DOMÍNIO V – IDENTIFICAÇÃO E AVALIAÇÃO DE RISCO

DOMÍNIO V – IDENTIFICAÇÃO E AVALIAÇÃO DE RISCO

1. A. Teoria do Risco (P)

   • O CAE é o responsavel pelo desenvolvimento de um planejamento baseado em risco. o CAE leva em consideração a estrutura de gerenciamento de riscos da organização, incluindo o uso dos niveis de apetite. A atividade de auditoria deve avaliar a eficácia e contribuir para a melhoria dos processos de gerenciamento de riscos.  A atividade de auditoria interna deve avaliar as exposições a riscos relacionadas a governança, as operações e aos sistemas de informação da organização em relação a confiabilidade e integridade das informações financeiras e operacionais; eficácia e eficiência das operações; salvaguarda dos ativos; e conformidade com leis, regulamentos e contratos.
   • A atividade de auditoria interna deve avaliar o potencial de ocorrencia de fraude e como a organização gerencia o risco de fraude. Quando o CAE acredita que a alta administração aceitou um nível de risco residual que pode inaceitavel para a organização, o CAE deve discutir o assunto com a alta administração.
   • 1: Definição de Risco
     • Risco: possibilidade de ocorrência de um evento que poderá impactar no cumprimento dos objetivos. É medido em termos de impacto e probabilidade. Risco Residual: Risco que permanece depois de a administração tomar ação para reduzir o impacto e probabilidade de um evento adverso. Gestão de riscos: processo para identificar, avaliar, gerenciar e controlar eventos potenciais.
   • 2. relacionamento do Risco com os Objetivos Estratégicos, operacionais ou de processo
     • O risco é inerente a toda atividade de negócio. O risco é avaliado em 03 (tres) níveis: 1. Estratégico: Utilizado para guiar a organização por um periodo de tempo de 5 a 10 anos. 2. De processo (programa ou processo): utilizada para desenvolver e administrar o período atual de atividade organizacional.  3. Operacional: Utilizado nas operações diárias
     • Avaliação de risco estratégico geralmente é limitada a avaliação (identificação, mensuração e priorização de risco). Avaliação de risco operacional é focada na gestão de riscos padroes do local de trabalho. A avaliação de risco de projeto apresenta uma mistura de ambos: avaliação de risco na fase do planejamento e gestão de riscos na fase da implantação. A avaliação de risco de negocio nos tres niveis é essencial para identificar as ameaças, oportunidades e alternativas.
     • O processo de avaliação de risco estrategico inclui 06 passos: 1. Ganhar um compreensão das metas e objetivos da organização 2. Escolher os riscos estrategicos que provavelmente serão de maior importancia para a organização 3. Definir os varios ambientes que são importantes para a organização (politica, tecnologia, legal, clientes) 4. Criar uma série de matrizes com áreas de risco estratégicos colocadas no eixo topo e ambientes junto do eixo lateral. 5. Utilizando varios processos criativos como brainstorm, imagine cenários de possíveis ameaças e oportunidades para cada uma das celulas na matriz. 6. Combinar as avaliaç~eos de risco para varias emtas e objetivos.
     • Gestão de Risco Operacional: - Consiste na mitigação diaria de riscos de segurança e saude de empregados. - Devem ser avaliados também a partir de uma perspectiva operacional (diaria)
   • 4. Avaliação de Impacto
     • O papel da alta administração é supervisionar o estabelecimento, administração e avaliação do sistema de gestão de riscos e processos de controle.  Conselhos e comitês de auditoria tem um papel de supervisão ao determinar que os processos de gestão de riscos apropriados existam e sejam adequados e eficazes.  Os auditores internos devem auxiliar tanto a administração como o comitê de auditoria examinando, avaliando, comunicando e recomendando melhorias na adequação e eficácia dos riscos e processos de controle de duas organizações.  Os auditores internos ao atuar em um papel de consultoria podem auxiliar a organização na identificação, avaliação e implantação de metodologias de gestão de riscos e controles para gerenciar esses riscos.
     • Os 05 (cinco) objetivos chaves de um processo de gestão de riscos: 1) Riscos são identificados e priorizados 2) Determinar o nivel de risco aceitável para a organização 3) atividades de redução de riscos são projetada para mitigar ou de administrar o risco a niveis determinados como aceitaveis pela administração e o conselho. 4) atividades de monitoramento são realizadas para reavaliar o risco e a eficácia dos controles na gestão de risco.  5) O conselho e a administração recebem relatorios periodicos dos resultados do processo de gestão de riscos.
     • A AAC é um meio para melhorar a comunicação entre os empregados e gerentes e pode resultar na identificação de riscos especificos e melhorar os controlws necessarios apra mitigar estas exposições.
   • 3. Tolerância a Risco, Risco Residual e exposição a Risco.
     • A avaliação de riscos inclui um processo de tres passos: 1) Identificação de riscos: quais os riscos e suas consequencias 2) Medição de Riscos: medindo as consequencias e impactos 3) Priorização de riscos: classificação dos resultados Tomar decisões sobre como tratar os riscos:  1. Evitar o risco: eliminar riscos particulares, minimizar os riscos ou mudar a natureza dos riscos. 2. Controlar o risco: Controlar o processo que minimiza as consequencias e severidade da ocorrencia do risco. (inclui aceitar riscos) 3. Compartilhar o risco: atraves de arranjos contratuais (fornecedores, clientes, seguradoras) 
     • Sempre há uma quantidade de risco residual restante depois que todos os esforços tiverem sido feitos para evitarem, controlarem e compartilharem. Se o risco residual for alto demais, então a tarefa não deve ser feita.

