Uma trilha de auditoria financeira permite acompanhar eventos relevantes sobre dados e decisões. Ela deve ajudar a responder quem fez a alteração, quando, em qual objeto e com que efeito.
O glossário da ANPD relaciona auditoria ao controle de acesso. No financeiro, esse registro também apoia a revisão operacional, desde que seja adequado ao processo e às informações tratadas.
Escolha os eventos que precisam de rastreabilidade
Considere criação e alteração de documentos, mudanças de favorecido, aprovações, cancelamentos, reversões e modificações de acesso.
Um histórico apenas de entradas no sistema pode não explicar o que aconteceu com uma fatura. Da mesma forma, registrar todas as mensagens técnicas sem organização pode dificultar a investigação.
Defina a finalidade de cada grupo de eventos e quem precisa consultá-los.
Registre informações suficientes para reconstruir o caso
Um evento pode incluir identidade do autor, data e horário, entidade, objeto, ação e referência à alteração. Para campos relevantes, pode ser necessário preservar valores anteriores e posteriores, com controles adequados.
Considere um exemplo ilustrativo: o valor de um documento passa de R$ 2.400 para R$ 2.900 depois de uma aprovação. A revisão precisa identificar a mudança, a versão aprovada e o procedimento adotado para avaliar a nova condição.
Uma frase como “documento atualizado” pode ser insuficiente para responder a essas perguntas.
Relacione eventos a evidências
Uma justificativa de alteração ajuda, mas não substitui necessariamente o documento que a sustenta. Preserve referências a contratos, comprovantes e revisões quando fizerem parte da análise.
O guia de documentos do fechamento trata dessa organização. O objetivo é permitir que o revisor navegue entre evento, objeto e evidência sem depender de memória informal.
Na integração entre sistemas, mantenha a identificação da origem. Uma atualização automática ainda precisa ser explicável.
Proteja a própria trilha
Ter um histórico visível não comprova que ele seja imune a alteração ou exclusão. Avalie quem pode modificar registros, como são protegidos e como falhas são identificadas.
Defina retenção, acesso e procedimentos de recuperação conforme a finalidade e as obrigações aplicáveis. Não prometa inviolabilidade sem evidências técnicas que sustentem a afirmação.
As permissões financeiras devem incluir o acesso à trilha e às exportações relacionadas.
Evite guardar segredos desnecessários
Senhas, tokens e credenciais não devem ser acrescentados ao histórico como se fossem justificativas operacionais. Documentos e campos com dados pessoais também exigem avaliação de necessidade e proteção.
Registre o suficiente para a finalidade, sem transformar o log em uma cópia indiscriminada de toda informação sensível.
Use a trilha na revisão
Defina uma rotina para analisar eventos relevantes, especialmente alterações após aprovação ou fechamento. Se ninguém consulta os registros, parte do valor do controle se perde.
Uma trilha útil não elimina a necessidade de autorizações e conciliações. Ela acrescenta contexto para demonstrar como a informação chegou ao estado atual e para investigar situações que exigem ação.