Autoria editorial: Vinícius Costa
A avaliação de riscos é a base de uma auditoria eficiente. Antes de escolher amostras ou solicitar documentos, o auditor precisa compreender o modelo de negócio, as transações, o ambiente regulatório, os sistemas e os controles que produzem as demonstrações. A NBC TA 315 orienta a identificação e avaliação dos riscos de distorção relevante por fraude ou erro.
Compreensão da entidade e do ambiente
O auditor analisa:
- setor, regulação e fatores externos;
- modelo de negócio e estratégia;
- estrutura societária e financiamento;
- medidas de desempenho;
- políticas contábeis;
- transações e eventos;
- estimativas e julgamentos;
- mudanças no exercício;
- processos e sistemas.
Risco inerente e risco de controle
Risco inerente é a suscetibilidade de uma afirmação a distorção antes de considerar controles. Complexidade, subjetividade, mudança, incerteza e viés aumentam esse risco. Risco de controle é a possibilidade de que a distorção não seja prevenida ou detectada tempestivamente pelos controles.
Afirmações das demonstrações
Os riscos são ligados a afirmações como existência, completude, direitos, obrigações, exatidão, avaliação, competência, classificação, apresentação e divulgação. Um mesmo saldo pode ter riscos diferentes: em contas a pagar, completude costuma ser central; em receita, existência e cut-off podem ser prioritários.
Sistema de controles internos
A compreensão abrange cinco componentes:
- ambiente de controle;
- processo de avaliação de riscos da entidade;
- monitoramento;
- sistema de informação e comunicação;
- atividades de controle.
Compreender não significa concluir que os controles são eficazes. Quando pretende confiar neles, o auditor testa sua efetividade operacional.
Ambiente de tecnologia
A NBC TA 315 reforça a compreensão de aplicativos, infraestrutura, processos de TI e riscos decorrentes. O auditor identifica:
- sistemas relevantes;
- interfaces;
- acessos privilegiados;
- alterações de programas;
- operações automatizadas;
- relatórios usados nos controles;
- planilhas críticas;
- serviços terceirizados e cloud;
- riscos gerais de TI.
Espectro do risco inerente
Os riscos são posicionados em um espectro. Quanto maior a probabilidade e a magnitude, mais persuasiva deve ser a resposta. Fatores de risco inerente ajudam a explicar a avaliação.
| Fator | Exemplo |
|---|---|
| Complexidade | Derivativo ou consolidação |
| Subjetividade | Provisão e valuation |
| Mudança | Novo ERP ou aquisição |
| Incerteza | Fluxo futuro e continuidade |
| Viés | Estimativa ligada a bônus |
Riscos significativos
São riscos próximos ao extremo superior do espectro ou que a norma exige tratar como significativos. Demandam atenção especial, compreensão dos controles relacionados e respostas específicas. A classificação deve ser fundamentada, não automática.
Procedimentos de avaliação
- indagações;
- procedimentos analíticos;
- observação e inspeção;
- walkthroughs;
- leitura de atas e contratos;
- discussão da equipe;
- análise de dados;
- informações de aceitação e trabalhos anteriores.
Revisão contínua
A avaliação não termina no planejamento. Evidência nova pode mostrar risco diferente. O auditor revisa estratégia e procedimentos e documenta a mudança.
Erros recorrentes
- copiar matriz do ano anterior;
- listar risco sem ligá-lo a afirmação;
- confundir risco de negócio com distorção;
- ignorar TI;
- presumir controle eficaz;
- classificar tudo como significativo;
- não atualizar após novos fatos;
- não ligar risco à resposta.
Perguntas frequentes
Todo risco de negócio é risco de auditoria?
Não. Torna-se relevante quando pode gerar distorção nas demonstrações.
Walkthrough testa efetividade?
Em geral, ajuda a compreender desenho e implementação; efetividade operacional exige teste apropriado.
TI precisa ser examinada em toda auditoria?
O ambiente de informação sempre precisa ser compreendido; a profundidade depende da dependência e dos riscos tecnológicos.
Fonte técnica
Conteúdo informativo. A avaliação depende da entidade, do período e das mudanças identificadas.