Como preparar a TI para uma auditoria (sem virar noite)

Por Adriano Basso Gerente de TI · governança e infraestrutura

Toda auditoria começa igual: um e-mail educado, com um prazo apertado, pedindo uma lista de coisas que você “deveria ter à mão”.

E aí começa a correria. A TI para tudo, abre dezenas de sistemas, monta planilhas às pressas, procura o contrato que ninguém sabe onde está, tenta lembrar quem aprovou aquele acesso três anos atrás. Vira noite. Todo mundo estressado. E, no fim, você entrega um material montado no susto — torcendo pra não ter esquecido nada.

Não precisa ser assim. A diferença entre a auditoria tranquila e a auditoria-pesadelo não está na auditoria. Está no que você tinha antes dela chegar.

Por que a auditoria dói tanto

A auditoria não cria problemas — ela revela os que já existiam. Ela pergunta coisas que uma TI organizada responde em minutos, mas que uma TI desorganizada leva semanas pra montar:

• Quais aplicações e sistemas a empresa usa?
• Quem tem acesso a cada um — e quem autorizou?
• Quais licenças e contratos estão ativos?
• Os acessos de quem saiu da empresa foram revogados?
• Como vocês controlam quem acessa dados sensíveis?

Repare numa coisa: são exatamente as mesmas perguntas que uma boa governança já responde no dia a dia. A auditoria só está pedindo, de uma vez, o que você deveria conseguir ver sempre.

Se essas respostas moram em planilhas espalhadas, na memória de uma pessoa, ou em dez sistemas que ninguém cruza — a auditoria vira um projeto de resgate arqueológico. Se elas moram num lugar organizado e atualizado, a auditoria vira um relatório que você exporta.

O erro de tratar auditoria como evento

O maior erro é encarar a auditoria como um evento pontual — algo que você prepara quando ela é anunciada. Nessa lógica, você vive em paz até o e-mail chegar, e então entra em pânico.

A virada de chave é tratar a informação de governança como algo que está sempre pronto. Não porque a auditoria vem (ela pode nem vir esse ano), mas porque ter isso organizado te serve o ano inteiro — pra controlar custo, fechar brechas, tomar decisão. A auditoria vira só um subproduto: se você já enxerga tudo isso no dia a dia, provar pra um auditor é trivial.

É a diferença entre “estudar na véspera da prova” e “acompanhar a matéria o semestre todo”. Quem acompanhou não vira noite.

O que ter pronto (o ano inteiro)

Não é uma lista mágica de auditoria — é a base de governança que serve pra tudo:

Inventário de aplicações e sistemas. O que a empresa usa, atualizado, com dono definido. (Sem isso, você nem sabe o que a auditoria deveria cobrir.)

Mapa de acessos. Quem acessa o quê, cruzado entre os sistemas, com o histórico de quem concedeu. É o que responde a pergunta que toda auditoria faz sobre controle de acesso a dados sensíveis.

Licenças e contratos. O que está ativo, quanto custa, quando renova. Serve pra auditoria e pra economia ao mesmo tempo.

Trilha de decisões. Registro de quem aprovou o quê. Auditoria adora “mostre-me a evidência” — e “está registrado no sistema” é uma resposta muito melhor que “eu lembro que foi o fulano”.

O ponto que conecta tudo

Você deve ter notado um padrão nesta série: custo, aplicações, acessos, auditoria — todos os problemas apontam pro mesmo lugar. A falta de uma visão consolidada e atualizada do que a empresa tem.

A auditoria é só o momento em que essa falta fica dolorosa e pública. Mas a solução não é “se preparar pra auditoria” — é ter a governança organizada de forma que a auditoria seja apenas mais um dia. Você não prepara pra prova; você já sabe a matéria.

Se a próxima auditoria da sua empresa fosse anunciada hoje, com prazo de uma semana — você dormiria tranquilo, ou viraria noite? A resposta diz muito sobre o estágio da sua governança. E o caminho pra dormir tranquilo é o mesmo de sempre: parar de depender de planilhas e memória, e passar a enxergar.

Este texto faz parte do “Diário de um Gerente de TI”, uma série sobre os problemas reais de governança, custos e infraestrutura que a TI enfrenta na prática.