Auditoria contínua de dados como instrumento de automação do controle empresarial

Continuous data auditing as an automation tool for business control

Resumo

Business activities and business processes in the corporate world are technology-dependent. Such activities and processes drive the development of new audit techniques to investigate possible systemic failures that could affect the internal controls of companies. In this way, the need for automation of auditing tests led to the development of the concept and implementation of projects for continuous data auditing in the enterprise environment. This article evaluates the major critical issues for the construction of continuous data auditing, considering the use of information technology and computer assisted audit techniques. Four basic premises were formulated based on the theoretical foundation. From them eight propositions and eleven critical aspects were derived, which were placed in a proof of concept, through a multiple case study in the Brazilian business scenario. The main findings of this research were the critical aspects for the construction of continuous data auditing, originated in theoretical foundation and corroborated by the results of a multiple case study, which will serve as drivers for the initialization of continuous auditing projects as well as for their restructuring.

Continuous Audit; Continuous Monitoring; Real-Time; Database

1. INTRODUÇÃO

A constante evolução e dependência tecnológica das atividades e dos processos de negócios no mundo corporativo, o aumento da oferta de novos produtos, serviços e canais de venda, além do crescimento das transações eletrônicas a partir da globalização, deram origem à necessidade do desenvolvimento tecnológico da área de Auditoria para apurar possíveis falhas sistêmicas que pudessem afetar os controles internos das companhias.

Adicionalmente, a rigidez das exigências regulamentares, como a Lei americana Sarbanes-Oxley e os princípios de Governança Corporativa que propõem um nível elevado de transparência e um ambiente de controle interno organizado e bem gerenciado, incrementaram a importância da Auditoria, seja ela interna ou externa, nas organizações.

A necessidade de segurança instantânea e constante sobre a eficiência do gerenciamento de riscos e o ambiente de controles internos é crítica. As organizações estão expostas a erros significativos, fraudes e ineficiências que podem gerar perdas financeiras e a elevação da exposição aos riscos. De acordo com Church; Mcmillan e Schneider (2001), os auditores têm um papel relevante na avaliação dos processos de negócios, principalmente naqueles voltados para garantir a integridade das demonstrações financeiras, e devem alertar a administração sobre qualquer indício de fraude.

A área de Auditoria vem sofrendo diversas transformações. Pode-se resumir que a auditoria trabalhava com o passado, ou seja, relatava a história, corrigia e evitava a recorrência. No presente e futuro, a Auditoria deverá avaliar cenários, estratégias, com foco nos resultados dos negócios, ou seja, estará apta a prevenir a ocorrência de falhas e problemas.

1.1 Justificativa

Os estudos existentes sobre Auditoria Contínua demonstram que o ideal para o auditor seria trabalhar com dados amostrais mais próximos da realidade das exceções a serem analisadas. Quais práticas de auditoria tradicionais sobreviverão na era da economia digital, onde as organizações, a cada dia que passa, ficam mais dependentes de sistemas e dados computacionais?

Vale também ressaltar que o ambiente de governança corporativa, no qual a auditoria se insere, relaciona as políticas, os princípios e as práticas geridas pelas organizações, que devem criar um conjunto eficiente de mecanismos para assegurar que o comportamento dos seus gestores, bem como os controles internos, estejam sempre na mesma linha que seus acionistas.

Assim, uma das formas das organizações atingirem a confiança do seu público interno e externo, através do monitoramento dos controles de seus processos críticos de negócio, pode ocorrer por meio da auditoria contínua de dados.

Segundo Vasarhelyi, Alles, e Kogan (2002), as pressões do cenário corporativo apontam para que o processo de auditoria passe a ser efetuado de forma contínua. Este tipo de auditoria fornece aos auditores um conjunto de ferramentas que poderá transformar o processo de auditoria em um processo de monitoração contínua dos processos de negócio de uma organização.

1.2 Objetivo

Este trabalho pretende colaborar com o aprofundamento do conhecimento das técnicas e modelos utilizados de auditoria contínua de dados, integrando o uso da tecnologia da informação e seu relacionamento com a auditoria interna e governança corporativa, principalmente no que diz respeito à disponibilização de dados computacionais para o efetivo trabalho de gestão organizacional no contexto empresarial brasileiro.

De acordo com Vasarhelyi e Alles (2008), a Auditoria Contínua não representa apenas um estudo acadêmico em que se utilizam softwares que estão sendo desenvolvidos e oferecidos por empresas privadas. Despite of the Apesar doschallenges faced, CA is to be the future of auditing, given the modern technology desafios enfrentados, a Auditoria Contínua será o futuro da auditoria empresarial, tendo em conta a tecnologia moderna, environment (eg, ERP systems) and regulatory environment (eg, Sarbacomo nos sistemas de ERP e através de leis como a Lei Sarbanes-Oxley.

Desta forma, este trabalho questiona: “Quais os principais aspectos críticos para a construção da auditoria contínua de dados, considerando o uso da tecnologia da informação e das técnicas de auditoria com auxílio do computador (TAAC)?”

Trata-se de uma pesquisa documental, de cunho qualitativo. Primeiramente foi realizada uma varredura na literatura sobre auditoria, tecnologia da informação e seus desdobramentos para a gestão organizacional.

Além da profunda pesquisa bibliográfica sobre auditoria, tecnologia da informação e banco de dados, foi proposto um estudo de casos múltiplos, considerando os principais aspectos críticos relacionados à auditoria e ao ambiente tecnológico que suportam os processos críticos de negócios das organizações brasileiras usuárias de processos de auditoria contínua.

Foram coletados dados primários através de pesquisas bibliográficas e, na sequência, dados secundários com os responsáveis das áreas de Auditoria Interna e Tecnologia da Informação.

Por fim, foi feita uma prova de conceito, contextualizando os aspectos críticos que devem ser considerados pela área de Auditoria Interna para a implantação da auditoria contínua.

1.3 Contribuição

A contribuição deste trabalho está inserida nos projetos de implantação de auditoria contínua.

