O AUDITOR-GERAL DO ESTADO, no uso de suas atribuições legais e tendo em vista o disposto no inciso II do art. 106 da Resolução SEFAZ nº 89, de 30 de junho de 2017, combinado com o item 4 do parágrafo único do artigo 1.º da Lei n.º 287, de 04 de dezembro de 1979, e

CONSIDERANDO:

- a necessidade de aprimorar o processo de elaboração e o conteúdo do Plano Anual da Auditoria Interna dos órgãos e entidades, aproximando-o das melhores práticas que pressupõem que a atividade de auditoria deve incorporar as necessidades dos stakeholders-chave e com base em riscos;

- os incisos I, IV, VI e parágrafo único do artigo 14 do Decreto n.º 43.463, de 14 de fevereiro de 2012.

RESOLVE:

Art. 1º Estabelecer procedimentos para elaboração do Plano Anual de Auditoria Interna – PLANAT pelas Unidades de Controle Interno – UCI dos órgãos e entidades para o exercício de 2018, incluindo formulários, conteúdo e prazo de envio para a Auditoria Geral do Estado – AGE.

Art. 2º O termo Unidade de Controle Interno - UCI é usado nesta norma com o significado de unidade administrativa responsável pela atividade de auditoria interna, geralmente reconhecida como Auditoria Interna, Auditoria Financeira, Assessoria de Controle Interno, Coordenadoria Setorial de Auditoria, entre outras.

TÍTULO I

DO PLANO ANUAL DE AUDITORIA INTERNA

Art. 3º O PLANAT será elaborado por todas as UCIs com a finalidade de definir temas e macroprocessos a serem examinados no exercício de 2018.

§ 1º Ficam dispensadas da elaboração do PLANAT, as empresas que se encontrarem em processo de liquidação e para as quais não exista uma UCI em sua estrutura e os Fundos Especiais, consignados no Quadro de Detalhamento das Receitas e das Despesas como Programas de Trabalho de um órgão ou entidade.

§ 2º São princípios norteadores do PLANAT a conduta ética, o cuidado profissional, a independência e a abordagem baseada em evidência.

§ 3º Quando da elaboração do PLANAT, a UCI deverá considerar, o planejamento estratégico, a estrutura de governança, o gerenciamento de riscos, os controles existentes, os planos, as metas, os programas e as políticas do respectivo órgão ou entidade.

Art. 4º O PLANAT, em termos de descrição das atividades, deverá abordar os seguintes itens:

I – objeto a ser auditado;

II – objetivos do trabalho da UCI;

III - avaliação sumária quanto ao risco inerente ao objeto a ser auditado pelo órgão/entidade;

IV – escopo.

Parágrafo Único.  O PLANAT conterá, ainda:

I – descrição do ambiente em que a atividade de auditoria está inserida: quantitativo de pessoal, equipamentos e sistemas que utilizam, entre outros;

II – estimativa de horas destinadas à execução dos trabalhos;

III – relação de capacitação e participação em eventos que promovam o desenvolvimento profissional e o fortalecimento das atividades de auditoria interna;

IV – custos da atividade de auditoria, quando for possível a sua mensuração;

V - matriz de risco evidenciando o resultado da análise dos riscos associados a um macroprocesso ou tema, em termos de probabilidade e impacto, que possam vir a afetar a gestão e os objetivos do órgão ou entidade;

VI – plano operacional, descrevendo atividades e produtos a serem gerados a partir do objeto a ser auditado;

VII – procedimentos analíticos, revelando as contas consideradas relevantes na análise de riscos realizada pela UCI;

VIII – mapa de indicadores, para acompanhamento da saúde financeira, rentabilidade, eficácia de gestão, entre outras.

Art. 5º O dirigente máximo do órgão ou entidade deverá aprovar o PLANAT, fazendo consignar em ato administrativo que o PLANAT incorpora as necessidades da alta administração em termos das Linhas de Defesa no gerenciamento eficaz de riscos e controles internos.

