SOX E A Governança De TI

Sox

A Sox (Sarbanes-Oxley) é uma Lei americana promulgada em 30/06/2002 pelos Senadores Paul Sarbanes e Michael Oxley que tem como objetivo aperfeiçoar os controles financeiros das empresas e apresentar eficiência na governança corporativa, a fim de garantir a transparência na gestão financeira das organizações, credibilidade na contabilidade, auditoria e a segurança das informações para que sejam realmente confiáveis, evitando assim fraudes, fuga de investidores, etc.

Uma das premissas da Sox é que as empresas demonstrem eficiência na governança corporativa. Uma referência nessa área é o modelo de governança COSO (www.coso.org), criada em 1985 por iniciativa da National Comminsion on Fraudulent Financial Reporting para definir processos para o controle interno das empresas. O COSO define que o controle interno é um processo e deve ser exercido por todos os níveis da empresas. Os processos devem ser desenhados para atingir os seguintes objetivos: (1) efetividade e eficiência na operação; (2) dar confiabilidade nos relatórios financeiros; e, (3) atender as leis e regulamentações dos órgãos públicos.

Nesse contexto, a área de tecnologia da informação (TI) tem um papel importante, onde o próprio COSO faz um comentário especial. A área de TI deve cobrir todos os aspectos de segurança e controle das informações digitais da empresa, devendo desenhar processos de controle das aplicações para assegurar a confiabilidade do sistema operacional, a veracidade dos dados de saída e a proteção de equipamentos e arquivos. Para cumprir essas exigências os CIOs devem rever todos os processos internos cobrindo desde as metodologias de desenvolvimento de sistemas até as áreas de operações de computadores. Além disso, promover uma conscientização nas áreas usuárias de seus recursos sobre os aspectos de segurança e cuidados na manipulação das informações, tais como: e-mails, compartilhamento de diretórios nos PCs, compartilhamento de senhas de acesso aos aplicativos, etc. Estes aspectos de engenharia social também devem ser reforçadas para o pessoal de TI, que as vezes não conseguem determinar os riscos de segurança em suas soluções.

Para atender aos novos desafios da governança corporativa, as áreas de TI contam com alguns modelos de gestão que se aplicados asseguram a conformidade com as melhores práticas de processos e segurança da informação. Podem-se listar os seguintes modelos: (1) CobiT para a governança de TI; (2) ITIL para a gestão de serviços de TI; (3) DRI para a especificação e operação de planos de continuidade de negócios; (4) ISO 149977 (ou a BS-7799) para a gestão de segurança da informação; (5) CMM que define um modelo de gestão para o desenvolvimento de software.

O Cobit e o SOX

O CobiT é um Framework de Governança de TI tem como um dos pr´ncipais objetivos o foco no negocio, e para atender aos objetivos de negócios, as informações precisam se adequar a certos critérios de controles, aos quais o CobiT denomina necessidades de informação da empresa. Baseado em abrangentes requisitos de qualidade, guarda e segurança, sete critérios de informação distintos e sobrepostos são definidos: Efetividade, Eficiência, Confidencialidade, Integridade, Disponibilidade, Confiabilidade e Conformidade.

A Conformidade consiste em lida com a aderência a leis, regulamentos e obrigações contratuais aos quais os processos de negócios estão

sujeitos, isto é, critérios de negócios impostos externamente e políticas internas.

Adequeção ao Sox

Para adequar-se ao SOX, sugerimos alguns processos e objetivos de controle do COBIT, seguem:

Processo:

PO6 Comunicar Metas e Diretrizes Gerenciais

Objetivos de controle:

PO6.1 Política de TI e Ambiente de Controle

PO6.2 Risco de TI Corporativo e Estrutura Interna de Controle

PO6.4 Distribuição da Política

PO6.5 Comunicação dos Objetivos e Diretrizes de TI

Como será medido:

- Quantidade de interrupções no negócio devido a interrupções em serviços de TI

- Percentual de partes interessadas que entendem a estrutura corporativa de

controle de TI

- Percentual das partes interessadas que não estão em conformidade com a política

Nível de Maturidade Atual:

Nível 0

Nível de Maturidade Desejável:

Nível 3

Processo