O programa de TPRM de uma seguradora aceitou um relatório SOC 2 Tipo II de uma Big Four como a principal, e na prática a única, evidência para a avaliação de um fornecedor de análise de dados. A lógica era simples: um SOC 2 Tipo II sem ressalvas de uma grande firma de contabilidade representa o mais alto padrão de garantia de segurança de terceiros disponível. A avaliação foi encerrada sem solicitar mais evidências. Vários meses depois, a equipe de auditoria interna da seguradora revisou a relação com o fornecedor como parte de um programa mais amplo de auditoria de terceiros. Os auditores internos fizeram perguntas que a avaliação de TPRM não havia feito: o relatório SOC 2 foi preparado por uma firma de auditoria que também prestava serviços de consultoria ao fornecedor, uma relação divulgada na seção de independência do relatório que a avaliação de TPRM não havia revisado. O escopo do exame excluía a subsidiária de enriquecimento de dados recém-adquirida pelo fornecedor, que tratava parte dos dados dos segurados da seguradora. Os testes de controle de criptografia haviam usado os procedimentos de teste padrão do auditor, que validavam a criptografia em repouso e em trânsito, mas não avaliavam as práticas de gestão de chaves na arquitetura multilocatário específica usada pelo fornecedor. Nenhuma dessas lacunas invalidava o relatório SOC 2. Eram fatores que afetavam a relevância da garantia do relatório para o perfil de risco específico da seguradora, fatores que justificavam uma avaliação complementar em vez de confiança exclusiva.
O que é, de fato, o problema da confiança em auditorias de terceiros?
Os relatórios de auditoria de terceiros (SOC 2, ISO 27001, atestações PCI-DSS, relatórios de testes de intrusão de firmas conceituadas) fornecem evidências de garantia valiosas. Eles representam o julgamento profissional de especialistas independentes que examinaram os controles do fornecedor com base em critérios definidos. A confiança adequada em relatórios de auditoria de terceiros é um componente eficiente e legítimo da avaliação de segurança de fornecedores. A confiança excessiva ocorre quando os relatórios de auditoria são aceitos como garantia abrangente que dispensa a avaliação específica do cliente, sem avaliar os fatores que afetam a relevância do relatório para a relação específica com o cliente.
A independência e o escopo do auditor são os principais fatores que afetam a relevância do relatório. Preocupações com a independência surgem quando a firma de auditoria tem uma relação de consultoria ou assessoria com o fornecedor, situação que não é necessariamente desqualificante, mas que merece atenção ao avaliar a objetividade da opinião de garantia. Preocupações com o escopo surgem dos fatores discutidos ao longo deste pilar: quais sistemas estão dentro do escopo do exame, o que a metodologia de amostragem cobriu e se o escopo definido inclui os sistemas mais relevantes para o risco do cliente. Ambos são divulgados no relatório de auditoria, na seção de independência e na descrição do sistema, e ambos exigem revisão antes que se confie no relatório como garantia abrangente.
A dimensão da especialização do auditor é um fator de relevância examinado com menos frequência. Os exames SOC 2 são conduzidos por firmas de CPA que aplicam metodologias de auditoria contábil a controles de TI. A qualidade do exame depende de a equipe do trabalho ter especialização técnica suficiente nas tecnologias específicas avaliadas. Uma equipe que avalia uma arquitetura multinuvem complexa sem profunda especialização em tecnologias nativas de nuvem pode aplicar procedimentos de teste padrão que não detectam vulnerabilidades específicas da nuvem. O relatório de auditoria reflete com precisão o que foi testado com os métodos aplicados. Se os métodos eram adequados ao ambiente tecnológico específico é uma dimensão de qualidade que a existência do relatório não resolve.
- Seção de independência não revisada: relações de consultoria entre auditor e fornecedor não avaliadas
- Escopo não verificado para os sistemas relevantes para o cliente
- Especialização do auditor não avaliada para o domínio tecnológico específico
- Confiança exclusiva no relatório de auditoria, sem avaliação complementar específica do cliente
- Relatório aceito sem leitura das seções críticas: independência, escopo, metodologia de testes
Por que isso importa
A confiança em auditorias de terceiros é importante para TPRM porque os relatórios de auditoria são a evidência mais comumente aceita e de maior peso nas avaliações de fornecedores, e seu valor depende de fatores específicos de cada relatório e de cada relação com o cliente, e não da reputação da firma ou da opinião sem ressalvas do relatório. Um SOC 2 sem ressalvas de uma Big Four, emitido por um auditor que tem relação de consultoria com o fornecedor, com um escopo que exclui a subsidiária adquirida que detém dados de clientes e com procedimentos de teste adequados a arquiteturas padrão, mas não à arquitetura multilocatário específica em questão, não é a mesma evidência que uma auditoria inequivocamente independente, com escopo abrangente e metodologia adequada. Ambos são relatórios SOC 2 sem ressalvas de uma Big Four. Um oferece uma garantia mais forte do que o outro para essa relação específica.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a reputação da firma de auditoria e a opinião sem ressalvas como indicadores de qualidade suficientes, sem avaliar os três fatores específicos do relatório (independência, escopo e metodologia) que determinam a qualidade da garantia para a relação específica com o cliente.
