Modelo de Maturidade como Instrumento de Avaliação de Controle Interno em

Organizações Governamentais

RICARDO AUGUSTO CAPOVILLA

Programa Multi-institucional e Inter-regional de Pós-Graduação em Ciências Contábeis –
UnB/UFPB/UFRN
RODRIGO DE SOUZA GONÇALVES
Programa Multi-institucional e Inter-regional de Pós-Graduação em Ciências Contábeis –
UnB/UFPB/UFRN
ANTONIO BENEDITO SILVA OLIVEIRA
Departamento de Ciências Contábeis – Pontifícia Universidade Católica de São Paulo –
PUC-SP

Resumo
O estudo tem por objetivo avaliar estruturas de controle interno em organizações
governamentais por meio de modelo de maturidade, desenvolvido a partir do framework
COSO (2013a) e padrões do GAO (2001; 2014). O modelo proposto é estruturado em quatro
níveis de maturidade: (0) Incipiente, (1) Inicial, (2) Em Formação e (3) Estabelecido,
representando os estágios da implantação de uma estrutura de controle interno. As dimensões
e subdimensões do modelo são alicerçadas nos cinco componentes e dezessete princípios do
COSO I; as subdimensões são divididas em variáveis, a partir das abordagens e práticas
sugeridas pelo COSO e GAO. As variáveis do modelo de maturidade foram avaliadas por
juízes especialistas, constituindo uma etapa da validação interna (Coy & Dixon, 2004); e o
modelo de maturidade foi testado empiricamente por meio de estudo de casos múltiplos, em
três organizações governamentais brasileiras responsáveis por políticas públicas para a
agricultura. A estrutura de controle interno da Companhia Nacional de Abastecimento foi
avaliada no nível de maturidade (1) Inicial, enquanto as estruturas de controle interno do
Ministério da Agricultura, Pecuária e Abastecimento e do Instituto Nacional de Colonização e
Reforma Agrária, foram avaliadas no nível de maturidade (0) Incipiente. O modelo permitiu
identificar as deficiências de controle interno, orientando iniciativas de aprimoramento. Além
disso, a análise comparativa demonstrou a utilidade do modelo para estimular a melhoria
contínua das estruturas de controle interno das organizações governamentais, contribuindo
para a realização dos objetivos dessas organizações e a gestão dos recursos públicos em
benefício dos interesses dos cidadãos.

Palavras-chave: Modelo de Maturidade. Controle Interno. Administração Pública.

[Link] 1
1. Introdução
A necessidade de uma gestão pública cada vez mais eficiente, eficaz e transparente vem
despertando o interesse pela governança das organizações governamentais. Dentre as medidas
para a melhoria da gestão pública tem-se a adequação das estruturas de controles internos.
Nesse sentido, o Study 13 - Governance in the Public Sector (International Federation of
Accountants, 2001) recomendou o estabelecimento tais estruturas nesse tipo de organização,
além da avaliação periódica de sua eficácia.
O controle interno é definido como um processo integrado, realizado pela gerência e
funcionários de uma organização, desenhado para responder aos riscos e prover segurança
razoável de que a organização executará eficazmente suas operações, cumprirá suas
obrigações de accountability, cumprirá as leis e regulamentos a que está sujeita, e manterá
seus ativos protegidos de perda e mau uso, de modo a cumprir a sua missão (Intosai, 2004).
A avaliação de estruturas de controle interno pode ser feita com o auxílio de padrões,
modelos de referência e melhores práticas, dentre eles tem-se o COSO. O framework de
controle interno do COSO define os componentes e princípios que devem estar presentes e
funcionando para que o controle interno propicie razoável segurança de que os objetivos da
organização serão realizados e seus relatórios financeiros estarão livres de distorções
relevantes. Desse modo, este trabalho tem por objetivo avaliar as estruturas de controle
interno em organizações governamentais, por meio de instrumento que incorpora a
noção de evolução das capacidades do processo de controle interno em estágios,
conhecido como modelo de maturidade.
Um modelo de maturidade busca, por meio da estruturação de elementos comuns,
descrever as características desejáveis ou necessárias de um processo em diferentes estágios
de desenvolvimento. Consequentemente, esse modelo propicia o diagnóstico, o
aprimoramento e a comparação de processos que pretende avaliar (Pullen, 2007; Becker et al.,
2009; Pöppelbuß & Röglinger, 2011). Assim sendo, este trabalho é relevante à medida que
propõe e valida um modelo de maturidade que pode auxiliar as organizações governamentais
a compreenderem as capacidades atuais de sua estrutura de controle interno, auxiliando o
gestor público em iniciativas para sua implementação, avaliação e aprimoramento. Além
disso, o modelo pode auxiliar instâncias de supervisão e controle da administração pública,
que poderão estimular a melhoria contínua das estruturas de controles internos das
organizações governamentais por meio do benchmarking.
O desenvolvimento de um modelo de maturidade para a avaliação do controle interno
de entidades do setor governamental é útil e oportuno, especialmente no atual contexto do
Estado brasileiro, que necessita reduzir gastos, tornar-se mais eficiente e eficaz, desestimular
a corrupção e o desvio de recursos públicos e adotar uma gestão mais transparente e alinhada
aos interesses dos cidadãos.
2. Proposta e Construção do Modelo de Maturidade
2.1. Modelos de Maturidade
Um modelo de maturidade pode ser definido como uma sequência de níveis de
maturidade distintos que representa um caminho de evolução antecipado, desejado ou típico
de uma classe de objetos (Becker et al., 2009), oferecendo às organizações um instrumento
simples e eficaz para avaliar a qualidade de seus processos (Wendler, 2012). Os modelos de
maturidade podem se referir a diferentes classes de objetos, sistemas sociais ou objetos
específicos do domínio de aplicação (Pöppelbuß & Röglinger, 2011).
Modelos de maturidade podem ter propósito descritivo, sendo utilizados como
ferramenta de diagnóstico, para análise do estado atual das capacidades dos objetos avaliados,
com base em critérios determinados. Os modelos podem ter propósito prescritivo, quando

