Auditoria interna e controles

Teste de controles internos

Teste de controles chave com população, amostra e evidência, para concluir se o controle operou durante o período.

Testar controle interno é verificar se ele operou como desenhado ao longo do período, não se a política existe. O trabalho começa pela identificação do controle chave, aquele que endereça o risco de distorção relevante ou a falha operacional que interessa. Depois define a natureza do teste: indagação, observação, inspeção de documento e reexecução. Indagação isolada não sustenta conclusão. A frente resolve o problema da empresa que tem manual, matriz e fluxograma, mas não consegue provar que a aprovação antecedeu o pagamento, que a conciliação foi revisada, ou que a exceção apontada pelo sistema recebeu tratamento. O resultado é conclusão por controle, com deficiência descrita e efeito potencial avaliado.

A NBC TA 330 trata das respostas do auditor aos riscos avaliados, a NBC TA 315 da identificação desses riscos e dos controles relevantes, e a NBC TA 530 da amostragem. A frequência do controle determina o tamanho da amostra e o critério de seleção. Controle que depende de relatório extraído de sistema exige teste de completude e exatidão desse relatório, ponto que costuma ser ignorado e derruba a conclusão inteira. Controle de revisão executado por gestor precisa de critério de investigação, limiar e evidência do que foi questionado e concluído. Assinatura sem rastro de análise não é evidência. Desvio encontrado exige avaliação de causa, não ampliação automática de amostra até o resultado agradar.

A MERC parte do fluxo do processo e da matriz de risco e controle, valida por walkthrough com quem executa e só então define a amostra. Testa em população do período, com seleção documentada e reprodutível, e guarda a evidência tal como foi obtida, com data, executor e sistema de origem. Cada desvio vira registro com causa provável, efeito potencial e conversa com o dono do controle antes do relatório. A firma não conclui por controle efetivo apoiada em indagação, nem aceita evidência reconstituída depois do fato como prova de operação no período. Quando o controle não existe, dizemos isso, em vez de renomear procedimento informal como controle formalizado.

O que examinamos

• Identificação do controle chave por risco endereçado
• Walkthrough antes da definição de amostra
• Completude e exatidão de relatórios extraídos do sistema
• Seleção de amostra documentada e reprodutível
• Precisão e critério de investigação em controles de revisão
• Avaliação de causa e efeito de cada desvio

Norma aplicável

NBC TA 315, sobre identificação e avaliação dos riscos de distorção relevante e dos controles relevantes, NBC TA 330, sobre as respostas do auditor a esses riscos, e NBC TA 530, sobre amostragem. O COSO Internal Control fornece a estrutura de componentes e princípios usada para classificar o controle testado.

Entregável

Programa de testes executado, papéis com evidência de cada procedimento e relatório com conclusão por controle e deficiências classificadas.