O planejamento da auditoria governamental deve considerar os...

Fala pessoal! Beleza?
Professor Jetro Coutinho na área!


Esta é uma questão que cobra o Risco de Auditoria. Costumo dizer que o Risco de Auditoria é o risco do auditor "comer mosca e falar besteira"! Isto é, do auditor emitir um relatório que seja inadequado às circunstâncias daquele objeto.

O Risco de Auditoria pode ser dividido em três componentes:

Risco Inerente (RI): Este é o risco da atividade. Pense, por exemplo, em um processo de aposentadoria de um servidor. Só por esse processo existir, ele já está sujeito a alguns riscos, como risco de atrasar, risco de haver erro nos cálculos de tempo e de contribuição do servidor, risco de haver uma opinião concedendo aposentadoria ao servidor quando esta ainda não deveria ser concedida, etc. Este é o risco inerente: o risco que decorre da atividade em si. É o risco “puro" e, justamente por ser puro, não leva em consideração mais nada, nem mesmo controles.

Risco de Controle (RC): Para tentar mitigar o risco inerente, a organização deve implementar controles internos. Para evitar o risco do processo de aposentadoria atrasar, a organização pode estabelecer um cronograma. Para evitar o risco de erro nos cálculos, a organização pode usar sistemas que farão os cálculos automaticamente. Para evitar uma opinião concedendo aposentadoria de forma inadequada, a organização pode colocar uma pessoa para revisar o processo e fazer a checagem mais uma vez. Todos esses exemplos são exemplos de controles internos. O problema é que controles internos podem falhar, isto é, eles podem não ser capazes de reduzir o risco inerente a um nível aceitável. Se o controle for vulnerável, ele pode não detectar ou prevenir erros que podem acontecer. Por isso, o auditor avalia o Risco de Controle, isto é, risco do controle interno falhar e não conseguir detectar ou prevenir o erro.

Se o risco inerente for alto e os controles forem frágeis (risco de controle alto), estamos numa situação bastante desanimadora para o auditor: a atividade em si apresenta muito risco e os controles não são capazes de reduzir os erros, o que significa que a organização está comprometida. Neste caso, o auditor precisará fazer exames mais aprofundados, para não “comer mosca" e poder fornecer uma opinião adequada para essas circunstâncias.

Risco de Detecção (RD): É o risco do auditor não detectar erro. Enquanto RI e RC são riscos do auditado, o RD é o risco do auditor, isto é, o risco do auditor não detectar o erro. Se o RI e RC forem altos, o auditor precisa estar mais alerta e mais atento, pois, se os controles da organização não detectam o erro (RC alto), o auditor deve detectá-los e, por isso, neste caso, o RD deve ser baixo.

Ou seja, há uma relação inversa entre RixRC e o RD. Se RI e RC forem altos, o nível de risco da organização está muito alto e, portanto, o risco do auditor (RD) deve ser baixo. Já se RI e RC estiverem baixos, o auditor pode aumentar um pouco o RD, já que a organização controla bem o risco de haver erro.



Com base nisso, vamos às alternativas:

a) Incorreta. Em Auditoria, não existe risco de planejamento.

b) Correta. Risco inerente é o da atividade em si. É o risco “puro" e, por isso, não leva em consideração os controles.

c) Incorreta. A questão inverteu o conceito com o Risco de Detecção. Risco de Controle é a possibilidade de o erro acontecer e não ser detectado, em face das limitações dos controles existentes (fragilidade ou vulnerabilidade dos controles).

d) Incorreta. Questão inverteu o conceito com Risco de Controle. Risco de Detecção é a possibilidade de o erro não ser detectado pelo profissional de auditoria governamental. 

e) Incorreta. Em Auditoria, não existe risco de resultado.


Gabarito do Professor: B.