Por onde começar com a análise de dados na auditoria interna

Benefícios e desafios da análise de dados na auditoria interna

O uso da análise de dados em um determinado trabalho de auditoria geralmente se resume a ponderar os custos de coleta, limpeza e organização dos dados em relação ao benefício de poder obter insights significativos sobre as atividades de risco e controle para nossas organizações. Conforme descrito em um artigo, recente da revista do American Institute of Certified Public Accountants (AICPA), a incapacidade de acessar dados utilizáveis continua sendo um desafio ao tentar realizar análises de dados no processo de auditoria.

Do ponto de vista da garantia, as unidades de negócios de nossas organizações geram os dados necessários para executar os aspectos cotidianos de seus negócios. Portanto, o principal  benefício para a auditoria interna é a capacidade de aplicar testes de auditoria em toda a população de uma determinada atividade de controle, em vez de extrair uma amostra estatisticamente relevante para teste. Além disso, se pudermos construir processos analíticos repetíveis, como programar um bot para realizar a extração e análise de dados, podemos fornecer um ciclo contínuo de feedback para nossos stakeholders de governança.

Do ponto de vista do pessoal, projetar e implementar um programa de auditoria de análise de dados pode ser um esforço criativo. Embora isso exija algum grau de conhecimento em gerenciamento de dados, visualização e uma compreensão básica de estatística, esse processo funciona melhor quando os recursos têm liberdade para desenvolver hipóteses sobre o processo de negócios e se envolver com nossos parceiros de negócios para derivar métodos de extração de dados. Se sua organização possui recursos internos para ajudar a agregar dados, um programa de análise é uma maneira fácil para a auditoria interna colaborar com esses recursos.

No entanto, embora as organizações estejam gerando muitas informações, elas geralmente estão em um formato “não estruturado”, como texto, imagem, vídeo e postagens em mídias sociais. Como resultado, há dois obstáculos potenciais: obter acesso a essas informações e o tempo e investimento de recursos para tornar os dados utilizáveis. Para resolver ambos os problemas potenciais, é benéfico colaborar com recursos em toda a organização. Do ponto de vista do acesso, os contatos comerciais podem fornecer orientações sobre como estão usando e analisando as informações não estruturadas para tomar decisões, e as funções de Tecnologia da Informação e/ou Segurança da Informação podem aconselhar sobre a melhor forma de obter acesso a esses dados. Do ponto de vista da usabilidade, a melhor abordagem seria procurar especialistas internos em dados sobre a melhor forma de limpar e reformatar os dados.

Qual é a diferença entre análise de dados e analítica de dados?

A análise de dados é uma forma de analítica de dados e é o trampolim para técnicas analíticas mais avançadas. A análise de dados também fornece um caminho para compreender e analisar um conjunto populacional inteiro.

Vamos começar comparando análise e analítica. Algumas das semelhanças entre análise de dados e analítica de dados incluem:

• Ambas usam dados para extrair insights.
• Elas dependem da coleta, organização e análise de dados para descobrir padrões, tendências e relações.
• Em um contexto de auditoria interna, ambas exigem uma compreensão do processo de negócios, dos riscos e dos controles para obter insights significativos.

A análise de dados é descritiva e se concentra no que já aconteceu no passado. Geralmente é realizada em dados estruturados, como planilhas e bancos de dados, e pode empregar ferramentas básicas de modelagem estatística e visualização, como PowerBI ou Tableau.

A analítica de dados, por outro lado, é descritiva, prescritiva e preditiva, e se concentra no que já aconteceu no passado, ao mesmo tempo em que faz previsões precisas. Geralmente é realizada em dados não estruturados — como documentos de texto, postagens em mídias sociais, imagens e vídeos —, o que muitas vezes requer verificações adicionais de higiene de dados para torná-los utilizáveis. Por fim, ela pode empregar técnicas avançadas de modelagem estatística, conhecimento de aprendizado de máquina e programação para tornar os dados não estruturados utilizáveis.

