Auditoria Oracle Cloud ERP — Controles SOX e LGPD

Módulos Oracle Cloud no escopo SOX

Em Oracle Cloud Fusion, os módulos com maior relevância SOX são:

Financeiros (obrigatório)

→ General Ledger (GL)
→ Accounts Payable (AP)
→ Accounts Receivable (AR)
→ Fixed Assets
→ Cash Management

Integrações (avaliar escopo)

→ Procurement / iProcurement
→ Oracle Integration Cloud (OIC)
→ Order Management (OM)
→ Inventory / WMS

Controle de acesso e SoD no Oracle Cloud

O Oracle Fusion tem gerenciamento de roles nativo. O auditor vai verificar se os roles estão configurados corretamente e se conflitos de SoD foram endereçados.

→ Roles com mínimo privilégio: usuário deve ter apenas os roles necessários para sua função. Roles genéricos como "AP Full Access" devem ser decompostos.
→ SoD conflicts: Oracle GRC Access Controls (se licenciado) automatiza a detecção. Sem o GRC, a empresa deve manter matriz manual e evidenciar revisão periódica.
→ Revisão semestral: exportar relatório de usuários/roles por módulo financeiro, gestor aprovar por escrito.
→ Superusers / Application Administrators: conta individual, MFA obrigatório, log de atividade monitorado.

Gestão de mudanças no Oracle Cloud

Oracle Cloud recebe patches e atualizações periódicas da Oracle (trimestrais). A empresa precisa de processo para testar essas atualizações e documentar as mudanças de customização.

Patches Oracle (trimestrais)

Testados em ambiente de teste antes de produção. Registro da janela de manutenção, resultado dos testes e aprovação para produção.

Customizações (CEMLI/RICEW)

Reports, interfaces, extensões, workflows customizados. Cada alteração passa pelo processo de mudança (aprovação CAB + teste em ambiente não-prod).

Configurações financeiras

Chart of accounts, regras de consolidação, configurações de aprovação (AH — Approval Hierarchies). Mudanças aprovadas pelo Controller e documentadas.

Audit Log no Oracle Cloud

Oracle Fusion tem audit log nativo — mas precisa ser habilitado e configurado objeto por objeto. O padrão de instalação não vem com tudo habilitado.

→ Habilitar audit nos objetos financeiros críticos (GL Journals, AP Invoices, AR Receipts, Supplier Master)
→ Oracle mantém logs por 30 dias por padrão — exportar para storage externo com retenção de 5+ anos
→ Oracle SOAR (Security Orchestration) ou exportação via BI Publisher para SIEM

LGPD no Oracle Cloud

Dados pessoais no Oracle Cloud (funcionários, fornecedores, clientes) têm implicações LGPD art. 46 (segurança) e art. 7/11 (base legal).

→ Mapeamento dos dados pessoais processados em cada módulo
→ Oracle Cloud (data center region) — confirmar que dados brasileiros ficam no Brasil ou que há transferência internacional autorizada
→ DPA (Data Processing Agreement) com Oracle — obrigatório para operadores

Checklist de auditoria Oracle Cloud

Checklist específico para Oracle Cloud ERP — controles SOX, SoD, mudanças, log. Score + PDF por email.

Fazer checklist Oracle → Diagnóstico gratuito →