtica e tecnologia de toda a organizao.
Equipe de segurana: grupo de indivduos provenientes de diversos setores
da organizao, designados para realizar o exame da segurana e efetuar
recomendaes para a correo das vulnerabilidades detectadas. A equipe de
segurana deve preferivelmente ser chefiada por um membro influente do
grupo de usurios, de forma a que suas recomendaes possam ser mais
facilmente aceitas pelos dirigentes e usurios, do que se partissem de
"especialistas tcnicos".
Os elementos crticos que definem a qualidade dos controles do programa de
segurana so:
Avaliao peridica do risco;

Documentao do programa de segurana;
Estrutura de gerncia de segurana com
responsabilidades;
Polticas de segurana eficazes;
Superviso da eficcia do programa de segurana.
atribuio
clara
de
A seguir apresentado um roteiro contendo os elementos crticos do Programa

de Segurana.
49
CONTROLES GERAIS
1.2.4. Avaliao peridica do risco

Os riscos so periodicamente avaliados, de acordo com polticas documentadas
para essa avaliao.
As avaliaes do risco so realizadas por pessoal suficientemente independente
(no diretamente responsvel pelas questes de segurana), sendo revistas toda vez que
algum sistema, instalao ou outra condio se altere.
A avaliao do risco leva em conta a vulnerabilidade inerente dos dados, e o
risco adicional acrescentado pelos diversos caminhos de acesso passveis de utilizao por
usurios e estranhos no autorizados.
As avaliaes gerais de risco mais recentes esto de acordo com as polticas
estabelecidas e atendem aos demais requisitos acima indicados.
1.2.5. Documentao do programa de segurana
O plano de segurana:
foi documentado e aprovado pela alta gerncia e pelos setores afetados;
cobre todas as instalaes e operaes essenciais;

mantido atualizado, com revises peridicas e ajustes que reflitam as
mudanas nas condies de operao e nos riscos.
1.2.6. Estrutura de gerncia de segurana com atribuio clara de

responsabilidades
O plano de segurana:
estabelece uma estrutura de gerncia de segurana com independncia,
autoridade e conhecimento suficientes;
prev a existncia de gerentes de segurana dos sistemas de informao tanto
em nvel geral quanto nos nveis subordinados;
identifica precisamente o proprietrio de cada recurso computacional e os
responsveis pela gerncia do acesso a esses recursos;
define as responsabilidades de segurana nos seguintes nveis: (1)
proprietrios e usurios dos recursos de informao; (2) pessoal de
processamento de dados; (3) alta gerncia; e (4) administradores de
segurana;
periodicamente revisto e atualizado, estando em dia com as necessidades
da entidade.
50
CONTROLES GERAIS
1.2.7. Polticas de segurana eficazes

Existe um programa de treinamento sobre as polticas de segurana, que inclui
treinamento inicial de todos os novos funcionrios e usurios; e treinamento peridico de
atualizao, e este est sendo seguido. Examinar os registros das atividades de
treinamento.
Entrevistas com o pessoal que utiliza recursos computacionais demonstram que
os funcionrios esto cientes de suas responsabilidades quanto segurana.
Os registros funcionais dos empregados que lidam com informaes
confidenciais e/ou trabalham em funes de segurana demonstram que estes possuem o
conhecimento e a experincia requeridos na descrio dos cargos. Examinar uma amostra
de registros funcionais e compar-la com a descrio contida no plano de cargos.
A entidade exige dos funcionrios e usurios externos com acesso a informaes
confidenciais que assinem uma declarao de confidencialidade. Verificar as polticas de
acordo com confidencialidade e examinar uma amostra de registros para constatar se esses
usurios assinaram a declarao.
No existem funcionrios "proprietrios" de informaes crticas ou confidenciais
(h previso de mudanas de turno ou trocas de funo entre funcionrios com acesso a
essas informaes periodicamente, e as tarefas dos funcionrios so redistribudas durante
suas frias).
Os registros funcionais indicam que efetivamente feito um revezamento de
pessoal nas tarefas de maior risco.
Os processos de transferncia e demisso incluem procedimentos de segurana
tais como:
devoluo de crachs, chaves, passes de identificao, etc.;

notificao da gerncia de segurana para a pronta desativao de senhas de
acesso;
imediata retirada do funcionrio do local de trabalho;
definio do perodo em que o funcionrio afastado ficar sujeito guarda do

sigilo das informaes confidenciais s quais teve acesso.
1.2.8. Superviso da eficcia do programa de segurana

A alta administrao atua prontamente na correo de deficincias detectadas no
programa de segurana.
As aes corretivas so testadas aps terem sido implementadas para confirmar
sua eficcia e, quando necessrio, supervisionadas periodicamente. Verificar a situao das
recomendaes mais recentes da auditoria interna e se as medidas corretivas adotadas
foram testadas quanto sua eficcia.
1.3. Continuidade do Servio
51
CONTROLES GERAIS
A perda da capacidade de processar, recuperar e proteger informaes mantidas

eletronicamente pode ter um impacto significativo na habilidade da organizao em
desempenhar sua misso.
Por essa razo, as organizaes precisam ter procedimentos estabelecidos para
proteger recursos de informao, minimizar o risco de interrupes no planejadas e
recuperar operaes crticas, em caso de interrupes. Esses planos devem considerar as
atividades executadas nos ambientes de suporte em geral, tais como centros de
processamento de dados, bem como nos ambientes de operao de aplicaes especficas.
Para se garantir que os planos de recuperao iro funcionar como previsto, eles devem ser
testados periodicamente em exerccios de simulao de "desastres".
Embora freqentemente chamados de planos de recuperao de desastres, os
controles para garantir a continuidade do servio devem enfocar todas as possibilidades de
interrupo existentes, sejam elas interrupes relativamente insignificantes, tais como falta
temporria de energia e destruio acidental de um arquivo, at problemas srios, como
incndios ou desastres naturais que requeiram o restabelecimento das operaes em outro
local.
Se os controles no so adequados, mesmo interrupes menos graves podem
resultar em perda ou processamento incorreto de dados, ocasionando prejuzos financeiros,
esforos dispendiosos de recuperao e informaes gerenciais ou financeiras inexatas ou
incompletas. Para algumas operaes, tais como as que envolvem cuidados mdicos ou
segurana pblica, interrupes de sistema podem at mesmo resultar em danos pessoais
ou perda de vidas.
Para diminuir as interrupes de servio, essencial que os controles
estabelecidos sejam conhecidos e adotados pela gerncia e pelo pessoal envolvido. O
comprometimento da alta administrao importante para garantir que recursos adequados
sejam dedicados para o planejamento de emergncia, treinamento e testes necessrios. O
pessoal responsvel por atividades de manuteno da continuidade de servio, tais como
realizao de cpias de segurana de arquivos, precisa estar bem informado dos riscos da
no realizao dessas tarefas.
Os elementos crticos para a avaliao da continuidade do servio so:
Avaliao da vulnerabilidade das operaes computadorizadas e identificao
dos recursos que as apoiam.

Adoo de medidas para prevenir e minimizar danos e interrupes
potenciais.
Desenvolvimento e documentao de um plano geral de contingncia.
Teste peridico do plano de contingncia e realizao dos ajustes

apropriados.
A seguir apresentado um roteiro contendo os elementos crticos da

Continuidade de Servio.
2.2.1. Avaliao da vulnerabilidade das operaes computadorizadas e
identificao dos recursos que as apoiam
A organizao preparou uma lista de dados, operaes e sistemas crticos que:
informa a prioridade de cada item;
52
CONTROLES GERAIS
foi aprovada pelos gestores responsveis;

reflete a situao atual dos recursos computacionais.
Os recursos que do suporte s operaes crticas foram identificados e
documentados, incluindo hardware, software, fornecedores, documentao do sistema,
telecomunicaes, instalaes e suprimentos de escritrio e recursos humanos.
As prioridades de processamento emergencial foram documentadas e aprovadas
pela alta administrao e a gerncia de processamento de dados.
1.3.2. Adoo de medidas para prevenir e minimizar danos e interrupes
potenciais
1.3.2.1. Procedimentos de cpia de segurana (backup)
Cpias de segurana dos arquivos e da documentao dos sistemas so
providenciadas e deslocadas para um local externo de armazenamento, com freqncia
suficiente para evitar problemas em caso de perda ou dano dos arquivos em uso.
O local externo de armazenamento est localizado geograficamente distante da
sede da organizao e protegido por controles ambientais e controles de acesso fsico.
1.3.2.2. Controles de ambiente
Dispositivos de supresso e preveno de incndio foram instalados e esto em
funcionamento (detetores de fumaa, extintores de incndio etc).
Controles fsicos foram implementados para evitar outros desastres, tais como
inundao, elevao excessiva da temperatura etc. Os controles fsicos so periodicamente
testados.
Foi providenciada uma fonte substituta de suprimento de energia eltrica que
permita, em caso de falha da fonte principal, a concluso segura das operaes em
andamento.
Bebidas, alimentos e outros itens que possam danificar os equipamentos so
proibidos no ambiente de computao. Verificar a existncia e o cumprimento de normas de
procedimentos a esse respeito.
1.3.2.3. Treinamento do pessoal para responder a emergncias
Os procedimentos de emergncia so periodicamente testados.
Os funcionrios do centro de processamento de dados receberam treinamento

para os casos de emergncia, tendo sido informados de suas responsabilidades na
ocorrncia de eventos do gnero. Verificar se existem registros de treinamentos peridicos
previstos e efetuados, para procedimentos de emergncia envolvendo fogo, inundao e
disparo de alarmes.
1.3.2.4. Medidas de preveno de interrupes inesperadas
53
CONTROLES GERAIS
Existem polticas e procedimentos atualizados de manuteno de hardware,

gerncia de problemas e gerncia de alterao de programas para prevenir interrupes
inesperadas da operao.
Existe hardware de reserva que garanta, em casos de problemas com o
equipamento principal, a disponibilidade do sistema para aplicaes crticas e vulnerveis.
Manutenes peridicas de hardware e software so programadas e executadas
de acordo com as especificaes dos fornecedores, em circunstncias que minimizem o
impacto na operao e na utilizao pelos usurios, e permitam a realizao dos testes
necessrios.
Existe flexibilidade suficiente nas operaes de processamento de dados para
acomodar a manuteno regular e um nmero razovel de manutenes no previstas.
Mudanas nos equipamentos de hardware e no software associado so
programadas de forma a minimizar o impacto da operao e utilizao pelos usurios e
permitir a execuo dos testes necessrios.
As mudanas de hardware so informadas com antecedncia para os usurios,
de forma a impedir que o servio seja interrompido inesperadamente.
1.3.3. Desenvolvimento e documentao de um plano geral de contingncia
1.3.3.1.
Documentao do plano de contingncia
Existe um plano de contingncia devidamente documentado que:

reflete as condies atuais da organizao;
foi aprovado pelos grupos mais afetados, incluindo a alta administrao, DTI e
gerentes proprietrios dos sistemas;
atribui as responsabilidades de recuperao de forma clara;
inclui instrues detalhadas para restaurar a operao, tanto do sistema
operacional quanto das aplicaes crticas;

identifica a instalao alternativa de processamento e o local externo de
armazenamento de cpias de segurana;
inclui procedimentos a serem seguidos quando o centro de processamento de
dados estiver impossibilitado de receber ou transmitir dados;
identifica os sistemas e os arquivos de dados crticos;
detalhado o suficiente para ser compreendido por todos os gerentes da

organizao;
foi distribudo para todas as pessoas apropriadas.
54
CONTROLES GERAIS
O plano prev pessoal substituto, de forma a poder ser implementado

independentemente de indivduos especficos.
Os departamentos usurios possuem procedimentos de processamento manual
e/ou perifrico para uso at a restaurao da operao.
Pelo menos duas cpias do plano de contingncia atualizado esto armazenadas
com segurana em diferentes locais.
O plano de contingncia periodicamente reavaliado e, se for o caso, revisto
para refletir alteraes no hardware, software e pessoal.
1.3.3.2.
Alternativas de processamento de dados e telecomunicao
Existem acordos com outros rgos ou entidades para estabelecer um centro de

processamento de dados e de telecomunicao substituto, que:
oferea condies de operao num espao de tempo compatvel com os
riscos da operao interrompida;
tenha capacidade suficiente de processamento;
apresente grande probabilidade de estar disponvel para uso em caso de

necessidade.
1.3.3.3.
Teste peridico do plano de contingncia, e realizao dos ajustes

apropriados
O plano de contingncia foi testado em condies que simulem um desastre.

Examinar as polticas de teste e os relatrios da sua execuo.
Os resultados dos testes foram documentados e um relatrio com as "lies
aprendidas" foi providenciado e encaminhado para a alta administrao.
O plano de contingncia e os acordos relacionados foram ajustados para corrigir
quaisquer deficincias constatadas durante o teste.
1.4. Controles de Acesso
Os controles de acesso tm o propsito de oferecer uma garantia razovel de
que os recursos computacionais (arquivos de dados, programas aplicativos, instalaes e
equipamentos relacionados aos computadores) so protegidos contra modificao ou
divulgao no autorizada, perda ou dano. Eles incluem controles fsicos, tais como
manuteno dos computadores em salas trancadas para limitar o acesso fsico, e controles
lgicos (softwares de segurana projetados para prevenir ou detectar acesso no
autorizado a arquivos crticos).
Controles de acesso inadequados diminuem a confiabilidade dos dados
processados pelo sistema e aumentam o risco de destruio ou divulgao indevida de
dados. Os seguintes exemplos ilustram as possveis conseqncias de tais
vulnerabilidades:
Obtendo acesso irrestrito a arquivos de dados, um indivduo pode fazer
mudanas no autorizadas para ganho pessoal ou para obter informaes

controladas. Por exemplo, uma pessoa poderia: alterar o nmero da conta de
55
CONTROLES GERAIS
um pagamento, desviando um desembolso para ela mesma; alterar

quantidades de inventrio, para esconder um furto; alterar uma quantia a
receber; obter informaes confidenciais a respeito de transaes ou
indivduos.
O acesso a programas aplicativos utilizados para processar dados permite a
modificao no autorizada desses programas, ou introduo de cdigos de
programao mal-intencionados, que poderiam ser utilizados para obter
acesso a arquivos de dados, resultando em situaes similares s indicadas
no item anterior. Por exemplo, um funcionrio poderia alterar o programa de
clculo dos salrios e gerar um pagamento indevido para ele mesmo.
Sem a presena de controles nos terminais ou equipamentos de
telecomunicao que permitem entrada nos sistemas computacionais da
entidade, um indivduo pode obter acesso a informaes confidenciais ou de
uso controlado que estejam em meios magnticos ou impressos; substituir
dados ou programas; furtar ou danificar intencionalmente equipamentos e
programas de computador.
Os objetivos de limitao do acesso visam a garantir que:
os usurios tenham acesso somente aos recursos necessrios para
executarem suas tarefas;

