Ao mapear os controles internos de uma prefeitura segundo o modelo de referência que distribui os papéis de gestão, apoio e avaliação de riscos, a controladoria descreveu atuações concretas de diferentes atores. Associe cada papel da Coluna I à atuação correspondente da Coluna II: Coluna I 1. Primeira linha. 2. Segunda linha. 3. Terceira linha. 4. Prestador externo de avaliação.
Coluna II (__) Especialistas sem responsabilidade pela execução dos contratos elaboram a metodologia de riscos, monitoram indicadores e questionam as secretarias sobre falhas. (__) Órgão alheio à estrutura da prefeitura realiza exame adicional para atender a exigências legais e regulatórias e complementar as fontes internas de asseguração. (__) A secretaria que executa os contratos de manutenção viária identifica os riscos de sobrepreço do próprio processo e mantém os controles de medição. (__) Unidade que se reporta ao colegiado máximo, sem responsabilidade de gestão, comunica avaliação e assessoria independentes e objetivas sobre os controles. Assinale a alternativa que apresenta a associação CORRETA, de cima para baixo: 

Sobre os princípios de controle interno e de ética no serviço público aplicados às rotinas administrativas e às contratações da Câmara Municipal, analise as afirmativas a seguir:

I. A segregação de funções busca evitar que o mesmo agente atue simultaneamente em tarefas administrativas suscetíveis a risco, reduzindo a possibilidade de ocultação de erros e ocorrência de fraudes.

II. A segregação de funções prevista na Lei nº 14.133/2021 alcança os agentes da contratação, mas deixa fora de seu âmbito o assessoramento jurídico e o controle interno.

III. O controle preventivo atua antes ou durante o processo para reduzir riscos, enquanto o controle detectivo identifica ocorrências e subsidia providências corretivas posteriores cabíveis pela gestão da Administração Pública.

IV. A existência de registros completos comprova, por si, a efetividade do controle interno, mesmo quando o procedimento documentado permanece incapaz de reduzir o risco originalmente identificado pela Administração Pública.

V. A alta administração deve implementar processos e estruturas de gestão de riscos e controles internos para avaliar, direcionar e monitorar os processos licitatórios e os respectivos contratos da instituição.

Está(ão) correta(s) a(s) afirmativa(s): 

Uma fundação pública estadual iniciou a implantação da gestão de riscos tomando como referencial a ABNT NBR ISO 31000, com aprovação de política institucional, definição de responsabilidades e capacitação dos gestores. Ao longo do projeto, a equipe levantou dúvidas sobre os princípios, a estrutura e o processo descritos na norma. Com base nas diretrizes da ISO 31000 aplicadas ao setor público, indique a alternativa correta.

Durante a revisão anual de sua carteira de riscos, uma autarquia estadual identificou que, mesmo após a aplicação dos controles existentes, determinado risco operacional permanecia acima do nível que a alta administração se dispôs a aceitar na busca de seus objetivos. A equipe técnica divergiu sobre os conceitos envolvidos e sobre qual deveria ser a conduta adequada diante desse cenário. Considerando os fundamentos da gestão de riscos aplicada às organizações públicas, indique o item correto. 

O dirigente de um órgão público determinou que a gestão de riscos deixasse de funcionar como rotina burocrática de preenchimento de matrizes e passasse a apoiar, de fato, as decisões estratégicas e a entrega de resultados à sociedade. A equipe técnica, contudo, diverge sobre a finalidade da gestão de riscos, seu vínculo com a estratégia e a distinção entre conceitos fundamentais do modelo COSO. Diante desse cenário, assinale a alternativa correta.

Uma unidade de controle interno examinou o sistema integrado de gestão de determinada autarquia. A auditoria constatou que o mesmo usuário possuía permissões para cadastrar fornecedores, autorizar pagamentos e alterar os dados bancários dos beneficiários. Embora não fossem identificadas operações fraudulentas, a equipe reconheceu que a concentração dessas funcionalidades poderia dificultar a prevenção e a detecção de irregularidades.

