GOVERNANÇA DE

TI
Marcelo Marçula
 Requisitos de Conformidade

 Durante o Gerenciamento de Riscos

também são tratados os requisitos
de conformidade com os principais
marcos de regulamentação externos;
 Exemplos: Legislação do País, SOX-
Sarbanes-Oxley, Basileia II, etc.

2 de 16
 Lei Sarbanes-Oxley (SOX)

 Lei promulgada nos EUA em

30/6/2002 (senador Paul Sarbanes e
deputado Michael Oxley);
 Atinge empresas que possuem capital
aberto e ações na Bolsa de Valores
de Nova York e na Nasdaq;

3 de 16
 Lei Sarbanes-Oxley (SOX)

 Várias empresas brasileiras se

encontram nessa situação;
 Foi criada devido a onda de
escândalos corporativos financeiros
(Enron, WorldCom, etc.) que geraram
prejuízos para os investidores.

4 de 16
 Lei Sarbanes-Oxley (SOX)

 Objetivo: aperfeiçoar os controles

financeiros das empresas e
apresentar eficiência na Governança
Corporativa, para evitar que outros
escândalos e prejuízos aconteçam;
 Visa garantir a transparência na
gestão financeira, credibilidade na
contabilidade, auditoria e segurança
das informações.
5 de 16
 Lei Sarbanes-Oxley (SOX)

 Exige que as organizações:

 Possuam uma Política de Segurança
abrangente;
 Definam sua classificação de
segurança dos dados;
 Identifiquem seus riscos e respectivos
impactos nos negócios;
 Possuam procedimentos e padrões
formais de segurança;
6 de 16
 Lei Sarbanes-Oxley (SOX)

 Exige que as organizações:

 Possuam documentos atualizados
que formalizem suas bases de
segurança, auditoria e testes;
 Possuam uma definição clara de
responsabilidades; e

7 de 16
 Lei Sarbanes-Oxley (SOX)

 Exige que as organizações:

 Possuam políticas e procedimentos
definidos para o Gerenciamento de
Mudanças, Suporte, Requisitos de
Serviços, bem como para mudanças
em Aplicativos, Políticas e
Procedimentos.

8 de 16
 Lei Sarbanes-Oxley (SOX)

 Os principais tópicos da lei são:

 Promoção da boa Governança
Corporativa e das boas práticas de
negócio;
 Aumento da independência dos
auditores externos;
 Obrigação de existir um Comitê de
Auditoria Independente;

9 de 16
 Lei Sarbanes-Oxley (SOX)

 Os principais tópicos da lei são:

 Definição do papel de crítica ao
controle interno por meio de
certificações e declarações; e
 Transparência nos relatórios e nas
informações aos acionistas e a
restrição de trabalho, não relativo à
auditoria, dos auditores externos.

10 de 16
 Lei Sarbanes-Oxley (SOX)

 Impacta a Governança Corporativa –

gera um conjunto de novas
responsabilidades e sanções aos
administradores;
 Envolvidos: CEO, CFO, CIO, CTO,
etc;
 Visa impedir práticas lesivas que
exponham as sociedades anônimas a
níveis de riscos elevados.
11 de 16
 Lei Sarbanes-Oxley (SOX)

Lei Sarbanes-Oxley – Seção 302

Estabelece que o presidente e o diretor financeiro
devem assumir pessoalmente a responsabilidade pela
autenticidade das demonstrações financeiras.
Além disso, eles devem ser responsáveis pelo
estabelecimento e manutenção do controle interno da
organização.

12 de 16
 Lei Sarbanes-Oxley (SOX)
Lei Sarbanes-Oxley – Seção 304
Exige que o presidente e o diretor financeiro divulguem um relatório
sobre a efetividade dos controles internos e da elaboração das
demonstrações financeiras, juntamente com os relatórios anuais.
Este relatório deverá confirmar a responsabilidade dos executivos pelo
estabelecimento e manutenção de controles e procedimentos internos
para a emissão de relatórios financeiros e avaliar a eficácia dos
controles estabelecidos.
Determina ainda que o auditor externo da organização deve emitir um
relatório individual confirmando a avaliação da administração sobre a
eficácia dos controles e procedimentos internos para a emissão de
relatórios financeiros.

13 de 16
 Lei Sarbanes-Oxley (SOX)

 Alguns frameworks podem ser

utilizados no processo de
conformidade: COBIT, RiskIT, ITIL,
CMMI, ISO 17799/27001.

14 de 16
 Caminho para a TI auxiliar
na conformidade SOX
6. Construir a sustentabilidade
• Considerar controles automatizados para
melhorar sua confiabilidade e para reduzir o
4. Avaliar o projeto esforço de teste
dos controles e a
• Racionalizar para eliminar controles
eficácia da
redundantes e duplicados
operação
• Determinar se
todos os controles
chave são
documentados
1. Planejar e
Criar Escopo • Testar os controles
Valor para o negócio

dos Controles para confirmar sua

de TI 2. Avaliar o risco eficácia
da TI operacional
• Revisar toda a
documentação • Avaliar a
probabilidade e o 5. Priorizar e resolver deficiências
de projeto e
identificar impacto caso os • Avaliar deficiências por meio da
controles de sistemas causem avaliação de seu impacto e da
aplicação erros ou fraudes probabilidade de causar erros ou fraudes
nas declarações nas declarações financeiras
• Identificar financeiras
aplicações • Considerar onde os controles de
dentro do escopo compensação existem e se são
confiáveis
• Identificar
infraestrutura e 3. Documentar os controles
bancos de dados
dentro do escopo • Documentar controles de aplicação (controles
automatizados ou configurados e controles
híbridos)
• Documentar controles gerais de TI (acessos,
desenvolvimento e mudanças em programas e
operações de computação

Conformidade com SOX

15 de 16
 Sarbanes-Oxley x
Legislação Brasileira
Lei Sarbanes- Oxley Legislação Brasileira

Proíbe direta ou indiretamente, inclusive por intermédio de subsidiárias, a oferta,

Não existe a proibição de
manutenção, ampliação ou renovação de empréstimos entre a organização e quaisquer
empréstimos
conselheiros ou diretores (Seção 402)

Exige padrões de conduta e maior responsabilidade dos advogados. Qualquer

Não existe obrigatoriedade deste
irregularidade legal cometida pelos clientes deverá ser comunicada pelo advogado ao
relato
Comitê de Auditoria (Seção 307)

Caso a organização apresente erros nos demonstrativos contábeis e tenham que

republicá-los, gerando prejuízo para a organização, o diretor financeiro e o presidente Não existe obrigatoriedade desta
terão que devolver qualquer bônus e até mesmo participações nos lucros que eles ação
tenham recebido (Seção 304)

O presidente e os diretores financeiros da organização devem divulgar um relatório sobre

Não existe obrigatoriedade desta
a efetividade dos controles internos e sobre a elaboração das demonstrações financeiras,
ação
juntamente com os relatórios anuais (Seção 404)

Proíbe o auditor de prestar serviços considerados fora do âmbito de prática de auditor,

Não existe obrigatoriedade deste
como: serviços atuariais, funções de administração ou recursos humanos, serviços
fato.
relativos aos registros contábeis ou demonstrações financeiras (Seção 201)

Não existe obrigatoriedade deste

Deverá adotar um código de ética para administradores financeiros seniores (Seção 406)
fato

16 de 16