Fundamentos de auditoria de sistemas

O que é auditoria de sistemas de informação?

A auditoria em atividades de desenvolvimento de software têm como objetivo analisar os processos, resultados e sugerir ações corretivas ou melhorias, dessa forma contribuindo com a qualidade dos processos, do produto de software e nos membros da equipe de desenvolvimento. 

Fonte: Shutterstock.

Deseja ouvir este material?

Áudio disponível no material digital.

Convite ao estudo

Caro aluno, certamente você já ouviu falar de auditoria. Para alguns profissionais esse nome causa arrepios, pois passar por auditoria, ter o seu trabalho observado, ter apontamentos negativos de algumas atividades desenvolvidas, em alguns casos, exerce certa pressão sobre os profissionais. Mas será que as auditorias são esses “monstros” que os profissionais os enxergam?

Em tecnologia da informação, mais especificamente na área de desenvolvimento de software, as auditorias também fazem parte do ambiente do profissional de sistemas da informação. Dessa forma, é necessário compreender os seus objetivos, particularidades, características e propósitos. Com isso, o profissional passará a enxergar as auditorias como forma de adquirir mais maturidade nos processos e consequentes melhorias.

Na primeira seção, você compreenderá os conceitos relacionados à auditoria em tecnologia da informação, o que lhe permitirá entender como elas são operacionalizadas em ambiente profissional; de que forma ocorre a abordagem técnica de processos de auditorias em desenvolvimento de software com a finalidade de atender as especificidades da área; quais são os tipos de auditorias e, por fim, você poderá analisar como é estruturado o ciclo de vida da auditoria quando aplicada em organizações de desenvolvimento de software.

Já na segunda seção, as discussões visam a uma abordagem para compreensão de como são utilizados os controles gerais de processos de auditoria em sistemas da informação. Em seguida os estudos serão direcionados ao controle de software e de aplicativos a fim de que se mostre como cada plataforma exige uma abordagem específica. Por fim, você poderá ver como é tratada a auditoria durante o ciclo de vida de desenvolvimento do sistema.

Na terceira seção, você compreenderá quais são as necessidades de evolução e de manutenção de software e, depois disso, será possível entender quais são as atividades, processos e ferramentas utilizadas para a manutenção de software. Para finalizar, você verá como a engenharia reversa e a reengenharia de software são utilizadas nas atividades profissionais de desenvolvimento.

Todas essas discussões, em caráter profissional, farão com que você adquira competências a serem utilizadas tanto ao ser auditado, já que conhecerá os processos e rotinas de auditoria de desenvolvimento de software, quanto ao compor equipe para realizar auditoria de software. Assim, esse conhecimento é de extrema importância para os profissionais diretamente ligados a atividades de desenvolvimento de software, pois grande parte das empresas espera que seus colaboradores possuam tais competências.

Pronto para mais esse desafio?

Praticar para aprender

Caro aluno, você já ouviu falar sobre auditoria? Existem diversos segmentos que utilizam essa ferramenta de verificação a fim de gerar informações que permitem compreender as falhas de processos, de produtos e de gestão. As auditorias possibilitam o conhecimento, em detalhes, das atividades desenvolvidas, tornando possível a análise dos processos. Além disso, pode-se dizer que a auditoria não verifica somente falhas, mas também pontos de melhorias e potencialidades.

Você sabia que em Engenharia de Software também são utilizados os processos de auditoria? Evidentemente, aquela que é feita na área de desenvolvimento de sistemas possui algumas particularidades em relação à aplicada em outros segmentos, porém é preciso lembrar que o intuito comum a qualquer auditoria é compreender os processos, diagnosticar falhas ou pontos de melhorias e, posteriormente, buscar os ajustes necessários, ou seja, utilizá-la como instrumento de melhoria. Interessante, não é?

Incialmente, você será levado a compreender os conceitos de auditoria em tecnologia da informação, com exemplos encontrados nos meios profissionais, o que lhe proporcionará, ainda, entender as atribuições de um auditor.

Em seguida, será possível compreender de que forma são feitas as abordagens de auditoria em sistemas da informação. Em termos práticos, você vai entender como uma auditoria é iniciada, conduzida e finalizada dentro de uma organização, fazendo com que fique clara a importância dos processos de auditoria para a evolução da maturidade dos processos, desenvolvimentos, pessoas e produto de software.

Em seguida, a discussão será voltada aos tipos de auditorias que podem ser feitas, por meio de conceitos teóricos e exemplos profissionais. Esse tema é de grande importância para apreender o último tópico, o qual trata do ciclo de vida da auditoria.