[Link] 2
permitem a identificação das providências de melhoria necessárias para a obtenção de um
nível de maturidade desejado. Finalmente, podem ter propósito comparativo, quando
possibilitam a realização de benchmarking interno e externo (Pöppelbuß & Röglinger, 2011).
De Bruin et al. (2005) entendem que os diferentes propósitos podem funcionar como
fases evolucionárias dos modelos de maturidade. Nesse sentido, inicialmente o modelo é
descritivo, auxiliando na obtenção de um entendimento mais profundo a respeito da realidade
do seu domínio de aplicação. Esse modelo evolui para ser prescritivo somente quando a
realidade é conhecida e melhorias substanciais e repetíveis podem ser feitas. O modelo de
maturidade poderá ser usado comparativamente quando aplicado num espectro abrangente de
organizações, obtendo dados suficientes para a comparação válida.
2.2. Dimensões, Subdimensões e Variáveis
Wendler (2012) afirma que, apesar das diferenças na estrutura, todo modelo de
maturidade deve ter dois componentes para atender ao seu propósito: um conjunto de níveis
ou estágios, sequenciais e hierárquicos, que descrevem a evolução de um objeto de maneira
simplificada; e as dimensões ou capacidades, que são os objetos mensurados. Fraser et al.
(2002) identificam os seguintes componentes na estrutura de um modelo de maturidade:
níveis; descritores; descrições para cada nível; dimensões; áreas de processo; atividades para
cada área de processo; e uma descrição para cada atividade conforme realizada em cada nível
de maturidade.
Wendler (2012) define dimensões como as condições, processos, aplicações, unidades
organizacionais, domínios de problema e outros, que são os objetos mensurados pelos
modelos de maturidade. Nesse sentido, os modelos podem ser unidimensionais ou
multidimensionais, embora a maior parte dos modelos seja multidimensional. Maier et al.
(2012) utilizam o termo process areas (áreas de processo) para designar as dimensões. Os
autores acrescentam que a seleção das áreas de processo é um dos aspectos mais difíceis da
elaboração de um modelo de maturidade; que o ideal é estabelecer áreas de processo que
sejam mutuamente excludentes e coletivamente exaustivas; e que uma avaliação eficaz deve
ser baseada num framework conceitual subjacente, elaborado a partir de princípios de
melhores práticas.
De Bruin et al. (2005) afirmam que a abordagem unidimensional, apesar de sua ampla
aceitação, não representa adequadamente a maturidade em domínios complexos, porque tal
forma de avaliação resulta numa “avaliação média” da maturidade que provê pouca
orientação para organizações que desejam melhorar sua posição. Nesse caso, os autores
sugerem a utilização de uma abordagem stage-gate, pela divisão dos domínios em
componentes (aspectos principais e independentes de um domínio, refletidos nas definições
gerais dos níveis de maturidade e que permitem o agrupamento dos resultados para a
audiência do modelo) e subcomponentes (áreas de capacidade específicas dentro dos
componentes, que proveem maior detalhamento, permitindo o direcionamento de melhorias
no nível de maturidade). A divisão dos domínios em camadas adicionais permite a avaliação
de um conjunto de áreas distintas, auxilia as organizações a obter entendimento mais
profundo de suas forças e fraquezas no domínio, para direcionar estratégias específicas de
melhoria, permitindo melhor alocação de recursos.
Adotando as orientações de Wendler (2012), Maier et al. (2012) e De Bruin et al.
(2005), as dimensões do modelo de maturidade foram definidas conforme as áreas do
processo de controle interno, consubstanciadas nos componentes do framework COSO I: 1.
Ambiente de Controle; 2. Avaliação de Riscos; 3. Atividades de Controle; 4. Informação e
Comunicação; e 5. Monitoramento (COSO, 2013a). As dimensões do modelo foram divididas
em subdimensões, a partir dos dezessete princípios do framework COSO, para destacar áreas

[Link] 3
de capacidade que podem ser analisadas de maneira específica e direcionar esforços de
melhoria das estruturas de controle interno.
As subdimensões, por sua vez, são compostas por conjuntos de variáveis, definidas
conforme as boas práticas de controle interno apresentadas no Compêndio de Abordagens e
Exemplos de Controle Interno sobre os Relatórios Financeiros (COSO, 2013b) e na
Ferramenta de Avaliação e Gerenciamento de Controle Interno (GAO, 2001), além do próprio
framework COSO I e do Green Book do GAO.
2.3. Níveis de Maturidade
Maier et al. (2012) afirmam que a seleção de uma escala de níveis de maturidade
depende de uma declaração explícita da lógica subjacente à evolução, o que significa escolher
um ponto de alavancagem para a mudança organizacional (a estrutura organizacional, os
processos, as pessoas, os produtos). Os autores identificam diversas possibilidades para essa
lógica subjacente, destacando: a existência e aderência a um processo estruturado (ex.
infraestrutura, transparência e formalidade); a alteração da estrutura organizacional (políticas
e funções de trabalho); ênfase nas pessoas (habilidades, treinamento e construção de
relacionamentos); ênfase no aprendizado (consciência, mentalidade e atitude); ou uma
combinação desses critérios. Os níveis precisam ser bem definidos, claramente distintos e
demonstrar uma progressão lógica, de modo a facilitar a interpretação dos resultados (Maier
et al., p. 150).
De Bruin et al. (2005) afirmam que a prática de representar os níveis de maturidade
como um número de estágios cumulativos, em que os requisitos de estágios superiores se
acumulam aos requisitos estágios inferiores. Para tanto, os autores entendem que os estágios
devem receber rótulos curtos que indiquem o significado do estágio, e que os rótulos devem
ter uma descrição, sintetizando os principais requisitos e medidas do estágio, especialmente
naqueles aspectos que estabelecem a diferença em relação aos estágios inferiores.
Analisando a definição de controle interno segundo o COSO (2013a), observa-se que a
lógica subjacente à evolução abrange diferentes pontos de alavancagem da mudança,
incluindo: a estrutura organizacional; as políticas, processos e procedimentos; e as pessoas.
Assim, considerando a complexidade do domínio do modelo de maturidade pretendido e a
noção ainda incipiente do estudo da evolução da maturidade das variáveis identificadas e boas
práticas de controles internos relacionadas, optou-se por utilizar uma escala com quatro níveis
de maturidade, representando estágios de um processo de implantação de uma estrutura de
controle interno nas entidades, com os seguintes descritores: (0) Incipiente; (1) Inicial; (2) Em
Formação; e (3) Estabelecido.
2.4. Critérios de Enquadramento e Avaliação do Modelo de Maturidade por Juízes
(Especialistas)
Após a definição dos níveis de maturidade, foram elaborados os critérios de
enquadramento de cada nível de maturidade, dentro das variáveis da proposta. Assim como as
variáveis, os critérios de enquadramento foram elaborados a partir das boas práticas de
controle interno do COSO (2013a, 2013b) e do GAO (2001; 2014). Conforme o objeto
avaliado em cada variável, os critérios de enquadramento propõem uma lógica evolutiva em
termos de complexidade, abrangência, detalhamento, integração, periodicidade ou
automatização.
Desse modo, uma vez elaborada a proposta inicial de modelo de maturidade, esta foi
submetida à avaliação de juízes (especialistas), com o objetivo de obter contribuições para o
aperfeiçoamento da clareza e pertinência das variáveis e dos critérios de enquadramento em
cada nível de maturidade. Coy e Dixon (2004) entendem que a avaliação de juízes é
necessária para assegurar a compreensibilidade dos itens que compõem um constructo,
permitindo sua validação interna e testes em momento posterior.
[Link] 4
 Considerando a extensão da matriz de maturidade, optou-se pela divisão em nove
questionários de avaliação, de modo a evitar excessivo esforço de resposta por parte dos
juízes e a possibilitar um melhor aproveitamento de seus conhecimentos. Os juízes analisaram
a clareza dos critérios das variáveis (se os termos escolhidos para a redação dos critérios são
compreensíveis e se o padrão evolutivo estabelecido pelos critérios foi adequado) e a
pertinência das variáveis (se a variável se relaciona com o componente da estrutura de
controles internos e é característica de entidades do setor governamental). Os questionários
utilizaram uma escala tipo Likert, de cinco pontos, para a atribuição de pontuação aos quesitos
avaliados. O quadro de juízes foi integrado por auditores da Entidade de Fiscalização Superior
da administração pública brasileira (Tribunal de Contas da União), com conhecimento e
experiência em controles internos e domínios de conhecimento conexos, identificados no
currículo dos juízes, conforme cadastro no sistema de gestão de competências do TCU.
Tabela 1 – Avaliação de Juízes
Questionário / Média da Avaliação
Escopo (Dimensão / Subdimensão) Variável
Qtde. Juízes Clareza Pertinência
D1 - Ambiente de Controle 1.1.1 4,5 5
S1.1 – Comprometimento com Integridade e Valores 1.1.2 4 3,5
Q1
Éticos 1.1.3 4 5
Juízes: 2
1.2.1 4,5 5
S1.2 – Independência e Competência do Corpo Diretivo
1.2.2 3 4,5
S1.3 – Autoridades e Responsabilidades de Controle 1.3.1 4 4,5
Q2 Interno 1.3.2 3 5
Juízes: 2 S1.4 – Atração, Desenvolvimento e Retenção de
1.4.1 4 5
Indivíduos Competentes
1.5.1 5 3,5
1.5.2 5 3,5
Q3
S1.5 – Responsabilização pelo Desempenho 1.5.3 4 4,5
Juízes: 3
1.5.4 4,5 3,5
1.5.5 5 4
2.1.1 3,33 5
2.1.2 3,33 5
Q4 D2 - Avaliação de Riscos
2.1.3 3 5
Juízes: 3 S2.1 – Especificação de Objetivos
2.1.4 3,67 5
2.1.5 4 5
2.2.1 4,5 5
Q5 2.2.2 4 4,5
S2.2 – Identificação, Análise e Resposta aos Riscos
Juízes: 4 2.2.3 3,5 4,5
2.2.4 4 4,5
3.1.1 3,8 4,8
D3 - Atividades de Controle 3.1.2 3,6 4,4
Q6
S3.1 – Projeto de Controles para Mitigação de Riscos 3.1.3 5 5
Juízes: 5
3.1.4 4,2 4,4
S3.2 – Políticas para a Implantação de Controles 3.2.1 3,8 4,8
3.3.1 2,6 3,8
Q7
S3.3 – Projeto de Controles sobre a Tecnologia 3.3.2 3,6 4,8
Juízes: 5
3.3.3 3,4 4,2
D4 - Informação e Comunicação
Q8 4.1.1 2,5 3
S4.1 – Processos de Informação da Entidade
Juízes: 2
S4.2 – Processos de Comunicação da Entidade 4.2.1 3 3
continua página seguinte

