Questão de Auditoria — Normas de Auditoria — CESPE / CEBRASPE 2025

Resposta aos riscos: Testes de controles em ambiente automatizado

Gabarito: letra A. Para confiar em controles automatizados e reduzir a extensão dos testes substantivos, o auditor deve primeiramente testar a efetividade operacional desses controles por meio de inspeção de parametrizações e reexecução de regras (testes de controle). Essa é a orientação das normas de auditoria (NBC TA 330), que exigem que o auditor avalie a eficácia dos controles antes de reduzir os procedimentos substantivos.

A banca explora a falsa percepção de que controles automatizados são automaticamente confiáveis ou dispensam testes. Vejamos cada alternativa:

Alternativa A — ✅ Correta ⟵ GABARITO

Afirma que "Testes de controles devem incluir inspeção de parametrizações e reexecução de regras no ambiente de teste, antes da redução da extensão de testes substantivos." Isso está perfeitamente alinhado com a NBC TA 330, que define o teste de controle como procedimento para avaliar a efetividade operacional dos controles na prevenção ou detecção e correção de distorções relevantes. Somente após obter evidência da eficácia dos controles é que o auditor pode reduzir a extensão dos testes substantivos.

Alternativa B — ❌ Incorreta

"A existência de logs de sistema, por si só, comprova a eficácia do controle e autoriza a redução da amostra substantiva sem testes adicionais." Erro: logs são apenas registros de atividade; não comprovam que o controle operou de forma eficaz em todas as situações. O auditor precisa executar testes de controle (como inspeção e reexecução) para concluir sobre a eficácia operacional. A mera existência de logs não substitui os testes.

Alternativa C — ❌ Incorreta

"O auditor não deve testar controles em ambiente fiscal, pois a NBC TA 330 veda testes de observância quando houver base digital extensa." Afirmação falsa: a NBC TA 330 não veda testes de controle em ambiente digital; pelo contrário, ela orienta que o auditor deve planejar e executar testes de controle quando pretende confiar neles, independentemente do ambiente (físico ou digital). A existência de base digital extensa não impede a realização de testes de observância.

Alternativa D — ❌ Incorreta

"O auditor deve inquirir o responsável pelo ERP e registrar a resposta em ata, podendo dispensar inspeções ou reexecuções, pois o controle é automatizado." Erro: a indagação (inquiry) isoladamente não fornece evidência suficiente sobre a efetividade operacional dos controles automatizados. A NBC TA 330 exige que, para confiar em controles, o auditor execute testes de controle (inspeção, observação, reexecução). A simples declaração do responsável não é suficiente.

Alternativa E — ❌ Incorreta

"O auditor deve substituir integralmente os testes substantivos por observação às rotinas de tecnologia da informação em produção." Afirmação radical e incorreta: a NBC TA 330 (item 18) determina que, independentemente dos riscos identificados, o auditor deve planejar e executar procedimentos substantivos para cada classe de transações, saldo de contas e divulgações significativas. A observação de rotinas de TI pode ser um teste de controle, mas jamais substitui integralmente os testes substantivos, que têm natureza diversa (detectar distorções relevantes nas afirmações).

Gabarito: letra A.