PROPOSTA DE MODELO DE IMPLEMENTAÇÃO DE AUDITORIA DE TECNOLOGIA DA INFORMAÇÃO NO ÂMBITO DA CONTROLADORIA GERAL DA UNIÃO - PDF
Download "PROPOSTA DE MODELO DE IMPLEMENTAÇÃO DE AUDITORIA DE TECNOLOGIA DA INFORMAÇÃO NO ÂMBITO DA CONTROLADORIA GERAL DA UNIÃO"
Carlos Canário Barros
1 MAÍRA HANASHIRO PROPOSTA DE MODELO DE IMPLEMENTAÇÃO DE AUDITORIA DE TECNOLOGIA DA INFORMAÇÃO NO ÂMBITO DA CONTROLADORIA GERAL DA UNIÃO Projeto de pesquisa apresentado à Coordenação como parte das exigências do curso de Especialização em Auditoria Interna e Controle Governamental. Brasília 2009
2 1. IDENTIFICAÇÃO DO PROJETO Título: Proposta de Implementação de Auditoria de Tecnologia da Informação no Âmbito da Controladoria Geral da União Autor: Maíra Hanashiro Finalidade/Natureza do projeto: Conclusão do Curso de Especialização em Auditoria Interna e Controle Governamental. Instituição: Controladoria Geral da União Data: Brasília, 26 de junho de 2009 Orientador: André Luiz Furtado Pacheco 2. APRESENTAÇÃO Em 2003, a autora graduou-se em Engenharia de Redes de Comunicação na Universidade de Brasília - UnB e, em 2006, entrou na Controladoria Geral da União - CGU como Analista de Finanças e Controle, nas vagas reservadas para profissionais da Tecnologia da Informação - TI. Chegando ao Órgão, escolheu trabalhar na Secretaria Federal de Controle para realizar trabalhos de auditoria. Concomitantemente à realização do processo seletivo, ela estava fazendo um mestrado no Departamento de Engenharia Elétrica da UnB, na área de Telecomunicações. Entretanto, ao entrar na CGU, mudou o assunto da dissertação para Auditoria de Tecnologia da Informação, com foco em Segurança da Informação. Durante o levantamento de dados para a dissertação, a autora diagnosticou que a Auditoria de TI dentro da ainda era incipiente e realizada de maneira ad hoc, não havendo uma padronização de procedimentos e de recomendações para situações semelhantes. Além disso, durante a execução de trabalhos de auditoria em órgãos e entidades, a autora sentiu falta de um apoio técnico dentro da que auxiliasse na detecção dos problemas de Tecnologia da Informação no Órgão/Entidade auditada e que padronizasse o entendimento da na análise e recomendação de fatos similares. Diante desses fatos e da crescente dependência da Administração Pública da Tecnologia da Informação, ela visualizou a necessidade de se aprimorar esse tipo de auditoria dentro da, por meio da elaboração de um projeto que
3 contemplasse a criação de um núcleo de apoio técnico para esse tipo de auditoria, de forma a apoiar os auditores em seus trabalhos e a padronizar os procedimentos e recomendações dentro do Órgão. Tal projeto é a proposta desse Trabalho de Conclusão de Curso. 3. PROBLEMA A área de Tecnologia da Informação é estratégica para toda Administração Pública. Entretanto, por ser uma área relativamente nova, possui ainda, na maioria dos órgãos, controles internos deficientes. Diante disso, é essencial que esses controles sejam fortalecidos. Como a CGU tem o papel de Controle Interno do Poder Executivo da Administração Federal, torna-se importante que a Casa dê maturidade às ações de controle de Auditoria de TI. Portanto, o desafio deste trabalho é apresentar um modelo para a implantação formal de um modelo de Auditoria de TI no âmbito da Controladoria, especificamente, dentro da Secretaria Federal de Controle. O ponto principal desse modelo é a criação de um escritório de projetos de Auditoria de TI, que terá como objetivo ser um núcleo de decisões estratégicas e de treinamento desse tipo de ação de controle. 4. OBJETIVOS Esta proposta de trabalho de conclusão de curso tem como objetivos principais: 1) Demonstrar a importância da Tecnologia da Informação - TI dentro da Administração Pública como ferramenta no controle de gestão e de auxílio nas tomadas de decisões estratégicas. 2) Avaliar as dificuldades encontradas nas ações de controle governamentais relacionadas à Auditoria de TI dentro da Controladoria Geral da União CGU. 3) Apresentar proposta de modelo para implementação de Auditoria de TI no âmbito da CGU.
