Tema 02 - Controle Interno

Prévia do material em texto

Controle interno
Discussão dos fundamentos de gerenciamento de riscos corporativos, do gerenciamento de controles
internos e dos riscos de uma auditoria.
Prof. Pedro Hikaru Oishi
1. Itens iniciais
Propósito
Você vai compreender os aspectos históricos relativos à percepção da relevância do tratamento de riscos nas
organizações, assim como as principais referências de gerenciamento de riscos, como, por exemplo, uma
abordagem adotada nos procedimentos de auditoria, e de controles internos.
Objetivos
Descrever a retrospectiva histórica de questões relativas à construção do conhecimento em
gerenciamento de riscos e controles internos, assim como os principais referenciais de mercado.
Selecionar as principais características do referencial COSO 2017 integrado à estratégia e ao
desempenho da organização, além de seus respectivos componentes e princípios direcionadores.
Identificar as principais características do referencial COSO 2013, assim como seus respectivos
componentes e princípios direcionadores.
Descrever os riscos de uma auditoria.
Introdução
Vejamos como está estruturado o nosso estudo.
 
Inicialmente, faremos uma visita às origens históricas das questões que embasam o gerenciamento de riscos.
Para isso, apresentaremos os principais referenciais que abordam o gerenciamento de riscos e o de controles
internos. Também abordaremos o modelo de três linhas desenvolvido pelo Institute of Internal Auditors (IIA)
(Instituto dos Auditores internos).
 
Na abordagem do gerenciamento de riscos proposto pelo Committee of Sponsoring Organizations of the
Treadway Commission (COSO) (Comitê dos Organizadores Patrocinadores), compreenderemos a relação
existente entre o gerenciamento de riscos corporativos, a estratégia de uma organização e o seu
desempenho. Veremos que o COSO 2107 é estruturado em componentes e princípios que apoiam a
estruturação de um sistema de gerenciamento de riscos integrado à estratégia e ao desempenho de uma
organização.
 
Quanto aos controles internos, descreveremos o COSO 2013, que trata do gerenciamento de controles
internos, os quais, por sua vez, são mecanismos de controle de atividades para evitar impactos negativos no
alcance de objetivos operacionais, de conformidade e de divulgação. De forma similar ao COSO 2017, ele
também é estruturado em componentes e princípios a serem apresentados de forma mais detalhada.
 
Em seguida, listaremos os riscos existentes nos procedimentos de auditoria. Nessa linha, apontaremos as
situações que impactam na probabilidade de riscos de uma auditoria.
 
Por fim, destacaremos os quatro conceitos de risco (de distorção relevante, inerente, de controle e de
detecção), assim como demais procedimentos que colaboram para a coleta de evidências em procedimentos
de auditoria.
• 
• 
• 
• 
1. Gerenciamento de riscos e controles internos
Origem histórica
O gerenciamento de riscos permeia a atuação da humanidade desde os seus primórdios. A compreensão de
suas origens históricas e de sua evolução é útil para um melhor entendimento e aplicação dessa área de
conhecimento.
 
Gerenciar riscos é uma consequência da reação do ser humano às forças externas do ambiente em que vive.
Essas forças, afinal, podem ser benéficas ou não contribuírem para a sua sobrevivência.
Ao compreendermos os marcos iniciais dos riscos, teremos referenciais que nos ajudarão a elucidar os
melhores caminhos a serem percorridos no futuro. Essa compreensão aplica-se não somente às grandes
questões da humanidade, mas também às organizações.
 
A concepção de prevenção é decorrente da evolução da racionalidade humana ao ter de lidar com questões
que instigam sua capacidade de adaptação para reconhecer e enfrentar riscos.
O êxito do ser humano – a partir do seu ancestral homo sapiens – em relação aos demais hominídeos deu-se
em função de sua adaptabilidade aos diferentes ambientes receptivos ou agressivos. Ela, aliás, também é
contemplada pela seleção genética que auxilia na evolução das espécies.
 
Constata-se que ele deixou de entender que o risco é uma consequência de fenômenos da natureza ou de
seres superiores que possam controlar o planeta Terra, vendo-o apenas como uma ocorrência que pode ser
dominada para melhor sobrevivência. Ao transpormos este patamar, tivemos a oportunidade de alavancar o
sistema econômico da sociedade.
Exemplo
Um dos vestígios mais antigos que trata da preocupação com o risco pode ser constatado em um papiro
egípcio que descreve os cuidados que o trabalhador à época deveria ter com o uso de vestimentas para
proteger seus braços. Eles, afinal, eram uma fonte de obtenção de alimentos nas atividades agrícolas. 
Com a evolução natural ocorrida, o homem passou a atuar em atividades de pastoreio e confecção de
artefatos pessoais, culminando na Revolução Industrial, época em que a prevenção de riscos pôde mostrar
sua relevância em razão dos diversos acidentes ocorridos nas linhas de produção.
 
Faremos uma breve cronologia da forma como o risco vem sendo tratado ao longo da história. Acompanhe!
Séc XIII AEC
Primeiras indenizações
Ocorreram as primeiras indenizações em razão de inundações de
propriedades e de roubos patrimoniais.
Séc XVII
Seguro de incêndios
Criação do seguro de incêndios na Inglaterra como forma de tratamento
de risco.
1870
Revolução Industrial
Com o advento da Revolução Industrial, iniciaram-se as tentativas de
prevenção de acidentes, que passaram a ocorrer frequentemente, por
meio de melhorias dos equipamentos de proteção e das instalações
industriais.
1921
Frank Knight
Frank Knight (1885 - 1972) lança uma publicação que trata de riscos,
incertezas e lucros. Ele tornou-se referência mundial na área por definir
as bases conceituais do gerenciamento de riscos.
1939 - 1945
Segurança do trabalho
A capacidade industrial foi considerada um ponto nevrálgico para que
uma nação pudesse ser vencedora na Segunda Guerra Mundial. Por essa
razão, a segurança do trabalho, por intermédio de ações de prevenção,
passou a ser a tônica da época.
1952
Harry Markowitz
Harry Markowitz demonstrou, por meio de métodos estatísticos que
colocar todos os ovos em uma cesta oferece um risco maior do que atuar
de forma diversificada. 
1963
Robert Meher e Bob Hedges
Robert Meher e Bob Hedges lançam no mercado uma publicação que
tratava do gerenciamento de riscos nas organizações.
1970
Teoria da probabilidade
A teoria da probabilidade desenvolvida no século XVII passa a ser
aplicada como método quantitativo de gerenciamento de riscos nas
áreas de saúde, mercado financeiro e seguros.
1975
Publicação da revista Fortune
É lançada a revista americana Fortune, publicação que aborda a
revolução decorrente do gerenciamento de riscos. Ela definiu uma forma
de gerenciar riscos na organização que dependesse da atuação da alta
administração.
1992
Criação de guia
Cria-se, nos Estados Unidos. um guia pioneiro no gerenciamento dos
controles internos de uma organização pelo comitê COSO. Já na
Inglaterra, o comitê Cadbury define que a alta administração precisa
definir, assegurar e monitorar o gerenciamento de riscos na organização.
1996
Peter Bernstein
Peter Bernstein enfatiza que a abordagem de riscos baseada em
métodos quantitativos é relevante; todavia, ele frisa que a necessidade
de uma abordagem holística na organização também deve ser ressaltada.
2001
Empresa americana Enron
A empresa americana Enron atua de forma fraudulenta em operações
contábeis e financeiras com apresentações de balanços patrimoniais
falsos e lucros irreais.
2002
Lei Sarbanes-Oxley
A atuação da Enron precipitou a aprovação da Lei Sarbanes-Oxley, que
instituiu mecanismos de governança que pudessem reduzir a ocorrência
de fraudes.
2004
Guia de gerenciamento de riscos corporativos
O comitê COSO publica o Guia de gerenciamento de riscos corporativos.
2009
Norma técnica ISO 31000
É publicada a norma técnica ISO 31000, que define os princípios e as
diretrizes do gerenciamento de riscos aplicáveis a qualquer tipo de
organização.
2013Guia de controles internos
O comitê COSO atualiza seu guia de controles internos.
2017
Guia de gerenciamento de riscos corporativos
Lançado em 2004, o Guia de gerenciamento de riscos corporativos do
comitê COSO é atualizado com a incorporação da estratégia e da
mensuração de desempenho à sua estrutura.
Principais referenciais de gerenciamento de riscos e
controles internos
No vídeo a seguir, vamos comentar sobre os principais referenciais de gerenciamento de riscos e controles
internos. Vamos assistir!
Conteúdo interativo
Acesse a versão digital para assistir ao vídeo.
O gerenciamento de riscos e controles internos nas organizações coopera para a aquisição dos seguintes
benefícios:
 
