O risco sempre esteve no núcleo da auditoria interna, servindo como elemento essencial para definir prioridades, avaliar controles e identificar oportunidades de melhoria. A auditoria baseada em riscos não é uma abordagem alternativa ou uma tendência passageira; trata-se da forma correta e estruturada de conduzir auditorias de maneira eficaz e alinhada à governança corporativa.
A seguir, exploramos três aspectos fundamentais que destacam a importância do risco na auditoria.
1. O risco corporativo como motor do Plano Anual de Auditoria
A auditoria interna deve estar alinhada aos objetivos estratégicos e aos riscos corporativos da organização. A elaboração do Plano Anual de Auditoria deve considerar os riscos identificados e priorizar as áreas críticas que podem impactar a continuidade e o sucesso do negócio.
As Normas Globais de Auditoria Interna reforçam essa abordagem:
Norma 9.4, no âmbito do Princípio 9, estabelece que o chefe de auditoria deve desenvolver um plano de auditoria baseado em uma avaliação documentada das estratégias, objetivos e riscos da organização.
Norma 9.1 exige que o gestor de auditoria compreenda os processos de governança, gestão de riscos, operações e controles da organização.
Seguindo essa abordagem estruturada, a função de auditoria garante que os esforços sejam focados na avaliação de áreas de alto risco, gerando impacto real e contribuindo para um processo de gestão mais eficiente e seguro.
2. Avaliação da eficácia da gestão de riscos
A auditoria interna desempenha papel crucial ao avaliar a eficácia da gestão de riscos. O objetivo principal é verificar se os processos e controles da organização são suficientes para manter os riscos dentro de níveis aceitáveis. Para isso, os auditores devem:
Avaliar se os riscos inerentes aos processos auditados foram corretamente identificados.
Examinar a gestão dos riscos de TI, garantindo segurança da informação e resiliência dos sistemas.
Avaliar os riscos de integridade e conformidade legal, assegurando que a organização cumpra seus valores éticos, leis e regulamentos aplicáveis.
Analisar se os controles estabelecidos são suficientes e eficazes para mitigar os fatores de risco e mantê-los dentro dos limites aceitáveis.
Recomendar melhorias para fortalecer a gestão de riscos e aumentar a eficiência dos processos.
Se a auditoria identificar lacunas na gestão de riscos, estas representam vulnerabilidades potenciais que podem comprometer os objetivos da organização e devem ser tratadas o quanto antes. O mesmo vale para oportunidades de melhoria ou ajustes que possam elevar a eficiência operacional.
3. Considerando o risco da própria auditoria
Além de avaliar os riscos organizacionais, a auditoria interna deve também considerar o risco de auditoria, que se refere à possibilidade de os procedimentos e técnicas aplicados não serem suficientes para detectar falhas, não conformidades ou eventos significativos. Esse risco pode ser minimizado por meio de:
Seleção adequada de testes e métodos de amostragem.
Aplicação de técnicas apropriadas de análise de dados e evidências.
Uso de ferramentas analíticas para identificar padrões e anomalias.
Garantia de que a auditoria seja rigorosamente planejada e executada com metodologias sólidas.
Ao adotar essas medidas, a auditoria fortalece sua credibilidade e aumenta a confiabilidade de seus achados e recomendações.
Reflexões finais
A auditoria baseada em riscos não é uma opção; é o caminho correto para garantir que a auditoria interna entregue valor real à organização. O risco orienta o planejamento, direciona a avaliação da eficácia dos controles e exige que os auditores estejam atentos às limitações de suas próprias análises.
Seguindo essa abordagem, a auditoria interna fortalece a governança e ajuda a organização a se tornar mais resiliente, transparente e preparada para os desafios futuros.
Perguntas para reflexão:
O plano anual de auditoria da sua organização está alinhado aos principais riscos estratégicos?
A auditoria interna está avaliando se a gestão de riscos da entidade auditada é eficaz e suficiente para manter riscos inerentes, de TI, de integridade e de conformidade legal em níveis aceitáveis?
Como sua equipe de auditoria avalia e mitiga o risco de auditoria para garantir resultados confiáveis? Os riscos de detecção estão sendo considerados no processo de planejamento da auditoria?
Reflita sobre esses pontos e considere como você pode contribuir para a evolução da auditoria interna, assegurando que ela agregue ainda mais valor à organização.
Seja feliz!