o acesso a recursos de alto risco, tais como softwares de segurana, seja
limitado a poucos indivduos;
os funcionrios estejam impedidos de executar funes incompatveis ou alm
da sua responsabilidade.
Se esses objetivos so atingidos, o risco de modificao ou divulgao indevida
de dados pode ser reduzido, sem interferncia nas necessidades prticas dos usurios. O
equilbrio apropriado entre necessidades do usurio e requerimentos de segurana exige
uma anlise cuidadosa da vulnerabilidade e importncia de cada recurso de informao
disponvel, em confronto com as tarefas executadas pelos usurios.
A implementao de controles de acesso apropriados exige primeiro a
determinao do nvel e tipo de proteo adequados a cada recurso e a identificao das
pessoas que precisam ter acesso a esses recursos. Essas definies devem ser efetuadas
pelos proprietrios dos recursos. Por exemplo, os chefes de departamentos precisam
determinar a importncia dos seus programas e dados e que nvel de acesso apropriado
para o pessoal que usa o sistema informatizado para executar, avaliar e relatar as
operaes do departamento. Da mesma forma, gerentes encarregados do desenvolvimento
e modificao de sistemas devem determinar a vulnerabilidade dos recursos de hardware e
software sob o seu controle e o nvel de acesso necessrio para os analistas de sistema e
programadores, e assim por diante.
Os elementos crticos que determinam a adequao dos controles de acesso so:
Classificao dos recursos de informao de acordo com sua importncia e

vulnerabilidade;
56
CONTROLES GERAIS
Manuteno de lista atualizada de usurios autorizados e seu nvel de
acesso;
Implantao de controles lgicos e fsicos para prevenir ou detectar acesso
no autorizado;
Superviso do acesso, investigao de indcios de violao da segurana e
adoo das medidas corretivas apropriadas.
A seguir apresentado um roteiro contendo os elementos crticos do Controle de
Acesso.
1.4.1. Classificao dos recursos de informao de acordo com sua
importncia e vulnerabilidade
Existem polticas e procedimentos documentados para a classificao dos
recursos de informao pelos critrios de importncia e vulnerabilidade dos dados.
Os proprietrios dos recursos esto cientes dos critrios de classificao
estabelecidos e efetuaram a classificao dos principais recursos sob sua responsabilidade.
A classificao dos recursos foi baseada em avaliaes de risco, documentada e
aprovada pela alta administrao e periodicamente revisada.
1.4.2. Manuteno de lista atualizada de usurios autorizados e nveis de
acesso
As autorizaes de acesso so:
documentadas em formulrios padronizados e mantidas
organizado;
aprovadas pelo proprietrio do recurso computacional;
em
arquivo
transmitidas para os gerentes de segurana de uma forma protegida.

Os proprietrios dos recursos computacionais periodicamente revisam as
autorizaes de acesso para verificar se continuam necessrias e adequadas.
O nmero de usurios autorizados ao acesso remoto dos sistemas limitado e
justificativas para esse acesso so documentadas e aprovadas pelos proprietrios dos
recursos (v. item 4.3.3 para controles adicionais de acesso remoto).
Os gerentes de segurana revisam as autorizaes de acesso e discutem
quaisquer autorizaes questionveis com os proprietrios dos recursos.
Todas as mudanas no perfil de segurana so automaticamente registradas e
revisadas periodicamente pela alta administrao.
Atividades no usuais so investigadas.
A segurana notificada imediatamente quando usurios do sistema so
demitidos ou transferidos.
As autorizaes de acesso temporrias so:
documentadas em formulrios padro e mantidas em arquivo;
57
CONTROLES GERAIS
aprovadas pela gerncia encarregada;

comunicadas de uma forma protegida para o servio de segurana;
automaticamente desativadas aps um perodo determinado.
Existem formulrios padro para documentar a aprovao para compartilhamento
de arquivos de dados com outras entidades. Examinar formulrios e entrevistar os
responsveis pela manuteno dos dados.
Antes do compartilhamento de dados ou programas com outras entidades, so
formalizados acordos que definem como esses arquivos e programas sero protegidos.
Examinar os documentos de autorizao de compartilhamento e os acordos de segurana.
1.4.3. Controles lgicos e fsicos para preveno e deteco de acesso
no autorizado
Todas as ameaas significativas para a segurana fsica dos recursos mais
vulnerveis foram identificadas. Verificar a disposio fsica dos recursos.
O acesso fsico limitado aos funcionrios que precisam rotineiramente dos
recursos computacionais, atravs de vigias, crachs de identificao, cartes magnticos
para acionar portas de acesso etc. Observar os pontos de acesso s instalaes durante a
hora de funcionamento e fora do expediente; verificar a lista de pessoas com acesso
autorizado s instalaes quanto adequao dos nomes includos.
A gerncia revisa regularmente a lista de pessoas com acesso fsico a
instalaes crticas.
Existem obstculos fsicos para o acesso sala de computadores, fitoteca e
outras instalaes crticas.
Todas as entregas e retiradas de fitas magnticas e outros meios de armazenar
dados so autorizadas e registradas.
Chaves, cartes magnticos de acionamento de portas e outros dispositivos de
acesso de reserva (que no esto sendo usados pelos funcionrios) so mantidos pela
gerncia de segurana de forma protegida.
Visitantes em reas crticas, tais como sala do computador central e fitoteca, so
formalmente registrados e acompanhados. Verificar o registro de entradas de visitantes;
entrevistar os vigias e responsveis pela segurana; observar o trnsito de pessoas pelas
reas crticas nos perodos dentro e fora do expediente normal.
Procedimentos adequados de abandono da rea de risco em situaes de
emergncia e de retorno do pessoal aps a normalizao da situao impedem o acesso
de pessoal no autorizado s reas crticas durante o evento (ameaa de incndio e outros
que exijam a desocupao do local).
As senhas so:
nicas para indivduos especficos, no grupos;
controladas pelos usurios e no sujeitas a divulgao;

alteradas periodicamente (entre 30 e 90 dias);
58
CONTROLES GERAIS
no apresentadas na tela durante sua digitao;

compostas de pelo menos seis caracteres alfanumricos e impedidas de
repetio antes de seis trocas pelo menos.
Existem restries quanto ao uso de nomes e palavras facilmente desvendveis

(analisar uma lista gerada pelo sistema de senhas em uso).
As senhas fornecidas para o primeiro acesso dos usurios so imediatamente
alteradas.
Cdigos de identificao e senhas de uso compartilhado pelos funcionrios no
so permitidos.
Os sistemas no permitem mais que trs tentativas de log-on (entrada em
comandos para iniciar uma sesso) com senhas invlidas.
Uma relao do pessoal em atividade, periodicamente atualizada, usada para
verificar automaticamente a lista de usurios autorizados do sistema para remoo da
senha de funcionrios demitidos ou transferidos.
Contas de acesso inativas so supervisionadas e removidas quando deixam de
ser necessrias. Verificar as especificaes do software de segurana, examinar uma lista
gerada pelo sistema de usurios inativos e determinar por que o acesso desses usurios
no foi cancelado.
Os usurios detentores de outros dispositivos de acesso, tais como cdigos e
cartes magnticos, tm conscincia da necessidade de sua guarda cuidadosa; de que
estes no podem ser emprestados ou compartilhados; e de que sua perda deve ser
imediatamente comunicada aos responsveis.
Identificao de caminhos de acesso: feita uma anlise dos caminhos lgicos
de acesso todas as vezes que ocorrem mudanas no sistema.
1.4.3.1. Controles lgicos sobre arquivos de dados e programas de

software
59
CONTROLES GERAIS
Softwares de segurana so usados para restringir o acesso aos arquivos de

dados e programas.
O acesso aos softwares de segurana restrito aos administradores de
segurana.
As sesses de acesso a sistemas via terminais de computador so terminadas
automaticamente aps um perodo de inatividade do operador.
Os responsveis pela administrao da segurana configuram o software de
segurana para restringir o acesso no autorizado a arquivos de dados, bibliotecas de
dados, procedimentos de operao em lote (batch), bibliotecas de cdigo fonte, arquivos de
segurana e arquivos de sistema operacional. Testar os controles tentando obter acesso a
arquivos restritos.
1.4.3.2. Controles lgicos sobre a base de dados
Controles sobre os gerenciadores de banco de dados (SGBD ou DBMS) e
dicionrios de dados foram implementados para:
restringir o acesso a arquivos de dados nos nveis de leitura de dados,
campos, etc.;
controlar o acesso ao dicionrio de dados usando perfis de segurana e
senhas;
manter trilhas de auditoria que permitam supervisionar mudanas nos
dicionrios de dados;
prever formas de pesquisa e atualizao de funes de aplicativos, funes de
SGBD e dicionrio de dados.
O uso das facilidades de SGBD limitado aos funcionrios cujas atribuies
exigem esse acesso.
O acesso ao software, s tabelas de segurana do SGDB, e a perfis de
segurana do dicionrio de dados controlado e restrito ao pessoal autorizado.
1.4.3.3. Controles lgicos sobre acesso remoto
Um software de comunicao foi implementado para:
identificar o terminal em uso, de forma a restringir o acesso por meio de
terminais especficos;
checar IDs (cdigos de identificao do usurio) e senhas para acesso a
aplicativos especficos;
controlar o acesso atravs de conexes entre sistemas e terminais;
restringir o uso de facilidades de rede em aplicaes especficas;

interromper automaticamente a conexo ao final de uma sesso;
manter registros da atividade na rede;
restringir o acesso a tabelas que definem opes de rede, recursos e perfis de
operador;
60
CONTROLES GERAIS
permitir que somente usurios autorizados desconectem componentes da

rede;
supervisionar o acesso discado, atravs do controle da fonte de chamadas, ou
pela interrupo da chamada e retorno da ligao para nmeros de telefone
previamente autorizados;
restringir o acesso interno aos softwares de telecomunicaes;
controlar mudanas nesses softwares;

garantir que dados no sejam acessados ou modificados por um usurio no
autorizado, durante sua transmisso ou enquanto temporariamente

armazenados;
restringir e supervisionar o acesso ao hardware de telecomunicaes ou
instalaes.
Nmeros para discagem remota no so publicados e so periodicamente
alterados.
Ferramentas de criptografia foram implementadas para proteger a integridade e
confidencialidade de dados e softwares vulnerveis ou crticos.
Existem procedimentos para apagar dados confidenciais e programas instalados
em recursos a serem descartados pela entidade (leiloados, doados etc.).
1.4.4. Superviso do acesso, investigao de evidncias de violaes de
segurana e adoo de medidas corretivas
Trilhas de auditoria so mantidas e todas as atividades envolvendo acesso e
modificao de arquivos vulnerveis ou crticos so registradas.
Violaes de segurana e atividades suspeitas, tais como tentativas frustradas de
entrada no sistema, so relatadas para a gerncia e investigadas (examinar os relatrios
sobre atividades suspeitas).
Os gerentes de segurana investigam as violaes de segurana e relatam os
resultados para a alta administrao.
Medidas de disciplina so tomadas para corrigir as violaes de segurana
detectadas.
Polticas de controle de acesso so modificadas quando violaes de segurana
so detectadas.
61
CONTROLES GERAIS
1.5. Controles de Software

Software de sistema o conjunto de programas projetados para operar e
controlar as atividades de processamento de um equipamento computacional.
Normalmente, um software de sistema utilizado para dar suporte e controlar
uma variedade de aplicaes que possam ser executadas num mesmo hardware de
computador.
O software de sistema auxilia a controlar e coordenar a entrada, processamento,
sada e armazenamento dos dados relativos a todas as aplicaes executadas no sistema.
Alguns softwares de sistema podem alterar dados e cdigos de programa em arquivos, sem
deixar uma trilha de auditoria.
So exemplos de software de sistema:
software de sistema operacional;
utilitrios de sistema;
sistemas de bibliotecas de programas;
software de manuteno de arquivos;
software de segurana;
sistemas de comunicao de dados;
sistemas de gerncia de base de dados (SGBD).
O controle sobre o acesso e a alterao do software de sistema so essenciais

para oferecer uma garantia razovel de que os controles de segurana baseados no
sistema operacional no esto comprometidos, prejudicando o bom funcionamento do
sistema computacional como um todo.
Se os controles nessa rea forem inadequados, indivduos no autorizados
podem utilizar o software de sistema para desviar dos controles de segurana, bem como
ler, modificar ou apagar informaes e programas crticos ou vulnerveis. Softwares de
sistema com controles ineficazes podem ser utilizados, ainda, para neutralizar controles
presentes em programas aplicativos, diminuindo significativamente a confiabilidade da
informao produzida pelas aplicaes existentes no sistema computacional, e aumentando
o risco de fraude e sabotagem.
As preocupaes com o controle de software de sistema so similares s de
controle de acesso discutidas na seo 4 e de controle de mudana de software a serem
apresentados da seo 6. Entretanto, por causa do alto nvel de risco associado com
atividades de software de sistema, a maioria das entidades possui um conjunto separado
de procedimentos de controle para essas atividades.
Os controles de software de sistema so avaliados atravs dos seguintes
elementos crticos:
Acesso limitado ao software de sistema;
Acesso e uso supervisionado do software de sistema;

Controle das alteraes do software de sistema.
62
CONTROLES GERAIS
A seguir apresentado um roteiro contendo os elementos crticos do Software de

Sistema.
1.5.1.
Acesso limitado ao software de sistema
Existem polticas e procedimentos atualizados para a restrio do acesso ao

software de sistema.
O acesso ao software de sistema restrito a um nmero limitado de pessoas,
cujas responsabilidades exijam esse acesso. (Programadores de aplicativos e operadores
de computador no devem possuir autorizao de acesso ao software de sistema.)
Os documentos com justificativa e aprovao da gerncia para o acesso ao
software de sistema so mantidos em arquivo.
O nvel de acesso permitido aos programadores de sistema periodicamente
reavaliado pelos gerentes para ver se a permisso de acesso corresponde s necessidades
de servio. Verificar a ltima vez que o nvel de acesso foi revisto.
1.5.1.1.
Caminhos de acesso
O sistema operacional configurado para impedir que os controles do software

de segurana e de aplicativos sejam ignorados. Testar os parmetros do sistema
operacional para verificar se ele est configurado para manter a integridade do software de
segurana e dos controles de aplicativos.
Todos os acessos a arquivos do software de sistema so automaticamente
registrados.
Todas as senhas e cdigos de entrada no sistema vindos de fbrica foram
substitudos.
Controles fsicos e lgicos foram instalados para proteger os terminais com
acesso ao software de sistema, incluindo restries ao acesso remoto a esses terminais.
1.5.2. Acesso e uso supervisionado do software de sistema
Existem polticas e procedimentos documentados e atualizados para o uso de
utilitrios do software de sistema.
As responsabilidades no uso de utilitrios de sistema foram claramente definidas
e compreendidas pelos programadores de sistema.
As responsabilidades pela superviso do uso de utilitrios de sistema esto
definidas e so exercidas pela gerncia de informtica.
O uso de utilitrios de sistema registrado em relatrios produzidos pelo
software de controle de acesso ou outro mecanismo de registro de acesso.
63
CONTROLES GERAIS
Os registros de acesso ao software de sistema e aos seus utilitrios so

periodicamente examinados pela gerncia de informtica, e atividades suspeitas ou no
usuais so investigadas.
Revises gerenciais so efetuadas para determinar se as tcnicas de superviso
do uso do software de sistema esto funcionando como previsto e mantendo os riscos
dentro de nveis aceitveis (avaliaes peridicas do risco).
1.5.3. Controle das alteraes do software de sistema
Existem polticas e procedimentos atualizados para identificar, selecionar, instalar
e modificar software de sistema, bem como identificar, documentar e solucionar problemas
com esse software.
A implantao de novas verses do software de sistema ou seus utilitrios segue
procedimentos de segurana, que incluem:
justificativa documentada para a alterao;
realizao de testes conduzidos num ambiente prprio e no no ambiente de

operao normal;
parecer tcnico sobre os resultados do teste;
reviso dos resultados dos testes e das opinies documentadas, pelo gerente
de T.I.;
autorizao do gerente de T.I. para colocar a nova verso do software de
sistema em uso.
Existem procedimentos para controlar alteraes de emergncia, incluindo a
forma de autorizao e documentao das alteraes de emergncia, relatrio do fato
gerncia e reviso da alterao por um responsvel pelo controle dessas alteraes.
1.5.3.1. Instalao do software de sistema
A instalao programada de forma a minimizar o impacto no processamento de
dados, sendo comunicada com antecedncia para os usurios.
A migrao para o uso do novo software testado e aprovado feita por um grupo
independente, responsvel pelo controle da biblioteca.
Verses ultrapassadas do software do sistema so removidas das bibliotecas de
programas em uso.
A instalao de todo software de sistema documentada e registrada, para
estabelecer uma trilha de auditoria e permitir a superviso da gerncia de informtica.
O software de sistema conta com o suporte do fornecedor.
O software de sistema e sua documentao so mantidos atualizados. Entrevistar
a gerncia e os programadores de sistema a respeito da atualizao do software de sistema
e sua documentao, e examinar a documentao para constatar se as alteraes mais
recentes foram incorporadas.
64
CONTROLES GERAIS
1.6. Controles de Desenvolvimento e Alterao de softwares Aplicativos

