Questão de Governança de TI — Auditoria de TI — CESPE / CEBRASPE 2026
Governança de TI›Auditoria de TI
Código
ce225545
Banca
CESPE / CEBRASPE
Órgão
IPAAM
Ano
2026
Nível
Superior
Cargo
Analista Ambiental – Especialidade: Análise de Sistemas
De acordo com a ISACA (2010), a auditoria de TI é responsável por
Aestabelecer os processos de negócio.
Brealizar o tratamento dos riscos.
Cfazer avaliação de riscos.
Destabelecer os controles dos sistemas de informação.
Eestabelecer os critérios de avaliação qualitativa do negócio.
Revelar gabarito e comentário▾
GabaritoC — fazer avaliação de riscos.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Auditoria de TI — Responsabilidades segundo a ISACA (2010)
Gabarito: letra C. A auditoria de TI, conforme a ISACA, tem como uma de suas atribuições principais a avaliação de riscos, pois o auditor deve identificar e analisar riscos para planejar seus trabalhos e fornecer assurance independente sobre a gestão de riscos, controles e governança.
A questão cobra o conhecimento do papel da auditoria de TI no contexto da ISACA, que enfatiza que o auditor avalia a eficácia dos processos de gestão de riscos, mas não os estabelece nem os executa — funções estas da administração. A avaliação de riscos é uma etapa fundamental para direcionar o escopo e a profundidade dos exames de auditoria.
SE LIGUE NESSA!
A definição da ISACA para auditoria de TI pode ser encontrada em suas publicações, como o CISA Review Manual, que destaca que o auditor deve entender o ambiente de riscos da organização.
Alternativa A — ❌ Incorreta
Estabelecer processos de negócio é função da gestão operacional, não da auditoria. O auditor avalia se esses processos são adequados e eficazes, mas não os cria.
Alternativa B — ❌ Incorreta
O tratamento dos riscos (mitigação, aceitação, transferência etc.) é responsabilidade da administração. A auditoria verifica se o tratamento está sendo feito corretamente, mas não o executa.
Alternativa C — ✅ Correta ⟵ GABARITO
A auditoria de TI é responsável por fazer a avaliação de riscos, seja para planejar seus próprios trabalhos, seja para opinar sobre a eficácia do processo de gestão de riscos da organização. A ISACA define que o auditor deve identificar e analisar riscos relevantes para o escopo da auditoria.
Alternativa D — ❌ Incorreta
Estabelecer controles de SI é atribuição da administração (desenho e implementação). O auditor avalia se os controles são adequados e funcionam, mas não os estabelece.
Alternativa E — ❌ Incorreta
Critérios de avaliação qualitativa do negócio são definidos pela alta administração e pelas áreas de negócio. A auditoria pode utilizar esses critérios em suas análises, mas não os estabelece.