[Link] 5
continuação: Tabela 1 - Avaliação de Juízes
D5 - Monitoramento 5.1.1 3 5
S5.1 – Atividades de Monitoramento da Estrutura de
Q9 5.1.2 5 5
Controle Interno
Juízes: 2
S5.2 – Avaliação e Comunicação de Deficiências de
5.2.1 4 4,5
Controle Interno
Fonte: Dados da pesquisa (2016).
Além da pontuação aos quesitos de clareza e pertinência, os juízes puderam realizar
comentários para esclarecer a pontuação atribuída e oferecer outras contribuições. As críticas
e sugestões de cada juiz foram incorporadas ao modelo de maturidade conforme o
ajustamento aos fundamentos teóricos à variável relacionada, constituindo-se uma das etapas
da validação interna do modelo de maturidade proposto.
2.5. Aplicação do Modelo de Maturidade por meio Estudos de Caso Múltiplos
Para Ollaik e Ziller (2012, p.238) a validação de pesquisas de natureza qualitativa pode
ser aferida, dentre outros aspectos, à medida que os resultados contribuem a "descrever,
compreender e extrapolar para situações reais”. Adicionalmente, verificar se é possível aplicar
o instrumento qualitativo a diferentes objetos de estudo, isto é, se o mesmo é replicável de
modo a se obter resultados semelhantes em razão de sua confiabilidade (Minayo, 2009).
Nesse sentido foi realizado um estudo de casos múltiplos (Yin, 2010) nas seguintes
entidades: Ministério da Agricultura, Pecuária e Abastecimento - MAPA, no Instituto
Nacional de Colonização e Reforma Agrária – Incra e na Companhia Nacional de
Abastecimento – Conab. Trata-se de entidades responsáveis por políticas públicas para o setor
agricultura, que é estratégico para o Brasil por diversas razões: 1) participação no PIB
brasileiro, em média de 24% (USP, 2016); 2) o agronegócio correspondeu a 40% das
exportações brasileiras no período de 1989 a 2015, em média (MAPA, 2016); 3) participação
relevante na matriz energética brasileira (MME, 2015).
A seleção procurou testar o modelo de maturidade em entidades com diferentes funções
na Administração Pública, diferentes estruturas organizacionais e de governança. O MAPA é
pasta ministerial, órgão público integrante da administração direta; o Incra é autarquia,
integrante da administração indireta; e a Conab é empresa pública, também integrante da
administração indireta. O estudo de casos múltiplos permitiu ainda testar a funcionalidade
comparativa do modelo de maturidade, que é a base para um mecanismo de estímulo à
melhoria das estruturas de controle interno das organizações governamentais.
Os estudos de caso foram realizados por procedimentos de análise documental (Bardin,
2011). A análise teve o objetivo de identificar nas normas, planos, políticas, processos e
procedimentos das organizações estudadas evidências que sustentassem o atendimento aos
critérios de enquadramento de cada variável, conforme a tipificação descrita na tabela a
seguir:
Tabela 1 – Tipificação do atendimento aos critérios de enquadramento das variáveis do modelo de
maturidade
Juízo Características
As evidências encontradas na análise documental foram consideradas suficientes para afirmar que a
Sim
estrutura de controle interno da entidade analisada atende integralmente ao critério definido.
A análise documental identificou evidências de que a estrutura de controle interno da entidade
analisada atende apenas a parte dos elementos do critério definido, ou identificou indícios de
Parcial
atendimento ao critério, porém insuficientes para afirmar que o critério definido seja atendido
integralmente.
A análise documental não identificou evidências de que a estrutura de controle interno da entidade
Não analisada atenda ao critério definido, ou identificou evidências suficientes para afirmar que a estrutura
de controle interno da entidade analisada não atende ao critério definido.
Fonte: Elaborado pelos autores.

[Link] 6
 A avaliação final quanto à maturidade da estrutura de controle interno das entidades
levou em consideração a média dos percentuais atribuídos às variáveis em cada nível de
maturidade e a lógica implícita aos modelos de maturidade, segundo a qual o alcance de
determinado estágio depende do cumprimento dos requisitos dos estágios anteriores. O
esquema apresentado na tabela a seguir esclarece a lógica aplicada para a avaliação final:
Tabela 3 – Lógica de avaliação do nível de maturidade das estruturas de controle interno das entidades
Nível Características
A entidade é classificada no nível de maturidade (1) Inicial quando a média dos
(1) Inicial
percentuais das variáveis no nível de maturidade (1) for igual ou superior a 50%.
A entidade é classificada no nível de maturidade (2) Em Formação quando a média dos
(2) Em Formação
percentuais das variáveis nos níveis de maturidade (1) e (2) for igual ou superior a 50%.
A entidade é classificada no nível de maturidade (3) Estabelecido quando a média dos
(3) Estabelecido percentuais das variáveis nos níveis de maturidade (1), (2) e (3) for igual ou superior a
50%.
A entidade é classificada no nível de maturidade (0) Incipiente quando não for
(0) Incipiente
classificada em nenhum dos demais níveis de maturidade.
Fonte: Dados da pesquisa (2016).
2.6. Limitações
Os estudos de caso desta pesquisa foram realizados exclusivamente por meio de análise
documental, o que pode implicar em vieses no julgamento do nível de maturidade da estrutura
de controle interno das entidades analisadas, em razão de dois problemas: primeiro, porque é
possível que as estruturas organizacionais analisadas existam na prática, mas ainda não
tenham sido estabelecidas formalmente ou documentadas; segundo, porque é possível que as
estruturas organizacionais analisadas não estejam funcionando na prática, apesar de terem
sido estabelecidas formalmente ou documentadas.
3. Análise dos Resultados
O apêndice A apresenta a versão final da matriz para a avaliação da maturidade de
estruturas de controle interno em organizações governamentais, utilizada para a realização dos
estudos de caso.
A partir do atendimento aos critérios de enquadramento, foi atribuído o percentual das
variáveis em cada nível de maturidade. Nos níveis de maturidade (1) Inicial, (2) Em
Formação e (3) Estabelecido, a atribuição foi de 100% quando o critério foi integralmente
atendido (Sim), 50%, quando o critério foi parcialmente atendido (Parcial) e 0%, quando o
critério não foi atendido (Não).
Quanto ao nível de maturidade (0) Incipiente, a atribuição foi de 100% quando nenhum
dos critérios dos níveis (1), (2) ou (3) foi atendido, e de 0% quando qualquer um dos critérios
dos níveis (1), (2) ou (3) foi atendido, mesmo que parcialmente.
Desse modo, busca-se, pela média dos percentuais atribuídos às variáveis, avaliar o
nível de maturidade da estrutura de controles internos das organizações ora analisadas. Os
resultados dos estudos de caso são apresentados a seguir, considerando as dimensões do
modelo de maturidade.
3.1. Dimensão 1 – Ambiente de Controle
O componente Ambiente de Controle abrange a integridade e os valores éticos da
organização, os parâmetros que permitem ao corpo diretivo cumprir com suas
responsabilidades de supervisão, a estrutura organizacional e a delegação de autoridade e
responsabilidade (COSO, 2013). O nível de maturidade das organizações estudadas na
dimensão 1 é analisado a seguir:
Tabela 4 – Percentuais atribuídos às variáveis da Dimensão 1 – Ambiente de Controle
MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
1.1.1 100% 0% 0% 0% 100% 0% 0% 0% 0% 100% 50% 0%

[Link] 7
 MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
1.1.2 0% 100% 100% 0% 100% 0% 0% 0% 100% 0% 0% 0%
1.1.3 0% 50% 100% 0% 0% 50% 100% 0% 0% 100% 0% 0%
1.2.1 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
1.2.2 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
1.3.1 0% 100% 100% 0% 0% 100% 100% 0% 0% 100% 100% 100%
1.3.2 100% 0% 0% 0% 100% 0% 0% 0% 0% 100% 100% 100%
1.4.1 0% 100% 100% 100% 0% 100% 100% 100% 0% 100% 100% 100%
1.5.1 0% 100% 100% 100% 0% 100% 100% 100% 0% 100% 0% 100%
1.5.2 0% 100% 50% 0% 0% 100% 50% 0% 0% 100% 0% 0%
1.5.3 0% 100% 100% 100% 0% 100% 100% 100% 100% 0% 0% 0%
1.5.4 0% 100% 100% 50% 0% 0% 100% 50% 0% 100% 0% 50%
1.5.5 0% 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0%
Média 30,8% 65,4% 57,7% 26,9% 38,5% 50% 50% 26,9% 30,8% 69,2% 26,9% 34,6%
Nível (2) Em Formação (2) Em Formação (1) Inicial
Fonte: Dados da pesquisa (2016).
Nessa dimensão, o MAPA e o Incra alcançaram o nível de maturidade (2) Em
Formação, em razão das características de suas estruturas para a disseminação e avaliação da
gestão da ética, além das características do seu processo de avaliação de desempenho. A
Conab obteve o nível de maturidade (1) Inicial, destacando-se a ausência de mecanismos
disseminação de padrões de ética e a ausência de políticas de due diligence e requisitos de
competência para os membros do corpo diretivo.
3.2. Dimensão 2 – Avaliação de Riscos
O componente Avaliação de Riscos é entendido como o processo dinâmico e interativo
efetuado para identificar e avaliar os riscos para a concretização dos objetivos da organização
(COSO, 2013). O nível de maturidade das organizações estudadas na dimensão 2 é analisado
a seguir:
Tabela 5 – Percentuais atribuídos às variáveis da Dimensão 2 – Avaliação de Riscos
MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
2.1.1 0% 100% 50% 50% 0% 100% 0% 0% 0% 100% 50% 0%
2.1.2 0 % 100 % 50 % 50 % 0 % 100 % 50 % 50 % 0 % 100 % 0% 0%
2.1.3 0 % 100 % 0 % 0 % 0 % 100 % 0 % 0 % 0 % 100 % 0% 0%
2.1.4 0 % 100 % 0 % 0 % 0 % 100 % 0 % 0 % 0 % 100 % 0% 0%
2.1.5 0 % 50 % 50 % 0 % 0 % 100 % 100 % 0 % 0 % 50 % 50 % 0%
2.2.1 100 % 0 % 0 % 0 % 100 % 0 % 0 % 0 % 0 % 100 % 0 % 0%
2.2.2 100 % 0 % 0 % 0 % 100 % 0 % 0 % 0 % 0 % 0 % 100 % 0%
2.2.3 100 % 0 % 0 % 0 % 100 % 0 % 0 % 0 % 0 % 100 % 0 % 0%
2.2.4 100 % 0 % 0 % 0 % 100 % 0 % 0 % 0 % 0 % 50 % 0 % 0%
Média 44,4% 50,0% 16,7% 11,1% 44,4% 55,6% 16,7% 5,6% 0,0% 77,8% 22,2% 0,0%
Nível (1) Inicial (1) Inicial (1) Inicial
Fonte: Dados da pesquisa (2016).
Nessa dimensão todas as organizações obtiveram o nível de maturidade (1) Inicial,
destacando-se: a ausência de processos formais para o estabelecimento de objetivos; a
ausência ou falta de clareza dos objetivos das unidades, departamentos e processos e
atividades relevantes para a realização dos objetivos da entidade; a falta de coesão entre os
objetivos estratégicos da entidade e os objetivos operacionais, de comunicação e de
conformidade; e a falta de identificação dos riscos significativos para a entidade em razão da
ausência de participantes com conhecimento, experiência e objetividade no processo de
avaliação de riscos.
3.3. Dimensão 3 – Atividades de Controle