Parágrafo Único. O Modelo das Três Linhas de Defesa foi elaborado pelo Instituto dos Auditores Internos e poderá ser obtido por meio do seguinte endereço eletrônico: http://www.iiabrasil.org.br/new/2013/downs/As_tres_linhas_de_defesa_Declaracao_de_Posicionamento2_opt.pdf

Art. 6º O PLANAT aprovado será encaminhado a AGE, até 29 de dezembro de 2017, por meio de processo administrativo e uma cópia para o seguinte endereço eletrônico: planejamento.age@fazenda.rj.gov.br.

Parágrafo Único. Após o esgotamento do prazo previsto no caput deste artigo e na hipótese de a UCI não ter enviado o PLANAT, quer pela omissão, por vacância de cargo ou quaisquer outras motivações, a Superintendência de Tecnologia, Planejamento e Normas da AGE deverá dar ciência do fato ao Auditor-Geral do Estado, para comunicação ao titular do órgão/entidade.

TÍTULO II

DA MATRIZ DE RISCO

Art. 7º Os órgãos e entidades devem adotar medidas para a utilização de boas práticas gerenciais em suas atividades de gestão de riscos e controle interno.

§ 1º As boas práticas gerenciais englobam as estruturas de conhecimentos, habilidades, ferramentas e técnicas reconhecidas como as melhores, em termos de gestão pública ou privada, utilizadas para aumentar a eficiência da administração e diminuir o impacto dos riscos correlacionados a esta atividade.

§ 2º O Controle Interno visa garantir que os objetivos e metas sejam atingidos, podendo ser classificado como primário ou institucional:

I - O Controle Primário, exercido sobre os fatos e atos administrativos praticados no exercício regular da gestão, abrange atividades, planos, rotinas, métodos e procedimentos interligados, estabelecidos pelos gestores públicos, com vistas a atingir os objetivos das unidades gestoras, bem como a gestão dos riscos inerentes à Administração Pública.

II - O Controle Institucional, exercido pelo órgão central de Auditoria Interna – AGE, objetiva fiscalizar e fomentar o dever de prestar contas dos responsáveis, pessoa física ou jurídica, pública ou privada, que utilizem, arrecadem, guardem, gerenciem ou administrem dinheiros, bens e valores públicos pelos quais os órgãos e entidades respondam, ou que, em nome deste, assuma obrigações de natureza pecuniária; bem como visa contribuir com o aprimoramento da gestão pública governamental, por intermédio da orientação e estímulo à adoção de boas práticas técnicas e gerenciais.

Art. 8º Devem ser utilizados como instrumentos de boas práticas técnicas e gerenciais os seguintes modelos:

I - ISO 31000:2009 - Gestão de Riscos;

II - Controle Interno - Estrutura Integrada - 2013 do Comitê de Organizações Patrocinadoras da Comissão Treadway (COSO I e COSO II).

Parágrafo Único. Os componentes do controle interno, para o exercício de 2018, são:

I - Ambiente de controle - um conjunto de normas, processos e estruturas que fornece a base para a condução do controle interno por toda a organização. A estrutura de governança e a alta administração estabelecem uma diretriz sobre a importância do controle interno, inclusive das normas de conduta esperadas.

II - Avaliação de riscos - um processo dinâmico e iterativo para identificar e avaliar os riscos à realização dos objetivos. Esses riscos de não atingir os objetivos em toda a entidade são considerados em relação às tolerâncias aos riscos estabelecidos.

III - Atividades de controle - são ações estabelecidas por meio de políticas e procedimentos que ajudam a garantir o cumprimento das diretrizes determinadas pela administração para mitigar os riscos à realização dos objetivos. As atividades de controle são desempenhadas em todos os níveis da entidade, em vários estágios dentro dos processos corporativos e no ambiente tecnológico. Podem ter natureza preventiva ou de detecção e abranger uma série de atividades manuais e automáticas, como autorizações e aprovações, verificações, reconciliações e revisões de desempenho do negócio.

IV - Informação e comunicação - é o processo contínuo e iterativo de proporcionar, compartilhar e obter as informações necessárias. A comunicação interna é o meio pelo qual as informações são transmitidas para a organização, fluindo em todas as direções da entidade. A comunicação externa apresenta duas vertentes: permite o recebimento, pela organização, de informações externas significativas, e proporciona informações a partes externas em resposta a requisitos e expectativas.

