Auditoria SaaS é um processo cada vez mais comum realizado por fabricantes de software para garantir que suas soluções estejam sendo utilizadas conforme os termos contratados. Para as empresas, isso pode representar tanto um risco financeiro quanto uma oportunidade de fortalecer sua governança de TI.

Em um ambiente digital cada vez mais complexo, empresas que utilizam soluções SaaS precisam garantir que seus processos de negócios, gestão de dados e segurança de dados estejam em conformidade com as melhores práticas do mercado. O monitoramento contínuo, aliado a relatórios de auditoria e integrações diretas com sistemas existentes, permite identificar riscos, otimizar tarefas repetitivas e proteger dados confidenciais e dados dos clientes armazenados em bancos de dados ou data centers. Ao adotar uma solução SaaS baseada em nuvem com recursos de inteligência artificial, é possível realizar uma avaliação completa, melhorar o atendimento ao cliente e fortalecer a auditoria interna.

Neste artigo, você vai entender:

• O que é uma auditoria SaaS;
• Como os fabricantes conduzem essas verificações;
• Os riscos e benefícios da conformidade;
• E como o MattZero pode apoiar sua empresa a se preparar e manter a regularidade com o uso de SaaS.

O que é auditoria SaaS?

Auditoria SaaS é a prática de verificação do uso de softwares em nuvem por parte dos clientes, feita pelo fabricante da solução, por exemplo a Microsoft realiza a auditoria para verificar a utilização do M365. O objetivo é garantir que as condições de licenciamento estejam sendo respeitadas — especialmente no que diz respeito ao número de usuários, funcionalidades contratadas e região de uso, atividade que é muito comum nos negócios que envolvem o uso de SaaS.

Essas auditorias podem ocorrer:

• Ou de forma periódica, conforme práticas de compliance do fornecedor.
• Por solicitação contratual (cláusulas de auditoria);
• Por detecção de indícios de uso excessivo ou não autorizado;

Objetivo dos processos de auditoria dos fabricantes de software

As negociações são mais vantajosas para os fabricantes de software quando apresentam elementos favoráveis aos seus interesses. Por isso, concentram esforços em elaborar um relatório adverso que frequentemente descreve um cenário sob uma perspectiva parcial. Seu conteúdo nem sempre reflete a realidade, pois reúne muitos elementos interpretativos.

Dessa forma, aquilo que não pôde ser obtido anteriormente por meio comercial pode ser mais facilmente alcançado com base em supostas evidências de algum descumprimento dos termos do contrato de licença.

Assim, é perfeitamente razoável que os fabricantes de software examinem como seus produtos estão sendo utilizados. É lógico revisar os limites do direito de uso do software, que constituem, em última análise, o objeto da licença. No entanto, esse propósito legítimo muitas vezes é contaminado por evidentes interesses comerciais e estratégicos do fabricante.

Por exemplo, fabricantes como Microsoft e IBM preveem em seus contratos a possibilidade de empregar um terceiro independente. Outros, como a Oracle, não preveem esse aspecto, embora contem, na prática, com os chamados JPE (Joint Partner Engagement) Partners, sendo a Seven Eighths sua principal referência.

Como os fabricantes realizam a auditoria SaaS?

Para verificar o compliance e a quantidade correta de licenças compradas comparadas as utilizadas, os Fabricantes SaaS utilizam diferentes métodos para auditar seus clientes, como:

Análise de logs de acesso e consumo;

Solicitação de relatórios internos de TI;

Ferramentas próprias de monitoramento ou agentes;

Questionários de autoavaliação acompanhados de evidências.

Ao final, é gerado um relatório que compara o uso real com os termos contratuais. Caso haja discrepâncias, a empresa auditada pode ter que pagar multas, adquirir licenças adicionais ou ajustar processos.

Exemplo: O papel do auditor externo para a Microsoft

No caso da Microsoft, podem ser identificadas três modalidades diferentes de auditoria, que vão desde a autodeclaratória até a presencial. Para realizar suas auditorias, a empresa costuma utilizar uma combinação de recursos internos e externos. Embora a Deloitte tenha conduzido diversas revisões, a PwC (grupo de empresas que inclui Deloitte, EY (Ernst & Young) e KPMG.) foi escolhida para auditar alguns parceiros.

Assim, no Microsoft Business and Services Agreement (MBSA) está expressamente prevista a possibilidade de participação de um terceiro independente. Isso está especificamente contemplado na seção “Direito de verificar o cumprimento”, onde se lê:

A Microsoft tem o direito, por sua conta e risco, de verificar o cumprimento dos termos de licenciamento dos Produtos. O Cliente deverá fornecer prontamente aos auditores independentes qualquer informação solicitada por eles e que a Microsoft retenha para fins de verificação, incluindo o acesso aos sistemas que executam os Produtos e comprovação de licenciamento dos Produtos que o Cliente hospede, sublicencie ou distribua a terceiros. O Cliente compromete-se a concluir o processo de autoauditoria da Microsoft, que esta poderá solicitar como alternativa a uma auditoria realizada por um terceiro.

Assim como ocorre com outros fabricantes de software, todas as aplicações e softwares utilizados estarão envolvidos. Dessa forma, é necessário considerar tanto o software de gestão quanto o software de sistema, além do desenvolvimento de aplicações web, desenvolvimento de apps ou desenvolvimento de aplicações multiplataforma.

Por esse motivo, é fundamental que cada administrador de sistemas, desenvolvedor web ou qualquer pessoa envolvida no desenvolvimento de software tenha uma compreensão clara do licenciamento. Isso também se aplica ao pessoal de empresas de tecnologia e consultorias envolvido no desenvolvimento de aplicações.

Principais riscos da não conformidade em auditorias SaaS

Ignorar ou subestimar uma auditoria SaaS pode gerar consequências sérias para a empresa. Entre os principais riscos estão multas e penalidades financeiras, a perda de acesso a serviços essenciais, impactos negativos na reputação da organização e até complicações jurídicas e contratuais.

Além disso, o time de TI pode enfrentar retrabalhos intensos para corrigir irregularidades e apresentar justificativas ao fabricante. Em muitos casos, esses problemas surgem pela falta de visibilidade sobre os ativos SaaS em uso, o que reforça a importância de uma boa governança SaaS, além da gestão eficiente e contínua dessas aplicações.

Quais são as vantagens de uma solução de gestão de SaaS para auditoria e conformidade com as normas de TI?

Com uma solução de gestão de SaaS, como o MattZero, você mantém o controle da infraestrutura de TI, hardware e software em conformidade, com todos os indicadores documentados e sempre prontos para auditorias internas ou externas. Isso reduz riscos e elimina o potencial de multas por não conformidade.

A gestão eficaz da sua infraestrutura tecnológica melhora suas respostas durante uma auditoria e garante a conformidade contínua. A maioria das organizações de grande porte passa por uma auditoria anual de software, seja por exigências externas de conformidade, seja por controle interno de custos. Esse percentual tende a aumentar entre os fabricantes de hardware e software que têm maior visibilidade sobre seus clientes.

As auditorias internas exigem controles eficazes e respostas periódicas ao ambiente tecnológico e aos processos de gestão.

A informação sobre SaaS, quando gerenciada de forma ativa, contínua e por meio de um portal centralizado, é essencial. Isso permite informações precisas, com o menor consumo possível de recursos e tempo.

Como o MattZero ajuda sua empresa a se preparar para auditorias SaaS

O MattZero é uma plataforma especializada em gestão de ativos SaaS e descoberta automática de aplicações em nuvem. Com seu módulo de SaaS Discovery, a solução permite:

• Detectar riscos de não conformidade antes que o fabricante chegue até você.
• Estruturar uma auditoria interna, a fim de testar o procedimento e evitar falhas na auditoria do fabricante;
• Identificar todos os aplicativos SaaS em uso, inclusive os não aprovados oficialmente (Shadow IT);
• Mapear quais usuários acessam cada ferramenta e em qual frequência;
• Comparar o uso real com contratos e licenças adquiridas;
• Gerar relatórios com dados auditáveis e atualizados;

Auditorias SaaS são uma realidade — e não precisam ser um problema. Com visibilidade, governança e dados em tempo real, sua empresa pode transformar um risco em vantagem competitiva.

O MattZero está pronto para ser seu aliado nessa jornada. Fale com nossos especialistas e veja como podemos ajudar sua empresa a manter a conformidade com confiança e agilidade.