Compliance no ERP i4pro: como auditar controles com o Kitopus

Em uma seguradora ou entidade supervisionada pela SUSEP, ter uma política de compliance formalmente escrita não basta: é mandatório comprovar que os controles operacionais e de integridade de dados são efetivamente executados e monitorados. Em operações que utilizam o ERP i4pro, milhares de dados críticos transitam diariamente entre subscrição, cobrança, sinistros e contabilidade. Quando ocorrem manutenções manuais no banco, concessões fora de alçada ou inconsistências cadastrais que afetam o reporte regulatório, a auditoria interna precisa de evidências tangíveis. É nesse cenário que o Kitopus atua como a camada contínua e independente de auditoria sobre o i4pro.

Conforme estabelecido na Circular SUSEP nº 638/2021, que define diretrizes para controles internos e segurança da informação, e na Resolução CNSP nº 432/2021, que disciplina a estrutura de gestão de riscos e governança das supervisionadas, as empresas de seguros devem assegurar a rastreabilidade e a integridade de seus registros. Este artigo examina como transformar o monitoramento de conformidade do i4pro em uma rotina automatizada e auditável com o Kitopus.

Resumo rápido

• Políticas de compliance aprovadas no papel não protegem a instituição sem evidências contínuas de execução sobre os dados do ERP.
• Ajustes manuais no banco de dados, alçadas extrapoladas e campos incomuns representam os maiores riscos de conformidade no i4pro.
• O Kitopus conecta-se ao SQL Server do i4pro com credenciais somente leitura para auditar regras de negócio sem tocar nos registros.
• Toda execução de análise no Kitopus registra carimbo de tempo, snapshot da consulta executada, total de inconsistências e plano de ação.
• Dados inconsistentes saneados continuamente reduzem multas no SRO, apontamentos de auditoria externa e fragilidades perante a SUSEP.

O abismo entre controle desenhado e controle comprovado

Muitas instituições operam sob a falsa sensação de segurança de que "as travas nativas do ERP garantem a conformidade". Na prática diária de uma operação de seguros, a complexidade dos negócios impõe exceções constantes:

1. Manutenções emergenciais e suporte técnico

Correções de tickets com urgência de fechamento, scripts de suporte para ajustar status de parcelas travadas ou alterações de apólices fora do fluxo habitual de telas podem burlar validações de negócio e não deixar trilha clara de aprovação.

2. Desvios nas alçadas de comissão e desconto

A regra comercial do produto estipula uma faixa máxima de comissionamento de 15%. No entanto, por negociação pontual ou parametrização incorreta de canal no i4pro, contratos são emitidos a 22%, drenando a rentabilidade da carteira e violando a política de alçadas da diretoria.

3. Inconsistências cadastrais para obrigações com a SUSEP

Apólices emitidas com campos mandatórios ausentes ou inválidos — como ramo incorreto, CPF/CNPJ com dígitos truncados ou códigos de cobertura divergentes da Tabela de Ramos da SUSEP. O erro não bloqueia a emissão interna, mas gera rejeições sucessivas nas remessas do Sistema de Registro de Operações (SRO).

4. Exceções sem tratativa ou prazo definido

Relatórios manuais de auditoria interna apontam uma lista de divergências em formato de planilha. Três meses depois, na visita da auditoria externa, descobre-se que ninguém assumiu a responsabilidade pelo saneamento daquelas linhas no i4pro.

Para a auditoria e a fiscalização regulatória, um controle que não gera evidência de execução periódica equivale a um controle inexistente.

Como o Kitopus estrutura a governança de dados no i4pro

O Kitopus fornece a infraestrutura que as áreas de Compliance, Gestão de Riscos e Auditoria Interna precisam para monitorar o i4pro sem atrito com a equipe de TI:

• Conexão read-only segura via Kitopus Agent: o agente instalado na nuvem ou data center do cliente consulta o banco SQL Server do i4pro com privilégios estritamente de leitura. Não há exposição de portas externas nem risco de alteração de dados do core.
• Monitoramento de movimentações atípicas: regras automatizadas fiscalizam registros criados ou editados fora do padrão, como apólices ativas com prêmio zerado, parcelas vencidas com status incompatível e sinistros encerrados com pagamentos pendentes.
• Preservação da evidência (Run Snapshots): a cada rodada, o Kitopus armazena o histórico completo da execução: o hash e snapshot da query executada, a quantidade de linhas encontradas, a criticidade atribuída e o impacto financeiro apurado.
• Fluxo de tarefas e planos de ação: achados de compliance transformam-se em tarefas operacionais com responsáveis nomeados, prazos de regularização, etiquetas, checklists e histórico de reincidência.
• Visão temporal de tendência: dashboards gerenciais permitem comprovar se o volume de inconsistências críticas está diminuindo ou se certas filiais e produtos reincidem nas mesmas inconformidades mês após mês.

