A matriz de riscos para auditoria interna ajuda a explicar quais processos serão examinados primeiro e por quê. Para ser útil, precisa mostrar os critérios, as fontes e as dúvidas por trás da pontuação. A decisão também considera mudanças recentes, controles conhecidos e a capacidade de executar o plano.
Auditoria interna em São Paulo · Planejamento de auditoria interna terceirizada · Auditoria contábil
Baixe a matriz com exemplo e folha de trabalho
Baixar matriz de riscos para auditoria interna em PDF · 2 páginas. A primeira traz o exemplo preenchido; a segunda pode ser impressa para registrar processos, critérios, fontes, pendências e aprovação. O modelo é estático e não faz cálculos automáticos.
Comece pelo evento e pela fonte, antes da nota
“Financeiro” é uma área ampla demais para representar um risco. Descreva o evento a examinar, como pagamento duplicado, cancelamento indevido de receita ou reembolso sem suporte. Depois identifique empresa, período e processo. Essa delimitação permite reconhecer a informação que sustenta a avaliação e a população que poderá integrar os testes.
Uma nota pode decorrer de histórico, mudança de sistema ou preocupação da direção. Registre a origem e o que ainda falta conferir. A existência de um alerta não confirma uma perda; ausência de informação também não deve virar uma classificação automática de risco baixo.
Exemplo de matriz: o mesmo total pode exigir decisões diferentes
Exemplo inteiramente hipotético. Processos, notas e situações foram criados para explicar o método. Não representam cliente ou trabalho da Costa Nova. A escala de impacto e probabilidade, de 1 a 3, é apenas didática. O produto das notas não é percentual, probabilidade estatística nem valor estimado de perda.
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Processo / evento | Impacto × probabilidade | Base e controle a verificar | Decisão inicial |
|---|---|---|---|
| Pagamentos / possível duplicidade | 3 × 3 = 9 | Alertas ainda em exame; regra de autorização existente, sem teste de funcionamento concluído. | Priorizar o exame e confirmar a origem dos alertas. Não presumir perda. |
| Faturamento / cancelamento indevido | 3 × 2 = 6 | Mudança recente de sistema; regras de cancelamento precisam ser conferidas. | No empate, priorizar pela mudança recente, com justificativa registrada. |
| Reembolsos / despesa sem suporte | 2 × 3 = 6 | Solicitações a examinar; informação sobre o controle ainda incompleta. | Manter no plano ou registrar adiamento, responsável e risco a acompanhar. |
Faturamento e reembolsos receberam nota 6 por combinações diferentes. A igualdade do produto não torna os processos equivalentes. Neste exercício, a mudança recente do sistema justifica priorizar faturamento no empate. Outra decisão exigiria sua própria explicação; não se trata de uma ordem obrigatória para empresas reais.
Mantenha controles e incertezas visíveis
O risco antes de considerar controles e o risco após essa consideração não devem ser misturados sem explicar o método. Ter uma política aprovada não demonstra que ela foi cumprida. Anote separadamente o controle descrito, a evidência de execução já examinada e o teste que ainda precisa ocorrer. Este exemplo não calcula risco residual.
- Critério: o significado de cada nota, com a mesma escala entre processos comparáveis.
- Fonte: documento, versão, período e responsável pela informação.
- Pendência: o que precisa ser confirmado e quem poderá fornecer o suporte.
- Decisão: prioridade, adiamento ou inclusão de teste, com a justificativa e a aprovação.
Revise a matriz quando a informação mudar
Se um alerta for descartado, preserve a avaliação anterior e registre o esclarecimento. Se surgir um sistema adicional ou uma nova empresa no processo, verifique a extensão do plano. A matriz precisa permitir entender o que mudou entre versões, em vez de mostrar apenas a última cor atribuída a cada risco.
Priorizar não significa examinar todas as operações. O plano ainda precisa definir procedimentos, cobertura, equipe e dependências. Uma restrição de acesso ou falta de tempo deve permanecer explícita; reduzir a nota do processo apenas para fazê-lo caber no calendário esconde a decisão que a gestão precisa tomar.
Referência para o planejamento
A NBC TI 01, no CFC, aborda o planejamento e a documentação da auditoria interna. A matriz e a escala desta página são uma construção didática; não representam fórmula prescrita pela norma. O enquadramento do trabalho e seus critérios precisam ser avaliados para cada organização.
Perguntas sobre a matriz de riscos
Nota 9 significa 90% de chance de perda?
Não. No exemplo, 9 é o produto de duas notas ordinais de uma escala didática. Não há cálculo estatístico ou estimativa monetária. O significado dos critérios deve ser definido e registrado antes do uso.
A existência de um controle permite reduzir o risco?
A avaliação precisa considerar o controle e a evidência pertinente ao seu funcionamento, conforme o método adotado. Uma política escrita, isoladamente, não confirma a execução. Registre as incertezas e os testes pendentes.
A matriz já é o plano completo de auditoria?
Ela apoia a escolha de prioridades. O plano precisa especificar objetivo, abrangência, procedimentos, responsáveis e condições de execução. O PDF é um apoio para preparar essa discussão, não uma auditoria concluída.
Defina o trabalho com a Costa Nova
Informe o processo, o período, as empresas envolvidas e o prazo necessário. A Costa Nova avalia o objeto e propõe procedimentos e entregas compatíveis. A troca de documentos e os acessos são organizados com os responsáveis autorizados depois desse primeiro contato.
Auditoria contábil em São Paulo · contato@cnassociados.com.br