Arquitetura de TI para Auditoria Contínua

1. Arquitetura de TI para Auditoria Contínua 04 de Junho de 2009

2. Recentemente, a IBM publicou o seu CEO Study. Nele, mapeamos as principais forças que impactam as instituições financeiras As forças que impactam as instituições financeiras constituem um grande leque de oportunidades de otimização de recursos e expansão de mercado, porém alguns obstáculos ainda permanecem. • A crise financeira internacional confirma a percepção dos CEOs que as forças de mercado continuam a ser um fator crítico de impacto para os bancos • Regulamentações e complience continuam a crescer em sofisticação e complexidade levando a pressão de adaptabilidade dos sistemas de gestão • Atrair os recursos corretos continua a ser um fator crítico de sucesso • A tecnologia ainda é um fator importante de diferenciação As preocupações com aspectos regulatórios continuam na pauta dos CEO de grandes empresas Source: IBM Global CEO Study 2008; n (Banking) = 128MarketSight Category Name / Analysis Name: Hungry for Change / Q1 Frequency; 2008 Global CEO Study

3. Recently IBM published the CEO Study 2008 showing the main external forces impacting financial institutions The forces of change impacting banks constitute a huge potential opportunity to expand markets and optimize resources, although constraints remain • Recent issues in the sub-prime mortgage sector confirm CEO perceptions that market forces remain a critical factor impacting banks • Regulation and compliance continues to increase in sophistication and complexity, putting pressure on banks to adapt and expand management systems • Attracting and retaining specialized skills remains a key issue for many banks • Technology continues to evolve as both a key competitive differentiator or a key constraint • Many of the most important innovations in banking over recent years have been driven by flexible technologies • However many banks experience limited ability to innovate due to inflexible legacy systems Many banks continue to be constrained in their ability to leverage change to drive growth and shareholder value Source: IBM Global CEO Study 2008; n (Banking) = 128MarketSight Category Name / Analysis Name: Hungry for Change / Q1 Frequency; 2008 Global CEO Study

4. Conseqüentemente, a mesma evolução de desafios é vista nos aspectos regulatórios. A sociedade e os acionistas pedem mais velocidade Seção 302 Voltando ao “básico”…foco em controles, integridade de informações, relatórios certificados e accountability.Nenhum requerimento de melhoras operacionais significativas. Seção 404 Indo além do “Básico”…melhora controlada, repetida e sustentável de performance. Melhora na capacidade de obter ganhos operacionais, construindo valores de negócio e alinhando-os com drivers da operação financeira. Sistemas integrados, relatórios on demand, fechamento rápido…etc Seção 409 Movendo-se para um novo patamar…otimizando a performance para vantagem competitiva. A velocidade de comunicação com os acionistas é cada vez mais urgente. Melhoria na visibilidade, previsibilidade e novos insights Maturidade Básica Média Evoluída Que pressupõe a existência de solução tecnológica adequada como suporte

5. Solution Outline Macro Design Micro Design Build Cycle Deployment Define Infrastructure Requirements Perform Data Repositories Build Design Logical Data Repositories Design Physical Data Repositories Perform Acceptance Testing Define Architecture Model Build Data Integration Code CreateLogical Data Integration Design CreatePhysical Data Integration Design BI Strategy and Planning Review Client Business & IT Environment Setup Production Environment Define Organization Build/Extend Analytics Components Identify Solution Areas Create Logical Anaytics Design Create Physical Anaytics Design Review Client Environment Build/Extend Access Components Define Business Solution Strategy Create Logical Access Design Create Physical Access Design Deploy Client Support Define Technical Solution Strategy Outline Solution Requirements Prepare for Testing Design Architecture Model Refine Architecture Model Outline Architecture Model Outline Application Model Develop Support Materials Cutover to Production Design Solution Plans Perform Static Testing Assess Infrastructure Impact Assess Business Impact Perform Development Testing Confirm BI Strategy and Planning Design Test Specifications Define Training and User Support Outline Solution Strategy Perform System Testing Implementation Checkpoint Build Development Environment Plan Development Solution Prototype (Optional) Plan Deployment A Auditoria Contínua, quando alavancada tecnologicamente, torna-se uma ferramenta essencial para que as empresas sigam a revolução dos modelos de negócio, com o controle necessário ao sucesso esperado Formulação Identificação de Riscos Indicadores, regras de negócio, dimensões de análise Algorítimos de controle (parâmetros de extração) Implementação da Arquitetura Monitoramento A formulação do modelo de Auditoria Contínua, sua definição de escopo e abordagem de monitoramento de riscos é um processo cíclico

