CAPÍTULO 4 – Controle Interno e Gestão de Risco

LEARNING OBJECTIVES
Ao concluir este capítulo, você irá
Entenda o que se entende por controle interno usando o Comitê das Organizações Patrocinadoras.
(COSO) Estrutura.
Identify the objectives, components, and principles of an effective internal control framework.
Conheça os papéis e responsabilidades que cada grupo em uma organização tem em relação ao controle interno.
Identifique os diferentes tipos de controles e a aplicação apropriada para cada um deles.
Obter consciência do processo de avaliação do sistema de controles internos e seu
limitações.
Define risk and enterprise risk management.
Explore os elementos e os processos dos processos de gestão de riscos que as organizações podem
adotar na criação de uma estrutura eficaz de gestão de risco.
Examine os objetivos, componentes, papéis e responsabilidades do COSO Enterprise de 2017
Estrutura de Gerenciamento de Riscos e ISO 31000:2018.
Descreva os diferentes papéis que a função de auditoria interna pode desempenhar na gestão de riscos empresariais.
Avalie o impacto da gestão de riscos empresariais nas atividades de auditoria interna.

VISÃO GERAL
A vida é cheia de incertezas. Se você parar para pensar sobre isso, há muitas atividades do dia a dia sobre as quais
você simplesmente não sabe qual será o resultado com antecedência. Como você lida com essas incertezas
determina que tipo de sucesso você terá na vida.

Operar um negócio não é diferente. As organizações enfrentam incertezas em todos os aspectos da condução
negócio, e seu sucesso depende de quão bem eles gerenciam essas incertezas. Operacional
a auditoria pode ser um facilitador chave para esse sucesso.

O controle interno desempenha um papel importante em como a administração atende à sua responsabilidade fiduciária ou agência.
responsabilidades. A administração tem a responsabilidade de manter controles que proporcionem uma garantia razoável
que existe controle adequado sobre os ativos e registros da entidade. O controle interno adequado não apenas garante
que os ativos e registros estão protegidos, mas também cria um ambiente em que a eficiência e
a eficácia é incentivada e monitorada. A gestão também precisa de um sistema de controle que gere
informações confiáveis para a tomada de decisões. Se o sistema de informação não gerar informações confiáveis
informação, a gestão pode não conseguir tomar decisões informadas sobre questões como produto
informações sobre preços, custo de produção e lucro.

O Comitê de Organizações Patrocinadoras da Comissão Treadway (COSO) é uma iniciativa conjunta de

as cinco organizações do setor privado listadas à direita e dedicadas a fornecer liderança de pensamento
por meio do desenvolvimento de estruturas e orientações sobre gestão de riscos empresariais e controle interno
e prevenção de fraudes. O COSO é composto pelas seguintes organizações:
Instituto Americano de Contadores Públicos Certificados
Executivos Financeiros Internacionais
Instituto de Contadores de Gestão
Instituto dos Auditores Internos
Associação Americana de Contabilidade

CONTROLE INTERNO
De acordo com o Quadro Integrado de Controle Interno do COSO, o controle interno é projetado e implementado por
um conselho de diretores de uma entidade, gestão e outros colaboradores para fornecer uma garantia razoável sobre o
achievement of the entity's objectives in the following categories: (1) reliability of financial reporting, (2)
efetividade e eficiência das operações e (3) conformidade com as leis e regulamentos aplicáveis.
Um sistema de controle interno consiste em todas as políticas e procedimentos (ou seja, relacionados ao controle interno) e
processos adotados pela administração de uma entidade para ajudar a alcançar o objetivo da administração de
assegurando, na medida do possível, a condução ordenada e eficiente de seus negócios.

PAPER DO AUDITOR INTERNO PARA O CONTROLE INTERNO

Enquanto a gestão, sob a liderança do CEO, tem a responsabilidade final pelo design adequado
e operação eficaz do sistema de controles internos, os auditores internos desempenham um papel significativo em
verificando se a administração cumpriu sua responsabilidade. Inicialmente, a administração realiza o principal
avaliação do sistema de controles internos, e então a função de auditoria interna valida de forma independente
as afirmações da administração. A função de auditoria interna fornece razoável garantia de que o sistema de
os controles internos são projetados adequadamente e operam de forma eficaz, aumentando a probabilidade de que o
os objetivos e metas de negócios da organização serão alcançados. O framework COSO define o papel do
auditores internos, da mesma forma, embora em termos mais gerais: "...os auditores internos fornecem garantia e
apoio consultivo à gestão sobre controle interno... a [função] de auditoria interna inclui a avaliação do
adequação e eficácia dos controles na resposta aos riscos dentro da supervisão da organização,
operações e sistemas de informação..." Além disso, o escopo da auditoria interna é normalmente esperado que
incluir supervisão, gestão de risco e controle interno, e ajudar a organização a manter
controle eficaz avaliando sua eficácia e eficiência e promovendo a continuidade
melhoria. A auditoria interna comunica suas descobertas e interage diretamente com a gestão, a auditoria
comitê, e/ou o conselho de diretores." Devido à sua posição organizacional e autoridade em um
entidade, uma função de auditoria interna muitas vezes desempenha um papel significativo de monitoramento.

LIMITAÇÕES DO CONTROLE INTERNO

O controle interno pode fazer muito para proteger contra erros e fraudes e para garantir a organização da
os objetivos são alcançados. Ainda assim, é importante reconhecer a existência de limitações inerentes do interno
controle. Customização, cultura e o sistema de governança corporativa podem inibir fraudes, mas não são
deterrentes absolutos. Erros podem ser cometidos na execução de controles como resultado de um
mal-entendidos de instruções, erros de julgamento, descuido, distração ou fadiga. Erros em
o julgamento também pode ocorrer ao projetar, manter ou monitorar controles. Atividades de controle - seja
manual ou automatizado - dependente da separação de funções - pode ser contornado por conluio entre dois
ou mais pessoas. Além disso, a gestão inadequada pode desconsiderar o controle interno. A gestão, para
exemplo, pode entrar em acordos paralelos com clientes que alteram os termos e condições do
contrato padrão da empresa de maneiras que impedirão o reconhecimento de receita, ou a administração pode
modificar inadequadamente os registros contábeis.

A extensão dos controles adotados por uma empresa também é limitada por considerações de custo. Não é viável
do ponto de vista de custo, estabelecer controles que ofereçam proteção absoluta contra fraudes e desperdícios;
a garantia razoável a esse respeito é geralmente o melhor que pode ser alcançado.

ELEMENTOS DO CONTROLE INTERNO

Para alcançar os objetivos específicos de cada uma dessas categorias de objetivos, o relatório COSO define cinco
componentes básicos de um sistema de controle interno adequadamente projetado. Os cinco componentes são (1) controle
ambiente, (2) avaliação de riscos, (3) atividades de controle, (4) monitoramento e (5) informação e
[Link] is important to point out that the five components should not operate independently of
um ao outro. Em vez disso, devem ser considerados como trabalhando de maneira inter-relacionada para apoiar o interno
efetividade geral do sistema de controle.

AMBIENTE DE CONTROLE
O ambiente de controle define o tom de uma organização, influenciando a consciência de controle de seus
pessoas. É a base para todos os outros componentes do controle interno, proporcionando disciplina e estrutura.
A importância do controle para uma entidade se reflete na atitude geral, consciência e ações do
conselho de diretores, gestão e proprietários sobre controle. O ambiente de controle pode ser pensado
de como um guarda-chuva que cobre toda a entidade e estabelece o quadro para implementar a entidade.
sistemas contábeis e controles internos. Os fatores que afetam o ambiente de controle são os seguintes
(ICHAMPO):
Comunicação e aplicação de integridade e valores éticos
Compromisso com a Competência
Políticas e Práticas de Recursos Humanos
Atribuição de Autoridade e Responsabilidade
Filosofia de Gestão e Ciclo Operacional
Participação dos responsáveis pela governança (Conselho de Diretores / Comitê de Auditoria)
Estrutura Organizacional

Comunicação e Aplicação de Integridade e Valores Éticos

A eficácia dos controles internos de uma entidade é influenciada pela integridade e pelos valores éticos do
indivíduos que criam, administram e monitoram os controles. Uma entidade precisa estabelecer uma ética e
padrões de comportamento que são comunicados aos funcionários e são reforçados pela prática diária. Para
exemplo, a gestão deve remover incentivos ou oportunidades que possam levar o pessoal a se envolver em
atos desonestos, ilegais ou antiéticos. Alguns exemplos de incentivos que podem levar a comportamentos antiéticos são
pressures to meet unrealistic performance targets and performance-dependent rewards. Examples of
as oportunidades incluem um conselho de diretores ineficaz, uma função de auditoria interna fraca e insignificante
penalidades por comportamento inadequado. A gestão pode comunicar melhor integridade e comportamento ético.
dentro de uma entidade por exemplo e através do uso de declarações de política, códigos de conduta e formação.

A alta administração e o conselho de diretores devem liderar pelo exemplo na definição de valores e
expectativas em relação ao comportamento apropriado. Quando isso é feito bem, a organização é considerada ter uma
tom forte no topo. Este compromisso com a integridade e valores éticos é comunicado através do
padrões de conduta da organização, e enfatizado por meio de diretrizes, ações e comportamento. Um
a organização também deve estabelecer processos para fazer cumprir os padrões de conduta, garantindo que as desvios sejam
identificados e corrigidos de forma oportuna e consistente.

Compromisso com a Competência

Competence is the knowledge and skills necessary to accomplish the tasks that define an individual's job.
Conceitualmente, a gestão deve especificar o nível de competência para um determinado trabalho e traduzi-lo em
nível necessário de conhecimento e habilidades. Por exemplo, uma entidade deve ter uma descrição de trabalho para cada cargo.
A gestão deve então contratar funcionários que tenham a competência apropriada para seus trabalhos. Boa gestão de pessoas
Políticas de recursos ajudam a atrair e reter funcionários competentes e confiáveis.

Políticas e Procedimentos de Recursos Humanos

The quality of internal control is directly related to the quality of the personnel operating the system. The
A entidade deve ter políticas de pessoal adequadas para contratação, orientação, treinamento, avaliação e aconselhamento.
promover, compensar e tomar medidas corretivas. Por exemplo, na contratação de funcionários, padrões que
enfatizar a busca pelos indivíduos mais qualificados, com ênfase na formação educacional e na experiência anterior de trabalho
experiência e evidência de integridade e comportamento ético demonstram o compromisso de uma entidade com
empregar pessoas competentes e confiáveis. Pesquisa sobre as causas de erros em sistemas contábeis
tem mostrado que questões relacionadas ao pessoal são uma das principais causas de erro.

