Caso de grupo educacional listado na Bovespa. Faturamento R$ 2,1 bilhões, mais de 80 mil alunos, presença em 6 estados. Primeira auditoria SOX em 2022 resultou em 3 ressalvas materiais. Acompanhei o segundo ciclo, que entregou parecer limpo. Aqui está o que mudou.
Contexto inicial da empresa
Grupo educacional consolidado via aquisições nos últimos 8 anos. Cresceu de 1 mantenedora regional para 12 unidades em 6 estados via M&A. Cada aquisição trazia ERP próprio, sistema acadêmico próprio, integração própria. Resultado: arquitetura técnica fragmentada — 4 ERPs diferentes coexistindo, 3 sistemas acadêmicos (TOTVS Educacional, Lyceum, Microsoft Dynamics customizado), datawarehouse próprio para consolidar.
Primeiro ciclo SOX em 2022: 3 ressalvas materiais identificadas pela EY:
- Acesso a sistema acadêmico sem revisão periódica documentada (afeta receita reconhecida via matrículas e mensalidades).
- Integração entre sistemas acadêmicos e ERPs financeiros sem reconciliação formal.
- Customizações em datawarehouse sem trilha de mudança.
Ressalva foi divulgada publicamente. Ação caiu 4,8% no dia. Conselho cobrou plano de remediação imediato.
CIO original saiu em janeiro/2023. Novo CIO contratado em fevereiro/2023 com mandato explícito de virar o jogo no próximo ciclo.
O problema identificado
Diagnóstico aprofundado em março/2023 mostrou que as 3 ressalvas materiais eram apenas a ponta. Por baixo:
- 4 ERPs diferentes significavam 4 conjuntos diferentes de práticas SOX. Onde uma unidade tinha controle, outra não tinha.
- Integração entre sistemas era frequentemente via SQL direto no banco — sem API, sem validação, sem log.
- Cadastro de aluno mantinha 12% de inconsistência entre sistema acadêmico e financeiro (mensalidade calculada em desconto que não constava no acadêmico).
- Datawarehouse tinha mais de 200 jobs ETL noturnos, com 30+ falhando silenciosamente toda semana sem alerta.
- Não havia inventário formal de customizações em nenhum dos 3 sistemas acadêmicos.
Em síntese: arquitetura fragmentada gerada por aquisições rápidas tinha 6 anos de dívida técnica acumulada, agora exposta pelo escrutínio SOX.
Plano de ação adotado
Plano apresentado ao comitê de auditoria em abril/2023, com horizonte de 12 meses até a próxima auditoria:
- Frente 1 — Unificação parcial de processos. Não migrar ERPs (custo proibitivo no curto prazo), mas padronizar processos críticos via política corporativa. Todos os 4 ERPs passaram a operar com mesmas regras de aprovação, mesmos limites de alçada.
- Frente 2 — Pipeline de reconciliação aluno × financeiro. Comparação diária automatizada entre cadastro do aluno (sistema acadêmico) e mensalidade gerada (ERP financeiro). Alerta para divergências.
- Frente 3 — Governança de integração. Catalogação de todas as integrações (74 inicialmente). Cada uma com responsável técnico, monitoramento de execução, alerta para falha. Migração progressiva de SQL direto para API.
- Frente 4 — DW e ETL. Monitoramento de execução de jobs, alerta para falha, recovery automatizado quando possível, escalation manual quando não.
- Frente 5 — Recertificação trimestral de acessos. Implementação de fluxo padronizado para os 4 ERPs e 3 sistemas acadêmicos. Gestor responsável aprova lista de usuários de sua área.
Equipe dedicada: 8 pessoas core + consultor externo especializado em SOX em educação. Orçamento: R$ 1,2 milhão em 12 meses.
Execução nos primeiros 6 meses
Mês 1-2 (abr-mai/2023): governança de integração. Catalogação revelou 74 integrações, mas apenas 41 estavam documentadas. Restantes foram identificadas via inspeção de banco. 9 integrações ativas estavam órfãs (sem dono).
Mês 2-3 (mai-jun/2023): pipeline de reconciliação aluno × financeiro. Primeira execução completa identificou 38 mil registros divergentes — equivalente a R$ 8,4 milhões em mensalidades em risco. Limpeza em 3 fases envolvendo financeiro, secretaria acadêmica e jurídico.
Mês 3-4 (jun-jul/2023): recertificação de acessos rodada em todos os 7 sistemas. 11% dos usuários ativos removidos (afastados ou ex-funcionários). Documentação completa por área.
Mês 4-5 (jul-ago/2023): unificação de políticas de aprovação. Workshop com 4 gerentes financeiros das unidades. Política única aprovada pelo CFO em agosto.
Mês 5-6 (ago-set/2023): monitoramento de ETL implementado. Identificação de 27 jobs falhando silenciosamente — 6 deles afetavam consolidação financeira.
Resultado mensurado
Auditoria externa retornou em fevereiro/2024 para o segundo ciclo. Resultado: as 3 ressalvas materiais anteriores foram fechadas, com evidência robusta. Identificou 4 deficiências menores (controles), sem material. Parecer limpo.
Métricas além do compliance:
- Limpeza inicial recuperou R$ 4,1 milhões em mensalidades não cobradas (alunos ativos sem cobrança ou com desconto indevido).
- Monitoramento de ETL evitou erros em consolidação financeira em 3 ocasiões durante o ano.
- Recertificação de acessos identificou 2 contas de ex-funcionários ativas há mais de 18 meses — sem evidência de uso, mas vulnerabilidade real.
- Pipeline de reconciliação reduziu tempo de fechamento mensal em 30% (de 12 para 8 dias úteis).
Impacto reputacional: anúncio do parecer limpo levou ação para +3,2% no dia. CFO foi reconhecido em call trimestral com analistas. Conselho aprovou bônus integral para CFO e CIO.
O que outras empresas podem aprender
Lição 1 — Aquisições criam dívida SOX silenciosa. Cada ERP adicional sem padronização vira complexidade. Grupos que crescem via M&A devem planejar adequação SOX como parte do pacote de integração — não como evento separado.
Lição 2 — Reconciliação aluno × financeiro é controle de alto retorno. Em educação, divergência entre acadêmico e financeiro vira receita perdida ou disputas judiciais. Investimento se paga rápido.
Lição 3 — Não confie em ETLs noturnos sem monitoramento. Job que roda há 5 anos sem ninguém olhar pode estar falhando há meses. Monitoramento ativo é básico que muitas empresas esquecem.
Lição 4 — Liderança nova com mandato claro é diferencial. Novo CIO veio com autoridade explícita do conselho. Sem isso, mudança organizacional não anda.
Lição 5 — Comunicação ao mercado importa. Anunciar parecer limpo no call trimestral teve impacto positivo mensurável. Conselho e CFO usaram bem o momento.