Conforme as normas do IPPF relativas a técnicas e procedimentos de auditoria, quando os auditores internos identificarem uma deficiência significativa em controles internos, eles deverão
- A)relatar a deficiência ao conselho e à alta administração.
Correta, porque deficiências significativas em controles internos devem ser reportadas ao conselho e à alta administração, para providências e supervisão.
- B)suspender a auditoria até que a deficiência seja corrigida.
Errada, porque o auditor interno não suspende a auditoria até a correção do problema; ele registra e comunica a deficiência.
- C)ignorar a deficiência caso não haja impacto imediato.
Errada, porque deficiência significativa nunca deve ser ignorada só porque o efeito imediato não apareceu.
- D)implementar pessoalmente ações corretivas.
Errada, porque o auditor interno não implementa pessoalmente ações corretivas, já que essa é atribuição da gestão.
Gabarito: A
Quando o auditor interno encontra uma deficiência significativa de controle interno, ele não faz vista grossa nem tenta “consertar por conta própria”. Pela lógica do IPPF, a função dele é comunicar o achado de forma clara e tempestiva, para que quem tem poder de decisão tome providências. Em auditoria interna, descoberta relevante não é segredo de almoxarifado: precisa subir para o nível adequado de governança. A ideia central é simples: o auditor avalia, evidencia e relata. Já a correção do problema cabe à gestão. O IPPF, nas normas de auditoria interna, exige que resultados significativos, incluindo deficiências relevantes de controle, sejam reportados à alta administração e ao conselho, conforme a gravidade e a estrutura de governança da entidade. Por isso, o gabarito é a letra A. Se a deficiência é significativa, o auditor interno deve comunicá-la ao conselho e à alta administração, para que haja ciência, responsabilização e adoção de medidas corretivas. Isso conversa com a lógica de supervisão do IIA/IPPF e com a boa governança corporativa: quem executa audita, quem administra corrige. Repare na sutileza da questão: ela não pergunta o que o auditor “acha” da deficiência, mas o que ele “deverá” fazer diante de um achado relevante. Em prova CESPE, esse tipo de comando costuma cobrar exatamente o dever de reporte, não de intervenção operacional.