6. Solution Outline Solution Outline Macro Design Macro Design Micro Design Micro Design Build Cycle Build Cycle Deployment Deployment Define Infrastructure Requirements Define Infrastructure Requirements Perform Data Repositories Build Perform Data Repositories Build Design Logical Data Repositories Design Logical Data Repositories Design Physical Data Repositories Design Physical Data Repositories Perform Acceptance Testing Perform Acceptance Testing Formulação Identificação de Riscos Define Architecture Model Define Architecture Model Build Data Integration Code Build Data Integration Code CreateLogical Data Integration Design CreateLogical Data Integration Design CreatePhysical Data Integration Design CreatePhysical Data Integration Design BI Strategy and Planning BI Strategy and Planning Review Client Business & IT Environment Review Client Business & IT Environment Setup Production Environment Setup Production Environment Indicadores, regras de negócio, dimensões de análise Algorítimos de controle (parâmetros de extração) Define Organization Define Organization Build/Extend Analytics Components Build/Extend Analytics Components Identify Solution Areas Identify Solution Areas Create Logical Anaytics Design Create Logical Anaytics Design Create Physical Anaytics Design Create Physical Anaytics Design Implementação Review Client Environment Review Client Environment Build/Extend Access Components Build/Extend Access Components Define Business Solution Strategy Define Business Solution Strategy Create Logical Access Design Create Logical Access Design Create Physical Access Design Create Physical Access Design Deploy Client Support Deploy Client Support Define Technical Solution Strategy Define Technical Solution Strategy Outline Solution Requirements Outline Solution Requirements Prepare for Testing Prepare for Testing Design Architecture Model Design Architecture Model Refine Architecture Model Refine Architecture Model Outline Architecture Model Outline Architecture Model Outline Application Model Outline Application Model Develop Support Materials Develop Support Materials Monitoramento Cutover to Production Cutover to Production Design Solution Plans Design Solution Plans Perform Static Testing Perform Static Testing Assess Infrastructure Impact Assess Infrastructure Impact Assess Business Impact Assess Business Impact Perform Development Testing Perform Development Testing Confirm BI Strategy and Planning Confirm BI Strategy and Planning Design Test Specifications Design Test Specifications Define Training and User Support Define Training and User Support Outline Solution Strategy Outline Solution Strategy Perform System Testing Perform System Testing Implementation Checkpoint Implementation Checkpoint Build Development Environment Build Development Environment Plan Development Plan Development Solution Prototype (Optional) Solution Prototype (Optional) Plan Deployment Plan Deployment Nosso objetivo é trabalhar uma arquitetura de TI que possa alavancar a Formulação realizada Método Requerimentos Gerais • Diferenciação entre tipos de demandas: Estruturadas (Acesso a informações de forma estruturada e com periodicidade fixa )e Ad hoc • Escalabilidade • Disponibilidade • Integridade / Confiabilidade • Agilidade para demandas incrementais • Utilização de ferramentas corporativas Respeitando requerimentos relevantes ao processo e com procedimentos estruturados de implementação

7. Adicionamos também, outras características na definição da arquitetura de TI que já começam a delinear a solução de arquitetura adequada ... • Segurança (ambientes de dados) • Independência na obtenção dos dados • Reutilização de Dados (resultado da rotina) • Agilidade na obtenção dos dados • Ferramentas com domínio de ambientes heterogêneos e estruturas diversas de arquivos • Capacidade de parametrização de novos critérios de filtros sobre a base gerada (flexibilidade) • Habilidade para cálculo de indicadores complexos • Funcionalidades de análise • Produção relatórios e publicações com qualidade (Painéis de Controle) • Integração do Follow-UP/Workflow com sistema de e-mail do Banco • Flexibilidade na disponibilização/publicação dos resultados • Habilidade de visão dos indicadores em diversas dimensões O desafio do modelo de TI é maximizar e equilibrar o atendimento desses requerimentos e características, conjugados à viabilidade financeira da solução

