O programa de trabalho transforma o escopo da auditoria interna em testes que podem ser executados e revisados. Para cada objetivo, identifica o risco, o critério de avaliação, a população, as fontes e o procedimento. Depois da execução, registra o que foi examinado e a conclusão sustentada pelas evidências.
Esse roteiro ajuda empresas e seus assessores a contratar uma análise delimitada. A lista de procedimentos precisa responder à decisão que motivou o trabalho, como avaliar aprovações financeiras, conferir conciliações ou examinar permissões de acesso.
Planejamento da auditoria interna terceirizada
Os campos que tornam um teste verificável
- Objetivo: a pergunta que o teste pretende responder e seu vínculo com o escopo aprovado.
- Risco e critério: o evento que preocupa a empresa e a política, norma ou referência utilizada na avaliação.
- População: entidades, processos, sistemas, datas e unidades incluídas; indicar exclusões e limitações conhecidas.
- Procedimento: como examinar os itens, quais cruzamentos fazer e, quando aplicável, como selecionar e justificar a amostra.
- Fonte esperada: documento ou registro necessário, responsável por fornecê-lo e forma prevista de conferir sua integridade e abrangência.
- Execução e revisão: responsável pelo teste, evidências obtidas, exceções, esclarecimentos e conclusão, com referências aos papéis de trabalho.
Planejar a evidência não é considerá-la obtida
Antes do campo, a equipe avalia se o desenho do teste é adequado ao objetivo e se as fontes podem ser disponibilizadas. A suficiência e a qualidade das evidências efetivamente obtidas são avaliadas durante e após os procedimentos. Uma entrevista prevista, um arquivo solicitado ou uma caixa marcada no roteiro não demonstram, por si só, que o controle funciona.
O programa deve permitir documentar uma mudança de abordagem quando os arquivos não cobrem o período ou quando surgem novas condições relevantes. Registre o motivo, os procedimentos adicionais, a revisão e o efeito sobre o alcance. Uma limitação não deve desaparecer da conclusão porque o procedimento estava previsto no início.
Exemplo: testar acessos em um período definido
Exemplo fictício: a pergunta é se uma mesma identidade teve permissões incompatíveis simultâneas no ERP da empresa A durante outubro. O critério é a regra de segregação aprovada para aquele fluxo. A população inclui as concessões, alterações e revogações no intervalo, não apenas a matriz atual.
O procedimento confere permissões efetivas, trata cópias comprovadas e cruza as vigências no mesmo ambiente e âmbito. O estudo de vigência dos perfis, com seis linhas de origem apresenta a conta completa. O resultado possível é uma combinação potencial a revisar, ausência dessa combinação segundo a regra ou uma limitação por falta de histórico. Nenhuma dessas classificações demonstra automaticamente fraude.
Programa de testes: descontos e baixas
Um segundo exemplo de programa trata dos descontos de recebíveis. Na hipótese, dez títulos do mesmo cliente e mês têm diferença de R$ 100,00 cada: R$ 1.000,00 no conjunto. O sistema tolera até 2% por título, enquanto a política fictícia exige aprovação específica acima de R$ 500,00 por cliente no mês. Os critérios pertencem somente ao exemplo.
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Objetivo do teste | População e procedimento | Evidência e leitura |
|---|---|---|
| Integridade da base | Reconciliar os dez títulos, suas baixas e os créditos do recorte. | Carteira, movimentos e controles de extração; apontar lacunas antes de concluir. |
| Execução da tolerância | Conferir a diferença por título e o parâmetro vigente na data. | Versão da configuração e registros do processamento; não substituir pelo parâmetro atual. |
| Cumprimento da alçada | Somar descontos do mesmo cliente e mês e confrontar o limite de R$ 500,00. | R$ 1.000,00 exige conferir a aprovação específica prevista; a regra por título não a comprova. |
| Conclusão do controle | Examinar documentos recebidos, explicações e exceções. | Separar execução demonstrada, aprovação sustentada e pendência; o plano sozinho não comprova o funcionamento. |
O guia de descontos e tolerâncias apresenta a memória da hipótese. A conferência por título trata de outra pergunta: como compor o saldo aberto. Os testes não são intercambiáveis e não determinam, por si só, materialidade ou tamanho de amostra.
Baixar o caderno de conferência de recebíveis e descontos (PDF, 2 páginas). Exemplos hipotéticos, memórias e registros para a conferência, sem dados de clientes.
O que deve acompanhar a entrega
A empresa recebe o relatório previsto na contratação, com objetivo, alcance, procedimentos realizados, constatações sustentadas, limitações e recomendações pertinentes. Os papéis de trabalho dão suporte à conclusão; a sua disponibilização e o tratamento de informações confidenciais observam os termos do encargo e as regras aplicáveis.
A NBC TI 01, na relação de normas do CFC, é a referência para auditoria interna. Os itens 12.2.1.3 e 12.2.1.4 da publicação do CFC abordam a formalização, o detalhamento e a atualização do programa. Este guia organiza a contratação e não substitui o planejamento profissional.
Estruturar a auditoria interna da empresa
Informe os processos a examinar, as dúvidas da administração, o período, os sistemas e o prazo. A Costa Nova pode organizar uma proposta com testes, documentos necessários, responsabilidades e relatório. O trabalho começa pela definição da necessidade e do alcance com a empresa.
Auditoria interna em São Paulo · Auditoria contábil · Trilha de planejamento