4 5. JUSTIFICATIVA Como justificativas para a proposta apresentada destacam-se a atual situação da TI no contexto da Administração Pública, a importância da Auditoria de TI para a utilização eficiente e eficaz da TI e a real situação atual da Auditoria de TI dentro da Administração Pública. A) A Tecnologia da Informação no contexto da Administração Pública Nos últimos anos, a exemplo do que ocorre no setor privado, as atividades do setor público têm se tornado cada vez mais dependentes de processos de Tecnologia da Informação e das informações geradas por eles. Dentro da Administração Pública Federal - APF brasileira, há investimentos na ordem de bilhões de reais para capacitação e modernização tecnológica. A TI é necessária em todos os órgãos da APF, seja como base operacional para as demais demandas da unidade, seja como fator provedor de informação essencial à sua função precípua. Entretanto, não bastam o reconhecimento da necessidade da TI e o aumento dos investimentos se não houver uma aplicação correta e gerenciada destes recursos, de forma que a TI atenda às necessidades de negócio de cada entidade, ou seja, agregue valor às suas funções finalísticas. Assim, à medida que a tecnologia se confunde com os produtos da organização, a TI e as informações geradas por meio dela deixam de ser uma questão meramente operacional e administrativa para se tornar uma questão estratégica. Um dos grandes problemas observado nas organizações públicas é a falta de soluções para selecionar, processar e organizar a grande quantidade de informação disponível a um administrador (gestor), de modo a torná-las úteis no controle da gestão pública. Além da necessidade do gestor, há também aquela do cliente que, para a organização pública, é o cidadão, que vem, cada vez mais, exigindo eficiência e transparência na gestão dos recursos públicos. Com isso, surge dentro da Administração Pública a necessidade de implementação da Governança de TI, de forma a alinhar o uso da TI aos objetivos de negócio de cada órgão e da Administração como um todo, possibilitando que se garanta: i. A continuidade dos serviços; ii. O atendimento a marcos regulatórios; iii. A definição clara do papel da TI dentro dos órgãos;
5 iv. O alinhamento dos processos operacionais e de gestão a padrões que atendam a necessidade do negócio; e v. A definição de regras claras acerca de responsabilidades sobre decisões e ações dentro da entidade. Essas garantias tornam-se essenciais e obrigatórias em um contexto em que a Informação torna-se muito mais acessível e, portanto, menos protegida. A disponibilidade das informações possibilita o aumento da eficácia e da eficiência de todos os processos que as utiliza. Por outro lado, se não houver garantia de que a manipulação de tais informações é monitorada e realizada de forma responsável, esta disponibilidade torna-se uma ameaça para a segurança da informação. Importante salientar que a Governança de TI não é uma disciplina isolada, ela é parte integral da governança corporativa. O aumento da demanda por a transparência e conformidade faz com que a Direção da Organização estenda a governança para a TI e forneça liderança, estruturas organizacionais e processos que assegurem que as estratégicas de TI sustem e cubram as estratégias e objetivos do órgão. Assim, em um contexto em que toda tecnologia aparenta ser atraente e milagrosa, os processos de aquisição e desenvolvimento de tecnologia devem ser bem planejados e alinhados aos objetivos de negócio do órgão, de modo a impedir desperdícios de recursos públicos. B) Importância da Auditoria de TI Diante deste novo contexto, a TI também precisa ser objeto de ações de controle do Sistema de Controle da Administração Pública, de forma a garantir que os critérios da informação (efetividade, eficiência, confidencialidade, integridade, disponibilidade, conformidade e confiabilidade) sejam atendidos, contribuindo para a eficácia, eficiência e economicidade dos serviços públicos e para a prevenção de irregularidades, desvios e perdas de recursos públicos, auxiliando, inclusive, no combate à corrupção. O termo Auditoria de TI é muito amplo e envolve diversas áreas da Tecnologia, das quais se pode destacar: Auditoria de Dados - Ações de controle cujo objeto é uma base de dados a ser analisada com o auxílio de um software de análise de dados (ex. ACL) utilizando-se critérios estabelecidos em função da informação presente na base de dados. Este tipo de auditoria é a mais utilizada hoje em dia dentro da CGU, pois não se restringe apenas à área de TI. Como pode ser utilizada para análise de
