Mariana Pinto, revisora oficial de contas e responsável de equipa numa SROC do Porto, prepara o arranque da auditoria à Lusotécnica Sistemas, S.A.: 380 milhões de euros de total do balanço, três contratos plurianuais de sistemas e um novo diretor financeiro desde março. A comissão de auditoria pergunta-lhe: como avalia o ambiente de controlo antes de pedir um único documento? A ISA 315 e o modelo COSO dão a resposta sistemática. Antes de continuar, estime: quantos componentes de controlo interno exige a ISA 315 que o auditor compreenda e documente?
A ISA 315 exige que o revisor obtenha conhecimento do controlo interno relevante para a auditoria. O modelo de referência é o COSO, com cinco componentes: ambiente de controlo, processo de avaliação de risco da entidade, sistema de informação e comunicação, atividades de controlo e monitorização dos controlos.
Em Portugal, a certificação legal das contas é uma reserva legal do revisor oficial de contas (ROC), regulada pelo Estatuto da OROC (Lei n.º 140/2015). Para entidades de interesse público como a Lusotécnica Sistemas, S.A., a supervisão é exercida pela CMVM ao abrigo do RJSA (Lei n.º 148/2015) e aplicam-se as regras reforçadas do Regulamento (UE) n.º 537/2014.
Ambiente de controlo (componente COSO)
O ambiente de controlo é o conjunto de normas, processos e estruturas que constituem a base do controlo interno da entidade. Engloba a integridade e os valores éticos do órgão de gestão, o compromisso com a competência, a atuação do órgão de fiscalização, a filosofia de gestão e a atribuição de autoridade e responsabilidade. Um ambiente de controlo fraco não pode ser compensado por atividades de controlo isoladas e fortes.
A ISA 315 distingue três planos: o desenho do controlo (está concebido para tratar o risco?), a sua implementação (existe e está em funcionamento?) e — quando o auditor pretende confiar nos controlos — a eficácia operacional (funciona consistentemente ao longo do período?). Na Lusotécnica Sistemas, a equipa avaliou o desenho dos controlos do ciclo de compras antes de planear testes de controlos sobre uma amostra.
| Componente COSO | Exemplo Lusotécnica | Procedimento do auditor | Avaliação |
|---|---|---|---|
| Ambiente de controlo | Código de ética e atuação da comissão de auditoria | Indagações, leitura de atas, observação | Satisfatório |
| Avaliação de risco da entidade | Mapa de riscos plurianuais de projetos | Análise do processo de identificação de riscos | A melhorar |
| Atividades de controlo | Segregação de funções compras/receção | Walkthrough e teste de controlos | Deficiência |
| Informação e comunicação | ERP integrado SAP e reporte de gestão | Compreensão do fluxo de dados contabilísticos | Satisfatório |
| Monitorização | Auditoria interna e revisões periódicas | Avaliação da função de auditoria interna | Satisfatório |
A equipa de Mariana Pinto seguiu uma fatura de fornecedor de 64 500 EUR de ponta a ponta: requisição interna, nota de encomenda, receção de mercadoria, conferência tripla (encomenda/guia/fatura) e lançamento contabilístico. O walkthrough revelou que, para compras abaixo de 25 000 EUR, a aprovação de receção e a aprovação de pagamento eram executadas pelo mesmo colaborador — uma falha de segregação de funções. O controlo foi classificado como deficiência e a abordagem ao ciclo de compras passou a ser predominantemente substantiva.
⚠️Confundir walkthrough com teste de controlos
→ O walkthrough documenta o fluxo e o desenho do controlo; não prova a eficácia operacional. Esta só se demonstra com um teste de controlos sobre uma amostra de operações ao longo do período.
⚠️Confiar em controlos sem testar a eficácia operacional
→ A ISA 330 só permite reduzir os procedimentos substantivos quando a eficácia operacional dos controlos foi testada. Compreender o desenho não basta para confiar.
⚠️Ignorar a supervisão CMVM numa EIP
→ As filiais e entidades cotadas estão sujeitas ao RJSA (Lei n.º 148/2015). A documentação do controlo interno é objeto de inspeção pela CMVM e deve ser rastreável.
O mecanismo da abordagem ao controlo interno tem consequências orçamentais diretas. Na Lusotécnica Sistemas, S.A., os ciclos com eficácia de controlo abaixo de 60 por cento (provisões de projetos e compras/receção) deixam de poder beneficiar de confiança nos controlos. A equipa de auditoria reafeta horas: o ciclo de provisões de projetos passa de uma amostragem de testes de controlos para uma verificação substantiva completa, o que acrescenta cerca de 55 horas ao orçamento inicial.
Um aspeto específico do enquadramento português: a certificação legal das contas é um ato reservado ao ROC inscrito na OROC (Lei n.º 140/2015). O revisor não pode delegar a opinião num colaborador não inscrito, ainda que a equipa execute os procedimentos. Na inspeção CMVM de 2024, a falta de evidência da supervisão direta do sócio responsável foi apontada como deficiência recorrente em vários processos de SROC.
Deficiência de controlo interno (ISA 265)
Existe uma deficiência de controlo interno quando um controlo está concebido, implementado ou operado de forma que não previne nem deteta atempadamente distorções, ou quando falta um controlo necessário. Uma deficiência significativa é a que, no juízo profissional do revisor, tem importância suficiente para merecer a atenção do órgão de fiscalização. A ISA 265 exige a comunicação por escrito das deficiências significativas à comissão de auditoria e ao órgão de gestão.
Revisor oficial de contas e especialista em controlo interno — questões sobre ISA 315, modelo COSO, walkthroughs e EIP reguladas pela CMVM
Questions suggerees
Quantos componentes do controlo interno define o modelo COSO que o revisor deve compreender segundo a ISA 315?
Bonne réponse : Cinco componentes
O modelo COSO, referencia da ISA 315, define cinco componentes: ambiente de controlo, processo de avaliacao de risco da entidade, sistema de informacao e comunicacao, atividades de controlo e monitorizacao dos controlos. Na Lusotecnica Sistemas, S.A., a deficiencia surgiu no componente Atividades de controlo (segregacao de funcoes).