O triângulo da analítica de dados: avaliando custos e benefícios

Em uma nota pessoal, prefiro usar triângulos como um auxílio visual para orientar a tomada de decisões. Quando comecei com a análise de dados e a analítica descritiva de dados, sempre voltava a três pontos-chave de decisão. Decidi escrever essas três condições como um triângulo porque isso me proporcionou uma visão eficaz para ponderar os custos e benefícios à medida que avançava na decisão de aplicar ou não o uso de conjuntos de dados para uma etapa específica da auditoria. Se todos os três critérios abaixo forem atendidos, os benefícios provavelmente superam os custos, e posso prosseguir com o aproveitamento da analítica de dados para a tarefa. No entanto, se um lado do triângulo for fraco (por exemplo, se os dados forem altamente desestruturados e custar semanas adicionais para torná-los utilizáveis para o compromisso, e os prazos de relatório estiverem em risco), posso abrir mão do benefício de estudar o conjunto de dados para obter insights.

Parte 1: Compreender o processo de negócios, os riscos e o uso da analítica pela administração

Essa continua sendo uma habilidade fundamental no planejamento e na realização de uma auditoria, mas também é minha primeira etapa no triângulo de custo/benefício. Se eu não compreender o processo de negócios e os riscos gerais associados, mas puder coletar os dados, ainda haverá um risco significativo de identificar falsos positivos na auditoria. Além disso, como parte do teste de rotina de walkthroughs de projeto, podemos perguntar à administração se ela já está realizando algum grau de análise de dados/analítica de dados na gestão das operações diárias da unidade de negócios. Essa é uma ótima maneira de fortalecer seu relacionamento com a unidade de negócios, colaborando com a administração nesse tópico. Durante a auditoria, também podemos avaliar os pontos fortes do modelo de analítica de dados para tornar o processo ainda melhor.

Parte 2: Identificando regras “claras” no processo de negócios

Refletindo sobre minhas aulas de contabilidade na graduação e na pós-graduação, vários livros didáticos de contabilidade faziam referência a regras “claras” de orientações autorizadas que moldam os conceitos de contabilidade financeira e tributária. Eu uso essa expressão aqui também quando decidimos se devemos usar dados ou técnicas de análise de dados. Quanto mais nos aproximarmos de uma condição binária de “sim/não” para um determinado atributo, mais fácil será identificar anomalias na população. O risco aqui é que, quanto mais ambiguidade houver, mais tempo poderemos gastar estudando falsos positivos. Se isso for fraco, eu consideraria dispensar a analítica de dados para essa tarefa, especialmente se você estiver apenas começando com a analítica de dados em seu fluxo de trabalho de auditoria. Talvez seja melhor evitar aquela sensação de “escalar uma montanha”. Informações financeiras e transacionais são um bom ponto de partida para um possível teste de analítica de dados, pois normalmente existem algumas regras claras que são seguidas antes que uma transação seja registrada no razão geral.

Parte 3: Avaliando a disponibilidade e a usabilidade dos dados

Isso é fundamental. É mais provável que os dados estejam disponíveis. Conforme descrito acima, há dois desafios potenciais. O primeiro obstáculo pode ser o acesso aos dados. O segundo pode ser o formato e a avaliação de quanto tempo precisa ser gasto para aplicar os dados em um formato viável. O risco aqui é que, se não tivermos boas técnicas de limpeza de dados, podemos acabar gastando muito tempo com falsos positivos em toda a população.

Exemplos de como aplicar o triângulo da analítica de dados

Usando a estrutura de tomada de decisão descrita acima, a seguir estão dois exemplos que destacam os fatores que considerei para determinar se um determinado trabalho de auditoria era adequado para aproveitar grandes conjuntos de dados para análise e analítica descritiva.

Exemplo 1: Auditoria de acesso lógico

Parte 1: Compreensão do processo de negócios, riscos e uso da analítica pela administração. 

A equipe de acesso lógico era responsável por gerenciar o acesso aos recursos de TI, concedendo ou removendo o acesso de acordo com uma solicitação aprovada. Os principais riscos inerentes ao processo eram o acesso não autorizado aos recursos de TI, o acesso que excedesse ou envolvesse responsabilidades profissionais incompatíveis e o acesso não revogado em tempo hábil.

