20 Função de auditoria interna

Sempre que tenha sido estabelecida, a FAI deve ser independente e ter autoridade, estatuto e recursos suficientes. Em especial, a empresa de investimento deve assegurar que as qualificações dos membros do pessoal da FAI e os recursos da FAI, nomeadamente as suas ferramentas de auditoria e métodos de análises de risco, são adequados à dimensão e à localização da empresa de investimento, bem como à natureza, escala e complexidade dos riscos associados ao modelo de negócio, atividades, cultura de risco e apetência pelo risco da empresa de investimento.

A FAI deve ser independente em relação às atividades auditadas. Por conseguinte, não deve ser combinada com outras funções.

Adotando uma abordagem baseada no risco, a FAI deve avaliar com independência e fornecer uma garantia objetiva da conformidade de todas as atividades e unidades da empresa de investimento, incluindo as atividades subcontratadas, com as políticas e os procedimentos da empresa de investimento e com os requisitos regulamentares externos. Todas as entidades do grupo devem ser consideradas no âmbito da FAI.

A FAI não deve ser envolvida na conceção, seleção ou implementação de políticas, mecanismos, procedimentos, políticas específicas de controlo interno ou limites de risco. Contudo, tal não deve impedir o órgão de administração na sua função de gestão de solicitar

• o parecer da auditoria interna sobre questões relativas ao risco, controlos internos e conformidade com as regras aplicáveis.

A FAI deve avaliar se o quadro de controlo interno da empresa de investimento, tal como definido na Secção 15, é efetivo e eficiente. Em especial, a função de auditoria interna deve avaliar:

• a. A adequação do quadro de governo da empresa de investimento;
• b. Se as políticas e os procedimentos existentes continuam a ser adequados e cumprem com os requisitos jurídicos e regulamentares e com a estratégia de risco e a apetência pelo risco da empresa de investimento;
• c. A conformidade dos procedimentos com a legislação e regulamentos aplicáveis e com as decisões do órgão de administração;
• d. Se os procedimentos são implementados de forma correta e efetiva (por exemplo, a conformidade das operações, o nível do risco efetivamente incorrido, etc.); e
• e. A adequação, qualidade e efetividade dos controlos efetuados e do reporte realizado pelas unidade de negócio (primeira linha de defesa) e pelas funções de gestão de riscos e de conformidade.

A FAI deve verificar, em particular, a integridade dos processos que garantem a fiabilidade dos métodos e técnicas da empresa de investimento, bem como dos pressupostos e fontes de informação utilizados nos seus modelos internos (por exemplo, modelização do risco e mensuração contabilística). Deve avaliar igualmente a qualidade e a utilização de ferramentas qualitativas de identificação e avaliação dos riscos e as medidas de mitigação dos riscos tomadas.

A FAI deve ter livre acesso, ao nível de toda a empresa de investimento, a todos os registos, documentos, informações e edifícios da empresa de investimento. Tal deve incluir o acesso aos sistemas de informação de gestão e a atas de todos os comités e órgãos de decisão.

A FAI deve observar as normas profissionais nacionais e internacionais. São exemplo das normas profissionais aqui referidas as normas estabelecidas pelo Instituto de Auditores Internos (Institute of Internal Auditors - IIA).

O trabalho de auditoria interna deve ser efetuado de acordo com um plano de auditoria e com programas de auditoria pormenorizados, utilizando uma abordagem baseada no risco.

Deve ser elaborado um plano de auditoria interna, pelo menos, uma vez por ano, com base nos objetivos anuais de controlo da auditoria interna. O plano de auditoria interna deve ser aprovado pelo órgão de administração.

Todas as recomendações de auditorias devem objeto de um procedimento de acompanhamento formal por parte dos níveis de gestão adequados, a fim de assegurar e apresentar relatórios sobre a sua resolução efetiva e tempestiva.