Matriz de controles de compliance sobre o i4pro

• Controle de Alçadas e Comissões: detecta comissões pagas ou provisionadas fora das faixas aprovadas para o produto e canal. Periodicidade: semanal.
• Qualidade Cadastral SRO/SUSEP: identifica apólices e endossos vigentes com ausência de campos essenciais antes do envio ao registrador homologado. Periodicidade: diária.
• Segregação de Funções e Ajustes Manuais: mapeia alterações manuais em valores de prêmios e parcelas sem número de protocolo ou chamado homologado. Periodicidade: contínua.
• Integridade de Sinistros e Provisões: avalia se há divergência entre a Provisão de Sinistros a Liquidar (PSL) e as liquidações registradas no caixa. Periodicidade: mensal pré-fechamento.
• Envelhecimento de Pendências Regulatórias: sinaliza inconformidades abertas sem tratativa há mais de 15, 30 ou 60 dias, acionando escalonamento automático de governança.

Caso real hipotético: a preparação para a auditoria independente

Imagine uma seguradora regulada que utiliza o i4pro e se prepara para a auditoria externa anual das demonstrações contábeis e controles internos:

• Sem o Kitopus: a área de compliance precisa solicitar à TI a extração de múltiplos relatórios SQL manuais, consolidar arquivos Excel dispersos e tentar reconstruir manualmente quando cada checagem foi realizada ao longo do ano. O processo consome semanas e gera apontamentos de fragilidade na trilha de evidências;
• Com o Kitopus: a equipe acessa a plataforma e extrai instantaneamente o relatório histórico de todas as rodadas executadas pelo Kitopus Agent sobre a base i4pro nos últimos 12 meses. Cada execução comprova a data e hora em que a regra rodou, os achados identificados, a severidade, o responsável designado e a evidência de resolução da tarefa.

O resultado é a demonstração inequívoca de controle interno efetivo e em conformidade com as exigências da Resolução CNSP nº 432/2021 e da Circular SUSEP nº 638/2021.

Passos para implantar uma trilha de compliance no i4pro

1. Identifique os riscos prioritários da operação. Comece pelas regras que afetam compliance regulatório (SRO, provisões técnicas e limites operacionais da SUSEP) e proteção financeira.
2. Conecte o Kitopus Agent com credenciais read-only. Configure o agente no ambiente seguro da companhia apontando para a base SQL Server do i4pro.
3. Habilite o catálogo de análises críticas. Ative as análises pré-configuradas para i4pro ajustando os limites de tolerância específicos da sua operação.
4. Defina responsáveis por cada categoria de achado. Atribua as pendências de cadastro ao time de emissão, as de repasse ao financeiro e as regulatórias ao compliance.
5. Acompanhe a reincidência nas reuniões de governança. Utilize os indicadores do Kitopus para demonstrar à diretoria e ao comitê de auditoria a evolução contínua da qualidade dos dados.

Como o Kitopus apoia a gestão de compliance em seguros

O Kitopus foi desenhado especificamente para suprir o vazio entre o ERP core de seguros e os requisitos rigorosos de auditoria contínua e conformidade regulatória. Para conhecer nossa proposta institucional, veja a página de compliance para seguradoras que usam i4pro e de software de auditoria e compliance para seguros.

Consulte também nossos guias operacionais sobre como encontrar inconsistências no ERP i4pro, checklist de validação de dados para o SRO da SUSEP e por que scripts SQL pontuais não substituem uma plataforma de auditoria contínua.

Limites do monitoramento e conformidade jurídica

O monitoramento proporcionado pelo Kitopus fortalece a governança de dados, mas não substitui a atuação dos comitês de auditoria, pareceres atuariais ou a assessoria jurídica especializada. A plataforma atua como uma ferramenta analítica de precisão para subsidiar os gestores com informações tempestivas e verificáveis.

Perguntas frequentes

Como o Kitopus comprova a execução de controles internos para a SUSEP?

Cada análise executada registra o carimbo de tempo (timestamp), a query exata utilizada (hash e snapshot), os registros encontrados e a trilha de tratamento no módulo de tarefas, fornecendo a evidência documental exigida pelas normas de controle interno.

O Kitopus substitui uma ferramenta corporativa de GRC (Governança, Risco e Conformidade)?

Não. O Kitopus atua especificamente na camada de auditoria contínua baseada em dados operacionais do ERP de seguros, complementando as ferramentas de GRC ao fornecer monitoramento automatizado e evidências factuais das transações.

O Kitopus Agent armazena os dados sensíveis dos segurados na nuvem?

Não. O Kitopus Agent processa as análises localmente no ambiente do cliente e transmite ao SaaS apenas os metadados e os registros necessários para a identificação da inconsistência, em conformidade com as diretrizes da LGPD.

Quais normas da SUSEP embasam a necessidade de auditoria contínua no i4pro?

As principais referências são a Circular SUSEP nº 638/2021 (segurança da informação e controles internos) e a Resolução CNSP nº 432/2021 (gestão de riscos e auditoria interna), além dos normativos específicos do SRO e de provisões técnicas.

O Kitopus bloqueia transações no i4pro quando encontra um desvio de compliance?

Não. Por operar com acesso exclusivamente somente leitura, o Kitopus não interfere na operação em tempo real nem bloqueia o ERP. Ele sinaliza a exceção e gera tarefas rastreáveis para que os responsáveis atuem nos canais autorizados.