8. Quando resumimos as camadas contempladas por uma solução deBusiness Intelligence (BI) e seus papéis principais, temos o seguinte quadro INTEGRAÇÃO E TRANSFORMAÇÃO ANÁLISE CONTROLE PUBLICAÇÃO EXTRAÇÃO Seleção de campos e aplicação de filtros simples para redução do volume de dados a ser tratado Aplicação das regras de negócio de crítica, limpeza, conversão, integração, consolidação de dados e cálculo de indicadores Análise de indicadores por meio do cruzamento de suas diversas dimensões / visões Ação e Follow-up sobre os desvios identificados Monitoramento dos principais indicadores ETL gerando código em Plataforma Alta Ferramenta ETL em Plataforma Baixa Data Marts / Aplicações Analíticas Aplicação Follow-Up / Workflow Painel de Controle Que detalhamos a seguir...

9. EXTRAÇÃO INTEGRAÇÃO E TRANSFORMAÇÃO CONTROLE ANÁLISE PUBLICAÇÃO ETL gerando código em Plataforma Alta Ferramenta ETL em Plataforma Baixa Data Marts / Aplicações Analíticas Aplicação Follow-Up / Workflow Painel de Controle Baixa Plataforma Alta Plataforma A camada de extração via de regra deve ser executada em plataforma alta C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O DB2 DB2 Fonte de Dados Primários Outras fontes distribuído DB Aplicações de Negócio DW Corporativo Arq. indexados Relatórios Web, Gráficos e Painel de Controle VSAM VSAM VSAM Fontes de dados primários para alimentação da bases são os sistemas transacionais Staging Area Extração para indicadores agrupados AC Usuários de Negócios E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow Sistema FUP/ Workflow TXT TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) Considera-se a utilização de ferramenta de ETL (extraction / transformation and load) para implementação da camada de extração pela geração de código Arquivos Sequenciais • Desvios • Informações detalhadas para composição dos indicadores Arquivos TXT Usuários de Negócios Extração AD Hoc TXT Resultado Ad Hoc Bancos de dados hierárquicos Escopo Ambiente Auditoria

10. EXTRAÇÃO INTEGRAÇÃO E TRANSFORMAÇÃO CONTROLE ANÁLISE PUBLICAÇÃO ETL gerando código em Plataforma Alta Ferramenta ETL em Plataforma Baixa Data Marts / Aplicações Analíticas Aplicação Follow-Up / Workflow Painel de Controle Baixa Plataforma Alta Plataforma C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O DB2 DB2 Fonte de Dados Primários Outras fontes distribuído DB Aplicações de Negócio DW Corporativo Arq. indexados A camada de extração de dados gera um conjunto de arquivos-texto com dados selecionados para processamento a partir das fontes de dados primários Relatórios Web, Gráficos e Painel de Controle VSAM VSAM VSAM Staging Area Extração para indicadores agrupados AC Usuários de Negócios E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow No momento da extração não é aplicada nenhuma regra de negócio; trata-se apenas de seleção de campos e aplicação de filtros simples para enxugar os volumes de dados a serem trabalhados pelas etapas seguintes do processo Sistema FUP/ Workflow TXT TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) Arquivos Sequenciais • Desvios • Informações detalhadas para composição dos indicadores Arquivos TXT Usuários de Negócios Extração AD Hoc TXT Resultado Ad Hoc Bancos de dados hierárquicos Escopo Ambiente Auditoria

