A Costa Nova realiza auditoria interna em São Paulo para avaliar controles de pagamentos, acessos, conciliações e fechamento. O trabalho testa o controle previsto e sua execução nas operações selecionadas, com achados documentados e recomendações. Informe processos, unidades, período e destinatários do relatório para definir a proposta.
A proposta distingue avaliação do desenho do controle, testes da execução e acompanhamento das providências.
Roteiros e exemplos para delimitar os testes de controles
No fechamento de receitas, o roteiro de contrato, obrigação e lançamento das licenças ajuda a identificar o suporte a conferir. O teste da execução do controle precisa conservar esse objeto e o período selecionado.
No exame de pagamentos a transportadores, o estudo de frete, caixa e adiantamento ajuda a identificar os registros e comprovantes ligados à operação.
Para conferir as bases utilizadas no controle, consulte o exemplo de extrato completo e movimentos omitidos. A qualidade da extração precisa ser examinada antes de usar seus registros no teste.
Para comparar o objetivo da auditoria interna com outras revisões da empresa, use o roteiro de modalidades de auditoria.
O que é auditoria interna?
Auditoria interna avalia governança, riscos e controles para apoiar os objetivos da organização, preservando independência e objetividade. No recorte contábil e financeiro, cada conclusão precisa estar ligada à regra aplicável, aos testes e às evidências. A gestão continua responsável por executar os controles e decidir as melhorias.
Nos controles financeiros, o exame verifica se a regra responde ao risco e se foi executada nas operações selecionadas. Confronta alçadas, registros de aprovação e exceções. Política escrita não demonstra execução; a ausência de um registro exige conferir as evidências disponíveis antes de concluir. A NBC TI 01, do CFC é referência para os procedimentos e a documentação. O exemplo de compras do mesmo fornecedor compara três grupos de R$ 27 mil e mostra como distinguir contratação única, compras independentes e vínculo ainda pendente.
Quando esse trabalho pode ajudar
O trabalho pode apoiar empresas que cresceram, mudaram de sistema, ampliaram unidades ou passaram a depender de controles manuais. Parte de processos delimitados, como cadastro de fornecedores, aprovação de pagamentos, conciliação e fechamento, para avaliar riscos e controles pertinentes. Nos processos de despesas, a auditoria de cartões corporativos e a auditoria de reembolsos ligam política, comprovantes, aprovação e liquidação. O estudo de crédito provisório e estorno parcial mostra por que o acompanhamento de uma contestação precisa conservar a reversão, além do crédito inicialmente recebido na fatura.
Informações e documentos para os testes
- Fluxos, políticas, matriz de alçadas e atribuições dos responsáveis pelos processos selecionados.
- Registros de aprovação, conciliação, revisão e tratamento de exceções do período.
- Relação de perfis e permissões dos sistemas pertinentes, fornecida pelos responsáveis autorizados.
- Bases de transações necessárias para selecionar e acompanhar operações do início ao encerramento.
Controle sobre os indicadores do painel. Registre o significado de cada campo, a fórmula, a fonte, a data e o responsável por revisar mudanças. O exemplo de saldo, restrição e limite de crédito mostra um total que não varia quando seus componentes mudam. O teste do controle precisa acompanhar a composição e a evidência da revisão, além do número final.
Para escolher por onde começar, consulte a matriz de riscos com exemplo preenchido. Ela demonstra como justificar prioridades sem confundir uma nota com a comprovação de que o controle funciona. Para dimensionar a proposta, prepare o roteiro de documentos e informações da auditoria interna, com processos, unidades, volume e fontes disponíveis.
A relação é ajustada ao objeto. Os canais de disponibilização e os responsáveis pelo acesso são combinados no planejamento. O checklist de preparação por objetivo ajuda a separar os grupos disponíveis e as pendências. Relacione a marcação ao processo e ao período; a avaliação da execução do controle depende dos testes do trabalho.
Quando a empresa disponibilizar uma nova cópia, conserve a identificação do arquivo usado em cada teste. O conferidor de cópias de arquivos permite comparar SHA-256 e baixar uma memória para arquivos de até 5 MiB. Vincule o registro ao item do inventário; a igualdade das cópias não demonstra a execução do controle.
Entregas a definir na proposta
A entrega pode incluir matriz de riscos e controles, procedimentos executados e registro dos achados. Cada achado identifica processo, regra, operação, evidência, resposta da área e recomendação. O plano de ação liga o responsável e o prazo à pendência original, permitindo distinguir ação proposta, implementação informada e funcionamento efetivamente testado.