Atribuição de Autoridade e Responsabilidade

Esse fator do ambiente de controle inclui como a autoridade e a responsabilidade pelas atividades operacionais são
designados e como as relações de reporte e as hierarquias de autorização são estabelecidas. Inclui políticas
quanto a práticas comerciais aceitáveis, conhecimento e experiência do pessoal chave, e recursos
fornecido para a execução de deveres. Também inclui políticas e comunicações direcionadas a garantir que todos
o pessoal entende os objetivos da entidade, sabe como suas ações individuais se inter-relacionam e contribuem
a esses objetivos e reconhecer como e para o que serão responsabilizados.
Uma entidade pode usar uma série de controles para atender aos requisitos deste fator do ambiente de controle.
exemplo, a entidade pode ter um organograma bem definido que indica linhas de autoridade e
responsabilidade. Além disso, o pessoal de gestão e supervisão deve ter descrições de cargos que incluam
suas responsabilidades relacionadas ao controle.
Filosofia e Estilo Operacional da Administração

Estabelecer, manter e monitorar os controles internos da entidade são responsabilidades da administração.

Management's philosophy and operating style can significantly affect the quality of internal control.
Características que podem sinalizar informações importantes ao auditor sobre a filosofia da administração e
o estilo operacional inclui o seguinte:
A abordagem da gestão para assumir e monitorar riscos empresariais.
As atitudes e ações da gestão em relação à relatórios financeiros (conservadoras ou agressivas)
seleção entre princípios contábeis alternativos disponíveis, e a consciência e
o conservadorismo com que as estimativas contábeis são desenvolvidas
As atitudes da gestão em relação ao processamento de informações e às funções e pessoal de contabilidade.

Por exemplo, a gestão assume riscos significativos ou é avessa ao risco? As metas de vendas e lucros são
irrealistas, e os funcionários são incentivados a tomar ações agressivas para atingir essas metas? Pode
a gestão pode ser descrita como "gorda e burocrática," "enxuta e agressiva," dominada por uma ou algumas
indivíduos, ou é "perfeito"? Entender esses e aspectos semelhantes da filosofia da gestão e
o estilo de operação dá ao auditor uma sensação da atitude da administração em relação ao controle interno.

Participation of those charged with governance (Board of Directors/Audit Committee)

O conselho de diretores e o comitê de auditoria influenciam significativamente a consciência de controle do
entidade. Como mencionado no Capítulo 1, o comitê de auditoria é um subcomitê do conselho de diretores que é
normalmente composta por diretores que não fazem parte da equipe de gestão. O conselho de diretores e o
o comitê de auditoria deve levar suas responsabilidades fiduciárias a sério e supervisionar ativamente a entidade
políticas e procedimentos de contabilidade e relatórios.

Fatores que podem impactar a eficácia do conselho ou do comitê de auditoria incluem o seguinte:
Sua independência em relação à gestão.
A experiência e a estatura de seus membros.
A extensão de seu envolvimento e análise das atividades da entidade.
A adequação de suas ações.
As informações que recebe.
O grau em que questões difíceis são levantadas e perseguidas com a gestão.
Sua interação com os auditores internos e externos.

Algumas das funções mais importantes do comitê de auditoria são:

Nomeação, compensação e supervisão da empresa de contabilidade pública que conduz a entidade

auditoria.
Resolução de desacordos entre a administração e a equipe de auditoria.
Supervisão da função de auditoria interna da entidade.
Aprovação dos serviços não relacionados à auditoria prestados pela firma de contabilidade pública que realiza a auditoria
comprometimento.
Supervisão da linha direta anônima de fraudes que foi projetada para fornecer aos funcionários um apoio confidencial
e uma maneira eficaz de relatar possíveis problemas na prestação de contas financeiras.
Entidades pequenas e médias podem implementar os fatores do ambiente de controle de maneira diferente das entidades maiores.
Por exemplo, entidades menores podem não ter um código de conduta escrito, mas em vez disso, desenvolver uma cultura que
enfatiza a importância da integridade e do comportamento ético por meio da comunicação oral e por
exemplo de gestão. Da mesma forma, uma entidade menor pode não ter um membro independente ou externo em sua
conselho de diretores.

Estrutura Organizacional
A estrutura organizacional define como a autoridade e a responsabilidade são delegadas e monitoradas.
fornece a estrutura dentro da qual as atividades de uma entidade para alcançar objetivos em toda a entidade são
planejado, executado, controlado e revisado. Uma entidade desenvolve uma estrutura organizacional adequada ao seu
necessidades. Estabelecer uma estrutura organizacional relevante inclui considerar áreas-chave de autoridade e
responsabilidade e linhas apropriadas de reporte.
A adequação da estrutura organizacional de uma entidade depende do seu tamanho e da natureza do seu
atividades. Fatores como o nível de tecnologia na indústria da entidade e influências externas como
a regulamentação desempenha um papel importante no tipo de estrutura organizacional utilizada. Por exemplo, uma entidade em um alto-
a indústria de tecnologia pode precisar de uma estrutura organizacional que consiga responder rapidamente às mudanças tecnológicas em
o mercado. Da mesma forma, uma entidade que opera em uma indústria altamente regulamentada, como o banco, pode ser
exigido manter uma estrutura organizacional muito rigorosamente controlada para cumprir com as leis regulatórias.

ATIVIDADES DE CONTROLE

As atividades de controle são as políticas e procedimentos que ajudam a garantir que as diretrizes da administração sejam cumpridas.
fora e são implementadas para abordar os riscos identificados no processo de avaliação de riscos. As atividades de controle podem
ser automatizado ou manual. As atividades de controle que são relevantes para a auditoria incluem (PIPS):

Avaliações de desempenho.
Controles de processamento de informações, incluindo controles de autorização e baseados em documentos.
Controles físicos.
Separação de funções.

Revisões de Desempenho. Um sistema contábil forte deve ter controles que verifiquem de forma independente
desempenho dos indivíduos ou processos no sistema. Alguns exemplos incluem comparar o real
desempenho com orçamentos, previsões e desempenho de períodos anteriores; investigando a relação de
dados operacionais e financeiros seguidos de análise, investigação de diferenças inesperadas e corretivas
ações; e revisando o desempenho funcional ou de atividades.

Controles de Processamento de Informações. Uma variedade de controles é utilizada para verificar a precisão, a completude e
autorização no processamento de transações. As duas amplas categorias de controle de sistemas de informação
as atividades são controles gerais e controles de aplicação. Os controles gerais dizem respeito às informações gerais
ambiente de processamento e incluir controles sobre operações de data center e rede; software de sistema
aquisição, mudança e manutenção; segurança de acesso; e aquisição, desenvolvimento de sistemas de aplicação
e manutenção. Por exemplo, os controles de uma entidade para desenvolver novos programas para contabilidade existente
os sistemas devem incluir documentação e testes adequados antes da implementação. Controles de aplicação
aplicar ao processamento de solicitações individuais e ajudar a garantir a ocorrência (validade), completude,
e precisão do processamento de transações. Dois exemplos são (1) a entidade deve ter controles que garantam
que cada transação que ocorre no sistema contábil de uma entidade é devidamente autorizada e (2) a entidade
devem ser elaborados documentos e registros de forma que todas as informações relevantes sejam capturadas na contabilidade
sistema.

Controles Físicos. Esses controles incluem a segurança física dos ativos. Controles físicos incluem
garantias adequadas, como instalações seguras, autorização para acesso a programas de computador e dados
arquivos e contagem periódica de ativos, como inventário, e comparação com registros de controle.

Segregação de Funções. É importante que uma entidade segregue a autorização de transações,

recording of transactions, and custody of the related assets. Independent performance of each of these
as funções reduzem a oportunidade de que uma única pessoa esteja em uma posição para tanto perpetrar quanto ocultar
erros ou fraudes no curso normal de suas funções. Por exemplo, se um funcionário recebe pagamento
dos clientes em conta e tem acesso ao livro razão das contas a receber, é possível para
aquele funcionário para apropriar-se indevidamente do dinheiro e cobrir a falta nos registros contábeis.

As atividades de controle podem ser categorizadas como:

Preventivo: Os controles preventivos são aquelas atividades que atuam antes que o erro ou omissão possam ocorrer e
reduzir a probabilidade e/ou o impacto do evento.

Detetive: Controles de detetive identificam erros ou anomalias após terem ocorrido e alertam sobre a necessidade de
ação corretiva.

As diretrizes: Os controles de diretrizes são controles temporários que são implementados para redirecionar as ações dos funcionários.
Eles às vezes são chamados de controles corretivos porque são implementados quando uma situação indesejável
uma ação ocorreu, mesmo quando havia controles preventivos e detectivos em vigor. Por exemplo, se
os funcionários receberam treinamento instruindo-os a se prenderem ao corrimão ao caminhar em um
andaimes com mais de 3 metros de altura, ainda assim, os empregados são encontrados ignorando esse requisito, a violação em
o protocolo de segurança pode obrigar a administração a fazer com que todos participem de treinamento de atualização para reforçar a
a importância desse requisito e que é esperado de todos, toda vez.

Outro exemplo poderia ser funcionários que passaram pela orientação e foram informados que o assédio sexual
é inaceitável, no entanto alguns praticam assédio sexual no local de trabalho de qualquer maneira. Neste caso, todos
os funcionários poderiam ser enviados para treinamento sobre assédio sexual para lembrá-los da importância de aderir a
a política da empresa.
Compensação: Controles compensatórios ou mitigadores são aqueles que são implementados quando um controle não está
onde se espera que o design adequado estipule. Por exemplo, se houver uma falta de segregação de
deveres, e mais funcionários não podem ser contratados para resolver a fraqueza, então uma revisão de supervisão pode ser
implementado para verificar se todas as transações realizadas são apropriadas para os negócios. Isso pode ocorrer em um
pequeno escritório onde um indivíduo faz compras, recebe os itens e realiza conciliações bancárias.
Este funcionário poderia fazer compras inadequadas sem serem detectadas, então, para mitigar esse risco, o distrito
o gerente poderia revisar todas as compras periodicamente para garantir que eram apropriadas, os itens foram
entregues nas instalações da empresa e foram utilizadas em negócios legítimos.
De maneira geral, controles preventivos são preferíveis a controles detectivos porque, enquanto os detectivos
os controles são importantes e úteis, eles identificam problemas após o fato. Quando os problemas são identificados após eles
ocorrer, devem ser corrigidos e as transações retrabalhadas, assim geram retrabalho. Controles preventivos sobre
por outro lado, impedir que problemas ocorram para que as atividades sejam realizadas uma única vez. O geral
O objetivo em todas as unidades operacionais e atividades deve ser: "Feito uma vez, feito certo."

SISTEMAS DE INFORMAÇÃO E COMUNICAÇÃO

Um sistema de informação consiste em infraestrutura (componentes físicos e de hardware), software, pessoas,
procedimentos (manuais e automatizados) e dados. O sistema de informação relevante para a relatórios financeiros
o objetivo inclui o sistema contábil e consiste nos procedimentos (seja automatizados ou manuais)
e registros estabelecidos para iniciar, autorizar, registrar, processar e relatar as transações de uma entidade e para
manter a responsabilidade pelos ativos e passivos relacionados.

