{"id":1392,"date":"2018-04-16T10:00:41","date_gmt":"2018-04-16T13:00:41","guid":{"rendered":"https:\/\/www.equals.com.br\/ssae18-entenda-o-que-e-e-por-que-e-importante-para-a-seguranca-da-sua-empresa\/"},"modified":"2025-07-16T11:33:58","modified_gmt":"2025-07-16T14:33:58","slug":"ssae18","status":"publish","type":"post","link":"https:\/\/equals.com.br\/es\/blog\/ssae18\/","title":{"rendered":"SSAE18: entenda o que \u00e9 e por que \u00e9 importante para a seguran\u00e7a da sua empresa"},"content":{"rendered":"

Com o alto volume de neg\u00f3cios que ocorrem a todo momento no mundo globalizado, cresce tamb\u00e9m a demanda por mais transpar\u00eancia nas rela\u00e7\u00f5es entre empresas fornecedoras e clientes. \u00c9 nesse escopo que entra o conjunto de normas SSAE18.<\/p>\n

Neste artigo, voc\u00ea vai saber do que se trata a SSAE18 e qual a sua import\u00e2ncia na gera\u00e7\u00e3o de vendas corporativas e na conformidade da sua empresa junto ao mercado. Continue a leitura!<\/p>\n

Qual a origem da SSAE18?<\/h2>\n

Para compreender melhor do que trata a SSAE18 e sua evolu\u00e7\u00e3o em rela\u00e7\u00e3o \u00e0 sua vers\u00e3o anterior, a SSAE16, \u00e9 necess\u00e1rio voltar para o in\u00edcio do mil\u00eanio.<\/p>\n

Em 2001, foi descoberto um dos maiores esc\u00e2ndalos corporativos da hist\u00f3ria dos Estados Unidos, a fraude da Enron<\/a>. Durante anos, a corpora\u00e7\u00e3o do segmento de energia falsificou relat\u00f3rios cont\u00e1beis para inflar as margens de lucro.<\/p>\n

O esquema permaneceu encoberto por conta da atua\u00e7\u00e3o da Arthur Andersen, firma centen\u00e1ria de auditoria e uma das mais conceituadas \u00e0 \u00e9poca. O escrit\u00f3rio validou os balancetes anuais, o que garantia aos investidores que a empresa era segura.<\/p>\n

Quando o esc\u00e2ndalo veio \u00e0 tona, os preju\u00edzos se estenderam para al\u00e9m dos investidores e funcion\u00e1rios: as empresas com quem a Enron tinha contratos ou que foram auditadas pela Arthur Andersen \u2014 incluindo o Governo dos Estados Unidos \u2014 tamb\u00e9m ficaram sob suspeita.<\/p>\n

Para blindar os neg\u00f3cios contra futuros preju\u00edzos, o Congresso dos Estados Unidos aprovou a Lei Sarbanes-Oxley (SOx)<\/a>, que tem como objetivo proteger os investimentos financeiros e evitar a fuga de investidores por conta de problemas de governan\u00e7a e compliance.<\/p>\n

Em decorr\u00eancia da Lei \u2014 e para abranger empresas que n\u00e3o t\u00eam capital aberto na bolsa de valores \u2014 a American Institute of Certified Public Accountants (AICPA) criou padr\u00f5es e instrumentos para garantir a transpar\u00eancia e seguran\u00e7a em contratos de terceiriza\u00e7\u00e3o de servi\u00e7os.<\/p>\n

O que \u00e9 a SSAE18?<\/h2>\n

Um desses instrumentos \u00e9 o relat\u00f3rio de Controles de Organiza\u00e7\u00e3o de Servi\u00e7o (Service Organization Controls, ou SOC), cujo conceito era associado \u00e0 SSAE16.<\/p>\n

No Brasil, empresas como o Dropbox<\/a> e a Amazon<\/a>, que t\u00eam produtos voltados para clientes corporativos, disponibilizam esse relat\u00f3rio para qualquer empresa que contrate seus servi\u00e7os.<\/p>\n

