Auditoria interna e controles

Auditoria interna terceirizada

Função de auditoria interna operada por equipe externa, com estatuto, plano, testes e reporte direto ao comitê ou ao conselho.

Auditoria interna terceirizada é a operação da terceira linha por equipe externa, sob mandato aprovado pelo conselho ou pelo comitê de auditoria. Não se confunde com a auditoria das demonstrações financeiras, que tem outro objetivo e outro regime. A frente entrega a função instalada e funcionando: avaliação de governança, de gestão de riscos e de controles, com plano, testes e relatórios. Resolve o problema da companhia que cresceu, passou a responder a regulador, a investidor ou a comitê, e não tem quadro técnico para planejar, executar e reportar com independência. O escopo alcança processos financeiros, operacionais, de tecnologia e de conformidade. O produto é opinião fundamentada sobre controle, sustentada por evidência.

A independência decide o valor do trabalho. As Normas Internacionais para a Prática Profissional de Auditoria Interna, do IIA, exigem estatuto aprovado, reporte funcional ao conselho ou ao comitê de auditoria, reporte administrativo à diretoria e acesso irrestrito a informação e a pessoas. O Modelo das Três Linhas separa quem executa o controle, quem supervisiona e quem avalia de forma independente. A implantação falha quando a função reporta a quem ela audita, quando o plano é herdado sem avaliação de risco, ou quando a equipe desenha e opera o controle que depois vai testar. Em instituição regulada, a norma do Banco Central exige a função e trata da contratação externa. As NBC TI do Conselho Federal de Contabilidade também se aplicam.

A MERC começa pelo estatuto e pelo mandato: quem aprova, a quem a função se reporta, o que fica fora do escopo. Depois monta o universo auditável a partir dos processos, dos sistemas e da exposição regulatória. Cada ciclo tem escopo escrito, teste com amostra definida, papel de trabalho com evidência rastreável e relatório com deficiência classificada por severidade, causa e ação acordada com o dono do processo. O reporte ao comitê é periódico e mostra o que foi testado, o que falhou e o que segue em aberto. A firma recusa o arranjo em que a mesma equipe opera o controle e depois o audita. Também não emite parecer jurídico: onde há questão de direito, atua junto ao advogado do cliente.

O que examinamos

• Estatuto de auditoria interna aprovado pelo conselho
• Independência do reporte funcional e do administrativo
• Universo auditável e critério de priorização documentado
• Papéis de trabalho com evidência rastreável e reexaminável
• Classificação e acompanhamento das deficiências apontadas
• Cobertura de tecnologia, terceiros e conformidade regulatória

Norma aplicável

Normas Internacionais para a Prática Profissional de Auditoria Interna, do IIA, e o Modelo das Três Linhas, somados às NBC TI do Conselho Federal de Contabilidade aplicáveis à atividade. Em instituição regulada, incide a norma do Banco Central que exige a função de auditoria interna e disciplina sua contratação externa, cuja numeração deve ser conferida na versão vigente.

Entregável

Estatuto, plano aprovado, papéis de trabalho, relatórios por ciclo e reporte periódico ao comitê de auditoria ou ao conselho.