Auditoria orientada ao risco

1) Essencial de auditoria orientada de risco (RBA)

• Prioridade onde a combinação de probabilidade e influência é máxima.
• Avaliação do risco inerente (sem controle) e do risco residual (considerando os controles).
• Uma revisão contínua da avaliação à medida que a paisagem de risco muda (produto, mercado, regulação, incidentes).

2) Termos e molduras

A auditoria é um catálogo de processos, sistemas, localizações, fornecedores e funções regulatórias que podem ser auditados.
Heatmap de risco - visualização «Probabilidade x Influência» com gradação de prioridades.
Risk Appetite/Tolerance - vontade declarada da empresa de aceitar riscos dentro dos limites definidos.
Níveis de controle: preventivo/detetive/corretivo; design e eficiência operacional.
Linhas de proteção - 1ª (negócios e operações), 2ª (risco/complacência), 3ª (auditoria interna).

3) Construção da auditoria universal

• Processos: pagamentos, KYC/KYB, monitoramento AML, gerenciamento de incidentes, DSAR, retenção.
• Sistemas: núcleo de transação, DWH/datalake, IAM, CI/CD, nuvens, DLP/EDRM.
• Jurisdição e licenças, vendedores-chave e outsourcers.
• KPI/KRI, histórico de incidentes/violações, Findings/sanções externas.
• Efeito monetário e de reputação, criticidade para os reguladores (GDPR/PCI/AML/SOC 2).

4) Metodologia de avaliação de risco

1. Risco inerente (IR): complexidade do processo, quantidade de dados, fluxo de dinheiro, dependências externas.
2. Design de controladores (CD): disponibilidade, cobertura, maturidade de políticas-de-código, automação.
3. Eficiência operacional (OE): estabilidade de execução, métricas MTTD/MTTR, nível de deriva.
4. Risco residual (RR): 'RR = f (IR, CD, OE)' - Racione na escala (por exemplo, 1-5).
5. Fatores modificadores: mudanças regulatórias, incidentes recentes, resultados de audiências passadas, rotatividade de pessoal.

Um exemplo da escala de influência: danos financeiros, multas regulatórias, interrupções de SLA, perda de dados, consequências de reputação.
Um exemplo da escala de probabilidade: frequência, exposição, complexidade de ataques/abusos, tendências históricas.

5) Priorização e plano de auditoria anual

Classifique as unidades de auditoria por risco residual e importância estratégica.
Atribua a frequência anual (alta), a cada 2 anos (média), monitoramento/tópicos (baixa).
Inclua verificações temáticas (como Remoção e anonimato de dados, Segmentação de responsabilidades (SoD), Segmentação PCI).
Planeje os recursos, habilidades, independência, e evite conflitos de interesse.

6) RACI e papéis

(R — Responsible; A — Accountable; C — Consulted)

7) Abordagens para testes de controle

Walkthrough: rastree o fluxo de «transacção completa »/dados.
Design effectiveness: verifique se existe ou não uma política/controle.
Operating effectiveness: Verificação de execução seletiva por período.
Re-performance: reprodução de cálculos/sinais por regras de CaC.
CAATS/DA (computador-assisted audits techniques/data analytics): SQL/piton, pesquisas de controle para vitrines do Compliance, comparação entre IaC ↔ configurs reais.
Contínuo auditing: incorporação de testes de verificação no pneu de eventos (stream/batch).

8) Amostra (sampling)

Estatístico: aleatório/estraçado, defina o tamanho por nível de confiança e erro.
Alvo (judgmental): high-value/alto risco, mudanças recentes, exceções (waivers).
Anormal: saída de analistas (outliers), incidentes de near-miss, «alto intrusos».
Central (100%): Utilize a verificação automatizada de toda a matriz (por exemplo, SoD, TTL, screening de sanções), sempre que possível.

9) Analista e fontes de provas (evidence)

Logs de acesso (IAM), rastreamento de alterações (Git/CI/CD), configs de infraestrutura (Terraform/K8s), relatórios DLP/EDRM.
Vitrines «Compliance», revistas Legal Hold, registro DSAR, relatórios AML (SAR/TR).
Imagens de dashboards, exportação de CSV/PDF, fixação hash e WORM/imutability.
Minutas de entrevistas, cheques, artefatos de tiketing/escalações.

10) Auditoria: SOP

1. Avaliação preliminar, especificação de metas, critérios, limites, proprietários.
2. Consulta de dados: lista de downloads, acessibilidade, configurs, período de amostra.
3. Trabalho de campo: walkthrough, testes, análise, entrevista.
4. Calibrar as conclusões: comparar com a Risk Appetite, com regulamentos e políticas.
5. Formação Findings: fato → critério → influência → razão → recomendação → proprietário → prazo.
6. Closing time: alinhamento de factos, status e planos de remediação.
7. Relatório e observação subsequente: emissão, classificação, data de encerramento, reexaminação.

