Oi, pessoal, tudo bem? A área de controles internos está revisando a matriz de riscos e não sabe como tratar o GUEPARDO Tax: se é parte do SAP, se é um sistema à parte, quais riscos entram.
Acabei de assumir a área, vindo de mineração, e preciso levar uma proposta como gestora. E aí, uma ressalva: não quero inventar risco que não existe nem deixar escapar o que existe. Como organizar os riscos e controles do add-on de um jeito que a auditoria reconheça?
Atualização:
Obrigada. Vou propor a matriz por processo, com o add-on tratado como parte do ambiente SAP, três riscos (extensões, atualização e acesso) e o dado mestre com dono na área fiscal.
Uma dúvida para a auditoria: que evidência de cada controle eu guardo para mostrar que funcionou no mês, e onde?