Primeiramente foram identificados os principais aspectos críticos a serem considerados durante a construção da Auditoria Contínua. Posteriormente, foram selecionadas empresas que já implantaram ou estão em processo de implantação de rotinas de auditoria contínua.

Os casos pesquisados refletem o cenário atual das empresas brasileiras de grande porte, com um nível alto de complexidade organizacional de seus processos de negócios e que, por uma necessidade de aumentar a abordagem da auditoria de forma mais tempestiva, tiveram como diretriz a automação de seus testes de auditoria, com a utilização da auditoria contínua de dados.

Os aspectos críticos identificados e corroborados pelas empresas pesquisadas, contribuem para as diretrizes de implantação da auditoria contínua, prevendo situações que poderão gerar barreiras durante a construção do projeto. Com a identificação de tais aspectos, as organizações interessadas poderão endereçar ações preventivas que contribuirão para o andamento do projeto e para o atingimento dos resultados esperados.

O conceito atual de auditoria contínua está relacionado com a disponibilidade de dados mais próximos de um evento, se possível em tempo real, com capacidade de serem processados e correlacionados em um ambiente computadorizado seguro, que traga informações eletrônicas fidedignas, que serão tratadas pelos auditores e gestores da organização.

2.METODOLOGIA DA PESQUISA

A Figura 1 representa o modelo teórico sobre a questão principal da pesquisa, objeto central desta pesquisa. Nesta Figura, o foco concentra-se em destacar os aspectos críticos para a construção da auditoria contínua de dados, levando em conta a Tecnologia da Informação e as Técnicas de Auditoria com Auxílio do Computador.

Figura 1
– Premissas e proposições associadas deste trabalho

Tendo tal foco e sua respectiva fundamentação teórica, formularam-se quatro premissas básicas, cujo objetivo é demonstrar como devem se relacionar as áreas de Auditoria Interna, Tecnologia da Informação, processos de negócios, sistemas, banco de dados e ambientes computacionais, para se chegar à construção da Auditoria Contínua de Dados.

Além disso, foram desenvolvidas oito proposições que direcionam a pesquisa de campo para os aspectos críticos a serem examinados, de acordo com o foco de estudo. Tais aspectos críticos foram validados após a aplicação da pesquisa de campo que foi desenvolvida por meio de estudo de casos múltiplos.

2.1 Premissas, Proposições, Aspectos Críticos E Questões Associadas

2.1.1 Premissa 1

Para Yeh e Shen (2010), um sistema de auditoria contínua deve ter como critério um gerenciamento dos controles e do ambiente computacional e sistemas que suportam a automação dos processos.

De acordo com Flowerday, S; Blundell, A. W; Solms, R. Von. (2006), na era da contabilidade e comunicação em tempo real, as práticas atuais de auditoria, quando efetivas, provêm resultados de auditoria após a ocorrência de uma fraude ou erro. A asseguração contínua pode auxiliar na prevenção de erros intencionais ou não intencionais. Isto pode ser atingido através da auditoria contínua, a qual é suportada grandemente pelo uso da tecnologia da informação.

Segundo BOVEE et al. (2005), vale destacar que existem estudos de modelos de automação, baseados em agentes inteligentes, responsáveis por converter e consolidar demonstrações financeiras, incluindo balanços patrimoniais e fluxos de caixas em XBRL, como o já existente protótipo denominado FRAANK – Financial Reporting and Auditing Agent with Net Knowledge. Uma técnica de auditoria eficaz para o protótipo proposto seria o uso da auditoria contínua.

Para Alles, M.; Brennan, G.; Kogan, A.; Vasarhelyi, M. A. (2005), a experiência com a evolução das novas tecnologias e processos de negócios sugerem que a auditoria contínua inicialmente será usada para fazer mais do que automação de processos existentes de auditoria e, além disso, ela ganhará vantagens das funcionalidades dos sistemas ERP.

O segundo estágio da evolução se dá quando os processos de auditoria são redesenhados (reengenharia de processos) para explorar toda a capacidade tecnológica disponível nos sistemas.

De acordo com Vasarhelyi, Alles, e Kogan (2004), a auditoria contínua começa ganhar mais espaço à medida que as organizações vão ganhando maior automação em seus processos de negócios e, como consequência, as exigências para monitoramento dos riscos de negócios também crescem.

Deste cenário infere-se a primeira premissa deste estudo com suas respectivas proposições, aspectos críticos e questões associadas:

Premissa 1 (PRE-1): para a implantação da auditoria contínua de dados é necessário que a organização possua um nível adequado de automação de seus processos de negócios e controles associados.

Proposição 1 (PRO-1): as organizações dependentes de TI possuem seus processos de negócios automatizados, o que torna essencial uma monitoração automática dos dados advindos de seus controles e riscos associados.

Aspecto Crítico 1: Capacidade de desenvolver e manter um nível adequado de automação dos processos de negócios.

Questão 1: Como a área de TI está estruturada para atender às necessidades de automação dos processos de negócios da organização?

Aspecto Crítico 2: Capacidade que os sistemas implantados possuem para gerar informações para o monitoramento contínuo dos processos de negócios.

Questão 2: Os sistemas que suportam os processos de negócios possuem controles automáticos e procedimentos de governança de TI suficientes para garantir o monitoramento dos riscos associados aos processos, ou ainda há a necessidade de intervenções de controles manuais?

Proposição 2 (PRO-2):os processos de negócios das organizações dependentes de TI são suportados por controles automáticos que se relacionam entre os diversos sistemas e seus respectivos módulos funcionais.

Aspecto Crítico 3: Capacidade que os sistemas, banco de dados e controles automáticos possuem de se inter-relacionarem.

Questão 3: Os sistemas em produção, bem como seus respectivos bancos de dados se inter-relacionam, de forma a manter um fluxo de informação controlado e consistente com os objetivos dos processos de negócios?