Com base no meu entendimento do processo de negócios, desenvolvi várias hipóteses que gostaria de avaliar em relação a uma população total de dezenas de milhares de tickets. Por exemplo, eu queria usar o conjunto de dados para entender os sistemas com o maior número de solicitações de acesso lógico para o período de auditoria; quais sistemas tinham “grandes quantidades” de solicitações de acesso lógico em curtos períodos de tempo (provavelmente o resultado de um novo sistema ou uma indicação de outra coisa); e o tempo decorrido entre a solicitação inicial, a aprovação e o encerramento do ticket. Também consultamos a gerência para entender quais métricas e técnicas de dados eles poderiam estar usando para ajudar a gerenciar o dia a dia, o que levou a conversas produtivas e colaborativas sobre “um dia na vida” do ponto de vista da gerência.

Essa equipe de TI provisionava ou desprovisionava o acesso após a solicitação ser aprovada pelo proprietário do ambiente. Além disso, o acesso concedido precisava corresponder ao acesso solicitado. E, no caso de desprovisionamento de acesso, essa etapa tinha um prazo determinado. Portanto, havia regras claras e rígidas incorporadas ao processo de negócios.

Parte 3: Avaliação da disponibilidade e usabilidade dos dados.

A equipe de acesso lógico concedeu à equipe de auditoria interna acesso somente leitura ao sistema de emissão de tickets. Os dados eram estruturados, não exigiam muita limpeza e podiam ser exportados para o Excel, onde eu podia filtrar, aplicar fórmulas e criar tabelas e gráficos. E quando se tratava de avaliar outros atributos de controle que exigiam fontes de dados adicionais, como listas de acesso, esses estavam em um formato estruturado a partir de uma consulta ao banco de dados ou exportação do Excel. Portanto, fazia sentido investir tempo na aplicação de algum grau de análise de dados e analítica diagnóstica para este compromisso.

Como apliquei a análise de dados e as técnicas analíticas descritivas? 

Entendendo que todas as atividades já haviam ocorrido, eu classificaria minha abordagem como uma série de análises de dados com analíticas descritivas limitadas. 

A análise foi desenvolvida no Excel, usando técnicas comuns, como filtros, fórmulas, tabelas dinâmicas e gráficos. Ao avaliar toda a população de tickets, anomalias se destacaram, como intervalos de datas com picos de acesso solicitado, tickets que excederam o tempo médio de fechamento, a parte solicitante que registrou o maior número de solicitações, o funcionário que aprovou o maior número de solicitações e o número total de solicitações feitas para acesso a sistemas classificados como os mais restritivos para a organização.

Essa análise foi feita durante a fase de planejamento do projeto. Os resultados forneceram métricas importantes, como o número total de solicitações processadas pela equipe, que definiram o contexto para o memorando de planejamento e para o relatório de auditoria. Além disso, deu à nossa equipe de projeto a oportunidade de refletir e organizar nosso nível de esforço para sistemas específicos, a fim de aplicar procedimentos de auditoria mais granulares. 

Exemplo 2: Auditoria de viagens e entretenimento (T&E)

Este é um bom processo de negócios para considerar o uso de analítica de dados na auditoria interna. Existem muitas métricas financeiras e baseadas no tempo com base em regras “claras” incorporadas ao processo de negócios. Além disso, esse processo de negócios normalmente gera um conjunto de dados intuitivo e limpo, com opções simples de formatação e exportação de dados.

Parte 1: Compreensão do processo de negócios, riscos e uso da analítica pela administração. 