11) Classificação Findings e classificação de risco

Severity: Critical/High/Medium/Low (vincule-se a efeitos sobre segurança, complicações, finanças, operações, reputação).
Likelihood: Frequente/Possível/Raro.
Risk score: matriz ou função numérica (por exemplo, 1-25).
Theme tags: IAM, Data Privacy, AML, PCI, DevSecOps, DR/BCP.

12) Métricas e KRI/KPI para auditoria de risco

Coverage: parte da auditoria universal coberta em.
On-time Remediation:% das correções no prazo (severity).
Repeat Findings: proporção de repetições em 12 m.
MTTR Findings: Tempo médio até o fechamento.
Controle Efetiveness Trend: proporção de testes Passed/Failed por período.
Check Readiness Time: tempo para coletar evidence.
Risk Reducção Index: ∆ de risco total após a remunção.

13) Dashboards (conjunto mínimo)

Risk Heatmap: processos x probabilidade/impacto x risco residual.
Findings Pipeline: status (Open/In progress/Overdue/Closed) x proprietários.
Top Themes: categorias frequentes de violações (IAM/Privacy/PCI/AML/DevSecOps).
Aging & SLA: atrasos e deadline que se aproximam.
Repeat Issues: repetibilidade por comandos/sistemas.
Controle de Resultados: pass rate, tendências, FPR/TPR para regras de detetive.

14) Modelos de artefatos

Área de auditoria

Objetivos e critérios (padrões/políticas).
Volume: sistemas/período/localização/fornecedores.
Métodos: amostra, analista, entrevista, walkthrough.
Exceções e restrições (se houver).

Cartão Finding

ID/Tema/Severity/Likelihood/Score.
Descrição do fato e critério de discrepância.
Risco e influência (negócios/regulação/segurança).
Recomendação e plano de ação.
Dono e data de data.
Provas (links/hashtag/arquivo).

Relatório de auditoria (estrutura)

1. Resumo para manual (Executive Summary).
2. Contexto e volume.
3. Metodologia e fontes de dados.
4. Conclusões e avaliação dos controladores.
5. Findings e prioridades.
6. Plano de remunização e controle de execução.

15) Comunicação com Monitoramento Contínuo (CCM) e Complance-as-código

Use os resultados do CCM como logon para avaliação de risco e planejamento de auditorias.
As políticas-de-código permitem que os auditores refizam os testes, aumentando a reprodução.
Implemente continuous auditing para áreas de alto risco e telemetria disponível.

16) Antipattern

Uma auditoria «uniforme» sem considerar o risco → perda de foco e recursos.
Relatórios sem recomendações ou proprietários mensuráveis.
Metodologia opaca de classificação de risco.
Ignorar fornecedores e cadeias de serviços.
Falta de controle posterior (follow-up) - Os problemas estão voltando.

17) Modelo de maturidade RBA (M0-M4)

M0 Documentário: Verificações individuais, amostra manual.
M1 Catálogo: auditoria-uníssono e heatmap básico.
M2 Políticas e testes: folhas de cheque normalizadas e pedidos de controle.
M3 Integrado: comunicação com CCM, dados SIEM/IGA/DLP, coleta de evidence semiautomática.
M4 Contínuo: Contínuo auditing, priorização em tempo real, reimperformados automatizados.

18) Dicas práticas

Faça uma calibragem da linha de risco com o negócio e a complacência - uma única «moeda» de risco.
Mantenha a transparência: documente o método e o peso e guarde o histórico de alterações.
Vincule o plano de auditoria à estratégia e ao Risk Appetite.
Incorpore o treinamento dos proprietários de processos - auditoria como uma economia de futuros incidentes.
Reduza o ruído com análises: rateio, regras de exclusão, priorização de danos.

19) Artigos wiki relacionados

Monitoramento Contínuo de Conformidade (CCM)

Automação da compilação e relatórios

Legal Hold e congelamento de dados

Gráficos de armazenamento e remoção de dados

DSAR: solicitações de dados dos usuários

PCI DSS/SOC 2: controle e certificação

Plano de Continuidade de Negócios (BCP) e DRP

Resultado

A auditoria orientada do risco concentra a atenção nas ameaças mais significativas, mede a eficiência dos controles e acelera as ações corretivas. Sua força está nos dados e na metodologia transparente: quando a priorização é compreensível, os testes são reproduzidos e as recomendações são medidas e encerradas dentro do prazo.