Maior alcance de resultados estratégicos.
Maior desempenho organizacional.
Maior eficácia em projetos.
Maior eficiência nos processos de trabalho.
Redução do gerenciamento de crises.
Maior percepção de valor aos clientes.
Esse gerenciamento nas organizações pode ser estruturado a partir de vários referenciais existentes no
mercado. Apresentaremos, de forma simplificada, aqueles desenvolvidos pelo COSO e pela IIA.
Referenciais de gerenciamento de riscos e controles internos.
COSO
• 
• 
• 
• 
• 
• 
Criado em 1985, o COSO é um comitê norte-americano sem fins lucrativos para implementar mecanismos de
controle e monitoramento de relatórios financeiros. Sua criação foi decorrente do grande número de fraudes
contábeis e financeiras ocorridas em anos anteriores.
 
Nessa linha de trabalho, ele é formado por cinco organizações do setor privado que se dedicam a liderar
iniciativas relativas ao gerenciamento de riscos corporativos, ao controle interno e à dissuasão de fraudes por
conta do desenvolvimento de frameworks (estruturas de trabalho) e recomendações.
 
Em sua atuação, o COSO disponibiliza os seguintes referenciais para serem utilizados pelas organizações:
 
Controle interno – estrutura integrada (COSO 2013).
Gerenciamento de riscos corporativos integrados à estratégia e ao desempenho (COSO 2017).
O gerenciamento de riscos nas organizações em todo o mundo emprega intensivamente o conhecimento
consolidado por essa organização, que alcançou um grau maior de maturidade de suas propostas utilizadas
para combater as diversas fraudes contábeis e financeiras ocorridas nas últimas décadas.
 
Suas práticas, recomendações e guias são amplamente adotadas pelas organizações públicas ou privadas,
além de constituírem a base de pesquisas acadêmicas.
IIA
É uma associação internacional de profissionais da área de auditoria interna que visa prover condições
profissionais e disseminar conhecimentos para os seus associados.
 
Seu espectro de atuação contempla as áreas de:
 
Auditoria interna
Gerenciamento de riscos
Governança
Controle interno
Auditoria de TI
Segurança
Educação
 
COSO 2013 - Controle interno - estrutura integrada
O controle interno, na definição do COSO , significa “um processo conduzido pela estrutura de governança,
administração e outros profissionais da entidade, desenvolvido para proporcionar segurança razoável com
respeito à realização dos objetivos relacionados a operações, divulgação e conformidade”.
 
Esse controle apresenta as seguintes características:
• 
• 
• 
• 
• 
• 
• 
• 
• 
 
Possui processo dinâmico e interativo.
Perpassa toda a organização.
O controle interno deve estar integrado às funções administrativas (planejar, organizar, direcionar e
controlar).
Não é um processo com um fim em si próprio, servindo para garantir uma razoável segurança para a
entrega de valor.
Ele é implementado pela estrutura de governança e pela alta administração.
É customizável para todos os níveis organizacionais.
 
Observemos a estrutura do COSO 2013.
Estrutura do COSO 2013.
Pode-se inferir que os objetivos organizacionais operacionais, de divulgação e de conformidade são
controlados e monitorados pelo ambiente de controle, pela avaliação de riscos, pela atividade de controle,
pela informação e comunicação e pela atividade de monitoramento em todos os níveis hierárquicos da
organização.
COSO 2017 - Gerenciamento de riscos corporativos
integrados à estratégia e ao desempenho
Precisamos ressaltar a relevância da integração do gerenciamento de riscos corporativos no processo de
planejamento estratégico em todos os níveis organizacionais. Os riscos, afinal, influenciam a estratégia e o
desempenho da organização – e por eles também são influenciados.
 
Apresentaremos a seguir suas principais características:
• 
• 
• 
• 
• 
• 
 
Reformulação radical em relação ao COSO 2004.
Foco na criação e preservação de valor.
Tomada de decisões baseada em riscos.
Plano estratégico formulado de acordo com os riscos.
Sustentabilidade das ações.
Integração de gerenciamento de riscos, estratégia e desempenho da organização.
Estruturado em 5 componentes e 20 princípios.
 
A estrutura básica do COSO 2017 está representada na figura a seguir:
Estrutura do COSO 2017.
Nessa estrutura, constata-se que o gerenciamento de riscos, segundo a versão editada pelo COSO em 2017, é
fortemente integrado à estratégia da organização e à melhoria de desempenho. Ela é baseada nos seguintes
componentes:
 
Governança e cultura
Estratégia e definição de objetivos
Desempenho
Análise e revisão
Informação, comunicação e divulgação
Modelo de três linhas
De acordo com o IIA, o modelo de três linhas ajuda as organizações a identificarem estruturas e processos
que auxiliam da melhor maneira no atingimento dos objetivos e facilitam uma forte governança e um
gerenciamento de riscos.
Esse modelo é baseado em seis princípios que cooperam para uma estrutura de governança eficaz.
As três linhas referem-se às funções do órgão de governança, da gestão e da auditoria interna.
Nesse contexto, veremos agora os papéis desempenhados pela 1ª, 2ª e 3ª linha.
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
Modelo de três linhas.
Saiba mais
Ele era conhecido originalmente como modelo de três linhas de defesa. Após passar por uma
reestruturação em 2020, passou a ser chamado somente de modelo de três linhas. 
Esse modelo contempla as seguintes características:
 
Abordagem proativa em relação ao modelo anterior de “defesa”.
Maior independência da auditoria interna (reporta-se ao órgão de governança).
Definição mais clara dos papéis e das responsabilidades, assim como dos relacionamentos entre eles.
Foco nas necessidades e expectativas dos clientes e na geração de valor.
Modelo baseado em princípios alinhados aos objetivos organizacionais.
 