Softwares aplicativos so projetados para executar determinado tipo de
operao, a exemplo do clculo da folha de pagamento ou de controle de estoque.
Tipicamente, diversas aplicaes podem operar dentro de um mesmo conjunto de software
de sistema.
Os controles sobre a modificao de programas aplicativos ajudam a garantir que
somente programas e modificaes autorizadas sejam implementadas.
Sem um controle apropriado, existe o risco de que caractersticas de segurana
possam ser omitidas ou contornadas, intencionalmente ou no, e que processamentos
errneos ou cdigos fraudulentos sejam introduzidos. Por exemplo:
um programador pode modificar cdigo de programa para desviar dos
controles e obter acesso a dados confidenciais;
a verso errada de um programa pode ser implementada, perpetuando
processamentos errados ou desatualizados;
um vrus pode ser introduzido, prejudicando o processamento.
A principal preocupao deste item com o controle exercido sobre os sistemas
de software em operao (programas que manipulam os dados financeiros e informaes
utilizadas em auditorias, que sofrem a maior parte das alteraes de software). Entretanto,
os mesmos riscos e controles se aplicam aos sistemas em desenvolvimento.
Os elementos crticos para a avaliao dos controles de mudana e
desenvolvimento de software so:
Caractersticas de processamento e modificaes no programa so
devidamente autorizadas
Todos os softwares novos ou revisados so testados e aprovados
Bibliotecas de controle do software
A seguir apresentado um roteiro contendo os elementos crticos do Controle de

Alterao de Softwares Aplicativos
1.6.1.
Caractersticas de processamento e alteraes nos programas so

devidamente autorizadas
Foi desenvolvida uma metodologia de desenvolvimento de sistemas que:

fornece uma abordagem estruturada de desenvolvimento, compatvel com os
conceitos e prticas geralmente aceitos, incluindo o envolvimento ativo dos
usurios durante o processo;
suficientemente documentada, sendo capaz de oferecer orientao a
funcionrios com diversos nveis de conhecimento e experincia;
oferece meios de controlar mudanas nos requisitos de projeto que ocorram
durante a vida do sistema;
inclui requisitos de documentao.
O pessoal envolvido no desenvolvimento e teste de software foi treinado para
utilizar a metodologia de desenvolvimento adotada pela entidade.
65
CONTROLES GERAIS
Formulrios de solicitao de alterao de software so utilizados para

documentar pedidos e autorizaes de mudana.
As solicitaes de alterao so submetidas aprovao tanto dos usurios do
sistema quanto do DTI.
Os softwares de domnio pblico ou de uso pessoal so objeto de polticas
restritivas ( importante que a entidade tenha polticas claras com respeito ao uso de
softwares de domnio pblico ou de propriedade pessoal do funcionrio no trabalho. Permitir
aos funcionrios que utilizem seus prprios softwares, ou mesmo disquetes para
armazenamento de dados que foram usados em outro lugar, aumenta os riscos de
introduo de vrus, de violao de patentes e de processamento errado de dados, causado
pela utilizao de programas inadequados).
1.6.2.
Todos os softwares novos ou alterados so testados e aprovados
Foram desenvolvidos padres para os testes de software, que indicam as

responsabilidades de cada parte envolvida (usurios, analistas de sistema, programadores,
auditores, controle de qualidade etc.).
Planos de teste so documentados e aprovados.
Testes da rotina alterada e sua integrao com o sistema so executados e
aprovados de acordo com o plano de teste, utilizando um nmero suficiente de condies
vlidas e invlidas.
Uma amostra suficiente de transaes e dados utilizada para representar as
vrias atividades e condies que sero encontradas no processamento.
O ambiente de teste diverso do ambiente real (de processamento) e os dados
reais no so usados no teste de alteraes de programas, exceto para construir arquivos
de dados de teste.
Os resultados dos testes so revistos e documentados.
Alteraes de programa so colocadas em uso somente aps a aprovao formal
dos usurios e da gerncia de desenvolvimento de sistemas.
Quando o sistema novo ou modificado posto em operao, a documentao
atualizada em relao ao software, hardware, pessoal de operao e usurios.
A gerncia de informtica e/ou os administradores de segurana periodicamente
revisam as alteraes introduzidas nos softwares para determinar se os controles de acesso
e controles de alterao foram respeitados.
1.6.2.1.
Alteraes de emergncia
66
CONTROLES GERAIS
Existem procedimentos de alteraes de emergncia documentados.

As alteraes de emergncia so:
documentadas e aprovadas pelo supervisor de operao;
formalmente relatadas gerncia de operao para as providncias

necessrias;
aprovadas, ainda que depois de
desenvolvimento proprietrio do sistema.
realizadas,
pelos
gerentes
de
Existem procedimentos padro para distribuio de software novo ou alterado a

ser implementado.
Informaes sobre a alterao, incluindo a data de sua realizao, so fornecidas
para todos os setores que mantenham uma cpia do sistema.
1.6.3.
1.6.3.1.
Bibliotecas de controle do software

Identificao e inventrio de programas
Existe um software de gerenciamento da biblioteca para:

produzir trilhas de auditoria de alteraes no programa;
manter nmeros de verso dos programas;

registrar e relatar alteraes de programa;
manter informaes sobre datas de criao de mdulos em uso;
manter cpias de verses anteriores;
controlar atualizaes paralelas.
1.6.3.2.
Restries de acesso biblioteca
Bibliotecas separadas so mantidas para programas em desenvolvimento e

manuteno, programas em teste e programas em uso (em produo).
Cdigos-fonte so mantidos em biblioteca prpria.
O cdigo em uso, cdigo-fonte e cpias extras dos programas so protegidos por
software de controle de acesso e por caractersticas de segurana do sistema operacional.
1.6.3.3.
Controle do movimento de programas e dados entre bibliotecas.
Um grupo independente de usurios e programadores controla o movimento de

programas e dados entre bibliotecas.
Reprodues do cdigo do programa, antes e depois da alterao, so
arquivadas e comparadas para garantir que somente as mudanas aprovadas foram
implantadas.
67
2 CONTROLES DE APLICATIVOS
Controles de aplicativos so aqueles incorporados diretamente em programas
aplicativos, nas trs reas de operao (entrada, processamento e sada de dados), com o
objetivo de garantir um processamento confivel e acurado.
A avaliao dos controles de aplicativo deve sempre ser executada em conjunto
com a verificao dos controles gerais do sistema informatizado, bem como da legalidade
do processamento efetuado (isto , se o seu produto final est de acordo com as leis em
vigor e se est acarretando ou no desvio de recursos pblicos).
O presente mdulo tem por objetivo apresentar os controles que devem ser
verificados em trabalhos de fiscalizao que incluam a avaliao de um ou mais programas
aplicativos da organizao auditada.
2.1. Controles da Entrada de Dados
Os controles desta categoria so projetados para garantir que os dados so
convertidos para um formato padro e inseridos na aplicao de forma precisa, completa e
tempestiva.
Os controles de entrada de dados devem detectar transaes no autorizadas,
incompletas, duplicadas ou errneas, e assegurar que sejam controladas at serem
corrigidas.
2.1.1.
Documentos ou telas de entrada de dados
Existem procedimentos documentados para a insero de dados na aplicao.

Os documentos ou telas de entrada garantem a entrada de dados de maneira
exata e consistente.
Os campos de dados de preenchimento obrigatrio so facilmente identificveis
na tela.
Existem padres para as telas de entrada, quanto sua apresentao,
disposio dos campos e acionamento de teclas.
68
DESENVOLVIMENTO DE SISTEMAS
2.1.2.
Rotinas de preparao dos dados (batch)
Existem rotinas para a preparao dos dados a serem preenchidos em cada

documento.
H pessoas claramente identificadas como responsveis pela preparao,
reviso e autorizao da entrada de dados.
Existem rotinas escritas para cada atividade do processo de preparao de
dados, com instrues claras e adequadas.
2.1.3.
Autorizao para entrada de dados
Nem sempre possvel se ter procedimentos de autorizao antes da entrada de

dados. Em sistemas de entrada de dados on-line, so indispensveis as rotinas de
validao de dados para compensar a ausncia da autorizao. O sistema deve checar
automaticamente se o usurio est cadastrado para usar aquele aplicativo e se os dados
por ele preenchidos satisfazem a certas condies.
A organizao deve estabelecer rotinas que impeam o uso no autorizado ou o
mal uso de microcomputadores ou terminais durante a entrada de dados.
As verificaes abaixo indicadas devem ser utilizadas para entrada de dados
batch ou on-line:
no caso de aplicativos em que a entrada de dados ocorre em terminais ou
microcomputadores, h procedimentos de segurana para o uso, manuteno

e controle de cdigos de identificao do operador e do terminal ou estao
de trabalho.
os cdigos de identificao do operador e do terminal so checados no
processo de autorizao de entrada de dados.
existem procedimentos documentados para que, em caso de transmisso
eletrnica de documentos, a rota utilizada e os procedimentos de autorizao
sejam registrados.
os microcomputadores e terminais usados pela organizao para a entrada de
dados esto localizados em salas fisicamente seguras.
as rotinas de entrada de dados da organizao asseguram que esta atividade
s pode ser executada por funcionrios com determinado nvel de acesso.
as rotinas de entrada de dados da organizao prevem a gerncia e
utilizao de senhas para prevenir o uso no autorizado de
microcomputadores e terminais.
existem nmeros e cdigos de identificao nicos e individuais para
possibilitar o controle do acesso aos dados.
existem mecanismos de segurana para gerenciar o acesso batch a arquivos
de dados.
Verificaes para aplicaes com entrada de dados batch:

69
a aprovao da entrada de dados est limitada aos indivduos especificados
pela organizao em documento escrito.

o pessoal responsvel pela autorizao da entrada de dados no executa
outras tarefas incompatveis pelo princpio da segregao de funes (v.
mdulo de Controles Gerais, Controles Organizacionais - Segregao de
Funes - item 1.2.).
Na entrada de dados on-line deve ser verificado se:
existem controles lgicos e fsicos nos terminais e microcomputadores para
preveno e deteco de entrada de dados no autorizados.

foram instalados mecanismos de segurana para gerenciar a autorizao de
acesso s transaes on-line e aos registros histricos associados.
os mecanismos de segurana da organizao garantem que todas as
tentativas de acesso, com ou sem sucesso, so gravadas em logs que
registram data e hora do evento de acesso e identificam o usurio.
2.1.4.
Reteno de documentos de entrada (sistema batch)
Os documentos originais devem ser retidos pela organizao por um determinado

perodo de tempo com intuito de facilitar a recuperao ou reconstruo de dados.
Existem procedimentos documentados para reteno de documentos-fonte na
organizao.
Os documentos ficam retidos por tempo suficiente para permitir a reconstruo de
dados, caso sejam perdidos durante a fase de processamento.
Os documentos so mantidos em arquivos organizados, para fcil recuperao.
O departamento que originou os documentos mantm cpias dos mesmos.
Somente as pessoas devidamente autorizadas tm acesso aos documentos
arquivados.
Existem procedimentos documentados para remover e destruir os documentos
quando expirado o tempo de reteno, e estes so obedecidos.
2.1.5.
Validao dos dados de entrada
A organizao deve estabelecer rotinas que assegurem que os dados de entrada

so validados e editados de forma a espelharem corretamente os documentos originais.
Existem procedimentos documentados que definem o formato dos dados para
assegurar a entrada de dados no campo correto e com o formato adequado.
Nas rotinas de entrada de dados existem informaes de ajuda (help) para
facilitar a entrada de dados e reduzir o nmero de erros.
70
Existem mecanismos para a validao, edio e controle da entrada de dados

