Conformidade SOX no Salesforce: O que está no Escopo e Como Simplificar

É cada vez mais comum que as Salesforce Orgs estejam no escopo da SOX. Os auditores estão preocupados com os dados relacionados à receita e os processos críticos de negócios na plataforma.

O problema é que as organizações são complexas, muitas vezes altamente personalizadas, e grande parte do que mais preocupa os auditores está escondida em objetos personalizados ou é muito difícil de rastrear.

Nesta página, você encontrará uma visão geral das sete coisas que mais preocupam os auditores e algumas das maneiras como o Netwrix Platform Governance ajuda equipes ocupadas do Salesforce a alcançá-las.

Documentação

Nem tudo no Salesforce está dentro do escopo para SOX. Provavelmente seus auditores não se importam com as operações de marketing, por exemplo, porque as operações de marketing geralmente não lidam com dados de receita.

O problema é que, a menos que você tenha um entendimento abrangente das personalizações e dependências na sua Organização — algo praticamente impossível em todas, exceto as menores empresas — você não pode saber completamente o que é uma mudança material que está dentro do escopo para SOX e o que não está.

Documentar sua conta é o primeiro passo para determinar o que é relevante para SOX e criar políticas para gerenciá-lo efetivamente.

Como Netwrix Platform Governance ajuda

• Documentação Automática de Org: Netwrix Platform Governance é a única ferramenta nativa do Salesforce que verifica sua Org continuamente e indexa todos os metadados, e as conexões entre eles.
• Mapeamento de Dependências: Os diagramas de relacionamento de dependência do Netwrix Platform Governance mostram como diferentes personalizações estão conectadas.

• Registro de Personalização: Registros detalhados de personalização mostram tudo o que você precisa saber sobre uma personalização — quem a criou, quem tem acesso a ela, como ela foi alterada e a que está conectada.

Access Management

Para fins de auditoria, entender quem tem acesso a diferentes partes da sua Organização é tão importante quanto entender o que está na sua Organização. De fato, são dois lados da mesma moeda — é ótimo saber onde estão os dados relacionados à receita na sua Organização, mas você também precisa saber quem pode vê-los, quem pode editá-los e quem pode excluí-los.

Existem apenas tipos específicos de acesso que são importantes para fins de conformidade. O problema é que um objeto complexo no Salesforce pode conter vários campos personalizados, campos padrão, campos de fórmula, tipos de registro, valores de lista de seleção, botões e links — sem as ferramentas adequadas, pode ser quase impossível obter informações precisas sobre quem pode ver o quê.

Como Netwrix Platform Governance ajuda

• Monitoramento de Funções, Perfis e Conjuntos de Permissões: Crie políticas que monitoram alterações em perfis específicos ou Conjuntos de Permissões — e registre tudo em relatórios amigáveis para auditoria. Netwrix Platform Governance trata mudanças nas permissões de usuários da mesma forma que trata outras metadados — fornecendo um registro de auditoria verificável que mostra quem alterou o quê e um diff completo do que foi afetado.
• Revisão de Acesso a Campo: Um objeto complexo no Salesforce pode conter múltiplos campos personalizados, campos padrão, campos de fórmula, tipos de registro, valores de lista de seleção, botões e links. Netwrix Platform Governance oferece relatórios e planilhas fáceis de usar que mostram todas as configurações associadas a um Objeto, perfil ou conjunto de permissões.
• Revisões de Conjuntos de Permissões de Usuário/Perfil: Obtenha uma análise detalhada de tudo que um usuário pode ver e fazer, encontre as permissões associadas a um perfil e mais — Netwrix Platform Governance facilita a realização de revisões detalhadas e determinar quem tem acesso aos dados financeiros relevantes.

Análise de Impacto

Juntos, a documentação e a revisão de acesso fornecem o layout da sua organização. A análise de impacto mostra como navegar por ela. Quando você consegue ver o impacto de uma possível mudança, pode saber se afeta ou não algo no escopo do SOX e garantir que ela passe pelas revisões e aprovações apropriadas.

A análise de impacto no Salesforce é tão importante quanto do ponto de vista da alocação de recursos. O fato é que a maioria das mudanças são não materiais e seguras para fazer. Quando você pode identificar imediatamente essas mudanças, pode evitar horas de descoberta e liberar sua equipe para se concentrar no que é mais importante.