Relat\u00f3rios SOC s\u00e3o produzidos por auditores e servem para mostrar aos investidores e fornecedores que a empresa tem controles internos, pol\u00edticas e procedimentos para assegurar a efetividade dos neg\u00f3cios.<\/p>\n

Al\u00e9m disso, se existem riscos em potencial para o neg\u00f3cio e para os objetivos da organiza\u00e7\u00e3o, eles devem ser detalhados. Assim como a brasileira NBC TO 3402<\/a>, a SSAE16 se espelha no padr\u00e3o internacional ISAE 3402<\/a>.<\/p>\n

Desde o primeiro dia de maio de 2017, os padr\u00f5es foram atualizados e a norma passou a se chamar Statement on Standards for Attestation Engagements n\u00ba 18 (SSAE18). Companhias de capital aberto nos Estados Unidos, incluindo brasileiras, j\u00e1 passaram a adotar o novo padr\u00e3o.<\/p>\n

Qual a diferen\u00e7a?<\/h2>\n

O que houve n\u00e3o foi apenas uma mudan\u00e7a de nomenclatura. Em primeiro lugar, foi feita uma distin\u00e7\u00e3o de conceitos em rela\u00e7\u00e3o aos SOC. Enquanto a vers\u00e3o anterior se referia especificamente aos relat\u00f3rios de controles internos (SOC1), a SSAE18 \u00e9 mais abrangente.<\/p>\n

Contadores e auditores costumavam se referir \u00e0 SSAE16 como SOC1, e vice-versa. Isso gerava uma confus\u00e3o entre os padr\u00f5es e normas (SSAE) e seus instrumentos para orienta\u00e7\u00e3o de transpar\u00eancia e comunica\u00e7\u00e3o de riscos (SOC).<\/p>\n

Com o padr\u00e3o SSAE18, foram unificadas todas as SSAE anteriores. Conhe\u00e7a abaixo as duas principais diferen\u00e7as<\/a> em rela\u00e7\u00e3o \u00e0 vers\u00e3o anterior:<\/p>\n

1. Listagem de empresas que prestam servi\u00e7os complementares (subcontratadas)<\/h3>\n

O foco principal dessas normas s\u00e3o as empresas de outsourcing, cada vez mais disseminadas no mundo por conta da transforma\u00e7\u00e3o digital<\/a> dos neg\u00f3cios. Muitas empresas de outsourcing atuam no segmento de TI e prestam servi\u00e7os \u00e0s grandes companhias, o que n\u00e3o \u00e9 novidade.<\/p>\n

Alguns exemplos incluem: empresas que trabalham com processamento de folha de pagamento, infraestrutura, hospedagem, dentre outros servi\u00e7os.<\/p>\n

O aumento da complexidade leva ao aumento de sub-prestadoras de servi\u00e7os, ou seja, empresas que atuam como fornecedoras de outras prestadoras de servi\u00e7os. Por exemplo, quando uma empresa de TI que desenvolve aplica\u00e7\u00f5es para neg\u00f3cios usa um outro fornecedor para hospedar os dados, h\u00e1 uma subcontrata\u00e7\u00e3o.<\/p>\n

Esse tipo de rela\u00e7\u00e3o costuma ficar obscura \u00e0 medida em que mais empresas se envolvem. Quem \u00e9 respons\u00e1vel pelos servi\u00e7os? Se houver uma quebra operacional, quem deve ser contactado? E se uma das empresas nessa rela\u00e7\u00e3o atuar de forma negligente ou fraudulenta?<\/p>\n

A SSAE18 obriga as empresas prestadoras de\u00a0servi\u00e7os a deixarem claro\u00a0quando contratam outra companhia\u00a0a fim de garantir\u00a0o fornecimento.<\/p>\n

Para garantir que a empresa-cliente n\u00e3o seja prejudicada, a fornecedora deve implementar ferramentas de controle para monitorar a efici\u00eancia e a necessidade de outros controles das subcontratadas.<\/p>\n

Alguns dos controles que as fornecedoras podem usar para monitorar as subcontratadas incluem:<\/p>\n