(terminais inteligentes ou software dedicado a essa funo).
Os campos essenciais para o correto processamento posterior dos dados so de
preenchimento obrigatrio.
Existem rotinas para detectar, rejeitar e impedir a entrada de dados incorretos no
sistema.
A validao dos dados executada em todos os campos relevantes do registro
ou tela de entrada.
As rotinas de validao de dados testam a presena de :
cdigos de aprovao e autorizao;
dgitos de verificao em todas as chaves de identificao;

dgitos de verificao ao final de uma seqncia (string) de dados numricos;
cdigos vlidos;
valores alfanumricos ou numricos vlidos;
tamanhos vlidos de campo;
campos combinados;
limites vlidos, razoabilidade dos valores ou faixa de valores vlida;
campos obrigatrios preenchidos;
smbolos;
registros de entrada completos;
campos repetitivos, eliminando a necessidade da entrada dos mesmos dados
mais de uma vez.
A organizao utiliza totais de controle de processamento em lote (batch),

gerados pelos terminais de entrada de dados ou pelo software dos microcomputadores,
para assegurar que todos os dados enviados em lote foram recebidos corretamente.
A rotina de entrada de dados da organizao estabelece um registro histrico dos
dados, proporcionando uma trilha de auditoria.
2.1.6.
Tratamento de erros
A organizao deve estabelecer rotinas para correo e re-submisso de dados

de entrada incorretos.
Existem rotinas para identificao, correo e re-submisso de dados incorretos.
71
A rotina de entrada de dados possui procedimentos automticos ou manuais que

permitem que dados errneos sejam prontamente corrigidos e re-submetidos;
Existe controle sobre os erros ocorridos na entrada de dados, sendo possvel
identific-los, juntamente com as medidas que foram tomadas para corrigi-los e o tempo
transcorrido entre a sua ocorrncia e sua correo.
As mensagens de erro geradas pela rotina de entrada de dados so
suficientemente claras e fceis de serem entendidas pelo usurio do terminal ou
microcomputador, facilitando a correo e a re-submisso dos dados.
2.1.7.
Mecanismos de suporte para entrada de dados
A organizao possui um grupo de controle responsvel pelas seguintes

atividades:
investigar e corrigir qualquer problema operacional no terminal,
microcomputador ou outro dispositivo de entrada de dados;
assegurar que os procedimentos de reinicializao so executados de maneira
apropriada;
monitorar as atividades de entrada de dados no terminal, microcomputador ou
outro dispositivo similar;
investigar qualquer desvio dos procedimentos de entrada de dados prestabelecidos.
Os recursos computacionais e humanos disponveis para a entrada de dados
garantem que estes sejam inseridos tempestivamente.
2.2. Controles do Processamento de Dados
Os controles de processamento devem assegurar que todos os dados de entrada
sejam processados e que o aplicativo seja executado com sucesso, usando os arquivos de
dados, as rotinas de operao e a lgica de processamento corretos.
2.2.1. Integridade do processamento
Existem procedimentos documentados que explicam a forma com que os dados
so processados pelo programa aplicativo.
Os sistemas on-line esto protegidos contra a atualizao simultnea de arquivos
por diferentes usurios.
Existem registros histricos (logs) que armazenam eventos ocasionados pelo
computador e seus operadores durante o processamento da aplicao, fornecendo uma
trilha de auditoria das transaes processadas.
Os cdigos de identificao do usurio, do terminal ou do microcomputador,
juntamente com os dados de data, hora e informao anterior alterao (esta ltima
quando a relevncia justificar) so mantidos em registros histricos.
72
2.2.2. Validao do processamento

Dados incorretos so rejeitados pelo aplicativo.
Procedimentos de validao so executados em todos os campos relevantes ou
de preenchimento obrigatrio, antes da gravao dos dados.
Em rotinas de arredondamento matemtico h um controle do efeito provocado
por esse arredondamento.
2.2.3.
Tratamento de erros do processamento
As rotinas de tratamento de erro devem ser capazes de identificar transaes

com erros e suspender seu processamento sem afetar a execuo de outras transaes
vlidas. Existem procedimentos documentados para identificao, correo e reinsero de
dados rejeitados.
As mensagens geradas pelas rotinas de tratamento de erro de processamento
so claras e objetivas.
Os arquivos temporrios de dados rejeitados pelo sistema so controlados
adequadamente e geram mensagens de alerta para que estes dados sejam devidamente
revisados e corrigidos.
Existe controle sobre os erros ocorridos durante o processamento de dados,
sendo possvel identific-los, juntamente com as medidas que foram tomadas para corrigilos e o tempo transcorrido entre a sua ocorrncia e sua correo.
2.3. Controles da Sada de Dados
Controles da sada de dados so utilizados para garantir a integridade e a correta
e tempestiva distribuio dos dados de sadas.
2.3.1. Reviso dos dados de sada
Os relatrios de dados de sada so revisados com relao sua integridade e
exatido antes da sua liberao para os usurios.
Existem procedimentos documentados para relatar, corrigir e refazer relatrios de
sada com erros.
A reviso dos relatrios de sada inclui o confronto das contagens de registros
com totais de controle para garantir que dados no foram inseridos ou omitidos
indevidamente.
2.3.2. Distribuio dos dados de sada
Cada relatrio impresso etiquetado para identificar o nome do produto, nome
do destinatrio e data e hora de produo.
Existem procedimentos escritos que descrevem o processo de distribuio dos
dados de sada (relatrios impressos ou on-line).
73
Existem listas de distribuio pr-definidas para todos os dados criados pela

aplicao. As listas de distribuio de dados so alteradas de acordo com as necessidades
da organizao.
Os usurios so questionados periodicamente para determinar se os dados
produzidos continuam sendo necessrios ou teis.
Os relatrios impressos so entregues ao seu destino dentro dos prazos
estipulados.
Existe controle sobre os dados de sada apresentados na tela para os usurios,
impedindo adulteraes.
Existe um registro histrico das informaes sobre os dados de sada.
Existem procedimentos documentados para reportar e controlar os erros
ocorridos no processamento dos dados de sada.
Os usurios so comunicados sobre os erros dos relatrios recebidos.
So mantidos registros dos relatrios com erros.
Existe controle sobre os erros ocorridos em relatrios (batch ou on-line), sendo
possvel identificar os erros, as medidas que foram tomadas para corrigi-los e o tempo
transcorrido entre a ocorrncia do erro e sua correo.
2.3.3. Segurana dos dados de sada
A organizao deve manter procedimentos para restringir o acesso aos relatrios
apenas ao pessoal autorizado.
Existem procedimentos documentados para classificar os relatrios como
confidenciais, crticos ou de acesso geral.
Existem procedimentos adequados que asseguram a segurana dos relatrios
considerados confidenciais pela organizao.
H procedimentos para restringir o acesso de dados confidenciais somente s
pessoas autorizadas.
Os usurios com acesso a relatrios confidenciais (impressos ou on-line) tm
conhecimento da necessidade de sigilo e tomam medidas adequadas para proteg-los.
Os relatrios confidenciais so claramente identificados ou marcados. Estes,
quando no so mais teis organizao, so destrudos de forma adequada.
74
3. DESENVOLVIMENTO DE SISTEMAS
A auditoria do desenvolvimento de sistemas objetiva avaliar a adequao das
metodologias e procedimentos de projeto, desenvolvimento, implantao e reviso psimplantao dos sistemas produzidos dentro da organizao auditada. Essa avaliao pode
abranger apenas o ambiente de desenvolvimento da organizao ou prever tambm a
anlise do processo de desenvolvimento de um sistema especfico, ainda na fase de
planejamento, j em andamento ou aps sua concluso.
O desenvolvimento de um sistema de informao representa um investimento
que no pode ser assumido sem dados confiveis e precisos sobre o custo do projeto, seus
benefcios e os riscos envolvidos. Todos os projetos de desenvolvimento de sistemas
precisam ter sido avaliados em profundidade, devendo ser precedidos de anlises de
custo/benefcio, capacidade de satisfao dos usurios e de atendimento aos objetivos da
organizao, custos de desenvolvimento, medidas de desempenho, planos de
implementao, previso de recursos humanos etc. So necessrios, tambm, mecanismos
gerenciais que auxiliem a definio da prioridade dos projetos e permitam sua avaliao e
controle durante todo o processo de desenvolvimento.
O desenvolvimento de sistemas possui diversas fases de evoluo que podem
ser separadas da seguinte forma: Planejamento; Elaborao do plano de desenvolvimento e
incio do projeto; Organizao do projeto; Elaborao do projeto de sistema; Reviso e
aprovao pelos dirigentes; Desenvolvimento e Implantao; e Reviso de psimplementao.
A seguir apresentado um roteiro para auditoria em sistemas em
desenvolvimento, que ir permitir a avaliao do ambiente e do processo de
desenvolvimento de sistemas na organizao auditada.
3.1. Fase 1: Planejamento
A organizao:
identifica as necessidades de informao ainda no atendidas e estabelece
um plano de ao para o desenvolvimento dos sistemas de maior prioridade;
estabelece e documenta as metodologias de desenvolvimento a serem
adotadas;
define e documenta as responsabilidades de todas as pessoas envolvidas no
desenvolvimento de sistemas.
A organizao possui uma estratgia de desenvolvimento de sistemas de
informao e elaborou um plano operacional consistente com essa estratgia,
estabelecendo a prioridade dos sistemas a serem desenvolvidos de acordo com sua
importncia para o cumprimento da misso institucional.
Foi estabelecida uma metodologia de desenvolvimento de sistemas que:
fornece uma abordagem estruturada de desenvolvimento, compatvel com os
conceitos e prticas geralmente aceitos;
75
prev o envolvimento ativo dos usurios no processo de desenvolvimento de
sistemas;
prev o uso de tcnicas atuais, tais como tecnologia de banco de dados, redes
de comunicao de dados, ferramentas CASE, linguagens de quarta gerao,
prototipao etc.;
suficientemente documentada, sendo capaz de oferecer orientao a
funcionrios com diversos nveis de conhecimento e experincia;
oferece meios de controlar mudanas nos requisitos de projeto que ocorram
durante a vida do sistema;
inclui requisitos de programao, documentao, padres para usurios,
programadores, desenvolvedores de sistemas e operadores do centro de
processamento de dados;
estabelece mecanismos de reavaliao, acompanhamento e controle em todas
as fases do processo, pela equipe e as gerncias envolvidas, permitindo
redirecionar os trabalhos ou abandonar o projeto, quando se concluir que o
novo sistema no ir atender s necessidades da organizao.
A organizao definiu e documentou as responsabilidades de todas as pessoas

envolvidas no desenvolvimento de sistemas.
Foram estabelecidos padres para os testes dos sistemas produzidos, com
indicao das responsabilidades de cada parte envolvida (usurios, analistas de sistema,
programadores, auditores, controle de qualidade etc).
O pessoal envolvido no desenvolvimento e teste de software foi treinado para
utilizar a metodologia adotada pela entidade e possui habilidades e conhecimentos
suficientes.
3.2. Fase 2: Elaborao do plano de desenvolvimento e incio do projeto
O projeto avaliado mais minuciosamente quanto a anlises de viabilidade
tcnica, custo/benefcio etc. Sendo confirmada a convenincia do desenvolvimento do
projeto, a organizao estabelece e aprova um plano de desenvolvimento ou modernizao
do sistema especfico, com elementos suficientes para permitir o seu projeto fsico e lgico
na prxima fase (natureza e abrangncia do sistema, requisitos de usurio que devero ser
atendidos e outras informaes relevantes).
selecionada a equipe de projeto, que deve ter, no conjunto, habilidades e
conhecimentos suficientes para conduzir com sucesso as atividades de elaborao do
projeto fsico e lgico, desenvolvimento e implantao do sistema.
O sistema a ser desenvolvido foi avaliado mais minuciosamente, tendo sido
realizadas anlises abrangendo custo/benefcio, estudo de viabilidade tcnica, importncia
da informao para os usurios e sua relao com os objetivos gerais e funcionais da
organizao, custos de desenvolvimento, planos de implementao, previso de recursos
humanos e demais elementos relevantes para a tomada de deciso.
76
A organizao estabeleceu e aprovou um plano de desenvolvimento ou

modernizao de sistema, com elementos suficientes para permitir o seu projeto fsico e
lgico (identificando a natureza do sistema, requisitos de usurio que devero ser atendidos
e outras informaes relevantes).
O projeto objetiva atacar deficincias reconhecidas ou problemas sistmicos da
organizao.
As estimativas e anlises feitas em relao a cronograma e custos so razoveis,
e os benefcios esperados so atingveis.
Foram reservados recursos suficientes para a completa realizao do projeto.
Foi designada uma equipe de projeto, formada por representantes do grupo de
usurios e do DTI, e que possui, em conjunto, os requisitos de habilidade e conhecimento
necessrios para desempenhar a tarefa.
3.3. Fase 3: Organizao do projeto
A equipe de projeto, com base no plano de desenvolvimento aprovado, cria e
submete gerncia um plano de trabalho, informando a abrangncia e contedo do projeto,
bem como os mecanismos de acompanhamento e controle (cronograma, datas-limite,
processo de superviso e acompanhamento das etapas, medidas de desempenho etc.), de
acordo com o estabelecido na metodologia de desenvolvimento de sistemas.
A equipe de projeto definiu claramente a abrangncia do projeto e o contedo do
sistema de forma coerente com os objetivos previstos no plano de desenvolvimento.
Os usurios concordaram com a abrangncia e o contedo do sistema.
Foi elaborado o plano de trabalho, contendo os mecanismos de
acompanhamento e controle do processo (cronograma, datas-limite, processo de
superviso e acompanhamento das etapas, medidas de desempenho), de acordo com a
metodologia de desenvolvimento de sistemas.
O plano de trabalho foi devidamente analisado e aprovado pela gerncia de
planejamento (ou similar) e pelo DTI.
3.4. Fase 4: Elaborao do projeto do sistema
A fase de elaborao do projeto de sistema consiste na produo dos seus
projetos fsico e lgico utilizando a metodologia de desenvolvimento de sistemas padro de
organizao .
A equipe de projeto define detalhadamente as especificaes tcnicas e
funcionais do sistema, da forma mais completa possvel, e elabora o projeto de sistema de
acordo com essas especificaes, levando em conta o ambiente de operao existente.
A equipe de projeto elaborou os projetos fsico e lgico do sistema e produziu um
documento que apresenta:
caractersticas do sistema - fsicas (plataforma, recursos exigidos) e funcionais
(atividades a serem executadas);
restries ou impedimentos que possam limitar sua implementao;
77
tecnologias envolvidas (arquitetura do sistema, sistemas de segurana,

questes de integrao, tais como interconectividade e interoperabilidade);
abordagem adotada para o projeto, seus componentes mais importantes e
como eles devero operar em conjunto para atingir os objetivos
organizacionais;
relatrios de viabilidade tcnica, anlise de riscos e custo/benefcio do projeto;
controles preventivos e corretivos, e trilhas de auditoria para os pontos crticos

do sistema.
Os projetos fsico e lgico esto dentro dos padres adotados pela organizao
no que diz respeito a hardware, software, sistema operacional e linguagem de
programao.
Os relatrios de viabilidade tcnica, anlise de riscos e custo/benefcio so
consistentes e confiveis.
3.5. Fase 5: Reviso e aprovao pelos dirigentes
Os departamentos envolvidos revisam todos os documentos produzidos para
determinar se o projeto adequado para atender s necessidades organizacionais e de
usurios; confirmam a exeqibilidade do projeto dos pontos de vista tecnolgico e
oramentrio; analisam o risco de atrasos ou extrapolao do oramento e aprovam o
ingresso na fase de desenvolvimento.
A equipe de projeto submeteu aos superiores um relatrio (ou documento similar)
para reviso e aprovao do projeto.
O gerente de TI analisou os documentos produzidos nas fases anteriores e
concordou com o seu contedo.
A rea usuria aprovou o relatrio da equipe do projeto, autorizando-a a seguir
para a fase de desenvolvimento e implantao do sistema
3.6. Fase 6: Desenvolvimento e Implantao
A equipe desenvolve (isto , codifica, integra e testa) o sistema e avalia sua
qualidade.
Os usurios testam o sistema e aprovam ou no sua implantao (etapa tambm
conhecida como homologao).
O sistema aprovado implantado, de acordo com planos detalhados de testes,
transio, implantao e operao.
78
O sistema foi produzido de acordo com a metodologia de desenvolvimento

adotada pela organizao e atende s especificaes de projeto.
A documentao do sistema desenvolvido apropriada, estando dentro dos
padres adotados pela organizao no que diz respeito a hardware, software, sistema
operacional e linguagem de programao, e contm descrio lgica, diagrama de fluxo de
dados, descrio de arquivos, modelo de relatrios e outros itens considerados relevantes
para o seu bom entendimento e controle.
Foram preparados manuais de operao, de usurio e de manuteno do
sistema, bem como um plano de treinamento dos futuros usurios.
3.6.1.
Teste do sistema
Foi criado um plano detalhado para o teste do sistema, compatvel com os

padres de teste estabelecidos pela organizao e respeitando as responsabilidades
definidas para cada parte envolvida (usurios, analistas de sistema, programadores,
auditores, controle de qualidade etc.).
Testes do sistema e de integrao com outros sistemas foram executados e
aprovados de acordo com o plano de teste, utilizando um nmero suficiente de condies
vlidas e invlidas.
Amostras suficientes de transaes e dados foram utilizadas para representar as
vrias atividades e condies que sero encontradas no processamento real.
O ambiente de teste diverso do ambiente real e dados reais no so usados no
teste de programas, exceto para construir arquivos de dados de teste.
Os testes foram revistos, documentados, seus resultados analisados e aprovados
pelo DTI e pela rea usuria do sistema.
Foi efetuado um teste de aceitao final junto a usurios selecionados.
As deficincias de desempenho foram devidamente corrigidas antes do sistema
ser considerado em condies de entrar em operao.
3.6.2. Implementao
O sistema desenvolvido colocado em uso somente aps a aprovao formal
dos usurios e da gerncia de desenvolvimento de sistemas.
Quando o sistema novo posto em operao, a documentao atualizada em
relao ao software, hardware, pessoal de operao e usurios.
Existem procedimentos padro para distribuio de software novo a ser
implementado.
3.6.3.
Bibliotecas de controle
As bibliotecas dos sistemas em desenvolvimento so independentes das de

sistemas em manuteno, testes e programas em uso.
79
Os cdigos-fonte so mantidos em biblioteca prpria.

