Se você está estudando para um Tribunal de Contas e abre o edital para encontrar Auditoria de TI, provavelmente a primeira reação é tentar entender onde essa matéria se encaixa. Afinal, você está se preparando para trabalhar com controle externo, fiscalização e análise das contas públicas. Por que precisa estudar tecnologia?
A resposta fica mais clara quando pensamos em como o Estado funciona atualmente. Grande parte das informações utilizadas pela Administração Pública está armazenada em sistemas. Folhas de pagamento, contratos, compras, arrecadação, benefícios, despesas, transferências e registros contábeis passam por bases de dados. Para fiscalizar tudo isso, o controle externo também precisa ser capaz de trabalhar com essas informações.
É nesse contexto que entram a Auditoria de Tecnologia da Informação e a análise de dados. O objetivo não é transformar o Auditor em programador. É utilizar ferramentas e técnicas capazes de aumentar o alcance, a eficiência e a qualidade da fiscalização.
Para quem está se preparando para concursos de Tribunais de Contas, entender essa relação é importante por dois motivos. Primeiro, porque TI e análise de dados podem aparecer diretamente no conteúdo programático. Segundo, porque compreender a finalidade dessas ferramentas ajuda a estudar a matéria de maneira muito mais lógica, em vez de transformar o conteúdo em uma coleção de conceitos tecnológicos para decorar.
O primeiro mito: “Auditoria de TI é matéria para quem já trabalha com tecnologia”
Esse é um dos principais motivos pelos quais alguns candidatos começam a disciplina com resistência.
Quando aparecem termos relacionados a bancos de dados, segurança da informação, governança, controles de acesso, mineração de dados e técnicas de auditoria, é fácil imaginar que somente alguém formado em Computação conseguirá compreender o assunto.
Não é necessariamente assim.
Em um concurso de controle externo, o objetivo da matéria não é formar um desenvolvedor. O candidato precisa compreender conceitos e técnicas que permitem avaliar sistemas, controles e informações utilizados pela Administração.
É claro que alguma familiaridade com tecnologia pode facilitar determinados assuntos. Quem já trabalha com TI provavelmente terá mais facilidade em alguns conceitos. Mas isso não significa que um candidato sem experiência profissional na área esteja em desvantagem definitiva.
O ponto central é compreender o que está sendo auditado, por que aquilo importa e qual risco o auditor está tentando identificar.
Imagine um sistema utilizado por um órgão público para realizar pagamentos. O auditor não precisa necessariamente saber desenvolver esse sistema do zero. Precisa compreender, por exemplo, quem pode acessar o sistema, quais operações cada usuário pode executar, como as alterações são registradas e quais mecanismos existem para evitar pagamentos indevidos.
A tecnologia é o meio.
O objetivo continua sendo a fiscalização.
O segundo mito: “análise de dados é simplesmente aprender a usar um programa”
Também é comum reduzir análise de dados ao domínio de uma ferramenta específica.
O candidato pensa que precisa aprender Excel, Python, SQL ou alguma outra tecnologia e que, depois disso, o assunto estará resolvido.
As ferramentas são importantes, mas não representam o centro da atividade.
Imagine que um Tribunal de Contas receba uma base com milhões de pagamentos realizados por determinado órgão. Uma ferramenta pode ajudar a localizar valores duplicados, pagamentos fora do padrão, fornecedores com características semelhantes ou transações realizadas em determinadas condições.
Mas quem decide o que procurar e por que aquilo pode representar um risco é o auditor.
Uma ferramenta consegue encontrar padrões.
Ela não substitui o julgamento profissional necessário para interpretar esses padrões.
Por isso, para estudar análise de dados aplicada à auditoria, vale a pena compreender primeiro a finalidade da técnica e depois as ferramentas utilizadas para executá-la.
O assunto na prática: onde a tecnologia entra no controle externo?
Para entender a importância da Auditoria de TI, imagine uma fiscalização tradicional.
O auditor poderia selecionar documentos, entrevistar servidores, verificar processos e analisar amostras de operações.
Essas técnicas continuam sendo relevantes.
O problema é que a Administração Pública produz uma quantidade de informações que torna inviável depender exclusivamente de procedimentos manuais.
Imagine analisar individualmente centenas de milhares de pagamentos.
A análise de dados permite trabalhar com populações muito maiores.
Em vez de perguntar apenas “quais documentos vou selecionar?”, o auditor pode começar perguntando:
Existe algum padrão anormal nessa população inteira?
A partir daí, os dados podem ser utilizados para identificar situações que mereçam investigação.
Detecção de padrões
Uma das grandes vantagens da análise de dados é encontrar situações que não seriam facilmente percebidas em uma análise manual.
