Dos acessos à governança integrada.

Etapa 1: Acessos e Segregação de Funções

• Levantamento de perfis, papéis (roles) e transações atribuídas a cada usuário no ambiente SAP/ERP.
• Identificação de conflitos de SoD: acessos incompatíveis que permitem a uma mesma pessoa executar etapas críticas de um mesmo processo, como cadastrar fornecedor e aprovar pagamento.
• Delimitação do universo de usuários ativos, inativos e privilegiados, incluindo acessos de emergência (Firefighter).
• Ponto de partida da metodologia: entender "quem pode fazer o quê" antes de avaliar o que de fato é feito.

Etapa 2: Riscos Latentes

• Análise de logs nativos do sistema (ex.: SM20 e demais trilhas de auditoria) para reconstruir o histórico de eventos.
• Comparação entre o que o usuário está autorizado a fazer (acesso) e o que efetivamente executou (uso).
• Identificação de padrões atípicos de utilização e de transações sensíveis efetivamente disparadas.
• Construção de uma trilha temporal de eventos, que sustenta e dá evidência às etapas seguintes.

Etapa 3: Riscos Materializados

• Análise de tabelas padrão de registro financeiro (lançamentos, pagamentos, faturamento).
• Cruzamento com os cadastros de clientes, fornecedores e empregados mantidos no próprio sistema.
• Validação da consistência entre o que foi acessado (Etapa 1), o que foi usado (Etapa 2) e o que efetivamente foi registrado.
• Formação da base factual e auditável que sustenta o diagnóstico dos demais passos de trabalho.

Etapa 4: Decisão e Ação

• Consolidação dos achados das três etapas anteriores (acessos, uso e riscos) em um diagnóstico único.
• Classificação dos resultados em duas frentes: oportunidades de melhoria de processo e ameaças que demandam tratamento.
• Priorização por criticidade, materialidade e recorrência dos pontos levantados.
• Este diagnóstico direciona qual caminho de tratamento, preventivo ou reativo, é o mais adequado a cada achado.

Etapa 5: Tratamento