6 dados de qualquer tipo de auditoria, tem contribuído para o aprimoramento das atividades de controle, permitindo que os trabalhos de fiscalização e auditoria se tornem mais dinâmicos, abrangentes e minuciosos. Auditoria de Infra-Estrutura - Ações de controle cujo objeto é a infraestrutura tecnológica (ex. sistema operacional, rede, etc.), exigindo conhecimento técnico aprofundado da área. Auditoria de Gestão de TI - Ações de controle cujo objeto é a própria Gestão da TI, envolvendo análise das atividades de planejamento, execução e controle dos processos de TI da Unidade examinada. Auditoria de Segurança - Ações de controle cujo objeto é o aspecto de segurança dos processos, sistemas e informações da Unidade examinada. Auditoria de Licitações e Contratos - Ações de controle envolvendo análise de licitações ou contratos cujos objetos são bens ou serviços de TI. Auditoria de Aplicativos - Ações de controle envolvendo a análise de software tanto do ponto de vista operacional quanto do ponto de vista legal. Por toda essa abrangência de atuação, a Auditoria de TI é ferramenta fundamental para que a Administração Pública controle seus atos relacionados à TI, nos mesmo moldes que fiscaliza suas outras atividades, resultado do seu poder-dever de controlar suas próprias ações do ponto de vista legal e de mérito. Com isso, a Tecnologia da Informação pode deixar de gerar prejuízos comuns pela ineficiência de sua aquisição e gestão. Além disso, podem ser evitados muitos desvios e fraudes decorrentes de controles ainda incipientes nessa área de conhecimento. C) Situação atual da Auditoria de TI dentro da Administração Pública A Auditoria de TI já está presente no controle interno de diversas instituições públicas, sendo mais atuantes, estruturadas e maduras nas instituições públicas financeiras, como o Banco Central e o Banco do Brasil. Entretanto, na maioria dos órgãos de execução de programas e políticas públicas e, até mesmo, nos órgãos especializados em controle, como a Controladoria Geral da União, esse tipo de auditoria apresenta-se em um nível de maturidade iniciante e, em muitos casos, são realizadas quando realizadas de maneira ad hoc, ou seja, não há padrões, metodologias ou normas gerais a serem seguidas para planejamento e execução das ações de controle. A ausência de uma metodologia de Auditoria de TI padronizada acarreta ações de controle desordenadas realizadas por diferentes departamentos de um mesmo órgão, com critérios de avaliação diferentes e, muitas vezes, para um
7 mesmo tipo de constatação, recomendações incoerentes e conflitantes. Outra deficiência da ausência de padronização é a dificuldade de comunicação e entendimento entre auditor e auditado. O uso de uma linguagem comum facilita a compreensão do auditado sobre os parâmetros utilizados nas ações de controle e constatações e recomendações geradas. Assim, torna-se mais fácil a realização de ações corretivas por parte do gestor de forma preventiva às ações de controle ou em resposta a recomendações geradas. Por fim, outro fator complicador é a abrangência desse tipo de auditoria. A diversidade de áreas de abordagem exige que o auditor possua amplos conhecimentos ou que tenha uma equipe com membros com conhecimentos nas áreas que integram o escopo da auditoria a ser realizada. Portanto, são identificadas as seguintes necessidades em uma metodologia de Auditoria de TI eficiente: Padronização da metodologia dentro de toda a entidade auditora; Linguagem comum entre auditor e auditado; e Modelagem de procedimentos de auditoria que possam abranger a diversidade de assuntos da área de TI. Outra questão importante a ser levantada em relação à Auditoria de TI dentro da APF é o atual contexto legal e infra-legal em relação à Tecnologia da Informação. Por melhores que sejam as referências e metodologias implementadas, as entidades que realizam ações de controle de TI sobre outros órgãos enfrentam um problema que vai além de suas próprias infra-estruturas e capacidades fiscalizatórias. Uma das grandes dificuldades é a sustentação nas recomendações das auditorias de que as melhores práticas da Governança de TI devem ser seguidas, já que não existem instruções normativas ou legislação dentro da APF que obrigue a utilização dessas práticas. O mais próximo disso são os vários acórdãos do TCU que fazem recomendações e determinações baseadas nesses padrões e modelos. Dessa forma, por mais bem estruturado que seja o processo de auditoria, ela ainda fica amarrada à falta de instruções legais ou normativas que possam dar suporte às suas recomendações, prevalecendo, muitas vezes, apenas o bom senso de ambas as partes: auditor e auditado. Tal lacuna legislativa também é motivação para esse trabalho, pois quanto mais se trabalhar nessa área e mostrar suas fragilidades, maiores serão os estímulos para que se legisle e regule a área de Tecnologia da Informação dentro do Governo Federal.
