Universo de auditoria e fatores de risco

O PAINT é sempre um recorte: a unidade nunca consegue auditar tudo em um ano. Este guia mostra como se define o universo de auditoria, como os objetos são organizados e documentados, e como priorizar quando não há informação suficiente para medir o risco real.

O que é o universo de auditoria

O universo de auditoria é o conjunto de objetos sobre os quais a unidade de auditoria pode realizar seus trabalhos. Em outras palavras: tudo aquilo que ela pode auditar.

O PAINT é sempre um recorte desse universo. A unidade não consegue percorrer todos os objetos em um único ano, então escolhe uma parte, segundo algum critério de priorização.

Como organizar os objetos

Os objetos podem ser unidades de negócio, departamentos, produtos, processos, programas, sistemas, operações, contas, divisões, funções, procedimentos ou políticas. A unidade define o que faz mais sentido para o seu contexto, mas só consegue fazer isso se entender bem a unidade auditada.

Organizar por setor é a forma mais simples, e por isso mesmo não é a mais indicada: tecnicamente é uma forma bastante ruim de definir o universo. O mais comum e mais recomendado é organizar por processos, mas isso exige que a unidade tenha processos mapeados. Se ela não tem nada além do organograma, você começa pelos setores e evolui depois.

O tamanho da unidade também pesa. Uma sorveteria pequena, com duas ou três unidades, permite um universo em nível de tarefa ou atividade, bem detalhado. Já uma controladoria com dezenas de secretarias, ou um órgão que audita vários ministérios e políticas públicas, trabalha em nível mais amplo, porque precisa de dados sobre tudo aquilo que pode auditar.

Estrutura de árvore e documentação

Duas exigências importantes: o universo de auditoria deve ser documentado, ou seja, você precisa ter por escrito qual é o seu universo; e os objetos devem ser organizados de forma hierárquica, em uma estrutura de árvore.

Exemplos reais

• STJ — no primeiro nível, áreas temáticas (governança e gestão, tecnologia da informação, aquisições e contratações, pessoas); no nível seguinte, macroprocessos (gestão estratégica, gestão documental, gestão de segurança, gestão de pessoas, gestão administrativa). A própria auditoria também pode ser auditada: é comum que alguns processos dela sejam auditáveis.
• INEP — aparecem objetos da área finalística, como ENEM, ENADE e Revalida.

Ou seja, os objetos podem vir tanto da área finalística quanto da área meio, dependendo do contexto da unidade de auditoria.

Por que a granularidade importa

O MOT recomenda começar registrando o que se conhece e ir evoluindo para objetos mais específicos à medida que se acumulam dados. Você pode partir de macroprocessos e, conforme conhece melhor o universo e obtém dados de risco em nível de processo, migrar para essa granularidade maior.

Isso tem uma consequência prática direta: quanto melhor elaborado o PAINT, mais fácil fica o planejamento de cada auditoria. Quando o plano fica em nível de macroprocesso, o objeto que chega para a equipe pode ser grande demais. Um exemplo real: uma auditoria sobre política de prevenção e combate a incêndios florestais em Mato Grosso, um objeto gigantesco, que obriga a equipe a trabalhar bastante no planejamento individual para delimitar o escopo até torná-lo auditável.

Nível de risco × fator de risco

O ideal é priorizar por nível de risco. Mas nem sempre há informação suficiente para isso, e aí entra a seleção baseada em fatores de risco.

Fatores de risco são simplificações. Você parte do pressuposto de que certas circunstâncias geram risco maior. O exemplo mais comum é a materialidade: entre um objeto que envolve um milhão de reais e outro que envolve cem mil, o fator de risco indica que o primeiro tem risco maior por movimentar mais dinheiro.

Exemplo de fatores em uso

O INEP trabalha com fatores de risco e considera, entre outros: risco à imagem, dependência de terceiros, interesse da gestão, lapso temporal, comunicação do cidadão, assuntos jurídicos, recomendações e avaliação do alcance financeiro, tirando depois uma média. No fator "risco à imagem", por exemplo, o ENEM recebe peso maior que o ENADE, por se avaliar que um problema no ENEM afetaria muito mais a reputação do órgão.

Metodologias de priorização

Duas abordagens comuns para cobrir o universo ao longo do tempo:

• Plano plurianual — cada PAINT cobre uma parte do universo, de modo que em quatro, cinco ou dez anos você percorra tudo. É comum existir um plano anual junto de um plano quadrienal.
• Classes de risco — você fragmenta o universo classificando os objetos (classe A, B, C) e define periodicidades diferentes: os de classe A são avaliados todo ano, os de classe B a cada dois anos, os de classe C a cada três ou cinco anos.

Nesse processo de priorização a unidade de auditoria tem independência: ela se organiza conforme o seu tamanho, a sua capacidade operacional e o seu contexto.

Perguntas frequentes

O que é o universo de auditoria?

É tudo aquilo que a unidade pode auditar: processos, setores, produtos, programas, sistemas, contas, políticas e assim por diante.

Como o universo de auditoria deve ser organizado?

Documentado e com os objetos organizados de forma hierárquica, em estrutura de árvore.

Qual a diferença entre nível de risco e fator de risco?

Nível de risco considera exposição e controles; fator de risco é uma simplificação (como a materialidade) usada quando falta informação, e não revela o risco real.

Como priorizar objetos quando o universo é muito grande?

Com plano plurianual (cada PAINT cobre uma parte até percorrer tudo) ou classificando objetos por risco com periodicidades diferentes.