Capítulo 11 — Laboratório supervisionado
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX051.
flowchart TD
N0["11.1 A tarefa"]
N1["11.2 Ler com olhar crítico"]
N2["11.3 Achados"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX051"]
Desenho lógico
flowchart LR
N0["11.1 A tarefa"]
N1["11.2 Ler com olhar crítico"]
N2["11.3 Achados"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX051"]
[11.1 A tarefa]
|
v
[11.2 Ler com olhar crítico]
|
v
[11.3 Achados]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX051]
Objetivos de aprendizagem
Você vai (1) conduzir uma revisão de garantia supervisionada de um fornecedor sintético; (2) ler um relatório de garantia com olhar crítico; (3) registrar os achados.
11.1 A tarefa
No laboratório supervisionado, Lena revisa um relatório SOC 2 tipo 2 sintético de um fornecedor fictício de processamento de cartões. O Sr. Reyes pede que ela determine se o relatório cobre os serviços que a Marston usa, se o período é atual, que exceções foram apontadas e que controles complementares a própria Marston precisa operar. Ela usa um checklist baseado nas categorias dos trust services criteria da AICPA, sem tratar o relatório sintético como uma atestação real. O Sr. Reyes acrescenta que cada uma dessas perguntas muda quanto a Marston pode confiar no relatório, então nenhuma pode ser pulada.
11.2 Ler com olhar crítico
Lena descobre que o relatório cobre o serviço de processamento de cartões, mas exclui o módulo de monitoramento de fraudes que a Marston também usa. O período terminou há nove meses. Aparecem duas exceções: a remoção atrasada dos acessos de desligados e uma varredura trimestral de vulnerabilidades não realizada. O relatório lista os controles complementares da entidade usuária (CUECs), entre eles o de que a Marston deve revisar o acesso dos próprios usuários ao portal do fornecedor. Ela observa que a Marston nunca fez essa revisão. Essa revisão do portal é um controle complementar da entidade usuária, então a lacuna está na Marston, e não no fornecedor.
11.3 Achados
Lena registra os achados: o módulo de fraudes está fora do escopo do relatório, então é preciso uma garantia separada; o período está envelhecendo, então deve ser pedida uma bridge letter; as duas exceções precisam de acompanhamento com o fornecedor; e a Marston precisa começar a revisar os próprios usuários do portal. O Sr. Reyes confirma a análise e observa que os controles complementares costumam ser esquecidos porque as organizações supõem que o fornecedor cuida de tudo. Cada um desses quatro itens é então registrado no seu fluxo de achados, com dono, severidade e data-alvo.
Exemplo resolvido
Lena revisa um relatório SOC 2 sintético e encontra uma lacuna de escopo, um período envelhecido, duas exceções e um controle complementar nunca executado.
Caso sintético. O relatório e o fornecedor são sintéticos; os trust services criteria da AICPA são reais; isto não é uma atestação.
Erros e limites
Os relatórios têm escopo limitado. As bridge letters dão garantia limitada.
Exercícios
- EX051 — Lacuna de escopo. O que estava fora do escopo do relatório? Rubrica: 3 = o módulo de monitoramento de fraudes;; 2 = módulo de fraudes;; 1 = vago;; 0 = nenhuma.
- EX052 — Período envelhecido. Por que pedir uma bridge letter? Rubrica: 3 = o período do relatório terminou há nove meses;; 2 = envelhecimento;; 1 = vago;; 0 = nenhuma.
- EX053 — Exceções. Que duas exceções o relatório apontou? Rubrica: 3 = remoção atrasada de desligados e uma varredura de vulnerabilidades não realizada;; 2 = duas;; 1 = vago;; 0 = nenhuma.
- EX054 — Controle complementar. Que controle complementar a Marston nunca tinha executado? Rubrica: 3 = revisar o acesso dos próprios usuários ao portal do fornecedor;; 2 = revisão do portal;; 1 = vago;; 0 = nenhuma.
- EX055 — Erro comum. Por que os controles complementares costumam ser esquecidos? Rubrica: 3 = as organizações supõem que o fornecedor cuida de tudo;; 2 = suposição;; 1 = vago;; 0 = nenhuma.
Síntese
A leitura crítica de relatórios de garantia encontra lacunas de escopo, exceções e deveres deixados a cargo do cliente.
Continue estudando — aula 11 (capítulo 11 de 12)
← Capítulo 10 · Índice das aulas · Capítulo 12 →
Continue para a próxima aula já escrita.