8 6. METODOLOGIA 6.1. Conceitos Operacionais Ao propor o Modelo de Auditoria de TI para a CGU, os seguintes conceitos e modelos deverão ser considerados e utilizados como referências: A) Governança de TI Governança de TI é um conjunto de estruturas e processos que visa garantir que a TI suporte e maximize adequadamente os objetivos e estratégias de negócio da organização, adicionando valores aos serviços entregues, balanceando os riscos e obtendo o retorno sobre os investimentos em TI. A Governança de TI não é uma disciplina isolada, ela é parte integral da governança corporativa. O aumento da demanda por a transparência e conformidade faz com que a Direção da Organização estenda a governança para a TI e forneça liderança, estruturas organizacionais e processos que assegurem que as estratégicas de TI sustem e cubram as estratégias e objetivos da empresa. B) Controle Interno Controles internos são definidos pela totalidade das políticas, procedimentos e práticas instituídas pela Administração, para assegurar que os riscos inerentes às atividades da instituição sejam identificados e gerenciados adequadamente, com a finalidade maior de fornecer razoável garantia à Administração de que os objetivos de negócio estão sendo continuamente alcançados. São, portanto, mecanismos de gestão que devem permear as operações e atividades críticas de forma ampla, gerenciada e eficaz, e devem ser adaptáveis às necessidades próprias de cada organização. Estruturar, implementar e manter eficaz um Sistema de Controles Internos passou a ser fator fundamental para o sucesso das instituições, quer para a identificar e gerenciar os riscos operacionais, quer para adequar políticas e procedimentos internos para atenderem às regulamentações respectivas. A seleção de um framework de controle interno depende, fundamentalmente, de quais tipos de objetivos a instituição visa alcançar de uma forma gerenciada. Dentre as opções de framework, destacam-se soluções voltadas para alcançar os objetivos de negócio ou para alcançar os objetivos de áreas de
9 conhecimento específicas, como a área de Segurança da Informação. A tabela a seguir resume e exemplifica alguns dos frameworks reconhecidos pelo mercado e seus focos: Exemplos de Frameworks Para objetivos de Para objetivos de Para objetivos de negócio negócio focando Segurança da em TI Informação COSO COBIT NBR ISO/IEC ITIL Independente dos objetivos específicos que mobilizam a escolha da instituição, o primeiro e mais tangível benefício em se adotar qualquer dessas estruturas é garantir que haja uma linguagem comum entre as diversas áreas envolvidas mais diretamente com a gestão de riscos, geralmente as área de Auditoria Interna, Compliance (conformidade com regulações), risco e a própria Administração. O COSO é uma metodologia de Governança Corporativa distante do nível operacional e que requer a complementação com outros modelos de gestão. A metodologia publicada pelo COSO - Committee of Sponsoring Organizations of the Treadway Commission - identifica os objetivos essenciais do negócio de uma dada instituição e define o Controle Interno e seus componentes, fornecendo critérios a partir dos quais os sistemas de controle podem ser avaliados. Os demais frameworks serão apresentados no próximo item. C) Melhores Práticas e Normas O ideal é que, dentro da Administração Pública, adotem-se melhores práticas e normas nacionais e internacionais já bem aceitas no mercado. Assim, pode-se ter Governança de TI em todos os órgãos e seus conseqüentes benefícios. Neste item, listaremos algumas das melhores práticas e normas conhecidas e bem aceitas no mercado. Cada uma delas pode trazer benefícios diferenciados para a Administração Pública e podem ser adotadas em conjunto pelo gestor. 1) COBIT Control Objectives for Information and related Technology Trata-se de um modelo abrangente aplicável para a auditoria e controle de processos de TI, desde o planejamento da tecnologia até a monitoração e auditoria de todos os processos.
