Aula 04 — Planejamento da UAIG

Entre as estratégias mais utilizadas para tratamento desse tipo de demanda, está a definição de uma reserva técnica, medida em percentual da capacidade operacional disponível na UAIG. [...] o Plano de Auditoria Interna inicial não deverá ocupar todos os recursos disponíveis [...]. Alternativamente, poder-se-á definir que o Plano ocupará o máximo de recursos da UAIG [...].

O Plano de Auditoria Interna é o documento no qual são registradas as atividades que a UAIG pretende desenvolver em um determinado período de tempo, normalmente um ano. Deve ser baseado em riscos, o que significa que sua principal finalidade deve ser garantir que a [UAIG] concentre seus trabalhos nos objetos de auditoria com maior exposição a ameaças que possam afetar o alcance dos seus objetivos, ou seja, os de maior risco.

A maturidade da gestão de riscos é o grau em que a organização se encontra em relação à adoção e à aplicação da abordagem de gestão de riscos [...]. [Esse procedimento] dá uma indicação da confiabilidade do cadastro de riscos e auxilia na definição da estratégia de auditoria. (Os arcabouços técnicos mais comumente utilizados são a ISO 31000 e o COSO ERM.)

Embora a IN SFC nº 3, de 2017, estabeleça que os trabalhos [...] sejam definidos com base em riscos, não há uma forma única de fazê-lo [...]. [O Manual] apresenta três maneiras comumente utilizadas: a) seleção [...] com base na avaliação de riscos realizada pela Unidade Auditada; b) [...] pela UAIG; c) [...] com base em fatores de riscos.

A lista de riscos identificados constitui uma lista de riscos inerentes ao processo, ou seja, os riscos próprios da atividade, considerando-se que não houvesse controles para mitigá-los.

Para fins de representação gráfica, pode ser utilizado o Mapa de Riscos, representado em dois eixos (impacto x probabilidade), cujas áreas representam os diferentes níveis de riscos. É possível, então, visualizar a criticidade dos riscos de acordo com a área em que são plotados no Mapa.

Previsão de, no mínimo, 40 horas de capacitação para cada auditor interno governamental, incluindo o responsável pela UAIG. [...] Essa capacitação [...] pode incluir cursos formais, seminários, workshops, [...] cursos de pós-graduação, [...] treinamento no trabalho, entre outros.

O rodízio de ênfase constitui uma rotação entre os objetos que compõem o universo de auditoria em determinado período, de modo a evitar, por um lado, a realização de diversos trabalhos de auditoria sobre um mesmo objeto; por outro lado, a inexistência de trabalhos sobre outros objetos associados a um menor risco. [...] deve ser estabelecida uma metodologia na qual seja especificado o período (ou ciclo) [...] (por exemplo, três, quatro ou cinco anos).

Deverá ser elaborado um Plano de Auditoria Interna para cada exercício. Os órgãos e as unidades integrantes do SCI, dada a necessidade de harmonização do seu planejamento com o planejamento das demais UAIG, poderão estabelecer período não coincidente com o ano civil para o seu Plano.

A confirmação externa, ou circularização, é a técnica utilizada para a obtenção de declaração formal e independente de partes externas (pessoas, empresas, órgãos fiscalizadores etc.) a respeito de fatos ligados às operações da Unidade Auditada. [...] A evidência [...] deve se apresentar na forma escrita [...]. A depender das circunstâncias, pode ser mais confiável do que a evidência gerada internamente [...], haja vista provir de fonte independente.

É preciso atentar para a existência de possíveis diferenças entre o processo normatizado (leis, portarias, resoluções etc.) e o seu fluxo real [...]. Caso o auditor detecte divergências relevantes [...], deverá aprofundar os exames, tendo em vista que essas diferenças podem representar inobservância e/ou inadequação dos controles internos ou até indicar que as normas estão inapropriadas. [...] as eventuais diferenças identificadas e a sua origem devem ser registradas.

Para a identificação das causas, devem ser verificadas as fontes de riscos e suas vulnerabilidades, tendo em vista que as fontes de riscos associadas às respectivas vulnerabilidades possibilitam que um evento ocorra, ou seja, que um risco se materialize. (Quadro 4: CAUSA = FONTES + VULNERABILIDADES.)