Podem ser procurados, por exemplo:
- pagamentos repetidos;
- valores próximos a determinados limites;
- operações realizadas em horários incomuns;
- fornecedores com padrões semelhantes;
- alterações cadastrais próximas a pagamentos;
- despesas incompatíveis com determinadas características;
- concentração de contratações em determinados fornecedores.
Encontrar uma anomalia não significa automaticamente encontrar uma irregularidade.
Essa distinção é fundamental.
O dado serve para indicar onde pode existir um risco. Depois disso, o auditor precisa investigar e obter evidências suficientes para chegar a uma conclusão.
Testes sobre grandes bases
Outra aplicação importante é testar uma população inteira ou uma parcela muito maior dela.
Em uma auditoria tradicional, uma amostra pode ser selecionada para representar determinada população. Com ferramentas de análise de dados, algumas verificações podem ser realizadas sobre praticamente todos os registros disponíveis.
Isso não significa que a amostragem deixou de existir ou que toda auditoria precisa analisar 100% dos dados. Dependendo do objetivo, da qualidade das informações e dos recursos disponíveis, a amostragem continua sendo adequada.
A diferença é que o auditor passa a possuir mais possibilidades.
Auditoria de TI: o que está sendo avaliado?
Quando falamos em Auditoria de TI, é importante não imaginar apenas computadores e servidores.
O auditor pode avaliar diferentes dimensões relacionadas aos sistemas de informação.
Controles de acesso
Quem consegue entrar no sistema?
O usuário possui apenas as permissões necessárias para sua função?
Existem usuários com privilégios excessivos?
Quando um servidor deixa determinado setor, seus acessos são revogados?
Essas perguntas estão relacionadas à segurança e aos controles internos do ambiente de TI.
Integridade das informações
Os dados utilizados pela Administração são confiáveis?
Existe risco de alteração indevida?
As informações podem ser apagadas sem registro?
Existem mecanismos de rastreabilidade?
Se o Tribunal de Contas utiliza uma base para realizar uma análise, a confiabilidade dessa informação é fundamental.
Não adianta realizar uma análise sofisticada sobre dados que não são íntegros.
Continuidade e disponibilidade
Também é necessário considerar o que acontece quando um sistema deixa de funcionar.
Existe backup?
Existe plano de continuidade?
Os dados podem ser recuperados?
Há procedimentos para situações de indisponibilidade?
Essas questões podem parecer exclusivamente técnicas, mas possuem consequências administrativas e financeiras.
Se um sistema essencial para pagamentos fica indisponível ou perde informações, o impacto pode atingir diretamente a prestação de serviços públicos.
Análise de dados e risco de auditoria
Um dos conceitos mais importantes para compreender a relação entre dados e auditoria é risco.
O auditor não precisa analisar todas as informações existentes com a mesma intensidade.
A análise de dados pode ajudar a identificar áreas que merecem maior atenção.
Imagine que um Tribunal de Contas possua informações sobre milhares de contratos. Uma análise inicial pode indicar que determinada entidade apresenta uma concentração muito maior de contratações emergenciais do que outras entidades semelhantes.
Isso não prova irregularidade.
Mas pode indicar um risco que merece investigação.
O auditor pode então direcionar procedimentos adicionais para aquele conjunto de contratos.
Essa lógica transforma os dados em uma ferramenta de planejamento e direcionamento da fiscalização.
Erros comuns ao estudar Auditoria de TI e análise de dados
Estudar tecnologia sem relacioná-la à auditoria
O candidato começa a decorar conceitos de segurança, banco de dados ou governança, mas não consegue explicar para que aquilo serve dentro de uma fiscalização.
Sempre que estudar um conceito, tente responder:
Qual risco esse controle procura reduzir?
Como o auditor poderia verificar se ele funciona?
Essa conexão ajuda bastante na retenção.
Decorar siglas sem entender o conceito
A disciplina pode apresentar uma quantidade considerável de termos e siglas.
O problema é quando o estudo se transforma em memorização de definições isoladas.
Tente construir relações entre os conceitos.
Segurança da informação, por exemplo, envolve diferentes propriedades e mecanismos de proteção. Controles de acesso estão relacionados à possibilidade de limitar quem pode realizar determinadas operações. Trilhas de auditoria ajudam a registrar atividades realizadas nos sistemas.
Quando esses conceitos estão conectados, a memorização fica menos dependente de frases decoradas.
Achar que toda anomalia representa fraude
Uma análise de dados pode identificar uma transação fora do padrão.
Isso não significa que exista fraude.
Uma anomalia é um sinal para investigação.
Essa diferença também é importante para as questões, especialmente quando a banca apresenta uma situação em que o auditor encontra determinado padrão e precisa decidir qual procedimento realizar em seguida.
Estudar apenas a ferramenta
Saber executar uma consulta ou utilizar determinado software pode ser útil, mas não substitui o entendimento do processo de auditoria.