10 O COBIT - Control Objectives for Information and Related Technology (Diretrizes de Controle para Informação e Tecnologia Relacionada) - foi desenvolvido pelo ISACF - The Information Systems Audit and Control Foundation, tendo como base a metodologia COSO. Posteriormente, o COBIT passou a ser mantido pelo ITGI - IT Governance Institute. Atualmente, o COBIT encontra-se na versão 4.1. Trata-se de uma estrutura conhecida mundialmente que busca garantir que a Tecnologia de Informação esteja alinhada aos objetivos corporativos, que os seus recursos sejam usados com responsabilidade e os seus riscos gerenciados apropriadamente. As atualizações no COBIT 4.1 incluem medida de desempenho aperfeiçoada, melhores objetivos de controle e melhor alinhamento dos negócios e das metas de TI. A versão 4.1 é baseada nas melhores práticas e padrões reconhecidos internacionalmente, como PMBOK:2000, ITIL: , CMM:1993, CMMI:2000, ISO/IEC 17799:2005, entre outros. 2) ITIL Information Technology Infrastructure Library A ITIL é uma biblioteca de melhores práticas voltada para a área de TI. Foi desenvolvida pelo atual OGC (Office of Government Commerce), órgão público que busca otimizar e melhorar os processos internos do governo britânico. O ITIL surgiu em 1986 com o desenvolvimento do conjunto de mais de 40 livros que abordavam uma variedade de melhores práticas de TI. A partir de 1999, ITIL versão 2 acrescentou sete livros principais que tratam os processos amplamente aceitos como um framework de melhores práticas para Gerenciamento de Serviços de TI (IT Service Management - ITSM). Em 2007, transcorridos 21 anos, surge o ITIL Versão 3, que consiste de cinco livros principais e um livro oficial de introdução. Baseados em ciclos de vida das boas práticas de serviços, eles incorporam o que há de mais importante nas versões 1 e 2 e melhores práticas atuais para a gestão de serviços de TI. 3) PMBOK Project Management Body Of Knowledge O Project Management Body of Knowledge - PMBOK (2004), elaborado pelo Project Management Institute (PMI), é um conjunto de conhecimentos em gestão de projetos amplamente reconhecidos como boas práticas. Não se trata de uma metodologia, mas de uma visão geral sobre a correta aplicação de habilidades, ferramentas e técnicas que pode aumentar a chance de sucesso dos projetos.
11 4) ABNT NBR ISO/IEC 27001:2006 Sob o título de Tecnologia da informação - Técnicas de segurança - Sistemas de gestão de segurança da informação Requisitos, esta norma é a tradução literal da norma ISO/IEC que especifica os requisitos para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto dos riscos de negócio globais da organização. 5) ABNT NBR ISO/IEC Sob o título de Tecnologia da informação - Técnicas de segurança - Código de prática para a gestão da segurança da informação, esta norma é a tradução literal da ISO/IEC 17799:2005 (atualmente ISO/IEC 27002) e estabelece diretrizes e princípios gerais para iniciar, implementar, manter e melhorar a gestão de segurança da informação em uma organização. Os objetivos definidos provêem diretrizes gerais sobre as metas geralmente aceitas para a gestão da segurança da informação. 6) CMMI Capability Maturity Model Integration O CMMI foi criado em 2002 pelo Software Engineering Institute (SEI) e tem como objetivo fornecer diretrizes para a melhoria dos processos e habilidades organizacionais, com foco no gerenciamento do desenvolvimento, aquisição e manutenção de produtos e serviços. Para isso, propõe a avaliação da maturidade da organização ou da capacidade das suas áreas de processo, o estabelecimento de prioridades e a implementação de ações de melhoria. Este modelo possui duas abordagens de implementação: por estágios e contínua. Além disso, possui publicações direcionadas para disciplinas específicas: Engenharia de Software (CMMI-SW), Engenharia de Sistemas (CMMI- SE/SW), Desenvolvimento Integrado de Produto e Processo (CMMI-IPPD) e Terceirização (CMMI-SS). 7) Sarbanes-Oxley e Basiléia II A lei Sarbane-Oxley e o Acordo da Basiléia II são regulamentações internacionais com forte impacto na área de TI. A primeira atinge empresas de capital aberto e que têm ações nas bolsas de valores norte-americanas. Já a segunda atinge instituições financeiras. Motivada por escândalos financeiros corporativos, a lei Sarbanes-Oxley (também conhecida por Sarbox ou SOX) foi assinada em 30 de julho de 2002 e foi
