Esse caso é de uma indústria química do interior de São Paulo. R$ 1,2 bilhão de faturamento, capital aberto recente via IPO em 2023, primeira auditoria SOX integral em 2024. Nomeei "Sigma Química" para preservar a empresa real. O resto é fielmente baseado no caso.
Contexto inicial da empresa
Sigma Química era empresa familiar tradicional. 35 anos de história, posição consolidada em especialidades químicas para indústria automotiva e construção. IPO em 2023 levou empresa ao Novo Mercado. Captação: R$ 480 milhões, usados para expansão da segunda planta industrial.
SOX não veio como surpresa — equipe sabia desde a preparação do IPO. Mas tratamento foi terceirizado para Big Four como projeto, sem internalização real. Quando o auditor chegou em janeiro/2024, time interno não dominava o programa.
Estrutura técnica: ERP SAP ECC 6.0 (em planejamento de migração para S/4HANA), MES próprio para chão de fábrica desenvolvido em .NET, sistema de pesagem industrial separado, sistema de qualidade Q1. Integração entre eles via arquivos batch noturnos com pouca governança.
Liderança: CFO veterano de holding industrial, CIO recém-contratado (3 meses), diretor industrial veterano que controlava o MES, controller experiente mas com pouca exposição a SOX.
O problema identificado
Pré-auditoria interna em outubro/2023 identificou problemas — mas relatório foi apresentado de forma técnica, sem priorização, e ficou no CIO. Em janeiro/2024 a auditoria externa entrou com escopo completo.
Achados materiais identificados na primeira fase (em 6 semanas):
- 14 usuários com SAP_ALL ativo, sendo 7 sem justificativa documentada.
- Reconciliação entre MES e SAP era manual e mensal, com gap aceito até 1,5% — sem investigação de variações inferiores.
- Customizações de SAP (mais de 60 em tabelas financeiras) sem documentação técnica viva.
- Sistema de pesagem industrial permitia override manual sem trilha.
- Backup de SAP nunca testado em restore completo nos últimos 18 meses.
- 3 reconciliações trimestrais com ajustes acima de R$ 500k sem aprovação documentada.
O auditor sinalizou: se nada mudasse, parecer teria ressalvas materiais. Em empresa recentemente listada no Novo Mercado, ressalva é evento sério — afeta confiança de mercado, pode impactar próxima emissão.
Plano de ação adotado
CFO me chamou em fevereiro/2024. Reunião na sede. Diagnóstico em uma sentença: "tem 5 meses para virar o jogo, ou aceito ressalva e tento conter o estrago".
Plano apresentado ao comitê executivo em 10 dias:
- Eixo 1 — Acessos SAP: redução de SAP_ALL para 3 usuários (2 emergenciais + basis líder), recertificação trimestral via SAP GRC, implementação de Firefighter ID para emergências.
- Eixo 2 — Integração MES-SAP: implementação de pipeline de reconciliação diária automática, alerta para variações acima de 0,5%, dashboard para controller e CFO.
- Eixo 3 — Customizações: inventário completo, documentação de cada uma em wiki interna, processo de gestão de mudança formal a partir do mês 1.
- Eixo 4 — Pesagem industrial: workflow no sistema para override (justificativa + aprovação supervisor), log permanente.
- Eixo 5 — Backup e continuidade: teste de restore mensal em ambiente isolado, documentado.
- Eixo 6 — Reconciliação trimestral: ajustes acima de R$ 100k passaram a exigir aprovação do CFO + dossiê de causa raiz.
Orçamento aprovado: R$ 480 mil em 5 meses, incluindo consultoria especializada em SAP GRC, ferramenta de pipeline de dados, horas internas de equipe redirecionada.
Execução nos primeiros 6 meses
Eixo 1 (acessos): concluído no mês 2. Resistência mínima — basis líder entendeu a necessidade. SAP GRC implementado parcialmente (módulo de Access Control) com workflow de aprovação em produção a partir do mês 3.
Eixo 2 (integração MES-SAP): pipeline em Python rodando diariamente desde o mês 2. Dashboard em PowerBI atualizado às 7h da manhã para controller. Primeiras divergências identificadas no mês 3: gap real de 0,8% em receita reconhecida — investigação revelou problema de timezone na integração que vinha desde 2021. Correção liberou R$ 270 mil em reconciliação acumulada.
Eixo 3 (customizações): inventário concluído em 8 semanas — 64 customizações ativas. Documentação foi mais demorada (4 meses), envolveu desenvolvedor TOTVS sênior contratado externamente.
Eixo 4 (pesagem): implantado no mês 3. Resistência operacional inicial (operadores reclamando de burocracia), suavizada após CFO apresentar pessoalmente em reunião de turno.
Eixo 5 (backup): primeiro teste no mês 2 falhou — restore demorou 9 horas em vez das 2 prometidas pelo fornecedor. Renegociação contratual liberou R$ 70 mil/ano em SLA premium.
Eixo 6 (reconciliação): processo formalizado no mês 3. Primeiros 4 meses identificaram 2 ajustes acima do limite com causa raiz mal documentada — refeitos pelo controller.
Resultado mensurado
Auditoria externa retornou em julho/2024 para teste de progresso. Resultado: 4 deficiências previamente identificadas foram fechadas, 1 (customizações) ainda em remediação parcial mas com plano aceito, 1 (reconciliação trimestral) considerada adequada.
Auditoria final em janeiro/2025: parecer limpo, nenhuma deficiência material. Uma deficiência menor (customizações) sinalizada como ponto de atenção para o próximo ciclo, mas sem qualificação.
Métricas além do compliance:
- Reconciliação MES-SAP automatizada economizou ~120 horas/mês de controller.
- Identificação de variações antes desconhecidas liberou R$ 410 mil em receita anteriormente "perdida" em integração.
- Restore de backup testado mensalmente: primeira ocorrência real de incidente em outubro/2024 (queda de SAN) foi recuperada em 90 minutos versus 8-12 horas que seria sem teste prévio.
- SAP GRC capturou 2 violações de SoD ativas que time interno desconhecia.
Custo final: R$ 520 mil (10% acima do orçado, dentro do aceitável). Investimento foi pago no primeiro ano apenas pela liberação de reconciliação acumulada.
O que outras empresas podem aprender
Lição 1 — Internalize SOX desde o início. Sigma Química terceirizou o programa para Big Four no IPO. Quando o auditor entrou, time interno não dominava. Investimento em construir capacidade interna é mais barato em médio prazo.
Lição 2 — Reconciliação manual em volume alto não escala. Pipeline automatizado virou ganho operacional além do compliance. Compensa o investimento muito além do SOX.
Lição 3 — Sistemas industriais (OT) entram em SOX quando alimentam financeiro. Pesagem e MES estão no escopo. Empresa que ignora OT em primeira fase tem retrabalho garantido.
Lição 4 — Teste real de backup é mandatório. Sigma descobriu que SLA contratual era ficção. Sem teste, descobriria no incidente real, com prejuízo de produção.
Lição 5 — Liderança visível faz diferença. CFO indo pessoalmente apresentar para operadores fabris dissolveu resistência. Decisão executiva delegada para nível operacional gera fricção.
Sigma hoje é referência interna do grupo. Em 2025 começou a exportar metodologia para outras unidades da holding internacional. CFO foi promovido para holding em 2026.