Auditoria ServiceNow ITSM — ITIL, Rastreabilidade e SLA

Por que o auditor SOX quer ver o ServiceNow

O auditor não audita o ServiceNow como sistema — audita os processos de TI que passam pelo ServiceNow. A pergunta é: "como vocês gerenciam mudanças, incidentes e acessos nos sistemas financeiros?" Se a resposta é "pelo ServiceNow", o auditor vai pedir evidências de lá.

Gestão de mudanças no ServiceNow (Change Management)

Para SOX, o módulo de Change Management do ServiceNow precisa evidenciar que mudanças em sistemas financeiros são aprovadas antes de ir para produção.

→ Change Request (CR): deve conter descrição da mudança, sistemas impactados, plano de rollback, evidência de teste, aprovador do CAB
→ Workflow de aprovação: CR para sistemas financeiros passa por aprovação do Change Manager + responsável pelo sistema. Evidência automática no histórico do ticket.
→ Emergency Changes: processo específico com aprovação posterior documentada — auditores verificam uso excessivo de emergency change como sinal de processo frágil.
→ Relatório de mudanças por período: auditores pedem exportação de todas as mudanças em sistemas financeiros no período auditado.

Gestão de incidentes — evidência de SLA

Incidentes em sistemas financeiros precisam ter SLA definido, monitorado e evidenciado. O auditor verifica se a TI sabe quando um incidente impacta relatório financeiro e como isso é tratado.

O que configurar no ServiceNow para auditoria

Categoria "Sistema Financeiro"

Todos os incidentes em ERP/sistemas financeiros categorizados com impacto alto. SLA específico: resolução em 4h para P1, 8h para P2.

Escalada documentada no ticket

Histórico de cada ação tomada no incidente — com data/hora e responsável. Auditores pedem amostras de incidentes para verificar isso.

Relatório de SLA compliance

Dashboard ou relatório mensal com % de incidentes dentro do SLA — evidência de que o processo funciona.

Acesso lógico no ServiceNow

ServiceNow é um sistema acessado por toda a TI — com dados sensíveis sobre sistemas críticos. Controles de acesso no próprio ServiceNow são auditados.

→ Roles mínimas por função: técnico de suporte ≠ administrador de plataforma ≠ gestor de mudanças
→ Admin da plataforma com MFA e log de ações revisado
→ Usuários inativos/desligados removidos no processo de offboarding
→ ServiceNow SOC 2 Type II (disponível no trust.servicenow.com) — apresentar ao auditor

KPIs que comprovam maturidade ITIL

100%

rastreabilidade de chamados — zero chamados sem ticket

-75%

tempo de processamento de chamados após estruturação ITSM

chamados perdidos ou sem resolução documentada

ITIL v4

compliance completo com práticas ITSM auditáveis

Checklist de auditoria ServiceNow

Change Management, Incident Management, acesso lógico, ITIL. Score + PDF.

Fazer checklist ServiceNow →