Dúvida pontual: a TI interna criou um desenvolvimento complementar, uma regra própria, para um caso especial no ambiente do GUEPARDO Tax. Não existe comitê nem registro de aprovação. Como auditor, olha, minha dica para quem passa por isso é perguntar cedo, e por isso pergunto: quem deve aprovar uma regra programada pela própria empresa, e o que precisa ficar registrado para eu conseguir auditar depois?
Atualização:
Obrigado a todos. Vou montar a ficha com os campos do Eduardo e levar a classificação por risco do Wagner para a auditoria. A separação entre quem escreve e quem libera é o ponto que mais faltava aqui. Pergunta de seguimento: a regra que já está em produção sem ficha entra no inventário como está, ou precisa ser retestada antes?