Por exemplo, um sistema contábil eficaz dá consideração adequada ao estabelecer métodos

e registros que vão:
Identifique e registre todas as transações válidas.
Descreva de forma oportuna as transações com detalhes suficientes para permitir a classificação adequada de
transações para relatórios financeiros.
Meça o valor das transações de uma maneira que permita registrar seu valor monetário adequado
nas demonstrações financeiras.
Determinar o período em que as transações ocorreram para permitir o registro das transações em
o período contábil adequado.
Apresentar adequadamente as transações e as divulgações relacionadas nas demonstrações financeiras.

A comunicação envolve fornecer uma compreensão dos papéis e responsabilidades individuais relacionados a
controle interno sobre relatórios financeiros. Inclui a medida em que o pessoal entende como seu
As atividades no sistema de informações de relatórios financeiros estão relacionadas ao trabalho de outros e aos meios de
reportar exceções a um nível superior apropriado dentro da entidade. Manuais de políticas, contabilidade e
manuais de relatórios e memorandos comunicam políticas e procedimentos ao pessoal da entidade.
As comunicações também podem ser feitas eletronicamente, oralmente ou por meio das ações da gestão.
Um sistema de informação bem projetado que esteja funcionando efetivamente pode reduzir o risco de material
declaração incorreta. O auditor deve conhecer cada processo de negócios que afeta os saldos contábeis significativos
nas demonstrações financeiras. Isso inclui entender como as transações são iniciadas e autorizadas,
como os documentos e registros são gerados, e como os documentos e registros fluem para o livro razão
e demonstrações financeiras. Compreender o sistema de informação também requer saber como a TI está envolvida
no processamento de dados. O auditor deve entender os procedimentos automatizados e manuais utilizados pelo
entidade para preparar demonstrações financeiras e divulgações relacionadas.

Informações de alta qualidade devem ser comunicadas de maneira apropriada. Essa interdependência é a razão pela qual o COSO
combina informações e comunicação neste componente. Informações relevantes, precisas e oportunas
must be available to individuals at all levels of an organization who need such information to run the
business effectively. Information must be provided to specific personnel as appropriate to support
realização de suas responsabilidades operacionais, de relatórios e de conformidade. Além disso, a comunicação
deve ocorrer mais amplamente em relação às expectativas, responsabilidades de indivíduos e grupos, e
outros assuntos importantes. As comunicações com partes externas também são importantes e podem fornecer informações críticas
informações sobre o funcionamento dos controles. Estas partes incluem, mas não se limitam a clientes,
fornecedores, prestadores de serviços, reguladores, auditores externos e acionistas.

Claramente, a cultura de uma organização desempenha um papel importante na comunicação de suas prioridades. Normalmente,
as organizações que estabeleceram uma cultura de integridade e transparência têm mais facilidade com
comunicação do que outras organizações.

MONITORAMENTO
Para permitir melhorias contínuas e considerar mudanças no ambiente operacional da entidade,
a gestão precisa monitorar seus sistemas de controle interno. Os princípios fundamentais da monitoração
incluir:
Avaliações em andamento e separadas. Avaliações em andamento de controles que são separados de
outros tipos de avaliações (por exemplo, operacional) permitem que a administração determine se os outros
os componentes do controle interno continuam a funcionar ao longo do tempo.
Deficiências de relato. As deficiências de controle interno são identificadas e comunicadas em tempo hábil.
maneira para essas partes tomarem medidas corretivas e à administração e ao conselho como
apropriado.

É importante notar que o monitoramento não inclui o gerenciamento regular e o controle supervisório.
atividades e outras ações que os funcionários realizam ao desempenhar suas funções cotidianas. Monitoramento eficaz
envolve a avaliação contínua dos controles. Alguns controles de monitoramento comuns incluem:

Avaliação periódica dos controles pela auditoria interna.

Análise e acompanhamento apropriado de relatórios operacionais ou métricas que possam identificar
anomalias indicativas de uma falha de controle.
Revisão de supervisão de controles, como revisões de reconciliação como parte normal do processamento.
 Autoavaliações por conselhos e gestão sobre o tom que estabelecem na organização e
a eficácia de suas funções de supervisão.
Inquéritos do comitê de auditoria aos auditores internos e externos.
Revisões de garantia de qualidade do departamento de auditoria interna.

Como você pode ver, algumas das atividades de controle explicadas anteriormente neste capítulo também servem como monitoramento.
atividades. Por exemplo, analisar reclamações de clientes para acompanhamento é uma atividade de controle, mas analisar
eles para determinar se as reclamações resultam de uma fraqueza em outros controles (por exemplo, uma falha em
comparar documentos de transporte com pedidos de clientes) é uma atividade de monitoramento.

Embora os procedimentos anteriores ofereçam à gestão oportunidades de monitoramento diário, a supervisão

fornecidas à entidade pelo conselho de administração (e, mais especificamente, pelo comitê de auditoria) fornecem o
nível mais alto de monitoramento.

Atividades de monitoramento contínuo de pequenas e médias entidades são mais propensas a serem informais e são
geralmente realizado como parte da gestão geral das operações da entidade. O acompanhamento próximo da administração
o envolvimento nas operações frequentemente identificará variações significativas em relação às expectativas e imprecisões em
dados financeiros, operacionais e de conformidade.

AVALIAÇÃO DE RISCO

Risco, sob o COSO, é a possibilidade de que eventos ocorram e afetem a realização de uma estratégia e
objetivos. As organizações normalmente enfrentam uma variedade de riscos de fontes externas e internas que ameaçam
sua capacidade de atender em suas áreas de operações, relatórios e conformidade. Risco é um conceito usado por
auditores e gerentes para expressar preocupações sobre os prováveis efeitos de um ambiente incerto. Risco
a avaliação é o processo de gestão para identificar, analisar e responder a tais riscos. Em
ao realizar uma avaliação de risco eficaz, as organizações devem:

Especifique claramente os objetivos para permitir a identificação e avaliação dos riscos relacionados a esses.
objetivos.
Identificar e analisar riscos para a realização de seus objetivos para determinar como eles podem ser
gerenciado.
Considere a fraude potencial relacionada à realização de objetivos.
Identify and assess changes that could impact internal control.

O processo de avaliação de riscos de uma entidade é o seu processo para identificar e responder aos riscos de negócios. Este processo
includes how management identifies risks relevant to the preparation of financial statements, their
significância, avalia a probabilidade de sua ocorrência e decide como gerenciá-los. Para
por exemplo, o processo de avaliação de riscos da entidade pode abordar como a entidade identifica e analisa
estimates significativas registradas nas demonstrações financeiras.
A avaliação eficaz de riscos requer o estabelecimento de medidas de desempenho para avaliar a realização.
de objetivos. Isso permite que a administração estabeleça a tolerância a riscos para seus vários objetivos e gerencie
esses riscos. A tolerância ao risco é o nível aceitável de variação no desempenho em relação à realização
dos objetivos. Riscos podem existir no nível da entidade ou no nível da transação. Riscos em nível de entidade surgem de
fatores externos ou internos, como fatores econômicos, regulatórios, tecnológicos e de pessoal. Transação-
nível é encontrado dentro de divisões, unidades operacionais ou funções da organização.

Avaliar risco envolve avaliar a probabilidade de ocorrência e o impacto potencial. Também envolve
consideração da velocidade ou rapidez de ocorrência e duração do impacto do risco. Esta avaliação
permite à gestão identificar os riscos significativos que requerem uma resposta.
O risco começa com a formulação da estratégia e definição de objetivos de negócios. Uma organização está no negócio para
alcançar estratégias e objetivos de negócios específicos. Riscos representam as barreiras para alcançar com sucesso
those objectives as well as the opportunities that may help achieve those objectives. Therefore, because
cada organização tem estratégias e objetivos de negócios um pouco diferentes, eles também enfrentarão diferentes
tipos de riscos.

Risco de Negócios e Processos

Este é o risco de que os processos da organização não estejam obtendo, gerenciando e descartando de forma eficaz.
seus ativos, que a organização não está atuando de forma eficaz e eficiente em atender às necessidades dos clientes,
não está criando valor ou está diluindo valor ao sofrer a degradação financeira, física, e
ativos de informação.
Risco de capacidade: Capacidade insuficiente limita a capacidade de atender à demanda no curto e longo prazo.
ou a capacidade excedente ameaça a capacidade da empresa de gerar margens de lucro competitivas.
Risco de execução: Incapacidade de produzir consistentemente sem comprometer a qualidade.
Risco da cadeia de suprimentos: Não conseguir manter um fluxo constante de suprimentos quando necessário.
Business interruption risk: This risk stems from the unavailability of raw materials, IT, skilled
mão de obra, instalações ou outros recursos que ameaçam a capacidade e a aptidão da organização para
continuar operações.
Risco de recursos humanos: Uma falta de conhecimento, habilidades e experiências entre as principais pessoas da organização
pessoal que ameaça a capacidade de alcançar os objetivos de negócios.
Risco de falha de produto ou serviço: Produtos e serviços defeituosos ou não funcionais que não atendem
as expectativas dos clientes podem expor a organização a reclamações de clientes, pedidos de garantia,
devoluções, reparos no campo, reclamações de responsabilidade do produto, litígios causando perda de receitas, menor participação no mercado,
e danos à reputação da empresa.
Risco de desenvolvimento de produto: O desenvolvimento de produto ineficaz ameaça a capacidade da organização de
atender ou superar as expectativas dos clientes de forma consistente a longo prazo.
Risco de tempo de ciclo: Atividades desnecessárias ameaçam a capacidade da organização de desenvolver, produzir,
comercializar e entregar bens e serviços de maneira oportuna.
Risco de saúde e segurança: A falha em proporcionar um ambiente de trabalho seguro para os trabalhadores expõe os
organização para responsabilidades de compensação, perda de reputação de negócios e outros custos.
Risco de liderança: Os trabalhadores não estão sendo liderados de forma eficaz, resultando em falta de direção e motivação.
desempenho, foco no cliente, credibilidade na gestão e confiança.
 Risco de terceirização: terceirizar atividades para terceiros pode resultar que esses terceiros não
atuando de maneira consistente com as estratégias, objetivos e valores da organização,
padrões e expectativas comportamentais.
Risco de concorrência: O risco de que ações de concorrentes possam ameaçar a organização
vantagem competitiva ou até mesmo sua sobrevivência.
Risco de perda catastrófica: O risco de que uma catástrofe ameace a capacidade da organização de continuar
operar e fornecer bens e serviços.
Risco da indústria: Condições em mudança que afetam a atratividade da indústria.
Risco de planejamento: A falta de informações de planejamento que sejam irreais, irrelevantes ou não confiáveis pode resultar em
conclusão e decisões pobres. Esse risco é frequentemente acionado quando planos e orçamentos são irreais,
não baseado em suposições apropriadas ou métricas de desempenho, não é relevante para os objetivos da organização,
ou não aceito pelos gerentes e trabalhadores.
Risco da estrutura organizacional: A estrutura da organização não suporta mudanças, flexibilidade ou
as estratégias da organização. Uma estrutura organizacional ineficaz pode ameaçar sua capacidade de
mudança.
Integridade e risco de fraude: Risco de fraude por parte da gestão ou funcionários, atos ilegais ou não autorizados que
pode resultar na perda de reputação.

