Controles de Acesso no ERP: Guia para Líderes de TI

Alguém no financeiro consegue aprovar suas próprias ordens de compra. Um vendedor tem acesso ao histórico de pagamentos de todos os clientes. Um gerente de projetos saiu há seis meses, e a conta dele ainda tem acesso administrativo completo. Se alguma dessas situações parece familiar, os controles de acesso do seu ERP já não correspondem ao que foi configurado na implantação, e a distância só aumenta.

A maioria das empresas de médio porte configura as permissões do ERP durante a implantação, marca a tarefa como concluída e nunca mais volta ao assunto. Com o tempo, perfis acumulam privilégios desnecessários, novos funcionários herdam permissões copiadas de quem foi contratado antes deles, e acessos temporários viram permanentes. Ninguém sabe ao certo quem pode fazer o quê, e ninguém quer mexer nisso com medo de quebrar alguma coisa.

Por que as permissões do ERP desandam após o go-live

O descontrole de permissões não é falta de disciplina. É consequência previsível de como empresas de médio porte operam no dia a dia.

Durante a implantação, o fornecedor ou parceiro do ERP monta uma estrutura de perfis organizada. Financeiro recebe permissões financeiras. Operações recebe permissões operacionais. Faz sentido no papel. Depois a rotina começa.

Pessoas mudam de função sem mudar de permissão. Quando alguém sai do contas a pagar para o contas a receber, recebe novos acessos. Os antigos raramente são removidos. Depois de duas ou três mudanças de função, essa pessoa tem permissões espalhadas por metade do sistema.

Gestores pedem acesso com urgência. Um prazo aperta, e o gestor precisa que alguém rode um relatório que não consegue acessar. A TI libera. O prazo passa. O acesso fica. Multiplique isso por dezenas de pedidos por trimestre, e o resultado é um acúmulo de permissões que ninguém monitora.

Cópias de perfis agravam o problema. Quando um novo funcionário entra, a TI frequentemente copia o perfil de alguém que já está na equipe. Se essa pessoa acumulou permissões extras ao longo de três anos, o recém-chegado herda tudo no primeiro dia. Segundo um estudo do Ponemon Institute de 2024 sobre governança de acessos, 53% das organizações possuem mais privilégios de acesso provisionados do que suas políticas permitem, em grande parte por esse padrão de copiar e acumular.

Ninguém é dono da revisão contínua de acessos. Parceiros de implantação vão embora. A TI interna é absorvida por chamados de suporte e infraestrutura. Revisões de controle de acesso não geram receita nem resolvem problemas visíveis, então ficam na fila até uma auditoria forçar a questão.

O custo real de permissões frouxas no ERP

Gestão ruim de acessos no ERP não é apenas uma questão de higiene de TI. O risco para o negócio aparece de três formas concretas.

Exposição financeira por falhas na segregação de funções. Segregação de funções (SoD) significa que nenhuma pessoa deve poder iniciar e aprovar uma transação financeira sozinha. Quando as permissões do ERP desandam, violações de SoD se multiplicam. Alguém que pode cadastrar um fornecedor e aprovar pagamentos para esse fornecedor pode cometer fraude sem envolver ninguém mais. Segundo o Relatório para as Nações 2024 da Association of Certified Fraud Examiners, a perda mediana por fraude ocupacional é de US$ 145.000 por caso, e controles internos inadequados são fator contribuinte em 32% dos casos.

Falhas em auditoria e risco de compliance. Auditores externos testam os controles de acesso do ERP durante auditorias financeiras. Violações de SoD, contas órfãs (de ex-funcionários) e privilégios administrativos excessivos são achados comuns. Cada achado exige remediação, atrasa a auditoria e pode resultar em ressalvas que afetam a confiança de investidores e credores.

Interrupções operacionais por mudanças acidentais. Quando pessoas demais têm permissão de escrita em dados mestres (cadastros de clientes, tabelas de preços, plano de contas), mudanças acidentais acontecem. Um usuário bem-intencionado edita uma regra de precificação que não entende completamente, e faturas saem erradas por uma semana antes que alguém perceba. Temos visto esse cenário se repetir. Nosso artigo sobre dados sujos no ERP detalha o custo operacional quando a qualidade dos dados mestres se deteriora.

Como é um bom controle de acesso no ERP?

Bom controle de acesso segue um princípio fácil de enunciar e difícil de implementar: cada usuário deve ter apenas as permissões necessárias para fazer seu trabalho, e nada além disso. Esse é o princípio do menor privilégio, e vale tanto para sistemas ERP quanto para segurança de redes.