3.7. Fase 7: Reviso de ps-implementao
A gerncia de desenvolvimento de sistemas verifica o grau de satisfao dos
usurios com os sistemas implementados e checa se os requisitos iniciais do usurio foram
ou no satisfeitos.
Foram feitas avaliaes de resultado do sistema desenvolvido, do atendimento
das necessidades e requisitos dos usurios e do seu grau de satisfao.
O sistema foi testado para verificar sua conformidade aos padres de
desenvolvimento e implantao estabelecidos pela organizao.
80
4. BANCO DE DADOS
Tradicionalmente, o termo banco de dados foi usado para descrever um arquivo
contendo dados acessveis por um ou mais programas ou usurios. Os arquivos de dados
eram designados para aplicaes especficas e o programa era projetado para acess-los
de uma forma predeterminada. Essa abordagem, no entanto, oferecia muitas dificuldades,
caso os dados ou o programa tivessem que ser modificados.
Uma alternativa mais moderna o acesso do banco dados por meio de um
sistema gerenciador de banco de dados (SGBD ou DBMS, do ingls Database Management
System).
Os SGBD surgiram para resolver problemas relativos a dados duplicados e
deficincias na integridade e segurana dos dados. Antes deles, medida que um aplicativo
era desenvolvido, os dados necessrios eram produzidos quase sempre em um formato
especfico para aquele programa. Se, por exemplo, um sistema de pessoal era criado,
seguido por um sistema de folha de pagamento, era normal que os dois sistemas tivessem
cpias separadas de elementos de dados comuns. Dessa forma, os dados eram duplicados
e sua integridade ameaada, j que as cpias de dados rapidamente perdiam o
sincronismo.
O papel do SGBD manter e organizar os dados e torn-los disponveis para
programas aplicativos, quando requisitados. O gerenciador de banco de dados um
software complexo, que se responsabiliza tambm pela segurana e integridade dos dados,
eliminando diversas tarefas de administrao que antes precisavam ser executadas pelos
aplicativos.
Os sistemas gerenciadores de banco de dados tornaram-se um requisito
essencial na maioria dos ambientes de tecnologia da informao. Apesar do alto custo de
sua instalao, suas vantagens costumam compens-lo.
As principais funes desempenhadas pelo SGBD so:
manter os arquivos que constituem o banco de dados;
oferecer uma interface uniforme para usurios e aplicativos que utilizam os

dados;
fornecer elementos de dados para aplicativos que os solicitem;
diminuir a necessidade de que o aplicativo saiba como os dados so

armazenados (estruturas de arquivos e registros);
manter a integridade dos dados, quanto ao seu contedo (validao) e
referncia (dependncia de um elemento na existncia de outro);
controlar o acesso aos dados por meio de mecanismos de segurana.
4.1. Dicionrios de dados
Quando os dados so compartilhados por duas ou mais aplicaes, como
acontece com os bancos de dados, preciso manter um registro de todos os elementos de
dados disponveis no sistema, suas caractersticas e como eles so usados pelos
programas aplicativos. Dicionrios de dados foram desenvolvidos com esse objetivo.
Normalmente, os Dicionrios de Dados armazenam as seguintes informaes
para cada elemento:
81
BANCO DE DADOS
descrio (nome dos elementos de dados, descrio do seu contedo);

formato e estrutura dos elementos de dados;
relao com outros elementos de dados;
programas ou transaes com acesso aos dados, e razo para esse acesso;
relatrios de sada que contm os elementos de dados.
4.2. Armazenamento de dados

O mtodo usado para armazenar os dados fica a cargo do prprio SGBD e
depende do tipo de sistema adotado, que pode ser hierrquico, em rede ou relacional.
Os SGBD hierrquicos e em rede normalmente armazenam dados como uma
estrutura de registros vinculados por ponteiros. Eles oferecem acesso rpido, mas sua
manuteno complexa.
Sistemas relacionais, os quais se baseiam em uma teoria matemtica definida
pelo Professor Ted Codd, nos anos 70, armazenam registros de dados em tabelas. Cada
tabela representada por um arquivo indexado. O relacionamento que existe entre registros
mantido mediante o uso de campos de referncias cruzadas das tabelas, as quais so
avaliadas durante o tempo de acesso aos dados. Isso significa que o sistema relacional
de fcil manuteno, porm mais lento quanto ao acesso quando comparado aos sistemas
hierrquicos ou em rede.
4.3. Acesso ao banco de dados
O acesso a banco de dados uma necessidade no s para programadores mas
tambm para usurios do sistema e gestores. A maioria dos gerenciadores de banco de
dados (SGBD) modernos oferecem diversos meios de acesso aos dados nele armazenados,
operando dentro de um esquema de controle de acesso bastante rigoroso.
Geralmente as consultas aos dados so feitas por um mecanismo interativo, por
meio do qual o usurio instado a fornecer instrues sobre que dados esto sendo
requisitados. Esse mecanismo de solicitao de dados freqentemente especfico para
um sistema, mas hoje h uma linguagem padro ANSI chamada SQL, que foi projetada para
atender ao modelo de banco de dados relacional mencionado anteriormente.
A SQL (Structured Query Language, ou Linguagem de Consulta Estruturada),
interpretada pelo SGBD, exige apenas que o usurio defina quais os dados desejados,
dispensando-o de informar como encontr-los. Isso, mais uma vez, facilita o trabalho de
desenvolvimento de aplicativos e representa uma das maiores vantagens do uso dos
SGBD, que a independncia dos dados.
4.4. Bancos de dados distribudos
Normalmente o banco de dados armazenado em um sistema computacional
nico, estando disponvel para usurios diretamente conectados a esse sistema, ou com
acesso via rede. Esse tipo de banco de dados, dito centralizado, muitas vezes satisfaz
completamente as necessidades da organizao.
Em algumas organizaes, entretanto, existe a necessidade de acesso aos
mesmos dados em diferentes localidades. Uma soluo alternativa seria instalar banco de
82
BANCO DE DADOS
dados duplicados em cada localidade, com uma cpia de todos os dados ou apenas dos
dados locais. Isso oferece independncia a cada localidade com relao disponibilidade
dos dados, caso seja interrompido o acesso ao sistema central, mas acarreta problemas de
manuteno, integridade e duplicao dos dados.
A melhor soluo, nesses casos, o uso de um SGBD que permita um banco de
dados distribudo. Cada localidade participante executa uma cpia do SGBD, que coopera
com as demais por meio da rede e, para todos os efeitos, forma um sistema nico.
Os dados que so compartilhados por meio da rede pelas diversas localidades
tambm so tratados pelo SGBD como um banco de dados nico e completo. Os dados so
distribudos pela a rede de acordo com as solicitaes de cada localidade, aumentando a
velocidade do acesso.
Por exemplo, um vendedor poderia solicitar informaes sobre todos os pedidos
dos clientes da companhia em que trabalha. O SGBD responderia juntando todos os
pedaos da informao espalhados pela rede e formando o conjunto de dados solicitado.
Os dados podem ser distribudos de forma horizontal (por registros) ou vertical,
(por campos dentro de uma tabela), de acordo com a necessidade especfica. A distribuio
do banco de dados evita a dependncia de uma s mquina e a necessidade da duplicao
de dados.
Os banco de dados distribudos so projetados para manter todas as vantagens
oferecidas pelos SGBD e funcionam, do ponto de vista do usurio, da mesma forma que um
banco de dados centralizado.
4.5. Administrao de banco de dados
O tamanho e a complexidade das bases de dados exigem que as organizaes
possuam um pessoal especificamente designado para cuidar de todos os aspectos da
administrao do banco de dados (coletivamente chamados de administrador de banco de
dados). As tarefas do administrador de banco de dados incluem a manuteno de estruturas
e sub-estruturas de dados, do software de SGBD e programas relacionados, documentao
do banco de dados, verificao da compatibilidade de novos sistemas com o banco de
dados, procedimentos de cpias de segurana, registros histricos e recuperao de falhas
do banco de dados etc. O administrador de banco de dados responsvel, tambm, pela
manuteno de controles sobre os dados, podendo combinar responsabilidades que
abranjam procedimentos e controles, que em sistemas convencionais seriam normalmente
efetuados por pessoas diferentes. Quando esses procedimentos e controles estiverem
muito concentrados no administrador de banco de dados, importante, para preservar a
adequada segregao de funes, que esse administrador seja impedido de obter acesso
no supervisionado s instalaes computacionais e aos sistemas em operao, bem como
de iniciar transaes.
4.6. Administrao de dados

Outro tcnico que merece destaque no DTI a figura do administrador de dados.
Este responsvel pelo controle de todos os tipos de dados que so manipulados pelo
banco de dados, do ponto de vista do seu significado, seu formato e relacionamento com
outros tipos de dados. Difere do administrador de banco de dados porque preocupa-se, no
83
BANCO DE DADOS
com os elementos operacionais e de segurana do funcionamento do banco de dados, mas

com os dados propriamente ditos, garantindo, por exemplo, que o mesmo dado (com mesmo
contedo) no seja armazenado como elementos de dados diferentes. Ele conhece,
sobretudo, o negcio da empresa, enquanto que o administrador de banco de dados deve
ser especialista no software gerenciador do banco de dados. Assim, o administrador de
dados garante, em primeira instncia, a uniformidade e coerncia do banco de dados,
possibilitando que os dados sejam inseridos de forma lgica e ordenada, pois nada
adiantaria possuir um software de ltima gerao se os elementos de dados fossem
definidos aleatoriamente.
A seguir, apresentam-se as tcnicas de controle e os procedimentos de auditoria
que podem ser usados em atividades de fiscalizao que tenham como objetivo avaliar os
bancos de dados da organizao auditada, em complemento s verificaes indicadas no
captulo 1 - Controles Gerais.
4.7. Avaliao de Banco de Dados
A seguir apresentado um roteiro para a avaliao de bancos de dados
4.7.1.
Controles da administrao de dados
Foram claramente definidas e documentadas as responsabilidades relacionadas

administrao de dados, tais como:
coordenao da manuteno dos dados (definio, criao, excluso e
propriedade dos dados);
estabelecimento de polticas de acesso, confidencialidade e integridade de
dados;
manuteno da documentao;
coordenao entre administrao de dados, usurios e programao de

sistemas;
desenvolvimento e manuteno de padres.
O pessoal responsvel pelas atividades de administrao de dados possui as

habilidades e conhecimentos tcnicos necessrios para execut-las.
A organizao estabeleceu padres e mtodos para o desenvolvimento de
aplicaes que utilizam bancos de dados.
As atividades de administrao de dados so armazenadas em registros
histricos e periodicamente analisadas por um supervisor.
84
BANCO DE DADOS
4.7.2.
Controles da administrao de banco de dados
Foram claramente definidas e documentadas as responsabilidades relacionadas

administrao de banco de dados, tais como:
projeto e manuteno da estrutura da base de dados;
reviso e avaliao da confiabilidade do sistema gerenciador de banco de

dados;
avaliao do pessoal encarregado das funes de banco de dados;
treinamento do pessoal responsvel pela administrao de banco de dados;

segurana de dados.
O pessoal responsvel pelas atividades de administrao de banco de dados
possui as habilidades e conhecimentos tcnicos necessrios para execut-las.
As atividades de administrao de banco de dados so armazenadas em
registros histricos e periodicamente analisadas por um supervisor.
O plano de treinamento em linguagens de acesso a banco de dados adequado.
4.7.3.
Controles de acesso ao banco de dados e dicionrio de dados
O uso das facilidades do gerenciador de banco de dados limitado ao pessoal

com atribuies compatveis com esse acesso.
Existem mecanismos para restringir o acesso a arquivos de dados e ao dicionrio
de dados (senhas, tabelas e perfis de segurana), impedindo o acesso a pessoas no
autorizadas.
O acesso ao software e s tabelas de segurana do SGBD e aos perfis de
segurana do dicionrio de dados limitado.
Foram estabelecidos procedimentos de autorizao de acesso ao banco de
dados, que so cumpridos.
So produzidos registros histricos de acesso e atualizao, bem como trilhas de
auditoria que possibilitem investigar o acesso e atualizao a elementos da base de dados.
O gerenciador de banco de dados controla o acesso simultneo aos elementos
de dados e possui mecanismos para prevenir processamento incorreto nessas situaes.
4.7.4.
Controles sobre o contedo e alteraes no dicionrio de dados
H consistncia entre as estruturas de dados do banco de dados e do dicionrio

de dados.
O dicionrio de dados contm os elementos necessrios, tais como:
data de criao e ltima atualizao;
descrio de cada elemento de dados;

chaves utilizadas;
85
BANCO DE DADOS
estrutura de cada elemento de dados (qual registro lgico contm o elemento);

programas e sistemas que utilizam cada elemento de dados e de que forma.
Foram estabelecidos procedimentos para produo de cpias de segurana
(backup) e recuperao do dicionrio de dados.
So mantidas trilhas de auditoria que permitam supervisionar mudanas nos
dicionrios de dados.
A alterao e a criao de novos nomes de arquivos e descrio de dados so
controladas e seguem padres e polticas predefinidos.
4.7.5.
Disponibilidade e recuperao do banco de dados
A organizao deve estabelecer polticas e procedimentos que garantam a

disponibilidade do banco de dados e sua pronta recuperao aps a ocorrncia de falhas
operacionais ou desastres. As tcnicas e procedimentos indicados devem ser usados em
conjunto com as apresentadas no item 3 - Continuidade do Servio, do mdulo A2 Controles Gerais.
Os procedimentos de backup de hardware e software asseguram a
disponibilidade da base de dados para as aplicaes consideradas prioritrias, em caso de
reduo da capacidade de operao.
Existem ns ou caminhos alternativos de acesso para bancos de dados
acessados via rede.
Foram estabelecidos procedimentos para recuperao lgica e fsica do ambiente
de banco de dados, e so obedecidos.
Os procedimentos de recuperao so periodicamente testados e atualizados.
4.7.6.
Integridade do banco de dados
Existem procedimentos para avaliar o desempenho do banco de dados.

