De acordo com o Manual de Auditoria da Controladoria-Geral do Município de Belo Horizonte integra a fase de planejamento do ciclo da auditoria interna a elaboração de uma Matriz de Riscos e Controle – MRC. Quanto a verificação de riscos e controles em sede de auditoria governamental, assinale a afirmativa incorreta.
- A)A Matriz de Riscos e Controles se propõe a ser um instrumento de gestão de riscos da área avaliada.
Errada, porque a Matriz de Riscos e Controles é instrumento de apoio à auditoria, e não instrumento de gestão de riscos da área avaliada.
- B)O risco inerente é aquele ao qual o objetivo estaria sujeito num cenário hipotético, no qual os controles existentes para mitigar os riscos são desconsiderados.
Certa, pois descreve corretamente o risco inerente como o risco considerado sem a influência dos controles existentes.
- C)O nível de risco inerente é calculado em função da probabilidade do risco ocorrer e do impacto potencial que sua ocorrência poderia acarretar.
Certa, porque a mensuração do risco inerente normalmente combina probabilidade de ocorrência e impacto potencial.
- D)O risco residual é apurado após uma avaliação preliminar dos controles internos que atuam diretamente sobre os riscos.
Certa, pois o risco residual é o risco que permanece depois de considerada a atuação dos controles internos sobre os riscos.
Gabarito: A
Na auditoria governamental, a análise de riscos costuma começar pelo desenho do que pode dar errado e de quais controles existem para segurar a bronca. É aí que entram conceitos clássicos como risco inerente, risco residual e controle interno. O risco inerente é o risco “puro”, antes de considerar os controles; já o risco residual é o que sobra depois de olhar o efeito desses controles. Simples assim: primeiro você enxerga o problema nu e cru, depois vê quanto ele ainda incomoda depois da blindagem. A Matriz de Riscos e Controles, na prática, serve para organizar essa visão do processo auditado, identificando riscos, controles, responsáveis e a relação entre eles. Ela é um instrumento de trabalho da auditoria para apoiar planejamento, priorização e avaliação, não um instrumento de gestão de riscos da própria área avaliada. A gestão de riscos é da unidade auditada; a matriz é da auditoria para enxergar e testar esse ambiente. O risco inerente, como a doutrina de auditoria costuma definir, é aquele a que o objetivo está sujeito se você imaginar que os controles inexistem. Por isso, sua mensuração normalmente considera probabilidade e impacto, porque esses dois elementos mostram a chance de o evento acontecer e o estrago que ele pode causar. Depois vem o risco residual, que é o risco remanescente após a consideração dos controles internos relevantes. Em outras palavras, a auditoria olha preliminarmente os controles e estima o quanto eles reduzem a exposição inicial. Por isso, a questão cobra exatamente a separação entre risco inerente e residual, tema muito típico de FGV em controle interno e auditoria.