É necessário aferir se a equipa de auditoria pode confiar, ou não, na documentação existente a nível de informação, assim como dar a opinião e aconselhamento no sentido de melhorar a protecção dos dados.
SILVA, CARVALHO e TORRES (2003), referem que “a preservação da confidencialidade, integridade e disponibilidade da informação utilizada nos sistemas de informação requer medidas de segurança, que por vezes são também utilizadas como forma de garantir a autenticidade e o não repúdio”.
Estes autores sugerem duas formas de segurança: a prevenção e a protecção.
Definem a prevenção como “o conjunto das medidas que visam reduzir a probabilidade de concretização das ameaças existentes” e a protecção como “o conjunto das medidas que visam dotar os sistemas de informação com capacidade de inspecção, detecção, reacção e reflexo, permitindo reduzir e limitar o impacto das ameaças quando estas se concretizam”. (SILVA, CARVALHO e TORRES, 2003)
Surge desta forma, novas exigências para a auditoria com a evolução dos sistemas empresariais de gestão informatizados, das novas aplicações de software e também de aplicações baseadas na internet, assumindo um papel de maior importância. Deste modo, os próximos autores falam sobre o relatório de auditoria disponibilizado electrónicamente.
Segundo SILVA e ALVES (2001a), em relação ao relatório de auditoria, se o relatório em papel era quase impossivel de ser alterado pelo cliente ou por terceiros, a nível de segurança
42
um problema coloca-se no relatório em suporte informático com a possibilidade de manipulação por parte do cliente ou de terceiros, sem o conhecimento do auditor. Estas alterações poderão ser executadas como consequência de ataques informáticos externos ou por alguém da empresa com acesso ao servidor e permissões de alteração e escrita.
“Os auditores devem conhecer e perceber as políticas de segurança inerentes à colocação do seu relatório na internet.” (SILVA e ALVES, 2001a)
Assim, é necessário ter como objectivo principal avaliar a segurança e integridade dos dados financeiros relevantes (as demonstrações financeiras e asserções) de modo a aferir se a equipa de auditoria pode confiar neles ou não. Os próximos autores dão sugestões de segurança para os relatórios de auditoria electrónicos.
Segundo SILVA e ALVES (2001a), uma solução eficaz que se pode utilizar para a questão apresentada “poderá passar pela colocação do relatório de auditoria no site do auditor, aparecendo no site do cliente apenas uma ligação para o relatório. Deste modo o auditor mantém o controlo total sobre a forma e conteúdo deste.”
Os mesmos autores também alertam para o facto da assinatura dos relatórios de auditoria num ambiente como a internet ser um risco acrescido, em que o “auditor poderá recorrer a protecções que impeçam a utilização indevida da sua assinatura, tais como as assinaturas digitais que garantem a autenticidade dos documentos electrónicos.” (SILVA e ALVES, 2001a)
De acordo com CARNEIRO (2004), “o SI informatizado contém dados e informações de natureza confidencial e que, por isso, necessitam de uma protecção particular. Por um lado, para que não sejam utilizadas por pessoas não devidamente autorizadas ou divulgadas a entidades perante as quais a empresa pretenda defender a sua privacidade.”
O mesmo autor refere que a segurança dos sistemas distingue dois conceitos: a segurança física e a segurança lógica.
A segurança fisíca engloba:
protecção de hardware;
equipamentos periféricos e instalações;
situações como incêndios, sabotagens, roubos, inundações, alterações térmicas significativas e catástrofes naturais.
43 A segurança lógica engloba:
utilização do software;
protecção de dados, dos processos e programas;
acesso autorizado dos utilizadores.
Também COSTA (2014:263), refere que “de entre os aspectos relacionados com o controlo interno destacam-se os que se relacionam com a segurança física e a privacidade. A segurança física engloba a protecção contra a destruição acidental, sabotagem e catástrofes naturais dos activos humanos (pessoal técnico), dos activos materiais (sobretudo o equipamento - hardware) e dos activos de informática (sobretudo os sistemas de aplicação, o sistema operacional, os programas – software – e, principalmente, os dados). A privacidade refere-se, fundamentalmente, ao facto de só as pessoas devidamente autorizadas por escrito pelo orgão de gestão poderem ter acesso ao sistema e conhecimento das informações por ele geradas”.
Na base da contabilidade existe um enorme conjunto de dados e informações, pelo que se tornou crucial recorrer a tecnologias de informação, uma vez que estas têm a capacidade de lidar com grandes quantidades de informação de uma forma consistente e de potenciar a produtividade e rentabilidade. No entanto, as empresas têm de verificar qual a melhor forma de recorrer e utilizar essas tecnologias. Os próximos autores falam do grau de implementação e das infra-estruturas, que têm de ser levados em consideração.
Para atestar a imparcialidade da informação produzida, destaca-se assim a auditoria, que assenta em regras e procedimentos para suporte e orientação. É neste contexto que as empresas tem de verificar qual o grau de implementação das tecnologias de informação e de que modo a sua utilização interage com os procedimentos de auditoria às respectivas contas. Com esta forte presença das tecnologias de informação nas empresas, face à implementação de sistemas de informação integrados, demonstra-se que os auditores estão consideravelmente expostos a estes e também aos riscos que estes produzem. (COSTA, 2014)
Segundo SOUSA (2011), é necessário “avaliar a segurança da infra-estrutura de software e ambiental nas tecnologias de informação para certificar que satisfaz os requisitos organizacionais de negócio e salvaguarda os activos de informação contra uso não autorizado, divulgação, modificação, danificação e perda.”
44
Paralelamente à interacção das tecnologias com os processos contabilísticos e de controlo interno das instituições, justifica-se a necessidade de normas específicas para a auditoria, no sentido de o auditor se prevenir para a forma como os sistemas de informação computorizados afectam a revisão ou auditoria. Os próximos autores referem este aspecto.
Para PINTO (2011), as TI afectam a auditoria dos seguintes modos:
dados processados sob forma electrónica, e já não sob a forma de papel;
comércio electrónico, em que as transacções comportam riscos factores de risco inerente, e;
publicação de informação financeira via internet.
Segundo OLIVEIRA (2005), “a obtenção de evidência electrónica é tecnicamente mais complexa, os dados são mais susceptíveis de ser alterados (intencionalmente ou não), a informação é mais difícil de visualizar e de verificar a sua origem...requerendo novos géneros de controlos preventivos e de sistemas de segurança.”
Segundo a INTERNATIONAL FEDERATION OF ACCOUNTANTS (2010b:139), “considerar a existência de controlos directos, como actividades de controlo, e controlos indirectos (abrangentes) que podem ser incluídos no ambiente de controlo, na avaliação de riscos, nos sistemas de informação e nos elementos de monitoramento. Essas informações serão úteis no desenvolvimento de resposta eficaz da auditoria aos riscos identificados.”