Este documento expõe o referencial normativo, o critério de calibração de pesos, a lógica dos vereditos e as limitações conhecidas da ferramenta. Use como base para discutir scoping com sua auditoria externa e para defender as decisões tomadas a partir do resultado.
Os pesos e a lógica refletem práticas Big4 públicas calibradas pelos seguintes referenciais. A calculadora não inventa critérios — ela operacionaliza a leitura comum dessas normas para o caso de scoping de aplicações.
An Audit of Internal Control Over Financial Reporting That Is Integrated with An Audit of Financial Statements. Define a abordagem top-down risk-based: começar pelas DFs, identificar significant accounts, percorrer processos significativos e chegar às aplicações que os suportam.
Estrutura conceitual de controles internos em 5 componentes (Control Environment, Risk Assessment, Control Activities, Information & Communication, Monitoring) e 17 princípios. Base da avaliação qualitativa de RMM e de design effectiveness dos controles.
Obrigação dos emissores listados nos EUA (incluindo dual listing) de avaliar e reportar a eficácia dos controles internos sobre relatórios financeiros (ICFR), com atestado da auditoria externa para emissores acelerados.
Framework de governança e gestão de TI. Mapeia objetivos de governança em 40 processos. Usado para escopar ITGC: Access Management, Change Management, IT Operations, SDLC, terceiros.
Relatórios de auditoria sobre os controles internos de fornecedores de serviço (SaaS, BPO). SOC 1 Type II cobre design e operação em um período. Sem SOC 1, o cliente precisa de complementary user entity controls (CUEC) fortes.
Publicações públicas dos quatro principais auditores sobre ICFR scoping, RMM thresholds, materiality benchmarks, ITGC reliance. A calculadora reflete a interseção dessas práticas com calibração conservadora.
O auditor externo não testa todas as aplicações da empresa. Ele parte do que é material nas demonstrações financeiras e desce até os sistemas que sustentam aquele número. Esse é o approach top-down risk-based do PCAOB AS 2201.
A calculadora segue esse caminho:
O total consolidado e os gates determinam o veredito final: Out / Dependency / Limited / Borderline / Key.
Q1 — Nexo com DFs. Direto (gera lançamentos) = +10; Indireto (alimenta sistema em escopo) = +5; Sem impacto = 0. Q2 — Processos significativos. Receita / Tesouraria / Crédito / Fechamento = +2 cada; Compras / Folha / Estoques / Impostos = +1 cada. Cap em 5 pontos. Sem nexo com nenhum processo significativo e Q1 = "não" dispara veredito Out direto.
Q3 — Volume vs materialidade. Acima de 100% = +10; 50-100% = +7; 25-50% = +4; abaixo de 25% = +1; "não sei" = +3 (e dispara borderline). Quando o respondente não conhece a materialidade definida pela auditoria, a calculadora bifurca: pede volume absoluto da aplicação em R$ e a receita líquida da empresa, calcula proxy de ~1% da receita e mapeia a razão volume/materialidade-estimada nas mesmas faixas. Q4 — Volume transacional. Alto = +4; Médio = +2; Baixo = 0.
Q5 — Complexidade dos cálculos. Alto/Médio/Baixo = +4/+2/0. Q6 — Julgamento contábil. Mesmo padrão. Q7 — Histórico recente de incidentes ou ajustes. Sim = +4; Não sei = +1. Q8 — Tipo de aplicação. Custom/in-house = +4; COTS+custom = +2; COTS padrão = 0. Q9 — Hospedagem. SaaS sem SOC 1 = +3; On-prem / IaaS = +1; SaaS com SOC 1 = 0. Q15 — First-year SOx. Primeira avaliação = +2; já passou em ciclos = 0. Q16 — Fechamento crítico. Uso predominante em hard close = +1.
Q10 — ITAC. Sim = +4. Q11 — IPE / Key Reports. Sim = +3. Q12 — SoD com enforce técnico. Sim = +3. Q13 — Integração com sistema em escopo. Sim = +3. Q14 — Redutor de escopo (controle compensatório). Forte = −4; Frágil = −1; Não há = +2. Aplicações com redutor forte e documentado podem ter ITGC reduzido — daí a única pontuação negativa do modelo.
"Não sei" em qualquer pergunta crítica vale +1 (incerteza vira risco) e reduz a confiança do veredito final.
Os pesos foram calibrados a partir de três fontes triangulares:
| Threshold | Critério | Valor |
|---|---|---|
| Out | Total < 18 e sem gate intermediário ativado | < 18 |
| Limited | Total entre 18 e 31 | 18–31 |
| Key (a) | Total ≥ 32 (regra principal) | ≥ 32 |
| Key (b) | Bypass: B2 ≥ 8 ∧ ITAC + IPE ≥ 4 | bypass |
| Borderline | Q3 = "não sei" OU (B2 < 4 com histórico ou customização ≥ 2) | gate |
| Dependency | Q1 = "indireto" ∧ Q13 = "sim" | gate |
"Borderline" é um veredito intencionalmente ambíguo — sinaliza que o gate de incerteza disparou e a discussão com auditoria é mandatória. Mas o quanto a aplicação está perto de cada destino possível varia. Por isso, três sublabels:
Em todos os três casos, o memorando exportado pela calculadora documenta o gate disparado e oferece um template de email para iniciar a conversa com a auditoria.
Em empresas pre-IPO, dual listing em primeiro ano, ou cenários onde a materialidade ainda não foi calculada pela auditoria, a calculadora oferece um caminho alternativo: proxy de ~1% da receita líquida. Esta é uma rule of thumb historicamente usada em prática Big4 como ponto de partida conservador.
O fluxo:
Pra preservar honestidade epistêmica, listamos o que a ferramenta não faz — situações em que ela deve ser complementada por análise qualitativa adicional ou conversa direta com a auditoria.
Quando qualquer um desses fatores estiver presente, recomendamos levar o veredito da calculadora como input para a discussão com auditoria, não como output da decisão final. O botão "📧 Preparar conversa com auditoria" no memorando ajuda a operacionalizar isso.
Esta ferramenta aplica heurísticas baseadas em metodologias públicas e práticas Big4 consolidadas. Não substitui o julgamento profissional da auditoria externa, do Comitê de Auditoria, do CFO ou de profissionais qualificados em ICFR e SOx.
O escopo final SOx de uma aplicação é determinação conjunta da empresa, comitê de auditoria e auditoria externa. Use o resultado da calculadora como insumo estruturado, defensável e auditável, mas não como decisão isolada.
Os autores da ferramenta não assumem responsabilidade por decisões de scoping tomadas exclusivamente com base no resultado da calculadora. Recomenda-se sempre validar com auditoria externa qualificada antes de fechar escopo ou excluir aplicações do programa SOx.
Última atualização desta página: versão V2 (16 de maio de 2026). Conforme a ferramenta evolui, esta metodologia pode ser revisada. Acompanhe o changelog em Tier 1 · Tier 2 · Tier 3.
Abra a calculadora e rode sua aplicação. O memorando exportado fundamenta as decisões com base nesta metodologia.