Uma unidade de controle interno examinou o sistema integrado de gestão de determinada autarquia. A auditoria constatou que o mesmo usuário possuía permissões para cadastrar fornecedores, autorizar pagamentos e alterar os dados bancários dos beneficiários. Embora não fossem identificadas operações fraudulentas, a equipe reconheceu que a concentração dessas funcionalidades poderia dificultar a prevenção e a detecção de irregularidades.

Considerando os princípios de controle de acesso e segregação de funções em sistemas informatizados, assinale a afirmativa CORRETA.

De acordo com o modelo COSO, o controle interno não é um evento único, mas um processo desenvolvido para fornecer segurança razoável quanto a realização de objetivos. Assinale a alternativa que indica CORRETAMENTE um dos objetivos principais buscados por esse sistema de controle. 

O modelo de maturidade do controle interno — baseado no COSO-IC e adaptado pelo TCU e pela CGU para o setor público brasileiro —, classifica as organizações em níveis progressivos de desenvolvimento dos controles internos. O nível de maturidade que descreve a organização cujos controles internos são documentados, padronizados e comunicados formalmente — com processos definidos e aplicados de forma consistente —, mas ainda sem mecanismos sistemáticos de monitoramento contínuo e melhoria baseada em evidências, é o nível denominado: 

Os controles internos são classificados conforme o momento de atuação em relação à ocorrência do evento de risco. O controle denominado detectivo — que atua após a ocorrência do evento, identificando erros, irregularidades ou fraudes já consumadas para acionar a resposta corretiva —, diferencia-se do controle preventivo porque: 

A auditoria baseada em riscos — ABR —, é metodologia que orienta o planejamento e a execução dos trabalhos de auditoria interna pela priorização das áreas e processos de maior risco para os objetivos organizacionais. O documento que formaliza o universo auditável — relacionando todos os processos, unidades e sistemas passíveis de auditoria — , com a pontuação de risco inerente e residual de cada objeto, e que orienta a seleção dos trabalhos a serem incluídos no Plano Anual de Auditoria Interna — PAINT —, é denominado:

No framework COSO ERM (Gestão de Riscos Corporativos integrada com Estratégia e Desempenho), o conceito que expressa a quantidade e o tipo de risco que uma organização está disposta a aceitar na busca pela geração de valor é a(o):

A gestão de riscos no setor público é regulamentada pela IN Conjunta MP/CGU nº 1/2016 e orientada pelo COSOERM 2017. O processo de gestão de riscos denominado tratamento do risco — quarta etapa do ciclo de gerenciamento —, oferece quatro respostas possíveis ao risco identificado e avaliado. A resposta ao risco que consiste em eliminar a atividade ou processo que origina o risco — aceitando não obter o benefício associado à atividade —, sendo indicada quando o risco residual supera o apetite ao risco mesmo após a aplicação de controles, é denominada:

Um Município implantou sistema integrado de gestão financeira. Para agilizar pagamentos, foi criada funcionalidade pela qual o mesmo usuário pode cadastrar os dados bancários do fornecedor, alterar a conta de destino, autorizar a ordem de pagamento e transmitir o arquivo eletrônico à instituição financeira. O sistema registra apenas o usuário que realizou a última operação, sobrescrevendo o histórico das alterações anteriores. Segundo a empresa desenvolvedora, a existência de senha individual seria suficiente para garantir a segurança do processo. Considerando controles internos e tecnologia aplicada às finanças públicas, analise as proposições:

I. A utilização de credenciais individuais é relevante, mas não elimina a necessidade de controles sobre perfis e privilégios de acesso.

II. A preservação do histórico de alterações e de trilhas de auditoria permite identificar quem realizou determinada operação, quando ela ocorreu e, conforme a arquitetura do sistema, quais dados foram modificados.

III. A concentração, no mesmo usuário, das funções de alteração de dados bancários e autorização/transmissão de pagamentos pode aumentar o risco operacional e de fraude, recomendando-se adequada segregação de funções.

IV. A integração eletrônica com a instituição bancária torna dispensável a conciliação posterior, pois a transmissão bem-sucedida do arquivo comprova definitivamente que todos os pagamentos foram processados pelos valores e destinatários corretos.