V - Atividades de monitoramento – conjunto de ações destinadas a acompanhar e avaliar a eficácia dos controles internos.

Art. 9º A implantação e o gerenciamento das atividades e boas práticas técnicas e gerenciais, inclusive com a avaliação de seus resultados, são de responsabilidade dos gestores das próprias unidades no exercício do controle primário.

Art. 10 Compete a AGE, como órgão responsável pelo controle interno institucional:

I - apoiar a implantação dos modelos de boas práticas técnicas e gerenciais;

II - fomentar a gestão de riscos e mecanismos de controle interno nos órgãos e entidades;

III - monitorar os resultados da implantação dos modelos de boas práticas técnicas e gerenciais pelos órgãos e entidades;

Art. 11 A avaliação da Matriz de Riscos, em termos de probabilidade e impacto, deve ser efetuada pela alta administração, responsáveis pelas áreas do orçamento, patrimonial, contábil, auditoria interna, entre outras com poder decisão.

§ 1º A probabilidade deve ser avaliada em cinco níveis, considerando os seguintes níveis, descritores e descrições:

I - Nível 1 – Muito Baixa – evento extraordinário para os padrões conhecidos da gestão e operação do processo. Embora possa assumir dimensão estratégica para a manutenção do processo, não há histórico disponível de sua ocorrência.

II- Nível 2 – Baixa – evento casual, inesperado. Muito embora raro, há histórico conhecido de sua ocorrência por parte dos principais gestores e operadores do processo.

III- Nível 3 – Média – evento esperado, que se reproduz com frequência reduzida, porém constante. Seu histórico de ocorrência é de conhecimento da maioria dos gestores e operadores do processo.

IV- Nível 4 – Alta – evento usual, corriqueiro. Devido à sua ocorrência habitual ou conhecida em uma dezena ou mais de casos, aproximadamente, seu histórico é amplamente conhecido por parte dos gestores e operadores do processo.

V- Nível 5 – Muito Alta – evento se reproduz muitas vezes, se repete seguidamente, de maneira assídua, numerosa e, não raro, de modo acelerado. Interfere no modo claro no ritmo das atividades, sendo evidente para os que conheçam o processo.

§ 2º O impacto deve ser avaliado em cinco níveis, considerando os seguintes níveis, descritores e descrições:

I - Nível 1 – Muito Baixo – degradação de operações, atividades, projetos, programas ou processos da organização, porém causando impactos mínimos nos objetivos ( de tempo, prazo, custo, quantidade, qualidade, acesso, escopo, imagem, etc.) relacionados ao atendimento de metas padrões ou à capacidade de entrega de produtos/serviços às partes interessadas (clientes internos/externos, beneficiários).

II- Nível 2 – Baixo – degradação de operações, atividades, projetos, programas ou processos da organização, causando impactos pequenos nos objetivos.

III- Nível 3 – Médio – Interrupção de operações, atividades, projetos, programas ou processos da organização, causando impactos significativos nos objetivos, porém recuperáveis.

IV- Nível 4 – Alto – Interrupção de operações, atividades, projetos, programas ou processos da organização, causando impactos de reversão muito difícil nos objetivos.

V- Nível 5 – Muito Alto – Interrupção abrupta de operações, atividades, projetos, programas ou processos da organização, impactando fortemente outros processos, causando impactos de dificílima reversão nos objetivos.

TÍTULO III

DO PLANO OPERACIONAL

Art. 12 O Plano Operacional dos trabalhos de auditoria é o detalhamento, no nível de operação, das ações e atividades necessárias para atingir os objetivos e metas fixados.

Art. 13 O Plano Operacional deverá abordar os seguintes itens:

I – item do PLANAT a que se refere a atividade;

II – atividade a ser executada;

III – produto a ser gerado;

IV – cronograma de execução.

TÍTULO IV

DOS PROCEDIMENTOS ANALÍTICOS

Art. 14 O termo procedimento analítico significa avaliações de informações contábeis por meio de análise das relações plausíveis entre dados financeiros e não financeiros. Procedimentos analíticos compreendem, também, o exame necessário de flutuações ou relações identificadas que são inconsistentes com outras informações relevantes ou que diferem significativamente dos valores esperados, quando comparados com séries históricas anteriores.