Na prática, isso significa uma estrutura de controle de acesso baseada em perfis (RBAC) com estas características:

• Perfis mapeiam funções, não pessoas. Você não cria “as permissões da Maria.” Você cria “Analista de Contas a Pagar” com um conjunto definido de capacidades, e a Maria recebe esse perfil. Quando a Maria muda de função, você troca o perfil em vez de empilhar novas permissões.

• Transações sensíveis exigem separação. Qualquer processo que envolva criar registros e aprová-los (ordens de compra, cadastro de fornecedores, lançamentos contábeis, execução de pagamentos) deve exigir dois perfis diferentes. Nenhum usuário deve acumular ambos.

• Acesso administrativo é restrito e auditado. Acesso completo de administrador do sistema deve pertencer a um número pequeno de indivíduos nomeados, não a uma conta “admin” compartilhada. Toda ação administrativa deve ser registrada e revisada periodicamente.

• Revisões de acesso acontecem em calendário fixo. Revisões trimestrais ou semestrais onde gestores de cada área verificam se os acessos de seus times ainda são adequados. Isso identifica contas órfãs, privilégios acumulados e conflitos de SoD antes dos auditores.

• Acessos temporários têm prazo de validade. Quando alguém precisa de acesso elevado para um projeto ou prazo, o acesso deve ter data de fim. Se o sistema não impõe expiração automática, o processo deve incluir um lembrete no calendário da TI para revogar.

Como auditar as permissões do ERP?

Se você nunca fez uma revisão completa de acessos, a primeira vai exigir esforço real. O processo em si, porém, é direto.

Passo 1: exporte sua matriz usuário-perfil atual. A maioria dos ERPs permite gerar um relatório mostrando cada usuário e seus perfis ou permissões atribuídas. Exporte em um formato que você consiga analisar.

Passo 2: identifique contas órfãs. Cruze sua lista de usuários com a lista de funcionários ativos do RH. Qualquer conta do ERP sem correspondência com um funcionário ativo é desabilitada imediatamente. Só isso costuma eliminar 10-15% das contas ativas em empresas de médio porte.

Passo 3: identifique conflitos de SoD. Mapeie quais permissões são incompatíveis (cadastrar fornecedor + aprovar pagamento, criar ordem de compra + receber mercadoria, criar lançamento contábil + contabilizar lançamento). Depois verifique quais usuários possuem pares conflitantes. É aqui que a maioria das empresas descobre as maiores surpresas.

Passo 4: revise contas administrativas e de superusuário. Liste toda conta com acesso de administrador do sistema ou acesso irrestrito. Questione cada uma. Essa pessoa precisa de acesso completo, ou um perfil mais limitado cobriria o trabalho real dela? Na nossa experiência, empresas de médio porte tipicamente têm de três a cinco vezes mais contas administrativas do que precisam.

Passo 5: valide com os gestores de cada área. Envie a cada gestor a lista dos perfis de ERP de sua equipe e pergunte: “Isso corresponde ao que cada pessoa realmente precisa fazer?” Gestores frequentemente descobrem que ex-membros da equipe ainda têm acesso, ou que membros atuais têm permissões para tarefas que nunca executam.

Passo 6: documente e corrija. Para cada achado, documente o que precisa mudar e defina um prazo. Priorize violações de SoD e contas órfãs primeiro, depois avance pelas permissões excessivas em ordem de risco.

Construindo um processo de controle de acesso que escala

Uma limpeza pontual tem valor, mas é temporária. Sem processo, as permissões voltam a desandar em menos de um ano. Um programa sustentável para equipes de TI de médio porte tem cinco componentes.

Padronize templates de perfis. Defina um perfil para cada função na organização. Documente exatamente o que cada perfil pode e não pode fazer. Quando alguém entra ou muda de função, recebe o template padrão, sem cópias de usuários existentes.

Integre com os processos do RH. Quando o RH processa um desligamento, a TI desabilita a conta do ERP no mesmo dia. Quando o RH processa uma mudança de função, a TI troca o perfil do ERP dentro de um SLA definido. Isso exige um fluxo formal entre RH e TI que muitas empresas de médio porte ainda não têm.

Automatize o que puder. Se seu ERP suporta revisões automáticas de acesso, desprovisionamento agendado ou detecção de conflitos de SoD, use esses recursos. Se não suporta, construa um processo manual com evento recorrente no calendário e um checklist. A pesquisa de governança de identidades do Ponemon Institute de 2024 constatou que organizações com gestão automatizada do ciclo de vida de identidades gastam 40% menos tempo em compliance relacionado a acessos do que aquelas que dependem de processos manuais.

Torne as solicitações de acesso auditáveis. Toda mudança de permissão deve ser solicitada, aprovada e registrada. Não precisa de um sistema de chamados. Uma planilha compartilhada com colunas para solicitante, aprovador, data, descrição da mudança e justificativa já é melhor que nada. Um sistema de chamados é melhor ainda.

