Questão de Auditoria Governamental — Auditoria Governamental — FGV 2024

Análise de Riscos em Auditoria Governamental

Gabarito: letra B. A banca cobra o conceito de ações de controle na auditoria baseada em riscos. A alternativa B está correta ao definir ações de controle como medidas que modificam o nível do risco, abrangendo processos, políticas, dispositivos, práticas ou outras ações com essa finalidade — definição alinhada ao COSO ERM e às boas práticas de gestão de riscos. As demais alternativas incorrem em erros conceituais: ora ignoram a consideração dos controles existentes, ora definem risco apenas pelo impacto, ora atribuem à auditoria interna a implementação de respostas a riscos, que é papel da administração.

A questão distingue dois temas: (i) seleção de objetos de auditoria com ênfase em riscos (auditoria baseada em riscos) e (ii) auditoria de gestão de riscos, que avalia a maturidade da gestão de riscos. Ambas utilizam análise de riscos, cujo propósito é compreender a natureza do risco e determinar seu nível.

Alternativa A — ❌ Incorreta

Afirma que na análise de riscos não devem ser considerados os controles existentes, para conhecer o risco em sua inteireza. Isso é falso. A análise de riscos pode considerar tanto o risco inerente (sem controles) quanto o risco residual (após considerar os controles existentes). Ignorar os controles impediria avaliar a efetividade da gestão de riscos. As normas de auditoria e o COSO recomendam justamente considerar os controles para determinar o nível de risco residual.

Alternativa B — ✅ Correta ⟵ GABARITO

Define corretamente ações de controle como "medidas que modificam (ou pretendem modificar) o nível do risco, podendo ser qualquer processo, política, dispositivo, prática ou outras ações que tenham essa finalidade". Essa definição está em linha com o conceito de controle interno e gestão de riscos adotado pelo COSO (Committee of Sponsoring Organizations of the Treadway Commission) e pelo Tribunal de Contas da União (TCU). Ações de controle são, de fato, os mecanismos que reduzem a probabilidade e/ou o impacto dos riscos.

Alternativa C — ❌ Incorreta

Risco é definido apenas em função de seu impacto. A definição completa de risco envolve dois componentes: probabilidade (ou likelihood) e impacto (ou consequência). Um risco pode ter alto impacto mas baixa probabilidade, ou vice-versa. O nível de risco é uma combinação desses dois fatores. Portanto, a afirmação está incompleta e incorreta.

Alternativa D — ❌ Incorreta

Menciona "fator redutor de nível de risco" utilizado em função da potência das medidas propostas. Não há na literatura de auditoria governamental ou gestão de riscos um conceito padronizado de "fator redutor" calculado com base em "potência". O que existe é a avaliação do risco residual, que considera a efetividade dos controles existentes, mas não um fator de redução genérico. A alternativa é confusa e sem amparo técnico.

Alternativa E — ❌ Incorreta

Atribui à auditoria interna o papel de implementar respostas a riscos em nome da administração. Isso é um erro conceitual grave. A implementação de respostas a riscos (aceitar, mitigar, transferir, evitar) é responsabilidade da administração (gestão). À auditoria interna cabe avaliar a eficácia da gestão de riscos e dos controles, mas nunca executar as respostas, sob pena de comprometer sua objetividade e independência. As normas do IIA e os referenciais de auditoria governamental são claros nesse ponto.

Gabarito: letra B.