O gerenciador de banco de dados apresenta elementos de controle sobre a
organizao, o acesso e o compartilhamento de dados.
Existem mecanismos de controle sobre a integridade dos dados, das rotinas e do
dicionrio de dados do sistema gerenciador de banco de dados.
O sistema gerenciador de banco de dados mantm um controle das mudanas
realizadas na base.
O gerenciador de banco de dados estabelece controles sobre atividades de
pesquisa, atualizao de aplicativos, funes de SGBD e dicionrio de dados.
86
5. REDES DE COMPUTADORES
Atualmente, bastante comum que os usurios de um sistema estejam em um
local diferente de onde se encontram os recursos computacionais da organizao. Isso
torna necessrio o uso de mecanismos de transporte de informaes entre diferentes
computadores e entre computadores e seus perifricos.
As redes de comunicao de computadores permitem s pessoas o acesso
instantneo a dados e a usurios em diferentes escritrios ou localidades da organizao.
Em resumo, as redes oferecem as seguintes facilidades:
acesso compartilhado a dados, aplicaes, impressoras e outros dispositivos;
correio eletrnico;
acesso a usurios e dispositivos remotos;
reduo do custo de software, por meio de licenas de multi-usurio;
acesso e execuo de processamentos em sistemas remotos.
Para o bom funcionamento da comunicao de dados so usados:

arquivo log de comunicaes, onde ficam registrados todos os blocos
transmitidos correta e incorretamente para efeito estatstico e para tentativas
de recuperao de dados transmitidos;
software de comunicao de dados para verificaes de protocolo de
transmisso, gravao do arquivo log de transaes e para codificao e
decodificao de sinais de comunicao;
protocolo de transmisso, que garante a recepo correta do bloco de
informaes transmitido;
software ou hardware para a realizao de codificao e decodificao das
informaes transmitidas.
O principal risco oferecido pelas redes o de acesso no autorizado a dados e
programas da organizao, que pode resultar em danos ou prejuzos intencionais ou
acidentais.
Existe uma grande variedade de software e hardware especializados em limitar o
acesso de indivduos ou sistemas externos a uma rede de comunicao. Exemplos de
componentes de rede que podem ser usados para limitar o acesso incluem gateways ou
firewalls (dispositivos que restringem acesso entre redes, importantes para reduzir o risco
associado ao uso da Internet), monitores de teleprocessamento (programas incorporados ao
sistema operacional dos computadores para limitar o acesso) e dispositivos de proteo dos
canais de comunicao.
Em alguns casos envolvendo telecomunicao, no possvel ou prtico
restringir o acesso rede mediante controles fsicos ou lgicos. Nesses casos, ferramentas
de criptografia podem ser usadas para identificar e autenticar usurios, bem como para
auxiliar na proteo da integridade e sigilo de dados e programas, quando estes se
encontram no sistema computacional; esto sendo transmitidos para outro sistema; ou
foram armazenados em meios removveis (disquetes e outros).
A criptografia envolve o uso de algoritmos (frmulas matemticas) e combinaes
de chaves (seqncias de bits) que servem para transformar uma mensagem em cdigos
87
REDES DE COMPUTADORES
ininteligveis para aqueles que no possuem a chave secreta necessria para decifr-los,
mantendo assim o contedo do arquivo ou mensagem confidencial. Servem tambm para
fornecer uma assinatura eletrnica, a qual pode indicar se alguma alterao foi feita no
arquivo, garantindo sua integridade e identificando o autor da mensagem.
Alm dos riscos associados facilidade de acesso a dados e programas, a
auditoria das redes de comunicao de computadores deve contemplar os riscos relativos
operao incorreta do sistema, perda de informaes no protegidas por cpias de
segurana e outras situaes que podem causar dano ou prejuzo organizao em funo
do ambiente de rede.
A auditoria de redes de comunicao deve abranger os seguintes elementos
crticos:
Gerncia de rede: devem existir procedimentos e polticas para auxiliar a
gerncia do ambiente de rede e padres definidos para controle do hardware

e do software envolvidos;
Segurana dos dados e da rede: devem existir mecanismos de controle de
hardware e software que garantam a segurana e integridade dos dados
mantidos no ambiente de rede e dos recursos fsicos que a compem; bem
como limitem e controlem o acesso a programas e dados;
Operao da rede: a organizao deve oferecer condies para uma
operao eficiente da rede, incluindo normas e procedimentos de treinamento
de pessoal, execuo de cpias de segurana, avaliao da eficincia do
servio e rotinas de recuperao da rede aps interrupes inesperadas;
Software de rede: a gerncia de rede deve monitorar e controlar o software
de comunicao e o sistema operacional instalado.
A seguir, apresenta-se um roteiro que pode ser usado em atividades de
fiscalizao que possuam como objetivo a avaliao de redes de computadores da
organizao auditada, em complemento s verificaes indicadas no mdulo A2 - Controles
Gerais.
5.1. AVALIAO DAS REDES DE COMUNICAO DE COMPUTADORES
5.1.1.
Gerncia de rede
Foram estabelecidos objetivos de curto e mdio prazos para o processamento de

dados distribudo da organizao, definindo precisamente as configuraes de hardware,
banco de dados, topologia de rede e interfaces de rede de comunicaes.
A escolha da plataforma de rede para a organizao foi precedida de uma anlise
de custo/benefcio fundamentada em elementos suficientes para justificar a alternativa
adotada.
88
O plano de implantao de processamento em rede contempla:

participao dos usurios;
riscos da converso dos sistemas;

as diferentes necessidades de processamento dos usurios das diversas
localidades;
testes de aceitao a serem executados pelo DTI (Departamento de
Tecnologia da Informao), pelo controle de qualidade e por usurios
selecionados.
Os procedimentos de controle do processamento em rede so testados e
avaliados periodicamente.
Existem procedimentos documentados que definem as atividades permitidas no
ambiente de rede.
Os procedimentos de operao da rede foram distribudos aos usurios de cada
departamento.
Foi estabelecido um mecanismo para garantir a compatibilidade de arquivos
entre as aplicaes, medida que a rede cresce em tamanho e complexidade.
Foi estabelecida uma poltica de auditoria e de backup para a rede.
Existem procedimentos documentados e responsabilidades atribudas para as
atividades de inicializao (start-up), superviso e uso da rede, e recuperao de defeitos
de funcionamento do hardware.
O Departamento de Tecnologia da Informao possui polticas, procedimentos e
padres documentados, atualizados e divulgados para o pessoal responsvel, cobrindo as
seguintes reas:
descrio resumida de cada aplicativo rodando na rede;
procedimentos de operao (tais como startup e shutdown);

gerncia de fitas e discos;
cpias de segurana (backup);
procedimentos de emergncia;
planejamento de contingncia.
5.1.2.
Segurana dos dados
Foram institudos mecanismos para padronizar

compartilhados e manter os dicionrios de dados de uso comum.
definies
de
dados
Existem mecanismos eficazes de controle sobre mudanas feitas nos dados

compartilhados.
5.1.2.1.
Integridade dos dados

89
Existem controles para garantir que a integridade dos dados seja mantida durante
a transferncia de dados na rede, tais como:
procedimentos de autenticao de mensagens;
mecanismos de garantia da exatido e integridade da transmisso.

5.1.3.
Segurana da rede
Os departamentos de usurios mantm um inventrio atualizado dos

equipamentos de rede que se encontram em seu local de trabalho e revisam
periodicamente a eficcia das prticas de segurana adotadas.
Os procedimentos de segurana so adequados para proteger os recursos
fsicos da rede e a integridade do software do aplicativo e dos dados armazenados, e so
periodicamente revisados (v. itens 1.2. Programa Geral de Segurana e 1.4. Controle de
Acesso, do captulo 1 - Controles Gerais).
O grupo responsvel pela segurana da rede confere periodicamente se a
documentao de segurana est devidamente atualizada e reavalia, com a freqncia
suficiente, a adequao dos controles de segurana:
do hardware de comunicao e estaes de trabalho;
do sistema operacional;
dos aplicativos relevantes;
dos dados considerados confidenciais.
Existe segregao de funes adequada entre gerncia de rede e gerncia de
segurana.
5.1.3.1.
Controle do acesso
So mantidas trilhas de auditoria por perodos razoveis, informando atividades

tais como:
login/out (local, hora e data, identificao do usurio);

tipo de acesso (discado, por estao de trabalho etc.);
tentativas de acesso invlidas (local, hora e data, ID).
Os usurios somente conseguem acesso aos discos, volumes, diretrios e
arquivos para os quais possuem autorizao.
Foram implantados controles de acesso aos terminais ou estaes de trabalho e
todos os usurios so identificados por senhas individuais.
Os terminais e estaes de trabalho so inabilitados aps um determinado
nmero de tentativas de acesso no autorizado.
Foram estabelecidos perfis de acesso para os usurios, que definem os recursos,
dados, aplicaes, transaes e comandos autorizados, de acordo com as
responsabilidades dos respectivos cargos.
90
5.1.3.2.
Segurana de comunicao na rede
Os controles so adequados para prevenir:

transmisso incompleta;
roteamento incorreto;
alterao no autorizada de mensagens;
divulgao no autorizada de informaes.
Os dispositivos de conexo da rede possuem controles de segurana, incluindo
pacotes de software e dispositivos de criptografia.
Existem controles de acesso e de implementao sobre as seguintes funes de
comunicao:
mudana do ambiente de rede;
acesso discado;
registro histrico de atividade da rede;
criptografia de dados.
5.1.4.
Segurana fsica
A segurana fsica oferecida para servidores e equipamentos de comunicao e

conexo em rede adequada.
Os servidores esto localizados em uma rea com acesso restrito apenas ao
pessoal autorizado.
Os terminais e estaes de trabalho possuem mecanismos de segurana fsica
que previnem a sua remoo no autorizada.
5.1.5.
Plano de contingncia
A organizao desenvolveu um plano de contingncia para a recuperao da

rede, que inclui:
proteo de arquivos de dados;
procedimentos para vrios nveis de interrupes e emergncias;

procedimentos de recuperao de aplicaes do sistema;
lista de documentos e arquivos com cpias a serem mantidas em outro local.
O plano de contingncia testado em simulaes peridicas.
91
5.1.6.
Operao da rede
Os procedimentos de administrao e operao da rede esto documentados e

atualizados.
As responsabilidades de operao esto claramente definidas para todas as
posies e preservam o princpio da segregao de funes.
O DTI estabeleceu um acordo de nvel de servio com os usurios que define:
disponibilidade da rede;
tempo de resposta;
requerimentos de backup;
requerimentos de controle e segurana.
Existem procedimentos para a avaliao peridica da rede, quanto ao seu

desempenho, tempo de resposta e tempo de recuperao aps falhas.
Existem procedimentos documentados para a administrao de problemas e sua
soluo, e estes indicam as responsabilidades dos fornecedores. Examinar os registros de
resoluo de problemas e determinar se os problemas esto ocorrendo com freqncia
excessiva, se o tempo de resoluo razovel e se algum problema reportado
conseqncia de falhas nos controles do sistema.
5.1.6.1.
Falhas e interrupes de servio
A configurao de rede impede que a ocorrncia de uma falha em um de seus

pontos provoque a queda de toda a rede.
A rede contm mecanismos que minimizam o impacto provocado por uma falha
do sistema e existem procedimentos documentados para o retorno operao, caso ocorra
uma interrupo inesperada do servio.
Os procedimentos de recuperao da rede aps interrupes inesperadas do
servio so periodicamente testados e atualizados (se for o caso), e o pessoal responsvel
est devidamente capacitado para executar as atividades necessrias de forma eficiente e
rpida.
5.1.7.
Software de rede
O software de comunicao de rede contm mecanismos para armazenar

temporariamente mensagens destinadas a usurios provisoriamente desconectados e
retransmiti-las automaticamente quando a conexo for restabelecida.
Existem procedimentos documentados tratando da manuteno de rotas de
comunicao normais e alternativas.
O software de rede apresenta rotinas de tratamento de erros e de superviso do
desempenho.
Foram especificadas em contrato as manutenes preventivas e reparadoras da
rede.
92
5.1.7.1.
Controle de alteraes
Existem mecanismos de controle e registro das mudanas efetuadas no software

de rede.
Os procedimentos de alterao do software de rede so adequados e prevem
mecanismos de superviso e autorizao.
De modo geral, os procedimentos de controle de alteraes do sistema levam em
considerao o impacto para a organizao, incluindo a disponibilidade do sistema, impacto
para usurios, eficincia do sistema e atualizao da documentao e manuais.
Existem procedimentos adequados para informar, treinar e auxiliar o pessoal de
operaes na implementao e suporte de mudanas no software de rede.
93
6. MICROCOMPUTADORES
Normalmente so chamados de microcomputadores os computadores de mesa
que compreendem um processador, discos rgido e flexvel, monitor e teclado. Os
microcomputadores podem ser utilizados isoladamente ou estar conectados a uma rede,
com o propsito de compartilhar dados ou perifricos.
Os microcomputadores oferecem s organizaes diversas vantagens quanto ao
aumento de eficincia e flexibilidade. Entretanto, em razo da necessidade de mecanismos
de segurana prprios, que diferem daqueles tipicamente instalados num centro de
processamento de dados, a organizao tambm pode ficar exposta a riscos substanciais.
Exemplos dos riscos especficos associados aos microcomputadores:
familiaridade - por causa da aparente simplicidade e facilidade de uso, existe o
risco de que o uso inadequado seja subestimado por usurios e pela gerncia;
custo - ainda que os microcomputadores em si possam ser considerados de
baixo custo, importante levar em conta o custo dos softwares, perifricos e
manuteno, que pode elevar significativamente o custo de uma mquina;
localizao - microcomputadores normalmente esto localizados em escritrios
comuns, com pouca proteo contra furto, acesso no autorizado ou dano
acidental;
softwares proprietrios - apesar de ser mais barato adquirir programas do que
desenvolv-los internamente, os softwares oferecidos pelo mercado muitas
vezes no apresentam mecanismos de segurana adequados;
conexo com outros computadores - quando os microcomputadores so
usados como terminais de mainframes ou inseridos em uma rede de
comunicao de computadores, o seu uso no autorizado pode levar ao
acesso indevido a dados e programas de toda a organizao.
Para que possa proteger-se contra esses riscos, a organizao precisa adotar
polticas e procedimentos especficos quanto ao uso de microcomputadores pelos seus
funcionrios, compreendendo padres de hardware, software, aquisio, treinamento e
suporte, alm dos controles gerais e de aplicativos.
Os microcomputadores precisam de controles especficos destinados a proteglos da perda de dados e programas por furto ou acidente (a ser evitada por restries
fsicas de acesso s mquinas, controles de software, tais como senhas de acesso e
realizao peridica de cpias de segurana), e do furto de equipamentos (por meio de
mecanismos adequados de segurana no local de trabalho).
Os elementos crticos para a auditoria dos microcomputadores so:
Controles do software em uso: destinados a garantir a consistncia da
operao do software instalados nos microcomputadores, impedindo a

instalao de programas no autorizados, a alterao indevida do software
instalado etc.
94
MICROCOMPUTADORES
Segurana: controlam o acesso a recursos computacionais, dados e

programas, protegendo-os contra alteraes indevidas, furtos, divulgao de
documentos sigilosos etc.
Controles sobre a operao: protegem os recursos de microinformtica
contra prejuzos e danos causados por falta de treinamento de pessoal e de
manuteno adequada.
A seguir, apresentado um roteiro indicado para a auditoria na rea de
microcomputadores, que deve ser complementado pelas investigaes sobre controles
gerais e de aplicativos apresentados nos captulos 1e 2 deste manual.
6.1. Controles do software em uso
A organizao estabeleceu polticas, padres e procedimentos documentados
para aquisio e uso de microcomputadores e do software associado, abrangendo tambm
dados sobre:
desenvolvimento e teste de aplicativos;
documentao;
controles de entrada, sada e processamento;
backup e recuperao de dados e programas;
autorizao para o uso de software, hardware e dados.
A organizao mantm um inventrio atualizado dos recursos de microinformtica