2.1.2 Premissa 2

Rezaee, Z.; Sharbatoghlie, A.; Elam, R.; Mcmickle, L.P. (2002) comentam que um alto grau de automação dos processos envolve módulos de auditoria integrados com a aplicação, que será constantemente monitorada. Um grau menor de automação envolve a habilidade para automaticamente capturar, transformar e carregar dados, mas isto requer o envolvimento de um auditor capacitado para isoladamente processar relatórios de exceção e detectar falhas nos controles.

De acordo com Coderre (2005), o auditor deverá ter acesso às bases de dados da organização para construir a auditoria contínua. Para isso, também é necessário verificar como poderá ser dado o acesso a estes dados, de forma a não prejudicar o desempenho do ambiente computacional em questão e também não concorrer com os demais processamentos das diversas áreas da organização.

Chou, C. L.; Du, T.; Lai, V. S. (2007)definem (EAM – Embedded Audit Modules ou Módulos de auditoria integrados) como sendo pequenos módulos que são construídos dentro de um sistema maior para capturar informações e gerar reportes de situações fora do padrão esperado. A construção destes módulos de auditoria depende da participação do auditor no projeto de implementação, juntamente com os desenvolvedores da área de TI.

Chou et al. (2007) também comentam que o uso de data marts requer habilidade por parte do auditor gerenciar e manusear o volume de dados dos data marts de auditoria.

Li, S.-H.; Huang, S.-M.; Lin, Y.-C. G. (2007) comentam que os auditores precisam ter entendimento sobre as aplicações sistêmicas e como elas suportam os processos de negócios. Menciona também que os auditores devem solicitar, quando necessário o suporte do DBA (Administrador do Banco de Dados ou Database Administrator) para ter acesso de consulta aos dados que serão foco da auditoria.

Para Hunton e Rose (2010), os Sistemas de Suporte a Decisão ou DSS –Decision Support System – podem auxiliar os auditores nas análises dos indicadores gerados através dos diversos processos das áreas de negócios da organização, bem como no próprio planejamento dos trabalhos dos auditores, auxiliando como um direcionador de análises para os riscos mais relevantes.

Outro fator a ser considerado é como se chegar aos objetivos esperados da auditoria contínua. De acordo com Vasarhelyi e Halper (1991), os modelos estatísticos e heurísticos do sistema CPAS(Continuous Process Auditing System) foram desenvolvidos considerando técnicas de inteligência artificial e engenharia do conhecimento.

Desta forma, é possível inferir a segunda premissa deste estudo com suas respectivas proposições, aspectos críticos e questões associadas:

Premissa 2 (PRE-2): a área de Tecnologia da Informação (TI), a área de Auditoria Interna e demais áreas das organizações devem se relacionar de forma a atingir os objetivos esperados para o atendimento das necessidades dos processos de auditoria contínua de dados.

Proposição 3 (PRO-3): o papel do engenheiro do conhecimento agregado à área de Auditoria Interna deve ser de interação com os auditores internos e analistas de sistemas da área de TI, formando um elo entre os interessados na automação dos processos de auditoria e quem desenvolve os sistemas para processar as rotinas de auditoria contínua.

Aspecto Crítico 4: Habilidade da área de Auditoria Interna em identificar de forma consistente e sistemática os testes e indicadores de auditoria que são objetos de automação.

Questão 4: A área de Auditoria Interna possui auditores especialistas, com conhecimento específico em desenvolvimento de sistemas e que identificam as necessidades de automação dos testes e indicadores de auditoria?

Aspecto Crítico 5: Habilidade da área de TI em atender de forma consistente e sistemática as necessidades de automação da área de Auditoria Interna.

Questão 5: A área de TI possui analistas de sistemas dedicados para atender às necessidades da área de Auditoria Interna?

Proposição 4 (PRO-4): a área de Auditoria Interna deve buscar sinergia com as diversas áreas da organização, verificando se existe a possibilidade de se aproveitar as estruturas tecnológicas existentes com seus respectivos dados associados, como exemplo, os ambientes de Data Warehouse já em utilização pelas diversas áreas da organização.

Aspecto Crítico 6: Capacidade de se identificar possíveis sinergias entre as áreas da organização ganhando eficiência e reduzindo possíveis retrabalhos.

Questão 6: Existem outras áreas na organização que possuem processos automatizados de monitoramento contínuo de dados?

Aspecto Crítico 7: Capacidade do ambiente de TI absorver de forma rápida e eficiente o desenvolvimento das rotinas de Auditoria Contínua.

Questão 7: A área de TI possui um ambiente de banco de dados flexível com capacidade de suportar a Auditoria Contínua, como exemplo um ambiente de Data Warehouse?

2.1.3 Premissa 3

Coderre (2005) cita que para se construir a auditoria contínua é necessário obter confiança dos sistemas que gerarão dados para as rotinas de auditoria contínua.

Para Yeh e Shen (2010), um sistema de auditoria contínua confiável consiste em dados confiáveis, íntegros e disponíveis, dentro de um ambiente de controle interno gerenciado.

Segundo Flowerday et al. (2006), quando o auditor avalia os reportes produzidos pela auditoria contínua, ele verifica a confidencialidade, integridade e disponibilidade dos dados e como estes são suportados pelos sistemas de controles internos.

Flowerday et al. (2006) também comentam que um dos problemas que afeta as soluções de auditoria contínua é a variedade de formatos de dados e registros, incluindo os sistemas legados que são cruciais para a criação do sistema de auditoria contínua. Para isso é necessário que haja uma avaliação e padronização destes dados para que ocorram erros de processamento e registros duplicados.

Desta forma, é possível inferir a terceira premissa deste estudo, com suas respectivas proposições, aspectos críticos e questões associadas:

Premissa 3 (PRE-3): os ambientes computacionais disponibilizados pela área de TI para a área de Auditoria Interna devem ser confiáveis de forma a fornecer dados íntegros para a automação dos processos de auditoria.

Proposição 5 (PRO-5): sistemas apropriados e seguros que geram dados íntegros e com qualidade são essenciais no processo de construção da auditoria contínua de dados.