[...] é recomendável que os auditores [...] considerem [...] o “risco de o auditor chegar a conclusões inválidas e/ou fornecer opiniões equivocadas com base no trabalho de auditoria realizado”, isto é, o risco de auditoria. [...] Os trabalhos de auditoria visam a obter segurança razoável, não absoluta [...]. [...] os auditores devem ter como objetivo reduzir o risco de auditoria a um nível aceitável. O risco de auditoria se inter-relaciona com os riscos inerentes, de controle e de detecção [...].

[Considerar] as características dos controles, especialmente, quanto à função (preventivo, detectivo, corretivo, diretivo, compensatório ou complementar) e à forma de implementação (manual ou automatizada) [...].

De acordo com a finalidade, tem-se: testes de controle e procedimentos substantivos, sendo que, estes últimos [...] se subdividem em testes de detalhes e procedimentos analíticos substantivos. De acordo com o tipo, tem-se: inspeção, confirmação externa, recálculo, observação, indagação, procedimentos analíticos, reexecução, entre outros. Os procedimentos classificados por “tipo” são também conhecidos como “técnicas de auditoria”.

Os procedimentos substantivos têm como finalidade verificar a suficiência, a exatidão e a validade dos dados obtidos. [...] subdividem-se em: a) testes de detalhes [...]: se referem ao exame de registros contábeis e das operações/documentos que lhes deram origem [...]; b) procedimentos analíticos substantivos [...]: envolvem a utilização de comparações para avaliar adequação [...].

É necessário que o auditor [...] verifique: a) se a documentação é fidedigna e merece confiabilidade (autenticidade); b) se a transação se refere à operação normalmente executada naquele contexto e se está de acordo com os objetivos e normativos da Unidade Auditada (normalidade); c) se a operação e os documentos [...] foram aprovados por pessoa autorizada (aprovação); d) [...] nos casos de documentos oficiais, se existe o registro em órgão competente (oficialidade).

Conforme definição constante da NBC TA 500, “a reexecução envolve a execução independente pelo auditor de procedimentos ou controles que foram originalmente realizados como parte do controle interno da Unidade Auditada.” De forma diversa da observação, em que o empregado/servidor [...] realiza os procedimentos e é observado pelo auditor, aqui o auditor executa os procedimentos e colhe diretamente informações [...].

A literatura especializada apresenta 4 tipos de benchmarking: a) competitivo: estuda uma outra organização do mesmo setor [...]; b) de processo (função): o foco da comparação não é a organização em si, mas processos desenvolvidos por ela [...]; c) estratégico: [...] a busca de estratégias competitivas de sucesso; d) interno: consiste na identificação e na aplicação das melhores práticas de uma área da organização em outras áreas da mesma organização.

Amostragem em auditoria é a aplicação de procedimentos de auditoria em menos de 100% dos itens de uma população relevante para fins de auditoria, de forma que todos os itens da população tenham chance de serem selecionados. [...] É bastante útil em situações onde a execução do censo é inviável ou antieconômica e a informação obtida da amostra é suficiente para atender aos objetivos pretendidos.

[...] o risco de amostragem [...] é o risco de que a conclusão baseada na amostra seja inadequada, ou seja, diferente da conclusão obtida se o procedimento fosse aplicado em toda a população. [...] O risco de amostragem é influenciado pelo plano amostral utilizado e pelo tamanho da amostra, de forma que para um mesmo plano amostral, em geral, quanto maior for o tamanho da amostra menor o risco de amostragem.

Na auditoria, o planejamento cumpre os seguintes papéis [...]: [...] c) permite a elaboração de cronogramas de trabalho realistas; d) auxilia o auditor a dedicar atenção apropriada às áreas mais importantes da auditoria; [...] g) auxilia o auditor a identificar e a resolver tempestivamente problemas potenciais [...].

Controle preventivo: são os controles que impedem a ocorrência de eventos indesejados. Controle detectivo: são os controles que detectam a materialização de eventos de risco, contudo não impedem a sua ocorrência. Alertam sobre a existência de problemas ou desvios do padrão, com o objetivo de provocar a gestão para adotar as ações corretivas.

Segregação de funções: consiste na separação de funções de tal forma que estejam segregadas entre pessoas diferentes, a fim de reduzir o risco de erros ou de ações inadequadas ou fraudulentas. Geralmente implica dividir as responsabilidades de registro, autorização e aprovação de transações, bem como de manuseio dos ativos relacionados.