A fraude de gestão é a declaração intencional incorreta de relatórios financeiros e operacionais que prejudica
afetar as decisões das partes interessadas externas. Fraude também pode ser cometida por fornecedores, clientes, agentes,
e corretores contra a organização para ganho pessoal. Atos ilegais cometidos por gerentes e funcionários
pode resultar em multas, penalidades, sanções, perda de licenças para operar, perda de clientes e reputação
dano.

Nota: Gerir o risco de fraude e corrupção é responsabilidade da administração. Procedimentos de auditoria

sozinho, mesmo quando realizado com o devido cuidado profissional, não pode garantir que fraude ou corrupção serão
detectado. A auditoria interna não tem responsabilidade pela prevenção ou detecção de fraudes e
corrupção. No entanto, os auditores internos estarão atentos em todo o seu trabalho a riscos e exposições que poderiam
permitir fraude ou corrupção. A auditoria interna pode ser solicitada pela administração para ajudar com fraudes
trabalho de exame.

Risco de erosão de marca: A erosão de uma marca ou nome comercial ao longo do tempo ameaça a demanda por
os produtos e serviços da organização. Também limita sua capacidade de desenvolver e crescer no futuro
fluxos de receita.
Risco de reputação: Risco de perda geralmente relacionado a ética, segurança, proteção, qualidade, inovação, e
a sustentabilidade causando perda de receita, custos de capital e regulatórios mais altos, preço das ações mais baixo, ou
dificuldades em levantar capital devido a um possível evento criminoso. O risco de reputação também pode causar perda
de clientes, lucros e a capacidade de competir.
Data integrity: Reliability and completeness of data flows, inbound and outbound from/to
clientes, fornecedores, reguladores, investidores e outras partes interessadas. Também se refere a
autorização, completude e precisão das transações à medida que são inseridas, processadas e
reportado.
 Risco de infraestrutura: Risco de que a infraestrutura de TI da organização esteja obsoleta ou careça de TI
infraestrutura, como hardware, software, redes e pessoas que precisa para apoiar efetivamente
os requisitos de informação da organização para permanecer viável a curto e longo prazo.
Risco comercial: Eventos que comprometem o negócio para negócio (B2B) e negócio para cliente.
(B2C) fluxos financeiros e de dados, integridade dos dados e segurança.
Risco de acesso: A falha em restringir adequadamente o acesso à informação pode resultar em uso não autorizado
de informações confidenciais. Por outro lado, o acesso excessivamente restritivo à informação poderia limitar o
capacidade do pessoal para realizar suas responsabilidades atribuídas.
Risco de disponibilidade: A indisponibilidade de informações quando necessário pode ameaçar a continuidade do
processos operacionais da organização.

Technological and Information Technology Risks

Esses riscos estão relacionados a condições em que a TI não está operando como pretendido, a integridade e a confiabilidade dos dados.
is compromised, and significant assets are exposed to potential loss or misuse. It also relates to the
incapacidade de manter sistemas e processos críticos. Inclui:
Risco de disponibilidade de dados e sistemas: Tempo de atividade de sistemas, máquinas e outras ferramentas para apoiar o
necessidades dos trabalhadores, clientes, fornecedores e outros interessados na organização. Isso envolve
aquisição de dados, manutenção, uso, distribuição, armazenamento e destruição.
Risco de integridade de dados: Precisão e consistência dos dados armazenados, processados, recuperados e destruídos
quando chega ao fim do seu ciclo de vida.
Risco de capacidade do sistema: Otimizando a quantidade de armazenamento e habilidade de computação que os sistemas possuem.
Integridade dos dados: Confiabilidade e completude dos fluxos de dados, de entrada e saída de/para
clientes, fornecedores, reguladores, investidores e outras partes interessadas. A autorização,
completude e precisão das transações à medida que são inseridas, processadas e relatadas.
Risco de infraestrutura: Risco de que a infraestrutura de TI da organização esteja obsoleta ou falte a TI
infraestrutura, como hardware, software, redes e pessoas que precisa para apoiar efetivamente
os requisitos de informação da organização para se manter viável no curto e longo prazo.
Risco comercial: Eventos que comprometem os fluxos financeiros e de dados B2B e B2C, integridade dos dados.
e segurança.
Risco de acesso: A falha em restringir adequadamente o acesso às informações pode resultar em uso não autorizado
de informações confidenciais. Por outro lado, o acesso excessivamente restritivo às informações pode limitar o
capacidade do pessoal de desempenhar suas responsabilidades designadas.
Risco de disponibilidade: A indisponibilidade de informações quando necessário pode ameaçar a continuidade do
operações e processos da organização.

Riscos de Pessoal
Os riscos de pessoal estão relacionados a condições que limitam a capacidade da organização de obter, implantar e reter
números suficientes de trabalhadores qualificados e motivados. À medida que as organizações dependem cada vez mais de
sua força de trabalho para produzir bens e serviços que agregam valor aos seus clientes, a gestão está
confrontados com o risco de que a escassez de pessoal limite sua capacidade de entregar consistentemente com alta
qualidade a curto e longo prazo.
 Risco de disponibilidade: Trabalhadores suficientes e especialistas no assunto para apoiar a organização
necessidades presentes e futuras.
Risco de competência: A capacidade dos trabalhadores de desempenharem suas funções de forma eficiente e bem-sucedida.
Risco de julgamento: A capacidade dos trabalhadores de tomar decisões sensatas com base em circunstâncias relevantes.
Risco de má conduta: Atos ilícitos cometidos por funcionários, contratados, fornecedores ou clientes.
Risco de motivação: Trabalhadores desmotivados falham em aplicar criatividade e disciplina em suas tarefas
resultando em menor produção, menor qualidade, serviço inadequado e maior rotatividade e absenteísmo.

Riscos Financeiros

Os riscos financeiros podem resultar em fluxos de caixa ruins, flutuações de moeda e taxas de juros, e uma incapacidade de
mova fundos rapidamente e sem perda de valor para onde eles são necessários. Exemplos incluem:

Risco de recursos: Disponibilidade de fundos quando necessário e seu uso criterioso para fins comerciais.
Risco dos preços das commodities: Flutuações nos preços expõem a organização a margens mais baixas ou comércio.
perdas.
Risco de moeda estrangeira: Mudanças nas taxas de câmbio podem resultar em perdas econômicas para alguns
do valor do ativo.
Risco de liquidez: Esta é a exposição à perda devido à incapacidade de cumprir obrigações de fluxo de caixa, ou a
falta de compradores e vendedores em um mercado (ou seja, mercado ilíquido).
Risco de mercado: Movimentos em preços, taxas e índices afetam o valor da organização.
ativos financeiros e preço das ações. Isso também pode afetar seu custo de capital e sua capacidade de arrecadar
capital.

Riscos Ambientais
O risco ambiental refere-se à ameaça real ou potencial de efeitos negativos ao meio ambiente por
emissões, resíduos e depletion de recursos. Isso pode ser causado pelas atividades de uma organização e ele
influências organismos vivos, terra, ar e água. Exemplos incluem:
Risco de energia e outros recursos: Incapacidade de obter fornecimentos confiáveis a um preço razoável.
Natural disaster risk: Events such as floods, earthquakes, fires, hurricanes, and tornadoes, also
a falta de água potável e outros recursos necessários nas instalações da empresa.
Risco de poluição: Regulamentações e demandas das partes interessadas afetando a fonte de suprimentos de energia, e
a quantidade e a maneira de resíduos permitidos. Além disso, a poluição excessiva que limita o
saúde e segurança dos funcionários da organização. Essas atividades podem ser prejudiciais ao meio ambiente
e expor a organização a responsabilidades por lesões corporais, danos materiais, custos de remoção, e
danos punitivos, entre outros.
Risco de transporte: Garantir a disponibilidade de meios de transporte adequados. Alguns dependem
em meios naturais, como rios navegáveis, lagos e linhas costeiras, ou são direta ou indiretamente
afetado por ações naturais ou humanas, como ter estradas desobstruídas e ferrovias em funcionamento.
Risco pandêmico: Bactérias ou vírus que interrompem a cadeia de suprimentos ou a disponibilidade da organização.
sua força de trabalho para desempenhar suas funções.
Risco político
Este é um tipo de risco enfrentado por organizações, investidores e governos. Refere-se aos efeitos que
decisões, eventos ou condições políticas podem causar quando afetam a rentabilidade de um negócio, ou o
capacidade de operar livremente. Tem a ver com as complicações que as organizações podem encontrar como resultado de
decisões políticas. Exemplos incluem:
Riscos de regulamentações e legislação: Novas ou alterações em regulamentações existentes que limitam a
capacidade da organização de se envolver em suas atividades comerciais normais.
Risco de política pública: Demandas das partes interessadas afetando as operações da organização.
Risco de instabilidade: Desordem civil ou militar que interrompe as atividades da organização.

Risco Social
O risco social está relacionado a dinâmicas onde um problema afeta partes interessadas que podem formar percepções negativas.
isso pode causar algum tipo de dano à organização. O risco social pode ser influenciado por estratégias e
operational decisions management makes that affect issues stakeholders care about. The way society
perceber as maneiras como as organizações conduzem os negócios está se tornando cada vez mais importante e impulsiona
decisões relacionadas às mudanças climáticas, obesidade, direitos dos trabalhadores, pobreza e outras questões sociais e ambientais
problemas. Clientes atuais e potenciais estão respondendo cada vez mais a essas dinâmicas comprando,
comentando publicamente através das redes sociais, ou fazendo lobby com influentes para exercer pressão sobre
organizações se comportarem de maneiras que reflitam seus desejos.

O risco social também é influenciado pela dinâmica social que afeta a força de trabalho e os clientes-alvo, como
sua idade, composição racial, origem nacional e decisões sobre a estrutura familiar. Exemplos de riscos sociais
incluir:
Risco demográfico: Mudanças que afetam as preferências de compra, a disponibilidade de funcionários ou o custo para
manter uma força de trabalho saudável.
Risco de privacidade: Preferências que limitam a captura, armazenamento, uso e disseminação de dados pessoais
informação.
Risco de Responsabilidade Social Corporativa: Requisitos para envolvimento social e investimento que
desvia tempo e outros recursos das atividades primárias da organização.
Risco de mobilidade: Dinâmicas que mudam as preferências de trabalhadores e clientes para trabalhar e viver em
maneiras que apoiam as necessidades e produtos da organização. A avaliação de riscos requer que a gestão
considere o impacto de possíveis mudanças no ambiente externo e dentro de sua própria
business model that could make internal control ineffective. This includes focusing on clearly
articulando objetivos relacionados a operações, relatórios e conformidade para que quaisquer riscos a isso
os objetivos podem ser identificados e avaliados. Também leve em consideração a necessidade de avaliar
adequação dos objetivos para avaliar a eficácia. A eficácia está relacionada à conquista de
objetivos e o grau em que estes são alcançados.

