Auditoria · CESPE / CEBRASPE · 2026 | Questão sqc-ce227652

AuditoriaControle Interno

Código: ce227652
Banca: CESPE / CEBRASPE
Órgão: SEFAZ-PR
Ano: 2026
Nível: Médio

Cargo: Agente Fazendário Estadual - Função: Analista Fazendário

Em determinado banco de médio porte, a governança de gestão de riscos está estruturada de modo que a área de gerenciamento de riscos está subordinada ao diretor comercial, que também responde pelas principais carteiras de crédito, concentrando decisões de negócios e de risco. Além disso, a área de riscos não possui acesso direto ao comitê de auditoria ou ao conselho de administração, encaminhando seus relatórios exclusivamente por meio da diretoria comercial. Nesse banco, um evento de risco operacional resultou em perda financeira relevante, acima do limite definido na política interna como “significativo”, mas a diretoria decidiu não reportar formalmente o evento ao Banco Central, por entender que o problema havia sido “pontual e já resolvido”. A auditoria interna, ao revisar o caso, identificou fragilidades na segregação de funções, bem como ausência de documentação sobre o processo decisório que levou à não comunicação do evento ao regulador.A partir da situação hipotética precedente, assinale a opção correta, com base nas boas práticas de governança e no modelo das três linhas.

AA única falha está na ausência de documentação sobre o processo decisório; nem a independência da área de riscos nem o reporte de eventos significativos são exigências explícitas nas normas prudenciais, sendo apenas recomendações de mercado.
BApenas a falta de reporte ao Banco Central configura problema; a subordinação da área de riscos ao diretor comercial é compatível com o modelo das três linhas, desde que haja diretrizes do conselho de administração aprovando tal estrutura.
CNão há falhas relevantes de governança, pois a existência de políticas internas e a atuação da auditoria interna como terceira linha são suficientes para demonstrar conformidade regulatória, independentemente da forma de reporte.
DA estrutura da governança de riscos do banco em apreço está alinhada às boas práticas, pois a proximidade entre risco e negócios aumenta a agilidade; além disso, o reporte ao Banco Central é discricionário, e a auditoria interna não deve questionar decisões da diretoria.
EHá quebra do modelo das três linhas, pois a função de risco, ao se subordinar ao diretor comercial, perde independência; além disso, a decisão de não reportar evento significativo de risco operacional ao regulador contraria as normas de supervisão prudencial, cabendo à auditoria interna registrar a ocorrência como falha grave de governança.

Revelar gabarito e comentário

GabaritoE — Há quebra do modelo das três linhas, pois a função de risco, ao se subordinar ao diretor comercial, perde independência; além disso, a decisão de não reportar evento significativo de risco operacional ao regulador contraria as normas de supervisão prudencial, cabendo à auditoria interna registrar a ocorrência como falha grave de governança.

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

Governança de Riscos e o Modelo das Três Linhas

Gabarito: letra E. A alternativa E identifica corretamente a quebra do modelo das três linhas: a função de risco, ao se subordinar ao diretor comercial, perde independência, e a decisão de não reportar ao Banco Central um evento de risco operacional significativo contraria as normas prudenciais. A auditoria interna deve registrar essa falha grave de governança.

O modelo das três linhas de defesa (IIA) estabelece que a 1ª linha (unidades de negócio) executa os controles, a 2ª linha (gestão de riscos, compliance) supervisiona e a 3ª linha (auditoria interna) avalia independentemente. A 2ª linha deve ser independente das áreas operacionais e reportar diretamente à alta administração (conselho de administração ou comitê de auditoria).

Aspecto	Situação Ideal (Modelo 3 Linhas)	Situação do Banco
Subordinação da Função de Risco	Independente das áreas de negócio; reporta ao CA ou comitê de auditoria	Subordinada ao diretor comercial (1ª linha)
Reporte de Eventos Significativos	Comunicação imediata ao Banco Central	Decisão de não reportar (considerado "pontual e resolvido")
Acesso ao Comitê de Auditoria	Reporte direto à governança	Apenas via diretoria comercial
Documentação do Processo Decisório	Documentação completa e rastreável	Ausente

Alternativa A — ❌ Incorreta

Afirma que a única falha é a ausência de documentação e que independência da área de riscos e reporte de eventos significativos não são exigências explícitas. Falso. As normas prudenciais do Banco Central (Resolução CMN 4.968, Circular BCB 3.678 e Resolução CMN 4.557) exigem que a função de gestão de riscos seja independente das áreas de negócio e que eventos operacionais significativos sejam comunicados ao regulador. Além disso, a falta de documentação é apenas uma das várias deficiências.

Alternativa B — ❌ Incorreta

A subordinação da área de riscos ao diretor comercial não é compatível com o modelo das três linhas, mesmo com aprovação do conselho. A independência funcional e de reporte é requisito essencial para a 2ª linha. O modelo exige que a função de risco tenha acesso direto ao conselho de administração ou comitê de auditoria, sem intermediação de áreas de negócio.

Alternativa C — ❌ Incorreta

Há falhas graves de governança: ausência de independência da 2ª linha, omissão de reporte ao BC e falta de documentação. A existência de políticas internas e a atuação da auditoria interna não sanam essas deficiências. O ambiente de controle está comprometido.

Alternativa D — ❌ Incorreta

A proximidade entre risco e negócio não aumenta agilidade de forma benéfica; ela compromete a objetividade da avaliação de riscos. O reporte ao Banco Central não é discricionário: a Resolução CMN 4.557 determina a comunicação imediata de eventos significativos. A auditoria interna tem o dever de reportar deficiências de governança, inclusive questionar decisões da diretoria que violem normas.

Alternativa E — ✅ Correta ⟵ GABARITO

A alternativa capta as duas falhas centrais: a quebra do modelo das três linhas (função de risco perde independência ao subordinar-se ao diretor comercial) e o descumprimento das normas prudenciais (não reporte de evento significativo ao BC). A auditoria interna, como 3ª linha, deve registrar a ocorrência como falha grave de governança, o que está alinhado às boas práticas.

NÃO CAIA NESSA!

A banca tenta fazer o candidato acreditar que a subordinação da área de riscos ao diretor comercial é aceitável se houver aprovação do conselho (alternativa B) ou que o reporte ao BC é discricionário (alternativa D). Lembre-se: a independência da 2ª linha é funcional e de reporte, não apenas formal; e eventos significativos são de comunicação obrigatória ao regulador.

Gabarito: letra E.

Link permanente: /questoes/ce227652