Aspecto Crítico 8: Capacidade do ambiente de TI de manter as rotinas de auditoria contínua em um ambiente estável e confiável, de forma a atender as necessidades dos usuários.

Questão 8: Os dados que suportam as rotinas de auditoria contínua são processados em um ambiente de TI com controles gerais confiáveis, garantindo a disponibilidade, desempenho, segurança, capacidade de ser redimensionado, flexibilidade e continuidade operacional?

Proposição 6 (PRO-6): a validação dos sistemas que gerarão os dados para a auditoria contínua deverá ser avaliada periodicamente pelos auditores de TI, assegurando as informações geradas pelas diversas rotinas automatizadas de auditoria.

Aspecto Crítico 9: Assegurar que os sistemas e o ambiente de TI que suportam as rotinas de auditoria contínua gerem dados confiáveis.

Questão 9: A área de Auditoria Interna mantém programas de trabalhos aplicáveis pelos auditores de TI dentro do ciclo de auditoria para abordar os aspectos críticos de governança do ambiente TI e seus respectivos controles gerais?

2.1.4 Premissa 4

De acordo com Alles et al. (2005), os riscos a serem avaliados pelas organizações no processo de auditoria contínua devem partir de um modelo “framework” reconhecido pelas melhores práticas, como por exemplo, o modelo COSO – Committee of Sponsoring Organizations of the Treadway Commission - reconhecido mundialmente.

Para Donnell e Schultz (2003), os auditores podem suportar sua metodologia de avaliação de riscos de negócios através de softwares focados nos processos de negócios (BPF – Business Process Focused). O sistema apresenta a cadeia de valores da organização, priorizada por seus riscos de negócios ou através de softwares focados no ciclo de uma transação (TCF – Transaction Cycle Focused), onde o sistema classifica as transações de acordo com sua relevância contábil.

Para Koch (1984), as técnicas de auditoria com auxílio do computador são similares à execução de uma auditoria: as transações são selecionadas, inseridas no sistema, processadas pela aplicação, os resultados são comparados e as exceções são notificadas.

Cohen, Krishnamoorthy e Wright (2000) comentam que para a escolha dos testes e procedimentos analíticos de auditoria, os auditores devem considerar informações financeiras e não financeiras, tais como condições econômicas, mudanças tecnológicas, condições mercadológicas nas quais a organização está inserida etc.

Para Glover, Jiambalvo e Kennedy (2000), os auditores devem preliminarmente planejar seus testes, executá-los posteriormente, mas devem revisar e redirecionar seu plano a qualquer momento, considerando inclusive informações da administração que podem afetar a exposição aos riscos previamente avaliados.

Rezaee et al. (2002) comentam que os testes de controle devem ser contínuos. Isto permite ao auditor expressar uma opinião mais confiável a respeito do sistema de controles internos. Para isso, é citado que a confiança nos controles internos é definida durante a fase de planejamento da auditoria.

De acordo com LI et al. (2007), o auditor deve ter conhecimento dos processos de negócio da organização para estabelecer um programa efetivo de auditoria. Ainda segundo LI et al. (2007), para determinar a auditoria contínua, o auditor deve estabelecer os objetivos do trabalho, por meio de assertivas e as cita:

• Existência: Verificar se as transações registradas nos sistemas existem de fato;

• Completude: Verificar se todas as transações existentes foram registradas no sistema;

• Acuracidade: Verificar se as transações foram registradas com seus valores corretos;

• Classificação: Verificar se as transações foram classificadas corretamente em suas devidas contas contábeis;

• Tempestividade: Verificar se as transações foram registradas na data correta;

• Valorização: Verificar se as transações foram corretamente calculadas e valorizadas.

• Desta forma, é possível inferir a quarta premissa deste estudo, com suas respectivas proposições, aspectos críticos e questões associadas:

Premissa 4 (PRE-4): os processos de automação de auditoria, para alcançar a auditoria contínua de dados, devem ser escolhidos de acordo com o grau de risco dos processos de negócios-chave, avaliados pela organização.

Proposição 7 (PRO-7): o planejamento para a auditoria contínua de dados deve seguir método semelhante ao usado para o planejamento cíclico da auditoria, de forma a priorizar as entidades auditáveis de alto risco.

Aspecto Crítico 10: Capacidade da Auditoria Interna de cobrir os principais riscos dos processos críticos de negócios por meio da auditoria contínua de dados.

Questão 10: Como a área de Auditoria Interna define e prioriza o desenvolvimento e execução das rotinas de auditoria contínua de dados?

Proposição 8 (PRO-8): a visão de risco da organização deve ser única, de forma a concentrar os esforços na implantação de processos automáticos que mitigarão os riscos associados aos controles.

Aspecto Crítico 11: Habilidade da Auditoria Interna em compartilhar sua visão de riscos com as demais áreas da organização.

Questão 11: Como a Auditoria Interna compartilha da visão de riscos dos demais departamentos da organização para definir a cobertura da auditoria contínua?

3. ESTUDO DE CASOS MÚLTIPLOS

De acordo com Alles, Tostes, Vasarhelyi e Riccio (2006), a auditoria contínua pode ser definida como uma transformação da auditoria interna e externa, através da aplicação da moderna tecnologia da informação. Além disso, está sendo adotada por diversas empresas no mundo, como Siemens, HCA, The Royal Canadian Mounted Police, BIPOP Bank etc.

Como apresentado nos diversos simpósios e palestras sobre o tema, como o 25th WCARS - World Continuous Auditing and Reporting Systems Symposium -, em conjunto com o 9° CONTECSI - Congresso Internacional de Gestão da Tecnologia e Sistemas de Informação, em 2012 e o 22th WCARS, em conjunto com o 8° CONTECSI em 2011, a auditoria contínua está em sua fase inicial de implantação pelas empresas brasileiras. Por isso, o foco da pesquisa é em empresas que possuem processos de auditoria contínua consolidados ou que tenham projetos de auditoria contínua em fase adiantada, próximos de atingir seus objetivos.

