The following question is investigated in this study: Are there significant deviations in the distribution of the 1st and 2nd digits of state public spending from the behavior predicted by the Newcomb-Benford Law (NB-Law)? The goal of this study is to detect the occurrence of significant deviations in the distribution of the 1st and 2nd digits of state public spending compared to the standard distribution defined in the NB-Law. This study develops an interdisciplinary and exploratory methodology to analyze 134,281 contracts issued by 20 management units in two states. An accounting model based on hypothesis testing was applied to analyze the data, thereby evaluating the conformity between the observed distribution and that predicated by NB-Law. This study showed that there were significant differences in the distribution of digits; the numbers 7 and 8 had excess occurrences, and 9 and 6 were rare occurrences compared to the proportions expected by the NB-Law for the 1st figure. This behavior denoted a tendency to avoid conducting the bidding process. The analysis of the 2nd digit, unprecedented for the Brazilian case, showed a significant excess of occurrences for the numbers 0 and 5, which indicated the use of rounding in determining the value of contracts. We show the feasibility, usefulness, and practicality of applying the NB-Law to the action of oversight bodies, particularly when planning an audit and determining the audited sample.

Na atualidade, a integração de funcionalidade e segurança em aplicações é um desafio. Existe a noção de que a segurança é um processo pesado, requer conhecimento e consome o tempo dos programadores, contrastando desta forma com a visão relativa à funcionalidade. Independentemente destes desafios, é importante que as organizações tratem da segurança nos seus processos ágeis, pois os ativos críticos da organização devem ser protegidos contra potenciais ataques. Uma forma de evitar que os ataques tenham sucesso passa por integrar ferramentas que possam ajudar a identificar vulnerabilidades de segurança durante a fase de desenvolvimento das aplicações e sugerir métodos para a sua correção. Segundo o Instituto Gartner, mais de 75% dos problemas com segurança na Internet são devidos a vulnerabilidades exploráveis a partir das Aplicações Web (Web Apps). A maior parte das Web Apps são naturalmente vulneráveis devido às tecnologias adotadas na sua concepção, à forma como são desenhadas e desenvolvidas, e ao uso de vários objetos e recursos, além da integração de outros sistemas. Frequentemente observa-se que são priorizados os aspetos funcionais que atendem a área de negócios, enquanto os requisitos de segurança ficam em segundo plano. Os ataques a Web Apps podem causar problemas de variados níveis de impacto, como por exemplo: interrupção ou queda de desempenho do serviço; acesso não autorizado a dados confidenciais e estratégicos; roubo de informação e clientes; fraudes e modificação de dados no fluxo das operações; perdas financeiras diretas e indiretas; prejuízos à imagem da marca da empresa; perda da lealdade dos clientes e gastos extraordinários com incidentes de segurança. Os riscos de ataques mais comuns são genericamente conhecidos e podem ser previstos com antecedência, pois são listados pela Open Web Application Security Project (OWASP), e dentre eles, três dos principais são: SQL Injection (SQLi); Cross-Site Scripting (XSS); Broken Authentication e Session Management. Os ataques mais graves são aqueles que, quando realizados sobre vulnerabilidades da Web App, não serão detetados de imediato e resultam no acesso a dados sigilosos do negócio, da infraestrutura, ou de clientes, e que podem ser posteriormente organizados para realizar um ataque de impacto mais relevante, ou uma fraude. Neste contexto, um novo paradigma surge no que se refere `a auditoria em ambientes web. O conceito de Auditoria Contínua (AC) emerge como uma nova solução de auditoria que responde a novas necessidades, sendo um tema recente que tem sido objeto de pesquisas e aposta de organizações. O modelo tradicional de auditoria, baseado em análises pontuais e descontínuas, torna-se cada vez mais inadequado à dinâmica atual da informação e aos sistemas que a gerem. Atualizações constantes de aplicações e as alterações nas configurações do sistema podem introduzir vulnerabilidades e deixar uma organização suscetível a ataques. Portanto, para manter os dados seguros, os sistemas e dispositivos devem ser verificados continuamente para identificar e relatar vulnerabilidades à medida que são descobertas. Este conceito traduz-se numa enorme mudança na filosofia tradicional da auditoria para um paradigma de AC que torna possível uma intervenção e ação corretiva mais cedo. Desta forma, é necessário que as organizações adotem uma metodologia que permita aos auditores independentes, fornecer garantias por meio de relatórios sobre a ocorrência de eventos ao longo da vida do sistema. Esses eventos, quando monitorizados em tempo real, permitem desvios a serem detetados e relatados para aumentar a velocidade e a eficácia da resposta pelos elementos responsáveis pela tomada de decisão. As organizações estão sujeitas a vários tipos de auditorias que têm diferentes finalidades, como a qualidade, o ambiente, a operação ou a gestão. Estes processos seguem um período de tempo para validar e analisar o que já foi feito e o estado atual da organização. Na segurança da informação, a AC visa garantir a monitorização em tempo real do sistema e o risco dos ativos da empresa. Para além disso, permite avaliar o nível de segurança atual do sistema, monitorizar o sistema em tempo real, aumentando a eficiência da descoberta e mitigação de vulnerabilidades. Os testes de intrusão, são geralmente um complemento para a AC. Num processo contínuo em que não existe esse comportamento invasivo, as análises de vulnerabilidades são realizadas com o auxílio de ferramentas automáticas ao longo do tempo para observar e monitorizar o estado do sistema e as ações corretivas as serem tomadas. O objetivo desta tese é propor uma abordagem e desenvolver uma ferramenta que permitirá detetar ataques do tipo Injection Attacks (IA) ou Cross-Site Request Forgery (CSRF) em Web Apps, no caso de estas estarem a recorrer ao mecanismo Cross-Origin Resource Sharing (CORS). Para efetuar a deteção de IA, a ferramenta terá a capacidade de analisar os links externos que são passados no atributo href a que uma Web App se liga, com o intuito de verificar se estes estão comprometidos. Para a deteção de CORS a ferramenta analisará todos os links internos passados no atributo src para verificar se estes invocam métodos XMLHttpRequest utilizados para chamadas de CORS. Estes dois tipos de ataques est˜ao sempre associados, contribuindo para um IA bem-sucedido. O IA é uma classe de ataques que depende da injeção de dados numa Web App, causando a execução ou interpretação de dados mal-intencionados de maneira inesperada. Exemplos de ataques desta classe incluem SQLi, HTML Injection, XSS, Header Injection, Log Injection e Full Path Disclosure. Estes são os ataques mais comuns e bem-sucedidos na Internet devido aos seus numerosos tipos, grande superfície de ataque e complexidade necessária para os proteger. O CORS é um mecanismo do browser que permite o acesso controlado a recursos localizados fora de um determinado domínio. Ele estende e adiciona flexibilidade à Same Origin Policy (SOP). No entanto, este mecanismo também oferece potencial para ataques baseados em vários domínios, se a política de CORS de um site estiver mal configurada ou implementada. O CORS não pretende ser uma proteção contra ataques de Cross-Request como o CSRF.Tendo em conta o anteriormente descrito relativamente a IA e CORS, a ferramenta desenvolvida permite a deteção de vulnerabilidades em Web Apps em AC. O foco fundamental está nos links externos e internos da Web App. Corre num servidor web, disponibilizando este serviço aos utilizadores na internet, permitindo analisar ligações externas e internas de uma determinada Web App. Para as ligações externas irá detetar evidências de IA, atribuindo uma classificação de benigno ou maligno às ligações externas identificadas. Para os links internos, verifica se existem chamadas de Cross-Origin mais especificamente CORS. Desta forma um utilizador poderá submeter o URL da sua Web App que irá ser analisado pela ferramenta Vulnerabilities Detector at Runtime and Continuous Auditing (VuDRuCA) que recorre a um mecanismo de AC. A ferramenta VuDRuCA emprega técnicas de crawling para navegar nas páginas da Web App e obter a informação pretendida. Utiliza ainda a API do Virus Total para analisar URLs, identificando conteúdo malicioso detestável por antivírus e scanners de Web Apps. Como backend a ferramenta utiliza uma base de dados relacional que armazena todos os dados recolhidos para que estes possam ser analisados, contribuindo para a apresentação de indicadores. Na fase de avaliação a ferramenta foi testada utilizando uma amostragem de 100 URLs de Web App que recorrem à tecnologia AJAX. Para estes foram contabilizados o número de sites externos e internos da Web App. Após uma primeira análise foram escolhidos 30 Web Apps para categorização, medição dos tempos de execução para deteção de links externos e internos e várias outras métricas relativas aos tempos de execução. Finalmente para testar o motor de AC foram selecionados 10 URL de Web Apps que na sua maioria recorrem a CORS. Nestas 10 Web Apps foi identificada a tecnologia de Content Manamgment System (CMS) utilizada. O módulo de AC, efetuou ainda uma análise durante um período de 5 dias, com intervalos de 24h, para validar se existia a introdução de novos links externos ou se algum destes estava comprometido. Relativamente aos links internos foi validado se existiam novos links internos e se estes recorriam a CORS.

