Asseguração, controles e auditoria interna

Relatório de controles em prestador de serviço

Quando o processo relevante roda no prestador, o conforto vem de asseguração sobre os controles dele, não da cláusula contratual.

Trabalho de asseguração sobre o desenho e a operação dos controles de organização prestadora de serviço, contratado por quem processa fora de casa e por quem depende desse processamento. Para instituições autorizadas pelo Banco Central, o credenciamento do provedor de tecnologia eleva a régua mínima de capacidade técnica, governança e segurança, mas não transfere responsabilidade: a contratante continua respondendo pela integridade e pela continuidade dos processos terceirizados.

A particularidade está na fronteira. Controles gerais de tecnologia não param no perímetro da instituição: acesso, mudança, operação, continuidade e segurança seguem para dentro do provedor e da sua cadeia de subcontratação. Sob a NBC TO 3402, o relatório permite que a contratante e seus auditores confiem nesses controles com nível de confiança definido, em vez de dependerem de declaração contratual. Contrato sem direito de acesso à informação inviabiliza a evidência.

O exame percorre o mapa de dependência e a criticidade dos serviços antes de qualquer teste. Depois vêm o teste de desenho dos controles do prestador e o teste de efetividade operacional ao longo do período declarado, sobre amostra de concessões e revisões de acesso, de mudanças promovidas e de incidentes tratados. Um controle de segurança que não deixa rastro é, para efeito de exame, um controle que não se confirma.

O que examinamos

• Inventário de serviços críticos e dos processos que dependem deles
• Amostra de concessão e revisão periódica de acessos no ambiente terceirizado
• Trilha de controle de mudanças compartilhada entre instituição e provedor
• Registros de monitoramento, detecção e resposta a incidentes
• Teste de recuperação executado, com resultado registrado
• Direitos de acesso à informação e cadeia de subcontratação no contrato

Norma aplicável

NBC TO 3402, NBC TO 3000 (R1), NBC TA 315 (R2) e NBC TA 330.

Entregável

Relatório de asseguração sobre os controles do prestador, com nível de confiança definido e trilha de evidência por controle testado.