Quando uma auditoria de TI chega ao Oracle EBS, a conversa raramente começa pela tecnologia. Começa por uma lista de evidências: quem tem acesso a quê, quem aprovou uma mudança, onde está o registro de uma alteração em dado financeiro. Chegar a essa reunião com as respostas organizadas muda o clima da auditoria, e este artigo reúne o que um auditor costuma cobrar em um ambiente EBS e como se preparar.
O que o auditor procura
O auditor trabalha com evidência, e a declaração de que o controle existe não basta. Ele pede o relatório, o log, o ticket e a aprovação, geralmente por amostragem e ao longo de um período, para verificar se o controle funciona de forma recorrente e não apenas no dia da revisão. O referencial muda conforme a empresa, seja SOX, ISO 27001, LGPD ou uma política interna baseada em COBIT, mas os controles pedidos em um ERP se repetem de um para outro.
Checklist de controles no Oracle EBS
1. Gestão de acessos. Lista de usuários ativos com as responsabilidades de cada um, contas de pessoas desligadas que seguem ativas, contas genéricas ou compartilhadas e revisão periódica de acessos assinada pelo gestor da área. Usuário inativo com acesso ativo costuma ser o primeiro achado de uma auditoria, e é também um dos mais simples de corrigir.
2. Segregação de funções. Uma matriz com as combinações que não podem coexistir na mesma pessoa, como cadastrar fornecedor e aprovar pagamento, ou criar pedido de compra e receber o material. Responsabilidades customizadas costumam esconder conflitos, e por isso a análise parte das funções liberadas e não do nome da responsabilidade.
3. Acessos privilegiados. Contas de administração do aplicativo, do banco de dados e do sistema operacional, com a indicação de quem as utiliza, como o uso é registrado e quando a senha foi trocada pela última vez. Contas de integração e de serviço entram aqui, porque raramente têm um responsável definido.
4. Trilha de auditoria. Registro de login e auditoria de alteração nas tabelas críticas, como fornecedores, contas bancárias, cadastro de itens e parâmetros de impostos. O auditor pergunta quem alterou, quando e qual era o valor anterior, e também por quanto tempo esses registros ficam guardados.
5. Gestão de mudanças. Customizações e patches passam por um fluxo com solicitação, aprovação, teste e registro de quem colocou em produção, com ambientes de desenvolvimento, teste e produção separados e acessos diferentes em cada um.
6. Patches e vulnerabilidades. A cadência de aplicação das atualizações de segurança da Oracle, a evidência de cada aplicação e a justificativa documentada para o que ficou de fora. Os comunicados da Oracle indicam que parte da exposição do EBS depende das versões de banco de dados e de middleware, e por isso o inventário precisa incluir as três camadas. Os alertas de segurança emergenciais publicados para o EBS em 2025 mostraram que o intervalo entre a divulgação de uma falha e a tentativa de exploração pode ser curto, o que leva a duas perguntas de auditoria: quão rápido a empresa avalia um alerta e onde fica o registro dessa decisão.
7. Exposição externa. Quais módulos estão acessíveis pela internet, por qual caminho (balanceador, proxy reverso, firewall de aplicação) e quem monitora esse acesso. Portais de autoatendimento e de fornecedores merecem atenção especial.
8. Backup e recuperação. A rotina, a retenção e, principalmente, o teste de restauração com evidência. O auditor pergunta quando foi o último teste, e a existência do backup é apenas o ponto de partida da conversa.
9. Dados pessoais e LGPD. Um mapa de onde há dados pessoais no ambiente (RH, fornecedores pessoa física, clientes), quem acessa e o que acontece com esses dados quando a base de produção é copiada para teste. Ambiente de teste com dado real e sem mascaramento é um achado frequente.
Como se preparar em quatro passos
- Reunir as evidências dos nove pontos: relatórios do EBS e do banco, tickets de mudança, atas de revisão de acesso.
- Classificar as lacunas por risco e por esforço, começando pelas de correção rápida, como contas inativas e senhas de contas privilegiadas.
- Definir um responsável e uma frequência de revisão para cada controle, de modo que a evidência passe a ser gerada na rotina.
- Ensaiar a auditoria. Pedir que alguém de fora da equipe solicite as evidências exatamente como o auditor faria mostra o que ainda falta antes da reunião de verdade.
O que ter em mãos na primeira reunião
- Matriz de acessos e de segregação de funções.
- Lista de contas privilegiadas e de integração, com responsável.
- Relatório de alterações nas tabelas críticas.
- Registro de patches aplicados e das exceções justificadas.
- Evidência do último teste de restauração de backup.
- Mapa de dados pessoais e regra de mascaramento para ambientes de teste.
- Fluxo de mudanças com exemplos recentes de ponta a ponta.
Em ambientes de médio porte, reunir esse material costuma levar poucas semanas, e fazê-lo antes de a auditoria ser marcada deixa a equipe com margem para corrigir o que aparecer.
Como a Bertini apoia
A Bertini sustenta ambientes Oracle EBS, Oracle Cloud e JD Edwards desde 1995. O ponto de partida é o diagnóstico do ambiente, com levantamento de customizações, integrações e histórico de chamados, entregue em um relatório com os achados priorizados. Esse levantamento serve de base para organizar as evidências que a auditoria pede.
Se uma auditoria está no calendário da sua empresa, fale com a gente pelo site e vamos olhar o ambiente antes da primeira reunião.