A lei SOX e suas implicações

O Sarbanes-Oxley Act se trata de uma lei criada em 2002 por dois senadores americanos, conhecida como lei SOX, teve como motivadores os escândalos financeiros que aconteceram em companhias abertas nos Estados Unidos que abalaram o mercado de capitais.

O objetivo da lei SOX é restabelecer a confiança dos investidores através do reforço de práticas de Governança Corporativa de forma que haja uma proteção contra fraudes. Assim, devem se adequar às exigências da lei SOX, todas as organizações com ações nas bolsas e suas subsidiárias.

Para atingir seu objetivo, a lei Sox estabelece que devemos documentar os procedimentos financeiros e que se apliquem controles rígidos nas operações relacionadas ao financeiro. Também determina que deve haver transparência nas decisões e punições severas em caso de irregularidades.

Essas determinações fizeram com que a Stock Exchange Commission - SEC, autoridade reguladora do mercado de capitais norte-americanos, que equivale à nossa Comissão de Valores Mobiliários (CVM), a estabelecer regras para implantar a lei SOX. Essas regras impactam diretamente a Governança Corporativa e consequentemente a Governança de TI.

A SEC incluiu guias para a elaboração de relatórios financeiros pelos CEO (Chief Executive Officer - Diretor/Presidente de uma empresa) e o CFO (Chief Financial Officer - diretor de finanças de uma empresa). Para definir as regras que incluem esses guias, foi criado o Public Company Accounting Oversight Board, uma organização não governamental dedicada a utilizar da lei para criar normas.

O Sarbanes-Oxley Act é composto por títulos e seções, sendo as seções 302 e 404 as de maior importância para a TI.

A seção 302 especifica que o CEO e o CFO devem declarar pessoalmente sua responsabilidade pela divulgação das demonstrações financeiras, sem nenhum tipo de omissão ou declaração falsa. Determina ainda que eles são responsáveis por manter e estabelecer os controles e procedimentos de emissão dos relatórios, além de realizar os controles internos de tais relatórios.

A seção 404 determina que a administração tem a responsabilidade de estabelecer e manter a estrutura de controle interno e procedimentos de relatórios financeiros de forma adequada. Também determina a necessidade de uma auditoria externa que deve emitir relatório próprio para avaliar a efetividade do sistema de controle feito pela administração.

Como todos os processos de negócio geram fatos contábeis e financeiros que originam as informações financeiras e resultados, podendo ser automatizados ou não, esses requisitos da lei SOX afetam a TI de forma significativa. Quando pensamos na SOX devemos levar em conta que todos os sistemas transacionais de uma empresa envolvem valores e devem ser considerados.

A TI na sua colaboração com o sistema de controle interno, além de possuir funções ativas dentro da Governança Corporativa, é um elemento de fonte de risco para o atendimento à SOX. Por isso existe o impacto na Governança de TI nos aspectos de que o Plano de Tecnologia de Informação deve tratar de questões relativas a SOX, como também se deve aplicar novos controles, implantar novas aplicações, ajustar e melhorar os processos de TI, projetar e implantar novos processos de TI, implantar novos indicadores de desempenho, monitorar constantemente os riscos de TI e, realizar as prováveis mudanças na estrutura organizacional de Ti, tudo para que se esteja de acordo com a SOX.

Isso nos faz colocar o CIO (Chief Information Officer - Responsável pela TI) como peça fundamental para que a empresa esteja ajustada a SOX, sendo figura ativa do projeto de adequação.