A ferramenta é apenas o instrumento.
O objetivo continua sendo produzir evidência adequada, identificar riscos e sustentar conclusões.
Ignorar a qualidade dos dados
Esse é um erro particularmente importante.
Se a base possui registros duplicados, informações incompletas ou erros de classificação, o resultado da análise pode ser distorcido.
Antes de confiar em qualquer resultado, o auditor precisa considerar a qualidade, integridade e adequação dos dados utilizados.
Dicas práticas para estudar o assunto
Comece pelos conceitos de auditoria e controle. Entender risco, evidência, procedimentos e controles internos facilita muito a compreensão da Auditoria de TI.
Depois, organize os assuntos de tecnologia por finalidade. Em vez de estudar cada conceito isoladamente, pergunte se ele está relacionado a segurança, disponibilidade, integridade, governança, acesso ou continuidade.
Na análise de dados, tente visualizar situações concretas. Imagine uma base de pagamentos e pense em quais testes poderiam identificar situações de risco. Esse exercício aproxima a teoria da realidade do controle externo.
Também vale resolver questões logo depois de estudar cada bloco. Algumas bancas cobram definições de forma bastante direta; outras apresentam situações práticas. O contato com questões ajuda a perceber qual nível de profundidade o concurso escolhido exige.
E, principalmente, não tente aprender todas as ferramentas existentes. O edital deve determinar a profundidade do estudo. Se a prova exige conceitos de análise de dados, o foco deve ser diferente daquele necessário para um cargo que exige conhecimento técnico especializado em determinada linguagem ou plataforma.
Minha experiência
Quando comecei a estudar para concursos da área fiscal, TI não era uma matéria que eu imaginava que teria tanta importância na preparação. Minha tendência inicial, como a de muitos candidatos, era enxergar tecnologia como uma disciplina separada das demais.
Com o tempo, fui percebendo que essa separação não fazia tanto sentido.
A atividade fiscal depende cada vez mais de sistemas e dados. Arrecadação, fiscalização, escrituração, cruzamentos, pagamentos e praticamente todas as etapas da administração tributária passam por algum tipo de tecnologia.
Isso ficou ainda mais evidente na minha trajetória profissional. Depois de ingressar na área fiscal, passei a enxergar de outra maneira aquilo que antes aparecia apenas como conteúdo de edital.
Uma coisa é estudar que sistemas possuem controles de acesso.
Outra é entender por que uma administração pública precisa controlar exatamente quem pode consultar, alterar ou aprovar determinada informação.
Uma coisa é estudar análise de dados como conceito.
Outra é perceber o potencial de cruzar grandes bases para identificar situações que seriam praticamente impossíveis de encontrar manualmente.
Essa experiência mudou minha forma de olhar para a disciplina.
Hoje, quando penso em Auditoria de TI e análise de dados, não vejo simplesmente uma matéria de tecnologia. Vejo ferramentas que permitem ao controle externo fiscalizar uma Administração Pública cada vez mais digital.
E acho que essa é uma mudança de perspectiva que pode ajudar bastante o candidato.
Você não precisa estudar TI pensando que está tentando se transformar em profissional de tecnologia.
Está estudando como a tecnologia pode ser utilizada para exercer melhor a atividade de controle.
Conclusão
Auditoria de TI e análise de dados estão cada vez mais relacionadas à forma como o controle externo consegue fiscalizar uma Administração Pública que produz e armazena volumes enormes de informações.
Para o candidato, isso significa que estudar o tema não deveria se resumir à memorização de conceitos tecnológicos. É importante compreender o problema que cada controle procura resolver, o risco que pretende reduzir e como os dados podem auxiliar o auditor na identificação de situações que merecem investigação.
Também é importante manter uma visão equilibrada. A análise de dados não substitui o julgamento profissional, assim como a tecnologia não elimina os procedimentos tradicionais de auditoria. Na prática, as ferramentas ampliam as possibilidades do auditor.
Se você está se preparando para Tribunais de Contas, portanto, vale olhar para essa disciplina com menos receio. O objetivo não é decorar tecnologia por tecnologia. É entender como sistemas, controles e dados se transformam em instrumentos de fiscalização.
Na Guruja, o planejamento procura justamente colocar cada disciplina no momento adequado da preparação, respeitando o nível de conhecimento do aluno e o perfil do concurso. Em uma matéria como Auditoria de TI, isso significa construir a base necessária, praticar questões e aprofundar os assuntos de acordo com aquilo que efetivamente será cobrado.
O controle externo está se tornando cada vez mais digital.
E o Auditor que souber transformar dados em informação terá uma ferramenta cada vez mais poderosa para fiscalizar a aplicação dos recursos públicos.