O estudo de casos múltiplos foi realizado por meio de uma pesquisa de campo, através de uma entrevista semiestruturada que permitiu maior liberdade do pesquisador, com os principais gestores das organizações pesquisadas.

O modelo de estudo de casos múltiplos, ilustrado na Figura 2, se utilizou do construto proposto, ilustrado na Figura 1, embasado na fundamentação teórica, na elaboração prévia das premissas, proposições, aspectos críticos e questionamentos associados.

Figura 2
– Modelo do Estudo de Casos Múltiplos

Atualmente no contexto nacional existem poucas organizações de diversos setores que já implementaram auditoria contínua, o destaque fica para as grandes instituições financeiras, que somam uma quantidade de 6 grandes conglomerados financeiros. Dessa forma, a seleção das empresas foi direcionada para aquelas que possuem seus processos de auditoria contínua já consolidados, de forma a testar todos os aspectos críticos levantados neste trabalho.

Para não concentrar a amostra, foram selecionadas três empresas do setor financeiro e duas de outros setores que já possuem seus sistemas de auditoria contínua em produção. As respostas aos questionamentos permitiram explorar e descrever os casos pesquisados e direcionar as respostas para a questão principal da pesquisa, procurando manter a objetividade e a isenção na análise dos documentos.

Para conseguir maior segurança na prova de conceito, foi feita uma análise cruzada das informações obtidas junto às áreas de Auditoria Interna e Tecnologia da Informação das organizações pesquisadas, de forma a correlacionar os resultados da pesquisa e chegar às conclusões sobre os principais aspectos críticos para a construção da auditoria contínua de dados, considerando o uso da tecnologia da informação e das técnicas de auditoria com auxílio do computador.

Tal análise forneceu afirmações ou negações conclusivas de cada resposta obtida de cada um dos questionamentos elaborados.

A compilação dos resultados foi conduzida de forma sistemática e documentada, conforme a convergência entre as respostas obtidas das empresas. Primeiramente foi feita uma descrição de cada resposta de cada questionamento e, na sequência, foram compiladas as afirmações ou negações associadas de cada aspecto crítico. Cada aspecto crítico foi analisado em um Quadro específico.

De acordo com Yin (2010), a quarta e última modalidade de relatório escrito aplica-se apenas a estudo de casos múltiplos. Nessa situação, não pode haver capítulos ou seções separados destinados a casos individuais. Em seu lugar, o relatório inteiro consiste em uma análise cruzada, mesmo que seja puramente descritivo ou que lide com tópicos explanatórios.

Finalmente, após fazer as análises isoladas de cada aspecto crítico, foi feita uma composição de todos os aspectos críticos abordados na pesquisa de campo, utilizando-se do modelo descrito, onde se verificou a aderência conjunta dos resultados obtidos por meio da análise cruzada, chegando-se às considerações finais sobre a questão principal deste trabalho.

Cabe ressaltar que os modelos dos quadros para composição dos resultados do estudo de casos múltiplos foram baseados no método utilizado por Biancolino (2010).

3.1 Resultados Preliminares

3.1.1 Aderência Aos Aspectos Críticos Associados À PRE-1, PRO-1 E PRO-2

Com base na fundamentação teórica e na pesquisa de campo, desenvolvida por meio de estudo de casos múltiplos, os principais aspectos críticos para a construção da auditoria contínua de dados, associados ao nível adequado de automação dos processos de negócios e seus respectivos controles das organizações, podem ser resumidos pelas informações demonstradas no Quadro 1:

Quadro 1
– Grau de aderência geral – Aspectos abordados relacionados à Premissa 1

Código do Aspecto Crítico	Aspectos abordados	Aderência Verificada
AC1	Capacidade de desenvolver e manter um nível adequado de automação dos processos de negócios.	100%
AC2	Capacidade que os sistemas implantados possuem para gerar informações para o monitoramento contínuo dos processos de negócios.	90%
PRO1	Grau de Aderência da Proposição 1	95%
AC3	Capacidade que os sistemas, banco de dados e controles automáticos, possuem de se inter-relacionarem.	100%
PRO-2	Grau de Aderência da Proposição 2	100%
PRE-1	Grau de Aderência Geral Aspectos Críticos Relacionados à Premissa 1	97%

De acordo com o Quadro 1, pode-se concluir que é extremamente relevante que as organizações, as quais possuem ou pretendem possuir processos de auditoria contínua, mantenham um nível adequado de automação de seus processos de negócios.

Cabe ressaltar que, por meio das proposições de pesquisa e dos números apresentados no Quadro 1, pode-se concluir também que tais processos de negócios, quando automatizados, requerem monitoração automática de seus controles e riscos associados, os quais se inter-relacionam entre os diversos sistemas e seus respectivos módulos funcionais.

3.1.2aderência Aos Aspectos Críticos Associados À PRE-2, PRO-3 E PRO-4

Com base na fundamentação teórica e na pesquisa de campo, desenvolvida por meio de estudo de casos múltiplos, demonstramos abaixo, no quadro 2, os principais aspectos críticos para a construção da auditoria contínua de dados - associados ao relacionamento que as áreas de TI, Auditoria Interna e as demais áreas da organização deve ter, para atingir os objetivos esperados das necessidades dos processos de auditoria contínua de dados.