Risco de controle: risco de que um erro ou classificação indevida materiais que possam constar de uma afirmação não sejam evitados ou detectados tempestivamente pelos controles internos da entidade. Risco de detecção: é o risco de que os procedimentos executados pelo auditor [...] não detectem uma distorção existente que possa ser relevante [...].

O planejamento, portanto, consiste em um processo dinâmico e contínuo [...]. Por tudo isso, o planejamento deve também ser flexível. Isso significa que poderá ser ajustado, durante a sua execução, desde que com a anuência do responsável pela sua aprovação, sempre que houver alterações significativas no contexto do trabalho ou novas informações [...].

Para o desenvolvimento do plano baseado em riscos, é recomendável que a UAIG observe as seguintes etapas, as quais devem ser devidamente documentadas, à medida que forem executadas: a) entendimento da Unidade Auditada; b) definição do universo de auditoria; c) avaliação da maturidade da gestão de riscos; d) seleção dos trabalhos de auditoria com base em riscos.

A abordagem “de cima para baixo” se inicia no nível da unidade. Primeiramente, identificam-se os objetivos organizacionais e, em seguida, os processos principais relacionados a cada um desses objetivos [...]. A abordagem “de baixo para cima” começa pelo exame das atividades. Em seguida, essas atividades são agregadas em processos [...]. O próximo passo é determinar os principais objetivos dos processos identificados.

O universo de auditoria consiste no conjunto de objetos sobre os quais a UAIG pode realizar suas atividades [...]. Preferencialmente, os objetos de auditoria devem ser registrados de forma hierárquica, em uma estrutura de árvore [...]. Para que um objeto possa ser comparado com outros, porém, é necessário que estejam no mesmo nível hierárquico, ou seja; não se deve, por exemplo, comparar um processo com uma etapa de outro processo.

Gestão de riscos e controles internos incorporados às operações da Unidade Auditada → a UAIG utiliza o cadastro de riscos da Unidade Auditada, se julgá-lo confiável. Inexistência de abordagem formal de gestão de riscos ou processo incipiente → a UAIG utiliza método de planejamento alternativo, por exemplo, baseado em fatores de riscos ou a partir de riscos identificados pela própria UAIG.

[...] busca-se estimar a sua magnitude (nível de risco) com base, por exemplo, nos critérios do impacto do evento e sua probabilidade de ocorrência. Essa avaliação pode ser realizada por meio de métodos qualitativos e quantitativos. [...] a UAIG pode basear sua análise em outros critérios, como vulnerabilidade e velocidade do impacto [...].

Os fatores de risco podem ser quantitativos ou qualitativos. O que caracteriza os critérios quantitativos é que podem ser mensurados em alguma medida, tais como número de denúncias recebidas, materialidade [...], tempo desde a última auditoria realizada [...]. Já os critérios qualitativos [...]: o impacto social e ambiental [...], a gravidade dos achados das últimas auditorias, a relevância daquele objeto específico para o alcance dos objetivos estratégicos [...].

A proposta de Plano de Auditoria Interna das Audin [...] deve ser encaminhada ao órgão ou à unidade do SCI responsável pela sua supervisão técnica (CGU, Ciset ou unidade setorial [...]), o qual deve se manifestar [...] e recomendar, quando necessária, a inclusão ou a exclusão de trabalhos [...]. A ausência de manifestação tempestiva [...] não impede a [...] aprovação interna do planejamento pelo conselho ou [...] pela alta administração. Após a aprovação [...], as Audin deverão dar ciência de sua versão final ao órgão ou unidade do SCI responsável pela sua supervisão técnica.

A IN SFC nº 3, de 2017, prevê a necessidade de se considerarem [...]: a) análise preliminar do objeto da auditoria; b) definição dos objetivos e do escopo do trabalho [...]; c) elaboração do programa de trabalho. É fundamental que todos os membros da equipe participem dessa etapa ativamente, de forma que todos contribuam com seus conhecimentos e experiências [...].

Os objetivos consistem basicamente nas questões a que a auditoria pretende responder. [...] o escopo deve apresentar uma clara declaração do foco, da extensão e dos limites da auditoria, e sua amplitude deve ser suficiente para que os objetivos da auditoria sejam atingidos. Escopo e objetivos, portanto, devem ser compatibilizados.