Está correto o que se afirma em:

Sobre a governança, os controles internos e a gestão de riscos na auditoria do Sistema Único de Saúde (SUS), analisar os itens:

I. A auditoria interna ocupa a terceira linha e fornece uma avaliação independente sobre a governança, a gestão de riscos e os controles internos.
II. O risco residual corresponde ao risco inerente multiplicado pelo Fator de Avaliação do Controle, que representa os efeitos dos controles existentes.
III. A equipe de auditoria define a resposta final ao risco identificado e determina as ações de tratamento que serão implementadas pela unidade auditada.
IV. Os riscos altos e extremos recebem prioridade, enquanto os riscos médios e baixos podem integrar o trabalho conforme o julgamento da equipe.
V. Os testes de controle verificam a existência, a efetividade, a continuidade e o funcionamento dos controles conforme o planejamento estabelecido.

Está CORRETO o que se afirma:

A implantação da gestão de riscos numa Câmara Municipal supõe um encadeamento ordenado de atividades, cada qual com produto próprio e com dependência em relação à que a precede. Considere as atividades desse processo listadas abaixo:

(1) Compreensão da natureza do risco e de suas características, inclusive do nível de risco, considerando fontes, consequências e probabilidade.
(2) Seleção e implementação de opções destinadas a modificar o risco, tais como evitar a atividade, alterar a probabilidade ou compartilhar a exposição.
(3) Reconhecimento e descrição dos riscos capazes de afetar o alcance dos objetivos, com o levantamento de suas fontes e dos eventos correspondentes.
(4) Comparação dos resultados obtidos com os critérios previamente estabelecidos, a fim de decidir onde é necessária ação adicional.

Assinale a alternativa que apresenta a ordem sequencial correta em que essas atividades se desenvolvem:

Durante a revisão dos processos administrativos de uma escola pública, a direção identifica uso compartilhado de credenciais para acesso a um sistema, ausência de rotina de conferência de documentos e concentração de algumas etapas de autorização e verificação no mesmo servidor. A equipe pretende reorganizar os controles sem acrescentar procedimentos que não contribuam para os objetivos institucionais. Sobre gerenciamento de riscos e controles internos, julgue as afirmações abaixo como Verdadeiras (V) ou Falsas (F):

(__) A identificação de riscos deve considerar eventos capazes de comprometer os objetivos associados aos processos analisados.
(__) A concentração de autorização, execução e conferência no mesmo agente fortalece o controle ao permitir acompanhamento integral da operação.
(__) Controles preventivos buscam reduzir a ocorrência de eventos de risco, enquanto controles detectivos auxiliam na identificação de ocorrências.
(__) A definição dos controles deve considerar os riscos relevantes e a finalidade do processo, evitando procedimentos sem contribuição proporcional para o controle.

A sequência correta, de cima para baixo, é:

O gerenciamento de controles internos e de riscos apoia a fidedignidade da informação contábil e a proteção dos objetivos organizacionais. Acerca do assunto, registre V para as afirmativas verdadeiras e F para as falsas:

(__)O gerenciamento de riscos identifica, avalia e trata os eventos que podem afetar os objetivos da organização.
(__)O controle interno tem por finalidade substituir a atuação da auditoria independente no âmbito da entidade.
(__)O apetite a risco corresponde ao nível máximo de perda tolerado após a concretização do evento de risco.
(__)A segregação de funções é um procedimento de controle interno que reduz o risco de fraudes e de erros.

Após análise, assinale a alternativa que apresenta a sequência correta dos itens acima, de cima para baixo:

Em relação à governança e controles internos, julgue os itens a seguir. 

I A atividade de auditoria interna é responsável por avaliar os processos de gerenciamento de riscos da organização e sua eficácia, incluindo aqueles relacionados a riscos de fraude.
II Em suas avaliações de riscos, os auditores internos devem estimar apenas o risco inerente;
III Risco residual, ou risco líquido, é a parte do risco inerente que permanece após a gestão executar suas estratégias de gerenciamento de risco.

Assinale a alternativa correta. 

Na auditoria da folha, a equipe confirmou pagamentos duplicados. Os lançamentos retroativos são inseridos por dois canais, passam por uma conferência agregada e carecem de validação preventiva entre si. A gestão iniciou a recuperação dos valores. Qual é a recomendação que trata a causa e permite um monitoramento objetivo?

