Questão de Auditoria Governamental — FGV CGE-SP 2025 (nº 80)

A seleção e priorização dos objetos de auditoria (o que será auditado) em uma auditoria governamental são feitas com base nos riscos, para que os recursos sejam focados nas áreas mais críticas. Isso significa que a Unidade de Auditoria Interna Governamental (UAIG) precisa identificar e avaliar os riscos associados aos processos e atividades da Unidade Auditada para decidir onde concentrar seus esforços.

(A) Correta: Esta afirmativa descreve uma metodologia padrão quando a Unidade Auditada não possui um processo maduro de gestão de riscos. Nesses casos, a UAIG assume a responsabilidade de avaliar os riscos. O modelo preconiza uma abordagem hierárquica, começando pelos macroprocessos (grandes grupos de atividades) para identificar riscos-chave e, em seguida, associar esses riscos aos processos específicos. O somatório do nível de risco para cada processo é uma forma de quantificar e, consequentemente, priorizar os objetos de auditoria, direcionando os trabalhos para onde os riscos são mais elevados.

(B) Incorreta: Esta é a alternativa mais tentadora. Embora materialidade e criticidade sejam fatores importantes na avaliação de riscos, a metodologia de auditoria baseada em riscos preconiza que a UAIG utilize, preferencialmente, a avaliação de riscos realizada pela própria Unidade Auditada, se esta for robusta. Apenas na ausência ou imaturidade dessa avaliação é que a UAIG realiza a sua própria, considerando esses fatores. A afirmativa inverte a ordem de preferência e sugere que a avaliação da Unidade Auditada é um último recurso, o que não está alinhado com as melhores práticas de auditoria baseada em riscos que buscam alavancar os processos de gestão de riscos da própria entidade.

(C) Incorreta: Embora a auditoria se preocupe com o risco residual (o risco que permanece após a aplicação dos controles internos), o processo de planejamento do PAINT (Plano Anual de Auditoria Interna) não se concentra apenas nele desde o início. A seleção dos objetos de auditoria para o plano pode considerar o risco inerente (risco antes dos controles) e a avaliação dos controles para, então, identificar as áreas com maior risco residual. Focar exclusivamente no risco residual na fase inicial de planejamento pode ser limitante, pois o plano precisa identificar onde o risco residual pode ser alto, o que exige uma análise mais ampla.

(D) Incorreta: A UAIG tem o papel de avaliar a adequação e eficácia dos processos de gerenciamento de riscos da gestão, e não de assumir a responsabilidade pela avaliação e tratamento desses riscos. Assumir o tratamento de riscos seria uma atribuição da gestão e comprometeria a independência da auditoria, criando um conflito de papéis. A UAIG pode auxiliar a gestão a desenvolver seus processos de gerenciamento de riscos, mas não os executa em seu lugar.

(E) Incorreta: O rodízio de ênfase sobre os objetos auditáveis é uma prática importante para garantir a cobertura de todo o universo de auditoria ao longo do tempo. No entanto, ele não se aplica exclusivamente aos objetos classificados como de risco muito alto. Embora objetos de risco mais alto sejam auditados com maior frequência, o rodízio também visa garantir que objetos de risco médio e até baixo sejam auditados periodicamente, para identificar mudanças no ambiente de risco ou riscos emergentes que não foram previamente identificados.