Compilado a partir de auditorias reais em empresas de mineração, saúde, educação e indústria.
As faixas de impacto em R$ são estimativas conservadoras baseadas em empresas de médio porte (faturamento R$ 50-500 mi/ano). Ajuste proporcionalmente ao seu contexto.
7 riscos que auditoria externa busca primeiro
O mesmo usuário consegue executar e aprovar operações críticas (lançamento + aprovação de pagamento, por exemplo). Quebra direta do princípio SOX de segregation of duties.
Coletas de dados de clientes, funcionários ou fornecedores sem finalidade explícita, consentimento registrado ou base legal mapeada. Exposição direta à ANPD.
SOX e ISO 27001 exigem logs imutáveis (WORM) por pelo menos 5-7 anos. Se os logs podem ser editados ou são purgados antes, os controles não passam em auditoria.
Deploys em produção sem aprovação documentada, sem rollback testado, sem comunicação de janela. Viola SOX controle ITGC de change management.
Quando fechamento, conciliação ou indicadores financeiros são calculados em planilhas fora do sistema oficial, auditoria externa reprova o controle automaticamente — não há rastreabilidade da fórmula.
ISO 27001 exige inventário de ativos. Muitas empresas não sabem listar o que roda em produção, com qual licença, em qual fornecedor, com qual renovação vencendo.
Uso de SaaS (Slack, Google, AWS us-east) processando dados de brasileiros sem cláusulas contratuais-padrão (CCSP) ou instrumentos LGPD adequados para transferência internacional.
7 riscos de exposição técnica que viram incidente real
Chaves de API, senhas de banco, tokens JWT commitados em Git (incluindo histórico). Se o repositório já foi público ou compartilhado com ex-colaborador, assume-se vazado.
Processo de offboarding não remove acessos em todos os sistemas (VPN, AWS, GitHub, ERP, SaaS). Contas ficam dormentes, viram vetor de ataque ou incidente LGPD.
Banco de dados de produção com dados sensíveis (CPF, dados de saúde, dados financeiros) sem encryption at rest ou conexões sem TLS. Quebra LGPD e ISO 27001.
APIs internas ou "privadas" expostas publicamente (ou em VPC amplamente acessível) sem autenticação, sem throttling, permitindo enumeração ou negação de serviço.
CPF, e-mail, senha, token ou dado de saúde aparecendo em logs (CloudWatch, Stackdriver, arquivo local). Logs geralmente têm retenção e permissões diferentes dos dados — expansão da superfície de exposição.
Existe política de backup, mas ninguém testou restore nos últimos 12 meses. Ou os backups estão no mesmo data center — ataque de ransomware destrói o original e a cópia.
Bibliotecas, frameworks ou runtimes com versões vulneráveis há 6+ meses sem atualização. log4shell, struts, OpenSSL, versão antiga de Node/PHP/Java — tudo já exploit conhecido.
7 fontes típicas de desperdício em operação de TI
EC2/VMs com CPU média <10% e memória <30%. Ambientes de homologação/dev ligados fora do horário comercial. Tier de RDS acima do uso real.
S3/buckets/EBS snapshots com dados de 3+ anos sem política de lifecycle. Cresce mensalmente, ninguém apaga, ninguém auditou recentemente.
Seats de SaaS (Jira, Slack, Salesforce, monitoring) atribuídos a ex-funcionários, ou múltiplas ferramentas fazendo a mesma coisa. Cobrança continua mensal.
Top 10 queries mais lentas consomem grande parte de CPU do banco. Ausência de índices básicos, SELECT * em tabelas grandes, N+1 em ORM. Resolver reduz infra necessária.
Tarefas rotineiras (fechamento mensal, conciliação bancária, emissão de relatórios) consumindo horas de pessoas sênior. Típico: 2-4h/dia × 250 dias × custo/hora.
Bugs recorrentes em produção consomem horas de dev sênior em investigação e correção. Ausência de teste automatizado em pontos críticos mantém o ciclo.
Contratos antigos (infra, licenças, consultorias) nunca renegociados. Mercado baixou preço ou capacidade cresceu, mas você ainda paga o preço original com reajustes.
6 riscos que só aparecem quando alguém sai ou algo falha
O clássico bus factor = 1. Se essa pessoa sai, fica doente ou simplesmente tira férias, a empresa perde capacidade de responder a incidente ou evoluir o sistema.
Diagramas, ADRs (decisões de arquitetura), README de repositórios ausentes ou com 2+ anos de defasagem. Onboarding de novo dev sênior leva 3+ meses, quando poderia levar 3 semanas.
Um componente (banco master sem replica, servidor único, integração síncrona com terceiro) que se falhar derruba o sistema. Risco modelado? SLA calculado?
Sistema desenvolvido ou hospedado por fornecedor pequeno/médio sem cláusula de transferência de conhecimento, acesso ao código-fonte ou escrow. Fornecedor fecha? Você perde o sistema.
Plano de DR existe no papel, mas nunca foi testado em simulado. Em incidente real (ransomware, queda de região cloud, vazamento), não se sabe se o plano funciona.
Time técnico toma decisões importantes (escolha de banco, arquitetura, biblioteca) sem documentar o "por quê". 2 anos depois, ninguém sabe justificar o custo de mantê-las ou trocá-las.
Some os impactos estimados dos riscos que você confirmou no seu sistema. Esse é o custo real de não fazer nada.
Se a soma ultrapassa R$ 500k/ano em economia evitável ou R$ 2 mi em risco regulatório, é sinal de que uma auditoria formal paga a si mesma. Não precisa ser conosco — mas precisa ser feita.
Se quiser conversar sobre auditoria com success fee:
Conhecer o serviço ALC de Auditoria →ou envie um email direto: contato@alc.srv.br
© ALC.srv.br • Auditoria de Sistemas Críticos com Success Fee
Compartilhe livremente com equipe, conselho e investidores. Atribuição apreciada.