Segregação de Funções no Protheus: como reduzir conflitos de acesso e fortalecer os controles internos
Em um ERP, cada usuário recebe permissões para executar atividades relacionadas à sua função. O problema surge quando uma mesma pessoa acumula acessos que permitem iniciar, aprovar, executar e revisar uma operação sem qualquer controle independente. Essa combinação pode facilitar erros, alterações indevidas, pagamentos irregulares e movimentações difíceis de identificar.
A Segregação de Funções, também conhecida como SoD — Segregation of Duties — ajuda a distribuir responsabilidades, limitar acessos conflitantes e fortalecer a governança dos processos empresariais.
No Protheus, esse trabalho envolve muito mais do que retirar acessos. É necessário analisar processos, usuários, grupos, responsabilidades, exceções e riscos para encontrar um equilíbrio entre segurança e continuidade operacional.
Sua empresa conhece os principais conflitos de acesso existentes no Protheus?
A Cod.ERP pode apoiar a avaliação dos perfis e processos do ambiente para identificar pontos de atenção e oportunidades de melhoria.
O que é Segregação de Funções?
Segregação de Funções é um princípio de controle interno baseado na distribuição de atividades críticas entre pessoas ou papéis diferentes. O objetivo é evitar que um único usuário tenha controle completo sobre todas as etapas de uma operação.
Na prática, uma mesma pessoa não deveria, sem mecanismos adicionais de controle:
- Criar uma transação;
- Aprovar essa transação;
- executar a operação;
- Alterar seus dados;
- Realizar a conferência final.
O NIST trata a separação de funções como um controle destinado a reduzir o risco de uso indevido de privilégios autorizados. A orientação inclui identificar formalmente as atividades que precisam ser separadas e definir autorizações de acesso compatíveis com essa divisão.
Um exemplo simples de conflito de acesso
Descrição da imagem:
Fluxo com cinco etapas executadas pelo mesmo usuário: cadastrar fornecedor, alterar dados bancários, incluir título a pagar, aprovar o pagamento e liberar a operação financeira. A imagem destaca que a concentração dessas atividades representa um risco para o processo.
Os quatro pilares de um processo bem segregado
Uma forma simples de compreender a SoD é separar as responsabilidades em quatro grupos.
1. Autorização
Responsabilidade por aprovar uma operação, solicitação, pagamento, pedido ou alteração.
2. Execução
Responsabilidade por realizar a atividade autorizada no sistema.
3. Registro
Responsabilidade por cadastrar ou contabilizar a movimentação.
4. Conferência
Responsabilidade por revisar os dados, documentos e resultados da operação.
Quanto maior for a concentração desses papéis em um único usuário, maior tende a ser a exposição ao risco.
Quais riscos a falta de SoD pode gerar?
A ausência de uma Segregação de Funções adequada pode permitir situações como:
- Pagamentos indevidos
Um usuário pode cadastrar ou alterar dados de fornecedores e, ao mesmo tempo, participar da liberação de pagamentos.
- Alterações sem validação
Cadastros, regras, condições comerciais ou dados bancários podem ser modificados sem revisão independente.
- Movimentações de estoque sem controle
O mesmo usuário pode registrar entradas, realizar ajustes, transferir materiais e alterar saldos.
- Cancelamentos ou estornos inadequados
Operações já realizadas podem ser canceladas ou estornadas sem uma aprovação correspondente.
- Dificuldade em auditorias
A empresa pode não conseguir demonstrar com clareza quem realizou, aprovou e revisou cada etapa do processo.
- Dependência de usuários-chave
Permissões muito concentradas dificultam substituições, aumentam a dependência de determinadas pessoas e enfraquecem a governança.
Controles internos bem estruturados têm valor não apenas para conformidade, mas também para a confiabilidade das informações, a integridade dos processos e a tomada de decisão.
Exemplo de conflitos de acesso por área
Descrição da imagem:
Cards com exemplos de conflitos de acesso nos setores de Compras, Financeiro, Faturamento, Estoque, Contábil e Fiscal, Recursos Humanos e Tecnologia da Informação. Cada card mostra uma combinação de atividades que não deveria ficar concentrada em um único usuário.
Seus acessos no Protheus refletem as funções atuais da equipe?
Identifique permissões acumuladas e conflitos que podem comprometer os controles internos.
Como a Segregação de Funções funciona no Protheus?
No Protheus, a SoD analisa como os acessos estão distribuídos entre usuários, grupos, menus, privilégios, alçadas e aprovações. O objetivo é identificar combinações de permissões que permitam a uma mesma pessoa executar etapas que deveriam ser separadas, como cadastrar, aprovar e liberar uma operação. Essa análise também deve considerar customizações, integrações, acessos administrativos e exceções temporárias.
Mais do que verificar quais telas o usuário acessa, a SoD avalia o que ele pode fazer e como essas permissões se combinam dentro do processo.
Essa análise pode ser feita sob duas perspectivas complementares: uma identifica os acessos potencialmente conflitantes, enquanto a outra verifica como esses conflitos acontecem na prática.
Descrição da imagem:
Comparativo entre SoD estática e SoD dinâmica. A análise estática identifica quando um usuário possui permissões potencialmente conflitantes. A análise dinâmica verifica se esse usuário realmente executou etapas incompatíveis dentro de uma operação.
Sinais de que sua empresa precisa revisar os acessos
Alguns cenários indicam que a estrutura de perfis pode precisar de uma avaliação:
- usuários que mudaram de função e mantiveram os acessos antigos;
- permissões copiadas de outros colaboradores;
- grupos com acesso excessivo;
- utilização de usuários compartilhados;
- usuários desligados ainda ativos;
- acessos administrativos distribuídos sem revisão;
- permissões temporárias que nunca foram removidas;
- dificuldade em identificar quem aprovou uma operação;
- muitas exceções manuais;
- ausência de responsáveis formais pelos acessos;
- apontamentos recorrentes de auditoria;
- crescimento da empresa sem revisão dos perfis.
Quanto mais tempo o ambiente permanece sem revisão, maior pode ser o acúmulo de acessos incompatíveis com as funções atuais.
Conflitos de acesso nem sempre são visíveis na rotina
Uma análise estruturada ajuda a identificar riscos antes que se tornem falhas operacionais ou apontamentos de auditoria
SoD e LGPD: qual é a relação?
A LGPD não determina expressamente que toda organização implante uma matriz de Segregação de Funções.
Entretanto, a lei estabelece princípios como necessidade, segurança, prevenção e responsabilização. Também exige a adoção de medidas técnicas e administrativas destinadas à proteção dos dados pessoais.
Nesse contexto, limitar acessos conforme as atribuições de cada usuário pode contribuir para a proteção de informações pessoais e para a redução de acessos desnecessários.
Portanto, a SoD pode apoiar a governança de dados e a segurança da informação, mas não deve ser apresentada como uma garantia isolada de conformidade com a LGPD.
Como a Cod.ERP pode apoiar sua empresa
A Cod.ERP apoia empresas que utilizam Protheus na avaliação e estruturação da Segregação de Funções, considerando os processos, os acessos e as necessidades de cada área. Algumas etapas são:
Cada ambiente possui características próprias. Por isso, a análise deve considerar tanto as configurações do Protheus quanto a operação real da empresa.
Descrição da imagem:
Fluxo de atuação da Cod.ERP em seis etapas: diagnóstico do cenário atual, mapeamento dos conflitos, estruturação da matriz de SoD, revisão dos perfis, definição de controles e governança dos acessos. O processo mostra a evolução da análise inicial até a organização contínua dos acessos no Protheus.
Fortaleça a governança do seu Protheus
Avalie usuários, perfis e responsabilidades para construir uma estrutura de acessos mais segura e aderente aos processos da empresa.