A qualidade das decisões dos agentes económicos depende da autenticidade da informação disponível que suporta essas decisões. O objetivo principal desta dissertação é auditar algumas das principais séries temporais macroeconómicas das economias mundiais. Em concreto, verificar se há evidências que apontem para que os valores apresentados nas séries tenham sido corretamente medidos, ou se, pelo contrário, há evidências para a existência de erros de mensuração e/ou manipulação de dados, fazendo nesse caso com que a realidade possa não estar a ser corretamente retratada, o que naturalmente influenciará de forma negativa a qualidade das decisões tomadas pelos agentes económicos. O método de investigação utilizado neste estudo é o método quantitativo. A investigação quantitativa integra-se no paradigma positivista e tem como objetivo a identificação e apresentação de dados, indicadores e tendências observáveis. Neste tipo de investigação, as hipóteses, as variáveis e o projeto de investigação são sempre previamente definidos, baseando-se a validade dos resultados no controlo concetual e técnico das variáveis em estudo. É utilizada a lei de Benford como base para testar o grau de autenticidade dos valores apresentados em algumas séries temporais macroeconómicas. A maioria dos dados não apresenta desvios significativos em relação ao comportamento esperado pela lei para dados autênticos, pelo que, em geral, existem evidências para que os valores apresentados nas séries tenham sido corretamente medidos, o que é positivo para a qualidade das decisões dos agentes económicos. As variáveis analisadas têm no entanto diferentes níveis de autenticidade, com evidência para menor correção dos dados das variáveis PIB per capita e População, quando comparados com dados das variáveis Impostos e IDE. Os resultados indiciam também que, ao contrário do que se poderia esperar, o grau de autenticidade das séries não varia consoante o nível de desenvolvimento dos países. Por fim, os dados revelam ser mais autênticos na década atual do que na década de 90.

Em resultado da crescente exigência na credibilidade da informação financeira fornecida, a auditoria interna tem vindo a desempenhar um papel cada vez mais importante nas organizações. Atualmente existe a necessidade de garantir a conformidade das transações organizacionais em tempo real de forma a aumentar a confiabilidade na informação e diminuir os riscos. Neste contexto, o conceito de Continuous Assurance tem vindo a ganhar relevo, permitindo reduzir potenciais erros e riscos e obter informações úteis em tempo real suportando mais eficazmente a tomada de decisão. Como objetivo central desta dissertação, procurou-se compreender qual a importância e a utilização de serviços de Continuous Assurance na ótica do auditor interno. A metodologia utilizada é do tipo exploratório-descritiva, de natureza qualitativa e recorreu a inquérito por questionário. Os principais resultados demonstram, entre outros aspetos, que os serviços de Continuous Assurance são considerados pelos auditores internos como muito importantes. Apesar disso, a sua implementação nas organizações não acompanha a importância que lhe é atribuída, estando ainda longe de estar completamente concretizada. O número de auditores que compõe o departamento de auditoria é um fator influenciador no que diz respeito à utilização de alguns serviços de Continuous Asssurance.

A auditoria contínua assume um papel cada vez mais importante e proativo nas organizações, sendo-lhe exigida a gestão de riscos de forma continua, previsão de incidentes, e análise de dados de forma integrada, no entanto com a produção massiva de dados, e escassez de tempo, é imperativo o recurso a tecnologia para permitir que a informação seja produzida e analisada em tempo útil. Os dashboards, através da representação dinâmica de indicadores, constituem uma solução para responder a estes desafios. Esta dissertação tem assim o objetivo de perceber quais os indicadores pertinentes a incluir num dashboard para auditoria contínua, e quais os componentes mais apropriados para os representar. Para atingir estes objetivos, foi conceptualizado e proposto um dashboard com indicadores selecionados da literatura existente e solicitou-se aos auditores internos que respondessem a um inquérito para validação do mesmo. O estudo concluiu que a maioria dos auditores internos compreendem que os dashboards são importantes para as suas funções, estando esta perceção relacionada com o setor de atividade. Quanto aos indicadores, este trabalho permitiu concluir que os auditores privilegiam aqueles que apresentam o risco para diferentes áreas de controlo, o acompanhamento de projetos/ procedimentos/ processos, e os rácios económico-financeiros.

