Durante um trabalho de auditoria que foi adequadamente planejado, o executivo chefe de auditoria concluiu que a administração da entidade auditada aceitara um nível de risco que não deveria ter aceitado, em decorrência dos potenciais impactos negativos para a organização. Apesar de ter discutido o assunto com a alta administração da entidade auditada, o executivo chefe de auditoria avaliou que a questão não tinha sido resolvida. Nessa situação, as Normas Internacionais para a Prática Profissional de Auditoria Interna orientam que o executivo chefe de auditoria deve:
- A)alterar o escopo do trabalho de auditoria;
Errada, porque alterar o escopo não é a providência principal quando a administração aceita um risco indevido e a questão não foi resolvida.
- B)comunicar a questão ao conselho (mais alto nível de corpo diretivo da entidade);
Certa, pois as normas orientam comunicar o assunto ao conselho quando a alta administração não resolve a aceitação inadequada do risco.
- C)realizar avaliações adicionais quanto aos riscos a que a entidade está exposta;
Errada, porque o problema não é falta de análise adicional de risco, e sim a necessidade de escalonar a questão de governança.
- D)recomendar um relatório com ressalvas quanto ao risco identificado;
Errada, porque relatório com ressalvas é linguagem de auditoria externa, não a medida prevista para auditoria interna nesse caso.
- E)sugerir a emissão de um relatório com abstenção de opinião.
Errada, porque abstenção de opinião também é expressão típica de auditoria independente das demonstrações, não da atuação do executivo chefe de auditoria aqui.
Gabarito: B
Aqui a ideia central é bem típica de auditoria interna: quando o executivo chefe de auditoria percebe que a administração assumiu um risco relevante demais, e ainda por cima a conversa com a alta administração não resolve, ele não pode simplesmente “seguir em frente” como se nada tivesse acontecido. As Normas Internacionais para a Prática Profissional de Auditoria Interna orientam que esse tipo de assunto, quando permanece sem solução, seja levado ao conselho, que é o nível mais alto do corpo diretivo. Por quê? Porque a auditoria interna precisa ter independência suficiente para comunicar questões relevantes de governança, risco e controle ao órgão que realmente tem poder de supervisão. Se a administração insiste em manter um risco inadequado, o assunto deixa de ser apenas operacional e passa a ser de governança. A lógica é: se a gestão não resolve, sobe-se um degrau na estrutura de governança. Isso conversa diretamente com o IPPF do IIA, especialmente as normas sobre comunicação de aceitação de riscos pela administração e escalonamento da questão quando ela não é tratada. Em prova, a FGV gosta dessa escalada hierárquica: tentou resolver com a administração, não funcionou, então comunica ao conselho. Simples, mas com cara de pegadinha. Então o gabarito é a letra B porque o executivo chefe de auditoria deve comunicar a situação ao conselho, que é o mais alto nível do corpo diretivo, justamente para que a governança seja acionada diante de um risco indevidamente aceito.