Quadro 2
– Grau de aderência geral – Aspectos abordados relacionados à Premissa 2

Código do Aspecto Crítico	Aspectos abordados	Aderência Verificada
AC4	Habilidade da área de Auditoria Interna em identificar de forma consistente e sistemática os testes e indicadores de auditoria que são objetos de automação.	100%
AC5	Habilidade da área de TI em atender de forma consistente e sistemática as necessidades de automação da área de Auditoria Interna.	50%
PRO-3	Grau de Aderência da Proposição 3	75%
AC6	Capacidade de se identificar possíveis sinergias entre as áreas da organização ganhando eficiência e reduzindo possíveis retrabalhos.	20%
AC7	Capacidade do ambiente de TI absorver de forma rápida e eficiente o desenvolvimento das rotinas de Auditoria Contínua.	60%
PRO-4	Grau de Aderência da Proposição 4	40%
PRE-2	Grau de Aderência Geral Aspectos Críticos Relacionados à Premissa 2	58%

O Quadro 2 demonstra que é relevante as áreas de TI e Auditoria Interna, bem como as demais áreas da organização, se relacionarem para atingir os objetivos esperados da auditoria contínua. De certa forma, pode-se inferir que a importância dada a isto se deve ao fato de que todas as áreas da organização são responsáveis por gerenciar seus controles e riscos e a Auditoria Interna. Utilizando-se da auditoria contínua, a organização conseguirá contribuir para o atingimento deste objetivo.

A proposição 3 ressalta que é muito relevante o papel do engenheiro do conhecimento ou o auditor especialista em auditoria e em TI para manter um nível adequado de interação entre os auditores internos e analistas de sistemas da área de TI.

Já a proposição 4 ressalta sua pouca relevância para atingir os objetivos da auditoria contínua, quando se trata de identificar possíveis sinergias pela Auditoria Interna, entre as áreas das organizações que possuem processos automáticos de monitoramento contínuo. Disto pode-se inferir que as áreas de Auditoria Interna dão preferência a ter processos próprios de auditoria contínua, mantendo assim seu princípio de independência das demais áreas da organização.

De qualquer forma, na proposição 4 é demonstrada a relevância, quando se trata, isoladamente, do aspecto crítico da capacidade do ambiente de TI absorver de forma rápida as rotinas de auditoria contínua.

Durante a pesquisa pôde-se constatar que é fundamental que as áreas de TI disponibilizem um ambiente de TI funcional, capacitando a área de Auditoria Interna para suportar e expandir seus processos de auditoria contínua. Para isto, é imprescindível a sinergia e interação entre as áreas de TI e Auditoria Interna, a fim de suprir as necessidades da auditoria contínua, no que diz respeito à disponibilização de ambiente tecnológico.

3.1.3 ADERÊNCIA AOS ASPECTOS ASSOCIADOS À PRE-3, PRO-5 E PRO-6

Com base na fundamentação teórica e na pesquisa de campo, desenvolvida por meio de estudo de casos múltiplos, os principais aspectos críticos para a construção da auditoria contínua de dados, associados aos ambientes computacionais disponibilizados pela área de TI para a Auditoria Interna que devem ser confiáveis, de forma a fornecer dados íntegros para a automação dos processos de auditoria, podem ser resumidos pelas informações demonstradas no Quadro 3:

Quadro 3
– Grau de aderência geral – Aspectos abordados relacionados à Premissa 3

Código do Aspecto Crítico	Aspectos abordados	Aderência Verificada
AC8	Capacidade do ambiente de TI de manter as rotinas de auditoria contínua em um ambiente estável e confiável, de forma a atender as necessidades dos usuários.	100%
PRO-5	Grau de Aderência da Proposição 5	100%
AC9	Assegurar que os sistemas e o ambiente de TI que suportam as rotinas de auditoria contínua geram dados confiáveis.	100%
PRO-6	Grau de Aderência da Proposição 6	100%
PRE-3	Grau de Aderência Geral Aspectos Críticos Relacionados à Premissa 3	100%

De acordo com o Quadro 3, pode-se concluir que é extremamente relevante que as organizações, as quais possuem ou pretendem possuir processos de auditoria contínua, tenham ambientes computacionais confiáveis e que disponibilizem dados íntegros para a automação dos processos de auditoria.

Da mesma forma, pode-se concluir, por meio das proposições, a extrema relevância desse ambiente computacional processar sistemas apropriados e seguros que gerem dados íntegros e com qualidade para a auditoria contínua. Para se assegurar desta proposição, as áreas de Auditoria Interna possuem uma equipe específica de auditores de TI que aplicam programas de trabalho para auditar os sistemas aplicativos, infraestrutura e processos de governança de TI de seus ambientes computacionais.

3.1.4 ADERÊNCIA AOS ASPECTOS ASSOCIADOS À PRE-4, PRO-7 E PRO-8

Com base na fundamentação teórica e na pesquisa de campo, desenvolvida por meio de estudo de casos múltiplos, os principais aspectos críticos para a construção da auditoria contínua de dados, associados à escolha dos processos de automação de auditoria, os quais devem ser selecionados de acordo com o grau de risco dos processos de negócios-chave, podem ser resumidos pelas informações demonstradas no Quadro 4:

Quadro 4
– Grau de aderência geral – Aspectos abordados relacionados à Premissa 4

Código do Aspecto Crítico	Aspectos abordados	Aderência Verificada
AC10	Capacidade da Auditoria Interna de cobrir os principais riscos dos processos críticos de negócios, por meio da auditoria contínua de dados.	100%
PRO-7	Grau de Aderência da Proposição 7	100%
AC11	Habilidade da Auditoria Interna em compartilhar sua visão de riscos com as demais áreas da organização.	80%
PRO-8	Grau de Aderência da Proposição 8	80%
PRE-4	Grau de Aderência Geral Aspectos Críticos Relacionados à Premissa 4	90%

De acordo com o Quadro 4, pode-se concluir que é muito relevante que as organizações, as quais possuem ou pretendem possuir processos de auditoria contínua, selecionem seus processos de automação de auditoria de acordo com o grau de risco dos processos de negócios-chave. Para que isto aconteça, a pesquisa demonstrou que todas as áreas de Auditoria Interna utilizam um método para avaliar os riscos de todos os seus processos auditáveis, incluindo aqueles que serão alvo da auditoria contínua.

Foi também constatado que é muito relevante às organizações possuírem uma visão de riscos única entre as suas diversas áreas, fazendo com que a Auditoria Interna concentre seus esforços na implantação de rotinas de auditoria contínua para os processos de negócios de maior risco, os quais podem expor a organização.