(hardware e software), sua localizao fsica, seus usurios, softwares em uso etc.
A aquisio de recursos de microinformtica precedida de anlise de
custo/benefcio e da compatibilidade dos mesmos com o ambiente j instalado.
O uso dos microcomputadores supervisionado pelos gerentes de cada unidade.
Existem normas que probem a instalao de programas pessoais dos
funcionrios nos microcomputadores da organizao e mecanismos para prevenir e detectar
o uso ou instalao de programas no licenciados (software pirata).
A documentao do software de micro mantida atualizada e em local seguro.
Os departamentos de usurios de micros possuem procedimentos documentados
para catalogar, armazenar e fazer cpias de segurana de arquivos de dados e programas,
e estes esto sendo seguidos.
6.2. Controles de Segurana
Os recursos de microinformtica foram classificados de acordo com sua
importncia e vulnerabilidade, de forma a permitir que os mecanismos de controle sejam
direcionados para a proteo dos recursos que ofeream maiores riscos para a
organizao.
Existem mecanismos de identificao de usurios e verificao do nvel de
acesso aos microcomputadores (cdigos de identificao ou IDs, senhas individuais).
Os microcomputadores conectados rede pblica de comunicao tm
mecanismos de proteo contra acesso externo indevido.
95
MICROCOMPUTADORES
Cdigos de identificao e senhas de uso compartilhado pelos funcionrios no

so permitidos.
Os procedimentos para documentao e backup de programas, arquivos de
dados e aplicativos so adequados e esto sendo seguidos.
Os backups de dados crticos ou confidenciais so mantidos em local seguro.
O plano de contingncia contempla o ambiente de microinformtica (v. captulo 1
- Controles Gerais, Continuidade do Servio Desenvolvimento e documentao de um
plano geral de contingncia).
Os programas aplicativos so protegidos contra atualizaes indevidas.
Os recursos fsicos de microinformtica contm identificao nica e so
inventariados.
So utilizados estabilizadores de energia ou outros dispositivos similares para
proteo dos microcomputadores.
A organizao mantm em todos os seus micros programas anti-vrus em verses
atualizadas.
Os usurios de micro costumam submeter ao programa anti-vrus os disquetes
recebidos de ambientes externos organizao.
So oferecidos seminrios, palestras ou cursos aos funcionrios da organizao
com intuito de conscientiz-los sobre a importncia da segurana em ambiente de
microinformtica.
Os funcionrios da organizao so conscientes dos riscos que envolvem os
microcomputadores e agem de forma a minimiz-los.
6.3. Controles sobre a operao
Os usurios de micro recebem treinamento adequado.
So programadas manutenes
microcomputadores da organizao.
peridicas
preventivas
em
todos
os
O contedo dos discos rgidos dos microcomputadores supervisionado e

controlado.
Existe um centro de suporte ao usurio capaz de dar informaes, tirar dvidas
de utilizao e registrar problemas com o processamento.
96
GLOSSRIO
Aplicativo ou aplicao: programa ou conjunto de programas de computador que efetua
uma ou mais tarefas aplicadas a um campo especfico. Dependendo do tipo de tarefa para o
qual foi projetado, o aplicativo pode manipular texto, nmeros, grficos ou a combinao de
todos estes elementos.
Arquivo: coleo organizada de informaes, preparada para ser usada com finalidade
especfica e identificada por um nome.
Banco ou base de dados: (1) coleo de dados organizados. (2) conjunto de todas as
informaes armazenadas em um sistema de computao.
Cdigos-fonte: (1) arquivo (texto) ou instrues originais a partir das quais um programa
criado; (2) representao textual de um programa ou procedimento.
Controle de acesso: recurso que permite bloquear acesso a dados, de pessoas no
autorizadas.
Controles de aplicativo: mtodos e procedimentos contidos no software do aplicativo cuja
funo garantir autoridade para originar dados, exatido dos dados de entrada,
integridade do processamento e distribuio dos dados de sada.
Controles gerais: controles aplicveis a todos os processamentos executados em um
ambiente informatizado, visando garantir que o ambiente computacional como um todo seja
eficiente, eficaz, seguro e confivel. Esto relacionados organizao, projeto,
desenvolvimento, modificao e segurana dos sistemas.
Dados: (1) representao formalizada de fatos, conceitos ou instrues, adequada para
comunicao, interpretao ou processamento; (2) qualquer representao, tais como
caracteres, smbolos etc., a qual pode ser associado um significado.
Dados de teste: conjunto de dados escolhidos especificamente para testar um sistema.
DBMS: v. Sistema gerenciador de banco de dados.
Departamento de Tecnologia da Informao (DTI): termo utilizado para substituir o antigo
CPD (Centro de Processamento de Dados), representando o departamento responsvel por
todos os servios ligados rea de informtica, tais como de redes de computadores,
centrais de telecomunicao, etc. Normalmente composto pelas seguintes categorias de
pessoal:
Gerncia de TI: diviso corporativa, chefiada por um Diretor

Executivo.
Diviso de desenvolvimento e suporte de aplicaes: dedicada ao

projeto, desenvolvimento e manuteno de softwares aplicativos. Pode consistir em
diversas equipes de desenvolvimento, incluindo analistas de sistema, projetistas e
programadores.
Diviso de operaes: setor chefiado pelo Gerente de Operaes e

responsvel pela organizao e operao diria do hardware e dos sistemas em uso.
Presta servio para as equipes de desenvolvimento de aplicativos e usurios de sistemas.
Diviso de suporte de produo: intermedirio entre usurios e

pessoal de operao e redes de comunicao, oferecendo suporte para a identificao e
97
soluo de problemas e falhas do sistema. Essa diviso pode tambm ser responsvel pela
administrao de base de dados para aplicaes.
Diviso de software de sistema: o grupo de programao de sistema

que ser responsvel pela instalao e manuteno de software de sistema e dar suporte
ao resto do pessoal de TI e usurios em matrias tcnicas. Eles garantem que os sistemas
de hardware e software operam com desempenho timo.
Diviso de comunicao de dados: o grupo de comunicao de

dados ou rede oferece assistncia e auxlio aos usurios do sistema que experimentem
problemas de teleprocessamento ou precisam comunicar com dispositivos ou usurios
remotos. So responsveis pelo desenvolvimento e manuteno de toda a rede de
comunicao da entidade.
Dicionrio de dados: repositrio centralizado de informaes sobre dados, como por
exemplo, seu significado, relacionamento com outros dados, origem, utilizao e formato.
Auxilia os administradores de base de dados, analistas de sistemas e programadores no
planejamento efetivo, controle e avaliao do sistema, armazenamento e utilizao dos
dados.
Documento-fonte:
computacional.
registro
original
que
dever
ser
convertido
para
linguagem
Elemento de dado: item especfico de informao que tem parmetros definidos (exemplo:
nmero de CGC).
Elementos-chave de controle: pontos de controle que, num sistema, desempenham uma
funo essencial para evitar ou detectar erros em fases decisivas dos procedimentos ou
operaes.
Entrada de dados: mtodo de introduzir dados em um computador para processamento,
normalmente via terminais ou micros.
Firewall: conjunto de componentes de hardware e software instalado entre redes com o
propsito de segurana. A implementao deste dispositivo pode prevenir ou reduzir
ataques ou invases s bases de dados corporativas. Pode-se instalar firewalls entre as
sub-redes de uma rede interna ou firewalls externos para proteger a rede corporativa de
ataques vindos do exterior. O firewall composto por duas partes: choke e gate. Ambas
podem estar no mesmo computador ou em computadores diferentes. Na configurao do
firewall aconselhvel desabilitar os servios de rede no necessrios para a organizao.
Gateway: mquina ou conjunto de mquinas que fornecem servios entre duas redes. So
dispositivos usados na traduo entre protocolos de aplicao.
Gerenciador de banco de dados: v. Sistema gerenciador de banco de dados.
Hardware: - (1) componentes fsicos (equipamentos) de um sistema de processamento de
dados; (2) equipamento mecnico e eletrnico, combinado com software (programas,
instrues etc.) na implementao de um sistema de processamento de informaes
eletrnicas.
Integridade de dados: (1) qualidade de resistncia do dado a perdas ou a tentativas de
destruio ou alterao, acidental ou intencional; (2) qualidade dos dados mantidos em
computador de, em conjunto, representarem o universo completo dos dados originais em
que se baseiam.
98
Interconectividade: habilidade de conectar eletronicamente um equipamento. Por exemplo,

conectar-se a uma rede, enviar e receber dados.
Interoperabilidade: habilidade de sistemas trabalharem juntos, enviar e interpretar
mensagens, compartilhar dados etc.
Log: arquivo em disco ou fita no qual so registrados todos os fatos relevantes relativos ao
processamento de uma transao. Muito til para a recuperao de informaes para fins
de auditoria ou recuperao aps falhas.
Nvel de acesso: conjunto de caractersticas que define o tipo de atividade permitida pelo
usurio em um sistema computacional (ex.: somente consulta, entrada de dados, alterao
de configuraes, etc.).
Plataforma: tecnologia base de um sistema de computao.
Projeto: aplicao de recursos materiais e humanos a um objetivo especfico, mediante a
execuo de uma seqncia pr-estabelecida de eventos, com princpio, meio e fim.
Projeto de sistema: fase de produo dos sistemas em que se elaboram os projetos fsico
e lgico do sistema, com especificaes detalhadas para o seu desenvolvimento.
Proprietrio ou Gestor de dados ou sistema: setor responsvel pela manuteno e
utilizao de determinado sistema. Os proprietrios devem ser os primeiros responsveis
pela segurana dos seus dados
Recursos computacionais: elementos que fazem parte de um sistema computacional,
incluindo dados, programas, equipamentos e instalaes.
Registro: grupo de fatos ou campos de informao relacionados entre si, tratados como
unidade.
Risco: efeito latente resultante da exposio de um sistema a uma situao qual este
vulnervel.
Risco de confiabilidade: (1) risco de que os dados utilizados no sejam suficientemente
confiveis para o fim a que se destinam; (2) risco de que os dados no sejam exatos e
completos o suficiente para servir de fundamento para achados de auditoria.
Sada de dados: informao transferida a partir de um computador para o mundo externo.
99
Segurana computacional: conceitos e tcnicas (medidas fsicas, administrativas e

tcnicas) usadas para proteger hardware, software e dados de um sistema contra dano,
destruio, acesso, manipulao, modificao, uso ou perda, decorrente de ao deliberada
ou acidental. O objetivo da segurana computacional assegurar integridade e
disponibilidade do sistema e o sigilo das informaes nele contidas.
Segurana de dados: preveno contra acesso ou uso de dados por pessoal no
autorizado.
Segurana fsica: medidas de segurana para proteger os sistemas de informao, prdios
e equipamentos contra incndio e outras intempries naturais, ataques, invaso e
acidentes. Geralmente feita atravs de controles administrativos, alarmes, trancas,
crachs de identificao etc.
Segurana fsica e lgica de um sistema: conjunto de salvaguardas tecnolgicas e
administrativas estabelecidas e aplicadas para proteo de hardware, software e dados
contra alteraes acidentais ou propositais ou, ainda, destruio.
Sistema: conjunto de processos ou elementos inter-relacionados, que funcionam juntos
para atingir um determinado resultado.
Sistema de processamento de dados: conjunto de equipamentos e programas de
processamento de dados capaz de aceitar informaes, process-las de acordo com um
plano e produzir os resultados desejados.
Sistema gerenciador de banco de dados (SGBD ou DBMS): programa projetado para
permitir a criao de arquivos especialmente organizados, bem como entrada, manipulao,
remoo e elaborao de um relatrio dos dados existentes nesses arquivos.
Sistema on-line: sistema em que os dados so introduzidos no computador diretamente
pelo ponto de origem (o qual pode ser remoto ou local) e a sada retornada imediatamente
a este mesmo ponto.
Software: conjunto de programas e instrues que operam o computador. So dois os tipos
de software de computador: software de sistema, o qual engloba operaes bsicas
necessrias para operar o hardware (por exemplo, sistema operacional, utilitrios de
comunicao, monitores de performance, editores, compiladores etc.) e software aplicativo,
o qual executa tarefas especficas para auxiliar os usurios em suas atividades.
Teste: execuo de um programa, processo ou rotina com intuito de identificar suas falhas.
Transao: conjunto de atividades.
Trilha de auditoria: (1) rotinas especficas programadas nos sistemas para fornecerem
informaes de interesse da auditoria. (2) conjunto cronolgico de registros que
proporcionam evidncias do funcionamento do sistema. Estes registros podem ser utilizados
para reconstruir, revisar e examinar transaes desde a entrada de dados at a sada dos
resultados finais, bem como para rastrear o uso do sistema, detectando e identificando
usurios no autorizados.
Usurio: qualquer pessoa que utiliza computadores e aplicativos.
100
Usurios de dados: funcionrios ou terceiros que possuem direitos de acesso concedidos

pelos proprietrios do sistema.
Utilitrio: programa projetado para otimizar ou facilitar o trabalho com computadores,
reparar danos em software/hardware, ajudar a prtica da programao, realizar
configuraes, cpias de segurana, varreduras anti-vrus, etc.
Validao: (1) processo de avaliao de um sistema ou componente durante ou ao final do
processo de desenvolvimento, para determinar se este satisfaz os requerimentos
especificados; (2) processo de verificao dos dados de entrada de uma aplicao.
Vulnerabilidade da informao: qualidade ou condio da informao ser vulnervel,
determinada a partir da avaliao dos seguintes aspectos:
disponibilidade: as informaes, os servios, os sistemas ou os programas
podem causar prejuzos se no estiverem disponveis no momento oportuno?
confidencialidade: a informao pode causar prejuzos se for divulgada?
integridade: a informao pode causar prejuzos se for modificada, estiver

incorreta ou incompleta?
101
BIBLIOGRAFIA
PARTE 1 Tecnologia da Informao e Atividade de Fiscalizao