Por fim, para compreender esse último assunto, será demonstrado de que forma que os processos se iniciam, como são planejados e executados e quais são as devolutivas. Em cada um desses subtópicos, você terá exemplos que facilitarão a sua compreensão, para que você possa aplicar os conceitos aprendidos em seu meio profissional.

Em suma, os assuntos discutidos nesta seção permitirão que você conheça os fundamentos de auditoria de sistemas a fim de que sejam utilizados como ferramenta de evolução e de melhoria no desenvolvimento de softwares.

Os sistemas Web são uma solução de grande flexibilidade, pois permitem que os usuários acessem informações em qualquer dispositivo com internet. Mas, assim como qualquer outra forma de desenvolvimento, também ela está suscetível a erros e falhas, as quais por vezes não podem ser detectadas sem que se tenha ferramentas auxiliares para tal finalidade. Pensando nisso, você iniciou um curso voltado a auditorias em sistemas.

Por saber disso, um amigo seu, que trabalha em uma empresa de desenvolvimento de aplicações Web, disse que havia um contrato de trabalho para efetuar processo de auditoria em um desenvolvimento web de uma loja de vendas de artigos variados. Para esse trabalho, o departamento de desenvolvimento enviou o seguinte recado:

Essa é uma grande oportunidade de colocar em prática de forma profissional os seus estudos. Para isso, o sistema deve ser instalado e em seguida deve ser elaborado o cronograma de auditoria para a empresa poder se organizar.

Você deve ter ficado curioso! Então, vamos descobrir como a auditoria é aplicada na engenharia de software?

conceito-chave

Normalmente, quando as pessoas comentam sobre passar por auditorias, os relatos são sempre carregados de momentos tensos, pressão no trabalho, ajustes de condutas e processos, entre outras situações que causam uma sensação de verificação minuciosa das atividades profissionais desenvolvidas.

Assim como em outras áreas do conhecimento (fiscal, contábil, administrativa, etc.), a Engenharia de Software também conta com processos de auditoria para verificação dos desenvolvimentos de software, pois, como se trata de atividades que necessitam do emprego de habilidades técnicas de programação, criatividade e aplicação correta dos processos, são passíveis de auditoria.

Auditoria

Mas, de fato, o que é uma auditoria?

Segundo Cardoso (2015), as atividades de auditoria têm como principal função analisar parcial ou globalmente os processos, resultados e, em alguns casos, sugerir ações corretivas ou melhorias. Elas podem ser aplicadas por diversos métodos (questionário, teste de uso prático, análise documental, entre outras formas), porém os resultados obtidos não devem gerar dúvidas.

Para que você possa compreender em que casos isso será encontrado, vamos tomar como exemplo uma empresa que precise auditar o desenvolvimento de determinada funcionalidade no aplicativo de uma operadora de convênio odontológico, a qual permite agendamento de consultas. A auditoria foi necessária, pois houve um atraso significativo na entrega do aplicativo. Esse processo serve para compreender em que momento ocorreu o atraso e o porquê ele foi gerado, informações que podem ajudar a corrigir falhas no processo, por exemplo. Nesse caso, a equipe de auditoria poderia analisar os documentos ou fazer entrevistas com os envolvidos, de modo a ter dados o suficiente para gerar informações úteis para a compreensão do problema.

É claro que, embora existam processos de auditoria para verificar as atividades em diversas áreas, a tecnologia da informação possui métodos e normas específicas para si. Segundo Cardoso (2015), as atividades de auditoria em Engenharia de Software são conhecidas por auditoria em sistemas da informação. As atividades de auditoria de sistemas não têm apenas a função de verificar códigos, instruções e outras formas de se codificar uma aplicação computacional, mas também a de aplicar os seus esforços conforme demonstrado a seguir:

• Processos: diz respeito à forma como são orientados os meios de execução das atividades de desenvolvimento. Em termos operacionais, imagine que a empresa utilize o SCRUM com o objetivo específico de priorizar as atividades. A auditoria de processo poderia analisar especificamente se o SCRUM foi seguido durante o ciclo de vida do desenvolvimento do software.

