Caso de mineradora brasileira de capital aberto, R$ 4,7 bilhões de receita, primária produtora de minério de ferro. Auditoria pela Ernst & Young (EY). Sigilo profissional preserva o nome. Aqui está o que aconteceu — e por que se tornou referência interna no setor.
Contexto inicial da empresa
Mineradora de médio-grande porte. 4 minas ativas, capacidade de 12 milhões de toneladas/ano, exportação majoritária. SOX desde 2019 via controladora americana listada em NYSE.
Ciclos 2019-2021: auditoria EY identificava deficiências menores a cada ano, mas nunca material. Programa SOX considerado adequado mas sem distinção.
Em 2022, troca de CIO trouxe novo padrão. Vinha de consultoria especializada em mineração, conhecia o setor. Visão articulada: programa SOX existente era reativo, reagia ao auditor. Queria torná-lo proativo — auditor entra e encontra empresa preparada, com evidência pronta, com indicadores próprios.
Plano apresentado ao CFO e ao conselho em março/2022: investimento adicional de R$ 1,8 milhão em 18 meses para transformar programa. Justificativa: redução de risco residual, ganho operacional via melhor visibilidade, posicionamento competitivo para participação em projetos com investidores globais.
O problema identificado
Diagnóstico inicial:
- Programa SOX rodava como projeto anual: 4 meses antes do auditor, equipe preparava evidência retroativa. Custo médio em horas extras: R$ 420k/ano.
- Sistemas industriais (controle de produção, balanças, sistema de movimentação) operavam fora do escopo SOX formal — sem inventário, sem trilha estruturada.
- Sistemas administrativos (SAP, sistema fiscal, BI) tinham controles, mas com gaps documentais que se reproduziam ano após ano.
- Não havia auditoria interna real do programa SOX — só revisão anual.
- Conselho recebia atualização anual com 60 slides. Sem indicadores claros, sem antecipação de risco.
Em síntese: programa funcionava (passou todos os anos), mas era frágil, caro e reativo. Risco residual mais alto que o necessário.
Plano de ação adotado
Plano em 4 frentes, executado ao longo de 18 meses:
- Frente 1 — Auditoria interna trimestral. Equipe interna dedicada (3 pessoas) rodando programa contínuo. Cada controle testado pelo menos 1x por ano. Achados internos remediados antes da auditoria externa.
- Frente 2 — Integração TI-OT formal. Sistemas industriais (MES, balanças, controle de produção) entraram no escopo. Trilha via banco implementada. Reconciliação produção física × receita formalizada.
- Frente 3 — Indicadores ao conselho. Dashboard mensal com 6 indicadores-chave para o comitê de auditoria. Apresentação reduzida para 8 slides. Foco em risco e tendência, não em detalhe técnico.
- Frente 4 — Modernização técnica seletiva. Implementação de SAP GRC Access Control, plataforma de change management formal, ferramenta de monitoramento de ETL.
Orçamento: R$ 1,8 milhão em 18 meses, sendo R$ 700k em ferramentas e R$ 1,1 mi em consultoria especializada e horas internas.
Execução nos primeiros 6 meses
Mês 1-3: estruturação da auditoria interna. Contratação de 3 profissionais (2 internos da auditoria operacional, 1 externo especializado em SOX). Definição de metodologia, ferramentas (TeamMate), cronograma de testes rotativo.
Mês 2-4: integração TI-OT. Workshop com diretor industrial e CIO. Inventário cruzado de 22 sistemas industriais. Identificação de 8 sistemas que tocavam financeiro material (movimentação, expedição, qualidade, balanças). Implementação progressiva de trilha.
Mês 3-5: redesign do reporte ao conselho. CIO trabalhou com o presidente do comitê de auditoria para definir formato. Primeira apresentação no novo formato em maio/2022: reduzida de 60 para 8 slides, foco em risco e tendência. Conselheira líder reconheceu publicamente a melhora.
Mês 4-6: implantação de SAP GRC. Projeto técnico de 8 semanas. Configuração de SoD analysis, workflow de provisionamento, recertificação trimestral. Em produção em junho/2022.
Resultado mensurado
Auditoria externa EY de 2023 (cobrindo exercício 2022): parecer limpo, zero deficiências mesmo menores. EY destacou em carta de recomendações a qualidade do programa interno e a maturidade do reporte ao conselho.
Métricas além do parecer limpo:
- Horas extras pré-auditoria: R$ 420k em 2021 → R$ 70k em 2023 (-83%). Time já operava em ritmo constante, sem pico.
- SAP GRC capturou 4 violações de SoD em produção no primeiro semestre — corrigidas antes do auditor externo entrar.
- Auditoria interna identificou e corrigiu 11 gaps menores em 12 meses, todos remediados antes da auditoria externa.
- Reconciliação produção física × receita revelou variação consistente de 0,12% — investigação técnica corrigiu erro de arredondamento em conversão de toneladas, liberando R$ 320k em receita anteriormente "perdida".
- Custo total de SOX (manutenção): caiu de R$ 1,9 mi/ano (2021) para R$ 1,4 mi/ano (2023) apesar do investimento inicial. Eficiência operacional compensou.
Em maio/2024, programa foi premiado pelo grupo internacional como referência. CIO foi promovido para holding em setembro/2024.
O que outras empresas podem aprender
Lição 1 — Programa SOX proativo é mais barato que reativo. Investimento inicial de R$ 1,8 mi gerou economia anual recorrente de R$ 500 mil + redução de risco. Payback inferior a 4 anos.
Lição 2 — OT entra em SOX em indústria pesada. Sistemas industriais que tocam receita material precisam estar no escopo. Empresas que tratam OT como fora do programa têm vulnerabilidade silenciosa.
Lição 3 — Auditoria interna trimestral muda tudo. Equipe dedicada rodando testes contínuos transforma SOX de evento anual em rotina operacional. Auditor externo encontra empresa preparada.
Lição 4 — Reporte executivo importa. Mesma informação apresentada de forma diferente tem efeito diferente. Conselho engajado é proteção institucional.
Lição 5 — Reconhecimento gera carreira. CIO foi promovido por entregar transformação. Trabalho técnico bem comunicado vira capital político.
Esse caso virou referência no setor de mineração brasileiro. Várias mineradoras de capital aberto buscaram metodologia similar.