Os funcionários receberam um cartão de crédito corporativo, gerenciado por um banco contratado, para transações de T&E. Os dados das transações eram alimentados pelo emissor do cartão em um aplicativo comercial pronto para uso separado de T&E, onde os funcionários detalhavam as transações e carregavam os recibos. As transações eram então aprovadas pelo gerente de nível superior dos funcionários e revisadas pelo departamento de Contas a Pagar, de acordo com a política de T&E em toda a empresa. As transações eram então inseridas no aplicativo de contabilidade principal para registrar as despesas e pagar o emissor do cartão. Além disso, mensalmente, a função de contabilidade centralizada tinha que relatar internamente os gastos com T&E e usava algum grau de análise de dados e analíticas para facilitar esse relatório. Portanto, com uma compreensão clara do processo de negócios, juntamente com a orientação do que o proprietário do processo estava fazendo com os dados, era apropriado passar para a próxima etapa.

Parte 2: Identificação de regras “claras” no processo de negócios.

A empresa desenvolveu uma política corporativa com várias regras. Isso incluía a aprovação das despesas de T&E pelo gerente imediato do funcionário, despesas acima de um valor específico em dólares que exigiam recibo, itens codificados com o número correto da conta do razão geral, valores por recibo que deveriam corresponder ao valor da cobrança e certas despesas proibidas. Portanto, com várias regras “claras” identificadas, fazia sentido passar para a próxima etapa.

Parte 3: Avaliação da disponibilidade e usabilidade dos dados.

A auditoria interna recebeu acesso somente para leitura ao portal do cartão comercial e ao aplicativo T&E pronto para uso. Ambos os aplicativos continham várias opções pré-definidas para relatar a categoria do comerciante e os gastos com T&E, e os dados não exigiram muita limpeza para começar a trabalhar. Portanto, fazia sentido investir tempo e recursos para aproveitar a análise de dados e técnicas analíticas descritivas no programa de auditoria.

Como apliquei a análise de dados e as técnicas analíticas descritivas?

Assim como no primeiro cenário de auditoria de acesso lógico descrito acima, eu classificaria minha abordagem como uma série de análises de dados com algumas analíticas descritivas, uma vez que todas as atividades já haviam ocorrido.

A análise foi feita no Excel, usando técnicas comuns, como filtros, fórmulas, tabelas dinâmicas e gráficos. Embora o TeamMate Analytics (TMA) não estivesse disponível para mim na época, o complemento TMA para o Excel seria útil para uma auditoria de T&E devido ao conjunto abrangente de testes de analítica de dados que vem pronto para uso.

Com toda a população de atividades do portal de cartões comerciais e do portal de T&E, surgiram várias hipóteses. Para a população de todas as transações registradas no aplicativo de cartão comercial, vários relatórios pré-definidos estavam disponíveis para os 10 principais comerciantes por volume de transações, os 10 principais comerciantes por gasto total em dólares, os 10 principais códigos de categoria de comerciantes usados e as transações com cartão que foram autorizadas em relação à lista de códigos de categoria de comerciantes não autorizados. Para a população de despesas de T&E aprovadas e pagas, os testes incluíram o fornecedor com o maior gasto abaixo do limite do recibo (por exemplo, cartões-presente), o número de instâncias de gastos terminando em .00 e a realização de uma análise de alto nível dos gastos de T&E, por departamento, para verificar se o gasto total por código do razão geral era razoável, dados os objetivos da unidade de negócios. Essa análise nos forneceu as informações necessárias para acompanhar a administração com perguntas específicas.

É necessário investir tempo para começar a usar a analítica de dados na auditoria interna. Esperamos que a estrutura de tomada de decisão acima, sobre se a situação é favorável para aplicar a analítica de dados a uma auditoria específica, lhe dê alguma tração nessa área. Um bom próximo passo incluiria uma revisão mais aprofundada dos conjuntos de dados da sua organização e uma compreensão do processo de negócios para ver que tipos de hipóteses podem ser desenvolvidas. Por fim, dê o salto! Reserve algum tempo dedicado a cada semana, faça um brainstorming com os colegas e comece a aplicar técnicas básicas de análise de dados a conjuntos de dados estruturados para ver o que acontece. A partir daí, você verá uma transição para trabalhar com dados não estruturados, lidar com considerações de qualidade de dados e aplicar técnicas estatísticas mais avançadas.