Questão nº 67
Questão de Tecnologia da Informação · FGV TCE-TO 2022 (nº 67)
A metodologia de avaliação dos controles internos consiste em avaliar os controles internos existentes e quantificá-los em níveis de efetividade. Dessa forma, uma empresa apresentou os seguintes controles internos, avaliados em: 1 (controles não funcionais), 0,5 (controles funcionais medianos) e 0,2 (controles funcionais fortes).
Os auditores, ao solicitarem tais documentos de avaliação, podem concluir que:
- Acaso existam controles funcionais em uma atividade, a multiplicação do risco residual ao valor do nível dos controles internos resultará em um menor risco inerente;
- Bindependentemente do nível de controles internos, a multiplicação do risco inerente ao valor do nível dos controles internos resultará em um maior risco residual;
- Ccaso existam controles funcionais em uma atividade, a multiplicação do risco inerente ao valor do nível dos controles internos resultará em um menor risco residual; (alternativa correta)
- Dindependentemente do nível de controles internos, a multiplicação do risco inerente ao valor do nível dos controles internos resultará em um menor risco residual;
- Ecaso existam controles funcionais em uma atividade, a multiplicação da probabilidade e do impacto resultará em um menor risco residual.
Resposta comentada
Gabarito Alternativa C
Conceito-chave: O risco inerente é o risco que existe antes de qualquer controle interno. O risco residual é o que sobra depois que os controles funcionam. A fórmula básica é: Risco Residual = Risco Inerente × Nível de Controle. Como os níveis de controle são frações (0,2 ou 0,5), multiplicar o risco inerente por eles sempre reduz o risco residual, desde que o controle exista e funcione (mesmo que mediano).
- (A) Incorreta: A pegadinha aqui é trocar os termos: a multiplicação do risco inerente (não residual) pelo nível de controle resulta em menor risco residual (não inerente). O risco inerente é pré-existente e não muda com controles.
- (B) Incorreta: A armadilha é a palavra "independentemente": se o controle for não funcional (nível 1), o risco residual fica igual ao inerente (não aumenta). Se for funcional (0,5 ou 0,2), o residual diminui. Nunca aumenta, pois o nível máximo é 1.
- (C) Correta: Exatamente o conceito: com controles funcionais (0,5 ou 0,2), multiplicar o risco inerente por esse valor (ex.: ) reduz o risco residual. Quanto menor o nível de controle (mais forte), menor o residual.
- (D) Incorreta: O erro está em "independentemente": se o controle for não funcional (nível 1), a multiplicação por 1 mantém o risco residual igual ao inerente, não menor. A redução só ocorre com controles funcionais (0,5 ou 0,2).
- (E) Incorreta: Confunde conceitos: a multiplicação de probabilidade × impacto é a definição de risco inerente (ou residual, dependendo do contexto), não uma operação que "resulta em menor risco residual". A redução vem da aplicação do nível de controle, não dessa multiplicação.
Fonte: FGV TCE-TO 2022 Auditor de Controle Externo - Tecnologia da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.