Auditoria interna e controles

Certificação de controles e SOX

Programa de controles internos sobre o relato financeiro no modelo SOX: escopo, matriz, testes, conclusão e documentação auditável.

Certificar controles no modelo SOX organiza a avaliação dos controles internos sobre o relato financeiro para que a administração possa se pronunciar sobre a efetividade deles. A seção 302 trata da certificação periódica pelos executivos quanto a divulgação e controles. A seção 404 trata da avaliação anual dos controles internos sobre o relato financeiro pela administração e, quando aplicável, do atestado do auditor independente. A frente atende companhia com valores mobiliários registrados nos Estados Unidos e também companhia brasileira que adota o mesmo modelo por exigência de grupo, de investidor ou por preparação para listagem. O programa entrega escopo, matriz, testes, conclusão e documentação pronta para exame externo.

O escopo é a decisão que define custo e qualidade do programa. Parte da materialidade, das contas e divulgações relevantes, dos processos que as alimentam e das localidades que importam, em abordagem de cima para baixo orientada a risco. O COSO Internal Control, com seus cinco componentes e dezessete princípios, é a referência usada para avaliar o ambiente. Controles de nível de entidade e controles gerais de tecnologia entram no escopo desde o início, não no final. Falha típica: matriz inflada com centenas de controles sem definição do que é chave, evidência produzida no último trimestre e classificação de deficiência sem análise de severidade. A norma do PCAOB sobre auditoria integrada de controle interno orienta a avaliação, com numeração a conferir.

A MERC começa pelo escopo e pela conversa com o auditor independente, porque divergência de escopo descoberta tarde vira retrabalho caro. Depois revisa a matriz, corta o que não é controle chave e descreve cada controle com dono, frequência, evidência esperada e risco endereçado. Executa walkthrough, teste de desenho e teste de efetividade operacional, com atualização até a data base. Classifica deficiência simples, deficiência significativa e fraqueza material segundo critério escrito. Entrega documentação preparada para exame do auditor e da administração. A firma não assina avaliação favorável sem teste concluído, nem opera o controle que depois avalia. Em companhia do Novo Mercado, o comitê estatutário e a declaração dos administradores exigem a mesma disciplina.

O que examinamos

• Escopo por materialidade, contas relevantes e localidades
• Alinhamento prévio de escopo com o auditor independente
• Controles de nível de entidade e de tecnologia incluídos
• Definição de controle chave e corte do que é acessório
• Teste de desenho, de efetividade e atualização até a data base
• Classificação de severidade com critério escrito e consistente

Norma aplicável

Lei Sarbanes Oxley, seção 302, sobre a certificação periódica dos executivos, e seção 404, sobre a avaliação anual dos controles internos sobre o relato financeiro e o atestado do auditor quando exigido. O COSO Internal Control é a estrutura de referência adotada, e a norma do PCAOB sobre auditoria integrada de controle interno orienta o exame, com numeração a conferir.

Entregável

Matriz de controles com escopo justificado, testes executados, conclusão sobre efetividade e documentação organizada para exame do auditor e do regulador.