Bancos, empresas de médio porte e até fintechs vêm cobrando cada vez mais de seus fornecedores — inclusive escritórios de contabilidade. Além disso, elas exigem uma comprovação formal de que os dados confidenciais que circulam por eles estão protegidos. Isso chega na forma de questionário de segurança, exigência contratual ou, em alguns casos, de uma auditoria de TI propriamente dita. Escritórios contábeis que nunca passaram por esse processo costumam ser pegos de surpresa: não é que a segurança não exista, é que ela nunca foi documentada de um jeito que resista a uma pergunta direta de auditor.

Uma auditoria de informações confidenciais não avalia se o sistema contábil é bom. Ela avalia a governança de segurança em volta dele, como este artigo detalha a seguir.

Por que clientes e bancos estão cobrando auditoria de segurança de escritórios contábeis

O escritório contábil lida com dados extremamente sensíveis: folha de pagamento, faturamento, dados bancários e, cada vez mais, informações que alimentam decisões de crédito e compliance dos próprios clientes. Quando uma empresa-cliente de médio ou grande porte contrata ou audita fornecedores, o escritório de contabilidade entra na lista de terceiros que manuseiam dado sensível. Por isso, também entra na régua de exigência de segurança que antes só se aplicava a fornecedores de tecnologia.

Auditoria de informações confidenciais: o que é avaliado na prática

Uma auditoria de TI típica não avalia “se o sistema contábil é bom” — avalia a governança em volta dele. Os pontos mais cobrados:

• Controle de acesso: quem acessa o quê, com que permissão, e se o acesso é revogado quando um colaborador sai do escritório.
• Backup: existência, frequência e evidência de teste de restauração — não basta ter backup, é preciso provar que ele funciona.
• Criptografia: dados sensíveis em trânsito (e-mail, upload de arquivo) e em repouso (servidor, backup) devem estar criptografados.
• Logs de acesso e atividade: capacidade de responder “quem acessou este dado, e quando” quando solicitado.

Diferença entre auditoria de TI e adequação à LGPD

É comum confundir os dois. A adequação à LGPD é uma obrigação legal, focada em dados pessoais e nos direitos do titular. Já a auditoria de TI de segurança é mais ampla: avalia a robustez técnica da infraestrutura como um todo, incluindo dados que não são necessariamente pessoais, como dados financeiros e fiscais de empresas. Ou seja, um escritório pode estar formalmente adequado à LGPD e ainda assim reprovar em uma auditoria técnica de segurança. São camadas complementares, não substitutas uma da outra.

Documentos e evidências que seu escritório precisa ter prontos

Quando o pedido de auditoria ou o questionário de segurança chega, o que costuma ser cobrado:

• Política de acesso documentada (quem pode acessar o quê)
• Evidência de backup e de teste de restauração recente
• Registro de incidentes de segurança (mesmo que a resposta seja “nenhum registrado”)
• Comprovação de uso de antivírus/EDR nas máquinas que acessam dados de clientes — veja a diferença entre EDR e antivírus tradicional
• Política de resposta a phishing e engenharia social

Como se preparar antes que o cliente peça

Aliás, o erro mais comum é só organizar essa documentação depois que o cliente pede, sob pressão e com prazo curto. O caminho mais seguro é ter esse material pronto antes, como parte da rotina de TI do escritório — não como resposta emergencial. Um controle de acesso via Microsoft Entra ID, por exemplo, já resolve boa parte da evidência de governança de acesso exigida em auditorias.

Passo a passo: do diagnóstico à certificação de conformidade

Na prática, o caminho costuma seguir esta ordem: diagnóstico da infraestrutura atual, identificação de lacunas frente aos pontos mais cobrados em auditorias — acesso, backup, criptografia, logs —, correção das lacunas encontradas, e documentação formal de tudo isso. Por isso, o formato final precisa ser algo que possa ser apresentado a um cliente ou banco quando solicitado. É exatamente esse processo que o Diagnóstico da Altcom mapeia desde o primeiro contato.

Os princípios de proteção de dados que embasam esse tipo de auditoria estão descritos no site da Autoridade Nacional de Proteção de Dados (ANPD).