• Desenvolvimento: compreende a análise dos scripts em si, ou seja, trata-se de uma forma de efetuar a verificação de erros de escrita da linguagem de programação/marcação utilizada. Um exemplo muito atual se refere à auditoria de responsividade de desenvolvimentos Web, na qual é analisada a correta utilização dos frameworks, que têm como objetivo deixar a aplicação responsiva. Nesse caso, os processos de auditoria mostrarão em quais dispositivos existem erros, desconforto de navegação, entre outras avaliações muito úteis a nível de qualidade dos desenvolvimentos.
• Testes: a auditoria visa à verificação da eficácia dos testes efetuados nos desenvolvimentos de software. Em termos profissionais, significa que as atividades desenvolvidas pelos testers de software receberão uma auditoria para verificar se de fato as funcionalidades desenvolvidas estão sendo testadas ou se existem falhas, vícios ou qualquer outra inconformidade.
• Segurança e proteção dos dados: são aquelas tratativas realizadas quanto à proteção e à segurança dos dados para que não ocorram incidentes indesejados. Um exemplo é quando o processo de auditoria utiliza pentest (profissional de segurança da informação que busca vulnerabilidades) para comprovar, na prática, que um sistema é seguro.
• Estrutura de desenvolvimento: está voltada às atividades administrativas e de recursos humanos, ambiente de trabalho e recursos disponíveis para o desenvolvimento profissional. Exemplo: o auditor, dentro de suas análises, poderia voltar a suas atividades profissionais para que seja efetuada a avaliação do ambiente de trabalho favorece o bom desempenho do profissional de desenvolvimento de software.

O Auditor

Certamente você percebeu que existe a possibilidade de efetuar auditorias em muitas áreas que envolvem o desenvolvimento de software. Entretanto, existe um agente dentro dos processos de auditoria de software cujas atribuições e responsabilidades é essencial compreender. Estamos falando aqui do auditor.

Para compreender o papel do auditor, observe o Quadro 4.1.

Acerca das responsabilidades e atribuições de um auditor de desenvolvimento de software, vamos a um exemplo: imagine que uma desenvolvedora de games para mobile tenha decidido fazer um jogo exclusivo para um público específico. Um processo de auditoria poderia responder quais são os impactos positivos e negativos de um jogo cujo tema exclui outros jogadores, porém cabe aos níveis administrativos e gerenciais da empresa, após os resultados das auditorias, tomar uma decisão quanto ao produto elaborado. Uma auditoria aponta falhas, erros, pontos de atenção, no entanto não obriga a empresa a tomar outros rumos. Essa decisão fica a cargo dela.

Vale ressaltar, ainda, que as atividades de auditoria de software são pautadas por testes, análises, avaliações e outras formas que possam provar que algo de inconformidade está ocorrendo ou sendo executado, conforme define Gallotti (2016).

Ciclo de vida da auditoria

Caro aluno, percebeu a importância da auditoria na Engenharia de Software? As auditorias não devem ser enxergadas como um processo doloroso e negativo, como descrito no início de nossas discussões, mas devem ser encaradas como uma ferramenta de apontamento de falhas, que permite agregar qualidade ao projeto, à equipe, à organização, o que reflete positivamente para o cliente. Mas, em termos práticos, em que momento a auditoria deve ser utilizada durante o projeto de desenvolvimento de software?

Conforme defendem Weill e Ross (2006), os processos de auditoria em sistemas da informação podem ser operacionalizados durante todo o ciclo de vida do projeto de desenvolvimento. O ciclo de vida da auditoria é dividido em quatro processos, que compreendem desde as atividades precedentes à autoria em si (preparação) até o acompanhamento dela. Os processos de auditoria durante seu ciclo de vida são sequenciais. Para compreender a organização dessas atividades, observe a Figura 4.1.

De acordo com o observado no ciclo de vida da auditoria, as atividades de auditoria começam antes mesmo de seu início em sistemas da informação. Vale ressaltar, aqui, que neste momento não estamos discutindo o ciclo de vida do projeto, mas o ciclo de vida da auditoria. Em termos de aplicação profissional, estamos agora com foco em todos os processos que compõem uma auditoria em atividades de desenvolvimento de software.

Planejamento do cronograma

Segundo Vetorazzo (2018), as atividades de elaboração do cronograma mostram o nível de organização da equipe que aplicará a auditoria. Além disso, é possível compreender como o ciclo todo será organizado. Ao divulgar o cronograma da auditoria, a empresa/equipe que será auditada pode ajustar alguns pontos de melhorias. Para que você compreenda como um cronograma de auditoria pode ser organizado, observe o Quadro 4.2.

Esse cronograma pode ter diversas atividades descritas dependendo do nível de detalhamento de que o projeto necessite. Quanto às informações das colunas, ser minimalista é o suficiente para demonstrar a atividade, as datas inicial e final e o responsável. Mas nada impede que ele apresente outras informações.

Vetorazzo (2018) defende ainda que o planejamento do cronograma de auditoria, em muitos casos, deve ser aprovado pela contratante. Para entender como isso ocorre em termos práticos, imagine que uma empresa desenvolveu um aplicativo para a população votar on-line e com garantia de autenticidade. Porém, antes que ele seja liberado para a população utilizar, é necessário que seja feita uma auditoria. A empresa de auditoria, então, divulga as datas de seu cronograma. Entretanto, há um problema: a data final do reporte está para depois do dia em que deveria ocorrer a votação. Percebeu a importância da aprovação do cronograma da auditoria?

Planejamento da auditoria

Para Rainer e Cegielsky (2016), o planejamento da auditoria como primeira atividade está no mapeamento dos processos, o qual identifica individualmente os agentes responsáveis por eles. Ainda é possível que o auditor consulte documentos de auditorias anteriores para que possa voltar suas atividades a apontamentos já feitos. Entre as atividades do planejamento da auditoria, deve-se estar claro qual o objetivo de determinada auditoria, de forma que a empresa de desenvolvimento de software que receberá os auditores possa se adequar às necessidades do cliente.

Por que o objetivo da auditoria deve ser divulgado? Imagine que uma empresa de desenvolvimento tenha quatro equipes: front end, back end, banco de dados e infraestrutura de redes. Mas, devido às muitas reclamações a respeito da performance do tempo de resposta do sistema, será agendada uma auditoria nos setores de desenvolvimento. Em todas as equipes? Não, somente naquelas que podem impactar diretamente no desempenho da aplicação, ou seja, back end, banco de dados e infraestrutura de redes.

Rainer (2016) defende ainda que o planejamento é um documento que deve ser elaborado pelos auditores de forma que três pontos fiquem claros para equipe de auditores e para a organização/equipe a ser auditada:

• Quem será auditado?
• O que será auditado?
• Quando ocorrerá a auditoria?

Condução da auditoria

Conforme defende Vetorazzo (2018), quando o planejamento da auditoria está pronto e aprovado, dá-se seu início, no qual são aplicadas as atividades de coleta de informações, tais como: revisão documental, conversas e entrevistas, análise de dados de processos, observações, entre outras técnicas. Normalmente, a equipe de auditoria possui um checklist com escopo expandido para permitir diversas análises.

Em termos práticos e profissionais, o checklist, para o auditor, é um guia com os pontos a serem auditados. Para que você possa compreender como é estruturado esse documento, observe o Quadro 4.3.

Esse cronograma pode ter diversas atividades descritas dependendo do nível de detalhamento de que o projeto necessite. Quanto às informações das colunas, ser minimalista é o suficiente para demonstrar a atividade, as datas inicial e final, o horário, o local e os responsáveis. Mas nada impede que nele sejam apresentadas outras informações.

Reporte da auditoria

Segundo Vetorazzo (2018), trata-se da parte de encerramento da auditoria, na qual podem ser feitas reuniões, relatórios, apresentações, entre diversos outros recursos que fornecem a devolutiva do que foi auditado. Dependendo do acordado na contratação desse serviço, podem-se propor melhorias e ajustes. Porém, não cabe à empresa/equipe de auditoria promover as mudanças descritas no reporte.

Em termos práticos, após longos dias de auditoria, é chegada a hora de conhecer os resultados para saber os acertos, os erros e, assim, poder projetar e alcançar novos objetivos e melhorias. Normalmente nesse dia a equipe auditada, com gerentes e demais cargos administrativos, é chamada para uma reunião em que os resultados são apresentados e as sugestões são discutidas.

Como você pôde ver ao longo das discussões e dos exemplos apresentados, a auditoria em atividades de desenvolvimento de software pode levar uma equipe à melhoria de seus processos e produtos. A forma como deve ser feita a abordagem da auditoria em sistema da informação visa contribuir com a qualidade dos processos, do produto de software e nos membros da equipe de desenvolvimento. Por fim, as discussões acerca do ciclo de vida da auditoria guiarão o profissional na construção de documentações como cronogramas, checklists e ambientes auditáveis.

Faça valer a pena

Referências

CARDOSO, A. Auditoria de sistema de gestão integrada. São Paulo: Pearson Education do Brasil, 2015.

GALLOTTI, G. M. A. Qualidade de software. São Paulo: Pearson Education do Brasil, 2016.

RAINER Jr. R. K.; CEGIELSKY, C. G. Introdução a sistemas de informação. 5. ed. Rio de Janeiro: Elsevier, 2016. Disponível em: https://cutt.ly/wjOtJCU. Acesso em: 16 nov. 2020.

VETORAZZO, A. de S. Engenharia de software. Porto Alegre: SAGAH, 2018.

WAMPSERVER. WampServer, [S.l., 2020]. Disponível em: https://www.wampserver.com/en/. Acesso em: 5 nov. 2020.

WEILL, P.; ROSS, J. W. Governança de TI: como as empresas com melhor desempenho administram os direitos decisórios de TI na busca por resultados superiores. São Paulo: M. Books do Brasil Editora Ltda., 2006.