Faça revisões trimestrais. Uma vez por trimestre, exporte a matriz usuário-perfil, verifique anomalias e envie pedidos de validação aos gestores. A primeira revisão leva horas. Depois disso, leva menos de uma hora por trimestre porque você está revisando apenas as mudanças desde a última revisão.

Restringir ao máximo ou manter flexibilidade?

Todo líder de TI enfrenta esse dilema. Restringir demais transforma você em gargalo; liberar demais significa aceitar riscos que talvez você nem conheça. O ponto ideal depende do tipo de transação.

Restrinja com rigor: transações financeiras, alterações em dados mestres, configuração do sistema, gestão de usuários. São ações de alto impacto e baixa frequência, onde o custo de um erro ou uso indevido é alto.

Permita mais flexibilidade: acesso somente leitura a relatórios, dashboards e dados operacionais. A maioria dos usuários precisa ver mais do que precisa alterar. Dar amplo acesso de leitura com escrita restrita atende a maioria das necessidades diárias sem criar risco.

Use fluxos de aprovação em vez de bloqueios para a zona cinzenta. Algumas tarefas (como ajustar o orçamento de um projeto ou alterar o limite de crédito de um cliente) precisam acontecer rápido, mas também precisam de supervisão. Em vez de bloquear o acesso completamente, permita que o usuário inicie a ação, mas exija que uma segunda pessoa aprove. Isso mantém o trabalho fluindo sem abrir mão do controle.

O objetivo é um sistema onde o trabalho rotineiro flui sem atrito, ações sensíveis têm proteções, e você consegue responder “quem fez o quê e quando” a qualquer momento. Não um bloqueio que force as pessoas a trabalhar por fora.

Perguntas Frequentes

O que é o princípio do menor privilégio em sistemas ERP?

O princípio do menor privilégio significa que cada usuário recebe apenas as permissões necessárias para executar sua função específica. Isso reduz o risco de alterações acidentais, fraudes e violações de compliance ao garantir que pessoas não consigam acessar ou modificar coisas fora de suas responsabilidades.

Com que frequência se deve revisar os controles de acesso do ERP?

A maioria das organizações se beneficia de revisões trimestrais, com revisões imediatas disparadas por desligamentos ou mudanças de função. A primeira revisão completa exige esforço significativo, mas as revisões trimestrais seguintes são mais rápidas porque você está verificando apenas as mudanças desde o último ciclo.

O que é segregação de funções no ERP?

Segregação de funções (SoD) garante que nenhuma pessoa consiga iniciar e concluir uma transação sensível sozinha, como cadastrar um fornecedor e aprovar pagamentos para esse fornecedor. Controles de SoD previnem fraudes e erros ao exigir pelo menos duas pessoas para concluir processos de alto risco.

O que são contas órfãs em sistemas ERP?

Contas órfãs são perfis de usuário do ERP que pertencem a pessoas que não trabalham mais na organização ou que não precisam mais de acesso. Essas contas representam risco de segurança porque podem ser usadas para acessar o sistema sem detecção. O cruzamento regular das contas do ERP com os registros do RH identifica essas contas.

Como corrigir o acúmulo de permissões no ERP?

Comece exportando sua matriz atual de usuário-permissão e cruzando com funcionários ativos e templates de perfis definidos. Desabilite contas órfãs, resolva conflitos de segregação de funções e reduza acessos administrativos apenas a quem realmente precisa. Depois construa um processo recorrente de revisão para que as permissões não voltem a se acumular.

Como o Tier2 Keel gerencia acessos e permissões

Os desafios de controle de acesso discutidos aqui frequentemente nascem em ERPs onde as permissões são configuradas uma vez durante a implantação e depois ficam acumulando. O Tier2 Keel incorpora controle de acesso baseado em perfis no coração do seu fluxo de trabalho, com controle granular sobre o que cada usuário pode ver, criar, editar e aprovar em todo o processo de negócio, de leads até faturamento e liquidação.

Como o Keel opera como um fluxo de trabalho conectado, e não como uma coleção de módulos separados, mudanças de permissão se propagam de forma consistente. Quando você ajusta o acesso de um perfil à gestão de projetos, as permissões relacionadas de faturamento e relatórios se atualizam em sincronia. Isso reduz a distância entre o acesso pretendido e o acesso real que causa violações de SoD em ERPs tradicionais.

Veja como o Keel gerencia acessos ou agende uma demonstração.

Se os controles de acesso do seu ERP não foram revisados desde o go-live, o relógio da auditoria já está correndo. Exporte sua lista de usuários esta semana, cruze com o RH e conte as contas órfãs. Esse número sozinho vai fazer um caso mais forte por um processo estruturado de revisão do que qualquer documento de política.