Guias desta etapa

• Deficiência de controle interno e deficiência significativa: diferenças — Deficiência existe quando desenho ou operação não permite prevenir, detectar e corrigir distorções tempestivamente. A significância considera probabilidade, magnitude, exposição e importância para a supervisão, não apenas perda ocorrida.
• Deficiência de desenho ou de operação do controle interno — Falha de desenho ocorre quando controle necessário falta ou não atende ao risco; falha operacional ocorre quando controle bem concebido não funciona, não é executado ou é realizado por pessoa sem autoridade ou competência.
• Como fazer análise de causa raiz de deficiência de controle interno — A causa raiz pode envolver governança, capacidade, sistema, dados, incentivo, desenho, treinamento ou supervisão. A análise parte da falha observada, testa hipóteses e verifica por que barreiras anteriores não funcionaram.
• Segregação de funções e acessos em deficiência de controle — A avaliação considera combinações incompatíveis, privilégios, contas compartilhadas, revisões compensatórias e evidência de uso. Em equipes pequenas, controles alternativos precisam ser específicos e executados.
• Fechamento contábil e conciliações: deficiências comuns — Deficiências podem surgir de calendário incompleto, reconciliações sem suporte, revisões sem evidência, pendências antigas, interfaces não conciliadas e lançamentos fora de política. A ação precisa cobrir população e prazo.
• Receita e contas a receber: como tratar deficiência de controle — A análise conecta contrato, aprovação de preço, entrega, faturamento, reconhecimento, crédito, recebimento e devoluções. Falhas em interfaces ou mudanças manuais podem afetar completude, existência e período.
• Compras, fornecedores e pagamentos: deficiência e remediação — Pontos relevantes incluem cadastro, conflito, aprovação, pedido, recebimento, nota, alteração bancária, lote de pagamento e conciliação. A trilha deve impedir que uma pessoa controle etapas incompatíveis.
• Estoques: deficiências de controle que afetam a auditoria — Falhas podem envolver acesso físico, registros, contagens, corte, transferências, custeio e obsolescência. A resposta precisa reconciliar unidades e valores, além de investigar padrões de diferença.
• Acessos de TI e mudanças de sistemas em deficiência de controle — Deficiências incluem usuários órfãos, privilégios excessivos, revisão ineficaz, mudanças sem teste, desenvolvimento em produção, interfaces sem monitoramento e logs não analisados.
• Override da administração e deficiência de controle interno — Acesso privilegiado, lançamentos manuais, aprovações excepcionais e pressão por resultado podem permitir override. Resposta inclui limites, revisão independente, logs, análise de padrões e canal de escalonamento.
• Como priorizar deficiências de controle interno por risco — Priorização considera magnitude possível, probabilidade, volume, complexidade, suscetibilidade a fraude, dependência sistêmica, controles compensatórios e exposição regulatória. Prazo deve refletir risco residual.
• Resposta da administração e plano de ação para deficiência de controle — Boa resposta reconhece ou fundamenta discordância, descreve causa, risco, ação, dono, prazo, dependências, controle temporário e evidência de conclusão. Frases genéricas não permitem acompanhamento.
• Como acompanhar a remediação de deficiência de controle interno — Acompanhamento separa planejamento, implementação, entrada em operação e validação de eficácia. Evidência inclui configuração, execução, exceções, treinamento e teste independente, com reabertura quando necessário.
• Checklist para responder e remediar deficiências de controle interno — O checklist confirma descrição, processo, risco, causa, classificação, controle compensatório, ação, dono, prazo, dependências, evidência, teste, status e reporte. Divergências também precisam de base documentada.