Auditoria Interna: Conceitos, Objetivos, Riscos e Controles Internos Conceito de auditoria interna Auditoria Interna é uma atividade independente e objetiva de avaliação (assurance) e de consultoria, desenhada para adicionar valor e melhorar as operações de uma organização, auxiliando-a a atingir seus objetivos a partir de uma abordagem sistemática e disciplinada para avaliar e melhorar a eficácia dos processos de gerenciamento de riscos, controle e governança. Essa definição, adotada internacionalmente pelo The IIA (The Institute of Internal Auditors), marca uma evolução conceitual importante: a auditoria interna deixou de ser vista apenas como uma função de fiscalização e detecção de erros para ser compreendida como uma função de agregação de valor à organização, atuando tanto na avaliação quanto na consultoria. Objetivos da auditoria interna Avaliar e melhorar a eficácia dos processos de gerenciamento de riscos; Avaliar e melhorar a eficácia dos controles internos; Avaliar e melhorar os processos de governança corporativa; Fornecer avaliação independente e objetiva à alta administração e ao conselho sobre a adequação e a eficácia desses processos; Atuar em caráter consultivo, quando solicitado, para o aprimoramento de processos e a mitigação de riscos, sem comprometer sua objetividade. Posicionamento organizacional e independência funcional 3.1. O paradoxo da independência do auditor interno (revisão aprofundada) Como já discutido na Aula 6.1, o auditor interno é empregado da própria entidade — uma situação que, à primeira vista, parece incompatível com a independência exigida de qualquer função de avaliação. A solução estrutural para esse paradoxo está no posicionamento hierárquico da função: A prática recomendada (e amplamente exigida por normas de governança corporativa) é que a auditoria interna se reporte, em termos funcionais, diretamente ao Conselho de Administração (ou ao Comitê de Auditoria, quando existente) — e apenas administrativamente (para fins operacionais, como orçamento e recursos) à diretoria executiva. Essa dupla linha de reporte (funcional ao Conselho/Comitê; administrativa à diretoria) é o mecanismo que preserva a independência funcional do auditor interno mesmo dentro do vínculo empregatício — ele não avalia, em última instância, para agradar os diretores que poderiam ser objeto de seu próprio exame, mas para o órgão de governança que supervisiona a própria diretoria. 3.2. Comitê de Auditoria O Comitê de Auditoria é órgão de assessoramento do Conselho de Administração (obrigatório para companhias abertas de maior porte, conforme regulamentação da CVM, e para instituições financeiras, conforme regulamentação do BACEN), com responsabilidades que incluem: Supervisionar a qualidade e a integridade das demonstrações contábeis; Avaliar a efetividade e a independência dos auditores independentes (externos); Supervisionar as atividades da auditoria interna; Avaliar a adequação dos processos de gerenciamento de riscos e controles internos; Servir como canal para denúncias relacionadas a questões contábeis e de controles internos (whistleblowing). As Normas Brasileiras para o Exercício da Auditoria Interna O CFC edita normas específicas para a atuação do auditor interno — as NBC PI (Normas Profissionais do Auditor Interno) — que disciplinam a atuação e a conduta ética específica dessa função, em complemento (e não substituição) às normas gerais aplicáveis à profissão contábil. Essas normas abordam, entre outros temas: os requisitos de independência organizacional (o posicionamento hierárquico discutido no item 3.1), a objetividade individual do auditor interno, a proficiência e o zelo profissional exigidos, o programa de qualidade e melhoria contínua da própria atividade de auditoria interna, e o planejamento baseado em risco dos trabalhos a serem executados. Controles internos: conceito e estrutura 5.1. Conceito Controle interno é o processo conduzido pela estrutura de governança, administração e outros profissionais da entidade, desenhado para fornecer segurança razoável quanto à realização de objetivos relacionados a operações, divulgação (relatórios) e conformidade. 5.2. O modelo COSO (Committee of Sponsoring Organizations of the Treadway Commission) O modelo COSO — já mencionado no contexto da contabilidade pública (curso de CASP, Aula 7.1) — é a referência internacional dominante para estruturação de controles internos, também no setor privado. Os cinco componentes: | Componente | Conteúdo | |---|---| | Ambiente de controle | A base: integridade, valores éticos, competência, estrutura organizacional, "tom no topo" (tone at the top) | | Avaliação de riscos | Identificação e análise dos riscos relevantes para o alcance dos objetivos, como base para determinar como esses riscos devem ser gerenciados | | Atividades de controle | Políticas e procedimentos que ajudam a assegurar que as diretrizes da administração sejam cumpridas — segregação de funções, autorizações, conciliações, revisões de desempenho | | Informação e comunicação | Sistemas que capturam e comunicam informações relevantes, tempestivas e confiáveis, permitindo que as pessoas cumpram suas responsabilidades | | Atividades de monitoramento | Avaliações contínuas, avaliações pontuais independentes, ou uma combinação de ambas, para verificar se cada um dos cinco componentes de controle interno está presente e funcionando | 5.3. Segregação de funções: o pilar mais testado Segregação de funções é a distribuição de responsabilidades entre diferentes pessoas, de modo que nenhum indivíduo isoladamente controle todas as fases de uma transação (autorização, execução, custódia e registro). Sem segregação de funções, o risco de erro não detectado ou de fraude não descoberta aumenta exponencialmente — um mesmo agente que autoriza um pagamento, executa a transferência e registra o lançamento tem controle total sobre a transação, sem verificação cruzada por terceiros. Gestão de riscos: o modelo COSO ERM O COSO ERM (Enterprise Risk Management) é a extensão do modelo COSO voltada especificamente à gestão de riscos corporativos, estruturada em cinco componentes inter-relacionados: Governança e cultura: a base organizacional que sustenta a gestão de riscos; Estratégia e definição de objetivos: alinhamento entre apetite de risco e estratégia organizacional; Desempenho: identificação, avaliação e priorização dos riscos que podem impactar a estratégia e os objetivos de negócio; Revisão e alteração: avaliação de como os componentes da gestão de riscos estão funcionando ao longo do tempo; Informação, comunicação e divulgação (report): obtenção e comunicação de informações sobre riscos ao longo de toda a organização. 6.1. Apetite de risco × tolerância a risco | Conceito | Definição | |---|---| | Apetite de risco | O nível de risco, em termos amplos, que a organização está disposta a aceitar na busca de valor | | Tolerância a risco | A variação aceitável em relação ao desempenho, dentro do apetite de risco estabelecido | O Modelo das Três Linhas (Three Lines Model) O Modelo das Três Linhas (atualização, em 2020, do antigo "Modelo das Três Linhas de Defesa"), promovido pelo The IIA, organiza as responsabilidades de gerenciamento de riscos e controles em três grupos distintos: | Linha | Quem | Responsabilidade | |---|---|---| | Primeira linha | Gestores operacionais (donos dos processos) | Gerenciar riscos diretamente, no dia a dia das operações — a primeira responsabilidade pelo controle | | Segunda linha | Funções de gerenciamento de risco, compliance, controles internos corporativos | Apoiar a gestão de riscos por meio de expertise específica, monitoramento e desafio à primeira linha | | Terceira linha | Auditoria interna | Fornecer avaliação (assurance) independente e objetiva sobre a eficácia da governança e do gerenciamento de riscos, incluindo como a primeira e a segunda linhas alcançam seus objetivos | ⚠️ A auditoria externa (independente) e o órgão regulador não integram o modelo das três linhas — eles são considerados provedores de avaliação externos à organização, complementares, mas conceitualmente distintos das três linhas internas. Questões comentadas (estilo das principais bancas) Questão 1 (estilo Cebraspe — Certo/Errado). A independência funcional do auditor interno é preservada, apesar do seu vínculo empregatício com a entidade, mediante posicionamento hierárquico em que a auditoria interna se reporta, em termos funcionais, ao Conselho de Administração ou ao Comitê de Auditoria, e apenas administrativamente à diretoria executiva. Gabarito: CERTO. A solução estrutural clássica para o paradoxo da independência do auditor interno — a dupla linha de reporte, funcional ao órgão de governança e administrativa à diretoria. Questão 2 (estilo FGV — múltipla escolha). Segundo o modelo COSO, o componente de controle interno responsável por distribuir responsabilidades entre diferentes pessoas, de modo que nenhum indivíduo isoladamente controle todas as fases de uma transação, denomina-se: (A) ambiente de controle; (B) avaliação de riscos; (C) atividades de controle, exemplificada pela segregação de funções; (D) informação e comunicação; (E) atividades de monitoramento. Gabarito: C. A segregação de funções é exemplo central das atividades de controle — o componente do COSO mais diretamente testado por meio desse exemplo específico. Questão 3 (estilo FCC — múltipla escolha). No Modelo das Três Linhas, a responsabilidade de fornecer avaliação independente e objetiva sobre a eficácia da governança e do gerenciamento de riscos, incluindo como a primeira e a segunda linhas alcançam seus objetivos, cabe: (A) à primeira linha, composta pelos gestores operacionais; (B) à segunda linha, composta pelas funções de compliance e gerenciamento de riscos; (C) à terceira linha, composta pela auditoria interna; (D) ao auditor externo independente, que integra as três linhas simultaneamente; (E) exclusivamente ao Conselho Fiscal. Gabarito: C. A terceira linha, no modelo atualizado de 2020, é a auditoria interna — fornecendo avaliação independente sobre a governança e o gerenciamento de riscos como um todo, incluindo as duas primeiras linhas. Questão 4 (estilo Cesgranrio — múltipla escolha). O Comitê de Auditoria, como órgão de assessoramento ao Conselho de Administração, tem entre suas responsabilidades: (A) executar diretamente a contabilidade da entidade; (B) supervisionar a qualidade e a integridade das demonstrações contábeis, avaliar a efetividade e a independência dos auditores externos e supervisionar as atividades da auditoria interna; (C) substituir integralmente a função do auditor independente externo; (D) aprovar exclusivamente questões de remuneração da diretoria executiva; (E) atuar apenas em situações de fraude já comprovada. Gabarito: B. As responsabilidades centrais do Comitê de Auditoria — supervisão da qualidade das demonstrações, avaliação do auditor externo e supervisão da auditoria interna. Questão 5 (estilo Cebraspe — Certo/Errado). O apetite de risco corresponde à variação aceitável em relação ao desempenho dentro de determinado nível de risco, enquanto a tolerância a risco corresponde ao nível de risco, em termos amplos, que a organização está disposta a aceitar na busca de valor. Gabarito: ERRADO. As definições estão invertidas: apetite de risco é o nível amplo de risco aceito pela organização; tolerância a risco é a variação aceitável de desempenho dentro desse apetite estabelecido. Questão 6 (estilo FGV — múltipla escolha). As Normas Brasileiras para o Exercício da Auditoria Interna, editadas pelo CFC (NBC PI), disciplinam, entre outros temas: (A) exclusivamente a remuneração dos auditores internos; (B) os requisitos de independência organizacional, a objetividade individual do auditor interno, a proficiência e o zelo profissional exigidos, e o planejamento baseado em risco dos trabalhos; (C) apenas os procedimentos de auditoria externa aplicáveis a companhias abertas; (D) exclusivamente as normas contábeis aplicáveis ao setor público; (E) apenas questões de auditoria de sistemas de informação. Gabarito: B. O conteúdo característico das normas profissionais específicas do auditor interno — independência organizacional, objetividade, proficiência e planejamento baseado em risco. Questão 7 (estilo Cesgranrio — múltipla escolha). Segundo o COSO ERM (Enterprise Risk Management), o componente que trata do alinhamento entre o apetite de risco da organização e sua estratégia denomina-se: (A) governança e cultura; (B) estratégia e definição de objetivos; (C) desempenho; (D) revisão e alteração; (E) informação, comunicação e divulgação. Gabarito: B. O componente "estratégia e definição de objetivos" do COSO ERM — o ponto em que o apetite de risco é formalmente considerado na definição da estratégia organizacional.