Como o Netwrix Platform Governance ajuda

• Relatórios de Impacto: Netwrix Platform Governance oferece relatórios detalhados para analisar o impacto de uma mudança proposta. Nossos relatórios de impacto mostram todas as personalizações em um registro base, bem como suas dependências. Este método é particularmente útil para investigar e revisar mudanças em várias personalizações de uma só vez.
• Integração Jira/ServiceNow: Se você usa Jira ou ServiceNow para gerenciar tickets, pode acessar a análise de impacto do Netwrix Platform Governance diretamente no nível do ticket e obter uma lista abrangente de personalizações relacionadas que serão afetadas por uma possível mudança. Você também pode sincronizar tickets Jira/ServiceNow com solicitações de mudança no Netwrix Platform Governance, de modo que a análise de impacto e aprovação, se necessária, seja coletada em um relatório pronto para auditoria.
• Tomada de Decisão de Risco: Netwrix Platform Governance permite que você crie políticas específicas de mudança e requisitos de aprovação baseados em risco.

Aqui está o registro de política do Netwrix Platform Governance, onde podemos especificar quais tipos de alterações exigem um ciclo completo de SDLC, quais exigem testes no Sandbox, quais exigem aprovação, quais podem ser tratadas por meio de uma questão de processo e quais são simplesmente registradas, ou seja, são seguras e não requerem investigação adicional:

Gestão de Mudanças

Nem toda atividade de desenvolvimento no Salesforce requer revisão. Mas em uma Org madura, os fatores de risco podem ser complexos — se sua equipe fizer uma alteração em um objeto personalizado ou campo sem conhecer o impacto, pode acidentalmente interromper um processo crítico para o negócio, ou afetar a elaboração de relatórios financeiros e a SOX compliance.

O problema é que não há uma maneira fácil de saber o que é seguro alterar e o que requer revisão. Como resultado, as equipes de Salesforce enfrentam dois extremos: gastar horas em descobertas com cada mudança — algo praticamente impossível de fazer em uma Org ocupada — ou aceitar o risco e gerenciar as coisas de forma reativa quando algo quebra.

Na realidade, a maioria das equipes Salesforce fará uma mistura de ambos, contando com o conhecimento institucional e, muitas vezes, sorte, para decidir o que requer revisão. Mas e se houvesse uma maneira de formalizar e automatizar isso, e basear decisões em inteligência acionável em vez do entendimento do sistema por um administrador?

Como Netwrix Platform Governance ajuda

• Change Logs: Netwrix Platform Governance registra automaticamente cada alteração na sua organização e as registra nos change logs. Os change logs são um registro imutável, com data e hora marcadas, contendo um diff completo e detalhado mostrando o que aconteceu e quando aconteceu.
• Políticas de Mudança: Netwrix Platform Governance permite que você crie um conjunto de regras para elevar automaticamente certos tipos de mudanças que requerem escrutínio extra. Mudanças declarativas simples podem ser imediatamente identificadas e encaminhadas rapidamente sem investigações adicionais. Mudanças mais complexas podem ser tratadas por meio de um problema de processo ou solicitação de mudança (no Jira, ServiceNow ou utilizando o sistema de gerenciamento de mudanças nativo do Netwrix Platform Governance).
• Gestão de Mudanças Fechada: Netwrix Platform Governance é um verdadeiro sistema de gestão de mudanças fechado. Cada alteração nos metadados é capturada em um registro imutável. Cada mudança concluída é reconciliada de volta a uma solicitação de origem e, se necessário, uma aprovação.

Toda alteração e aprovação é verificada quanto à conformidade com as políticas que você estabeleceu. Qualquer coisa que não siga a política é registrada em um relatório de alterações não conformes para revisão e liberação.

A melhor parte? As alterações nas suas políticas são registradas e monitoradas usando o mesmo processo. Isso torna impossível alterar uma aprovação após o fato ou resolver artificialmente uma mudança não conforme.

Em outras palavras, todo o processo é completamente seguro e totalmente validado — algo que é crítico para a segurança, governança e prontidão para auditorias.

Relatórios e Reconciliação

Quão fácil é para a sua equipe obter uma visão completa das mudanças materiais que ocorrem na sua Organização? Você pode visualizar as alterações por pessoa, por objeto e por tipo? Você consegue conciliar o seu registro de auditoria com os seus tickets do Jira e demonstrar por que as mudanças foram feitas?

Estas são todas as coisas que seus auditores podem pedir para ver. Se você não puder produzir esses relatórios automaticamente, você e sua equipe precisarão classificar manualmente o seu rastro de auditoria, com grande esforço e despesa. E se você não fizer isso antecipadamente, correrá o risco de seus auditores encontrarem deficiências, o que será ainda mais custoso para resolver.