CIPFA (1997). Computer Audit. Londres, Reino Unido.
------ (1997). A Guide to Certification Audit. Londres, Reino Unido.
GAO (1991). Preparing, Documenting and Referencing Microcomputer Data Base
Applications. Washington-DC, EUA.
------ (1996). Assessing the Reliability of Computer Processed Data. Washington-DC,
EUA.
TCU (1996). Manual de Auditoria do Tribunal de Contas da Unio. Braslia-DF.
102
BIBLIOGRAFIA
PARTE 2 Auditoria de Sistemas de Informao

AUDINET (1997). LAN Audit Program in ASAP Auditor Sharing Audit Programs. Internet.
------ (1997). LAN Basic Audit in ASAP Auditor Sharing Audit Programs. Internet.
CIPFA (1997). A Guide to Certification Audit. Londres, Reino Unido.
------ (1997). Computer Audit. Londres, Reino Unido.
GAO (1997). Assessing Risks and Returns: A Guide for Evaluating Federal Agencies' IT
Investment Decision-making. Washington-DC, EUA.
------ (1996). Assessing the Reliability of Computer Processed Data. Washington-DC,
EUA.
------ (1996). Federal Information System Control Audit Manual, Vol I - Financial
Statement Audits. Washington-DC, EUA.
------ (1996). The System Assessment Framework. Washington-DC, EUA.
GIL, Antnio de Loureiro (1993). Auditoria de Computadores. So Paulo: Atlas.
ICAS (1992). Auditing Small Computer Systems. Edinburgh, Esccia.
INTOSAI (1995). Information System Security Review Methodology.
------ (1996). IT Audit Training for INTOSAI. Barbados.
JENKINS, Brian (1992). An Audit Approach to Computers. London: Coopers & Lybrand.
TCU (1997). Procedimentos de Auditoria - Auditoria de Sistemas (PA-02). Braslia-DF.
103
RELAO DOS DOCUMENTOS ELABORADOS NA REA DE FISCALIZAO E

CONTROLE EXTERNO
ESTRATGIAS
Estratgia de Atuao para o Controle da Gesto Ambiental

MANUAIS DE AUDITORIA
Manual
Manual
Manual
Manual
Manual
de Auditoria
de Auditoria de Desempenho
de Auditoria de Sistemas
de Instruo de Tomada de Contas Especiais
de Instruo de Tomada e Prestao de Contas
PROCEDIMENTOS DE AUDITORIA
PA-01 Convnios
PA-02 Sistemas
PA-03 Licitaes
PA-04 - Contratos Administrativos
PA-05 Pessoal
PA-06 - Obras Pblicas
PA-07 - Imveis
PA-08 - Publicidade e Propaganda
PA-09 - Unidades Sediadas no Exterior
ROTEIROS DE AUDITORIA
Roteiro de Acompanhamento via SIAFI

Roteiro de Extrao de Dados do SIAFI
Roteiro de Extrao de Dados do SIAPE
TCNICAS DE AUDITORIA
Tcnicas de Entrevistas para Auditorias

OUTRAS PUBLICAES
Convnios Principais Informaes para Estados e Municpios

Auditorias do TCU nas Reparties do MRE no Exterior
LTIMA
ATUALIZAO
1998
LTIMA
ATUALIZAO
1996
1998
1998
1997
1997
LTIMA
ATUALIZAO
1998
1998
1995
1995
1997
1998
1998
1998
1998
LTIMA
ATUALIZAO
1997
1998
1998
LTIMA
ATUALIZAO
1998
LTIMA
ATUALIZAO
1997
1997
104
FOLHA DE SUGESTES
O TCU preocupa-se com o constante aperfeioamento da qualidade de seus

manuais e orientaes, buscando, para isso, ouvir a valiosa opinio do pblico-alvo dos
referidos trabalhos.
O questionrio a seguir refere-se especificamente ao Manual de Auditoria de
Sistemas, distribudo a partir de setembro de 1998. Ser muito til para o TCU se o leitor
deste manual puder dispor de alguns minutos para responder s perguntas elencadas no
referido questionrio e envi-lo aos Correios (no preciso selar, o porte ser pago pelo
TCU).
Sugestes sobre este manual tambm podem ser enviadas como se segue:
E-mail: saudi@tcu.gov.br
Fax: (061) 316-7538
Fone: (061) 316-7388
Endereo: Tribunal de Contas da Unio - TCU
SAUDI/DIPEA
Setor de Administrao Federal Sul - Lote 01
CEP: 70042-900 Braslia - DF
105
QUESTIONRIO DE AVALIAO
FINALIDADE
Este questionrio tem por objetivo obter a opinio dos leitores sobre o Manual de Auditoria de Sistemas, com
vistas ao seu aperfeioamento.
Por favor, responda s questes abaixo assinalando com um X a alternativa mais adequada. Desde j
agradecemos a sua colaborao.
1. Em que esfera do governo voc trabalha?
Federal
Estadual ou DF
Municipal
Poder Judicirio
Controle Interno
2. Em que rgo voc trabalha?
Poder Legislativo
Poder Executivo
Outro
________________
[especificar]
3. Que partes do Manual de Auditoria de Sistemas voc leu?
Todo
Itens 1,2 e 4 [todos ou parte]
Itens 3 e 5 [todos ou parte]
4. Leia com ateno cada indicador e escolha o ponto da escala que melhor descreve a sua opinio sobre o
Manual de Auditoria de Sistemas. Marque com um X a opo que melhor representa o seu julgamento.
Concorda integralmente Concorda
5
4
O manual :
Fcil de ser lido
Fcil de ser entendido
Lgico
Sucinto
Completo
til
Indiferente
3
Discorda Discorda integralmente

2
1

5. Como voc tomou conhecimento do Manual de Auditoria de Sistemas?
Quando recebeu
Divulgao interna do TCU
Por mensagem do SIAFI
Pela Internet
Pela imprensa
Outros [especificar]_______________________
6. Como voc obteve o Manual de Auditoria de Sistemas?
Solicitou diretamente ao TCU
Download pela Internet
Outros [especificar]
_________________
7. Apresente, a seguir, comentrios e sugestes para o aprimoramento da qualidade do Manual de Auditoria de

Sistemas. No caso de sugestes para alterao/supresso/aditamento de itens de verificao, favor
preencher o quadro anexo.
106
QUADRO DE SUGESTES
FINALIDADE
N do item
Proposta de alterao, supresso ou aditamento
Fundamentao
107
PTR/BSB
880/92
UP-AC/TCU
DR/BSB
CARTA - RESPOSTA
NO NECESSRIO SELAR
70099-999
O SELO SER PAGO POR

BRASLIA-DF
UNIDADES DA SECRETARIA DO TRIBUNAL DE CONTAS DA UNIO

Secretaria da Presidncia
Assessoria de Cerimonial e de Relaes Institucionais
Assessoria de Imprensa
Assessoria de Relaes Internacionais
Assessoria para Assuntos Legislativos
Consultoria-Geral
Instituto Serzedello Corra
Secretaria de Controle Interno
Secretaria-Geral das Sesses
Secretaria do Plenrio
Secretaria da 1 Cmara
Secretaria da 2 Cmara
Secretaria-Geral de Administrao
Secretaria de Engenharia e Servios Gerais
Secretaria de Material, Patrimnio e Comunicao
Administrativa
Secretaria de Oramento, Finanas e Contabilidade
Secretaria de Recursos Humanos
Secretaria de Contas do Governo e Transferncias
Constitucionais
Secretaria de Informtica
Secretaria de Planejamento, Organizao e Mtodos
1 Secretaria de Controle Externo
Secretaria de Controle Externo/AC
Secretaria de Controle Externo/AL
Secretaria de Controle Externo/AP
Secretaria de Controle Externo/AM
Secretaria de Controle Externo/BA
Secretaria de Controle Externo/CE
Secretaria de Controle Externo/ES
Secretaria de Controle Externo/GO
Secretaria de Controle Externo/MA
Secretaria de Controle Externo/MT
Secretaria de Controle Externo/MS
Secretaria de Controle Externo/MG
Secretaria de Controle Externo/PA
Secretaria de Controle Externo/PB
Secretaria de Controle Externo/PR
Secretaria de Controle Externo/PE
Secretaria de Controle Externo/PI
Secretaria de Controle Externo/RJ
Secretaria de Controle Externo/RN
Secretaria de Controle Externo/RS
Secretaria de Controle Externo/RO
Secretaria de Controle Externo/RR
Secretaria de Controle Externo/SC
Secretaria de Controle Externo/SP
Secretaria de Controle Externo/SE
Secretaria de Controle Externo/TO
Olga Emlia Monte Barroso

Mrcia Paula Sartori
Erivan Carlos de Carvalho
Srgio Freitas de Almeida
Severino Lucena da Nbrega
Terezinha de Jesus Carvalho
Ricardo de Mello Arajo
Antnio Miranda de Castro
Eugnio Lisboa Vilar de Melo
Elenir Teodoro Gonalves dos Santos
Francisco Costa de Almeida
Miguel Vinicius da Silva
Antnio Jos Ferreira da Trindade
Mrio Fabbris Ricc
Leila Fonseca dos Santos V. Ferreira
Pedro Martins de Sousa
Cludia de Faria Castro
Jos Nagel
Cludio Souza Castello Branco
Carlos Nivan Maia

Antnio Quintino Rosa
Mauro Giacobbo
Jos Moacir Cardoso da Costa
Gilberto Fernando da Silva
Snia Lcia Imbuzeiro
Marlia Zinn Salvucci
Francisco Carlos Ribeiro de Almeida
Antonio Newton Soares de Matos
Cludio Sarian Altounian
Eduardo Duailibe Murici
Jorge Pereira de Macedo
Rosngela Paniago Curado Fleury
Dion Carvalho Gomes de S
Edimilson Monteiro Batista
Wilson Maurcio Paredes Ferreira Lima
Helena Montenegro Valente
Paulo Pereira Teles
Paulo Nogueira de Medeiros
Hamilton Caputo Delfino Silva
Carlos Martins dos Santos
Osmir da Silva Freire
Luiz Guilherme da Boamorte Silveira
Raimundo Nonato Coutinho
lsio Geov dos Santos
Jos Mrcio Paulino Murta
Raimundo Nonato Soares Arajo
Nazar do Socorro do Rosrio Vuardi
Ild Ramos Rodrigues Theodoro
Jos Maria Arajo Lima
Jos Augusto Prto Neto
Marcos Valrio de Arajo
Antnio Jos Martins de Almeida
Fbio Arruda de Lima
Rainrio Rodrigues Leite
Rafael Blanco Muniz
Eloi Carnovali
Clmaco Romualdo de Carvalho
Jacques Silva de Souza

Manual de Auditoria de Sistemas - TCU

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Manual de Auditoria de Sistemas - TCU

Uploaded by

Copyright:

Available Formats

TRIBUNAL DE CONTAS DA UNIO

Secretaria-Geral de Controle Externo

Braslia, setembro de 1998.

TRIBUNAL DE CONTAS DA UNIO

TRIBUNAL DE CONTAS DA UNIO

MANUAL DE AUDITORIA DE SISTEMAS

Braslia, setembro de 1998.

Tribunal de Contas da Unio

Secretrio-Geral de Controle Externo:

Brasil. Tribunal de Contas da Unio

Ficha Catalogrfica elaborada pela Diviso de Documentao do TCU.

Portaria n 455, de 30 de setembro de 1998.

Um nmero cada vez maior de sistemas computacionais controla operaes de

PARTE 1 - TECNOLOGIA DA INFORMAO E ATIVIDADE DE FISCALIZAO

2. MTODOS DE AVALIAO DE DADOS PROCESSADOS POR COMPUTADOR........

3. TCNICAS E PROCEDIMENTOS DE AVALIAO LIMITADA DA CONFIABILIDADE

3.1. Determinao do uso dos dados....................................................................

PARTE 2 - AUDITORIA DE SISTEMAS DE INFORMAO

1.1. Controles Organizacionais.................................................................................

1.2.4. Avaliao peridica do risco........................................................................

1.6. Controles de Desenvolvimento e Alterao de softwares aplicativos................

1.6.2. Todos os softwares novos ou revisados so testados e aprovados...........

4. BANCO DE DADOS ..............................................................................................

4.7.3. Controles de acesso ao banco de dados e dicionrio de dados .........

5. REDES DE COMPUTADORES ............................................................................

RELAO DOS DOCUMENTOS ELABORADOS NA REA DE FISCALIZAO E

1 - Determinao da necessidade ou no de avaliao da confiabilidade dos dados,

2 - Determinao da extenso da avaliao dos controles do sistema

3 - Determinao do risco de confiabilidade dos dados, a partir do conhecimento

4 - Determinao dos risco de confiabilidade ajustado dos dados

5 - Determinao da extenso do teste de dados

PARTE 2 AUDITORIA DE SISTEMAS DE INFORMAO

CIPFA...........................................The Chartered Institute of Public Finance and Accountancy

Grande parte dos rgos e entidades sob a jurisdio do TCU j utiliza

MANUAL DE AUDITORIA DE SISTEMAS

AVALIAO DA CONFIABILIDADE DE DADOS

REQUISITOS PARA A UTILIZAO DE EVIDNCIA PROVENIENTE DE

Ao utilizar dados fornecidos por computador para fundamentar achados de

Qual a importncia desses dados para o alcance dos objetivos da auditoria?

Quando os dados processados por computador so utilizados pela equipe de

obter os dados de outras fontes, cuja confiabilidade possa ser confirmada;

MTODOS DE AVALIAO DE DADOS PROCESSADOS POR COMPUTADOR

Para se determinar a confiabilidade de dados processados por computador, pelo

Determinao do uso dos dados

Quando uma auditoria requer o uso de dados processados por computador, o

nica evidncia para fundamentar um achado;

TCNICAS E PROCEDIMENTOS DE AVALIAO LIMITADA DA CONFIABILIDADE DOS DADOS

Inicialmente, deve-se identificar os dados e sistemas a serem utilizados. Em

CARACTERSTICAS DAS OUTRAS EVIDNCIAS

Fontes auxiliares que por si ss no

3.3. Levantamento do conhecimento prvio sobre o sistema e/ou os dados

TCNICAS E PROCEDIMENTOS DE AVALIAO LIMITADA DA CONFIABILIDADE DOS DADOS

Nos casos em que se inferiu a necessidade de avaliao da confiabilidade dos

Os mesmos dados j foram utilizados em auditorias anteriores, aps ter sido

estabelecida sua confiabilidade. O risco de se utilizar os mesmos dados

Os controles do sistema que processou os dados foram avaliados em uma

auditoria recente e considerados adequados. Aps certificar-se de que

TCNICAS E PROCEDIMENTOS DE AVALIAO LIMITADA DA CONFIABILIDADE DOS DADOS

Quadro 2 - Determinao da extenso da avaliao dos controles do sistema

USO PLANEJADO PARA OS DADOS

nica evidncia para possveis Extensiva

A confiabilidade do sistema nica evidncia para possveis Moderada

No item 4 deste mdulo, so apresentados os procedimentos para a avaliao