No programa de trabalho de avaliação, devem constar: a) as questões (e subquestões) de auditoria [...]; b) os critérios de auditoria, que constituem referenciais para avaliar se a situação a ser avaliada atende ao esperado [...] (padrão razoável e atingível de desempenho) [...]; c) as técnicas, a natureza e a extensão dos testes [...]. O programa de trabalho deve ser aprovado formalmente pelo supervisor do trabalho, podendo ser ajustado [...] mediante a anuência do supervisor [...].

Entre as técnicas passíveis de serem utilizadas pela UAIG nessa etapa, estão incluídas: a) Brainstorming; b) Entrevistas estruturadas ou semiestruturadas; c) Técnica Delphi; d) Listas de verificação; [...] g) Análise de causa e efeito; [...] i) Análise de SWOT [...]. (A Norma ABNT NBR ISO 31010 fornece orientações sobre a seleção e aplicação dessas técnicas.)

Essas avaliações obrigatórias devem constar do plano. No entanto, sobre esses objetos, não há que se falar em avaliação de riscos no momento de elaboração do plano de auditoria, uma vez que, de forma independente da análise dos riscos, os trabalhos devem ser realizados. Nesses casos, a avaliação do risco poderá ocorrer, caso a legislação permita, na etapa de planejamento dos trabalhos individuais [...].

Antes de ser iniciado, o trabalho de auditoria deve ser formalizado internamente por meio de documento expedido pelo responsável pela UAIG [...]. Em relação à nomenclatura, é mais comum a utilização de Ordem de Serviço. [...] Essa formalização visa à organização interna e tem como destinatários os auditores. Há, entretanto, a necessidade de que o trabalho seja comunicado formalmente também à Unidade Auditada [...].

Após a identificação do risco inerente e a identificação do nível de controle, é possível concluir o nível de risco residual, isto é, aquele que permanece após a implantação da resposta da administração. Por exemplo: se a um risco inerente foi atribuído o grau 10 (muito alto) e os controles para esse risco forem considerados muito fracos, grau 2, tem-se o risco residual 8, também bastante alto.

Os testes de controle são aqueles que avaliam o desenho e a efetividade operacional dos controles, ou seja, se os controles realmente impedem ou revelam a ocorrência de falhas nas atividades controladas e se eles estão funcionando da forma estabelecida. [...] As técnicas geralmente usadas para testar o desenho dos controles [...] são observação, indagação, análise documental ou uma combinação delas, teste de reexecução de controle, entre outras.

[A observação] consiste no exame de processo ou de procedimento executado por outros, normalmente empregados/servidores da Unidade Auditada, com a finalidade de averiguar se o item sob exame opera em conformidade com os padrões (critérios) definidos. [...] A observação não deve ser confundida com a inspeção física. [...] as provas coletadas por esse meio devem ser corroboradas por outras fontes.

Essa técnica consiste na verificação da exatidão matemática de cálculos efetuados pela própria Unidade Auditada ou por terceiros. [...] O auditor deve estar atento ao fato de que a conferência dos cálculos prova apenas a exatidão matemática das operações; para determinar a validade dos algarismos que compõem as bases examinadas, são necessários outros tipos de testes.

De acordo com a IN SFC nº 3, de 2017, o planejamento da auditoria interna se divide em duas etapas: a) definição do Plano de Auditoria Interna baseado em riscos (etapa de identificação dos trabalhos a serem realizados prioritariamente pela UAIG); b) planejamento dos trabalhos (individuais) de auditoria.

O objeto selecionado em uma auditoria normalmente é um processo. Entende-se por processo um conjunto de atividades sequenciadas e relacionadas entre si que têm como finalidade transformar insumos em produtos e serviços. [...] recomenda-se o desenho do processo a ser auditado [...], o qual permite que se enxerguem com maior facilidade seus participantes e suas atribuições, os controles existentes, as oportunidades de melhoria [...] e [...] os riscos que ameaçam os objetivos do objeto da auditoria.

Os controles que comporão o escopo serão os controles internos chave, ou seja, aqueles capazes de, em uma situação de risco inerente alto, atuar para que o risco residual seja baixo. [...] Os testes que prevalecerão [...] serão os testes de controle. Pode haver, entretanto, riscos inerentes altos com controles fracos ou inexistentes. Nesse caso, [...] será realizada por meio de procedimentos substantivos [...].