Como Netwrix Platform Governance ajuda

• Relatório 'What Changed': O relatório 'What Changed' é o seu registro resumido de toda a atividade de desenvolvimento na sua Org.
• Reconciliação de Registro de Alterações: Não adianta ter um documento do Excel ou uma cadeia de e-mails aprovando uma alteração se você não pode reconciliá-la com a atividade de desenvolvimento na sua Organização. Demonstrar que as solicitações de mudança e aprovações estão vinculadas a um registro verificável é uma parte essencial para passar em uma auditoria e manter a integridade geral da sua organização. Normalmente, isso requer horas, senão dias, de reconciliação manual. Netwrix Platform Governance resolve esse problema fazendo o trabalho por você!

Preparação de Auditoria de 10 Minutos

Com o Netwrix Platform Governance em funcionamento no seu sistema, passar em uma auditoria é tão fácil quanto imprimir três relatórios:

Mudanças Conformes

Este relatório mostra todas as alterações que seguiram a política—ou seja, tudo o que foi revisado e aprovado de acordo com o processo estabelecido em seus registros de política ou tudo o que Netwrix Platform Governance determinou ser não-material e seguro para alterar.

Alterações Não Conformes Resolvidas

Este relatório mostra tudo o que não seguiu a política, como correções de emergência — e as medidas que você tomou para resolver isso

Alterações Não Conformes Não Resolvidas

Este relatório mostra tudo o que não seguiu a política e ainda está em análise. Idealmente, deveria estar vazio quando você iniciar a auditoria! Muitas equipes do Salesforce agendam reuniões semanais ou mensais regulares para revisar e eliminar quaisquer discrepâncias remanescentes no sistema.

Implementação

A implantação com conjuntos de alterações do Salesforce é demorada. E, para áreas onde SOX é aplicável ou a segurança é uma questão, não oferece forma de impor a separação de funções entre usuários que desenvolvem e usuários que implantam.

Com frequência, as equipes de Salesforce ficam presas entre produtividade e conformidade, e a capacidade de evoluir sua Org efetivamente é prejudicada como resultado.

Como o Netwrix Platform Governance ajuda

• Liberação e Implantação Automáticas: Automatize decisões críticas sobre as aprovações apropriadas, testes e processos de liberação necessários para diferentes tipos de mudanças.
• Comparação de Ambiente: Obtenha instantaneamente um diff completo das alterações entre os Orgs de produção, teste e sandbox.
• Validação Pós-Implementação: Solucione problemas e valide implementações em vários ambientes.

Dados de Configuração

Para muitas equipes, monitorar dados de configuração é a parte mais difícil da conformidade com SOX. No aplicativo CPQ, por exemplo, regras importantes sobre produtos, preços, descontos e aprovações são armazenadas como dados em objetos personalizados. Obter visibilidade dessas mudanças é incrivelmente demorado, e existem poucas opções para prevenir alterações que possam comprometer a conformidade.

Isso não se limita a CPQ, tampouco. O aplicativo de Faturamento e muitos outros que lidam com dados relacionados à receita também estão potencialmente no escopo. Se seus auditores ainda não estão perguntando sobre eles, é muito provável que o farão no futuro.

Como Netwrix Platform Governance ajuda

• Monitoramento de Dados de Configuração: Netwrix Platform Governance trata os dados de configuração com o mesmo rigor que aplica a outros metadados Apex no seu Org. Então, Netwrix Platform Governance oferece uma maneira sistemática de focar em Objetos dentro do escopo e criar políticas altamente granulares para rastrear e monitorá-los.
• Registros de Política: Netwrix Platform Governance permite que você crie controles de mitigação que bloqueiam automaticamente alterações nas regras críticas de CPQ. Como resultado, os clientes do Netwrix Platform Governance não precisam mais depender de relatórios de histórico de campo e revisão manual para garantir que os dados de configuração do CPQ e outros estejam protegidos. Os auditores ficam satisfeitos, os custos de auditoria diminuem e a liderança de TI pode ficar tranquila sabendo que não haverá surpresas.
• Controles de Bloqueio: Netwrix Platform Governance oferece a opção de bloquear alterações arriscadas sem aprovação prévia. Isso é frequentemente utilizado para dados de preços e descontos que impactam diretamente a receita. Se um usuário tentar fazer uma alteração em um campo que tenha o bloqueio ativado, ele não poderá fazê-lo a menos que uma solicitação de alteração tenha sido submetida antecipadamente.