Considerando os princípios de controle de acesso e segregação de funções em sistemas informatizados, assinale a afirmativa CORRETA.

Durante avaliação dos procedimentos de uma secretaria municipal, o técnico de controle interno constatou que um servidor era responsável por solicitar materiais, confirmar seu recebimento, registrar as entradas no estoque e autorizar a baixa dos itens utilizados. A chefia informou que a concentração das tarefas resultava do reduzido quadro de pessoal e que a unidade não dispunha de servidores suficientes para distribuir integralmente essas atribuições.

Considerando os princípios de controle interno e a adoção de controles compensatórios, assinale a afirmativa CORRETA.

De acordo com o modelo COSO, o controle interno não é um evento único, mas um processo desenvolvido para fornecer segurança razoável quanto a realização de objetivos. Assinale a alternativa que indica CORRETAMENTE um dos objetivos principais buscados por esse sistema de controle. 

O modelo de maturidade do controle interno — baseado no COSO-IC e adaptado pelo TCU e pela CGU para o setor público brasileiro —, classifica as organizações em níveis progressivos de desenvolvimento dos controles internos. O nível de maturidade que descreve a organização cujos controles internos são documentados, padronizados e comunicados formalmente — com processos definidos e aplicados de forma consistente —, mas ainda sem mecanismos sistemáticos de monitoramento contínuo e melhoria baseada em evidências, é o nível denominado: 

Conforme a atualização do Modelo das Três Linhas do Institute of Internal Auditors (IIA), a terceira linha de atuação distingue-se das demais por exercer função precípua de:

Os controles internos são classificados conforme o momento de atuação em relação à ocorrência do evento de risco. O controle denominado detectivo — que atua após a ocorrência do evento, identificando erros, irregularidades ou fraudes já consumadas para acionar a resposta corretiva —, diferencia-se do controle preventivo porque: 

A auditoria baseada em riscos — ABR —, é metodologia que orienta o planejamento e a execução dos trabalhos de auditoria interna pela priorização das áreas e processos de maior risco para os objetivos organizacionais. O documento que formaliza o universo auditável — relacionando todos os processos, unidades e sistemas passíveis de auditoria — , com a pontuação de risco inerente e residual de cada objeto, e que orienta a seleção dos trabalhos a serem incluídos no Plano Anual de Auditoria Interna — PAINT —, é denominado:

No framework COSO ERM (Gestão de Riscos Corporativos integrada com Estratégia e Desempenho), o conceito que expressa a quantidade e o tipo de risco que uma organização está disposta a aceitar na busca pela geração de valor é a(o):

A gestão de riscos no setor público é regulamentada pela IN Conjunta MP/CGU nº 1/2016 e orientada pelo COSOERM 2017. O processo de gestão de riscos denominado tratamento do risco — quarta etapa do ciclo de gerenciamento —, oferece quatro respostas possíveis ao risco identificado e avaliado. A resposta ao risco que consiste em eliminar a atividade ou processo que origina o risco — aceitando não obter o benefício associado à atividade —, sendo indicada quando o risco residual supera o apetite ao risco mesmo após a aplicação de controles, é denominada:

O Referencial Básico de Governança Pública do TCU — 3ª edição, 2020 —, estrutura a governança em três mecanismos interdependentes: liderança, estratégia e controle. O mecanismo de controle que engloba os processos de gestão de riscos, controle interno, auditoria interna e transparência — sendo o mecanismo pelo qual a organização assegura que os resultados pretendidos pela liderança e pela estratégia sejam alcançados e os desvios corrigidos —, é denominado:

Um Município implantou sistema integrado de gestão financeira. Para agilizar pagamentos, foi criada funcionalidade pela qual o mesmo usuário pode cadastrar os dados bancários do fornecedor, alterar a conta de destino, autorizar a ordem de pagamento e transmitir o arquivo eletrônico à instituição financeira. O sistema registra apenas o usuário que realizou a última operação, sobrescrevendo o histórico das alterações anteriores. Segundo a empresa desenvolvedora, a existência de senha individual seria suficiente para garantir a segurança do processo. Considerando controles internos e tecnologia aplicada às finanças públicas, analise as proposições:

I. A utilização de credenciais individuais é relevante, mas não elimina a necessidade de controles sobre perfis e privilégios de acesso.

