O responsável por uma Unidade de Auditoria Interna Governamental (UAIG) sabe que deve elaborar um Plano de Auditoria Interna baseado em riscos. Ocorre que a unidade auditada não instituiu um processo formal de gerenciamento de riscos, mas demandou à UAIG a realização de um trabalho de consultoria com o objetivo de auxiliar na implantação desse processo. A UAIG coletou, junto à alta administração, informações sobre suas expectativas e entendimentos a respeito dos principais processos e dos riscos associados. O responsável pela UAIG deve:
- A)inserir no Plano de Auditoria Interna o trabalho de consultoria demandado e, com base nos resultados desse trabalho, selecionar objetos de auditoria que apresentem maior risco;
Errada, porque o trabalho de consultoria não substitui o planejamento de auditoria baseado em riscos nem deve ser usado apenas como etapa prévia obrigatória para depois escolher objetos de auditoria.
- B)inserir no Plano de Auditoria Interna os processos de maior materialidade e recusar o pedido de realização de trabalho de consultoria, por se tratar de processo cuja implantação cabe ao gestor;
Errada, porque a UAIG não deve recusar automaticamente a consultoria nem limitar o plano apenas à materialidade; além disso, implantação de processo de riscos pode sim ser objeto de consultoria.
- C)inserir no Plano de Auditoria Interna os objetos de maior risco, com base nas informações disponíveis, além de avaliar a viabilidade de incorporar o trabalho de consultoria no mesmo Plano;
Certa, porque a UAIG deve planejar com base nas informações disponíveis e, paralelamente, analisar se o trabalho de consultoria pode ser incluído no plano sem comprometer sua atuação.
- D)informar ao órgão central do Sistema de Controle Interno que a elaboração do Plano de Auditoria Interna será adiada até a conclusão da consultoria para implantação do processo de gerenciamento de riscos;
Errada, porque a ausência de processo formal de riscos não autoriza adiar o plano de auditoria interna, que deve ser elaborado com base nas informações existentes.
- E)promover o mapeamento dos principais processos, de modo a selecionar os objetos de maior risco para inclusão no Plano de Auditoria Interna, além de aguardar autorização do órgão setorial de controle interno para realização do trabalho de consultoria.
Errada, porque a UAIG não precisa aguardar autorização do órgão setorial para realizar consultoria nesses termos, e também não deve condicionar o plano ao mapeamento completo dos processos.
Gabarito: C
A lógica aqui é simples: plano de auditoria interna baseado em riscos não depende de a unidade auditada já ter um processo formal de gerenciamento de riscos funcionando perfeitamente. Se a casa ainda não tem esse processo, a UAIG não pode ficar parada esperando a maturidade cair do céu. Ela deve usar as informações disponíveis, como expectativas da alta administração, conhecimento dos processos, materialidade, criticidade e riscos percebidos, para montar o plano da melhor forma possível. No âmbito da auditoria interna governamental, a atuação precisa observar uma abordagem baseada em riscos e também o equilíbrio entre serviços de asseguração e de consultoria. A consultoria pode existir, desde que seja compatível com a independência e com as competências da UAIG, e precisa ser avaliada quanto à sua viabilidade no plano. Ou seja, não é porque houve pedido de consultoria que o planejamento de auditoria some da agenda. Por isso, o gabarito é a letra C: a UAIG deve inserir no Plano de Auditoria Interna os objetos de maior risco, com base nas informações disponíveis, e ainda avaliar se é viável incorporar o trabalho de consultoria no mesmo plano. Isso está alinhado com a lógica das normas de auditoria interna governamental, que exigem planejamento fundamentado em riscos e flexibilidade diante de limitações informacionais. Em resumo: sem processo formal de riscos, você usa o que tem, não suspende o planejamento. A auditoria não espera o risco se organizar para ser auditado.