01
A pergunta que ninguém responde
Levantar quem tem acesso a quê exige um analista, uma planilha e alguns dias. Quando a planilha fica pronta, já está desatualizada.
O SodScan lê os acessos do seu ERP e mostra, nome a nome, onde a segregação de funções está quebrada — sem instalar agente, sem conectar no seu banco e sem alterar uma única linha do seu ambiente.
Exemplo ilustrativo — dados fictícios.
Permissão não se acumula de uma vez. Ela cresce em silêncio — no grupo criado “temporariamente” há seis anos, na pessoa que mudou de área e manteve o acesso antigo, na exceção que virou padrão. Quando alguém pergunta “quem pode fazer o quê aqui?”, a resposta honesta quase sempre é: ninguém sabe.
Levantar quem tem acesso a quê exige um analista, uma planilha e alguns dias. Quando a planilha fica pronta, já está desatualizada.
Basta um usuário com o grupo * para que todo o controle de acesso do ERP vire teoria. Quase toda base tem um. Quase nenhuma sabe quantos.
Contas ativas de quem não abre o sistema há mais de um ano continuam podendo lançar, aprovar e pagar.
Não basta o controle existir hoje. É preciso provar que ele existia na data em que o auditor perguntou.
A objeção que mata qualquer ferramenta de acesso é “você vai mexer no meu sistema?”. Aqui a resposta é não — e não por promessa, por desenho.
Uma rotina roda dentro do seu ambiente e gera arquivos de extração com os cadastros de acesso: usuários, grupos, programas, módulos e lotação. Nada de negócio — nenhum pedido, nenhum título, nenhuma nota, nenhum valor.
Você sobe os arquivos no SodScan. Cada importação vira um snapshot datado. O sistema nunca fala com o ERP: não há conexão, não há porta liberada, não há agente instalado.
Em minutos: a matriz de SoD, os conflitos por pessoa e por área, os programas críticos e exatamente o que mudou desde a importação anterior.
Processo A × Processo B, grau do risco, mitigação declarada e quantas pessoas estão em conflito hoje. Sua matriz, com os seus processos.
Percorre a cadeia usuário → grupo → programa → processo e devolve o conflito com nome, setor e o caminho exato que criou a permissão.
Tudo o que uma pessoa alcança no ERP em uma tela: grupos, programas, processos, módulos e conflitos.
Compare importações. “Melhorou ou piorou desde a última auditoria?” deixa de ser opinião e vira gráfico.
Onde estão os poucos setores que respondem pela maior parte dos conflitos — para priorizar a remediação com critério.
Padrão, específico ou crítico; quem acessa, com que frequência e há quanto tempo não é usado.
Todo acesso e toda alteração dentro do próprio SodScan ficam registrados, com autor e data.
Quem vê a matriz, quem importa, quem administra. O controle interno também vale para a ferramenta de controle.
Cada importação é uma foto datada da sua base — evidência que você apresenta ao auditor sem reconstruir nada. Os apontamentos deixam de ser planilha manual e passam a ter rastreabilidade.
Nenhum agente, nenhuma credencial de banco entregue, nenhuma porta aberta. A extração é sua, roda no seu ambiente, e você inspeciona o que sai antes de subir.
Fraude por acúmulo de acesso não precisa de invasão nem de senha roubada — precisa de uma pessoa com dois acessos que nunca deveriam estar juntos. Isso é risco financeiro, e passa a ter dono, prazo e número.
O software é metade do trabalho. A outra metade é uma equipe de consultores que passou mais de duas décadas implantando, sustentando e auditando os mais diversos módulos do sistema — e que conhece o processo antes de olhar a permissão.
Porque quando um conflito aparece na matriz, a pergunta seguinte é sempre a mesma: isso é risco de verdade, ou é assim que esse processo funciona aqui? Essa resposta não vem de software nenhum.
O SodScan não grava, não altera e não executa nada no seu ERP. Não há função capaz disso.
A extração lê quem pode executar o quê. Não lê pedidos, títulos, notas nem valores.
Os arquivos de extração são seus. Dá para abrir e conferir exatamente o que será importado antes de subir.
Em nuvem ou dentro da sua própria infraestrutura, conforme a política da empresa.
O SodScan analisa acessos, não pessoas. Sua empresa continua sendo a controladora dos dados; nós atuamos como operador, seguindo as suas instruções e formalizando isso em contrato. Cada prática ao lado existe para reduzir o dado tratado ao mínimo indispensável.
Não. Você gera os arquivos de extração no seu ambiente e sobe manualmente. O SodScan nunca fala com o ERP.
Não, e isso é deliberado. O SodScan mostra, prioriza e comprova. A decisão e a execução continuam no seu processo e no seu ERP, com os responsáveis de sempre.
O desligamento continua sendo do RH. O SodScan reflete o status conforme importado e evidencia acessos que deveriam ter sido removidos e não foram.
A análise roda sobre arquivos de extração, então a arquitetura é agnóstica. O extrator pronto hoje é o do Datasul; outro ERP exige escrever o extrator equivalente — avaliamos isso na conversa.
A importação traz o mínimo necessário para dizer quem tem cada acesso — nada de dado sensível, nada de dado financeiro. As telas têm um modo que oculta nome, lotação e e-mail com um clique, válido também na impressão e nas exportações. Sua empresa permanece controladora dos dados e o SodScan atua como operador, com a finalidade, o prazo de retenção e as instruções de tratamento definidos em contrato.
A primeira importação já produz a matriz e a lista de conflitos. O trabalho real começa depois: decidir o que é conflito de verdade e o que já está mitigado.
Rodamos a extração no seu ambiente, importamos e apresentamos os conflitos reais da sua base numa reunião de uma hora. Sem compromisso e sem instalar nada.