Efeitos do Risco
Perda de ativos
 Publicidade negativa
Decisões errôneas
Insatisfação do cliente
Relatórios financeiros ou operacionais fraudulentos Registros e contabilidade errôneos
Não conformidade com regras e regulamentos Aquisição de recursos de maneira antieconômica
Falha em alcançar os objetivos estabelecidos

GESTÃO DE RISCO EMPRESARIAL (ERM)

De acordo com o COSO, a Gestão de Risco Corporativo (ERM) é a cultura, as capacidades e as práticas.
integrado com a definição de estratégias e desempenho, que as organizações utilizam para gerenciar riscos na criação,
preservar e realizar valor.

Uma análise mais aprofundada da definição de gestão de risco empresarial enfatiza seu foco na gestão
risco através de:

Reconhecendo a cultura.
Desenvolvendo capacidades.
Aplicando práticas.
Integrando com definição de estratégia e desempenho.
Gerenciando riscos em relação à estratégia e objetivos de negócios.
Ligando ao valor.

Este framework de gestão de riscos empresariais é voltado para alcançar os objetivos de uma entidade, estabelecidos em quatro
categories:
Estratégico - objetivos de alto nível, alinhados e apoiando sua missão.
Operações - uso eficaz e eficiente de seus recursos.
Relatório - confiabilidade do relatório.
Conformidade - conformidade com as leis e regulamentos aplicáveis.

O próprio Framework é um conjunto de princípios organizados em cinco componentes inter-relacionados:

1. Governança e Cultura: A governança define o tom da organização, reforçando a importância de

e estabelecendo responsabilidades de supervisão para a gestão de riscos empresariais. A cultura diz respeito a
valores éticos, comportamentos desejados e compreensão do risco na entidade.
2. Estratégia e Definição de Objetivos: Gestão de risco empresarial, estratégia e definição de objetivos.
juntos no processo de planejamento estratégico. Um apetite por risco é estabelecido e alinhado com a estratégia;
os objetivos de negócios colocam a estratégia em prática enquanto servem de base para identificar, avaliar,
e respondendo ao risco.
3. Desempenho: Riscos que podem impactar a realização da estratégia e dos objetivos de negócios precisam de
ser identificados e avaliados. Os riscos são priorizados por severidade no contexto da apetite ao risco. O
a organização então seleciona as respostas a riscos e adota uma visão de portfólio da quantidade de risco que possui
Assumido. Os resultados desse processo são relatados às partes interessadas chave em risco.
 4. Revisão e Revisão: Ao revisar o desempenho da entidade, uma organização pode considerar quão bem
os componentes da gestão de risco empresarial estão funcionando ao longo do tempo e à luz de substancial
mudanças e quais revisões são necessárias.
5. Informação, Comunicação e Relato: A gestão de riscos empresariais requer um contínuo
processo de obtenção e compartilhamento de informações necessárias, tanto de fontes internas quanto externas,
que flui para cima, para baixo e através da organização.

A GRC utiliza um processo iterativo. Só porque uma organização emitiu relatórios de risco, não significa que o trabalho
está concluído. Com informações sobre tratamentos e processos de risco em mãos, uma revisão e refinamento de
processos de governança, estratégia e gestão de riscos podem e devem ocorrer.

PROCESSO DE GESTÃO DE RISCOS (de acordo com a ISO 31000:2018)

O processo de gestão de risco envolve a aplicação sistemática de políticas, procedimentos e práticas para
as atividades de comunicar e consultar, estabelecer o contexto e avaliar, tratar,
monitoramento, revisão, registro e relatório de risco. Este processo é ilustrado na figura abaixo de acordo com a ISO
31000:2018.

O processo de gerenciamento de riscos deve ser parte integrante da gestão e da tomada de decisões e
integrado à estrutura, operações e processos da organização. Pode ser aplicado em nível estratégico,
níveis operacional, de programa ou projeto.

Pode haver várias aplicações do processo de gestão de riscos dentro de uma organização, personalizadas para
alcançar objetivos e se adequar ao contexto externo e interno em que são aplicados. A dinâmica
e a natureza variável do comportamento humano e da cultura devem ser consideradas ao longo da gestão de riscos
processo. Embora o processo de gerenciamento de riscos seja frequentemente apresentado como sequencial, na prática, ele é iterativo.

Comunicação e consulta
O objetivo da comunicação e consulta é ajudar as partes interessadas relevantes a entender o risco.
a base sobre a qual as decisões são tomadas e as razões pelas quais ações particulares são necessárias.
A comunicação busca promover a conscientização e a compreensão do risco, enquanto a consulta envolve
obter feedback e informações para apoiar a tomada de decisões. Coordenação próxima entre os dois
deve facilitar a troca de informações factuais, pontuais, relevantes, precisas e compreensíveis, levando em conta
levando em consideração a confidencialidade e a integridade das informações, bem como os direitos de privacidade dos indivíduos.

A comunicação e a consulta com partes interessadas externas e internas apropriadas devem ocorrer.
dentro e em todas as etapas do processo de gerenciamento de riscos.
A comunicação e a consulta têm como objetivo:

reunir diferentes áreas de especialização para cada etapa do processo de gerenciamento de riscos;
 - garantir que diferentes perspectivas sejam adequadamente consideradas ao definir critérios de risco e quando
avaliando riscos;
- fornecer informações suficientes para facilitar a supervisão de riscos e a tomada de decisões;
- construir um senso de inclusão e pertencimento entre aqueles afetados pelo risco.

Escopo, contexto e critérios

O objetivo de estabelecer o escopo, o contexto e os critérios é personalizar a gestão de riscos.
processo, permitindo uma avaliação eficaz de riscos e um tratamento apropriado de riscos. Escopo, contexto e critérios
envolve definir o escopo do processo e entender o contexto externo e interno.
a. Definindo o escopo
A organização deve definir o escopo de suas atividades de gerenciamento de riscos.

Como o processo de gestão de riscos pode ser aplicado em diferentes níveis (por exemplo, estratégico, operacional,
programa, projeto ou outras atividades), é importante ter clareza sobre o escopo em consideração,
os relevantes. objetivos a serem considerados e seu alinhamento com os objetivos organizacionais.

Ao planejar a abordagem, as considerações incluem:

- objetivos e decisões que precisam ser tomadas;
resultados esperados das etapas a serem tomadas no processo;
- hora, localização, inclusões e exclusões específicas;
ferramentas e técnicas de avaliação de risco apropriadas;
- recursos necessários, responsabilidades e registros a serem mantidos;
relacionamentos com outros projetos, processos e atividades.

b. Contexto externo e interno

O contexto externo e interno é o ambiente no qual a organização busca definir e
alcançar seus objetivos.
O contexto do processo de gestão de riscos deve ser estabelecido a partir da compreensão do externo.
e o ambiente interno no qual a organização opera e deve refletir o ambiente específico
da atividade à qual o processo de gerenciamento de riscos deve ser aplicado.

Compreender o contexto é importante porque:

- a gestão de riscos ocorre no contexto dos objetivos e atividades da organização;
Fatores organizacionais podem ser uma fonte de risco;
o propósito e o escopo do processo de gerenciamento de risco podem estar inter-relacionados com os objetivos de
a organização como um todo.

A organização deve estabelecer o contexto externo e interno do processo de gestão de riscos por
considerando os fatores mencionados em 5.4.1.
c. Definindo critérios de risco

A organização deve especificar a quantidade e o tipo de risco que pode ou não assumir, em relação a
objetivos. Também deve definir critérios para avaliar a relevância do risco e apoiar a tomada de decisão.
Os critérios de risco devem estar alinhados com a estrutura de gerenciamento de riscos e personalizados
para o propósito e escopo específicos da atividade em consideração. Os critérios de risco devem refletir o
valores, objetivos e recursos da organização e ser consistente com políticas e declarações sobre risco
gestão. Os critérios devem ser definidos levando em consideração as obrigações da organização e
perspectivas das partes interessadas.

Embora os critérios de risco devam ser estabelecidos no início do processo de avaliação de riscos, eles são dinâmicos.
e deve ser continuamente revisado e alterado, se necessário.
Para definir critérios de risco, o seguinte deve ser considerado:

- a natureza e o tipo de incertezas que podem afetar os resultados e objetivos (tanto tangíveis quanto
intangível);
- how consequences (both positive and negative) and likelihood will be defined and measured;
- fatores relacionados ao tempo;
consistência no uso de medições;
como o nível de risco deve ser determinado;
- como combinações e sequências de múltiplos riscos serão levadas em conta;
a capacidade da organização.

Avaliação de risco

A avaliação de riscos é o processo geral de identificação de riscos, análise de riscos e avaliação de riscos.

A avaliação de risco deve ser realizada de forma sistemática, iterativa e colaborativa, baseando-se em
conhecimento e opiniões das partes interessadas. Deve usar as melhores informações disponíveis, suplementadas por
mais investigações conforme necessário.

a. Identificação de riscos

O objetivo da identificação de riscos é encontrar, reconhecer e descrever riscos que possam ajudar ou prevenir um
organização alcançando seus objetivos. Informações relevantes, apropriadas e atualizadas são importantes em
identificando
A organização pode usar uma variedade de técnicas para identificar incertezas que podem afetar um ou mais
objetivos. Os seguintes fatores, e a relação entre esses fatores, devem ser considerados:
- fontes tangíveis e intangíveis de risco;
- causas e eventos;
- ameaças e oportunidades;
- vulnerabilidades e capacidades;
- mudanças no contexto externo e interno;
indicadores de riscos emergentes;
a natureza e o valor dos ativos e recursos;
 consequências e seu impacto nos objetivos;
limitações do conhecimento e confiabilidade da informação;
- fatores relacionados ao tempo;
- preconceitos, suposições e crenças dos envolvidos.

A organização deve identificar riscos, independentemente de suas fontes estarem sob seu controle. Consideração
deve-se considerar que pode haver mais de um tipo de resultado, o que pode resultar em uma variedade de
consequências tangíveis ou intangíveis.

b. Análise de risco

A análise de risco tem como objetivo compreender a natureza do risco e suas características, incluindo, onde
apropriado, o nível de risco. A análise de risco envolve uma consideração detalhada das incertezas, fontes de risco, um
consequências, probabilidade, eventos, cenários, controles e sua eficácia. Um evento pode ter múltiplos
causas e consequências e podem afetar múltiplos objetivos.

