Auditoria interna e controles

Remediação e plano de ação

Tratamento das deficiências apontadas: causa raiz, ação com dono e prazo, evidência de encerramento e reteste independente.

Remediar é transformar apontamento em controle que funciona. Começa pela causa raiz, que raramente é a falta de treinamento apontada no primeiro rascunho. Falha recorrente de aprovação costuma vir de alçada mal parametrizada, de perfil de acesso amplo demais ou de prazo de fechamento incompatível com a revisão exigida. A frente organiza o plano por deficiência, com ação concreta, responsável nomeado, prazo definido pela administração e evidência esperada no encerramento. Depois testa outra vez, em período de operação posterior à implantação. Atende companhia com apontamento de auditoria interna, de auditor independente, de regulador ou de comitê, e empresa que acumulou pontos abertos ano após ano.

A NBC TA 265 rege a comunicação das deficiências de controle interno aos responsáveis pela governança e à administração, e distingue deficiência de deficiência significativa, o que muda destinatário e urgência. Erros frequentes na remediação: encerrar ponto por declaração do gestor, sem evidência; reabrir prazo repetidamente sem aprovação da instância que recebeu o compromisso; corrigir o caso encontrado na amostra sem corrigir o controle; e tratar deficiência de tecnologia de forma isolada, quando ela contamina todos os controles que dependem daquele sistema. O reteste exige período suficiente de operação após a correção, caso contrário não há população para testar e a conclusão fica sem base.

A MERC começa consolidando os pontos abertos de todas as fontes em base única, com severidade, idade, dono e situação, porque a mesma falha costuma aparecer com três nomes diferentes. Conduz análise de causa com o dono do processo e recusa ação genérica do tipo reforçar comunicação. Define a evidência de encerramento antes de a ação começar, o que elimina discussão no reteste. Executa o reteste em população posterior à implantação e reporta ao comitê o que fechou, o que atrasou e o que mudou de severidade. A firma não fecha ponto sem evidência reexaminável, e informa quando o prazo proposto pela administração é incompatível com o risco identificado.

O que examinamos

• Base única de pontos abertos, sem duplicidade entre fontes
• Análise de causa raiz feita com o dono do processo
• Ação específica, responsável nomeado e prazo aprovado
• Evidência de encerramento definida antes da execução
• Reteste em população posterior à implantação da correção
• Reporte ao comitê do que fechou, atrasou ou mudou de severidade

Norma aplicável

NBC TA 265, sobre a comunicação de deficiências de controle interno aos responsáveis pela governança e à administração, com a distinção entre deficiência e deficiência significativa. O COSO Internal Control exige comunicação tempestiva e correção das deficiências identificadas pelas atividades de monitoramento, e as normas do IIA impõem acompanhamento das ações acordadas.

Entregável

Plano de ação consolidado por deficiência, com causa raiz, responsável, prazo, evidência de encerramento e resultado do reteste independente.