NBC TA 330: as respostas do auditor aos riscos avaliados

A NBC TA 330 define como o auditor responde aos riscos avaliados, com respostas globais, testes de controles e procedimentos substantivos obrigatórios.

Identificar o risco é só metade da auditoria. Depois que o auditor conclui onde as demonstrações têm mais chance de conter distorção relevante, ele precisa decidir o que fazer a respeito, e é essa a tarefa da NBC TA 330. Se a NBC TA 315 responde à pergunta "onde está o risco", a NBC TA 330 responde a "o que o auditor faz com ele". As duas normas formam um par: uma avalia, a outra reage, e a qualidade do trabalho depende de a reação ser proporcional ao risco avaliado.

A NBC TA 330, correlata à ISA 330, organiza essa reação em dois planos. No plano das demonstrações como um todo, exige respostas globais, que ajustam a postura geral da equipe. No plano de cada afirmação, exige procedimentos de auditoria adicionais, que se dividem em testes de controles e procedimentos substantivos. O desenho correto dessa combinação é o que separa uma auditoria baseada em risco de uma coleção genérica de procedimentos aplicada sem critério.

Resumo

A NBC TA 330 define as respostas do auditor aos riscos de distorção relevante avaliados segundo a NBC TA 315. Essas respostas se dão em dois níveis: respostas globais, no nível das demonstrações como um todo, e procedimentos adicionais, no nível das afirmações sobre classes de transações, saldos de contas e divulgações.

Os testes de controles passam a ser exigidos quando a avaliação de risco do auditor inclui a expectativa de que os controles operam de forma efetiva, ou quando os procedimentos substantivos, isoladamente, não conseguem fornecer evidência suficiente e apropriada, situação comum em processos muito automatizados com pouca trilha documental.

Os procedimentos substantivos são um piso inegociável: a norma exige que o auditor os aplique a cada classe de transações, saldo de conta e divulgação relevantes, qualquer que seja o risco avaliado. Para os riscos significativos, os procedimentos substantivos precisam incluir testes de detalhes, e não apenas procedimentos analíticos.

Quanto maior o risco avaliado, mais persuasiva precisa ser a evidência obtida. A norma trata ainda da época dos procedimentos, do uso de evidência obtida em data intermediária, da avaliação da adequação da apresentação das demonstrações e da documentação que sustenta a resposta ao risco.

Respostas globais: a postura antes do procedimento

As respostas globais são a reação do auditor ao risco no nível das demonstrações como um todo, aquele que não se prende a uma conta específica, mas contamina o conjunto, como um ambiente de controle frágil ou pressão sobre resultados. A norma lista medidas que ajustam a condução do trabalho: reforçar o ceticismo profissional da equipe, alocar profissionais mais experientes ou com conhecimento especializado nas áreas de maior risco, intensificar a supervisão e introduzir um elemento de imprevisibilidade na escolha dos procedimentos, para que a entidade auditada não consiga antecipar exatamente o que será examinado.

A resposta global também determina a abordagem geral dos procedimentos adicionais. Diante de um ambiente de controle mais robusto, o auditor pode planejar uma abordagem que se apoie em testes de controles; diante de um ambiente frágil, tende a uma abordagem mais substantiva, concentrando o esforço em examinar diretamente os números. Essa decisão de alto nível orienta tudo o que vem depois.

Testes de controles: quando são obrigatórios

Os testes de controles não são opcionais em toda auditoria, mas tornam-se exigência em duas situações. A primeira é quando o auditor, ao avaliar o risco, espera que os controles operem de forma efetiva e pretende se apoiar nessa efetividade para reduzir a extensão dos procedimentos substantivos. Nesse caso, não basta presumir que o controle funciona: é preciso testar se ele operou de fato ao longo do período em que o auditor pretende confiar nele.

A segunda situação é quando os procedimentos substantivos, isoladamente, não produzem evidência suficiente e apropriada. Isso acontece em operações altamente automatizadas, em que as transações são processadas por sistemas sem gerar trilha documental que o auditor possa examinar diretamente. Quando os dados nascem, trafegam e se liquidam dentro de sistemas, a única forma de obter conforto sobre a integridade do processamento é testar os controles automatizados e os controles gerais de tecnologia que os sustentam. A norma trata ainda da época e da extensão dos testes de controles e das condições para o auditor usar evidência obtida em auditorias de períodos anteriores, que nunca podem cobrir, sozinhas, controles que mudaram.

Procedimentos substantivos: o piso inegociável

Qualquer que seja a avaliação de risco, a NBC TA 330 exige que o auditor aplique procedimentos substantivos a cada classe de transações, saldo de conta e divulgação relevantes. Essa é uma salvaguarda deliberada: por melhor que seja a avaliação de controles, ela carrega limitações inerentes, e o auditor não pode abrir mão de examinar diretamente os itens materiais. Não existe conta relevante que passe pela auditoria apenas na confiança do controle.

Para os riscos significativos, a exigência é mais dura. Quando a abordagem para um risco significativo é só substantiva, os procedimentos precisam incluir testes de detalhes, e não se limitar a procedimentos analíticos. A razão é que o procedimento analítico substantivo, baseado em relações esperadas entre dados, é poderoso para confirmar o que é previsível, mas insuficiente para dar conforto sobre um risco de fraude ou sobre uma estimativa de julgamento elevado, em que o esperado pode ter sido justamente manipulado. A norma também exige que o auditor concorde os saldos das demonstrações com os registros contábeis subjacentes e examine os lançamentos e ajustes relevantes feitos no fechamento.

Suficiência, época e o elo com a opinião

A NBC TA 330 amarra a resposta ao risco por meio de um princípio simples: quanto maior o risco avaliado, mais persuasiva precisa ser a evidência. Isso se traduz em mais procedimentos, procedimentos de melhor qualidade ou de fonte mais confiável, e maior extensão dos testes. A norma trata também da época dos procedimentos. Quando o auditor realiza parte do trabalho em data intermediária, antes do fim do exercício, precisa obter evidência que cubra o período restante, até a data do balanço, de modo que a conclusão alcance a posição final e não apenas a de uma data anterior.

Antes de concluir, o auditor avalia se a apresentação geral das demonstrações, incluindo as divulgações, está de acordo com a estrutura de relatório financeiro aplicável. E, no ponto que fecha o ciclo, a norma exige que o auditor avalie se obteve evidência suficiente e apropriada. Se não conseguir, e não puder suprir a falta com procedimentos alternativos, está diante de uma limitação de escopo, que pode levar a opinião com ressalva ou à abstenção de opinião. Por fim, a norma impõe documentar as respostas globais, a natureza, a época e a extensão dos procedimentos adicionais, a ligação desses procedimentos com os riscos avaliados e as conclusões alcançadas, porque é a documentação que demonstra que a reação foi proporcional ao risco.

Caso anonimizado

Uma instituição com processamento altamente automatizado apresentava grande volume de transações liquidadas integralmente dentro de sistemas, sem documentos físicos que o auditor pudesse inspecionar um a um. Uma abordagem só substantiva não conseguia dar conforto sobre a integridade do processamento, porque não havia o que examinar fora do próprio sistema. A resposta correta, à luz da NBC TA 330, foi combinar o teste dos controles automatizados e dos controles gerais de tecnologia com procedimentos substantivos focados nos pontos de maior risco.

Ao testar a efetividade dos controles que governavam o fluxo das transações e, só então, dimensionar os testes substantivos ao que restava de risco, o trabalho ganhou eficiência sem perder robustez. O ponto do caso não foi fazer mais procedimentos, e sim fazer os procedimentos certos: sem o teste de controles, nenhuma quantidade de exame substantivo teria sido suficiente; e, mesmo com os controles testados, os itens materiais e os riscos significativos continuaram exigindo exame direto.

Como a MERC pode ajudar

A MERC é a primeira e única firma de auditoria especializada no mercado financeiro brasileiro, e trata o desenho da resposta ao risco como o núcleo técnico de cada trabalho. Na auditoria independente de instituições intensivas em tecnologia e em crédito, a combinação entre testes de controles e procedimentos substantivos previstos na NBC TA 330 é o que garante que o esforço de auditoria se concentre onde o risco de distorção relevante é maior, sem desperdício e sem lacuna.

Para instituições que querem entender se a abordagem de auditoria aplicada às suas demonstrações é proporcional ao seu perfil de risco, esse olhar se soma ao assessoramento sobre controles internos e sobre a prontidão para a auditoria. Se a sua instituição quer uma auditoria desenhada a partir do risco real do seu negócio, o caminho é uma conversa pelo nosso contato.

Perguntas frequentes

Qual a diferença entre a NBC TA 315 e a NBC TA 330?

A NBC TA 315 trata da identificação e avaliação dos riscos de distorção relevante, respondendo a onde estão os riscos. A NBC TA 330 trata das respostas do auditor a esses riscos, respondendo ao que o auditor faz a respeito, com respostas globais e procedimentos adicionais no nível das afirmações.

O auditor é sempre obrigado a testar controles?

Não em toda auditoria. Os testes de controles passam a ser obrigatórios quando o auditor pretende se apoiar na efetividade dos controles para reduzir os procedimentos substantivos, ou quando os procedimentos substantivos, sozinhos, não produzem evidência suficiente e apropriada, como em processos muito automatizados.

Procedimentos substantivos podem ser dispensados se os controles forem bons?

Não. A norma exige procedimentos substantivos para cada classe de transações, saldo de conta e divulgação relevantes, qualquer que seja o risco avaliado. Bons controles reduzem a extensão dos substantivos, mas não os eliminam nos itens materiais.

O que a norma exige para os riscos significativos?

Quando a abordagem para um risco significativo é apenas substantiva, os procedimentos precisam incluir testes de detalhes, e não se limitar a procedimentos analíticos. Isso vale especialmente para riscos de fraude e estimativas de julgamento elevado.

O que acontece se o auditor não obtiver evidência suficiente e apropriada?

Se o auditor não consegue obter evidência suficiente e apropriada e não há procedimentos alternativos que supram a falta, configura-se uma limitação de escopo, que pode levar a opinião com ressalva ou à abstenção de opinião, conforme a relevância e a abrangência do efeito.