Saúde no Brasil é um setor onde a auditoria SOX expõe gargalos muito específicos. Falo de operadoras de plano, redes hospitalares de capital aberto, healthtechs maduras — todas vivem o mesmo dilema: faturamento complexo, regulação ANS pesada e sistemas legados que não foram pensados para rastreabilidade.
Quem assume TI em saúde herda essa equação. Vou direto ao que muda na auditoria.
Por que saúde muda o jogo neste tema
O setor de saúde combina três coisas raras de ver juntas: fluxo financeiro fragmentado (TUSS, TISS, glosas, recursos), dado sensível em volume (prontuário eletrônico, exames) e regulação multi-camada (ANS, ANVISA, CFM, LGPD, SOX quando se aplica).
Pra TI isso significa que controles SOX se sobrepõem com obrigações ANS e com LGPD. A mesma trilha de auditoria de acesso a sistema de faturamento serve para os três. Empresa que trata cada framework como projeto separado paga 3x mais.
O que vejo em operadoras de R$ 500 milhões+: ERP é Totvs Saúde ou TASY, sistema de autorização é desenvolvido in-house ou customizado pesado, integração via barramento próprio, base de dados crescendo 30%/ano. Auditor olha aquilo e pede rastreabilidade de cada ajuste em conta a receber. Empresa não tem.
Acrescenta complicador: o provedor de saúde normalmente roda em margem apertada (5-10% líquido). Multa por descumprimento ANS pode passar de R$ 2 milhões por episódio. Ressalva SOX numa operadora listada vira manchete. Não há muito espaço pra brincar.
Os 3 riscos típicos do setor saúde
Risco 1 — Lançamento contábil automático sem rastreabilidade. O sistema de autorização aprova procedimento, gera glosa parcial, contabiliza receita líquida. Tudo em batch noturno. Quando o auditor pega uma linha do balanço e tenta rastrear até o atendimento que a originou, não consegue — porque o sistema só guarda o agregado.
Risco 2 — Acesso desproporcional a dados de paciente. Em operadora típica encontrei 340 usuários ativos com acesso ao prontuário eletrônico — sendo que apenas 80 eram médicos auditores ou enfermeiras. O resto era TI, administrativo, marketing, faturamento. Todos com acesso material a dado sensível LGPD. Auditor SOX nota porque toca em base que alimenta faturamento.
Risco 3 — Glosa manipulável. A glosa é o ajuste que reduz a receita reconhecida. Em operadora, o time de regulação faz glosas manuais diárias. Sem controle de aprovação, qualquer um do time pode aplicar glosa que muda a DRE. Vi caso de R$ 1,8 milhão em glosas aplicadas por estagiário sem qualquer revisão de gestor.
Esses três riscos cobrem 70% dos achados típicos em auditoria SOX de operadora de saúde. Estão todos no terreno da TI.
Caso real: uma empresa de saúde
Operadora de capital aberto, R$ 720 milhões de receita anual, 180 mil beneficiários. Listada via BDR. Primeira auditoria SOX integral em 2024.
O CFO contratou consultoria Big Four pra mapeamento — gastou R$ 380 mil. Resultado: 47 deficiências identificadas, sendo 11 materiais. O CIO assumiu o problema depois, com 5 meses até a auditoria externa.
O que fizemos:
- Mês 1: limpeza de acessos no TASY e no sistema de autorização. De 340 usuários ativos passou para 142. Documentação de cada perfil restante.
- Mês 2: implementação de matriz SoD no sistema de autorização. Quem aplica glosa manual acima de R$ 5.000 precisa de aprovação dupla. Quem cadastra prestador não pode aprovar pagamento.
- Mês 3: construção de trilha de auditoria via trigger no banco. Cada UPDATE em tabela de fatura passou a gerar log em tabela paralela. Custo: 15% de espaço de banco a mais. Aceitável.
- Mês 4-5: teste interno simulando o auditor. Identificamos 6 controles que falharam o teste interno. Remediados.
Resultado: auditoria externa passou com 1 deficiência não-material. CFO recebeu bônus integral. Investimento total interno: ~R$ 280 mil em horas e ferramenta.
Implementação prática em saúde
O roteiro que recomendo pra TI de operadora ou rede hospitalar que está começando:
Inventário primeiro. Lista de sistemas no escopo SOX, organizada por contribuição material à DRE. Tipicamente: ERP financeiro, sistema de autorização, sistema de glosa, sistema de cadastro de prestador, sistema de PEP (prontuário) quando alimenta faturamento. Datawarehouse que gera relatório gerencial financeiro também entra.
Mapeamento de acessos em onda. Não tenta resolver tudo no mesmo dia. Primeira onda: usuários administrativos e privilegiados. Segunda onda: usuários operacionais com acesso a glosa e ajuste de fatura. Terceira onda: usuários com acesso a dado sensível LGPD (que se sobrepõe com SOX em muitos pontos).
Trilha de auditoria via banco. Em sistemas onde a aplicação não loga adequadamente (caso comum), trigger no banco resolve. Custa 10-20% de espaço extra. Bem aplicado, sobrevive a qualquer escrutínio.
Reconciliação mensal documentada. Operadora tem variação de receita mês a mês por causa de glosa, recurso, ajuste. Reconciliação formalizada entre receita bruta autorizada × receita líquida contabilizada é controle que o auditor adora ver. Custo: 4-8 horas/mês do controller.
Esses quatro blocos cobrem 80% do esforço de primeiro ciclo SOX em operadora típica.
Erros recorrentes específicos do setor
Erro 1 — Confundir LGPD com SOX. Os controles se sobrepõem, mas têm finalidades diferentes. SOX testa integridade do número financeiro; LGPD testa proteção do dado pessoal. Operadora que documenta só pra LGPD descobre na auditoria SOX que falta evidência específica.
Erro 2 — Ignorar sistemas auxiliares. O sistema de autorização não vai diretamente no balanço. Mas alimenta receita autorizada, que vira receita líquida após glosa, que vira linha do balanço. Material por consequência. Operadora que escopa só o ERP financeiro deixa metade do problema fora.
Erro 3 — Subestimar customizações. ERP de saúde tipicamente roda customizado pesado. Cada customização que toca em campo financeiro precisa ter documentação de mudança, aprovação, teste e versão. Vi operadora com 480 customizações em produção sem documentação viva. Dias dolorosos pela frente.
Erro 4 — Subestimar integrações. Operadora típica tem 15-25 integrações entre sistemas. Muitas via SQL direto entre bancos, sem middleware. Cada integração é ponto de falha de controle. Inventário e documentação são obrigatórios.
Próximos 90 dias para o responsável em saúde
Se você é CIO ou diretor de TI de operadora/hospital listado, e SOX está chegando:
Dia 1-15: peça ao CFO o cálculo formal de materialidade. Mapeie quais sistemas tocam contas acima da materialidade. Não confie no que dizem — vá nos relatórios e rastreie.
Dia 16-45: extração completa de usuários ativos em cada sistema no escopo. Cruzamento com base de RH. Remoção dos órfãos. Esse trabalho sozinho elimina 30-50% dos achados típicos do primeiro ciclo.
Dia 46-75: formalização do processo de mudança. Toda alteração em sistema do escopo passa por chamado, aprovação, teste e verificação. Vale tanto pra customização de ERP quanto pra ajuste em trigger de banco.
Dia 76-90: auditoria interna simulada. Pegue amostra. Veja se sua TI consegue produzir evidência em 48h. Se não consegue, o auditor externo também não vai conseguir — e isso é ressalva. Corrija antes.
Esse roteiro de 90 dias custa entre R$ 80 e R$ 200 mil em horas e ferramentas. Comparado ao custo de uma ressalva pública (impacto reputacional, queda de ação, substituição de liderança), é seguro barato.