12 redigida com o objetivo de evitar o esvaziamento dos investimentos financeiros e a fuga dos investidores, causada pela aparente insegurança a respeito da governança adequada das empresas. As seções mais importantes para a TI são a 302 e a 404, que tratam de controles internos. Já o Acordo da Basiléia II estipula requisitos de capital mínimo para as instituições financeiras, em função de seus riscos de créditos e operacionais. Do ponto de vista da governança corporativa e de TI, o Acordo Basiléia II se aplica à exigência da criação de políticas de gerenciamento de riscos para garantir total segurança, confidencialidade e integridade dos dados de clientes. 8) Normas Internacionais de Auditoria Governamental No âmbito da Auditoria Governamenta, existem três normas de auditoria desenvolvidas por organismos internacionais: 1) International Standards for the Professional Practice of Internal Auditing (ISPPIA ou Red Book) Padrões Internacionais para a Prática Profissional da Auditoria Interna pelo Instituo de Auditores Internos dos EUA. 2) International Organization of Supreme Audit Institutions (INTOSAI) Organização Internacional de Instituições Superiores de Auditoria. O INTOSAI foi fundado em 1953 e congrega atualmente 170 entidades em todo o mundo. A estrutura geral das normas de auditoria da INTOSAI baseou-se nas Declarações de Lima e de Tóquio, nas declarações e relatórios aprovados pela INTOSAI em vários Congressos e no relatório do Grupo de Especialistas em Contabilidade e Auditorias Públicas dos países em desenvolvimento junto às Nações Unidas. 3) Generally Accepted Government Auditing Standards (GAGAS ou Yellow Book) Padrões de Auditoria Governamental aceitos, editado pelo Controlador-Geral dos EUA, executivo máximo do GAD (Government Accountability Office). 6.2 Procedimentos Para a realização desse trabalho, inicialmente, será feita uma revisão de literatura. Em seguida, serão elaborados/aplicados questionários, por meio de entrevistas e/ou mensagens eletrônicas. Por fim, esses dados serão analisados e tabulados para embasar o modelo proposto.
13 7. CRONOGRAMA Etapa/mês Jul Ago Set Out Nov Revisão da literatura Entrevistas Tabulação dos dados Análise e interpretação dos dados Redação do trabalho final 8. BIBLIOGRAFIA ABNT. NBR ISO/IEC 17799:2005: Tecnologia da Informação Técnicas de segurança Código de Prática para a gestão da segurança da informação. Rio de Janeiro, Associação Brasileira de Normas Técnicas, DIAS, C. Segurança e auditoria da tecnologia da informação. Rio de Janeiro, Axcel Books, Generally Accepted Government Auditing Standards (GAGAS/Yellow Book) US version only Atlas, IMONIANA, J.O. Auditoria de Sistemas de Informação, São Paulo, Editora IT GOVERNANCE INSTITUTE, COBIT 4.1, Rolling Meadows, OCG, Introduction to PRINCE2, Office of Government Commerce, Página de padrões e normas da ISACA (http://www.isaca.org/standards) Página do Portal da Transparência (http://www.portaltransparencia.gov.br/).
14 Página Oficial do CMMI no sítio do Software Engineering Institute/Carnegie Mellon University (http://www.sei.cmu.edu/cmmi). Página oficial do ITIL no sítio do OGC Office Government Commerce (http://www.itil.co.uk). Página sobre Auditoria Governamental (http://www.governmentauditors.org). PINHEIRO, P.P. Direito Digital, Editora Saraiva, São Paulo, 2ª Edição, PMI. A guide to the Project Management Body of Knowledge, Newton Square, third edition, REMYRECH,R. Controle interno na administração pública, 2005 SOFTEX. MPS.BR Melhoria de Processo do Software Brasileiro Guia Geral, Versão 1.2, TRIBUNAL DE CONTAS DA UNIÃO, Manual de Auditoria de Sistemas, 1998.