A Internet criou oportunidades para as organizações expandirem o seu negócio e partilharem informação, num número crescente de aplicações web para aceder a dados criar conteúdos. Tanto as aplicações como as infraestruturas de rede, sendo implementadas por seres falíveis (humanos), contêm vulnerabilidades que podem comprometer o sistema. Para se reduzir o risco de segurança durante o tempo de vida do sistema, é necessária a existência de um processo que permita a identificação, a análise, a monitorização e a mitigação devulnerabilidades continuamente, denominado de auditoria contínua de segurança da informação. Na análise de vulnerabilidades, recorre-se a ferramentas automáticas, denominadas de scanners, que identificam vulnerabilidades conhecidas oferecendo as respetivas informações técnicas e sugestões de mitigação. Estes scanners devolvem resultados consoante o que foi detetado, e ao serem monitorizados e geridos pela organização, dão origem a incidentes de segurança. Num processo de auditoria contínua, as organizações executam scans ao longo do ciclo de vida do sistema, agendados em curtos intervalos de tempo, em que por cada execução existe um potencial aumento de número de incidentes de segurança apenas referentes a análise de vulnerabilidades. Tipicamente os incidentes são analisados manualmente, a fim de se tomarem as medidas de resolução das vulnerabilidades encontradas, nomeadamente validar a sua prioridade e criticidade de mitigação. Essa avaliação não só é morosa como tem custos associados, pelos recursos que estão dedicados a esta tarefa. As vulnerabilidades ao serem descritas apenas com informações técnicas, não permitem que seja percetível a prioridade e importância do seu impacto no negócio. Este trabalho serve para apresentar uma solução que permite minimizar o esforço manual e agilizar a caracterização dos resultados dos scanners em 25%. Através de critérios de negócio e ambiente inerentes ao sistema em análise, é possível calcular um valor de severidade mais realista e gerar alertas que permitam prioritizar a mitigação das vulnerabilidades encontradas.

O elemento de investigação empírica proposto por este relatório de estágio abarca dois objetivos. Por um lado, o objetivo principal dar-se-á pela análise das vantagens e limitações impostas pela blockchain e auditoria contínua, no que concerne o futuro da profissão do auditor. Por outro lado, o segundo objetivo pretende detalhar todas as atividades exercidas no decurso do estágio curricular na multinacional Ryan VAT Systems. Espera-se que esta investigação sirva como contributo a empresa acolhedora de estágio. A globalização e o rápido avanço tecnológico transformaram o modo como as empresas e as profissões devem atuar. Informações em tempo real tornam-se uma necessidade para as organizações, na medida que promovem a manutenção de sua estabilidade e eficiência e as conduzem a se firmarem competitivas no ambiente de negócios. No contexto das profissões da contabilidade, em particular na auditoria, acompanha-se uma urgência em readaptar os paradigmas antes conhecidos para um com novas premissas, que se adequem as novas tecnologias e atendam às exigências do mercado. Tecnologias como a blockchain e a auditoria contínua promovem uma evolução na área de auditoria, devido aos seus mecanismos específicos que permitem gerar e analisar informações em tempo real e, por consequência, levam à desmaterialização dos processos. Ainda, garante que as informações presentes sejam fidedignas. Neste sentido, apesar das vantagens excepcionais, à luz dessas oportunidades também se escondem limitações, as quais gestores e auditores deverão levar em consideração. Posto o caráter evolutivo das tecnologias, em que precisam de constantes atualizações em seus sistemas, ainda há problemas relacionados a latência, sincronização, segurança e outros, que podem afetar os processos organizacionais. No fim, foi possível concluir que deverá ocorrer uma mudança na mentalidade dos profissionais de contabilidade auditoria, dando importância para capacitação técnica de manuseio destas tecnologias para fins de garantia de qualidade e eficiência em sua atuação. Torna-se assim primordial investigar a evolução destas tecnologias e seus impactos futuros no seio das empresas e, principalmente, no modelo tradicional de auditoria.

O ambiente de mudança e de incerteza, as novas tecnologias de informação subjacentes aos actuais sistemas de informação, a desmaterialização dos documentos, a produção de informação financeira on-line em tempo real, o comércio electrónico e os escândalos financeiros (sobretudo a partir do início dos anos 2000) – tudo isto colocou em causa o modelo tradicional de auditoria. A auditoria contínua surge, há cerca de duas décadas, como um novo paradigma de auditoria susceptível de dar resposta às novas necessidades e ao novo contexto. É, pois, um tema recente, actualmente objecto de grande investigação e interesse, quer da parte de académicos quer de profissionais. O presente trabalho aborda as principais inovações da auditoria contínua, os seus métodos e processos específicos, concluindo que a auditoria irá caminhar certamente no sentido deste novo paradigma, apesar dos obstáculos e dificuldades que uma mudança de tal dimensão enfrentará, exigindo alterações substanciais ao nível da regulação da profissão e do estatuto do auditor.