Questão de Auditoria Interna · CEBRASPE SEBRAE PSE 1 2025 (nº 18)

A Norma 2200 (Planejamento do Trabalho) exige que o auditor interno, ao identificar riscos significativos (eventos que podem atrapalhar os objetivos da organização), use esses riscos para direcionar o trabalho — ou seja, decidir o que auditar primeiro e com mais profundidade. O critério prático é sempre impacto × probabilidade: quanto maior o dano potencial e a chance de acontecer, maior a prioridade.

• (A) Incorreta: Auditoria interna não elimina riscos; ela avalia e recomenda controles — eliminar risco é papel da gestão, não do auditor.
• (B) Incorreta: A Norma 2200 trata de riscos significativos de forma ampla (operacionais, estratégicos, conformidade, imagem etc.), não só financeiros/estatísticos.
• (C) Correta: É exatamente o que a Norma 2200 determina: o planejamento deve ser baseado em riscos, priorizando as ações conforme impacto e probabilidade — é o chamado risk-based auditing.
• (D) Incorreta: A avaliação de riscos é responsabilidade do próprio auditor interno no planejamento; delegar à gestão operacional fere a independência e a objetividade exigidas pelo IPPF.

Distrator mais tentador — (D): a banca explora a confusão entre "usar informação da gestão" e "delegar a avaliação". O auditor pode ouvir a gestão, mas nunca transfere a ela a responsabilidade de avaliar riscos no planejamento — isso anularia a independência. Sempre que a alternativa usar verbos como delegar, transferir ou terceirizar a avaliação de riscos, desconfie: é pegadinha clássica.