O modelo de três linhas contempla seis princípios:
Governança
Uma organização deve comportar processos e estruturas organizacionais que facilitem a prestação
de contas, as ações de gestão para a facilitação do alcance de objetivos e as atividades de avaliação
e assessoria realizadas por uma auditoria independente.
• 
• 
• 
• 
• 
Papéis do órgão de governança
O órgão de governança da organização precisa assegurar a existência de estruturas e processos
organizacionais atuantes para a maior eficácia de sua governança.
Sua atuação também deve contribuir para que as ações estejam de acordo com as expectativas das
partes interessadas, além de oferecer condições para que os objetivos organizacionais sejam
alcançados, estando em conformidade com as normativas. Para uma maior confiabilidade na gestão,
esse princípio supervisiona a atuação da auditoria independente.
Gestão e os papéis da primeira e segunda linhas
A gestão atua para efetuar tanto o gerenciamento de riscos (1ª linha), focado na entrega de produtos
e serviços, quanto o de riscos corporativos (2ª linha), que trata dos riscos que impactam no alcance
de objetivos organizacionais.
Papéis da terceira linha
A auditoria interna precisa ter condições para atuar em atividades de avaliação e assessoria em
relação à governança e ao gerenciamento de riscos.
A independência da terceira linha
A auditoria interna deve atuar de forma independente na organização com base na prestação de
contase no acesso incondicional às informações dela.
Criando e protegendo valor
Todas as partes interessadas da organização têm de ser pautadas para a criação de valor por
intermédio de trabalho colaborativo e comunicação.
Verificando o aprendizado
Questão 1
O controle interno é um processo conduzido pela estrutura de governança. Complete o texto a seguir: “Visa
proporcionar segurança razoável com respeito à realização dos ____ relacionados a ____, divulgação e ____”.
A
parâmetros, eficácia, efetividade
B
projetos, conformidade, autenticidade
C
objetivos, operações, conformidade
D
controles, comunicação, confiabilidade
E
instrumentos, sustentabilidade, governança
A alternativa C está correta.
O controle interno, na definição do COSO 2013, busca proporcionar uma segurança razoável no que diz
respeito à realização dos objetivos relacionados às operações, à divulgação e à conformidade.
Questão 2
Os riscos influenciam a estratégia e o desempenho da organização, sendo por eles também influenciados.
Assinale a alternativa correta.
A
Os riscos dependem da produtividade das estruturas de governança.
B
O COSO 2017 é integrado à estratégia.
C
O COSO 2017 é uma atualização do COSO 2013.
D
Uma organização que apresenta riscos não é uma organização confiável.
E
Os riscos são decorrentes de processos organizacionais descalibrados.
A alternativa B está correta.
O diferencial do COSO 2017 em relação à sua versão anterior é a integração dele à estratégia da
organização.
2. Gerenciamento de riscos corporativos (COSO 2017)
Estratégia da organização e o gerenciamento de riscos
Desenvolvida pelo COSO em 2017, a última versão da estrutura de trabalho referente aos riscos corporativos
foi denominada Gerenciamento dos riscos corporativos – integrado à estratégia e ao desempenho.
Comentário
Para simplificarmos o emprego dessa terminologia, adotaremos a expressão “COSO 2017” quando
falarmos dessa estrutura. 
O gerenciamento de riscos corporativos tem sua relevância ao cooperar para a criação de valor decorrente da
aceitação de riscos considerados razoáveis e a eliminação ou tratamento de riscos que possam acarretar a
destruição de valor.
Valor na organização.
Até o lançamento dessa estrutura, esse gerenciamento contemplava apenas a identificação e o
tratamento de riscos que tivessem um impacto no alcance da estratégia; contudo, os projetos e os
processos organizacionais destruíam valor pelo fato de nem sempre estarem alinhados à missão e à
visão da organização.
Na estrutura do COSO 2017, o risco, em todos os níveis organizacionais, é levado em consideração na
formulação de:
 
Estratégia
Alinhamento à missão, à visão e aos valores organizacionais
Mensuração do desempenho
 
Essa atualização teve o objetivo de atender às seguintes demandas:
 
Ressaltar a relevância do gerenciamento de riscos na formulação da estratégia.
Promover o alinhamento desse gerenciamento no desempenho da organização.
• 
• 
• 
• 
• 
Atender às demandas de transparência e prestação de contas às partes interessadas.
Alinhar a tecnologia de informação às necessidades de informações para a tomada de decisões.
 
 
Comentário
Deve-se ressaltar que o gerenciamento de riscos não é uma função específica ou uma área funcional
dentro da organização. Trata-se, na verdade, de um conjunto de boas práticas, cultura organizacional e
competências que contribuem, de acordo com o apetite aos riscos com monitoramento do desempenho,
para a definição e a execução da estratégia e dos objetivos organizacionais. 
Contemplando a estratégia, os objetivos organizacionais, os riscos e o desempenho, a estrutura do COSO
2017 está representada a seguir.
Estrutura do COSO 2017.
O gerenciamento de riscos corporativos pode trazer os seguintes benefícios para a organização:
 
Ampliação do leque de oportunidades em função da identificação e da priorização de riscos positivos.
Visão sistêmica do gerenciamento de riscos, o que coopera para a melhoria do desempenho.
Incremento de resultados positivos a partir da identificação e do tratamento de riscos negativos.
Desempenho organizacional previsível, sem sobressaltos na produtividade e na qualidade de produtos
e serviços.
Aplicação eficiente de recursos.
Maior adaptabilidade da organização aos cenários adversos.
Estratégia, riscos, valor e desempenho
No vídeo a seguir, apresentamos a relação entre estratégia, riscos, valor e desempenho. Vamos assistir!
• 
• 
• 
• 
• 
• 
• 
• 
Conteúdo interativo
Acesse a versão digital para assistir ao vídeo.
Na abordagem do COSO 2017, o gerenciamento de riscos corporativos é integrado à definição da estratégia, a
qual, por sua vez, colabora para a definição de objetivos organizacionais. Com base nesses objetivos, são
estruturados os projetos e os processos organizacionais que devem entregar valor ao cliente da organização.
 
Para garantir a sustentabilidade dessas ações, é necessário monitorar o desempenho e a execução da
estratégia com base nos riscos identificados, os quais, em seguida, passam a compor o portfólio de riscos.
A operacionalização do COSO 2017 é baseada nos componentes e nos princípios apresentados a seguir.
Componente Princípios
Governança e cultura
- Fiscalização de riscos corporativos pelo órgão de
governança.
- Definição de unidades organizacionais.
- Definição da cultura da organização.
- Comprometimento com valores fundamentais.
Estratégia e definição de
objetivos
- Análise contextuai da organização em relação aos
riscos.
- Definição do apetite aos riscos.
- Avaliação de alternativas de estratégias.
- Definição de objetivos organizacionais.
Desempenho
- Identificação de riscos.
- Análise da gravidade dos riscos.
- Priorização de riscos.
- Implementação de respostas aos riscos.
- Desenvolvimento de portfólio de riscos.
Componente Princípios
Análise e revisão
- Avaliação de mudanças significativas.
- Revisão de riscos e desempenho.
- Busca de melhorias no gerenciamento de riscos
corporativos.
Informações, comunicação e
divulgação
- Estímulo à utilização de informações por meio da
tecnologia.
- Comunicação dos riscos à informação.
- Comunicação de riscos, da cultura organizacional e do
desempenho.
Tabela: Componentes e princípios do COSO 2017. 
Extraído de COSO 2017.
Governança e cultura
Nesse componente, a governança e a cultura se destacam como dois relevantes pilares que contribuem para
a definição de responsabilidades no gerenciamento de riscos e de valores éticos e comportamentais
desejáveis para a compreensão dos riscos em toda a organização.
 
Esse componente é baseado nos seguintes princípios:
Fiscalização de riscos corporativos pelo órgão de governança
O órgão de governança da organização tem de monitorar a definição da estratégia e de seus riscos
inerentes no alcance de seus objetivos organizacionais para servir como suporte aos gestores.
Definição de unidades organizacionais
A organização deve estruturar as unidades organizacionais que operam para o alcance da estratégia
e dos objetivos organizacionais.
Definição da cultura da organização
A organização tem a incumbência de definir o perfil comportamental e ético que caracteriza suas
especificidades.
Comprometimento com valores fundamentais
Deve-se expressar de forma clara os valores que precisam permear uma organização.
Gestão por competência alinhada com a estratégia e os objetivos organizacionais
Em busca de maior valor agregado, a organização deve se comprometer a atrair e desenvolver
pessoas que possam alinhar-se à estratégia e aos objetivos organizacionais dela.
Estratégia e definição de objetivos
Para uma maior entrega de valor, o gerenciamento de riscos corporativos deve ser integrado à estratégia e à
definição de objetivos organizacionais no processo de formulação do plano estratégico da organização.
 
Nesse contexto, o apetite aos riscos, isto é, o nível aceitável de tolerância a eles, é definido com a estratégia,
a qual, por sua vez, direciona essa definição dos objetivosque retroalimentam a avaliação e a resposta aos
riscos.
 
Para que a estratégia e a definição de objetivos sejam estruturadas de forma eficaz, os seguintes princípios
precisam ser observados.
Análise contextual da organização em relação aos
riscos
A organização tem de analisar os riscos que compõem sua área de atuação para a construção do
mapa de gerenciamento de riscos corporativos.
Definição do apetite aos riscos
Para a criação e a preservação de valor, deve-se analisar os riscos a fim de definir um nível aceitável
deles que a organização se propõe a tolerar.
Avaliação de alternativas de estratégias
Avaliam-se as possíveis alternativas de formulação das estratégias de acordo com o apetite aos
riscos da organização.
Definição de objetivos organizacionais
A partir da definição de estratégia baseada no apetite aos riscos, a organização parte para a
definição de objetivos organizacionais, que, aliás, devem atuar em todos os níveis.
Desempenho
Na abordagem do COSO 2017, o gerenciamento de riscos corporativos é integrado ao desempenho
organizacional. Nesse sentido, todas as ações desenvolvidas devem estar conectadas ao apetite aos riscos.
 
Por essa razão, o desempenho se apoia nos seguintes princípios.
Identificação de riscos
São identificados aqueles que podem impactar no desempenho da organização quanto à estratégia e
aos objetivos organizacionais dela.
Análise da gravidade dos riscos
É analisada a gravidade dos riscos que atingem a execução da estratégia e a eficácia de processos no
alcance dos objetivos organizacionais.
Priorização de riscos
Com base no apetite aos riscos, a organização prioriza aqueles que ela considera aceitáveis para a
criação ou a preservação de valor.
Implementação de respostas aos riscos
Uma vez definidos os riscos aceitáveis, são estruturadas formas de tratamento dos riscos
priorizados. 
Desenvolvimento de portfólio de riscos
Com os riscos priorizados pela organização, assim como suas respectivas formas de tratamento,
desenvolve-se um portfólio de risco. Ele deve ser avaliado continuamente para a preservação e a
criação de valor.
Análise e revisão
A análise do desempenho permite que a organização avalie os componentes do gerenciamento de riscos
corporativos a fim de que, quando requeridas, sejam promovidas mudanças de curso.
 
Para estruturar a análise e a revisão, os princípios dispostos a seguir devem ser seguidos.
Avaliação de mudanças significativas
Consiste na identificação de mudanças que impactam de forma
significativa a estratégia e o alcance de objetivos organizacionais.
Revisão de riscos e desempenho
O desempenho da organização e os riscos que passaram a ser
incorporados ao portfólio de riscos têm de ser constantemente
monitorados, assim como a possibilidade de aparecimento de novos
riscos.
Busca de melhorias no gerenciamento de riscos corporativos
Integrado à estratégia e ao desempenho da organização, o
gerenciamento de riscos deve ser tratado como um processo de trabalho
contínuo que, de acordo com os cenários interno e externo, requer
aprimoramentos.
Informações, comunicação e divulgação
O gerenciamento de riscos corporativos precisa ter como base de interação entre as partes interessadas a
geração de informações, a comunicação por meio de diversos canais e a divulgação das citadas informações.
 
Para que as três sejam viáveis, devem ser considerados, em conformidade com as recomendações do COSO
2017, estes princípios:
Estímulo à utilização de informações por meio da tecnologia
O gerenciamento de riscos corporativos é afetado de forma positiva pela
ampla utilização da tecnologia nas diversas etapas de gestão da
informação dentro da organização.
Comunicação dos riscos à informação
Todos os riscos que podem impactar na transparência ou na legitimidade
das informações têm de ser comunicados às partes interessadas.
Comunicação de riscos, da cultura organizacional e do
desempenho
A organização deve, em todos os níveis organizacionais, comunicar
regularmente às partes interessadas informações relativas aos riscos, à
cultura organizacional e ao desempenho.
Tendências do gerenciamento de riscos corporativos
Em função do cenário de alta competitividade entre as organizações, o que implica uma adaptabilidade aos
diversos fatores dos cenários interno e externo, o gerenciamento de riscos não pode prescindir das inovações
proporcionadas por boas práticas de governança e gestão e dos recursos oferecidos pela tecnologia de
informação.
 
Nesse compasso, quatro tendências devem ser avaliadas quanto à conveniência de uma integração aos
princípios desse gerenciamento:
Aumento exponencial das informações
As informações disponíveis para todos os usuários de serviços de
informação crescem de forma exponencial a cada ano.
As organizações devem se adaptar a essa realidade; do contrário, elas
estão sob risco de sucumbir por falta de informações que possam
subsidiar a formulação de estratégias e objetivos organizacionais.
Aplicação da inteligência artificial em diversas áreas de
conhecimento
A inteligência artificial deixou de ser um conhecimento específico
utilizado em métodos quantitativos para ser utilizada em todas as áreas
de conhecimento. Sua taxa de erros já é menor do que a de ações
efetuadas por um ser humano.
Exemplo: A partir de uma vasta quantidade de informações, os algoritmos
de inteligência artificial podem efetuar inferências quanto à melhor
maneira de se efetivar o tratamento de riscos organizacionais.
Gerenciamento de custos dos riscos organizacionais
Com a crescente utilização do gerenciamento de riscos para a
maximização na criação de valor e na redução de sua destruição, o de
custos organizacionais acaba encontrando pontos de intersecção com o
custo daquele que é aplicado aos riscos.
Exemplo: Uma organização pode, de forma mais assertiva, mensurar os
benefícios decorrentes da implementação de estruturas de trabalho que
deem tratamento aos riscos organizacionais.
Fortalecimento das organizações em cenários adversos
A alta competitividade existente entre as organizações, que caminham
por uma trilha pautada pela necessidade de maior eficiência e eficácia
dos processos organizacionais, enseja um cenário de maior resiliência
delas.
Exemplo: Isso pode ser proporcionado por um gerenciamento de riscos
integrado à estratégia e ao desempenho.
Verificando o aprendizado
Questão 1
A governança e a cultura são dois relevantes pilares que contribuem para a definição de responsabilidades no
gerenciamento de riscos e de valores éticos e comportamentais desejáveis para a compreensão dos riscos em
toda a organização. Indique um princípio que integra esse componente do COSO 2017.
A
Independência de gestores.
B
Definição da cultura da organização.
C
Estruturas organizacionais eficazes.
D
Avaliação da produtividade da organização.
E
Produtividade por demanda.
A alternativa B está correta.
A definição da cultura de organização é um dos princípios deste componente do COSO 2017: “governança e
cultura”.
Questão 2
“O gerenciamento de riscos corporativos deve ter como base de interação entre as partes interessadas a
geração de informações, comunicação por meio de diversos canais e a divulgação das citadas informações.”
Aponte a alternativa que representa um princípio relacionado com a frase apresentada.
A
Informação de riscos sob controle.
B
A comunicação é o canal de informação.
C
Tecnologia da comunicação para todos.
D
Sustentabilidade de comunicação.
E
Comunicação de riscos, da cultura organizacional e do desempenho.
A alternativa E está correta.
A comunicação de riscos, da cultura organizacional e do desempenho é um dos princípios do componente
“informações, comunicação e divulgação”.
3. Gerenciamento de controles internos (COSO 2013)
Gestão da organização e controle interno
Uma organização, para atender à sua missão e à sua visão, tem de estabelecer, por meio de projetos e
processos organizacionais, objetivos alinhados à sua estratégia, a qual, por sua vez, define as diretrizes que
precisam pautar a atuaçãoda organização no atendimento aos princípios de eficiência, eficácia, efetividade e 
economicidade.
 
Nessa busca de aprimoramento, devem ser definidos os objetivos organizacionais que cooperam para a
operacionalização de ações alinhadas estrategicamente. Na estrutura do COSO 2013, eles podem ser
classificados em três categorias:
Objetivos operacionais
Referem-se à eficácia e à eficiência dos processos organizacionais.
Objetivos de divulgação
Tratam de objetivos que visam promover a prestação de contas e a transparência das ações da
organização.
Objetivos de conformidade
A conformidade relaciona-se com a aderência da organização às normas, oriundas da legislação
vigente, de órgãos de regulamentação ou de origem interna.
De acordo com o COSO 2013, o controle interno é caracterizado como um processo conduzido pela estrutura
de governança, administração e outros profissionais da entidade, sendo desenvolvido para proporcionar uma
segurança razoável na realização de objetivos relacionados às operações, à divulgação e à conformidade.
 
Esse controle atua na estruturação para identificar e avaliar os riscos; no entanto, o tratamento efetivo é de
responsabilidade de gestores e funcionários das áreas específicas da organização.
 
Nas situações em que o controle interno é implementado em sua integralidade, a organização consegue
colher os seguintes benefícios:
 
Divulgação de informações legítimas e confiáveis para a tomada de decisões.
Maior eficiência operacional dos processos organizacionais.
Processamento e transparência de informações em todos os níveis da organização.
Foco em riscos que ultrapassam os limites de tolerância definidos por ela.
Apesar dos esforços empreendidos pelo controle interno, devemos ressaltar que o espectro de sua atuação é 
limitado por depender dos seguintes fatores:
• 
• 
• 
• 
 
Definição de objetivos organizacionais adequados à realidade da organização.
Falha humana na tomada de decisões.
Possibilidade de a administração ou a força de trabalho não adotar os mecanismos de controle.
 
Veremos que a estrutura do COSO 2013 contempla objetivos organizacionais, componentes e diversos níveis
hierárquicos dentro de uma organização:
Estrutura do COSO 2013.
Na estrutura apresentada, temos as três faces do cubo representando: 
 
Os objetivos organizacionais
Os componentes do controle interno
Os diversos níveis hierárquicos da organização
Comentário
Com base na primeira figura do nosso estudo, pode-se concluir que os objetivos organizacionais
operacionais, de divulgação e de conformidade são controlados e monitorados pelo ambiente de
controle, pela avaliação de riscos, pela atividade de controle, pela informação e comunicação e pela
atividade de monitoramento em todos os níveis hierárquicos da organização. 
• 
• 
• 
• 
• 
• 
Para que o controle interno seja operacionalizado de forma eficaz, é necessária a atuação de cinco
componentes:
 
Ambiente de controle
Avaliação de riscos
Atividade de controle
Informação e comunicação
Atividade de monitoramento
Esses componentes são direcionados de acordo com princípios específicos. Eles, por sua vez, desdobram-se
em outros 17 princípios:
Componente Princípios
Ambiente de
controle
- Comprometimento da organização com a ética.
- Unidades organizacionais e profissionais de governança atuam de
forma independente e monitoram o controle interno.
- As estruturas organizacionais são definidas para alcance dos
objetivos, com apoio da estrutura de governança.
- Comprometimento na gestão por competências, no alcance de
objetivos.
- Comprometimento de atuação no controle interno, no alcance de
objetivos.
Avaliação de riscos
- Definição clara de objetivos organizacionais para identificação e
tratamento de riscos.
- Identificação e análise de riscos em toda organização para definição
da forma de tratamento destes riscos.
- Percepção de fraude na avaliação de riscos.
- Identificação e avaliação de ocorrências que impactem no sistema
de controle interno.
Atividades de
controle
- Operacionalização de atividades de controle para níveis aceitáveis
de riscos.
- Desenvolvimento de atividades de controle de tecnologia para
alcance dos objetivos organizacionais.
- Estabelecimento de diretrizes e processos para atividades de
controle.
Informação e
comunicação
- Obtenção e utilização de informações de qualidade para suporte do
controle interno.
- Divulgação de informações de apoio ao controle interno.
- Prestação de contas para o público externo acerca de questões que
impactam no controle interno.
• 
• 
• 
• 
• 
Componente Princípios
Atividade de
monitoramento
- Avaliação contínua e independente do controle interno.
- Comunicação de falhas ou deficiências no controle interno aos
responsáveis, ou quando for o caso, à alta administração e à estrutura
de governança.
Tabela: Componentes e princípios do COSO 2013.
Elaborado por Pedro Hikaru.
Ambiente de controle
O ambiente de controle refere-se aos processos e às estruturas organizacionais atuantes de acordo com as
normas definidas para a operacionalização do controle interno. Devem ser definidas regras de negócios do
controle interno em todos os processos nos níveis hierárquicos.
 
O ambiente de controle do COSO 2013 é baseado nos seguintes princípios:
 
Comprometimento da organização com a ética.
Unidades organizacionais e profissionais de governança atuam de forma independente e monitoram o
controle interno.
As estruturas organizacionais são definidas para o alcance dos objetivos, contando com o apoio da
estrutura de governança.
Há um comprometimento na gestão por competências para o alcance de objetivos.
Existe um comprometimento de atuação no controle interno para o alcance de objetivos.
 
O ambiente de controle está intimamente ligado aos valores éticos, à integridade de atuação e às
competências das pessoas na condução de atividades que não estão ligadas diretamente à entrega
de produtos e serviços. Ele busca validar o comprometimento da organização em todos os seus
níveis com os seus objetivos.
O avaliação de riscos
No vídeo a seguir, vamos falar sobre a avaliação de riscos. Vamos assistir!
Conteúdo interativo
Acesse a versão digital para assistir ao vídeo.
Uma organização, em suas atividades de gestão, passa por eventos de riscos que podem impactar no alcance
de resultados. Para que sejam tomadas medidas de tratamento de tais eventos de forma tempestiva, é
necessário que o processo de avaliação de riscos transcorra de forma dinâmica em relação à ocorrência de
um evento com potencial para prejudicar o alcance de objetivos organizacionais.
 
Para que a avaliação de riscos seja realizada de maneira satisfatória, devem ser atendidos os seguintes
princípios:
• 
• 
• 
• 
• 
 
Definição clara de objetivos organizacionais para a identificação e o tratamento de riscos.
Identificação e análise de riscos em toda a organização para a definição da forma de tratamento deles.
Percepção de fraude na avaliação deles.
Identificação e avaliação de ocorrências que impactem no sistema de controle interno.
 
Para que a avaliação de riscos contribua para o controle interno, ela precisa estar inserida de forma alinhada
aos objetivos organizacionais, situação em que pode contribuir para a redução de impactos negativos.
 
Deve-se compreender que a avaliação de riscos ocorre em função de duas principais variáveis:
Objetivos organizacionais
Precisam estar definidos em uma etapa anterior à da identificação e do tratamento de riscos.
Probabilidade de ocorrência
Com base em métodos quantitativos ou até
mesmo empíricos, pode-se analisar a
probabilidade da ocorrência de um risco capaz
de impactar no alcance de objetivos
organizacionais.
Impacto de ocorrência
A ocorrência de um evento de risco na
execução de um processo pode trazer um
pequeno ou grande impacto no alcance de
objetivos organizacionais.
Já a criticidade corresponde ao produto matemático da probabilidade de ocorrência e do seu impacto. A partir
da criticidade dorisco, uma organização precisa efetivar sua avaliação para fins de identificação de riscos e
respectivas formas de tratamento.
 
De acordo com o risco identificado, ela pode adotar uma destas formas de tratamento:
Aceitar
Não é executada nenhuma ação de tratamento de riscos. A organização entende que o risco é
aceitável e não traz grande impacto para determinado processo de trabalho.
Evitar
O processo organizacional que implica riscos organizacionais é suprimido da organização. Essa
medida, apesar de suprimir o risco, pode impedir, por exemplo, que ela implemente iniciativas de
inovação ou melhorias.
Reduzir
Essa forma de tratamento refere-se à redução do impacto ou da probabilidade de ocorrência do risco.
Tal abordagem está vinculada a tratativas específicas para cada situação de risco.
• 
• 
• 
• 
Compartilhar
A redução do impacto ou da probabilidade de ocorrência do risco pode ocorrer por meio da
transferência dele para terceiros. Um exemplo clássico é a contratação de seguros.
Atividades de controle
As atividades de controle são criadas para o tratamento dos riscos que possam gerar um impacto no alcance
de objetivos organizacionais. Sua implementação é efetuada em todos os níveis hierárquicos da organização
com base em normas e políticas definidas.
 
Esse componente pode contemplar a adoção das seguintes atividades:
 
Segregação de funções
Verificações de atividades
Implementação de instâncias de autorizações
Plano de continuidade de negócios
Definição de indicadores e metas de desempenho
Controles físicos
 
No bojo das atividades de controle, estão dispostos os seguintes princípios:
Princípio 1
Operacionalização de atividades de controle para níveis aceitáveis de riscos.
Princípio 2
Desenvolvimento de atividades de controle de tecnologia para o alcance dos
objetivos organizacionais.
Princípio 3
Estabelecimento de diretrizes e processos para essas atividades.
Usualmente, as atividades de controle não são implementadas quando a organização opta por aceitar ou
evitar determinado risco. A situação será diversa quando ela preferir reduzir ou compartilhá-lo: tais atividades,
conforme seu nível aceitável de riscos, deverão se fazer presentes.
• 
• 
• 
• 
• 
• 
 
Na implementação dessas atividades, são analisadas as seguintes questões:
 
 
Completude
Verificação da extensão de execução dos processos organizacionais.
Exatidão
Análise da eficácia do processo organizacional.
Validade
Verificação da efetividade do processo organizacional.
Informação e comunicação
A organização atua por meio de comunicações internas e externas que devem contribuir para o alcance de
objetivos. As informações devem ser legítimas e de qualidade para que possam ser divulgadas pelo processo
de comunicação. A geração e a divulgação delas, por fim, precisam ser garantidas por ela na
operacionalização do controle interno.
 
Esse componente segue os seguintes princípios:
Princípio 1
Obtenção e utilização de informações de qualidade para o suporte do controle interno.
Princípio 2
Divulgação de informações de apoio ao controle interno.
Princípio 3
Prestação de contas para o público externo acerca de questões que impactam no controle interno.
Já a qualidade das informações é assegurada a partir do cumprimento dos seguintes requisitos:
 
Acessíveis às partes interessadas.
Confiáveis e atuais.
• 
• 
Asseguradas por boas práticas de segurança da informação.
Legítimas e apoiadas em formas de verificação.
Quanto ao método de comunicação, é preciso observar os seguintes pontos:
 
Cuidados no tom de voz e na comunicação não verbal existente em uma verbal.
Diferenças culturais, étnicas, sociais e econômicas, entre outras, podem influenciar na recepção de
mensagens enviadas. Deve-se assegurar que tais diferenças não contribuem para o erro de
interpretação da mensagem.
Avaliação da conveniência de métodos formais ou informais de acordo com o público-alvo.
 
Diante do retrospecto histórico de fraudes contábeis e financeiras ocorridas em todo o mundo, as
organizações passaram a ser mais demandadas para uma atuação mais transparente na prestação de contas.
Essa mudança de postura colaborou para o aprimoramento do processo de criação e comunicação das
informações na administração pública e na iniciativa privada.
Saiba mais
Propostas de referenciais de governança do Tribunal de Contas da União e do Instituto Brasileiro de
Governança Corporativa fortaleceram o processo de comunicação das organizações com o público
externo. 
Atividades de monitoramento
Para que os cinco componentes do controle interno estejam em operação da forma planejada, devem ser
executadas atividades de monitoramento para a correção de rumos, o cancelamento ou a substituição de
atividades.
 
Essas atividades podem ser realizadas de forma contínua, durante a execução da atividade, ou por uma
avaliação independente, que é conduzida por auditorias internas e externas.
 
Nas atividades de monitoramento, são respeitados os seguintes princípios:
Verificando o aprendizado
• 
• 
• 
• 
• 
Princípio 1 
Avaliação contínua e independente do
controle interno.
Princípio 2 
Comunicação de falhas ou deficiências
nesse controle aos responsáveis ou,
quando for o caso, à alta administração
e à estrutura de governança.
Questão 1
Complete o texto a seguir: “Uma ____, para atender à sua ____ por meio de projetos e processos
organizacionais, deve estabelecer objetivos alinhados à sua ____”.
A
diretoria, programação, necessidade
B
avaliação, contabilidade, conformidade
C
organização, missão e visão, estratégia
D
estratégia, conformidade, ambição
E
assessoria, sustentabilidade, competência
A alternativa C está correta.
O alinhamento dos objetivos à estratégia por meio de projetos e processos atende à missão e à visão de
uma organização.
Questão 2
Os três cubos do COSO 2013 representam as seguintes variáveis:
A
Objetivos organizacionais, componentes e níveis hierárquicos da organização.
B
Eficácia, eficiência e efetividade.
C
Estratégia, processos e projetos.
D
Projetos, processos e indicadores.
E
Processos, indicadores e metas.
A alternativa A está correta.
As três faces do cubo representam, de acordo com o COSO 2013, os objetivos organizacionais, os
componentes e os níveis hierárquicos da organização.
4. Auditoria interna e riscos
Riscos de auditoria
Deve-se diferenciar preliminarmente a auditoria de riscos na organização, cujo objeto está alinhado com sua
forma de gerenciamento, dos riscos de auditoria, que dizem respeito aos de uma auditoria gerar opiniões que
não retratam as distorções de informações financeiras e contábeis, as quais, aliás, também podem conter
fraudes e erros acima do aceitável.
 
O risco de auditoria está presente em todas as etapas de planejamento, execução e apresentação de
resultados de uma delas. Ele constitui a probabilidade de existências de falhas ou erros que não são
detectados durante uma auditoria.
 
O risco de auditoria é uma função dos riscos: 
 
Inerentes
De controle
De detecção
 
Os três serão detalhados nos próximos tópicos.
 
No exercício de suas atividades, o auditor tem de estipular o grau de certeza que deve ser alcançado para
que, dependendo do caso de uma auditoria interna ou externa, seja possível emitir uma recomendação ou uma
opinião. Sua valoração é altamente subjetiva, razão pela qual isso pode ensejar diversas interpretações.
Exemplo
O auditor pode querer 90% de certeza de seus achados. Neste caso, incorre-se em 10% de risco de
auditoria. 
Comumente, aceita-se o valor de 5% de riscos. Como eles podem ser gerados dentro ou fora da organização,
o auditor precisa identificá-los e avaliá-los para uma maior eficácia da auditoria.
 
O risco de auditoria pode ser decorrente de nove fatores, a saber:
• 
• 
• 
Área de atuação
A área de atuação em que a organização está inserida contribui para um nível mais baixo ou mais alto
de auditoria.
Exemplo: uma área com alto grau de maturidade contribui para um nível maisbaixo; entretanto, uma
área de atuação nova no mercado, com alta sensibilidade a fatores externos, pode ensejar um risco
mais alto.
Filosofia de gestão
Quanto mais conservadora a gestão de uma organização, maior a probabilidade de riscos de auditoria
mais baixos, isto é, uma organização focada em uma gestão mais agressiva pode implicar riscos mais
altos.
Controles internos
Uma organização provida de um sistema de controles internos pode cooperar para um nível mais
baixo de riscos em detrimento de outra que não adota tais controles em suas operações financeiras e
contábeis.
Histórico de auditorias anteriores
A inexistência de um histórico ou de uma opinião com ressalvas pode contribuir para riscos mais altos,
porém opiniões limpas com poucos ajustes podem trazer riscos mais baixos.
Rotatividade de direção
Uma alta rotatividade de direção pode significar a não continuidade de uma gestão, gerando riscos
mais altos. De forma contrária, a continuidade dela pode contribuir para que eles sejam mais baixos.
Litigiosidade com funcionários e outras organizações
Uma maior litigiosidade pode significar uma gestão mais conturbada e com o potencial de apresentar
riscos altos de auditoria. No entanto, se ela for baixa, poderá trazer como consequência riscos
menores.
Reputação dos gestores
Uma organização cujos gestores preocupados estão com sua reputação pode ter como fruto direto
uma preocupação com boas práticas de gestão e, consequentemente, baixos riscos. Já aqueles que
não se preocupam com sua reputação podem não ter a mesma atenção com ela e, com isso, acarretar
riscos altos de auditoria.
Compreensão do papel da auditoria
Uma compreensão do papel da auditoria traz em seu bojo um melhor preparo dos gestores, o que
implicitamente pode cooperar para a melhor geração de relatórios com um menor índice de falhas e
erros e um baixo risco de auditoria.
Já nos casos de pouco conhecimento ou desconhecimento, os riscos passam a ser mais altos.
Conflito de interesses
O conflito de interesses dos gestores de uma organização contribui para um quadro de riscos maiores
que uma situação demarcada pela ausência de conflitos, o que, por si só, já implica riscos mais
baixos.
Tipos de riscos envolvidos na auditoria
No vídeo a seguir, vamos comentar sobre os tipos de riscos envolvidos na auditoria. Vamos assistir!
Conteúdo interativo
Acesse a versão digital para assistir ao vídeo.
Processo de auditoria
Ele pode ser afetado pelos seguintes tipos de riscos:
Risco de distorção relevante
Presentes nas demonstrações contábeis anteriores ao processo de auditoria, eles se encontram
presentes nos registros contábeis. Esse tipo de risco é decorrente de dois riscos: o inerente e de
controle.
Risco inerente
Ele é vinculado à própria natureza da conta: quanto maior for a complexidade de sua natureza para
fins de interpretação, maior será o risco inerente.
Exemplo: um cálculo mais complexo de uma conta tem um risco inerente maior que um simples.
Risco de controle
O risco de controle refere-se ao grau de eficácia dos controles definidos para determinada operação.
É o risco que pode ocorrer, mesmo com a existência do controle interno. Quanto maior o controle,
menor o risco dele.
Risco de detecção
Refere-se ao risco de o auditor não detectar distorções existentes.
Exemplo: trata-se do procedimento de reduzir os riscos de uma auditoria não conseguir detectar uma
distorção relevante, individual ou conjugada com outras distorções.
Relação entre os riscos
Veremos agora a relação entre os riscos inerentes, de controle, de detecção e de auditoria.
Relação entre os riscos.
Materialidade
Os riscos são mensurados em função da materialidade a ser definida pelo auditor de acordo com as
circunstâncias particulares e específicas de cada organização na seleção de assuntos e da extensão e
natureza das distorções.
A materialidade pode variar conforme a auditoria e ter aspectos qualitativos além dos quantitativos.
Sua definição depende da percepção do auditor em relação às informações de ordem financeira dos
usuários das demonstrações contábeis.
A materialidade e os riscos devem ser analisados de forma proporcional inversa, isto é, quanto maiores os
riscos, menor a materialidade. Segundo a mesma lógica, podemos dizer que, quanto menores eles forem,
maior ela será.
Atenção
Os riscos de auditoria podem ser mantidos em um nível aceitável baixo, mas eles nunca poderão ser
zerados; afinal, todo trabalho implica a existência deles. 
Procedimentos de avaliação de riscos
De acordo com a norma NBC TA 315 (R1) do Conselho Federal de Contabilidade, os procedimentos de
avaliação de riscos são o conjunto de procedimentos utilizados para identificar e avaliar os riscos de uma
distorção relevante nas demonstrações contábeis e nas afirmações.
Procedimentos de avaliação de riscos.
Esses procedimentos são os primeiros a serem executados pelo auditor no processo de auditoria. 
Falaremos a seguir sobre três deles.
1
Indagações à administração
Referem-se aos procedimentos de indagação às pessoas que disponham de informações que
possam ajudar na identificação de riscos relevantes por fraude ou erro.
2 Procedimentos analíticos
Tratam daqueles referentes à avaliação da relação entre dados financeiros e não financeiros. Essa
correlação pode elucidar questões esclarecedoras no processo de auditoria.
3
Observação e inspeção
Coletam-se dados da organização e do seu ambiente para dar suporte às indagações feitas à
administração.
Para subsidiar a avaliação de riscos, por exemplo, o auditor pode utilizar procedimentos substantivos ou
testes de controles. Ambos também podem ser usados de forma combinada para sua maior eficácia.
Procedimento substantivo
De acordo com a norma NBC TA 330(R1) do Conselho Federal de Contabilidade, o procedimento substantivo é
o procedimento de auditoria planejado para detectar distorções relevantes no nível de afirmações.
Procedimento substantivo.
Estrutura
A estrutura desse procedimento será demonstrada a seguir.
Testes de detalhes
Consiste na identificação e validação de registros por meio de procedimentos de auditoria. São
procuradas evidências que suportem os registros, os quais, por sua vez, se fundamentam nas
afirmações da organização.
Procedimentos analíticos
Tratam dos procedimentos referentes à avaliação da relação entre dados financeiros e não
financeiros. Essa correlação pode elucidar questões esclarecedoras no processo de auditoria.
Classificação dos procedimentos
Os procedimentos substantivos são divididos pelos seguintes tipos:
Inspeção
Observação
Recálculo
Reexecução
Procedimentos analíticos e indagação
Outros quesitos
Abordaremos agora outros quesitos relativos ao procedimento substantivo.
Inspeção
Análise de registros e documentos físicos ou eletrônicos, internos ou externos, para fins de coleta de
evidências.
Exemplo: lançamentos contábeis e relatórios financeiros podem passar por inspeções.
Observação
É uma análise de processo organizacional que possibilita a coleta de evidência na execução, embora
se limite ao espaço temporal de observação.
Exemplo: a conferência de bens patrimoniais configura a adoção da observação em uma auditoria.
Recálculo
Trata-se da conferência de cálculos matemáticos de documentos e registros.
Exemplo: conferir os lançamentos contábeis de um balanço patrimonial enquadra-se nesse tipo de
procedimento substantivo.
Reexecução
Consiste na execução do procedimento de controle interno definido pela organização e pelo auditor.
Exemplo: a realização de uma conferência de atividades realizadas constitui, enquanto atividade de
controle, uma reexecução.
Testes de controle
• 
• 
• 
• 
• 
Trata-se de um procedimento de auditoria que avalia a efetividade operacional dos controles com o objetivo
de prevenir, detectar e corrigir distorções relevantes no nível das informações.
 
Os testes de controle são regulados pela norma NBC TA 330(R1) do Conselho Federal de Contabilidade
quanto à aplicabilidade, à natureza e à extensão deles.
 
Esse procedimentodeve ser realizado em duas situações:
 
Nas situações em que o auditor confia que os controles estão em operação na organização, de forma
efetiva, para determinar a natureza, a época e a extensão dos procedimentos substantivos.
 
Nos casos em que os procedimentos substantivos não trazem evidências de auditoria suficientes no
quesito informações.
Comentário
Esses testes avaliam os controles internos que podem ter sido implementados de acordo com os
princípios do COSO 2013. 
Analisemos a natureza e a extensão dos testes de controle.
 
Quanto a elas, o auditor, nas atividades de planejamento e execução, precisa observar as seguintes questões:
Evidências de auditoria
Análise das evidências de auditoria sobre a efetividade operacional dos controles que, com outros
procedimentos de auditoria, contemple o modo de aplicação dos controles em determinado período,
consistência de aplicação, responsáveis e formas de aplicação.
Existência de controles internos
Questionamento, para fins de coleta de evidência, sobre a existência de controles indiretos que
apoiem os controles.
Verificando o aprendizado
Questão 1
Preencha o texto a seguir: “O processo de auditoria pode ser afetado pelos seguintes tipos de riscos: risco de
____ relevante, ____ inerente, risco de ____ e risco de detecção”.
• 
• 
A
conformidade, fator, complexidade
B
altura, taxa, produtividade
C
distorção, risco, controle
D
avaliação, risco, assessoria
E
estratégia, taxa, complexidade
A alternativa C está correta.
Riscos de distorção relevante, inerente, de controle e de detecção são os tipos de risco do processo de
auditoria.
Questão 2
Os riscos são mensurados em função tanto da materialidade a ser definida pelo auditor segundo
circunstâncias particulares e específicas de cada organização na seleção de assuntos quanto da extensão e
da natureza das distorções. Aponte a alternativa correta.
A
A análise sob a ótica contábil implica riscos de materialidade.
B
Realizada por auditores, a análise de materialidade depende de variáveis da sustentabilidade.
C
Materialidade e evidências físicas se integram em função da similaridade física.
D
A materialidade e os riscos devem ser analisados de forma proporcional inversa.
E
Projetos de melhoria de processos.
A alternativa D está correta.
Quanto maiores os riscos, menor a materialidade. Quanto menor eles forem, maior ela será.
5. Conclusão
Considerações finais
Conhecemos os primórdios da história do homem nos aspectos relacionados aos riscos do dia a dia e das
organizações ainda nascentes. Nessa retrospectiva, apresentamos os principais marcos temporais que
apoiaram o desenvolvimento dos referenciais de riscos atuais aplicados na administração pública e na
iniciativa privada.
 