[Link] 8
 O componente Atividades de Controle é caracterizado por um conjunto de ações,
estabelecidas por meio de políticas e procedimentos, que ajudam a garantir o cumprimento
das diretrizes da administração para responder aos riscos à realização dos objetivos da
organização (COSO, 2013). O nível de maturidade das organizações estudadas na dimensão 3
é analisado a seguir:
Tabela 6 – Percentuais atribuídos às variáveis da Dimensão 3 – Atividades de Controle
MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
3.1.1 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
3.1.2 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
3.1.3 0% 50% 50% 0% 0% 50% 50% 0% 0% 50% 50% 0%
3.1.4 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
3.2.1 0% 100% 0% 0% 0% 100% 0% 0% 0% 100% 100% 100%
3.3.1 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
3.3.2 0% 100% 0% 0% 0% 100% 0% 0% 0% 100% 50% 0%
3.3.3 0% 0% 50% 0% 100% 0% 0% 0% 100% 0% 0% 0%
Média 50,0% 31,3% 12,5% 0,0% 62,5% 31,3% 6,3% 0,0% 62,5% 31,3% 25,0% 12,5%
Nível (0) Incipiente (0) Incipiente (0) Incipiente
Fonte: Dados da pesquisa (2016).
Nessa dimensão todas as organizações obtiveram o nível de maturidade (0) Incipiente,
destacando-se: a incipiência das políticas e procedimentos para a implantação de atividades de
controle; a ausência de segregação de funções para os processos, políticas e procedimentos
relevantes para a realização dos objetivos da entidade; e a incipiência dos processos de
aquisição, desenvolvimento e manutenção de tecnologia da informação.
3.4. Dimensão 4 – Informação e Comunicação
O componente Informação e Comunicação é caracterizado pela produção, obtenção e
compartilhamento de informações relevantes e de qualidade, a partir de fontes internas e
externas, de maneira contínua e interativa, para apoiar o funcionamento do controle interno
(COSO, 2013). O nível de maturidade das organizações estudadas na dimensão 4 é analisado
a seguir:
Tabela 7 – Percentuais atribuídos às variáveis da Dimensão 4 – Informação e Comunicação
MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
4.1.1 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
4.2.1 100% 0% 0% 0% 100% 0% 0% 0% 0% 50% 0% 0%
Média 100,0% 0,0% 0,0% 0,0% 100,0% 0,0% 0,0% 0,0% 50,0% 25,0% 0,0% 0,0%
Nível (0) Incipiente (0) Incipiente (0) Incipiente
Fonte: Dados da pesquisa (2016).
Nessa dimensão todas as organizações obtiveram o nível de maturidade (0) Incipiente,
destacando-se a ausência de conhecimento das informações necessárias a realização da
atividade de controle e a ausência de processos estruturados para comunicar as informações
necessárias ao funcionamento dos controles internos às partes interessadas de maneira
tempestiva.
3.5. Dimensão 5 – Monitoramento
O componente Monitoramento é caracterizado pela realização de avaliações contínuas e
avaliações avulsas para verificar se cada um dos cinco componentes de controle interno está
presente e em funcionamento (COSO, 2013). O nível de maturidade das organizações
estudadas na dimensão 5 é analisado a seguir:
Tabela 8 – Percentuais atribuídos às variáveis da Dimensão 5 - Monitoramento
MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
5.1.1 100% 0% 0% 0% 100% 0% 0% 0% 100% 0% 0% 0%
5.1.2 0% 0% 0% 50% 0% 0% 50% 50% 0% 0% 100% 50%
[Link] 9
 MAPA Incra Conab
Var.
(0) (1) (2) (3) (0) (1) (2) (3) (0) (1) (2) (3)
5.2.1 100% 0% 0% 0% 0% 0% 50% 50% 0% 50% 100% 0%
Média 66,7% 0,0% 0,0% 16,7% 33,3% 0,0% 33,3% 33,3% 33,3% 16,7% 66,7% 16,7%
Nível (0) Incipiente (0) Incipiente (0) Incipiente
Fonte: Dados da pesquisa (2016).
Nessa dimensão todas as organizações obtiveram um nível de maturidade (0) Incipiente,
por não disporem de processos estruturados para a comunicação de problemas identificados
nas atividades de monitoramento aos indivíduos que possuem a autoridade e competência
adequada para solucioná-los, nem de processos estruturados para a implantação das correções
para os problemas identificados nas atividades de monitoramento e para a avaliação posterior
dos resultados dessas ações corretivas.
3.6. Maturidade da Estrutura de Controle Interno
A seguir é apresentada a classificação final do nível de maturidade das organizações
analisadas, considerando o resultado obtido em todas as variáveis do modelo:
Tabela 9 – Nível de Maturidade da Estrutura de Controle Interno das Organizações Estudadas
Níveis de Maturidade Intermediários
Entidade Nível de Maturidade
(0) (1) (2) (3)
MAPA 45,7% 44,3% 28,6% 14,3% (0) Incipiente
INCRA 48,6% 40,0% 27,1% 14,3% (0) Incipiente
CONAB 31,4% 55,7% 27,1% 17,1% (1) Inicial
Fonte: Dados da pesquisa (2016).
Os procedimentos de avaliação conferiram às estruturas de controle interno do MAPA e
do Incra o nível de maturidade (0) Incipiente, enquanto a Conab atendeu a critérios suficientes
para classificação no nível de maturidade (1) Inicial. Não obstante o destaque obtido pela
Conab, entende-se que o resultado final demonstrou o baixo nível de implementação de
estruturas de controle interno nas três organizações, com tendências no que tange ao nível de
maturidade muito próximas.
4. Considerações Finais
A aplicação do modelo de maturidade desenvolvido neste trabalho permitiu a avaliação
e a comparação das capacidades do controle interno de diferentes entidades da administração
pública. Foram identificados pontos de relevantes de melhoria em tais estruturas. Além disso,
a comparação possibilitada pelo modelo de maturidade pode apoiar iniciativas que estimulem
o aprimoramento contínuo das estruturas de controle interno, contribuindo para que as
organizações governamentais tenham segurança razoável da realização de seus objetivos e da
fidedignidade de suas informações, e maior alinhamento entre os interesses da sociedade e as
ações para a sua concretização por parte das organizações governamentais e políticas
públicas.
A partir dos resultados produzidos pelo modelo de maturidade foi possível apontar
diversos aspectos que necessitam de avanços, sob pena de exposição a riscos para as
organizações ora analisadas. De início, apesar de todas as entidades possuírem objetivos
estratégicos definidos, a implantação de seus planos estratégicos é incipiente. Não há
definição clara dos objetivos das unidades, departamentos e processos organizacionais; a
ausência de definição de objetivos operacionais, de relatórios e de conformidade dificulta a
avaliação de riscos; a ausência da avaliação de riscos pode desordenar a elaboração dos
controles internos. Além disso, a ausência de um sistema de informação e comunicação e a
incipiência do sistema de monitoramento podem resultar no mau funcionamento dos controles
internos. Nesse contexto, os riscos a que as entidades estão expostas podem ficar sem
resposta, prejudicando a realização de seus objetivos; os gestores têm mais oportunidades de
utilizar recursos públicos em desacordo com os interesses dos cidadãos.

[Link] 10
 A principal contribuição acadêmica do trabalho foi o desenvolvimento e validação de
um modelo de maturidade, fundamentado no framework de controle interno do COSO e
padrões do GAO, que pode ser utilizado para a avaliação da maturidade de estruturas de
controle interno em organizações governamentais. Possíveis desdobramentos deste trabalho
podem incluir: a incorporação de novas práticas, conforme a evolução dos diversos domínios
de conhecimento que compõem as estruturas de controle interno; e o aprimoramento da
estrutura do modelo de maturidade, dispondo-se as dimensões, subdimensões, variáveis e
níveis de maturidade de modo a aumentar o potencial de suas funcionalidades de diagnóstico,
prescrição e comparação.
Referências
Bardin, L. (2011). Análise de Conteúdo. São Paulo: Edições 70.
Becker, J., Knackstedt, R., & Pöppelbuß, D. W. I. J. (2009). Developing maturity models for
IT management. Business & Information Systems Engineering, 1(3), 213-222.
Committe of Sponsoring Organizations of the Treadway Commission. (2013a). COSO
Internal Control — Integrated Framework: Framework and Appendices.
Committe of Sponsoring Organizations of the Treadway Commission. (2013b). COSO
Internal Control — Integrated Framework: Internal Control over External Financial
Reporting: A Compendium of Approaches and Examples.
Conill, E. M., Mendonça, M. H., Silva, R. A. P. R. D., & Gawryszewski, V. (1991).
Organização dos serviços de saúde: a comparação como contribuição. Cadernos de
Saúde Pública, 7(3), 328-346.
Coy, D., & Dixon, K. (2004). The public accountability index: crafting a parametric
disclosure index for annual reports. The British Accounting Review, 36(1), 79-106.
Crosby, P. B. (1979). Quality is free: The art of marketing quality certain. New York: New
American Library.
De Bruin, T., Freeze, R., Kaulkarni, U., & Rosemann, M. (2005). Understanding the main
phases of developing a maturity assessment model.
Fraser, P., Moultrie, J., & Gregory, M. (2002). The use of maturity models/grids as a tool in
assessing product development capability. In Engineering Management Conference,
2002. IEMC'02. 2002 IEEE International (Vol. 1, pp. 244-249). IEEE.
Greiner, L. E. (1972). Evolution and revolution as organizations grow. Harvard business
review, 76(3), 55-60.
International Federation of Accountants. (2001). Study 13 - Governance in the Public Sector:
A Governing Body Perspective. Recuperado em 1º de julho, 2015, de
[Link]
International Organisation of Supreme Audit Institutions. (2004). Intosai GOV 9100.
Guidelines for Internal Controls Standards for the Public Sector. Recuperado em 1º de
julho, 2015, de [Link]
Maier, A. M., Moultrie, J., & Clarkson, P. J. (2012). Assessing organizational capabilities:
reviewing and guiding the development of maturity grids. IEEE Transactions on
Engineering Management, 59(1), 138-159.
Minayo, M. C. de S. (2009). Construção de indicadores qualitativos para avaliação de
mudanças. Revista Brasileira de Educação Médica, 33(1 Supl 1), 83-91.
[Link] 11
Ministério da Agricultura, Pecuária e Abastecimento. (2016). AGROSTAT – Estatísticas de
Comercio Exterior do Agronegócio Brasileiro. Recuperado em 1º de abril, 2016, de
[Link]
comercial.
Ministério de Minas e Energia. (2015). Resenha Energética Brasileira: Exercício de 2014.
Jun. 2015. Recuperado em 1º de abril, 2016, de
[Link]
+Brasil+[Link]/4e6b9a34-6b2e-48fa-9ef8-dc7008470bf2.
Ollaik, L. G., & Ziller, H. M. (2012). Concepções de validade em pesquisas qualitativas.
Educação e Pesquisa, 38(1), 229-241.
Pöppelbuß, J., & Röglinger, M. (2011). What makes a useful maturity model? a framework of
general design principles for maturity models and its demonstration in business process
management. In ECIS.
Pullen, W. (2007). A public sector HPT maturity model. Performance Improvement, 46(4), 9-
15.
United States General Accounting Office. (2001). Internal Control Management and
Evaluation Tool. Recuperado em 1º de julho, 2015, de
[Link]
United States General Accounting Office. (2014). Standards for Internal Control in the
Federal Government (The Green Book). Recuperado em 1º de julho, 2015, de
[Link]
Universidade de São Paulo. (2016). PIB do Agronegócio. Recuperado em 1º de abril, 2016, de
[Link]
Wendler, R. (2012). The maturity of maturity model research: A systematic mapping study.
Information and software technology, 54(12), 1317-1339.
Yin, R. K. (2010). Estudo de caso: planejamento e métodos. 4ª ed. Tradução de Ana Thorell;
revisão técnica de Cláudio Damacena. Porto Alegre: Bookman.

[Link] 12
 APÊNDICE A – PROPOSTA DE MODELO DE MATURIDADE
DIMENSÃO 1 – AMBIENTE DE CONTROLE
SUBDIMENSÃO 1.1 – COMPROMETIMENTO COM INTEGRIDADE E VALORES ÉTICOS (Princípio COSO 1)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de padrões de conduta A entidade possui padrões de Padrões de conduta da entidade Padrões de conduta da entidade
próprios da entidade. conduta próprios, com incluem disposições específicas incluem disposições específicas
disposições gerais, aplicáveis a para gerentes, indivíduos do para terceiros (fornecedores de
1.1.1. Destinatários dos
todos os empregados. corpo diretivo e empregados de produtos e serviços e empregados
Padrões de Conduta
funções relevantes para a terceirizados que atuam em nome
realização dos objetivos da da entidade), exigidas
entidade. contratualmente ou por SLA.
Ausência de ações de A entidade realiza ações de As ações de disseminação dos As ações de disseminação dos
disseminação dos padrões de disseminação dos padrões de padrões de conduta da entidade e padrões de conduta e temas
1.1.2. Disseminação dos conduta e temas ligados a ética e conduta e temas ligados a ética e temas ligados a ética e valores ligados a ética e valores incluem a
Padrões de Conduta, valores na entidade. valores. são programadas e incluem sensibilização de terceirizados e
Ética e Valores treinamento presencial e ações de parceiros.
sensibilização à distância por
múltiplos canais de comunicação.
Ausência de estrutura A entidade instituiu Comissão de A Comissão de Ética da entidade Política de entidade determina a
1.1.3. Estrutura
organizacional para avaliação da Ética e avalia a gestão da ética realiza a apuração dos desvios realização periódica de auditoria
Organizacional para
aderência aos padrões de conduta conforme processo coordenado conforme a Resolução CEP nº de ética, conduzida pela auditoria
Avaliação da
da entidade. pela Comissão de Ética Pública – 10/2008 e dispõe de canal de interna ou auditor independente.
Aderência aos Padrões
CEP, nos termos do Decreto nº comunicação para denúncias
de Conduta
6.029/2007. anônimas.
SUBDIMENSÃO 1.2 – INDEPENDÊNCIA E COMPETÊNCIA DO CORPO DIRETIVO (Princípio COSO 2)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de políticas de due Políticas da entidade estabelecem Políticas da entidade estabelecem Políticas da entidade estabelecem
diligence para os indivíduos do a realização de procedimentos de a realização periódica de que os procedimentos de due
1.2.1. Políticas de Due corpo diretivo da entidade. due diligence como parte do procedimentos de due diligence diligence sejam supervisionados
Diligence para o Corpo processo de seleção dos para a confirmação da por um comitê de nominação
Diretivo candidatos ao corpo diretivo. competência e independência dos independente ou firma de
membros do corpo diretivo. contratação e os resultados devem
ser divulgados.

[Link] 13
 Ausência de definição de Definição de requisitos gerais de Exigência de indivíduos com Exigência de que os integrantes
requisitos de competências para competências, exigidos de todos conhecimentos especializados no
do corpo diretivo cumpram um
1.2.2. Requisitos de
os integrantes do corpo diretivo os integrantes do corpo diretivo. corpo diretivo da entidade, deprograma de capacitação para
Competências do
da entidade. acordo com as necessidades de manutenção dos conhecimentos
Corpo Diretivo
supervisão. adequados para as
responsabilidades de supervisão.
SUBDIMENSÃO 1.3 – AUTORIDADES E RESPONSABILIDADES DE CONTROLE INTERNO (Princípio COSO 3)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de definição das Definição das autoridades e Definição das autoridades e Definição das autoridades e
autoridades e responsabilidades responsabilidades de controle responsabilidades de controle responsabilidades de controle
1.3.1. de controle interno na entidade. interno para a alta gerência e a interno para os gerentes das interno para os empregados das
Responsabilidades de auditoria interna da entidade. divisões, unidades operacionais e divisões, unidades operacionais e
Controle Interno na funções de suporte relevantes funções de suporte, e prestadores
Organização para a realização dos objetivos da de serviços terceirizados
entidade. relevantes para a realização dos
objetivos da entidade.
Ausência de definição dos Definição de requisitos gerais de Definição de requisitos de Definição de requisitos de
requisitos de competências na competências, exigíveis de todos competências específicos para competências específicos para a
entidade. os empregados da entidade e empregados e gerentes das alta gerência da entidade.
1.3.2. Requisitos de
prestadores de serviços divisões, unidades operacionais e
Competências na
terceirizados. funções de suporte relevantes
Organização
para a realização dos objetivos da
entidade, inclusive a auditoria
interna.
SUBDIMENSÃO 1.4 – ATRAÇÃO, DESENVOLVIMENTO E RETENÇÃO DE INDIVÍDUOS COMPETENTES (Princípio COSO 4)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de programa de A entidade possui um programa O programa de desenvolvimento O programa de desenvolvimento
desenvolvimento de de desenvolvimento de de competências abrange as de competências da entidade
1.4.1. Programa de
competências para os empregados competências. funções e atividades relevantes inclui múltiplas técnicas de
Desenvolvimento de
da entidade. para a realização dos objetivos da entrega (ações instrucionais em
Competências
entidade. sala de aula, autoestudo e
treinamento no trabalho).
SUBDIMENSÃO 1.5 – RESPONSABILIZAÇAO PELO DESEMPENHO (Princípio COSO 5)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
1.5.1. Fatores da Ausência de definição dos fatores Avaliação da produtividade dos Avaliação da conduta ética dos Avaliação das competências dos
Avaliação de de avaliação de desempenho. empregados da entidade. empregados da entidade. empregados da entidade.
Desempenho