11. INTEGRAÇÃO E TRANSFORMAÇÃO EXTRAÇÃO CONTROLE ANÁLISE PUBLICAÇÃO ETL gerando código em Plataforma Alta Ferramenta ETL em Plataforma Baixa Data Marts / Aplicações Analíticas Aplicação Follow-Up / Workflow Painel de Controle Baixa Plataforma Alta Plataforma C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O As camadas de integração e transformação são geradas por meio do “engine transformation” da ferramenta ETL DB2 DB2 Fonte de Dados Primários Outras fontes distribuído DB Aplicações de Negócio DW Corporativo Arq. indexados Relatórios Web, Gráficos e Painel de Controle VSAM VSAM VSAM Staging Area Extração para indicadores agrupados AC Usuários de Negócios As camadas de integração e transformação de dados são desenvolvidas com base nas regras de negócio E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow Sistema FUP/ Workflow TXT TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) Arquivos Sequenciais • Desvios • Informações detalhadas para composição dos indicadores Arquivos TXT Usuários de Negócios Extração AD Hoc TXT Resultado Ad Hoc Bancos de dados hierárquicos Escopo Ambiente Auditoria

12. INTEGRAÇÃO E TRANSFORMAÇÃO EXTRAÇÃO ANÁLISE CONTROLE PUBLICAÇÃO ETL gerando código em Plataforma Alta Ferramenta ETL em Plataforma Baixa Data Marts / Aplicações nalíticas Aplicação Follow-Up / Workflow Painel de Controle Baixa Plataforma Alta Plataforma Considera a criação de uma base de dados multidimensional (Data Mart) com a visão quantitativa de indicadores e desvios para suportar as análises exploratórias C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O DB2 DB2 Fonte de Dados Primários Outras fontes distribuído DB Aplicações de Negócio DW Corporativo Arq. indexados Relatórios Web, Gráficos e Painel de Controle VSAM VSAM VSAM Staging Area Extração para indicadores agrupados AC Solução de metadados permite que o usuário final da informação saiba qual o conceito, regra e atualizações que a sustenta Usuários de Negócios E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow Sistema FUP/ Workflow TXT TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) Criação de um repositório de dados com os desvios identificados no processo. Base de dados relacional que armazena as informações resultantes das regras aplicadas para cada rotina de auditoria Arquivos Sequenciais • Desvios • Informações detalhadas para composição dos indicadores Arquivos TXT Usuários de Negócios Extração AD Hoc TXT Resultado Ad Hoc Bancos de dados hierárquicos Escopo Ambiente Auditoria

13. INTEGRAÇÃO E TRANSFORMAÇÃO EXTRAÇÃO ANÁLISE CONTROLE PUBLICAÇÃO ETL gerando código em Plataforma Alta Ferramenta ETL em Plataforma Baixa Data Marts / Aplicações nalíticas Aplicação Follow-Up / Workflow Painel de Controle Baixa Plataforma Alta Plataforma C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O DB2 DB2 Fonte de Dados Primários Outras fontes distribuído DB Considera a criação de um ambiente de análise para suportar análises exploratórias (cruzamentos de indicadores e dimensões). Este ambiente de análise corresponde à criação da camada semântica (mapeamento de indicadores / métricas e dimensões / hierarquias) a partir do Data Mart Quantitativo (base multidimensional) Relatórios dinâmicos com possibilidade de cruzamentos por diversas dimensões (visões), e por meio da de cubo A ferramenta de follow-up acelera o processo de análise e resposta dos pontos que devem ser acompanhados pelos envolvidos (Auditado, Gestor de Negócio e Auditoria) Aplicações de Negócio DW Corporativo Arq. indexados Relatórios Web, Gráficos e Painel de Controle VSAM VSAM VSAM Staging Area Extração para indicadores agrupados AC Usuários de Negócios E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow Sistema FUP/ Workflow TXT TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) Arquivos Sequenciais • Desvios • Informações detalhadas para composição dos indicadores Arquivos TXT Usuários de Negócios Extração AD Hoc TXT Resultado Ad Hoc Bancos de dados hierárquicos Escopo Ambiente Auditoria

14. O crescente nível de requerimentos da Auditoria torna mandatória a adoção de uma plataforma de TI robusta Baixa Plataforma Alta Plataforma C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O DB2 DB2 Fonte de Dados Primários Outras fontes distribuído DB Aplicações de Negócio DW Corporativo Relatórios Web, Gráficos e Painel de Controle Arquivos indexados VSAM VSAM Staging Area VSAM Extração para indicadores agrupados AC Usuários de Negócios E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow Sistema FUP/ Workflow TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) TXT • Desvios • Informações detalhadas para composição dos indicadores Arquivos Sequenciais Arquivos TXT Usuários de Negócios Extração AD Hoc TXT Resultado Ad Hoc Bancos de dados hierárquicos Escopo Ambiente Auditoria