Art. 15 Os procedimentos analíticos serão aplicados no Balanço Patrimonial e Demonstração do Resultado do Exercício, quando serão revelados, por materialidade e relevância de saldos, índices obtidos por meio de análise vertical (AV) e análise horizontal (AH).

Parágrafo Único. As contas que apresentarem maior materialidade e relevância deverão ser examinadas com maior profundidade, dada a materialidade e riscos inerentes.

Art. 16 Independente de materialidade, relevância e riscos resultante ou não dos procedimentos analíticos, o Modelo 3 da Deliberação TCE nº 278/2017 estabeleceu a obrigatoriedade de inserção dos seguintes conteúdos a serem examinados acerca da gestão financeira e contábil-patrimonial:

I –  Conta Única do Tesouro – CUTE;

II – Caixa e Equivalentes de Caixa;

III – Investimentos Temporários;

IV – Restos a Pagar Processados;

V – Restos a Pagar não Processados;

VI – Créditos Inscritos em Dívida Ativa;

VII – Despesas de Exercícios Anteriores - DEA;

VIII – Créditos Inscritos por Dano ao Patrimônio;

IX – Ajustes de Exercícios Anteriores;

X – Ajustes de Avaliação patrimonial;

XI – Bens Móveis e Imóveis;

XII – Depreciação, inclusive Acumulada.

Art. 17 Será apresentado ainda, a título de procedimentos analíticos, um Mapa de Indicadores referente à análise dos quocientes de execução orçamentária, do balanço financeiro, da demonstração das variações patrimoniais do balanço patrimonial, entre outros indicadores relacionados aos processos de gestão dos órgãos e entidades.

Parágrafo Único. As empresas estatais independentes apresentarão Mapas de Indicadores referente a análise dos quocientes de suas demonstrações contábeis e de indicadores relacionados aos seus processos de gestão.

TÍTULO V

DO PLANO DE AÇÃO

Art. 18 O Plano de Ação deverá ser elaborado com a participação da alta administração, de responsáveis das áreas especificas e monitorado pela UCI, visando o acompanhamento das atividades e/ou controles internos preventivos desenhados para mitigação dos riscos.

Art. 19 As ações relacionadas no Plano de Ação serão classificadas, conforme o caso, em: Concluído, Em andamento, Atrasado, Cancelado.

TÍTULO VI

DO RELATÓRIO ANUAL DE ATIVIDADES DAS UCIs

Art. 20 O Relatório Anual de Atividades das Unidades - RANAT deverá ser elaborado pelas UCIs, com base no PLANAT e no Plano Operacional.

§ 1º O RANAT, referente ao exercício de 2018, deverá ser encaminhado até o dia 7 de janeiro de 2019 a AGE, no processo administrativo que encaminhou o PLANAT do mesmo exercício.

§ 2º Após o esgotamento do prazo previsto no § 1º deste artigo e na hipótese de a UCI não ter enviado o RANAT, quer pela omissão, por vacância de cargo ou quaisquer outras motivações, a Superintendência Tecnologia, Planejamento e Normas de Auditoria da AGE deverá dar ciência do fato ao Auditor-Geral, para comunicação ao titular do órgão/entidade.

§ 3º Caberá a Superintendência de Tecnologia, Planejamento e Normas de Auditoria, da AGE, o controle do recebimento e o monitoramento dos RANATs das UCIs.

TÍTULO VII

DO RELATÓRIO ANUAL DE AUDITORIA

Art. 21 A apresentação dos resultados dos trabalhos das UCIs será efetuado por meio do Relatório Anual de Auditoria – RAA, que conterá o relato das atividades executadas, cujo relatório será juntado no processo de prestação de contas anual da gestão.

§ 1º O RAA deverá ser elaborado com base no PLANAT.

§ 2º O RAA deverá conter em títulos específicos, de modo a atender o Modelo 3 da Deliberação TCE nº 278/2017, os pontos de auditoria, especialmente aqueles que descrevem falhas de controle, com recomendações saneadoras, além dos motivos pelos quais os pareceres forem emitidos com ressalvas e/ou irregularidades, se for o caso.

