Auditoria interna e controles

Avaliação de desenho e de efetividade

Duas conclusões separadas: se o controle foi desenhado para evitar a falha e se operou assim durante o período.

Avaliar desenho é perguntar se o controle, operando como descrito, previne ou detecta a falha que se quer evitar, no momento certo e com precisão suficiente. Avaliar efetividade operacional é perguntar se ele operou assim durante todo o período, por quem devia, na frequência prevista e com evidência. São conclusões separadas e uma não substitui a outra. Controle bem desenhado que não opera é deficiência. Controle que opera com disciplina, mas mira o risco errado, também é deficiência. A frente organiza as duas avaliações com critério explícito, porque é exatamente aí que auditoria interna, auditor independente e regulador costumam divergir na hora de concluir.

A avaliação de desenho passa por walkthrough: seguir uma transação do início ao fim, com quem executa, vendo o documento e a tela. Sem isso, o que se avalia é a descrição do controle, não o controle. Precisão é o ponto mais negligenciado nos controles de revisão gerencial: é preciso saber qual limiar dispara investigação, qual fonte alimenta o relatório revisado e o que foi feito com a exceção encontrada. A NBC TA 315 trata da avaliação dos controles relevantes e a NBC TA 330 dos testes de efetividade operacional. A NBC TA 265 rege a comunicação de deficiências aos responsáveis pela governança. Severidade se mede por magnitude potencial e probabilidade, não pelo valor do erro achado na amostra.

A MERC executa o walkthrough antes de qualquer amostra e documenta o fluxo com sistema, campo, relatório e responsável. Reescreve a descrição do controle quando ela não corresponde ao que acontece, e devolve isso ao dono do processo antes de testar. Depois define natureza, extensão e período do teste de efetividade e conclui controle por controle. Entrega avaliação separada de desenho e de operação, com deficiência classificada e efeito sobre a asserção contábil ou sobre o requisito regulatório afetado. A firma não converte recomendação de melhoria em deficiência para engordar relatório, nem classifica como efetivo o controle cuja evidência não permite reexame por terceiro independente.

O que examinamos

• Walkthrough com quem executa, antes da amostra
• Aderência entre descrição documentada e operação real
• Precisão e limiar em controles de revisão gerencial
• Fonte e confiabilidade do relatório usado pelo controle
• Conclusão separada de desenho e de efetividade operacional
• Severidade medida por magnitude potencial e probabilidade

Norma aplicável

NBC TA 315, quanto à avaliação dos controles relevantes, NBC TA 330, quanto aos testes de efetividade operacional, e NBC TA 265, quanto à comunicação de deficiências aos responsáveis pela governança e à administração. O COSO Internal Control fornece os princípios contra os quais o desenho é confrontado.

Entregável

Relatório com conclusão separada de desenho e de efetividade por controle, deficiências classificadas por severidade e efeito sobre asserções e requisitos.