15. Formulação Identificação de Riscos Indicadores, regras de negócio, dimensões de análise Algorítimos de controle (parâmetros de extração) Implementação Monitoramento Podemos exemplificar a aplicabilidade da arquitetura de BI para Auditoria Contínua Identificação de Riscos Resgates de seguro indevidos após adulteração de cadastro Indicadores, regras de negócio, dimensões de análise Algorítimos de controle (parâmetros de extração) Indicador Dimensão Parâmetro • Número de solicitações de resgates precedidas de alterações cadastrais • Por CNPJ/CPF • Por corretor • Por mês • Por Produto • Alterações cadastrais até 90 dias antes dos resgates Monitorar solicitações de resgates precedidas de alterações cadastrais

16. Alta Plataforma C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O Fonte de Dados Primários Outras fontes distribuído Aplicações de Negócio DW Corporativo Relatórios Web, Gráficos e Painel de Controle Arq. indexados VSAM VSAM Staging Area VSAM DB2 DB2 Extração para indicadores agrupados AC Usuários de Negócios DB E X T R A Ç Ã O TXT Bases de dados Relacionais Data MART Extração (desvios) para FUP/ Workflow Sistema FUP/ Workflow TXT Base Relacional Usuários Auditados (Ex. Agências, Diretorias, etc) TXT • Desvios • Informações detalhadas para composição dos indicadores Arquivos Sequenciais Extração AD Hoc TXT Bancos de dados hierárquicos Podemos exemplificar a aplicabilidade da arquitetura de BI para Auditoria Contínua Baixa Plataforma Baixa Plataforma Alta Plataforma C A R G A E X T R A Ç Ã O T R A N S F O R M A Ç Ã O Fonte de Dados Primários Aplicações de Negócio Relatórios Web, Gráficos e Painel de Controle Critérios de Risco aceitável = # de desvios por dimensão Staging Area Extração para indicadores agrupados AC # Resgates por: CNPJ/CPF corretor mês produto E X T R A Ç Ã O Resgastes efetuados Usuários de Negócios Sistemas Produto (Transacionais) Extração (desvios) para FUP/ Workflow Desvios (resgates com alteração cadastral até 90 dias) Alterações Cadastrais Usuários Auditados Arquivos TXT Usuários de Negócios Resultado Ad Hoc Escopo Ambiente Auditoria Escopo Ambiente Auditoria

17. Governança Estrutura Mecanismos de Integração Papéis e Responsabi- lidades Gestão de Desempenho Tecnoolgia Processos Abaixo algumas perguntas que devem ser respondidas de forma a maximizar a implementação da solução de Auditoria Contínua • Qual o agrupamento lógico das atividades? • Qual a estrutura para a nova organização? • Quais as hierarquias diretas e indiretas das unidades organizacionais incluindo outras áreas da Auditoria? • Qual o dimensionamento desta estrutura? • Quem é o responsável pelo resultado da Auditoria ? • Quem é o “dono” das informações ? • Quem decide o quê ? Quem deve ser envolvido ? • Quais as interfaces com as outras áreas? • Como assegurar a coordenação e a gestão das atividades inter-departamentais? • Que grupos de trabalho deverão existir, alem do organograma? • Qual é a missão da área ? • Quais suas principais responsabilidades ? • Qual a arquitetura de TI adequada? • Quais as tecnologias / ferramentas que suportarão o novo modelo de comunicação/follow-up? • As métricas da Auditoria Contínua estão alinhadas com os processos? • Quais são as indicadores de desempenho? • - Qualitativo x Quantitativo • - Por estrutura organizacional • Como são definidas e acompanhadas as metas de desempenho (parâmetros aceitáveis de risco) das estruturas organizacionais? • Que atividades precisam ser executadas? Em que ordem ? Com que freqüência ? • Quem é o responsável pela execução de cada atividade ? • Quais os produtos que deverão se gerar?

18. Cecília Ebide Rezera cebide@br.ibm.com Celular: 11 7153-9824 TITLE