O Sistema de Controle Interno deve possuir uma estruturação baseada em metodologias internacionalmente reconhecidas. Associe a segunda coluna de acordo com a primeira, relacionando os componentes do controle interno do modelo COSO com as suas respectivas descrições:

Primeira coluna: componente do controle interno

1.Ambiente de controle

2.Avaliação de riscos

3.Atividades de controle

Segunda coluna: descrição

(__)Políticas e procedimentos de controle estabelecidos e aplicados para auxiliar e assegurar que as ações identificadas pela administração para tratar os riscos sejam realizadas de forma eficaz.

(__)Base para os demais componentes que provê uma atmosfera na qual as pessoas cumprem suas responsabilidades, relacionando-se à integridade, aos valores éticos e à competência do pessoal.

(__)Processo no qual os riscos são avaliados considerando-se a sua probabilidade e o impacto como base para determinar o modo pelo qual deverão ser geridos e qual resposta será dada.

Assinale a alternativa que apresenta a correta associação entre as colunas:

A avaliação de controles internos apoia-se em uma estrutura integrada de componentes inter-relacionados. De acordo com a estrutura de controle interno consagrada (COSO), analise as afirmativas a seguir:

I. O ambiente de controle constitui a base do sistema de controle interno, refletindo a cultura e os valores éticos da organização.
II. As atividades de controle são as políticas e os procedimentos que asseguram o cumprimento das diretrizes para mitigar os riscos.
III. O monitoramento avalia, ao longo do tempo, a qualidade e a efetividade do funcionamento dos controles internos.

Está CORRETO o que se afirma em:

A Mesa Diretora de uma Câmara Municipal, com o objetivo de fortalecer a governança e entregar maior valor público, instituiu um novo portal de transparência. Para garantir a segurança e a conformidade do projeto, o Presidente da Câmara determinou, por portaria, que a Auditoria Interna do Poder Legislativo Municipal assumisse a responsabilidade primária de implantar as respostas aos riscos tecnológicos diários da plataforma, bem como tomasse as decisões gerenciais sobre o compliance do projeto. Considerando a situação hipotética e o modelo de Três Linhas de Defesa preconizado no manual de Avaliação de Maturidade da Gestão de Riscos do TCU, assinale a alternativa correta:

Considere as afirmativas relacionadas à gestão de riscos e controle no setor público apresentadas a seguir. Registre V, para verdadeiras, e F, para falsas:

(__)O ambiente de controle provê uma atmosfera na qual as pessoas conduzem suas atividades e cumprem suas responsabilidades, estando relacionado aos controles não operacionais, como a integridade e os valores éticos da organização.
(__)A atitude de aceitar o risco não é considerada uma resposta válida ao risco, pois representa uma inércia passiva na qual nenhuma opção foi identificada para reduzir o seu impacto.
(__)Diferentemente das atividades de controle, que visam tratar os riscos, o monitoramento tem o objetivo de identificar fragilidades e possibilidades de melhorias.
(__)Durante a identificação de eventos, situações em potencial que ainda não ocorreram podem causar impacto na organização, sendo os eventos negativos classificados como riscos e os positivos, como oportunidades.

Assinale a alternativa que apresenta a sequência correta:

Durante a elaboração da matriz corporativa de riscos de um órgão legislativo, identificou-se evento cuja ocorrência poderia comprometer significativamente a confiabilidade dos dados utilizados na formulação de decisões estratégicas. Após a aplicação da metodologia institucional de avaliação de riscos, o evento foi enquadrado em faixa de criticidade elevada, demandando tratamento prioritário e acompanhamento pela alta administração. Considerando as práticas contemporâneas de gestão de riscos, a classificação atribuída ao evento decorre de:

Após identificar risco relevante relacionado à execução contratual, a administração da Assembleia Legislativa promoveu alterações na forma de execução da atividade, redefiniu procedimentos administrativos e revisou os mecanismos de governança aplicáveis ao processo, em conformidade com a política institucional de gestão de riscos. À luz das boas práticas de gestão de riscos, a estratégia adotada caracteriza predominantemente: