Questão de Auditoria — Auditoria Independente (Externa) — FADESP 2026

Auditoria em entidades que utilizam prestadores de serviços

Gabarito: letra A. O auditor não pode confiar em controles automatizados quando os controles gerais de TI do prestador não são eficazes e a entidade não implementou controles complementares, pois os controles automatizados dependem desses controles gerais para operar adequadamente. Nesse caso, o auditor deve intensificar os procedimentos substantivos para reduzir o risco de auditoria a um nível aceitavelmente baixo (NBC TA 315, NBC TA 330 e NBC TA 402).

A questão aborda a relação entre controles gerais de TI, controles automatizados e a resposta do auditor diante da terceirização de sistemas. As normas de auditoria (NBC TA 315 – Identificação e Avaliação dos Riscos de Distorção Relevante, NBC TA 330 – Resposta do Auditor aos Riscos Avaliados e NBC TA 402 – Considerações de Auditoria para Entidades que Utilizam Prestadores de Serviços) estabelecem que o auditor deve obter entendimento dos controles do prestador e avaliar se pode confiar neles. Na ausência de evidência de eficácia, não é apropriado confiar e deve-se ampliar os testes substantivos.

Alternativa A — ✅ Correta ⟵ GABARITO

Correta. Os controles automatizados são dependentes dos controles gerais de TI (acesso lógico, manutenção de programas, etc.) para funcionar de forma confiável. Como a LogBelém não implementou controles complementares, não monitora a eficácia dos controles gerais de TI do prestador e não dispõe de relatórios independentes, o auditor não tem base para confiar nesses controles. Conforme a NBC TA 402, quando não há evidência de que os controles do prestador são eficazes, o auditor deve tratar os riscos como não mitigados e intensificar os procedimentos substantivos. A NBC TA 330 determina que a natureza, época e extensão dos procedimentos adicionais devem ser ajustadas aos riscos avaliados; nesse caso, a ausência de confiança nos controles leva a maior extensão de testes substantivos.

Alternativa B — ❌ Incorreta

Incorreta. Testar diretamente os controles automatizados sem evidência sobre a eficácia dos controles gerais de TI do prestador é inadequado, porque a operação correta dos controles automatizados depende dos controles gerais (ex.: segurança lógica, gestão de mudanças). Sem a segurança de que esses controles gerais funcionam, o teste dos controles automatizados pode não ser suficiente para reduzir o risco de distorção relevante. A NBC TA 402 requer que o auditor avalie a suficiência e adequação dos controles do prestador; se não houver evidência, a confiança é inviável.

Alternativa C — ❌ Incorreta

Incorreta. Afirmar que a automação dispensa testes adicionais é um erro grave. Embora sistemas automatizados reduzam o risco de erro humano, eles estão sujeitos a riscos de programação incorreta, acesso não autorizado, falhas na lógica, etc. O auditor precisa testar os controles automatizados e, para isso, necessita de evidência de que os controles gerais de TI são eficazes. A NBC TA 315 inclui a avaliação do ambiente de TI como parte do entendimento do controle interno. A mera existência de automação não substitui a necessidade de procedimentos de auditoria.

Alternativa D — ❌ Incorreta

Incorreta. O auditor não pode limitar sua avaliação apenas aos controles do prestador; deve também considerar os controles automatizados específicos que afetam as demonstrações contábeis da entidade. A NBC TA 402 exige que o auditor obtenha entendimento dos serviços e controles do prestador que sejam relevantes para a auditoria, mas isso não dispensa a avaliação dos controles na entidade. A decisão de confiar ou não nos controles automatizados depende de ambos: controles gerais e controles específicos.

Alternativa E — ❌ Incorreta

Incorreta. Classificar a situação como risco de detecção elevado não é suficiente; o risco de detecção é o risco de o auditor não detectar distorção, mas o que está em jogo aqui é o risco de distorção relevante (risco inerente e de controle). A ausência de controles confiáveis eleva o risco de distorção relevante, e o auditor deve responder modificando a estratégia de auditoria, por exemplo, ampliando a extensão ou alterando a natureza dos procedimentos substantivos. Manter inalterada a estratégia planejada viola a NBC TA 330, que exige resposta apropriada aos riscos avaliados.

Gabarito: letra A.