- Tratar a reputação da firma como indicador da qualidade do relatório
- Opinião sem ressalvas como garantia abrangente
- Seção de independência não revisada
- Escopo não verificado para os sistemas relevantes para o cliente
- Nenhuma avaliação complementar para as lacunas identificadas na revisão do relatório
Como é uma boa prática
Programas maduros de confiança em auditorias revisam as três seções críticas de todo relatório de auditoria antes de determinar o peso da confiança (a seção de independência, a descrição do sistema e o escopo, e a metodologia de testes) e encomendam uma avaliação complementar para as lacunas identificadas na revisão.
- Revisão da seção de independência: relações do auditor com o fornecedor registradas
- Verificação do escopo: confirmação de que os sistemas relevantes para o cliente estão dentro do escopo do exame
- Avaliação da metodologia de testes: se os métodos são adequados ao domínio tecnológico específico
- Avaliação complementar para lacunas de escopo: testes específicos do cliente para as exclusões
- Confiança proporcional: peso do relatório calibrado pelos fatores de relevância, e não pela reputação da firma
Ferramentas
Estrutura do relatório SOC 2: normas do AICPA para a revisão da independência, do escopo e da metodologia
Os relatórios SOC 2 seguem as normas do AICPA, que incluem a divulgação obrigatória das considerações de independência e das descrições do sistema. A seção de independência divulga as relações entre o auditor e o fornecedor que podem afetar a objetividade. A descrição do sistema define o escopo. Para profissionais de TPRM, ler as duas seções como primeiro passo padrão antes de confiar em qualquer relatório SOC 2 oferece a avaliação de relevância que a reputação e a opinião sem ressalvas, por si sós, não oferecem.
Desafios de governança
O desafio de governança na confiança em auditorias é a pressão por eficiência. Os relatórios de auditoria de terceiros existem justamente para reduzir o ônus de avaliação dos clientes: aceitar uma auditoria bem conceituada como evidência é mais eficiente do que testar novamente cada controle. A solução de governança é uma confiança proporcional, e não ilimitada: uma revisão definida dos três fatores críticos, uma avaliação complementar para as lacunas identificadas e um peso de confiança calibrado de acordo com as constatações da revisão.
- Sempre revise a seção de independência de qualquer relatório de auditoria antes de confiar nele
- Sempre verifique o escopo quanto aos sistemas relevantes para o cliente
- Avalie a metodologia de testes quanto à adequação à tecnologia específica
- Encomende uma avaliação complementar para as lacunas identificadas
- Documente a justificativa da confiança: o que foi revisado e por que o relatório é considerado suficiente ou insuficiente
Se você faz parte de uma equipe pequena
Nos três relatórios de auditoria em que seu programa de TPRM mais confia, leia três seções: a divulgação de independência (normalmente no início), a descrição do sistema ou declaração de escopo (que define o que foi avaliado) e a descrição da metodologia para os controles mais relevantes para o seu risco. Qualquer relação de independência, lacuna de escopo ou limitação de metodologia identificada nessas três seções é a base para uma pergunta de avaliação complementar. Esse exercício de leitura, aplicado de forma consistente, transforma a confiança cega em confiança informada.
- Leia a seção de independência de todo relatório de auditoria em que se confia
- Verifique se o escopo inclui os sistemas relevantes para o cliente
- Avalie a adequação da metodologia ao domínio tecnológico específico
- Encomende uma avaliação complementar para as lacunas identificadas
O que exigir
Pergunte diretamente:
“No seu relatório SOC 2 mais recente, o auditor tem alguma relação de consultoria ou assessoria com a sua organização divulgada na seção de independência, e o escopo do exame inclui [sistema específico] que armazena nossos dados?”
O que esperar como evidência
- Confirmação da divulgação na seção de independência
- Confirmação do escopo para os sistemas relevantes para o cliente
- Descrição da metodologia para as categorias de controle relevantes para o cliente
- Avaliação complementar para quaisquer exclusões de escopo que afetem dados de clientes
Um fornecedor que apresenta um SOC 2 sem ressalvas de uma Big Four deve ser questionado sobre se o auditor tem alguma relação divulgada e se o escopo cobre os sistemas específicos que tratam os dados do cliente. A qualidade do relatório começa por essas duas perguntas.
Como comprovar
- Registros da revisão da seção de independência
- Documentação da verificação do escopo
- Registros da avaliação da metodologia
- Avaliação complementar para lacunas de escopo
Principal conclusão
O mandato do auditor eram os critérios SOC 2 para o escopo definido. O risco do cliente é a exposição específica criada pelos dados específicos, pela arquitetura específica e pela integração específica. Um relatório sem ressalvas de uma firma conceituada responde à pergunta do auditor. A pergunta do cliente exige avaliar se a independência, o escopo e a metodologia da auditoria são suficientes para respondê-la. Revise a seção de independência. Verifique o escopo. Avalie a metodologia. Encomende a avaliação complementar onde houver lacunas. Relatórios de auditoria de terceiros são evidências. Não são oráculos. A qualidade da evidência depende de ler o relatório, e não de confiar na firma.