Para estabelecermos uma melhor compreensão das formas de tratamento deles, apontamos os principais
referenciais de gerenciamento de riscos e de controles internos, demonstrando ainda suas particularidades e
características. Versamos, por fim, sobre os conceitos básicos dos riscos de uma auditoria cujos respectivos
procedimentos complementares podem colaborar para a coleta de evidências em procedimentos ligados a
ela.
Podcast
Agora, vamos relembrar tópicos estudados sobre o assunto.
Conteúdo interativo
Acesse a versão digital para ouvir o áudio.
Explore+
Acesse os seguintes sites para pesquisar sobre:
 
Conselho Federal de Contabilidade
Normas de auditoria interna e auditoria independente.
 
Tribunal de Contas da União
Governança pública.
 
Tribunal de Contas da União
Normas que regem a auditoria na administração pública.
Referências
CONSELHO FEDERAL DE CONTABILIDADE. CFC. NBC TA 200 (R1): objetivos gerais do auditor independente e
a condução da auditoria em conformidade com as normas de auditoria. Brasília: CFC, 2016.
 
CONSELHO FEDERAL DE CONTABILIDADE. CFC. NBC TA 315 (R1): identificação e avaliação dos riscos de
distorção relevante por meio do entendimento da entidade e do seu ambiente. Brasília: CFC, 2016.
• 
• 
• 
 
CONSELHO FEDERAL DE CONTABILIDADE. CFC. NBC TA 330 (R1): resposta do auditor aos riscos avaliados.
Brasília: CFC, 2016.
 
CONSELHO FEDERAL DE CONTABILIDADE. CFC. NBC TI 01: da auditoria interna. Brasília: CFC, 2016.
 
INSTITUTO BRASILEIRO DE GOVERNANÇA CORPORATIVA. Código das melhores práticas de governança
corporativa. 5. ed. 2015.
 
THE COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION. COSO. Controle
interno – estrutura integrada: sumário executivo. Trad. PricewaterhouseCoopers Brasil. São Paulo: PWC3,
2013.
 
THE COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION. COSO. 
Gerenciamento de riscos corporativos – estrutura integrada: Sumário executivo, Estrutura. Trad.
PricewaterhouseCoopers Brasil. São Paulo: PWC, 2007.
 
THE INSTITUTE OF INTERNAL AUDITORS. O modelo das três linhas – uma ferramenta importante para o
sucesso de toda organização. 2020.
 
TRIBUNAL DE CONTAS DA UNIÃO. Referencial básico de governança aplicável a órgãos e entidades da
administração pública: 2ª versão. Brasília: TCU, 2014.
	Controle interno
	1. Itens iniciais
	Propósito
	Objetivos
	Introdução
	1. Gerenciamento de riscos e controles internos
	Origem histórica
	Exemplo
	Primeiras indenizações
	Seguro de incêndios
	Revolução Industrial
	Frank Knight
	Segurança do trabalho
	Harry Markowitz
	Robert Meher e Bob Hedges
	Teoria da probabilidade
	Publicação da revista Fortune
	Criação de guia
	Peter Bernstein
	Empresa americana Enron
	Lei Sarbanes-Oxley
	Guia de gerenciamento de riscos corporativos
	Norma técnica ISO 31000
	Guia de controles internos
	Guia de gerenciamento de riscos corporativos
	Principais referenciais de gerenciamento de riscos e controles internos
	Conteúdo interativo
	COSO
	IIA
	COSO 2013 - Controle interno - estrutura integrada
	COSO 2017 - Gerenciamento de riscos corporativos integrados à estratégia e ao desempenho
	Modelo de três linhas
	Saiba mais
	Governança
	Papéis do órgão de governança
	Gestão e os papéis da primeira e segunda linhas
	Papéis da terceira linha
	A independência da terceira linha
	Criando e protegendo valor
	Verificando o aprendizado
	2. Gerenciamento de riscos corporativos (COSO 2017)
	Estratégia da organização e o gerenciamento de riscos
	Comentário
	Comentário
	Estratégia, riscos, valor e desempenho
	Conteúdo interativo
	Governança e cultura
	Fiscalização de riscos corporativos pelo órgão de governança
	Definição de unidades organizacionais
	Definição da cultura da organização
	Comprometimento com valores fundamentais
	Gestão por competência alinhada com a estratégia e os objetivos organizacionais
	Estratégia e definição de objetivos
	Análise contextual da organização em relação aos riscos
	Definição do apetite aos riscos
	Avaliação de alternativas de estratégias
	Definição de objetivos organizacionais
	Desempenho
	Identificação de riscos
	Análise da gravidade dos riscos
	Priorização de riscos
	Implementação de respostas aos riscos
	Desenvolvimento de portfólio de riscos
	Análise e revisão
	Avaliação de mudanças significativas
	Revisão de riscos e desempenho
	Busca de melhorias no gerenciamento de riscos corporativos
	Informações, comunicação e divulgação
	Estímulo à utilização de informações por meio da tecnologia
	Comunicação dos riscos à informação
	Comunicação de riscos, da cultura organizacional e do desempenho
	Tendências do gerenciamento de riscos corporativos
	Aumento exponencial das informações
	Aplicação da inteligência artificial em diversas áreas de conhecimento
	Gerenciamento de custos dos riscos organizacionais
	Fortalecimento das organizações em cenários adversos
	Verificando o aprendizado
	3. Gerenciamento de controles internos (COSO 2013)
	Gestão da organização e controle interno
	Objetivos operacionais
	Objetivos de divulgação
	Objetivos de conformidade
	Comentário
	Ambiente de controle
	O avaliação de riscos
	Conteúdo interativo
	Probabilidade de ocorrência
	Impacto de ocorrência
	Aceitar
	Evitar
	Reduzir
	Compartilhar
	Atividades de controle
	Princípio1
	Princípio 2
	Princípio 3
	Completude
	Exatidão
	Validade
	Informação e comunicação
	Princípio 1
	Princípio 2
	Princípio 3
	Saiba mais
	Atividades de monitoramento
	Verificando o aprendizado
	4. Auditoria interna e riscos
	Riscos de auditoria
	Exemplo
	Área de atuação
	Filosofia de gestão
	Controles internos
	Histórico de auditorias anteriores
	Rotatividade de direção
	Litigiosidade com funcionários e outras organizações
	Reputação dos gestores
	Compreensão do papel da auditoria
	Conflito de interesses
	Tipos de riscos envolvidos na auditoria
	Conteúdo interativo
	Processo de auditoria
	Risco de distorção relevante
	Risco inerente
	Risco de controle
	Risco de detecção
	Relação entre os riscos
	Materialidade
	Atenção
	Procedimentos de avaliação de riscos
	Indagações à administração
	Procedimentos analíticos
	Observação e inspeção
	Procedimento substantivo
	Estrutura
	Testes de detalhes
	Procedimentos analíticos
	Classificação dos procedimentos
	Outros quesitos
	Inspeção
	Observação
	Recálculo
	Reexecução
	Testes de controle
	Comentário
	Evidências de auditoria
	Existência de controles internos
	Verificando o aprendizado
	5. Conclusão
	Considerações finais
	Podcast
	Conteúdo interativo
	Explore+
	Referências