SAS 70 – Revisão de Controles para Terceirização de Processos e Infra-estrutura de TI

Um grande número de empresas transferiu a responsabilidade da execução de alguns dos seus processos para prestadores de serviços. Esses processos têm, em sua maioria, impacto direto nas demonstrações financeiras das empresas. Esse cenário, por si só, já é significativo. Entretanto, apresenta relevância ainda maior quando analisado sob um contexto que considera as Seções 302 e 404 da Lei Sarbanes-Oxley.

No momento em que essas regras foram impostas pelo Public Company Accounting Oversight Board (PCAOB), as administrações das empresas de capital aberto norte-americanas foram requisitadas a estabelecer, documentar, manter, monitorar e – mais fortemente – afirmar a efetividade dos controles internos sobre as demonstrações financeiras das empresas.

Adicionalmente, os auditores externos dessas empresas foram solicitados a atestar as afirmativas fornecidas pelos clientes sobre seus controles internos. Para tanto, os auditores necessitam obter um entendimento sobre os serviços prestados por essas empresas, seus controles relacionados e seus efeitos nas demonstrações financeiras da organização.

A Quem são Endereçados os Serviços SAS 70?Podemos considerar como foco para revisões de SAS 70 (Statement on Audit Standards nº 70) as empresas que prestam serviços de processamento de dados, geração de folha de pagamento, contabilidade e outros processos específicos de negócio. Se terceiros estão assumindo tais funções, como a alta gerência das organizações pode se assegurar sobre a existência e eficiência dos controles internos dos processos operados por terceiros? Como os auditores externos podem atender aos requisitos da Seção 404 da Lei Sarbanes-Oxley, que determina a efetividade dos controles sobre as demonstrações financeiras?

A D V I S O R Y

© 2005 KPMG Risk Advisory Services Ltda., sociedade brasileira, membro da KPMG International, uma cooperativa suíça. Todos os direitos reservados.

kpmg.com.br

Como a KPMG Pode Ajudar?Se sua organização terceirizou alguns processos com uma prestadora de serviços, a área de Risk Advisory Services (RAS) da KPMG pode fornecer relatórios sobre a qualidade dos controles dessa empresa terceirizada, para seu próprio uso e de seus auditores, seguindo os padrões definidos pelo American Institute of Certified Public Accountants (AICPA) no Statement on Auditing Standards #70 (SAS 70).

Nossa AbordagemA revisão de SAS 70 foi desenhada pelo AICPA, contemplando a emissão de dois tipos de relatórios:

• Tipo I: Relatório sobre os Controles em Operação Descreve os controles e procedimentos colocados em operação pelo provedor do serviço em uma determinada data.

• Tipo II: Relatório sobre os controles em operação e testes de efetividade Atende aos objetivos do Tipo I e, adicionalmente, contempla o detalhamento dos testes de efetividade dos controles.

A KPMG pode fornecer auditoria dos dois tipos de relatórios acima descritos. A natureza da auditoria que deve ser executada é determinada pela empresa de prestação de serviços, normalmente com base nas necessidades de seus clientes.

O trabalho do auditor consiste em avaliar os controles de uma empresa de prestação de serviços para determinar se:• a descrição dos controles apresenta, de maneira completa, os aspectos relevantes

dos controles da empresa de prestação de serviços, sobre uma operação em uma data específica; e

• os controles são adequadamente desenvolvidos para alcançar seus objetivos específicos.

Em uma auditoria do Tipo II, a KPMG avalia esses dois objetivos. Para tanto, executa testes de controles que determinem se estavam em operação com eficiência suficiente, para prover garantia razoável, mas não absoluta, de que os objetivos de controles relacionados foram atingidos durante um período específico.

As informações contidas neste material podem não se aplicar a situações ou circunstâncias específicas. Apesar da KPMG buscar publicar informações precisas, não podemos garantir a exatidão em qualquer tempo. Não deverá ser feito uso das informações sem uma assessoria especializada.

O nome KPMG e o logotipo KPMG são marcas comerciais e registradas da KPMG International, uma cooperativa suíça.

© 2005 KPMG Risk Advisory Services Ltda., sociedade brasileira, membro da KPMG International, uma cooperativa suíça. Todos os direitos reservados.

Design & produção: Índice de Comunicação

ContatosSidney Ito Tel (11) 3067-3312

Ana Rosa RiosTel (11) 3067-3316

rasbrasil@kpmg.com.br