22 Função de auditoria interna

As instituições estabelecem uma função de auditoria interna (FAI) independente e efetiva, tendo em conta os critérios de proporcionalidade estabelecidos no Título I, e nomeiam uma pessoa responsável por esta função em toda a instituição. A FAI deve ser independente e ter autoridade, estatuto e recursos suficientes. Em particular, a instituição assegura que as qualificações dos membros do pessoal da FAI e os recursos da FAI, nomeadamente as suas ferramentas de auditoria e métodos de análises de risco, são adequados à dimensão e às localizações da instituição, bem como à natureza, escala e complexidade dos riscos associados ao modelo de negócio, às atividades, à cultura de risco e à apetência pelo risco da instituição.

A FAI deve ser independente em relação às atividades auditadas. Por conseguinte, não deve ser combinada com outras funções.

Adotando uma abordagem baseada no risco, a FAI avalia com independência e fornece uma garantia objetiva da conformidade de todas as atividades e unidades da instituição, incluindo as atividades subcontratadas, com as políticas e os procedimentos da instituição e com requisitos regulamentares. Todas as entidades do grupo são consideradas no âmbito da FAI.

A FAI não é envolvida no desenho, seleção, definição e implementação de políticas, mecanismos e procedimentos específicos de controlo interno e limites de risco. Contudo, tal não deve impedir o órgão de administração na sua função de gestão de solicitar o parecer da auditoria interna sobre questões relacionadas com risco, controlos internos e conformidade com as regras aplicáveis.

A FAI avalia se o quadro de controlo interno da instituição, tal como definido na Secção 15, é efetivo e eficiente. Em especial, a FAI avalia:

• a. A adequação do quadro de governo da instituição;
• b. Se as políticas e os procedimentos existentes permanecem adequados e cumprem os requisitos legais e regulamentares, bem como a estratégia de risco e a apetência pelo risco da instituição;
• c. A conformidade dos procedimentos com as leis e os regulamentos aplicáveis e com as decisões do órgão de administração;
• d. Se os procedimentos são implementados de forma correta e efetiva (p. ex., a conformidade das operações, o nível do risco efetivamente incorrido, etc.); e
• e. A adequação, qualidade e eficácia dos controlos efetuados e do reporte realizado pelas unidades de negócio de defesa, e pelas funções de gestão de riscos e de conformidade.

A FAI verifica, em particular, a integridade dos processos que garantem a fiabilidade dos métodos e técnicas da instituição, bem como dos pressupostos e fontes de informação utilizados nos seus modelos internos (p. ex., modelização do risco e mensuração contabilística). Avalia igualmente a qualidade e a utilização de ferramentas qualitativas de identificação e avaliação dos riscos e as medidas de mitigação dos riscos tomadas.

A FAI deve ter livre acesso, ao nível de toda a instituição, a todos os registos, documentos, informações e instalações da instituição. Tal deve incluir o acesso a sistemas informáticos de gestão e a atas de todos os comités e órgãos de decisão.

A FAI deve observar as normas profissionais nacionais e internacionais. São exemplo das normas profissionais aqui referidas as normas estabelecidas pelo Instituto de Auditores Internos ( Institute of Internal Auditors - IIA).

O trabalho de auditoria interna é efetuado de acordo com um plano de auditoria e com programas de auditoria pormenorizados, utilizando uma abordagem baseada no risco.

Deve ser elaborado um plano de auditoria interna, pelo menos, uma vez por ano, com base nos objetivos anuais de controlo da auditoria interna. O plano de auditoria interna é aprovado pelo órgão de administração.

Todas as recomendações de auditoria são objeto de um procedimento de seguimento formal por parte dos níveis de gestão adequados, a fim de assegurar e apresentar relatórios sobre a sua resolução eficiente e atempada.