2. B. Modelos/Estruturas de Risco (P)

   • Gestão de riscos na empresa: a) É um processo. Um meio e não um fim si mesmo. b) É realizada por pessoas. Não inclui apenas pesquisas etc c) É aplicada na definição da estratégia. d) é aplicada a toda empresa, em cada nivel e) é destinada a identificar eventos possíveis de afetar a organização e a gerenciar o risco dentro de seu apetite f) proporciona razoavel certeza para a administração e o conselho de uma organização g) É voltada para o cumprimento dos objetivos de uma ou mais categorias isoladas.
   • A gestão de riscos não é um evento ou circunstancia isolada, mas uma serie de ações que permeiam as atividades de uma organização. Nenhuma organização opera em um ambiente livre de risco e a gestão de risco na empresa não cria tal ambiente. Ao inves disso, a gestão permite a administração atuar mais eficazmente em ambientes plenos de riscos.
   • A gestão de riscos na empresa proporciona uma crescente capacidade para: 1) Alinhar o apetite a risco e a estrategia2) Associar crescimento, risco e retorno3) Melhorar as decisões de resposta ao risco4) Minimizar surpresas e perdas operacionais 5) identificar e gerenciar riscos na empresa como um todo 6) Proporcionar respostas integradas a riscos multiplos 7) Aproveitar oportunidades 8) Racionalizar a utilização de capital 
   • A gestão de riscos está interrelacionada com a governança corporativa, com a gestão de desempenho e com o controle interno. A gestão de riscos na empresa auxilia a organização a alcançar seus objetivos de desempenho e lucratividade e evitam o desperdicio de recursos. A gestão de risco alinha os objetivos da missão/visão da organização e assegura que sejam consistentes com o apetite a risco da organização.  Os objetivos da organização podem ser vistos no contexto de 04 (quatro) categorias: a) Estrategico b) Operacional c) Comunicação d) conformidade
   • A Gestão de Riscos compreende oito componentes: 1) Ambiente Interno: Filosofia em relação aos riscos. O ambiente que o pessoal opera: integridade, valores eticos, competencia. 2) Definição de Objetivos: Objetivos devem existir antes de se identificar possiveis eventos 3) Identificação de Eventos: eventos potenciais que podem impactar numa organização devem ser identificados. identificar fatores interno e externo.  4) Avaliação de Riscos: Avaliação do risco residual e inerente. Os riscos são associados com os objetivos relacionados que podem ser afetados. 5) Resposta ao Risco: identificação e avaliação de possiveis respostas aos riscos, incluindo evitar, controlar e compartilhar riscos.  6) Atividade de Controle: políticas e procedimentos para assegurar que as respostas a riscos sema executadas de forma eficaz. 7) Informação e Comunicação: é necessaria para identificação, avaliação e resposta ao risco.  8) Monitoramento: continuo, permite modificações a serem feitas conforme necessario.
   • O COSO reforça o conceito de autoavaliação e a responsabilidade da administração pela manutenção e monitoramento do controle interno. Fazem parte do COSO que as principais metas para a manutenção da eficácia e eficiência das operações são assegurar a confiabilidade dos relatórios financeiros e o cumprimento de leis e regulamentações aplicáveis. A Missão do COSO era melhorar a qualidade da emissão de relatórios financeiros através de um enfoque em governança corporativa, controles internos e normas éticas. O COSO também trata das limitações do sistema de controle interno e dos papéis e responsabilidades das partes que afetam um sistema. As limitações incluem o erro de julgamento humano, incorreta compreensão de instruções, erros, sobreposição aos controles por parte da administração, conluio e consideraçoes de custo/beneficio. O controle é um processo destinado a proporcionar razoavel certeza em relação ao cumprimento dos objetivos da organização nas seguintes categorias: a) Eficácia e eficiência das operações.b) Confiabilidade da emissão de relatórios financeiros.c) Conformidade as leis e regulamentações aplicáveis
   • O Controle interno consiste de cinco componentes inter-relacionados: 1) Ambiente de Controle: integridade, valores éticos e competência. O ambiente no qual esses fatores operam. 2) Avaliação de Risco: estabelecimento de mecanismos para identificar, analisar e gerenciar os riscos. 3) Atividades de Controle: políticas e procedimentos de controle devem ser estabelecidos e aplicados para tratar os riscos de forma eficaz 4) Informação e Comunicação: As pessoas devem coletar e trocar informações necessárias para conduzir, gerenciar e controlar suas operações. 5) Monitoramento: Processo completo deve ser monitorado e modificações devem ser feita conforme o necessário.

3. C. Compreensão dos riscos inerentes nos processos gerais de negócio (P)

   • A AAC promove metodos eficazes para identificar e compreender os riscos inerentes as praticas gerais do negocioes riscos. Uma das metas iniciais das equipes de trabalho é identificar as deficiencias de controle e os riscos e desenvolver formas para gerenciar e monitorar estes riscos. A meta final é assegurar que todos os riscos significativos sejam gerenciado de forma adequada a um nível de aceitação de exposição (riscos residuais). A equipe de trabalha na AAC avalia quão bem os controles reduzem estes riscos e promovem o cumprimento dos objetivos.
   • Os riscos inerente sãos possiveis efeitos adversos com base apenas no tipo de atividade. Os auditores devem entender como avaliar risco inerente e vulnerabilidade. A vulnerabilidade está diretamente relacionada a eficácia dos controles que estão em funcionamento ( Controles fracos=alta vulnerabilidade)  A vulnerabilidade/risco de controle é determinado depois da classificação do risco inerente.
   • As metas das avaliações de vulnerabilidade é determinar a extensão em que uma área de revisão é suscetível a desperdício, abuso ou fraude desvio a natureza da operação e de seu ambiente. As caracteristicas de um ambiente eficaz: a) A Adm comunicar a importancia dos controles internos b) A Adm enfatizar e valorizar competencia, integridade e comportamento ético. c) os empregados tem as responsabilidades claramente definidas d) Os empregados prestam contas de seus desempenhos. e) Um sistema está em funcionamento apra identificar os riscos e monitorar os controles f) A organização tem um codigo de conduta forte g) A organização tem uma politica de etica forte h) A organização tem um avaliação de desempenho, compensação e sistema de promoção justo e consistente de empregado.
   • Riscos inerente é a incerteza ou exposições que existem presumindo-se que nenhum controle esteja em funcionamento. Os gerentes estão operando em um ambiente cada vez mais complexo e global e o risco é um elemento central da governança corporativa. Novas considerações na Avaliação de Risco Macro: O mais importante destes insights é a utilização do plano estratégico para extrair os elementos do universo da auditoria. O novo paradigma da auditoria reverte o relacionamento para utilizar o plano estrategico para criar o universo de auditoria.
   • Não deve mais focar nos controles mas nos riscos. A auditoria com base nos riscos tem o potencial extra de ser um processo de auditoria interna mais rápido e mais eficiente. É sempre preferivel antecipar e evitar uma exposição a risco/falha de controle do que é consertá-los depois que o dano tiver sido ocorrido.

4. D. Aplicação de Técnicas de Identificação e Avaliação de Riscos (P)

   • A Administração é a responsavel final pela identificação dos riscos e por desenvolver uma estrutura para mitigar riscos inaceitaveis para fornecer um nivel aceitavel de tolerancia a risco. A implantação de processos especificios para mitigar os riscos é a base da gestão de riscos. Auditoria baseada em risco e um modelo que incorpora o relacionamento de risco com os objetivos ou processo operacional. A auditoria com base em risco é projetada para aumentar a eficiência e a eficácia da auditoria. Embora os auditores internos sejam frequentemente considerados peritos no controles interno, gestão de riscos é de responsabilidade da administração.
   • A gestão de riscos é de responsabilidade da administração. A perícia da auditoria interna está no tratamento dos riscos. A AUDIN pode aconselhar sobre muitos aspectos de risco, contudo não está dentro da competencia profissional da auditoria interna se: a) aspectos de alto risco das atividades da organização devem ser terminados b) os riscos devem ser transferidos para outra organização (ex: empresas de seguro) c) A organização deve tolerar riscos particulares aos quais ela considera improprio responder de qualquer outra maneira.
   • - Os objetivos do trabalho de auditoria devem refletir os resultados da avaliação de risco. - Um levantamento permite uma abordagem abrangente para o planejamento e realização de um trabalho de auditoria e é uma ferramenta eficaz para aplicar os recursos da atividade de auditoria interna onde podem ser utilizados de forma mais eficaz. - Um resumo dos resultados deve ser preparado na conclusão do levantamento. O resumo deve identificar: a) assuntos significativos de trabalho e razões para profundar as análises b) informações pertinente desenvolvida durante o levantamento c) objetivos do trabalho, procedimentos de trabalho e abordagens especiais tais como técnicas de auditoria auxiliadas por computador d) pontos de controle crítico potencial, deficiencia de controle e/ou controles de excesso e) estimativas preliminares de tempo e exigências de recurso f) datas revisadas para relato de fases e conclusao do trabalho. g) quando aplicável, as razões para não continuar o trabalho.

5. E. Técnicas de gestão de Riscos/Análise de Custo-Benefício (P)

   • 1. Transferir, gerenciar ou Aceitar
     • A administração pode escolher a partir de três alternativas amplas de cursos de ação para endereçar um risco específico: a) Transferir o risco: O risco pode ser transferido por exemplo ao comprarmos apólices de seguro para cobrir perdas de diversos tipos. Outro tipo é fazer sociedade com outra organização disposta a assumir uma porção do risco por alguma recompensa. b) Administrar (controlar) o risco: O risco pode ser controlado atraves de várias métricas preventivas tais como adicionar empregados para uma função, instalar alarmes contra ladrões, aumentar a frequencia e o nível de revisão de administração ou implantar normas mais firmes. c) aceitar o risco - é na realidade bastante difícil controlar ou transferir todos os riscos associados com uma área de operação. por isso, as organizações frequentemente devem decidir quanta perda elas estão dispostas a aceitar. 
   • 2. Análise do Impacto Custo-Benefício
     • - O plano de auditoria da atividade de auditoria interna deve ser projetado com base em uma avaliação de risco e exposições que poderiam afetar a organização; - O universo de auditoria pode incluir componentes do plano estratégico da organização.É aconselhavel avaliar o universo da auditoria pelo menos numa base anual para refletir as estrategias mais atuais e a direção da organização. Ao desenvolver os planos de auditoria, os resultados do processo de gestão de riscos devem ser considerados.
     • - Os roteiros de trabalho devem ser com base, entre outros fatores, em uma avaliação da prioridade e exposição a risco. - A maioria dos modelos de risco utilizam fatores de risco para estabelecer a prioridade do trabalho de avaliação como: a) materialidade financeira b) liquidez dos ativos c) competencia da administração d) qualidade dos controles internos e) grau de mudança ou estabilidade f) tempo desde a ultima auditoria g) compelxidade h) relações entre empregado e governo; etc.
     • - Mudanças na direção,objetivos, enfase e enfoque na administração devem ser refletidos em atualizações no universo de auditoria e plano de auditoria. - o relatório e a comunicação à administração devem passar a conclusão e recomendações da gestão de risco para reduzir as exposições. Para que a Administração posso compreender totalmente o grau de exposição, é crítico que o relatório de auditoria identifique a criticidade e a consequencia da atividade de risco para alcançar os objetivos. - O CAE deve ao menos anualmente preparar uma declaração sobre a adequação dos controles internos para mitigar os riscos. Esta declaração deve também comentar sobre o significado do risco não mitigado e da aceitação da administração de tal risco.
     • - Tanto os riscos quanto suas consequencias são mensuraveis sob tres dimensões: 1. Ocorrencia  de risco é a probabilidade da possibilidade de que o risco irá criar uma consequencia que poderia afetar materialmente nossa capacidade de alcançar nossas metas de negócio.  2. A severidade das consequencias é outra dimensão da medição de risco. A severidade da consequencia frequentemente depende da operação dos controles interno. Alguns controles reduzem as consequencias para eventos imateriais. Estes controles internos que reduzem as consequencias a imaterialidade são testados no programa de auditoria. 3. O timing de um risco e a duração de sua consequencia é a terceira dimensão da medição de riscos. Os riscos podem ter consequencias que variam em severidade dependendo de quando no processo de negócio elas ocorrem e quanto tempo o efeito da consequencia dura. ex: risco de interrupção do processamento de computação de um banco. - A implantação de controles para reduzir quaisquer riscos identificados deve ser menor do que as perdas potenciais.