A análise de risco pode ser realizada com diferentes graus de detalhamento e complexidade, dependendo do propósito.
da análise, a disponibilidade e confiabilidade das informações e os recursos disponíveis. Análise
as técnicas podem ser qualitativas, quantitativas ou uma combinação dessas, dependendo das circunstâncias e
uso pretendido.
A análise de riscos deve considerar fatores como:

a probabilidade de eventos e consequências;

a natureza e magnitude das consequências;
- complexidade e conectividade;
fatores relacionados ao tempo e volatilidade;
a eficácia dos controles existentes;
sensibilidade e níveis de confiança.
A análise de risco pode ser influenciada por qualquer divergência de opiniões, preconceitos, percepções de risco e
julgamentos. Influências adicionais são a qualidade das informações utilizadas, as suposições e exclusões
feitas, quaisquer limitações das técnicas e como elas são executadas. Essas influências devem ser
considerado, documentado e comunicado aos tomadores de decisão.

Eventos altamente incertos podem ser difíceis de quantificar. Isso pode ser um problema ao analisar eventos com
consequências severas. Em tais casos, o uso de uma combinação de técnicas geralmente fornece uma visão mais profunda.

A análise de risco fornece uma entrada para a avaliação de risco, para decisões sobre se o risco precisa ser tratado e
como, e na estratégia de tratamento de risco e métodos mais apropriados. Os resultados fornecem insights para
decisões, onde escolhas estão sendo feitas, e as opções envolvem diferentes tipos e níveis de risco.

Imagine um caso simples. Uma organização tem uma grande quantidade de dinheiro solto. O risco inerente é quão muito
provavelmente haveria danos à organização se o dinheiro fosse deixado descuidadamente por perto.
visível e completamente acessível a estranhos. O risco bruto é o risco ao qual a organização está exposta
após levar em conta os controles ativos e passivos que, por acaso ou por design, estão em vigor. Em
na prática, quando a gestão e a equipe fazem uma chuva de ideias sobre riscos, geralmente acham mais fácil conceituar
sobre o risco bruto do que sobre o risco inerente, pois naturalmente consideram o que sabem
sobre os controles ativos e passivos que estão em vigor.

Para começar a partir da posição de risco inerente, é necessário responder à pergunta: "Imagine que não tivéssemos ativos ou
controles passivos, de forma alguma: como avaliaríamos a escala da ameaça, em termos de probabilidade e
impacto?
abordagem de controle para se concentrar a fim de mitigar os riscos inerentes de forma mais eficaz.

A. Um risco inerente considerado dentro do quadrante A do gráfico é muito provável que ocorra e tenha um grande impacto.
impacto na organização. Sobreposto a uma aplicação judiciosa de abordagens de controle apropriadas ao
a mitigação dos riscos inerentes representados como estando dentro do outro do gráfico, deve haver atenção constante
para a mitigação desta ameaça pela alta administração, com revisão pelo conselho.

B. Um risco inerente dentro do quadrante B não é muito provável de ocorrer, mas terá um grande impacto sobre o
organização onde isso possa ocorrer. Existem abordagens de controle alternativas aqui. A organização pode buscar
termine este risco, por exemplo, tendo data centers duplicados em diferentes regiões geográficas, para que um
um desastre físico ou uma retirada de funcionários em um local permitirá que o processamento de dados essenciais continue
na outra localização. Como alternativa, ou adicionalmente, a organização pode desenvolver e testar um plano de contingência
planejar, estabelecendo assim as medidas excepcionais que serão seguidas dependendo da ameaça
materializando.
Um risco inerente plotado como estando dentro do quadrante C é aquele que é muito provável que ocorra, talvez
repetidamente, na ausência de medidas para mitigar o risco, mas é improvável que tenha um grande impacto no
negócios. Um exemplo poderia ser a faturação com preços unitários incorretos. Claramente, é necessário obter esses
fazer as coisas certas na primeira vez, e assim as organizações dependem largamente de procedimentos de controle (o que o COSO chama de
"atividades de controle") para alcançar isso.

Um risco no quadrante D foi julgado como não muito provável de ocorrer e de nenhuma grande importância significativa se ele
É provável que seja suficiente desenvolver e aplicar medidas de monitoramento que sejam amplamente destinadas a
verifique se a ameaça permanece dentro deste quadrante e, portanto, não requer outras abordagens de mitigação para
contenha a ameaça. A monitorização pode ser uma questão de gestão revisando relatórios de exceção, de software
monitorando exceções e tendências ao longo do tempo, da função de conformidade que revisa processos e resultados,
e assim por diante.

c. Avaliação de risco

O objetivo da avaliação de risco é apoiar decisões. A avaliação de risco envolve a comparação dos resultados de
a análise de risco com os critérios de risco estabelecidos para determinar onde ações adicionais são necessárias. Isto
pode levar a uma decisão de:
- não fazer nada mais;
- considere opções de tratamento de riscos;
 - realizar uma análise mais aprofundada para entender melhor o risco;
- manter controles existentes;
reconsiderar objetivos.
{"text":"As decisões devem levar em conta o contexto mais amplo e as consequências reais e percebidas para o externo"}
e partes interessadas internas.

O resultado da avaliação de risco deve ser registrado, comunicado e, em seguida, validado em momentos apropriados.
níveis da organização.

Tratamento de risco

The purpose of risk treatment is to select and implement options for addressing risk.
O tratamento de riscos envolve um processo iterativo de:

formular e selecionar opções de tratamento de risco;

- planejamento e implementação do tratamento de riscos;
avaliando a eficácia desse tratamento;
- decidir se o risco remanescente é aceitável;
- se não for aceitável, tomando tratamento adicional.

a. Seleção de opções de tratamento de risco

Selecionar a(s) opção(ões) de tratamento de risco mais apropriada(s) envolve equilibrar os benefícios potenciais derivados em
relação ao alcance dos objetivos em comparação com os custos, esforço ou desvantagens da implementação.
As opções de tratamento de risco não são necessariamente mutuamente exclusivas ou apropriadas em todas as circunstâncias.
o tratamento de riscos pode envolver um ou mais dos seguintes:

- evitar o risco decidindo não começar ou continuar com a atividade que dá origem ao risco;
assumindo ou aumentando o risco para perseguir uma oportunidade;
removendo a fonte de risco;
mudando a probabilidade;
- mudando as consequências;
- compartilhando o risco (por exemplo, por meio de contratos, comprando seguro);
retendo o risco por decisão informada.
A justificativa para o tratamento de riscos é mais ampla do que meras considerações econômicas e deve levar em conta
conta todas as obrigações da organização, compromissos voluntários e opiniões das partes interessadas. A seleção
as opções de tratamento de risco devem ser feitas de acordo com os objetivos da organização, critérios de risco e
recursos disponíveis.
Ao selecionar opções de tratamento de risco, a organização deve considerar os valores, percepções e
potencial envolvimento das partes interessadas e as maneiras mais apropriadas de comunicar e consultar com
eles. Embora igualmente eficazes, alguns tratamentos de risco podem ser mais aceitáveis para alguns interessados do que
aos outros.
Os tratamentos de risco, mesmo que cuidadosamente projetados e implementados, podem não produzir os resultados esperados.
e pode produzir consequências não intencionais. A monitorização e a revisão precisam ser uma parte integral do risco
implementação de tratamento para garantir que as diferentes formas de tratamento se tornem e permaneçam
eficaz.
O tratamento de riscos também pode introduzir novos riscos que precisam ser gerenciados. Se não houver opções de tratamento
disponível ou se as opções de tratamento não modificarem suficientemente o risco, o risco deve ser registrado e mantido
sob revisão contínua. Os tomadores de decisão e outros interessados devem estar cientes da natureza e extensão
do risco remanescente após o tratamento de risco. O risco remanescente deve ser documentado e sujeito a
monitoramento, revisão e, quando apropriado, tratamento adicional.
b. Preparando e implementando planos de tratamento de risco

O propósito dos planos de tratamento de riscos é especificar como as opções de tratamento escolhidas serão implementadas.
para que os arranjos sejam feitos pelos envolvidos, e o progresso em relação ao plano possa ser O plano de tratamento
deve identificar claramente a ordem em que o tratamento de riscos deve ser implementado.

Os planos de tratamento devem ser integrados aos planos e processos de gestão da organização, em
consulta com as partes interessadas apropriadas.

As informações fornecidas no plano de tratamento devem incluir:

- a justificativa para a seleção das opções de tratamento, incluindo os benefícios esperados a serem obtidos;
aqueles que são responsáveis e respondem pela aprovação e implementação do plano;
as ações propostas;
- os recursos necessários, incluindo contingências;
as medidas de desempenho;
as restrições;
o relatório e monitoramento necessários;
quando as ações devem ser realizadas e concluídas.

Monitoramento e revisão
O objetivo da monitorização e revisão é assegurar e melhorar a qualidade e eficácia do processo.
design, implementação e resultados. Monitoramento contínuo e revisão periódica da gestão de riscos
o processo e seus resultados devem ser uma parte planejada do processo de gerenciamento de riscos, com responsabilidades
claramente definido.

O monitoramento e a revisão devem ocorrer em todas as etapas do processo. O monitoramento e a revisão incluem
planejamento, coleta e análise de informações, registro de resultados e fornecimento de feedback. Os resultados de
a monitorização e a revisão devem ser incorporadas em toda a gestão de desempenho da organização,
atividades de medição e relatório.

Gravação e relatório
O processo de gerenciamento de riscos e seus resultados devem ser documentados e relatados através de apropriado
mecânicos. A gravação e o relatório têm como objetivo:

- comunicar atividades e resultados de gestão de riscos em toda a organização;

 fornecer informações para a tomada de decisões;
- melhorar as atividades de gestão de riscos;
- auxiliar na interação com as partes interessadas, incluindo aquelas com responsabilidade e prestação de contas por
atividades de gerenciamento de riscos.

As decisões relativas à criação, retenção e manuseio de informações documentadas devem levar em consideração
conta, mas não se limita a: seu uso, sensibilidade da informação e o contexto externo e interno.
A reportagem é uma parte integral da governança da organização e deve melhorar a qualidade do diálogo.
com as partes interessadas e apoiando a alta administração e os órgãos de supervisão no cumprimento de suas responsabilidades.
Os fatores a serem considerados para relatórios incluem, mas não se limitam a:

- partes interessadas diferentes e suas necessidades e requisitos específicos de informação;

- custo, frequência e pontualidade da reportagem;
método de relatório;
relevância da informação para os objetivos organizacionais e tomada de decisões.

O ÂMBITO DO PAPEL DA AUDITORIA INTERNA NA GESTÃO DE RISCOS

A gestão é responsável por realizar todas as atividades de uma organização, incluindo a gestão de riscos empresariais (ERM). Na verdade,
a administração é responsável por aspectos de todos os cinco componentes da ERM. No entanto, essas responsabilidades
vai variar, dependendo do nível na organização e das características da organização.