A inspeção consiste na verificação de registros, de documentos ou de ativos, que proporcionará ao auditor [...] a formação de opinião quanto à existência física do objeto ou do item examinado. [...] Na inspeção física, a evidência é coletada sobre bens tangíveis. [...] pode ser utilizada também para verificar os atributos de um objeto, como [...] o estado de conservação de um bem [...].

Existem diferentes tipos de entrevista: a) livre ou não estruturada: realizada sem roteiro prévio ou com roteiro simplificado [...]; b) semiestruturada: realizada mediante um roteiro previamente estabelecido [...]; c) estruturada: baseada em roteiro fixo, com perguntas bem definidas. [...] as informações obtidas por meio das indagações orais não [são] consideradas suficientemente objetivas ou imparciais, inclusive porque [...] se originam de empregados/servidores da Unidade Auditada, não de fonte independente.

As Técnicas de Auditoria Assistidas por Computador (TAAC) [...]. Os principais benefícios [...]: [...] a ampliação da cobertura das amostras, ou seja, possibilitam que dados de toda a população sejam analisados, o que diminui o risco de emissão de opinião equivocada pelo auditor [...]. As ferramentas de TAAC podem ser classificadas [...]: a) generalistas; b) especializadas; c) de utilidade geral.

É necessário organizar os papéis de trabalho utilizados para obtenção do entendimento do objeto auditado, de modo a possibilitar que outra pessoa com conhecimento suficiente das práticas de auditoria interna governamental, que não teve contato anterior com o objeto, possa compreendê-lo. [...] sugere-se que sejam organizadas e arquivadas como papel de trabalho permanente.

Conforme estabelece a NBC TA 520, os procedimentos analíticos consistem em “avaliações de informações contábeis por meio de análise das relações plausíveis entre dados financeiros e não financeiros [...]”. Uma de suas premissas é que as relações entre as informações existem e tendem a se manter, a menos que ocorram situações que provoquem alguma alteração [...] (erros; fraude; ou atos ilegais).

a) amostragem probabilística: a seleção é feita por sorteio aleatório [...]. Os resultados da amostra podem ser generalizados para toda a população [...]; b) amostragem não-probabilística: [...] a seleção é feita por critérios subjetivos [...]. Os resultados da amostra não podem ser generalizados para toda a população [...]. Em geral, o uso da amostragem probabilística é sempre recomendável, enquanto que a amostragem não-probabilística tem aplicabilidade restrita a análises pontuais.

Controle corretivo: são os controles que corrigem os efeitos negativos de eventos indesejados. Controle diretivo: causam ou incentivam a ocorrência de um evento desejável (ex.: treinamento de funcionários, manuais). Controle compensatório: são controles que podem reduzir o risco quando os controles primários são ineficazes. Controle complementar: são os controles que trabalham junto com outros controles para reduzir o risco a um nível aceitável.

No rastreamento, o auditor primeiramente seleciona documentos que representam transações e, posteriormente verifica se aquelas transações foram de fato registradas no sistema contábil; no vouching, o auditor seleciona primeiramente as transações e, em seguida, verifica se existe de fato a documentação que lhe serve de base [...]. A primeira ajuda a detectar quantias lançadas a menor [...] (afirmações de integridade). A segunda possibilita a detecção de lançamentos a maior [...] (afirmações de existência ou ocorrência).

Ao final da etapa de planejamento, o supervisor do trabalho deve reavaliar se as estimativas iniciais de recursos, custos e prazo para realização da auditoria estão compatíveis com as atividades a serem realizadas. Ainda, deve verificar se a equipe inicialmente designada dispõe da proficiência necessária [...]. Caso negativo, deve proceder a ajustes [...]. Se houver alterações, é necessário [...] que as respectivas informações sejam atualizadas nos papéis de trabalho de planejamento.

Cabe ao auditor interno governamental determinar, de acordo com cada caso específico, a extensão e a profundidade de operações a serem examinadas. Para tanto, deve se basear: a) na complexidade e no volume das operações; b) na natureza do item em exame; c) nos principais riscos e na avaliação preliminar dos controles a eles relacionados; d) no grau de segurança e no tipo de evidência que pretende obter [...].

A época diz respeito ao período apropriado para a aplicação dos procedimentos de auditoria. O benefício proporcionado pela utilização de determinado procedimento será maior ou menor em decorrência de o momento de sua aplicação ser oportuno ou não.