Uma autarquia estadual que atua na área de educação está implementando melhorias em seu sistema de governança. Porém, durante uma ação da unidade de auditoria interna da autarquia, os auditores constataram que, embora existam diretrizes formalizadas para contratação e gestão de fornecedores, decisões críticas continuam sendo tomadas por gestores intermediários, sem avaliação estruturada de riscos. Não foram encontradas evidências de que a administração da autarquia tenha definido claramente seu apetite a risco. Ao analisar o fluxo de aprovação de projetos recentes, os auditores identificaram também que nenhum processo formal foi utilizado para identificar eventos que possam comprometer o alcance dos objetivos institucionais.
À luz da Estrutura Integrada de Controle Interno (COSO I) e dos componentes definidos na estrutura, essa situação hipotética ilustra o comprometimento do princípio do(a):

Uma equipe de auditoria foi designada para examinar a conformidade de 18.000 registros de concessões de benefícios realizadas por um órgão federal. Em decorrência do volume, não há possibilidade de a equipe revisar toda a população. A equipe precisa selecionar uma amostra probabilística que assegure que todos os elementos da população tenham probabilidade conhecida e diferente de zero de serem selecionados. Adicionalmente, a técnica utilizada para isso deve permitir a redução da variabilidade interna da amostra, dado que os benefícios têm características distintas quanto à natureza (assistenciais, previdenciários e indenizatórios) e quanto ao valor médio concedido.
Considerando as definições clássicas de amostragem em auditoria, a técnica probabilística mais apropriada para essa auditoria é a amostragem:

No decurso de uma auditoria interna em uma instituição federal de educação, a área de auditoria teve acesso a documentos contendo dados pessoais sensíveis de estudantes, tais como histórico acadêmico, dados de renda e documentos de identificação pessoal. Os auditores também acessaram informações estratégicas da instituição, que incluem dados financeiros, planejamento de investimentos e convênios. Após a conclusão do trabalho, um dos auditores da equipe foi realocado para outra área da instituição. Esse auditor mantivera, em seu dispositivo pessoal de armazenamento, (laptop), cópias de relatórios e planilhas com essas informações confidenciais, “para consulta futura”. Posteriormente, esse dispositivo foi danificado e os dados se tornaram potencialmente acessíveis a terceiros.
À luz dos requisitos abordados nas Normas Globais de Auditoria Interna (The IIA, 2024), especificamente no item 5.2 – Proteção das Informações, a evidência de não conformidade diretamente violada pela atuação desse auditor interno é: