Ao realizar uma auditoria em um órgão vinculado ao Poder Executivo Federal, verificou-se a inexistência de um processo formal de gestão de riscos. Além disso, constatou-se que a alta administração não participava ativamente do monitoramento das ações e que os controles internos implementados não contemplavam a totalidade dos riscos envolvidos. Com base na Instrução Normativa Conjunta MP/CGU nº 01/2016, qual é a medida mais adequada a ser adotada para corrigir as falhas identificadas?
- A)Desenvolver e implementar um processo formal de gestão de riscos, associado a um plano de ação que contemple controles internos eficazes, e capacitar a alta administração para exercer papel ativo na governança.
Correta, porque propõe gestão formal de riscos, controles internos compatíveis e participação ativa da alta administração, exatamente o que a IN Conjunta MP/CGU nº 01/2016 exige como boa governança.
- B)Instituir uma equipe técnica para supervisionar o projeto e revisar os controles internos, considerando que a gestão de riscos não é uma exigência mandatória para todos os órgãos vinculados ao Poder Executivo Federal.
Errada, porque trata a gestão de riscos como não obrigatória e reduz o problema a uma equipe técnica, contrariando a necessidade de estruturação formal e de envolvimento da alta administração.
- C)Capacitar a alta administração para exercer papel ativo na governança e promover auditorias internas regulares focadas nos projetos de maior impacto financeiro, dispensando a necessidade de estruturar um processo formal de gestão de riscos.
Errada, porque auditorias internas não substituem o processo formal de gestão de riscos nem resolvem, sozinhas, a falta de integração dos controles internos com todos os riscos.
- D)Concentrar as responsabilidades na área de controles internos da fundação, não sendo necessária a participação direta da alta administração no aperfeiçoamento dos controles internos da gestão, dispensando a necessidade de estruturar um processo formal de gestão de riscos.
Errada, porque concentra a responsabilidade apenas na área de controles internos e dispensa a participação da alta administração e a estruturação formal da gestão de riscos, o que vai na direção oposta da norma.
Gabarito: A
A Instrução Normativa Conjunta MP/CGU nº 01/2016 trouxe a lógica de que gestão de riscos e controle interno não são enfeites burocráticos: eles precisam existir de forma estruturada, integrada e acompanhada pela alta administração. Em outras palavras, não basta ter “controles soltos” espalhados pelo órgão. É preciso um processo formal de gestão de riscos, com identificação, análise, resposta e monitoramento dos riscos relevantes. Além disso, a norma reforça que a alta administração tem papel central na governança e no acompanhamento das ações, porque risco sem liderança vira lista de intenções. Quando a direção não participa, o sistema perde força, prioridade e continuidade. Por isso, a correção das falhas passa por envolver a alta administração de forma ativa, não apenas deixar tudo na mão de uma área técnica isolada. A questão também informa que os controles internos não cobriam todos os riscos. Isso revela um desenho incompleto do sistema de controle. O controle interno precisa ser compatível com os riscos mapeados, para que haja resposta adequada aos eventos que possam afetar os objetivos do órgão. Se o risco não foi tratado, o controle está capenga. Por isso o gabarito é a alternativa A: ela reúne exatamente os três pontos necessários para corrigir o problema conforme a IN Conjunta MP/CGU nº 01/2016 - estruturar formalmente a gestão de riscos, adotar controles internos eficazes e fazer a alta administração atuar de forma ativa na governança. É a resposta mais aderente ao modelo de integridade e gestão por riscos cobrado em auditoria.