Observe que os Padrões do IIA ampliam o escopo da auditoria interna além de fornecer garantias sobre a gestão de riscos.
processos para uma responsabilidade de auditoria interna para avaliar todos os tipos de exposições a riscos que a organização enfrenta.
A implicação é que a auditoria interna deve aconselhar o conselho e a administração sobre a adequação do risco
processos de gestão, e também chamar a atenção para riscos significativos que podem estar negligenciando ou
focando na inadequação na estimativa da auditoria interna. Há uma gama de risco empresarial
atividades de gerenciamento, algumas das quais se encaixam no papel de garantia do auditor interno e outras no seu
papel de consultoria, enquanto é claro que outros são de responsabilidade da gestão e não devem ser assumidos
por auditoria interna. A figura abaixo fornece uma visão útil da posição. Este diagrama é retirado de "Posição
Declaração: O Papel da Auditoria Interna na Gestão de Risco em toda a Empresa
permissão do Instituto de Auditores Internos - Reino Unido e Irlanda.

A gestão e o conselho são responsáveis pela gestão e controle de riscos de sua organização.
processos. No entanto, auditores internos atuando em um papel de consultoria podem ser solicitados a auxiliar a organização
na identificação, avaliação e implementação de metodologias e controles de gerenciamento de riscos para abordar
esses riscos. Em situações onde a organização não possui processos formais de gestão de riscos, o
O CAE deve discutir formalmente com a administração e o conselho suas obrigações de entender, gerenciar,
e monitorar os riscos dentro da organização e a necessidade de se certificar de que existem processos
operando dentro da organização, mesmo que informalmente, que fornecem o nível apropriado de visibilidade sobre o
principais riscos e como estão sendo gerenciados e monitorados. O CAE deve obter uma compreensão de
as expectativas da alta administração e do conselho em relação à função de auditoria interna na gestão de riscos da organização
processo de gestão. Essa compreensão deve ser codificada na carta de auditoria interna ou em algum outro
maneira formal.

Em última análise, cabe à alta administração e ao conselho determinar o papel da auditoria interna na
processo de gestão de riscos. A visão deles sobre o papel da função de auditoria interna provavelmente será determinada por
fatores como a cultura da organização, a capacidade da equipe de auditoria interna e as condições locais e
costumes do país. No entanto, assumir a responsabilidade da gestão em relação à gestão de riscos
o processo e a potencial ameaça à objetividade da função de auditoria interna requer uma discussão completa e
aprovação do conselho.

In summary, it is important for the CAE to bring the lack of a risk management process to management's
atenção juntamente com sugestões para estabelecer tal processo. Se solicitado, auditores internos podem desempenhar um papel
papel proativo na assistência com o estabelecimento inicial de um processo de gestão de riscos para o
organização. Um papel mais proativo complementa as atividades tradicionais de garantia com uma consultoria.
abordagem para melhorar processos fundamentais. Se tal assistência exceder a garantia normal e
as atividades de consultoria realizadas pelos auditores internos, a objetividade pode ser comprometida. Nesses casos,
os auditores internos devem cumprir os requisitos de divulgação das Normas.

Objetivos de Controle para Processos de Gestão de Riscos

a. Os objetivos organizacionais apoiam e se alinham com a missão da organização

b. Riscos significativos são identificados e avaliados
c. Respostas apropriadas ao risco são selecionadas que alinham os riscos com a apetite de risco da organização
d. Informações relevantes sobre riscos, permitindo que os funcionários, a gestão e o conselho realizem suas
as responsabilidades são capturadas e comunicadas de maneira oportuna em toda a organização,
capacitando a equipe, a administração e o conselho a cumprirem suas responsabilidades.

DESAFIOS DE GESTÃO DE RISCO

Encerramos este capítulo apontando algumas das limitações da gestão de riscos conforme praticada pela maioria
organizações hoje.
1. Riscos Maiores que Estão Ocultos
Os principais riscos aos quais as organizações estão expostas podem não estar no radar da alta administração.
a gestão pode tender a se concentrar em alcançar seus objetivos a ponto de ficar cega para o
consequências não antecipadas de suas políticas. Os principais riscos em efeito podem estar ocultos entre as madeira do
organização, como um bicho-da-madeira enfraquecendo invisivelmente a organização. É possível que alguns funcionários, mesmo
alguns com responsabilidades de gestão podem estar cientes dos problemas, mas não consideram que são
responsável por fazer algo sobre eles.
Uma abordagem baseada em riscos para o planejamento de auditoria não deve significar que a atividade de auditoria interna apenas empreenda
auditorias de processos de negócios que são consideradas (pela diretoria, alta administração e o chefe da auditoria
executivo) ser de alto risco. Uma proporção do tempo de auditoria interna deve ser alocada para realizar auditorias de
áreas do negócio que não são percebidas como representando risco significativo - caso haja riscos ocultos nessas
partes da organização.

2. Os Riscos Extras de Organizações Menos Democráticas

Empresas organizadas hierarquicamente, e aquelas com mais cultura de comando do que participativa
cultura, são menos propensos a ventilarem seus problemas. Se os funcionários descobrirem que são penalizados por serem francos sobre
fraquezas, então eles não serão francos. Claramente, a cultura da organização pode, por si só, representar uma ameaça
para a organização.

3. Multiple Simultaneous Risks Materializing

Quando as organizações falham ou quase falham, é frequentemente porque várias ameaças se concretizam ao mesmo tempo.
Essas ameaças podem ou não ser independentes umas das outras. Na maioria das organizações, a gestão de riscos é
inadequado para identificar e avaliar o risco de múltiplas falhas simultâneas. As técnicas de risco
a gestão, incluindo aqueles discutidos neste capítulo, se tornaria muito complexa para usar, entender e
depender se eles foram adaptados para acomodar o risco de múltiplas falhas simultâneas. Mas o humano
a mente pode processar quase intuitivamente a complexidade de tais cenários muito bem. Cada organização
deve considerar quais riscos enfrentam, pois mais de um evento indesejado pode ocorrer ao mesmo tempo,
quais possam ser esses eventos e se a organização tem em vigor o que será necessário para gerenciar um
caminho através das múltiplas crises, caso isso ocorra.

4. Oportunidades e Ameaças
Devemos notar que a discussão sobre gerenciamento de riscos deste capítulo tem sido no contexto de ameaças ao
negócios que devem ser identificados, avaliados e respondidos. Não devemos esquecer que as ferramentas de
a gestão de riscos pode e deve ser aplicada tanto a oportunidades quanto a ameaças. As organizações devem
busque identificar o que pode acontecer no futuro que possa oferecer uma oportunidade a uma organização se
essa organização estava posicionada para explorar essa oportunidade na época, não obstante o fato de que poderia não
estar dentro do plano de negócios da organização. Deve-se considerar o avanço do desenvolvimento do
a capacidade de explorar tal oportunidade, caso ocorra. Qualquer oportunidade perdida pode ser interpretada como uma
ameaça que não foi evitada.

5. Muito Avesso ao Risco?

Finalmente, não devemos ser excessivamente avessos ao risco. O lucro é a recompensa por assumir riscos. Drucker (1977)

O principal objetivo da ciência da gestão deve ser permitir que os negócios assumam o risco certo. De fato, deve
permitir que as empresas assumam maiores riscos - fornecendo conhecimento e compreensão de riscos alternativos
e expectativas alternativas; identificando os recursos e esforços necessários para os resultados desejados; por
mobilizando energias para a contribuição; e medindo resultados em relação às expectativas; assim fornecendo
means for early correction of wrong or inadequate decisions. All this may sound like mere quibbling over
termos. No entanto, a terminologia da minimização de riscos induz uma hostilidade à tomada de riscos e à criação de riscos.
ou seja, para a empresa.

A COSO adota uma visão mais cautelosa:

Nenhuma entidade opera em um ambiente sem riscos, e a gestão de riscos empresariais não busca mudar
em direção a um ambiente desse tipo. Em vez disso, a gestão de riscos empresariais permite que a administração opere de forma mais
efetivamente em ambientes cheios de risco.

Perguntas de Discussão
1. Como o COSO define controle interno?
2. What are objectives? What three categories of objectives are set forth in the COSO framework?
3. Quais são os cinco componentes do controle interno abordados no framework COSO?
4. O que compreende o ambiente de controle?
5. O que envolve a avaliação de risco?
6. O que são atividades de controle? Que tipos de atividades de controle estão presentes em um sistema bem projetado?
de controles internos?
7. O que é informação de alta qualidade? Por que a informação de alta qualidade deve ser comunicada?
8. When are monitoring activities most effective? Who performs monitoring activities? What
distingue avaliações separadas de atividades de monitoramento em andamento?
9. Como a perspectiva dos auditores internos sobre o controle interno difere da perspectiva da administração?
10. Quais são os dois fatores comuns usados na avaliação de riscos?
11. How does COSO define risk? How does ISO define risk?
12. Quais são os cinco componentes do COSO ERM?
13. Como o COSO define apetite de risco?
14. Quais são algumas atividades de garantia de ERM que a função de auditoria interna pode realizar? Quais são algumas
Atividades de consultoria de ERM que a função de auditoria interna pode realizar, se proteções apropriadas forem implementadas.
implementado? Quais atividades de GER (Gestão de Risco Empresarial) a função de auditoria interna não deve realizar?
15. Quais são as cinco categorias de resposta ao risco do COSO?
Questões de Múltipla Escolha

1. Qual dos seguintes não é um dos três objetivos primários de um controle interno eficaz?
Confiabilidade da reportação financeira.

Eficiência e eficácia das operações.

Conformidade com leis e regulamentos.
Garantia de eliminação do risco empresarial.

2. Quais dos seguintes são considerados elementos do ambiente de controle?

(Commitment to Competence)No; (Detection Risk)Yes; (Organizational Structure)No

(Commitment to Competence)Yes; (Detection Risk)Yes; (Organizational Structure)Yes
(Commitment to Competence)Yes; (Detection Risk)No; (Organizational Structure)Yes
(Commitment to Competence)No; (Detection Risk)No; (Organizational Structure)Yes

3. Qual das seguintes afirmações sobre a relevância dos vários tipos de controles em relação a um financeiro
a declaração de auditoria está correta?

Todos os controles são normalmente relevantes para uma auditoria de demonstrações financeiras.

O controle sobre a salvaguarda de ativos e passivos é de primordial importância, enquanto os controles sobre o
a confiabilidade da informação financeira também pode ser relevante.

Os controles sobre a confiabilidade da informação financeira são geralmente os mais diretamente relevantes para uma financeira
auditoria de demonstrações, mas outros controles também podem ser relevantes.

Um auditor pode normalmente ignorar uma consideração de controles quando uma abordagem de auditoria substantiva é
tomado.