Definir uma nova política não demonstra que o controle já funcionou. O estudo de bloqueio de pagamentos compara a regra com cinco cenários, incluindo o valor exato do limite e uma aprovação posterior à liberação. Ele distingue ensaio controlado e funcionamento em operações posteriores. O acompanhamento é definido na proposta; a decisão e a implementação das medidas permanecem com a gestão.
No exemplo de reteste de controles, a seleção de 50 pagamentos posteriores apresenta 48 com cumprimento demonstrado, uma aprovação posterior à liberação e um registro ainda sem suporte. O relatório distingue as duas exceções e informa que outros 150 pagamentos da população não foram examinados. Os dados são fictícios; a contagem não é apresentada como eficácia geral da empresa.
Quando um teste identifica uma condição que não estava no planejamento, o roteiro de resposta a achados inesperados separa o fato observado, a população afetada e a decisão sobre procedimentos adicionais. O guia de planilhas críticas mostra por que proteção de células e igualdade de totais não substituem os testes de fórmulas.
No reporte à diretoria, separe operações testadas e ações de acompanhamento. O estudo de quatro implementações informadas e dois retestes mostra cinco ações, uma exceção confirmada e duas ainda sem reteste. O roteiro de relatório executivo ajuda a conservar a base, as limitações e a decisão solicitada.
Para refazer esse reporte, baixe a carteira das cinco ações e as contagens por versão. Os arquivos mantêm separados implementação informada, reteste executado e critério atendido, com a exceção e os itens ainda sem exame identificados.
No acompanhamento de acessos, a contagem deve conservar a mesma população e o prazo da regra examinada. O caso de 120 contas com dez revisões tardias demonstra por que 100% de cobertura documental não basta para encerrar uma deficiência de revisão completa e tempestiva.
Auditoria interna em São Paulo: cobertura e reporte
A proposta identifica quem receberá os achados, quais processos e unidades serão examinados e como serão tratados os possíveis conflitos de responsabilidade. Informe se a demanda é pontual ou periódica e quais decisões a direção ou os sócios precisam tomar.
O plano liga risco, controle, teste e evidência. O relatório distingue falha de desenho, execução não demonstrada e exceção confirmada. Uma recomendação implementada depois do período não altera o fato observado; seu funcionamento exige acompanhamento próprio, quando contratado. O modelo de acompanhamento até o encerramento do achado separa a resposta recebida, a providência adotada e o teste posterior de funcionamento. No controle de conciliação, a consulta das linhas por referência ajuda a localizar o registro que a revisão precisa examinar. Conservar IDs e datas na trilha não comprova que a revisão foi executada nem encerra o achado.
Se a principal dúvida é a composição de valores, veja auditoria financeira; para uma suspeita delimitada, auditoria forense. O escopo de controles permanece nesta página.
Auditoria interna para demandas de São Paulo e Minas Gerais. Empresas da capital e do interior paulista, de Belo Horizonte e de outras cidades mineiras podem solicitar avaliação por análise documental remota. Informe unidades, sistemas, canais de pagamento e destinatários do relatório. Testes documentais, observação da execução e eventual visita têm coberturas distintas e precisam ser delimitados na proposta. As reuniões presenciais da Costa Nova são no Brooklin, em São Paulo.
Equipe institucional e responsabilidade pelo encargo. Conheça os perfis públicos de Cristina Costa, fundadora da Costa Nova Associados, e Vinícius Costa, sócio do escritório. A proposta deve identificar quem executará os procedimentos, quem responderá pelo relatório e a função de cada profissional. A trajetória institucional permite conhecer a equipe; o escopo e as responsabilidades precisam estar definidos para o trabalho contratado.
O que pode integrar o escopo
Desenho do processo
Identificar objetivo, riscos, responsáveis e pontos de autorização e conferência. Verificar se o controle previsto responde ao risco descrito.
Execução do controle
Examinar evidências de que as atividades de revisão e aprovação ocorreram no período e nas operações selecionadas.
Acessos e responsabilidades
Relacionar papéis no fluxo financeiro, permissões relevantes e controles compensatórios previstos para situações específicas.
Exceções e acompanhamento
Examinar como desvios são registrados, esclarecidos, aprovados ou corrigidos e quem acompanha sua resolução.
Acompanhamentos distintos podem tratar da mesma ocorrência. O exemplo de um pagamento em vários achados mostra como manter pendências de aprovação e documentação separadas, sem repetir a saída financeira ao consolidar o relatório.
