Auditoria SAP para SOX: GRC, SoD e gestão de transportes

Módulos SAP no escopo SOX

SAP GRC — Access Control

O SAP GRC Access Control é o módulo de referência para gestão de SoD no SAP. Com ele configurado corretamente, o auditor consegue evidências automáticas — sem GRC, o processo é manual e mais arriscado.

• → Access Risk Analysis (ARA): detecta conflitos SoD com base em ruleset pré-configurado. Resultado deve ser exportado e apresentado ao auditor com evidência de remediação.
• → Emergency Access Management (EAM / Firefighter): controla e loga acesso de emergência a produção. Fundamental para SOX — auditores sempre verificam quem usou e quando.
• → Access Request Management (ARM): provisioning documentado. Trilha de quem solicitou, quem aprovou, quando.
• → User Access Review (UAR): revisão periódica com aprovação do gestor. GRC automatiza notificação e coleta de aprovações.

Gestão de transportes SAP

O sistema de transportes SAP (Transaction Management System — TMS) é o controle de mudanças nativo. Auditores verificam se o TMS está configurado corretamente e se há evidências de aprovação antes dos transportes.

• → Paisagem obrigatória: DEV → QAS → PRD (3 mandantes mínimos para SOX)
• → Importação em PRD bloqueada para desenvolvedores — apenas transportadores/Basis autorizados
• → Log de transportes (transação SE10/SCC1): data, objeto, usuário — evidência automática
• → Aprovação antes da importação: Change Request no ITSM ou CAB com ata

Audit log no SAP (SM20/STAD)

O SAP Security Audit Log (SM20) registra eventos críticos de segurança. Precisa estar habilitado nos sistemas financeiros com retenção adequada.

• → SM20 habilitado em PRD com filtros: logon failures, autorização denied, mudanças em perfis
• → Retenção do arquivo de log: mínimo 5 anos (SAP arquiva localmente por padrão 30-90 dias)
• → Mudanças em dados mestre (fornecedores, contas contábeis): FI log habilitado via parametrização