[Link] 14
1.5.2. Níveis Ausência de definição de níveis Avaliação de desempenho dos Avaliação de desempenho da alta Avaliação de desempenho da
Organizacionais da organizacionais na avaliação de empregados e gerência da gerência da entidade. direção executiva e corpo diretivo
Avaliação de desempenho. entidade. da entidade.
Desempenho
Ausência de definição de níveis Definição de metas de Definição de metas de Definição de metas de
1.5.3. Níveis
organizacionais nas metas de desempenho em nível de desempenho para as unidades e desempenho individuais, para
Organizacionais das
desempenho. entidade. subunidades organizacionais da cada empregado da entidade.
Metas de Desempenho
entidade.
Ausência de definição de Recompensas e sanções de Parcela variável da remuneração Promoção (evolução nos níveis
1.5.4. Recompensas e recompensas e sanções na caráter administrativo e dos empregados é afetada. da carreira) e movimentação
Sanções da Avaliação avaliação de desempenho. disciplinar. (inclusive remoção) levam em
de Desempenho consideração as avaliações de
desempenho do empregado.
1.5.5. Frequência da Ausência de definição da Avaliação de desempenho Avaliação de desempenho Avaliação de desempenho
Avaliação de frequência da avaliação de realizada anualmente. realizada semestralmente. realizada quadrimestralmente (ou
Desempenho desempenho. frequência maior).
DIMENSÃO 2: AVALIAÇÃO DE RISCOS
SUBDIMENSÃO 2.1 – ESPECIFICAÇÃO DE OBJETIVOS (Princípio COSO 6)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de processos para a Entidade possui objetivos Processo formalmente Processo de definição de
2.1.1. Processo de definição de objetivos. definidos de forma casuística, estabelecido para definição dos objetivos é realizado
Formulação de sem processo formalmente objetivos da entidade. periodicamente (mínimo de uma
Objetivos estabelecido. vez ao ano) para a reavaliação
dos objetivos da entidade.
2.1.2. Participantes do Ausência de definição dos Processo para a formulação de Processo para a formulação de Processo para a formulação de
Processo de participantes do processo de objetivos envolve apenas o corpo objetivos envolve ampla objetivos envolve ampla
Formulação de formulação de objetivos. diretivo e alta gerência da participação dos empregados da participação, inclusive de partes
Objetivos entidade. entidade. interessadas externas.
Ausência de definição de tipos de Os objetivos são definidos no Os objetivos são definidos até o Além dos objetivos operacionais,
objetivos. nível estratégico, mas não são nível operacional, a partir do também são definidos objetivos
2.1.3. Tipos de
desdobrados no nível desdobramento dos objetivos de conformidade e objetivos de
Objetivos
operacional. estratégicos. comunicação (relatórios internos
e externos).
Ausência de definição de níveis Definição apenas de objetivos Definição de objetivos para as Definição de objetivos para as
2.1.4. Níveis organizacionais nos objetivos. gerais, em nível de entidade. unidades e subunidades atividades dos processos
Organizacionais dos organizacionais, ou relevantes para a realização dos
Objetivos desdobramento dos objetivos objetivos da entidade.
gerais em objetivos específicos.

[Link] 15
 Ausência de mensuração dos Os objetivos da entidade são Os objetivos da entidade possuem Os objetivos da entidade possuem
2.1.5. Mensuração dos
objetivos da entidade. mensurados. metas associadas. cronograma e orçamento
Objetivos
definidos para a sua realização.
SUBDIMENSÃO 2.2 – IDENTIFICAÇÃO, ANÁLISE E RESPOSTA AOS RISCOS (Princípios COSO 7, 8 e 9)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de processo para a Entidade possui avaliação de Entidade possui processo Processo de avaliação de riscos é
2.2.1. Processo de avaliação de riscos. riscos realizada de forma formalmente estabelecido para a realizado periodicamente
Avaliação de Riscos casuística, sem processo avaliação de riscos. (mínimo de uma vez ao ano),
formalmente estabelecido. para a reavaliação dos riscos.
Ausência de definição dos O processo de avaliação de riscos O processo de avaliação de riscos O processo de avaliação de riscos
participantes do processo de tem a participação do corpo tem a participação da gerência e inclui benchmarking ou
2.2.2. Participantes da avaliação de riscos. diretivo e alta gerência da empregados, inclusive das participação de auditor ou
Avaliação de Riscos entidade. funções de suporte relevantes especialista externo à entidade.
para a realização dos objetivos da
entidade.
Ausência de definição dos fatores O processo de avaliação de riscos O processo de avaliação de riscos O processo de avaliação de riscos
que devem ser considerados na considera fatores internos e da entidade inclui mecanismos inclui o risco de fraude
avaliação de riscos. externos à entidade. para a antecipar a identificação, (incentivos e pressões,
2.2.3. Fatores análise e resposta a riscos oportunidades, atitudes e
Considerados na decorrentes de mudanças (no racionalizações, abordagens para
Avaliação de Riscos ambiente externo, nas políticas burlar controles).
públicas de responsabilidade da
entidade e na liderança da
entidade).
Ausência de definição de níveis Avaliação de riscos em nível de Avaliação de riscos levando em Avaliação de riscos em nível de
2.2.4. Níveis
organizacionais na avaliação de atividade, para os processos mais consideração as unidades e entidade.
Organizacionais da
riscos. relevantes para a realização dos subunidades organizacionais.
Avaliação de Riscos
objetivos da entidade.
DIMENSÃO 3: ATIVIDADES DE CONTROLE
SUBDIMENSÃO 3.1 – PROJETO DE CONTROLES PARA MITIGAÇÃO DE RISCOS (Princípio COSO 10)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de documentação das Elaboração de Matriz de Riscos e Documentação das atividades de Mapeamento dos processos
atividades de controle. Controles. controle, incluindo a relevantes para a realização dos
3.1.1. Documentação
infraestrutura de tecnologia que objetivos da entidade, em nível de
das Atividades de
provê suporte ao funcionamento atividade.
Controle
dos controles, seguindo modelos
padronizados pela entidade.

[Link] 16
 Ausência de diagnóstico dos Atividades de controle em nível Atividades de controle em nível Atividades de controle em nível
3.1.2. Níveis níveis organizacionais das de transações, para os processos de unidades e subunidades de entidade e controles para
Organizacionais das atividades de controle. relevantes para a realização dos organizacionais. terceiros que realizam funções
Atividades de Controle objetivos da entidade. relevantes para a realização dos
objetivos da entidade.
Ausência de processos para a Processos formalmente Processo formalmente Processo formalmente
3.1.3. Representação representação fidedigna da estabelecidos para a realização estabelecidos para a estabelecidos para a conciliação
Fidedigna da informação contábil-financeira. dos Procedimentos Contábeis conformidade contábil das entre os dados registrados no
Informação Contábil- Patrimoniais (MCASP Parte II). demonstrações financeiras. SIAFI e outros sistemas da
Financeira Administração Pública Federal
(SPIUNET, SIASG, RMB).
Ausência de diagnóstico da A entidade elabora matriz de A entidade identifica os Política da entidade determina a
segregação de funções nos controle de acesso e segregação processos, políticas e reavaliação periódica da matriz
processos, políticas e de funções (autorização, procedimentos relevantes para a de controle de acesso e
3.1.4. Segregação de procedimentos relevantes para aaprovação e verificação) para os realização dos objetivos que não segregação de funções.
Funções realização dos objetivos da processos, políticas e podem ter a segregação de
entidade. procedimentos relevantes para a funções adequada e elabora
realização dos objetivos da atividades de controle
entidade. alternativas.
SUBDIMENSÃO 3.2 – POLÍTICAS PARA A IMPLANTAÇÃO DE CONTROLES (Princípio COSO 12)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de políticas e A entidade elabora políticas e As políticas e procedimentos Política da entidade determina a
procedimentos para definir procedimentos para definir as especificam a tempestividade revisão periódica das políticas e
responsabilidades e orientar a responsabilidades e orientar a (frequência ou oportunidade) na procedimentos de controles da
3.2.1. Políticas e implantação dos controles da implantação dos controles dos execução dos controles, as ações entidade, ou sempre que forem
Procedimentos de entidade. processos relevantes para a corretivas caso sejam identificadas mudanças nas
Controle realização dos objetivos entidade. identificados problemas e o nível atividades, sistemas e processos
de competência e autoridade relevantes para a realização dos
necessária para a execução objetivos da entidade.
adequada.
SUBDIMENSÃO 3.3 – PROJETO DE CONTROLES SOBRE A TECNOLOGIA (Princípio COSO 11)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO

[Link] 17
 Ausência de diagnóstico do uso O uso de computação do usuário Gerência avalia os riscos As atividades de controle dos
de computação do usuário final final nos processos, políticas e decorrentes do uso de processos, políticas e
nos processos, políticas e procedimentos relevantes para a computação do usuário final nos procedimentos relevantes para a
procedimentos relevantes para a realização dos objetivos da processos, políticas e realização dos objetivos da
3.3.1. Uso da
realização dos objetivos da entidade e nas atividades de procedimentos relevantes para a entidade são automatizadas com o
Computação de
entidade. controle associadas é identificado realização dos objetivos da apoio de aplicativos, sistemas de
Usuário Final
e documentado. entidade e nas atividades de informações outros recursos de
controle associadas e elabora tecnologia.
controles adicionais conforme
necessário.
Ausência de políticas de A entidade possui políticas de A entidade possui política de A infraestrutura de TI que suporta
segurança de TI. segurança de TI formalmente controle de acesso à informação e os processos, políticas e
estabelecidas. aos recursos de TI formalmente procedimentos relevantes para a
3.3.2. Políticas de
estabelecida, consistente com as realização dos objetivos da
Segurança de TI
funções do trabalho e com a entidade possui plano de
segregação de funções. continuidade de serviços e plano
de recuperação de desastres.
Ausência de processos de Processos formalmente Entidade adota um ciclo de vida Fases e controles previstos no
gerenciamento de configuração e estabelecidos para o de desenvolvimento de sistemas ciclo de vida de desenvolvimento
mudança para a infraestrutura de gerenciamento de configuração e completo, tanto para o software de sistemas da entidade são
TI da entidade. mudança da infraestrutura de TI desenvolvido internamente definidos em função de uma
3.3.3. Processos de
que suporta os processos, quanto para os pacotes classificação de riscos da
Aquisição,
políticas e procedimentos adquiridos. mudança, definida conforme o
Desenvolvimento e
relevantes para a realização dos tamanho, esforço, complexidade
Manutenção da TI
objetivos da entidade. e impactos em processos e
controles relevantes para a
realização dos objetivos da
entidade.
DIMENSÃO 4: INFORMAÇÃO E COMUNICAÇÃO
SUBDIMENSÃO 4.1 – PROCESSOS DE INFORMAÇÃO DA ENTIDADE (Princípio COSO 13)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de diagnóstico dos Processo formalmente Processos formalmente A entidade estabelece um
processos para a disponibilização estabelecido para identificar e estabelecidos para produzir ou programa de governança para a
4.1.1. Relevância e das informações necessárias para documentar as necessidades de coletar, tratar, armazenar, manutenção da qualidade dos
Qualidade da apoiar o funcionamento o informações para apoiar o processar e descartar os dados e dados e informações que apoiam
Informação controle interno da entidade. funcionamento do controle informações que apoiam o o funcionamento da estrutura de
interno da entidade. funcionamento do controle controle interno.
interno da entidade.

[Link] 18
 SUBDIMENSÃO 4.1 – PROCESSOS DE INFORMAÇÃO DA ENTIDADE (Princípio COSO 13)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
SUBDIMENSÃO 4.2 – PROCESSOS DE COMUNICAÇÃO DA ENTIDADE (Princípios COSO 14 e 15)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de diagnóstico dos Processos formalmente Processos de comunicação A entidade define canais de
processos de comunicação estabelecidos para comunicar interna e externa incluem a comunicação internos e externos
interna e externa. tempestivamente ao público seleção dos métodos de múltiplos e bidirecionais para
interno e externo as informações comunicação, levando em evitar a perda de informações
4.2.1. Comunicação necessárias e esperadas. consideração a tempestividade, relevantes, incluindo canal de
Interna e Externa audiência, natureza da denúncias com garantia de
comunicação e requisitos, anonimato para a comunicação de
expectativas legais, regulatórias e questões significativas
contratuais, e a relação custo x relacionadas ao controle interno.
benefício.
DIMENSÃO 5: MONITORAMENTO
SUBDIMENSÃO 5.1 – ATIVIDADES DE MONITORAMENTO DA ESTRUTURA DE CONTROLE INTERNO (Princípio COSO 16)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO
Ausência de diagnóstico das Os processos, políticas e As atividades de monitoramento As atividades de monitoramento
atividades de monitoramento procedimentos relevantes para a são documentadas seguindo dos processos, políticas e
5.1.1. Monitoramento contínuo dos processos, políticas realização dos objetivos da modelos padronizados pela procedimentos relevantes para a
Contínuo e procedimentos relevantes para a entidade possuem atividades de entidade. realização dos objetivos da
realização dos objetivos da monitoramento integradas. entidade são automatizadas, com
entidade. o uso de tecnologia.
Ausência de avaliações avulsas Avaliações avulsas da estrutura Avaliações avulsas da estrutura Avaliações avulsas da estrutura
da estrutura de controle interno de controle interno são realizadas de controle interno são realizadas de controle interno são realizadas
5.1.2. Avaliações
da entidade. periodicamente pela gerência da periodicamente pela auditoria periodicamente por auditoria
Avulsas
entidade. interna. independente ou consultores
externos.
SUBDIMENSÃO 5.2 – AVALIAÇÃO E COMUNICAÇÃO DE DEFICIÊNCIAS DE CONTROLE INTERNO (Princípio COSO 17)
VARIÁVEL (0) INCIPIENTE (1) INICIAL (2) EM FORMAÇÃO (3) ESTABELECIDO

[Link] 19
 Ausência de políticas e processos A entidade possui políticas A entidade possui processos A entidade possui processos
para a comunicação das formalmente estabelecidas formalmente estabelecidos para o formalmente estabelecidos para a
deficiências de controle interno e definindo a classificação dos acompanhamento das ações verificação da eficácia das ações
5.2.1. Comunicação das acompanhamento das ações problemas identificados nas corretivas para as deficiências corretivas adotadas para
Deficiências de corretivas. atividades de monitoramento, identificadas nos controles deficiências de controles internos
Controle Interno e além do nível de detalhe da internos. significativas.
Acompanhamento das documentação, as
Ações Corretivas responsabilidades pelas ações
corretivas e as partes que devem
ser comunicadas, conforme a
classificação.

[Link] 20