Pagamento por conta de outra empresa: execução e autorização. O comprovante pode demonstrar a saída ao fornecedor e ainda faltar a evidência que permite atribuí-la à obrigação de outra sociedade. No exemplo de recebimento e aplicação de recursos, o teste distingue R$ 10 mil de caixa residual e R$ 30 mil de aplicação cuja baixa pode continuar pendente. Relacione o controle previsto, a autorização exigida, quem aprovou e a operação; não conclua perda apenas pela pendência documental.
Para testar a identidade do favorecido antes de liberar pagamentos, veja o exemplo de nomes iguais no cadastro. Para examinar permissões ao longo do período, veja o estudo de vigência dos perfis no ERP: duas funções em datas diferentes não formam necessariamente um conflito simultâneo. O programa de trabalho da auditoria interna mostra como definir a população, o procedimento e as evidências para esse teste. Para controles da carteira, o programa de descontos e baixas separa tolerância automática e alçada de aprovação.
Ao cruzar ERP e banco, examine também o que a aprovação efetivamente cobriu. O exemplo de segregação entre cadastro e pagamento distingue acesso, versão revisada, identidade do revisor e débito confirmado, sem tratar o valor selecionado como perda.
Auditoria interna, auditoria independente e controles: qual a diferença?
A distinção está na finalidade e na responsabilidade do trabalho. A existência de uma equipe externa à empresa, por si só, não define qual modalidade está sendo contratada. O comparativo de auditoria interna e forense acompanha uma operação fictícia em dois pedidos de trabalho: teste do controle e investigação do evento.
- Controles da gestão
- São as rotinas de autorização, conferência e registro executadas no processo. Por exemplo: o responsável aprova um pagamento e conserva a evidência da aprovação.
- Auditoria interna
- Avalia riscos e controles com objetividade e comunica achados aos destinatários definidos. No mesmo exemplo, examina se a aprovação prevista foi realizada e se o controle responde ao risco.
- Auditoria independente das demonstrações contábeis
- Tem como objetivo expressar uma opinião sobre as demonstrações, considerando a estrutura contábil aplicável e os aspectos relevantes. Um teste isolado de aprovação de pagamentos não produz essa opinião.
Terceirizar a auditoria interna não a transforma em auditoria independente das demonstrações. Antes de contratar, confira o objeto, os requisitos profissionais aplicáveis, os destinatários e o relatório previsto. A NBC TA 200, no catálogo do CFC, trata dos objetivos gerais do auditor independente. Para uma possível utilização do trabalho interno, veja os documentos para avaliação pelo auditor independente, com exemplo de diferenças entre unidade, período e seleção.
Teste da rotina de conciliação: o conferidor de extrato e razão com relatório CSV ajuda a identificar diferenças de entradas, saídas, quantidade e distribuição diária no recorte informado. Na avaliação do controle, examine também quem preparou, quem revisou, quais fontes foram usadas e como cada pendência foi encerrada. Uma comparação que fecha não demonstra, por si só, que a revisão prevista foi executada.
Como preservar a objetividade e definir o reporte?
O planejamento deve identificar quem autoriza o trabalho, quem recebe os resultados e como comunicar restrições de acesso ou conflitos de interesse. Se a equipe participou da implantação de um controle, essa atuação precisa ser considerada ao definir quem o avaliará, para tratar o risco de revisar o próprio trabalho.
As Normas Globais de Auditoria Interna do IIA são referência para independência, objetividade, governança e comunicação. A proposta deve esclarecer o referencial utilizado e as responsabilidades de cada parte.
Confira a população antes de escolher os itens
Uma exportação pode reunir cópias e registros fora do período ou da faixa examinada. O mapa de população da auditoria interna mostra uma ponte de 12 linhas e R$ 366 mil até sete ordens elegíveis e R$ 201 mil. Cada exclusão tem motivo e referência; os números são fictícios e não representam testes de aprovação já concluídos.
Ver exemplo: aprovação prevista e documentos recebidos depois
Exemplo: aprovação prevista, evidência ausente
Na oficina de achados de auditoria, o exemplo de aprovação posterior à liberação mostra como registrar regra, evento e suporte sem atribuir causa ou perda que não foram apuradas. “Ação informada” conserva a resposta da gestão; implementação e operação posterior exigem evidência e teste próprios. O glossário de auditoria explica esses termos.
A política exige uma segunda aprovação para pagamentos acima de R$ 20.000. Em uma seleção ilustrativa de 12 pagamentos nessa faixa, a empresa apresenta evidência suficiente para 10 e precisa complementar dois. O primeiro resultado é uma pendência de evidência, a ser discutida com os responsáveis. No fechamento, o teste do controle de contas a pagar distingue assinatura, cobertura da base e revisão do conteúdo.
| Etapa | Pergunta | Suporte a examinar |
|---|---|---|
| Regra | Qual era a alçada vigente? | Política, vigência e exceções autorizadas |
| Operação | O pagamento estava sujeito à regra? | Valor, natureza e data |
| Execução | A aprovação ocorreu e pode ser demonstrada? | Registro de aprovação e suporte adicional |
A conclusão deve distinguir falta de execução, falha de registro e documentação ainda não disponibilizada. O estudo de vigência das alçadas confere a regra aplicável antes de avaliar a aprovação de cada liberação. Sem analisar a seleção e a população, o resultado dos 12 pagamentos não deve ser apresentado como uma taxa geral de falha da empresa.
Exemplo demonstrativo, sem referência a cliente ou promessa de resultado.
Dois documentos recebidos, duas conclusões diferentes
Na continuação do exemplo, chamamos os dois pagamentos pendentes de P11 e P12. Admitimos agora que a regra vigente exige a segunda aprovação antes da liberação e que não existe exceção autorizada nesses itens. Os horários são da mesma data e do mesmo fuso, e a integridade do histórico e as alçadas dos usuários são premissas desta simulação.
| Pagamento fictício | Linha do tempo documentada | Resultado do teste delimitado |
|---|---|---|
| P11 — R$ 32.000,00 | Aprovação às 10h32; liberação às 10h41. | O suporte adicional demonstra aprovação prévia, nas premissas do exercício. |
| P12 — R$ 27.000,00 | Liberação às 14h00; aprovação às 14h18. | Há aprovação posterior; o registro não demonstra o cumprimento do controle prévio. |
Para P11, a falta inicial do arquivo foi esclarecida pelo histórico. Para P12, receber uma aprovação não encerra o teste: a ordem dos eventos continua diferente da regra preventiva admitida. A análise registra o fato, o risco e a resposta do responsável, sem transformar o atraso em acusação de fraude.
As duas pendências documentais não devem continuar listadas como se nada tivesse sido recebido. O papel de trabalho registra o documento novo e atualiza a conclusão de cada pagamento. Também não conta a mesma operação uma vez por “falta de documento” e outra por “aprovação posterior” como se fossem dois pagamentos distintos.
O achado de P12 permanece ligado ao identificador da operação, à versão da política, aos registros examinados e ao tratamento a acompanhar. Corrigir a rotina no mês seguinte exige teste próprio; não altera retroativamente o horário da liberação já examinada. As conclusões deste recorte não constituem uma taxa de falha de toda a empresa.
A aprovação ocorreu antes da liberação?
Esse teste exige identificar o evento e a referência de horário de cada sistema. Um horário de importação do histórico não é necessariamente o momento da aprovação. Preserve os campos originais e confronte a regra vigente com o registro efetivamente examinado.
O estudo de cronologia de pagamentos mostra uma alteração às 13h05 em UTC e sua leitura às 10h05 em uma referência de menos três horas. Sem essa conferência, a sequência pode parecer invertida. Se a origem ou o fuso não puderem ser determinados, a limitação permanece no teste; não se corrige o dado apenas para fazer a operação parecer regular.
Como dimensionar prazo e orçamento
Informe quais processos precisam de avaliação, as unidades, os sistemas, o período e os responsáveis que poderão explicar o fluxo. O trabalho pode começar por um processo crítico e ser ampliado mediante escopo específico.
Dúvidas antes de contratar
A auditoria cria todos os controles da empresa?
O exame avalia o objeto contratado e apresenta achados e recomendações. Desenho detalhado e implementação de novos procedimentos devem ter responsabilidades e entregas definidas separadamente.
Uma pessoa pode executar várias etapas?
A análise considera o contexto, os riscos e os controles de revisão disponíveis. A existência de funções acumuladas exige avaliação específica; não permite uma conclusão isolada sobre a efetividade do processo.
Podemos contratar verificações periódicas?
O acompanhamento pode ser estruturado com processos, frequência, evidências e critérios de reporte definidos. A periodicidade é dimensionada conforme a necessidade e a capacidade de atendimento. Separe a providência informada pela gestão, o suporte recebido e o reteste do controle. Uma correção comunicada ainda precisa de exame para que o relatório indique o que foi efetivamente verificado. O estudo de ações informadas e retestes mostra como conservar esses estados sem encerrar antecipadamente a pendência.
Como comparar propostas com a mesma quantidade de testes?
Compare a população disponível, as unidades, os canais e os períodos cobertos, além do procedimento aplicado e da evidência esperada. A mesma quantidade de registros pode alcançar partes diferentes da operação; o número isolado não demonstra cobertura equivalente. Peça que a proposta identifique a seleção e que o relatório explicite os limites da conclusão. O exemplo de cobertura por unidades e canais permite comparar essas escolhas em uma base fictícia.
O que define os honorários e o prazo da auditoria interna?
O dimensionamento considera os processos, as unidades, os canais e os períodos abrangidos, além das regras de controle e dos registros disponíveis. Um teste de aprovação exige identificar a política vigente e a evidência de execução; uma revisão de acessos exige os perfis e seu histórico. Compare propostas pelo objeto e pela cobertura, além da quantidade de itens. O cronograma deve distinguir planejamento, obtenção das bases, testes e discussão dos achados. Se houver acompanhamento das providências ou retestes, confirme se essas etapas integram o escopo.
Guias e referências para aprofundar
Na transportadora, um controle pode conferir a completude da ficha de viagem antes do fechamento: trajetória, consumo, passagens e custos atribuídos, com responsável e evidência da revisão. O exemplo de retorno vazio na ficha de custo ajuda a definir o teste. Uma ficha que fecha numericamente não demonstra, sozinha, que todos os trechos e gastos foram incluídos. A conclusão identifica operações examinadas, exceções e limites de cobertura.
Para uma atuação por projeto ou periódica, consulte o roteiro de contratação de auditoria interna terceirizada e o plano de auditoria interna. O estudo de capacidade e replanejamento mostra como documentar a entrada de uma demanda nova e o trabalho adiado, com números fictícios.
- Segregação de funções: perfil, evento e conclusão
- Estudo de usuários e aprovações no ERP
- Como testar o funcionamento de uma correção
- Auditoria interna de pagamentos: da autorização à evidência
- Auditoria contínua: como testar 100% das transações sem perder julgamento profissional
- Process mining na auditoria: como reconstruir processos e localizar desvios no ERP
Para conhecer a modalidade de trabalho, consulte as normas de auditoria interna do CFC. A finalidade do trabalho e o relatório contratado são definidos na proposta.
Da alteração cadastral ao teste do controle
A auditoria de alterações bancárias de fornecedores liga a mudança do cadastro à liberação e à aprovação apresentada. A sequência permite distinguir execução tardia e evidência ainda ausente, preservando o valor da operação sem chamá-lo automaticamente de perda.
Alçada do contrato ou valor de cada parcela?
O estudo de pagamentos e alçadas acompanha um compromisso de R$ 55 mil quitado em duas parcelas inferiores a R$ 50 mil. O teste compara a regra e a aprovação do compromisso completo. Também demonstra por que uma tentativa rejeitada e seu reenvio não podem ser somados como duas obrigações.
Da comparação de propostas à cobertura do relatório
Antes de contratar, compare objetivo, unidades, canais e procedimentos das propostas. O quadro de entregáveis liga o escopo ao relatório e à matriz de achados. A escolha entre projeto pontual e programa contínuo depende das perguntas e do acompanhamento necessário.
No estudo de cobertura por unidades e canais, 30 pagamentos do ERP não representam a mesma abrangência de uma seleção distribuída entre rotinas distintas. O exemplo permite conferir os denominadores sem tratar a quantidade como garantia de qualidade. Para acompanhar a execução por ID, use o modelo de registro dos testes de auditoria interna: ele distingue suporte recebido, procedimento registrado e conclusão informada, com resumo e CSV.
Conte qual processo precisa examinar
Informe a situação, o período e os dados disponíveis para organizar sua proposta.
Solicitar propostaVer as frentes de auditoria da Costa Nova · contato@cnassociados.com.br
Guias deste núcleo
Assuntos de Auditoria interna em São Paulo, em ordem alfabética. Abra o título correspondente ao problema ou ao documento que precisa examinar.
Exibindo 1–10 de 10 conteúdos. Grupo 1 de 1.
- Auditoria de acessos: vigência dos perfis
- Auditoria interna: bloqueio de pagamentos
- Auditoria interna: capacidade e replanejamento
- Auditoria interna: cobertura de unidades e canais
- Auditoria interna: estudo de pagamentos e alçadas
- Auditoria interna: estudo de segregação de funções no ERP
- Auditoria interna: mapa da população e exclusões
- Auditoria interna: quatro ações informadas, dois retestes
- Auditoria interna: vigência da política de alçadas
- Testes de auditoria interna: modelo de acompanhamento