Questão de Auditoria Interna · CEBRASPE SEBRAE PSE 1 2025 (nº 37)

O COSO 2013 exige que, antes de avaliar riscos, a administração defina objetivos claros e verifique se eles são adequados à entidade (fazem sentido para o negócio) e se mudanças — tanto no ambiente externo quanto no próprio modelo de negócio — podem afetar esses objetivos e, por consequência, o controle interno. Ou seja: avaliar risco começa por "onde queremos chegar" e "o que pode mudar esse caminho".

• (A) Incorreta: o item I também está certo, então não é só o III.
• (B) Incorreta: o item III também está certo, então não são só I e II.
• (C) Incorreta: o item II também está certo, então não são só I e III.
• (D) Correta: os três itens integram a etapa de definição de objetivos do COSO 2013 — adequação dos objetivos à entidade (I), impacto de mudanças externas (II) e impacto de mudanças no modelo de negócio que podem tornar o controle interno ineficaz (III).

Distrator mais tentador — a armadilha da banca: o item III costuma ser o "vilão". Muitos alunos pensam "mudança no modelo de negócio é coisa de estratégia, não de controle interno" e descartam o III, marcando B. A banca explora exatamente essa separação artificial: o COSO 2013 trata avaliação de riscos como algo que dialoga com mudanças no ambiente e no modelo de negócio, pois elas podem tornar o controle interno ineficaz. Fixe assim: se a mudança pode quebrar o controle, ela precisa ser considerada antes de avaliar riscos.