4. Um auditor deve considerar duas questões-chave ao obter uma compreensão dos controles internos.
Esses problemas são

A eficácia e a eficiência dos controles.

A frequência e eficácia dos controles.
O design e a implementação dos controles.
A implementação e eficiência dos controles.

5. As autorizações podem ser gerais ou específicas. Qual dos seguintes não é um exemplo de uma autorização geral?
autorização?
 Pontos de reabastecimento automáticos para o inventário de matérias-primas.

Autorização de um gerente de vendas para uma devolução de vendas.

Limites de crédito para várias classes de transações.

Uma lista de preços de venda para mercadorias.

6. Um auditor deve obter conhecimento suficiente sobre o sistema de informação de uma entidade, incluindo os relacionados.
processos de negócios relevantes para relatórios financeiros, para entender o

Políticas usadas para detectar a ocultação de fraudes.

Processo utilizado para preparar estimativas contábeis significativas.

Medidas de proteção usadas para limitar o acesso a instalações de computação.

Procedimentos utilizados para garantir a devida autorização das transações.

7. Qual dos seguintes controles provavelmente forneceria garantia razoável de que todas as vendas a crédito
as transações de uma entidade são registradas?

O supervisor do departamento de contabilidade controla o envio de extratos mensais para os clientes e

investiga quaisquer diferenças relatadas pelos clientes.

O supervisor do departamento de contabilidade reconcilia de forma independente, mensalmente, as contas

conta auxiliar de recebíveis para a conta de controle de contas a receber.
O supervisor do departamento de faturamento compara documentos de envio pré-numerados com entradas nas vendas
diário.
O supervisor do departamento de faturamento envia cópias de pedidos de venda aprovados para o departamento de crédito para
comparação com os limites de crédito autorizados e os saldos atuais das contas dos clientes.

8. O controle físico utilizado para minimizar funções incompatíveis no trabalho refere-se a

Segregação de Funções
Registros Contábeis
Supervisão
Verificação Independente

9. Controle físico utilizado para capturar a essência econômica das transações e fornecer um rastro de auditoria de
eventos econômicos refere-se a

Segregação de Funções
 Registros Contábeis
Supervisão
Controle de Acesso

10. Auditores avaliando a integridade da gestão da organização e utilizando agências investigativas para
o relatório sobre os antecedentes dos principais gerentes é um dos cinco componentes do framework COSO.

Ambiente de controle
Avaliação de risco

Monitoramento
Informação e comunicação

11. A autorização de uma transação para garantir que todas as transações materiais processadas pela informação
o sistema é válido e está de acordo com os objetivos da gestão é um dos cinco componentes do
Estrutura COSO.
Ambiente de controle
Atividades de controle

Monitoring
Informação e comunicação

12. As classes de transações que são materiais para as demonstrações financeiras e como essas transações são
iniciado é um dos cinco componentes do framework COSO.
Ambiente de controle
Avaliação de risco

Atividades de controle

Informação e comunicação

13. Uma mudança na estrutura organizacional resultando na redução e/ou realocação de pessoal
de modo que as operações comerciais e o processamento de transações sejam afetados é um dos cinco componentes do
Framework COSO.
Ambiente de controle
Avaliação de risco

Monitoramento
 Informação e comunicação

14. O controle físico utilizado para garantir que apenas pessoal autorizado tenha acesso aos ativos da empresa refere-se a

Separação de Funções
Accounting Records
Controle de acesso

Verificação Independente

15. Todo sistema de controle interno tem limitações em sua eficácia. Estas incluem
O conceito de que a empresa deve estabelecer e manter um sistema de controle interno.
A possibilidade de erro---nenhum sistema é perfeito.

Circumvenção---pessoal pode contornar o sistema por meio de conluio.

B e C apenas.

16. In the COSO enterprise risk management organization's overall tone relates most closely to:
estrutura, um
Ambiente interno
Definição de objetivos

Identificação de eventos

Monitoramento
17. Miguel e Rafaela estavam desenvolvendo um plano de gerenciamento de riscos para sua empresa seguindo o COSO.
estrutura. Um dos objetivos da empresa é ter dinheiro suficiente disponível para as operações; esse objetivo teve
tem sido difícil de alcançar devido a flutuações sazonais nas vendas. Para reduzir esse risco, Miguel e Rafaela
recomendaram que a empresa investisse um pouco de dinheiro em títulos de curto prazo que poderiam ser liquidadas rapidamente
e facilmente. Qual elemento do framework COSO está mais relacionado à sua recomendação?
Ambiente interno
Monitoramento
Atividades de controle

Resposta ao risco
18. Em uma conversa sobre gerenciamento de riscos, Miguel e Rafaela produziram uma lista classificada de seus
exposições ao risco da empresa. A lista classificada está mais relacionada a qual elemento do COSO
estrutura?
Informação e comunicação
Avaliação de risco

Resposta ao risco

Monitoramento

19. O COSO publicou estruturas integradas tanto para controle interno quanto para risco empresarial.
gestão. Qual das seguintes afirmações sobre as estruturas é a mais verdadeira?
A estrutura de controle interno é mais útil do que a estrutura de gerenciamento de risco empresarial.

The enterprise risk management framework is more useful than the internal control framework.
As atitudes da gestão são um elemento de ambas as estruturas.

Ambos os frameworks são necessários.

20. Qual dos seguintes melhor combina um elemento do framework de gerenciamento de riscos corporativos COSO
com um exemplo desse elemento?
Definição de objetivos, determinando quais elementos do COSO
Identificação de eventos, identificando a estrutura de controle interno necessária a ser utilizada

Avaliação de risco, retiros anuais de gestão focados no plano de GER

Resposta ao risco, diversificando o risco por meio da expansão internacional

21. Um dos passos no modelo generalizado de gerenciamento de processos de negócios discutido no texto
foca na coleta de dados relacionados ao processo. Se Laurie e Milton estão preocupados com os riscos criados por
ineficiência no processo atual de compra de ativos fixos da empresa, eles poderiam coletar dados relacionados a: I.
the average length of time between an order for a fixed asset and its delivery, II. the costs incurred in the
processo de compra de ativos fixos.

Eu apenas

II somente

Tanto eu quanto II

Nem eu nem II
Análises de Caso

Caso 1 (Avaliação de Risco) Você é o Diretor Executivo de uma grande empresa multinacional dos EUA
operando no setor de energia. Sua empresa tem operações em 23 países diferentes, alguns dos quais são
economias em desenvolvimento, e tem levantado financiamento por dívida, assim como financiamento por capital, em 17 desses países.
Você está ciente de que houve protestos de grupos de lobby ambiental em várias áreas sobre
oil pipelines. There have also been demonstrations about the impact of operations on local communities.

Sua empresa possui um comitê de auditoria interno, um comitê de auditoria e um desenvolvimento razoavelmente avançado
sistema de controle interno estruturalmente solto em torno das recomendações do Relatório Turnbull. No entanto,
a diretoria decidiu que talvez devesse formar um novo comitê, um 'comitê de riscos', que lidará
com gestão de riscos e controle interno especificamente.

Requisito:
Assim, a diretoria pediu que você preparasse um memorando que resuma os principais riscos enfrentados pelo
negócios no momento, e a importância relativa desses riscos para o negócio, para destacar onde o
as exposições primárias provavelmente serão.

Caso 2 - (Ambiente de Controle) A Raiza Motors Company, um fabricante diversificado, tem cinco divisões
que operam em toda Singapura e Austrália, a Raiza Motors historicamente permitiu que suas divisões
operar de forma autônoma. A intervenção corporativa ocorreu apenas quando os resultados planejados não foram alcançados.
A gestão corporativa tem alta integridade, mas o conselho de administração e o comitê de auditoria não são muito
ativa. A Raiza Motors tem uma política de contratação de pessoas competentes. A empresa possui um código de conduta, mas
há pouco monitoramento da conformidade pelos funcionários. A gestão é bastante conservadora em termos de
princípios e práticas contábeis, mas os pacotes de compensação dos funcionários dependem muito do desempenho.
A Raiza Motors Company não possui um departamento de auditoria interna e depende da sua empresa para realizar uma revisão.
os controles em cada divisão.

Don Gisean é o gerente geral da Divisão de Fabricantes. A Divisão de Fabricantes produz uma variedade
de peças padronizadas para pequenos eletrodomésticos. Gisean tem sido o gerente geral nos últimos sete anos,
e a cada ano ele conseguiu melhorar a rentabilidade da divisão. Ele é compensado com base
em grande parte na lucratividade da divisão. Grande parte da melhoria na lucratividade veio através
corte de custos agressivo, incluindo uma redução substancial nas atividades de controle sobre o estoque.

Durante o último ano, um novo concorrente entrou nos mercados da Fabricator e ofereceu preços substanciais.
reductions in order to grab market share. Gisean has responded to the competitor's actions by matching
as reduções de preço na esperança de manter a participação de mercado. Gisean está muito preocupado porque não consegue ver
quaisquer outras áreas em que os custos possam ser reduzidos para que o crescimento e a rentabilidade da divisão possam ser
mantida. Se a lucratividade não for mantida, seu salário e bônus serão reduzidos.
Gisean decidiu que uma maneira de tornar a divisão mais lucrativa é manipular o estoque porque
representa uma grande parte do balanço patrimonial da divisão. Ele também sabe que os controles sobre o inventário são
fraco. Ele vê essa manipulação de inventário como uma solução de curto prazo para a queda do lucro devido ao
corte de preços do concorrente. Gisean tem certeza de que, uma vez que o concorrente pare de cortar preços ou entre em falência,
As incoerências no inventário podem ser corrigidas com pouco impacto no resultado final.

Requisitos:
a. Avalie os pontos fortes e fracos do ambiente de controle da Raiza Motors Company.
b. Quais fatores no ambiente de controle da Raiza Motors Company levaram e facilitaram o Gisean?
manipulação de inventário?

Case 3 (Control Activities)A company's accountant was able to approve payment of invoices and write
cheques da empresa para um membro da família, com quem o contador dividiria os proventos. O contador
cobriu o roubo com lançamentos no sistema de informações contábeis.

Requisito:
Quais funções devem ser separadas para prevenir problemas como esses no futuro?

Caso 4 (Controles Internos e Gestão de Riscos) A Payswell Company, um pequeno fabricante, tem estado
em negócios por 10 anos. A alta administração está pensando em terceirizar o processo de folha de pagamento da empresa.

Requisitos:
a. Quais são três objetivos importantes de um processo de folha de pagamento?

b. Quais são os principais riscos que ameaçam a realização desses objetivos?

c. Quais são os benefícios potenciais de terceirizar o processo de folha de pagamento?

d. Quais novos riscos podem surgir se o processo for terceirizado?

e. Como a administração da Payswell deve:

1. Identifique os controles principais sobre o processo de folha de pagamento terceirizado?
2. Determine se esses controles são projetados adequadamente e estão operando de forma eficaz?