Regulatório e supervisão

Relacionamento entre auditoria e regulador

Organização da interface entre auditoria independente, auditoria interna, comitê de auditoria e o regulador, com comunicação documentada.

Instituição regulada convive com três olhares sobre os mesmos controles: auditoria interna, auditoria independente e supervisão. A norma brasileira define obrigações de comunicação entre eles. O auditor independente de instituição autorizada pelo Banco Central deve elaborar relatórios específicos sobre controles internos e sobre descumprimento de dispositivos legais e regulamentares com reflexo nas demonstrações financeiras ou nas atividades auditadas, e comunicar ao supervisor situações previstas na norma. A auditoria interna reporta à instância de governança definida e mantém plano baseado em risco. O comitê de auditoria, quando exigido, acompanha os dois e responde pela avaliação da efetividade.

O ponto que mais gera atrito é a deficiência de controle interno que não é tratada. Auditoria aponta, a administração aceita o risco, o prazo passa e o achado reaparece no ano seguinte. Achado recorrente pesa na leitura do supervisor, porque indica que a governança conhecia o problema e não agiu. Outro ponto é a comunicação de descumprimento. Existem situações em que o auditor tem dever próprio de comunicar, e a instituição precisa saber disso antes, não durante. Há ainda a independência: serviço prestado pelo auditor independente fora do escopo permitido compromete a própria auditoria e é examinado pelo regulador.

A MERC trata essa interface com regra clara de papéis. Nos trabalhos de auditoria independente, segue as normas brasileiras de contabilidade aplicáveis e as exigências do regulador, documenta comunicações com a governança e mantém o controle de independência que a norma impõe. Nos trabalhos de consultoria, respeita a fronteira que protege a independência quando também é auditor. Estrutura o fluxo de tratamento de deficiências, com dono, prazo, evidência de solução e reteste. A firma não emite relatório limpo sobre controle que não foi testado, e não suaviza achado por conveniência de calendário. É isso que dá valor ao relatório perante o regulador.

O que examinamos

• Relatórios exigidos do auditor sobre controles internos
• Comunicações formais à governança e ao regulador
• Tratamento e reteste de deficiências apontadas
• Recorrência de achados entre exercícios
• Independência e escopo de serviços permitidos
• Plano de auditoria interna baseado em risco

Norma aplicável

A auditoria independente de instituições autorizadas pelo Banco Central segue norma do Conselho Monetário Nacional sobre auditoria e sobre os relatórios devidos ao supervisor. Aplicam se ainda as Normas Brasileiras de Contabilidade aplicáveis à auditoria e, no mercado de capitais, a norma da CVM sobre auditor independente.

Entregável

Fluxo documentado de comunicação entre auditorias, governança e regulador, com matriz de deficiências, prazos, evidências de solução e retestes.