Asseguração, controles e auditoria interna

Auditoria interna

Função de terceira linha que avalia risco, controle e governança e reporta ao conselho, não à diretoria que audita.

Avaliação independente e objetiva sobre a eficácia dos processos de gerenciamento de risco, controle e governança, prestada à alta administração e ao conselho. Para instituições autorizadas pelo Banco Central, a Resolução CMN 4.879 exige a função estruturada, com escopo mínimo definido. Em fintechs reguladas, como sociedades de crédito direto e instituições de pagamento, ela é mandatória, e o supervisor examina se é efetiva ou apenas formal.

Estruturar a função tem ordem própria. O estatuto define propósito, autoridade, responsabilidade e independência. O reporte funcional precisa ser ao conselho ou ao comitê de auditoria, com reporte administrativo ao executivo principal, nunca o contrário. Vêm depois a contratação do líder da função, a metodologia aderente ao IPPF do IIA e o dimensionamento da equipe, com competência em tecnologia e dados. O produto que distingue a função efetiva é o plano anual baseado em risco.

A execução parte do universo auditável mapeado e da matriz de risco que ordena os ciclos do ano. Em cada trabalho, aplicamos teste de desenho dos controles-chave e teste de efetividade operacional sobre amostra de execuções, com evidência que permita reconstruir data, responsável e resultado. O relatório vai ao comitê com classificação de severidade, e o follow-up das recomendações é acompanhado até o encerramento, não até o aceite.

O que examinamos

• Estatuto da função e linha de reporte funcional ao conselho
• Universo auditável mapeado e matriz de risco que ordena o plano
• Plano anual baseado em risco aprovado pelo conselho ou comitê
• Teste de desenho e de efetividade operacional dos controles-chave
• Follow-up formal das recomendações, com status de implementação
• Metodologia, papéis de trabalho e supervisão da própria função

Norma aplicável

Resolução CMN 4.879, IPPF do IIA e regulamentação da CVM sobre comitê de auditoria.

Entregável

Plano anual baseado em risco, relatórios por ciclo auditado com recomendações classificadas e painel de acompanhamento ao comitê.