Implementação de um programa SOX 404

Cenário

Você é Gerente de Auditoria de SOX proprietário de dois projetos: Você quer garantir que a terminologia exibida nos dois projetos SOX esteja alinhada com o léxico preferido da sua organização.

Processo

Tópicos da ajuda Personalização de termos, campos e notificações

Navegue para o tipo de projeto Revisão de Sarbanes-Oxley e configure os seguintes termos em cada guia:

Resultado

Os termos personalizados serão aplicados aos projetos criados e associados ao tipo de projeto Revisão Sarbanes-Oxley.

Cenário

Para iniciar o processo de centralização da sua documentação SOX, você pode criar dois projetos:

• Canadá - Revisão de SOX 2018
• Brasil - Revisão de SOX 2018

Recentemente, você confirmou que riscos e controles semelhantes podem ser aplicados a ambos os projetos. Para fornecer um ponto de partida para a criação dos seus projetos, você cria um projeto a partir de um modelo de projeto denominado Modelo de Auditoria da Sarbanes-Oxley (SOX) (Estrutura COSO 2013). Você quer usar esse modelo para criar um único conjunto de riscos e controles que podem ser usados em ambos os projetos.

Processo

Tópicos da Ajuda

• Criando projetos
• Usando modelos de projetos
• Visão geral do Estruturas
• Clonando e importando objetivos

Você cria uma nova estrutura chamada Estrutura de Controle de Processo SOX. Em seguida, você importa os objetivos (contendo riscos e controles) do modelo de projeto para a estrutura. Finalmente, você importa os objetivos da estrutura para cada projeto.

Resultado

Os objetivos, riscos e os controles na estrutura são vinculados aos objetivos, riscos e controles nos projetos.

Agora você pode atualizar os projetos conforme necessário, como opção, pode aplicar as atualizações de volta para a estrutura e também garantir que as atualizações feitas na estrutura sejam propagadas para os projetos apropriados sincronizando os projetos com as estruturas.

Cenário

Sua organização é composta por diferentes departamentos, regiões e locais. Você quer ser capaz de relatar sobre controles internos a partir de seções cruzadas diferentes da empresa e permitir que partes interessadas de todos os níveis da organização obtenha as informações necessárias.

Processo

Tópicos da ajuda Configurando a marcação de entidades

Em Gerenciar Entidades, você modela a estrutura do seu negócio com base nos departamentos, regiões e locais aplicáveis aos dois projetos:

• Canadá - Revisão de SOX 2018
• Brasil - Revisão de SOX 2018

Resultado

Agora você pode marcar projetos, objetivos significativos, riscos, controles e deficiências para os pontos de dados contextuais relevantes e ativar relatórios de risco e controle sobre essas dimensões.

Cenário

Você é responsável por preparar e consolidar toda a documentação de planejamento relacionada ao projeto Canadá - Revisão de SOX 2018. Você precisa capturar essas informações no projeto para que ele possa ser usado como referência posteriormente.

Processo

Tópicos da ajuda Planejando projetos

Primeiro, você navega para a página Planejamento e começa a definir a breve descrição, o propósito e o escopo do projeto. Em seguida, você adiciona a documentação de suporte usando a página Arquivos de Planejamento:

Resultado

As informações de planejamento são capturadas:

• Histórico Em 2002, a lei SOX introduziu um foco renovado na conformidade corporativa exigindo que as organizações fornecessem relatórios trimestrais e anuais certificando a exatidão de suas demonstrações financeiras. A Lei SOX foi criada para aumentar a transparência nos relatórios financeiros e padronizar um sistema de verificações e balanços internos. A Seção 404 da SOX exige que as organizações realizem uma auditoria externa para avaliar e relatar a eficácia dos controles internos.
• Finalidade/Objetivo A organização investe na adoção da SOX para aplicar um modelo de melhores práticas e se preparar para a conformidade quando a empresa abrir o capital.
• Escopo Esse projeto avaliará o design e a eficácia dos controles preventivos e de detecção na organização para reduzir os riscos no nível do processo relacionados à conformidade com SOX 404. Incluiremos todos os principais processos de negócio no escopo do projeto, especificamente:
  • Controles de Nível de Entidade: Ambiente de Controle, Avaliação de Risco, Informação e Comunicação, Atividades de Monitoramento, Atividades de Controle
  • Fechamento Financeiro e Relatórios
  • Controles e Procedimentos de Divulgação
  • Tributação
  • Receita e Contas a Receber
  • Controles Gerais de Tecnologia da Informação
  • Controles de Planilha
  • Aquisição
  • Tesouraria
  • Inventário
  • Folha de pagamento e Recursos Humanos
  • Propriedade de Planta e Equipamentos

Cenário

Uma das suas responsabilidades como Gerente de Auditoria de SOX é documentar narrativas que descrevem cada processo. Você precisa construir uma narrativa relacionada ao processo Receita e Contas a Receber no projeto Canadá - Revisão de SOX 2018. Na narrativa, você planeja definir o processo, delinear claramente os sistemas de TI que apoiam os processos de faturamento e anexar um resumo dos riscos e controles principais associados ao processo. Ao coletar mais informações, você pretende atualizar a narrativa adequadamente.

Processo

Tópicos da ajuda Definindo narrativas

Navegue até a guia Narrativas no projeto e adiciona uma nova narrativa chamada Narrativa de Processo de Reconhecimento de Receita.

Você começa definindo a narrativa desta forma:

Visão Geral do Processo O reconhecimento de receita é o processo de registrar receita, faturas e contas a receber na América do Norte (NA).

Sistemas de IT

Finalmente, você anexa um documento contendo um resumo dos riscos e controles primários associados com o processo de Receita e Contas a Receber.

Resultado

A primeira parte da narrativa é redigida e o documento do Word é adicionado como anexo de apoio. Em muitos casos, as narrativas precisam ser atualizadas trimestralmente ou de forma preliminar e propagada.

Para adicionar gerenciamento de fluxo de trabalho e automação à transmissão e revisão de versões atualizadas de fluxos de trabalho, narrativas e outros documentos relacionados aos processos, você pode:

• Aprovar seu trabalho e nomear um membro da sua equipe como o próximo revisor do conteúdo da narrativa.
• Criar um hiperlink no seu projeto GRC de SOX 404 para agregar relatórios de fluxograma.

Cenário

Sua organização tem um processo de avaliação de risco maduro e refinado e avalia o risco em duas dimensões Impacto e Probabilidade. O impacto é pontuado em uma escala de 5 pontos e a Probabilidade é pontuada em uma escala de 3 pontos.

Você precisa avaliar a pontuação de risco inerente para determinar o risco bruto que a organização enfrenta se não houver controles ou outros fatores de mitigação estabelecidos. Você também quer atribuir aos seus principais controles uma pontuação de eficácia, para que durante os testes posteriores, qualquer controle com falha forneça uma pontuação de risco residual.

Processo

Tópicos da Ajuda

• Definindo riscos e controles
• Rastreamento de garantia usando estruturas

Você captura as seguintes informações nos projetos Canadá - Revisão de SOX 2018 e Brasil - Revisão de SOX 2018:

Você também atribui uma pontuação de efetividade (Peso de Controle) aos controles associados em cada projeto:

• REV-03 30%
• REV-04 20%
• REV-05 50%

Resultado

A avaliação de risco inerente está concluída. As pontuações de risco inerente e residual são agregadas à estrutura para fins de geração de relatório. A pontuação de risco residual permanece igual à pontuação de risco inerente até que o design e a efetividade do controle sejam avaliados.

Cenário

Você precisa coletar informações adicionais do departamento de Contabilidade para melhor entender o fluxo de entrada de caixa da organização, pois pertence à venda de mercadorias.

Processo

Tópicos da ajuda Adicionando solicitações

Você envia uma solicitação para o departamento de Contabilidade, pedindo um resumo do diário de recebimentos em dinheiro para o período contábil atual.

• Descrição Forneça um resumo do diário de recebimentos em dinheiro para o período contábil atual.
• Status Aberto
• Proprietário Contabilidade
• Prazo 08/03/2018

Resultado

A Contabilidade recebe a solicitação e consegue fornecer a documentação relevante anexando um arquivo e publicando um comentário.

Cenário

Agora que você avaliou o risco inerente e obteve a documentação solicitada, deverá realizar uma orientação para avaliar o design de cada controle.

Processo

Tópicos da ajuda Executando procedimentos e testando controles

Você captura as seguintes orientações nos projetos Canadá - Revisão de SOX 2018 e Brasil - Revisão de SOX 2018:

Projetado adequadamente

Projeto	Risco	Controle	Atributos do controle	Resultados da Orientação
Canadá - Revisão de SOX 2018	REV-R.01: Risco Sem Título	REV-03	Descrição Os recebimentos em dinheiro são reconciliados ao extrato bancário e faturas subjacentes pelo contador para garantir o registro preciso, completo e consistente no período contábil apropriado. O controlador revisa a reconciliação e aprova as entradas relacionadas o diário. Peso 30%
		REV-04	Descrição As remessas ocorridas pouco antes ou depois do final de um período contábil são revisadas pelo Controlador para garantir o registro completo e consistente no período contábil apropriado, incluindo análise das faturas relacionadas. Peso 20%
		REV-05	Descrição O controlador realiza uma reconciliação da receita do período e compara com a atividade de receita informada pelo departamento. Qualquer grande variação é analisada e investigada conforme necessário. Peso 50%
Brasil - Revisão de SOX 2018	REV-R.01: Risco Sem Título	REV-03	Descrição Os recebimentos em dinheiro são reconciliados ao extrato bancário e faturas subjacentes pelo contador para garantir o registro preciso, completo e consistente no período contábil apropriado. O controlador revisa a reconciliação e aprova as entradas relacionadas o diário. Peso 30%
		REV-04	Descrição As remessas ocorridas pouco antes ou depois do final de um período contábil são revisadas pelo controlador para garantir o registro completo e consistente no período contábil apropriado, incluindo análise das faturas relacionadas. Peso 20%
		REV-05	Descrição O controlador realiza uma reconciliação da receita do período e compara com a atividade de receita informada pelo departamento. Qualquer grande variação é analisada e investigada conforme necessário. Peso 50%

Resultado

A orientação para cada controle é capturada nos dois projetos:

Cenário

Antes de lançar o teste de efetividade de controles, você precisa preparar um plano de teste que identifica como você testará cada controle. Você quer definir o método de teste, o tamanho total da amostra (dividido entre rodadas de testes) e as etapas de teste que precisa realizar para testar o controle.

Processo

Tópicos da ajuda Executando procedimentos e testando controles

Você documenta o plano de teste para REV-03 desta forma:

• REV-03 Os recebimentos em dinheiro são reconciliados ao extrato bancário e faturas subjacentes pelo Contador para garantir o registro preciso, completo e consistente no período contábil apropriado. O controlador revisa a reconciliação e aprova as entradas relacionadas o diário.
• Inspeção do Método de Teste
• Tamanho Total da Amostra 25
• Etapas de Teste/Atributos de Teste
  1. Confirmar se há uma segregação apropriada de tarefas.
  2. Confirmar saldos das contas a receber.
  3. Comparar detalhes dos recebimentos em dinheiro com as entradas no diário e comprovantes de depósitos bancários correspondentes.
  4. Rastrear transferências bancárias e realizar estes de corte de caixa para garantir que as transações apropriadas são incluídas nos demonstrativos financeiros.
  5. Comparar saldos em dinheiro com previsões e orçamentos.

Resultado

O plano de teste para REV-03 é capturado.

Cenário

Agora que você avaliou o design de controle e preparou um plano de teste que define como você testará cada controle, será necessário avaliar a eficácia do controle para determinar o risco residual ou quanto risco resta após os controles terem sido implantados.

Processo

Tópicos da Ajuda

• Executando procedimentos e testando controles
• Rastreamento de garantia usando estruturas

Você testa a efetividade operacional de cada controle nos projetos Canadá - Revisão de SOX 2018 e Brasil - Revisão de SOX 2018 e captura as seguintes informações:

Operando efetivamente

Exceções notadas

Projeto	Risco	Controle	Atributos do controle	Testes de Q1	Testes de Q2	Testes de Q3	Testes de Q4
Canadá - Revisão de SOX 2018	REV-R.01: Risco Sem Título	REV-03	Descrição Os recebimentos em dinheiro são reconciliados ao extrato bancário e faturas subjacentes pelo contador para garantir o registro preciso, completo e consistente no período contábil apropriado. O controlador revisa a reconciliação e aprova as entradas relacionadas o diário. Peso 30%
		REV-04	Descrição As remessas ocorridas pouco antes ou depois do final de um período contábil são revisadas pelo Controlador para garantir o registro completo e consistente no período contábil apropriado, incluindo análise das faturas relacionadas. Peso 20%
		REV-05	Descrição O controlador realiza uma reconciliação da receita do período e compara com a atividade de receita informada pelo departamento. Qualquer grande variação é analisada e investigada conforme necessário. Peso 50%
Brasil - Revisão de SOX 2018	REV-R.01: Risco Sem Título	REV-03	Descrição Os recebimentos em dinheiro são reconciliados ao extrato bancário e faturas subjacentes pelo contador para garantir o registro preciso, completo e consistente no período contábil apropriado. O controlador revisa a reconciliação e aprova as entradas relacionadas o diário. Peso 30%
		REV-04	Descrição As remessas ocorridas pouco antes ou depois do final de um período contábil são revisadas pelo Controlador para garantir o registro completo e consistente no período contábil apropriado, incluindo análise das faturas relacionadas. Peso 20%
		REV-05	Descrição O controlador realiza uma reconciliação da receita do período e compara com a atividade de receita informada pelo departamento. Qualquer grande variação é analisada e investigada conforme necessário. Peso 50%

Resultado

Resultados de testes associados ao controle são agregados à estrutura para fins de relatório:

Cenário

Como os testes T4 para o controle REV-03 falhou no projeto Brasil - Revisão SOX 2018, você precisa anotar a exceção registrando uma deficiência. Você também quer criar uma medida de acompanhamento específica associada à deficiência identificada e atribuí-la ao membro da equipe apropriado.

Processo

Tópicos da Ajuda

• Registrando problemas
• Registrando ações

Você documenta o seguinte item de deficiência e ação no projeto Brasil - Revisão de SOX 2018:

Problema

• Título Separação inadequada de obrigações
• Descrição Segregação ou separação de obrigações contábeis significa dividir as tarefas para que diferentes pessoas lidem com o processamento de transações, registro de dados, preparação de demonstrações financeiras e auditoria. Depender de uma pessoa para lidar com todas as funções contábeis pode resultar em controles internos ruins, fraude contábil e apropriação indébita de ativos da empresa.
• Proprietário Gerente de Contabilidade
• Tipo de Problema Deficiência
• Data de Identificação Data
• Severidade Alta - Observação grave de auditoria que leva a perda financeira
• Publicado em Publicado em

Ação

• Título Aplicar separação de obrigações ou implementar controles de compensação
• Proprietário Gerente de Contabilidade
• Descrição Assegurar que o departamento de contabilidade esteja organizado de forma a obter uma separação adequada de obrigações. Quando não for possível separar as obrigações, implemente os seguintes controles de compensação:
  • Lidar com todos os relatórios de exceção no nível de supervisão.
  • Implementar controle de acesso baseado em função nos sistemas de TI.
• Data de Vencimento Data
• Status Aberto
• Prioridade Alta

Resultado

A deficiência e a ação são capturadas. Posteriormente, a Auditoria pode revisar o plano de remediação e documentar os resultados do novo teste para determinar se a deficiência foi ou não realmente remediada.

Cenário

Você precisa fornecer informações detalhadas sobre o status do teste de controle ao seu PMO. O relatório deve incluir o progresso do teste de controle para ambos os projetos (Canadá - Revisão de SOX 2018 e Brasil - Revisão de SOX 2018), incluindo atributos de controle, avaliações de efetividade e aprovações de preparadores de testes de controle. Você também deseja oferecer a oportunidade de filtrar os dados de teste de controle com base na pontuação do projeto ou da eficácia.

Processo

Tópicos da Ajuda

• Cópia de relatórios e painéis
• Transmitindo relatórios por e-mail

Primeiro, copie o modelo de relatório Detalhes do Teste de Controle e modifique o relatório conforme necessário. Então, salve e ative o relatório. Finalmente, transmita o relatório por e-mail para o destinatário apropriado com um agendamento especificado.

Resultado

O relatório é compartilhado com o destinatário especificado em um agendamento recorrente. Transmitir um relatório é uma maneira efetiva de compartilhar dados com outras pessoas de forma recorrente. Se você precisar direcionar para diferentes públicos, pode definir vários agendamentos de transmissão para um único relatório.