Conforme verificado nas análises cruzadas e de aderências associadas às premissas de estudo, pode-se concluir que, com base na fundamentação teórica e do estudo de casos múltiplos, os principais aspectos críticos para a construção da auditoria contínua de dados, quando consolidados nas premissas que os originaram, obtiveram um percentual de 86% de aderência, como observado no Quadro 5.

Quadro 5
– Grau de aderência geral – Premissas derivadas da Fundamentação Teórica

Código da Premissa	Premissas	Aderência Verificada
PRE-1	Para a implantação da auditoria contínua de dados é necessário que a organização possua um nível adequado de automação de seus processos de negócios e controles associados.	97%
PRE-2	A área de Tecnologia da Informação (TI), a área de Auditoria Interna e demais áreas das organizações devem se relacionar de forma a atingir os objetivos esperados para o atendimento das necessidades dos processos de auditoria contínua de dados.	58%
PRE-3	Os ambientes computacionais disponibilizados pela área de TI para a área de Auditoria Interna devem ser confiáveis, de forma a fornecer dados íntegros para a automação dos processos de auditoria.	100%
PRE-4	Os processos de automação de auditoria, para alcançar a auditoria contínua de dados, devem ser escolhidos de acordo com o grau de risco dos processos de negócios-chave, avaliados pela organização.	90%
	Grau de Aderência Geral Premissas derivadas da Fundamentação Teórica	86%

4. CONCLUSÃO

Partindo-se do método de apuração deste tipo de pesquisa proposto por Biancolino (2010), é importante frisar que os valores atribuídos às análises qualitativas foram inseridos na pesquisa apenas como referências quantitativas simples. Os números apresentados nesta pesquisa com relação às análises de aderência efetuadas têm por objetivo situar as respectivas aderências em uma escala de valores, de forma que os aspectos críticos para a construção da auditoria contínua, extremamente relevantes para os entrevistados, se aproximam do valor de 100%, ao mesmo tempo em que os irrelevantes, no mesmo cenário, se aproximam de zero.

Cabe ressaltar que as análises de aderências efetuadas nesta pesquisa foram classificadas de acordo com a opinião dos entrevistados, sem que houvesse influência por parte do pesquisador. Desta forma, os aspectos críticos foram classificados de acordo com uma abordagem relativa, segundo o método de apuração aplicado.

Respeitadas as limitações da pesquisa e o método aplicado, é possível concluir que os principais aspectos críticos para a construção da auditoria contínua de dados, considerando o uso da Tecnologia da Informação e das Técnicas de Auditoria com Auxílio do Computador, podem ser representados através de uma distribuição espacial associada à sua relevância, conforme demonstrado na Figura 3.

Figura 3
– Graus de aderência dos aspectos críticos propostos

A partir da Figura 3, juntamente com todas as demais análises realizadas nesta pesquisa, pode-se concluir que:

a) Observa-se que 8 aspectos críticos propostos nesta pesquisa encontram-se situados no patamar acima de 75% de aderência, enquanto que 2 aspectos situam-se entre 50% e 75% de aderência e apenas 1 abaixo de 25%. Conclui-se a partir deste fato que os aspectos críticos apresentados estão presentes no cotidiano das organizações que possuem seus processos de auditoria contínua de dados em produção ou em fase de implantação.

b) Todos os aspectos críticos apresentados na Premissa 1 apresentaram-se acima de 75% de aderência. Sendo assim, pode-se considerar que a auditoria contínua de dados é totalmente dependente do nível adequado de automação dos processos de negócios das organizações, sem o qual não haveria condições de implantar rotinas de auditoria contínua. Disto pode-se inferir que as organizações de maior porte, com a grande maioria de seus processos de negócios dependentes de TI, possuem maiores condições de construir suas auditorias contínuas de dados.

c) Os aspectos críticos relacionados à Premissa 2 não se apresentaram de forma homogênea no gráfico. Isto se deve ao fato de as áreas de Auditoria Interna manterem equipes especializadas para o funcionamento dos processos de auditoria contínua, de forma independente, fazendo inclusive o papel dos analistas de sistemas da área de TI na definição de aplicativos e infraestrutura tecnológica para processar as rotinas de auditoria contínua, extrapolando o papel do engenheiro do conhecimento para a área de Auditoria Interna. Este fato é evidente devido à falta de atendimento consistente por parte da área de TI para as necessidades de automação dos processos de Auditoria Interna, dificultando inclusive a obtenção de dados para o funcionamento das rotinas de auditoria contínua. Além disso, ficou claro que ainda falta maior sinergia entre as diversas áreas das organizações e a Auditoria Interna para se atingir maior eficiência na implantação dos processos de auditoria contínua de dados. Isto acontece pelo não aproveitamento da infraestrutura de TI, dos ambientes de banco de dados disponíveis e dos processos automáticos de monitoração já existentes nas organizações, os quais poderiam ser usados para a construção da auditoria contínua.

d) A homogeneidade dos aspectos críticos das Premissas 3 e 4 se situarem em patamares elevados, se deve ao fato de que qualquer processo de auditoria contínua, quando colocado em produção, deve ser considerado confiável em todos os seus aspectos estruturais, desde sua escolha, de acordo com o grau de risco do objeto auditável, passando-se pela obtenção dos dados, processamento, chegando-se no resultado final. É importante ressaltar que a auditoria contínua de dados foi considerada pelas organizações como mais uma das técnicas de auditoria, a qual deve ser utilizada de acordo com a oportunidade percebida durante o processo de análise de riscos que define os processos auditáveis.

e) Como conclusão final, afirma-se que os aspectos críticos para a construção da auditoria de dados, originários da fundamentação teórica e corroborados pelo resultado do estudo de casos múltiplos, servirão como direcionadores para o início de projetos de auditoria contínua, bem como para sua reestruturação. A pesquisa permitiu que, com novos estudos e a partir dos resultados apresentados, outras análises a respeito do tema, possam ser desenvolvidas.

4.1 TRABALHOS FUTUROS

Através de uma análise detalhada dos assuntos desenvolvidos nesta pesquisa, sugerem-se temas que podem complementar o estudo sobre a auditoria contínua de dados:

1) Estudo detalhado de cada aspecto crítico pesquisado nesta pesquisa.

2) Pesquisar em detalhes como as organizações migram seus atuais processos de auditoria para a auditoria contínua de dados, considerando os aspectos críticos estudados.

3) Proposição de um método de construção da auditoria contínua de dados, partindo-se dos aspectos críticos pesquisados.

4) Estudo sobre os ambientes de bancos de dados e seu aproveitamento na Auditoria Interna, utilizando-se da auditoria contínua de dados.

5) Os efeitos da modernização da Auditoria Interna, utilizando-se da auditoria contínua de dados.

6) Os efeitos dos resultados da auditoria contínua de dados para a melhoria da governança corporativa e o aumento da sinergia entre as áreas das organizações.

7) Pesquisa aprofundada das diversas formas de obtenção de dados e métodos estatísticos para se chegar aos resultados da auditoria contínua.

8) O uso da auditoria contínua de dados e seus efeitos em sistemas ERPs.

9) O uso da auditoria contínua de dados como instrumento da prevenção a fraudes nas organizações.

10) Estudo sobre a formação do profissional de auditoria especialista em processos de auditoria contínua de dados.

REFERÊNCIAS BIBLIOGRÁFICAS

• Alles, M.; Brennan, G.; Kogan, A.; Vasarhelyi, M. A. (2005). Continuous monitoring of business process controls: a pilot implementation of a continuous auditing system at Siemens. International Journal of Accounting Information Systems, v.7, p.137-161.
• Alles, M. G. A.; Tostes, F.; Vasarhelyi, M. A.; Riccio, E. L. (2006) Continuous Auditing: The USA Experience and Considerations for its Implementation in Brazil. Journal of Information Systems and Technology Managementv.3, n.2, p.211-214.
• Biancolino, C. A. (2010). Valor de uso do ERP e gestão contínua de pós-implementação: estudo de casos múltiplos no cenário brasileiro. Pesquisa (Doutorado) São Paulo: Universidade de São Paulo.
• Bovee, Matthew; Kogan, Alexander; Nelson, Kay; Srivastava, Rajendra P. (2005). Financial Reporting and Auditing Agent with Net Knowledge (FRAANK) and eXtensible Business Reporting Language (XBRL). Journal of Information Systems.v.19, n.1, p.19-41.
• Chou, C. L.; Du, T.; Lai, V. S. (2007).Continuous auditing with a multi-agent system. Decision Support Systems, v.42, n.4, p.2274-2292.
• Church, B. K.; Mcmillan, J. J.; Schneider, A. (2001).Factors Affecting Internal Auditors’ Consideration of Fraudulent Financial Reporting during Analytical Procedures. A Journal of Practice & Theory, v. 20, n.1.
• Coderre, D. (2005). Continuous Auditing: Implications for Assurance, Monitoring and Risk Assessment. GTAG#3 - Global Technology Audit Guide. USA. The IIA - The Institute of Internal Auditor
• Donnell, E. O.; Schultz, J. J. (2003).The Influence of Business-Process-Focused Audit Support Software on Analytical Procedures Judgments. A Journal of Practice & Theoryv.22, n.2, p.265-279.
• Flowerday, S; Blundell, A. W; Solms, R. Von.(2006). Continuous auditing technologies and models: a discussion. Computers & Security, n.25, p. 325-331.
• Glover, S. M.; Jiambalvo, J.; e Kennedy, J. (2000).Analytical Procedures and Audit-Planning Decisions. A Journal of Practice & Theoryv.19, n.2.
• Hunton, J. E.; Rose, J. M. (2010).21^st Century Auditing: Advancing Decision Support Systems to Achieve Continuous Auditing.Accounting Horizons.v.24, n. 2, p.297-312.
• Koch, H. S. (1984). Auditing on-line systems: an evaluation of parallel versus continuous and intermittent simulation. Computers & Security, v.3, p.9-19.
• Li, S.-H.; Huang, S.-M.; Lin, Y.-C.G. (2007).Developing a continuous auditing assistance system based on information process models. Journal of Computer Information Systems
• Rezaee, Z.; Sharbatoghlie, A.; Elam, R.; Mcmickle, L.P. (2002).Continuous auditing: building automated auditing capability. A Journal of Practice & Theoryv.21, n.1.
• Vasarhelyi, M. A.; Alles, M.(2008).The “now” economy and the traditional accounting reporting model: Opportunities and challenges.International Journal of Accounting Information Systems, v.9, n.4.
• Vasarhelyi, M. A.; Alles, M. G. and Kogan, A. (2002).Feasibility and economics of continuous assurance. A Journal of Practice & Theory, v.21, n.1.
• Vasarhelyi, M. A; Halper F. B. (1991).The continuous audit of online systems. A Journal of Practice & Theory, v.10, n.1, p.110-125.
• Vasarhelyi, M. A.; Alles, M. G.; and Kogan, A. (2004).Principles of analytic monitoring for continuous assurance. Journal of Emerging Technologies in Accounting, v.1, p.1-21.
• Watson, H. J. e Wixom, B. H. (2007).The current state of business intelligence. IEEE Computer Society, v.40, n.9.
• Yeh, C.-H.e Shen, W.-C. (2010). Using continuous auditing life cycle management to ensure continuous assurance. African Journal of Business Management, v. 4, n.12, p.2554-2570.
• Yin, R. K. (2010). Estudo de caso– planejamento e métodos. 4 ed. Porto Alegre: Bookman.

• Published by/ Publicado por: TECSI FEA USP – 2014 All rights reserved.

Datas de Publicação

• Publicação nesta coleção
  Ago 2014

Histórico

• Recebido
  20 Abr 2013
• Aceito
  05 Fev 2014