Deficiências de controle interno: acompanhamento dos achados e plano de remediação

Autoria editorial: Vinícius Costa

Um achado de controle interno só gera valor quando a causa é compreendida, a ação é executada e a eficácia é comprovada. Responder ao auditor com “controle implantado” sem desenho, evidência e teste pode encerrar uma planilha de pendências, mas não reduzir o risco que originou a deficiência.

O que é deficiência de controle?

Existe deficiência quando um controle não foi desenhado, implementado ou operado de forma capaz de prevenir, detectar ou corrigir tempestivamente distorções. A relevância depende da probabilidade, magnitude, natureza, população e possibilidade de combinação com outras falhas.

Como estruturar o achado?

• condição: o que foi observado;
• critério: o que deveria ocorrer;
• causa: por que ocorreu;
• efeito: risco ou impacto;
• população: onde mais pode ocorrer;
• recomendação: resposta possível;
• posição da administração: ação, responsável e prazo.

Causa-raiz

“Falha humana” é geralmente explicação insuficiente. Investigue treinamento, desenho, sistema, excesso de acesso, volume, prazo, supervisão, dados e cultura. Técnicas como cinco porquês e análise de processo ajudam a identificar a causa controlável.

Classificação de severidade

A auditoria independente pode comunicar deficiências significativas à governança. A empresa também pode usar classificação interna baseada em:

• impacto financeiro potencial;
• probabilidade;
• fraude;
• abrangência;
• recorrência;
• dependência de controles compensatórios;
• efeito regulatório;
• velocidade de materialização;
• dificuldade de detecção.

A nomenclatura interna não deve minimizar um assunto comunicado formalmente pelo auditor.

Plano de ação eficaz

O plano deve conter ação específica, proprietário, aprovador, marcos, data, recursos, risco residual, controle compensatório e evidência esperada. “Reforçar orientação” raramente é suficiente para falha sistêmica.

Correção, remediação e prevenção

• correção: resolve itens conhecidos;
• remediação: corrige o desenho ou operação do controle;
• prevenção: reduz a chance de recorrência em processos relacionados.

Um pagamento duplicado exige recuperar ou ajustar o valor, revisar a população e fortalecer o bloqueio de duplicidade.

Controles compensatórios

Enquanto a solução definitiva não está pronta, podem ser usados controles adicionais. Eles precisam cobrir o mesmo risco, operar com precisão e ter responsável independente. Revisão gerencial genérica não compensa necessariamente bloqueio automatizado ausente.

Evidências da implantação

• política aprovada;
• configuração do sistema;
• matriz de acessos;
• treinamentos;
• relatórios de execução;
• aprovações;
• logs;
• exceções tratadas;
• teste da auditoria interna ou assistência técnica.

Quando considerar remediado?

O controle deve estar desenhado, implementado e operando. Em muitos casos, é necessário observar mais de uma ocorrência ou período. Controle mensal implantado em dezembro pode não oferecer histórico suficiente antes do relatório.

Validação independente

A área responsável não deve ser a única a declarar sucesso. Auditoria interna, controles internos ou assistente técnico podem testar amostra, população, precisão e evidência e emitir conclusão de prontidão. O auditor externo fará sua própria avaliação.

Painel de acompanhamento

Comunicação à governança

Conselho e comitê precisam conhecer deficiências relevantes, atrasos, risco residual e aceite formal de risco. A administração não deve alterar unilateralmente a classificação para evitar escalonamento.

Achados recorrentes

Recorrência indica que a ação anterior foi insuficiente ou não sustentada. Reabra a causa-raiz, avalie responsabilização, orçamento, cultura e dependências. O plano precisa explicar por que desta vez será diferente.

Erros recorrentes

• responder sem causa;
• criar ação vaga;
• encerrar na data de implantação;
• não revisar população histórica;
• usar treinamento como única solução;
• não definir evidência;
• não testar controle compensatório;
• postergar sem escalonar;
• não informar governança;
• considerar correção contábil como remediação completa.

Perguntas frequentes

Toda deficiência gera ressalva?

Não. O efeito na opinião depende da distorção e da evidência. Deficiências podem ser comunicadas separadamente mesmo com opinião sem modificação.

O auditor aprova o plano?

Pode discutir e avaliar o controle em auditorias futuras, mas a administração é responsável por desenhar e implementar.

Quando um achado pode ser encerrado?

Quando a causa foi tratada, a implantação foi documentada e a eficácia foi validada em período apropriado.

Fontes técnicas

• CFC, NBC TA 265 e NBC TA 315

Conteúdo informativo. A classificação e o teste devem considerar o risco, a frequência e a estrutura de governança.