§ 3º A narrativa do RAA deverá ser conclusiva quanto aos trabalhos realizados. O ponto de auditoria deverá contemplar a descrição das questões de auditoria, das fontes de informação utilizadas, das técnicas empregadas, da definição de escopo e do critério de amostragem, das causas e das consequências constatadas, da menção dos achados e do apontamento de recomendações feitas visando corrigir os fatos descritos.

Art. 22 O RAA conterá, no mínimo:

I – descrição dos trabalhos de auditoria interna realizados;

II – descrição dos trabalhos de auditoria realizados sem previsão no PLANAT, indicando sua motivação e seus resultados;

III – relação dos trabalhos de auditoria previstos no PLANAT realizados, não realizados e não concluídos, com justificativas para a sua não conclusão e, quando o caso, com a previsão de sua conclusão;

IV – descrição das ações de capacitação realizadas, com indicação do quantitativo de servidores capacitados, carga horária, temas e a relação com os trabalhos programados.

V – quantidade de recomendações emitidas pelo Tribunal de Contas do Estado, pela AGE, pela própria UCI e pela Auditoria Independente, quando o caso, e implementadas no exercício, bem como as não implementadas na data da elaboração do RAA, com a inclusão, no caso, dos prazos de implementação e as justificativas do gestor, e

VI – descrição dos benefícios decorrentes da atuação da UCI ao longo do exercício.

§ 1º As UCIs manterão controle das recomendações emitidas pelo Tribunal de Contas do Estado, pela AGE, pelo Conselho de Administração, pelo Conselho Fiscal, pela própria Auditoria Interna, pela Auditoria Independente, quando o caso.

§ 2º O controle das recomendações será formalizado por meio da Matriz de Monitoramento das Recomendações, a qual deverá conter, no mínimo, as seguintes informações:

a) referência ao número de ponto de auditoria do Relatório da AGE, do TCE e outros;

b) descrição da recomendação elaborada no Relatório da AGE, do TCE e outros;

c) medida mitigadora – a evidência;

d) avaliação da implementação da recomendação.

e) justificativa dos gestores.

§ 3º As UCIs apresentarão ao Conselho de Administração, em sua falta, ao dirigente máximo da organização, e ao Conselho Fiscal, pelo menos trimestralmente, relatório gerencial sobre a situação das recomendações referidas no § 1º deste artigo.

§ 4º Deverão constar do relatório gerencial as justificativas dos gestores para cada recomendação não implementada ou implementada parcialmente, com indicação de prazo para sua efetivação.

§ 5º Os relatórios gerenciais referidos nos §§ 3º e 4º ficarão à disposição dos órgãos de controle.

Art. 23 O Parecer de Auditoria, parte integrante do RAA, emitido pelo Auditor Interno das entidades da Administração Indireta, deverá contemplar a opinião pela regularidade ou irregularidade das contas dos ordenadores de despesas, tendo em vista as definições do artigo 31 do Decreto n.º 43.463/2012.

TÍTULO VIII

DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 24 Os Anexos referentes aos documentos relacionados nesta IN estarão disponíveis no Portal da AGE, sendo:

I – Anexo I: Plano Anual de Auditoria Interna – PLANAT;

II – Anexo II: Matriz de Riscos;

III – Anexo III: Plano Operacional;

IV – Anexo IV: Procedimentos Analíticos;

V – Anexo V: Mapa de Indicadores;

VI – Anexo VI: Plano de Ação.

Art. 25 A Superintendência de Tecnologia, Planejamento e Normas de Auditoria da AGE, com o apoio de suas coordenadorias vinculadas, deverá viabilizar capacitação, em matéria específica desta Instrução Normativa.

Art. 26 Os casos omissos serão resolvidos pela AGE.

Art. 27 Esta Instrução Normativa entra em vigor na data de sua publicação.

Rio de Janeiro, 29 de novembro de 2016.

Rui César dos Santos Chagas

Auditor-Geral do Estado

ID 1.943.605-0