II. A preservação do histórico de alterações e de trilhas de auditoria permite identificar quem realizou determinada operação, quando ela ocorreu e, conforme a arquitetura do sistema, quais dados foram modificados.

III. A concentração, no mesmo usuário, das funções de alteração de dados bancários e autorização/transmissão de pagamentos pode aumentar o risco operacional e de fraude, recomendando-se adequada segregação de funções.

IV. A integração eletrônica com a instituição bancária torna dispensável a conciliação posterior, pois a transmissão bem-sucedida do arquivo comprova definitivamente que todos os pagamentos foram processados pelos valores e destinatários corretos.

Está correto o que se afirma em:

Após assumir a gestão de um Regime Próprio de Previdência Social (RPPS), a nova administração decidiu revisar o processo de tomada de decisão relacionado aos investimentos. O diagnóstico realizado identificou concentração das decisões de alocação em um único agente, participação limitada das instâncias colegiadas, ausência de critérios formalizados para seleção e acompanhamento dos investimentos e produção de relatórios de desempenho sem comparação sistemática com os objetivos estabelecidos na política de investimentos. Diante desse diagnóstico, foram discutidas medidas destinadas ao aprimoramento da governança da gestão dos recursos.
Considerando a situação hipotética e as boas práticas de governança aplicáveis aos Regimes Próprios de Previdência Social, conforme as diretrizes do Manual do Pró-Gestão RPPS, a medida mais adequada consiste em

Em avaliação do programa de integridade de uma autarquia, o controle interno encontrou código de ética atualizado, canal de denúncias e treinamentos anuais. Apesar disso, verificou que denúncias permaneciam meses sem tratamento, riscos de fraude não eram reavaliados e as deficiências identificadas em fiscalizações anteriores não possuíam responsável ou prazo para correção. À vista desses elementos, a conclusão tecnicamente mais adequada é:

Sobre a governança, os controles internos e a gestão de riscos na auditoria do Sistema Único de Saúde (SUS), analisar os itens:

I. A auditoria interna ocupa a terceira linha e fornece uma avaliação independente sobre a governança, a gestão de riscos e os controles internos.
II. O risco residual corresponde ao risco inerente multiplicado pelo Fator de Avaliação do Controle, que representa os efeitos dos controles existentes.
III. A equipe de auditoria define a resposta final ao risco identificado e determina as ações de tratamento que serão implementadas pela unidade auditada.
IV. Os riscos altos e extremos recebem prioridade, enquanto os riscos médios e baixos podem integrar o trabalho conforme o julgamento da equipe.
V. Os testes de controle verificam a existência, a efetividade, a continuidade e o funcionamento dos controles conforme o planejamento estabelecido.

Está CORRETO o que se afirma:

A implantação da gestão de riscos numa Câmara Municipal supõe um encadeamento ordenado de atividades, cada qual com produto próprio e com dependência em relação à que a precede. Considere as atividades desse processo listadas abaixo:

(1) Compreensão da natureza do risco e de suas características, inclusive do nível de risco, considerando fontes, consequências e probabilidade.
(2) Seleção e implementação de opções destinadas a modificar o risco, tais como evitar a atividade, alterar a probabilidade ou compartilhar a exposição.
(3) Reconhecimento e descrição dos riscos capazes de afetar o alcance dos objetivos, com o levantamento de suas fontes e dos eventos correspondentes.
(4) Comparação dos resultados obtidos com os critérios previamente estabelecidos, a fim de decidir onde é necessária ação adicional.

Assinale a alternativa que apresenta a ordem sequencial correta em que essas atividades se desenvolvem: