O Instituto Brasileiro de Governança Corporativa (IBGC, 2015, p. 20) conceitua a governança como “o sistema pelo qual as empresas e demais organizações são dirigidas, monitoradas e incentivadas, envolvendo os relacionamentos entre sócios, conselho de administração, diretoria, órgãos de fiscalização e controle e demais partes interessadas”. Nesse sentido, a governança tem como objetivo o monitoramento da gestão e do desempenho das organizações (Christ et al., 2015; Marks, 2012; Falção, 2007; Nascimento e Reginato, 2008; Vinten, 2004).

Segundo o Tribunal de Contas da União –TCU– “tanto no setor privado quanto no público, existem iniciativas de melhoria da governança, as quais se relacionam e se complementam” (TCU, 2014, p. 12). As organizações sociais são consideradas instituições híbridas, pois, embora sejam pessoas jurídicas de direito privado, prestam serviço de relevância pública. Logo, os preceitos da governança corporativa privada e da pública são aplicáveis as OS, sendo eles, entre outros, a ética, a reponsabilidade corporativa, a prestação de contas e a transparência (auditoria, publicação de relatório anual, monitoramento da gestão executiva, etc) (Leal e Famá, 2007).

Pode-se relacionar de modo analógico a teoria da agência com a governança corporativa à luz das organizações sociais. Enquanto os administradores seriam os gestores da organização social, os proprietários podem ser equiparados aos representantes da população. Afinal, deve ser levado em conta que é do interesse de todos que os recursos públicos sejam alocados corretamente. Nessa lógica, a Lei 9637/98 procurou estabelecer uma estrutura mínima de governança para as organizações sociais. Ela exige a formação de um conselho de administração e a participação de uma auditoria externa para auxiliar na fiscalização dos recursos disponibilizados pelo governo.

Para o fortalecimento da estrutura de governança, Trisciuzzi (2009) ressalta que uma das formas para manter um bom nível de governança é a implementação, o desenvolvimento e o funcionamento de uma auditoria interna. O IBGC (2014) faz algumas considerações a respeito do fundamento da auditoria interna em uma organização. Entre elas, cabe mencionar a responsabilidade de monitorar, avaliar e realizar recomendações visando a aperfeiçoar os controles internos, as normas e os procedimentos estabelecidos pelos administradores. Com relação à contribuição para a governança, o IBGC (2015) menciona que cabe à auditoria interna atuar de forma proativa no monitoramento da conformidade dos agentes de governança às normas aplicáveis.

A organização social ao ser qualificada pelo governo passará a usufruir de isenções fiscais e pode receber recursos do orçamento público. A OS torna-se alvo de controle e fiscalização por parte do órgão público supervisor ao assinar contrato de gestão com o governo (Coutinho, 2006, p. 28). Coelho (2000) ressalta que o controle da maneira pela qual os recursos públicos estão sendo implementados é uma necessidade implícita no ato do estabelecimento da parceria público-privada.

Segundo a Lei 9.637/98, a organização deve publicar anualmente, no Diário Oficial da União, o relatório de execução do Contrato de Gestão, juntamente a relatórios financeiros da entidade. O Conselho de Administração da OS e o órgão supervisor são os principais responsáveis pela fiscalização do contrato. O Conselho de Administração é responsável por aprovar e encaminhar ao órgão supervisor os relatórios gerenciais e de atividades, utilizando auxílio de auditoria externa. Além disso, deve fiscalizar o cumprimento das diretrizes e metas que foram definidas no Contrato de Gestão. O órgão supervisor, por sua vez, deve analisar periodicamente a prestação de conta da OS e realizar um quadro comparativo entre os resultados atingidos com a execução do contrato e as metas propostas (Falção, 2007).

Ao tomarem conhecimento de qualquer irregularidade, ilegalidade ou malversação de bens ou recursos públicos, a Lei 9637/98 prevê que os responsáveis pela fiscalização do contrato de gestão devem dar ciência ao Tribunal de Contas da União –TCU–. Se houverem indícios fundados das transgressões, é dever dos agentes, ainda, realizar representação ao Ministério Público entre outros, sob pena de responsabilidade solidária. Alcoforado (2005) e Falção (2007) ressaltam que o controle da gestão contábil, financeira e operacional não é a única condição para o desempenho da OS. Deve-se dar atenção, igualmente, ao alcance das metas e indicadores de desempenho pactuados no contrato de gestão.

O volume de recursos públicos repassados às organizações sociais, no âmbito federal, tem crescido exponencialmente nos últimos anos, conforme observável na figura 1. Este crescimento está relacionado, entre outros fatores, ao aumento do número de contratos de gestão em execução, passando de cinco em 2007 para nove em 2016. A parcela do orçamento que é repassada às OS representa um número expressivo, o que reforça a necessidade crescente de fiscalização destes recursos.

FIGURA 1 FIGURA 1 Evolução dos repasses públicos à Organizações Sociais em 10 anos Fonte: elaborado pelos autores com base em dados do Portal da Transparência do Governo Federal.

As organizações sociais estão, ainda, submetidas à fiscalização do Tribunal de Contas da União –TCU–, conforme entendimento firmado na decisão 592/1988 –TCU– Plenário. Em 2014, o TCU realizou um trabalho de auditoria nas organizações sociais do Ministério da Ciência, Tecnologia e Inovação. Em seu relatório final, foram constatadas diversas deficiências estruturantes na execução dos contratos de gestão. Estas se relacionam, em grande parte, com a ausência de regulamentação da Lei 9637/98. A maior parte das fragilidades estava relacionada ao estabelecimento de metas e indicadores, bem como os riscos sem planos de ação no controle interno do órgão supervisor.

Além da lacuna normativa relacionada as OS, nota-se que, ainda, existem falhas na execução. Não se pode generalizar a existência de irregularidades em todos os contratos de gestão. Pode-se perceber aliás, através do Relatório do TCU, que os controles impostos pela Administração podem ser falhos em outros pontos. Abre-se assim um debate quanto à necessidade de melhores controles internos, governança e gestão de recursos das OS, sendo esta a questão fundamental deste trabalho.

A adoção de Normas Internacionais de Práticas Profissionais de Auditoria Interna (IIA-Global) pode ser explicada pela teoria institucional (Machado et al., 2015), com o entendimento do fenômeno do isomorfismo institucional (Freitas e Guimarães, 2007). As organizações são estruturadas com base em seus ambientes e tornam-se isomórficas com eles. O isomorfismo pode ser explicado pelas interdependências técnicas e o intercâmbio de conhecimento existente entre organizações e ambiente (Meyer e Rowan, 1977).

Os padrões internacionais de auditoria interna são definidos pelo Institute of Internal Auditors –IIA–. Fundado em 1941, trata-se de uma associação profissional internacional que atua como voz global do profissional de auditoria interna. Atualmente, o IIA tem mais de 185.000 membros no mundo e afiliados em 123 países. No Brasil, é representando pelo Instituto dos Auditores Internos do Brasil – IIA Brasil, que se encontra entre os cinco filiados mais atuantes no mundo.

O IIA Brasil é uma entidade sem fins econômicos que presta serviços de formação, capacitação e certificação para os associados, além de realizar ampla divulgação do papel do auditor interno. Foi fundado em 1960, mas somente em 1999 passou a ser oficialmente filiado ao IIA Global.

A base conceitual que organiza as informações oficiais promulgadas pelo IIA é chamada de Estrutura Internacional de Práticas Profissionais (International Professional Practices Framework –IPPF). Conforme figura 2, os métodos e orientações da IPPF são organizados em dois grupos subdivididos em seis categorias: 1) Orientações mandatórias compostas por: Princípios Fundamentais, Definição, Normas e Código de ética; 2) Orientações recomendadas compostas por: Orientações de Implantação e Orientações Suplementares.

FIGURA 2 FIGURA 2 International Professional Practices Framework - IPPF Fonte: IIA (Global).

Dentre as categorias da IPPF, as Normas (Standards) serão a base conceitual na construção da metodologia deste trabalho. Segundo o IIA (2016), a conformidade com as Normas Internacionais para a Prática Profissional de Auditoria Interna do IIA (Normas) é essencial para o atendimento das responsabilidades dos auditores internos e da atividade de auditoria interna. As Normas têm como propósitos a promoção da melhoria de processos e operações organizacionais, o fornecimento de uma estrutura adequada para que a auditoria interna agregue valor à organização, a orientação acerca da aderência dos elementos mandatórios da IPPF, e o estabelecimento das bases para a avaliação de desempenho da auditoria interna (IIA, 2016). A partir deste enunciado, pode-se concluir que a avaliação de uma auditoria interna pode ser realizada a partir do seu grau de aderências às Normas Internacionais para a Prática Profissional de Auditoria Interna.

As Normas são divididas em duas grandes categorias, que podem ser aplicadas a todos os serviços de auditoria interna. São elas: Normas de Atributo, relacionadas às características da organização e dos indivíduos responsáveis pela execução da auditoria; e as Normas de Desempenho, que tratam da natureza da auditoria interna e fornecem critérios de qualidade do desempenho (IIA, 2016).

Segundo Attie (2009), a declaração de finalidade, autoridade e responsabilidade para a auditoria interna, constantes no regimento interno e aprovadas pela administração, devem ser compatíveis com as Normas Internacionais. As Normas do IIA servem como base e orientação para as auditorias internas, o que não impede a existência de outras normas e regulamentos aplicáveis àquela unidade. Nestes casos, o IIA recomenda a aplicação da norma em todos os itens que forem compatíveis. Em caso de que outras normas mais restritivas exijam um maior nível de detalhamento, a auditoria deve estar de acordo com ambas as normas.

“Normas de Atributos endereçam as características das organizações e dos indivíduos que executam auditoria interna.” (IIA, 2016, p. 2).

No que se refere à norma de Propósito, Autoridade e Responsabilidade (1000), o Percentual de cumprimento foi de 83,33% (Alto nível de atendimento), (Apêndice A). A Organização Social possui um Regimento Interno da Auditoria Interna, no qual constam informações sobre a sua posição dentro da organização, bem como os objetivos, o escopo das atividades de auditoria interna, a estrutura funcional e as competências. Com relação aos profissionais de auditoria, são estabelecidos os deveres, conduta e orientação ética a serem observados na execução das atividades. Attie (2009) salientou a necessidade de compatibilidade do regimento interno com as normas internacionais.

O Regimento Interno também concede aos auditores internos autorização de acesso a todos os registros, pessoal, informações, sistemas e propriedades físicas relevantes a execução de suas auditorias. Attie (2009) ressaltou que a auditoria deveria possuir acesso amplo, livre e irrestrito as atividades para desempenhar suas funções com qualidade.

A Norma prevê que o estatuto deve ser revisado periodicamente pelo chefe de auditoria. Entretanto, como o regimento foi criado por um período inferior a um ano, a realização de revisão é prevista, porém ainda não aconteceu. O responsável pela aprovação final do regimento interno de auditoria da OS foi o Diretor-geral. Entretanto, segundo as Normas, esta responsabilidade deve ser do mais alto nível de corpo diretivo da organização, que no caso, seria do Conselho de Administração.

A respeito da norma de Independência e Objetividade (1100), o Percentual de cumprimento foi de 78,19% (Alto nível de atendimento). A atividade de auditoria interna deve possuir independência, ou seja, realizar suas atividades sem interferências e de maneira impessoal, conforme abordado por Franco e Marra (1995, apud Trisciuzzi, 2009). Além disso, os auditores devem possuir objetividade na execução de seus trabalhos. Trata-se de uma atitude mental imparcial que permite aos auditores a execução de seus trabalhos com confiança e sem comprometimento da qualidade.

Na OS estudada, o auditor chefe possui acesso direto e irrestrito à Alta Administração, o que é considerado pelas Normas como um requisito básico da independência. Outro ponto essencial são os relatórios periódicos ao Conselho. Na OS são reportadas informações acerca da aprovação do planejamento de auditoria, das decisões referentes à nomeação e demissão do chefe da auditoria, além de comunicações sobre o desempenho do plano de auditoria interna e outros assuntos. O chefe da auditoria não possui outros papéis e responsabilidades externos à auditoria interna. Isto se considera como algo positivo, pois responsabilidades alheias poderiam prejudicar a independência organizacional da atividade ou a objetividade individual do auditor interno.

Para assegurar a imparcialidade, os auditores da OS devem se abster de avaliar operações específicas pelas quais tenham sido responsáveis anteriormente; nesse caso, considerando os auditores internos que iniciaram na organização nas áreas operacionais. O regimento interno da auditoria da OS possui um item que trata acerca da independência e imparcialidade. Os auditores internos não devem participar de atividades ligadas à gestão. Além disso, o auditor deve comunicar formalmente ao seu superior hierárquico as situações em que se encontre impedido, expondo os motivos do fato, para análise e adoção das medidas necessárias. Entretanto, no caso da OS avaliada, não está prevista a divulgação deste acontecimento às partes apropriadas. Também não é realizada a supervisão externa à atividade de auditoria interna dos trabalhos de avaliação de funções, realizados pelo chefe executivo da auditoria, conforme é recomendado nas Normas.

No que se refere a norma de Proficiência e Zelo profissional Devido (1200), o Percentual de cumprimento foi de 75,69% (Alto nível de atendimento). A Norma diz que a auditoria interna deve possuir, coletivamente, o conhecimento e as competências necessárias para o desempenho da atividade. Para isso cada auditor deve desenvolver suas habilidades individuais. A proficiência pode ser demonstrada através da obtenção de certificações e qualificações apropriadas.

Na OS, a maioria dos auditores afirmaram que estão sempre buscando o aperfeiçoamento de seus conhecimentos, habilidades e outras competências, através de seu desenvolvimento profissional contínuo. Durante o exercício são realizadas diversas ações de treinamento para os auditores internos da OS. A capacitação continuada é prevista no Plano Anual de Auditoria Interna –PAINT–, e envolve cursos de auditoria e de outras matérias que podem auxiliar na realização dos trabalhos.

Os auditores internos da OS possuem conhecimento suficiente para avaliar o risco de fraude, e a maneira com a qual ele pode ser gerenciado pela organização. a detecção e descoberta de fraudes (Migliavacca, 2004, apud Trisciuzzi, 2009) como papéis complementares da auditoria interna. Por outro lado, conforme os questionários aplicados e a entrevista realizada, nenhum auditor na unidade possuía conhecimento suficiente sobre os principais riscos na área de tecnologia da informação. Sendo um dos aspectos mais crescentes nos dias atuais, o IIA recomenda que pelo menos um auditor possua conhecimento a respeito de técnicas de auditoria baseadas em tecnologia.

O zelo profissional envolve a dedicação e o cuidado ao realizar os trabalhos. Dentre os fatores que o IIA considera que devem ser observados, aqueles que os auditores internos da OS acharam mais importante foram: a extensão do trabalho necessária para alcançar os objetivos do trabalho de auditoria; a complexidade, materialidade ou significância relativa dos assuntos aos quais procedimentos de avaliação são aplicados; a adequação e a eficácia dos processos de governança gerenciamento de riscos e controles; e a probabilidade de erros, fraudes ou não conformidades significantes.

Referente à norma do Programa de Garantia de Qualidade e Melhoria (1300), o Percentual de cumprimento foi de 0% (Não atende). As Normas do IIA estabelecem que o chefe de auditoria deve desenvolver e manter um programa de garantia de qualidade e melhoria que compreenda todos os aspectos da atividade de auditoria. Este programa permitiria uma avaliação da conformidade da unidade com as Normas, e com a observação do código de ética por parte dos auditores.

A auditoria interna da OS ainda não possui um Programa de Garantia de Qualidade e Melhoria. Dentre os auditores entrevistados, a maioria afirmou possuir apenas um conhecimento parcial ou nenhum de todos os elementos da Estrutura Internacional de Práticas Profissionais (IPPF). Dessa forma, é necessária a implementação de um Programa de Garantia de Qualidade e Melhoria na OS.

No que tange à adoção da norma de Gerenciamento da Atividade de Auditoria Interna (2000), o Percentual de cumprimento foi de 65,23% (Alto nível de atendimento). Conforme constante nas Normas, a auditoria interna deve adicionar valor à organização. Para isso, a unidade deve ser gerenciada de forma eficaz pelo chefe da auditoria. A gestão eficaz é influenciada por diversos fatores, tais como o cumprimento do regimento de auditoria interna, e a conformidade com as Normas e com o Código de Ética.

O estabelecimento de um plano baseado em riscos para determinar as prioridades das atividades da auditoria interna é fundamental. Conforme ressaltado por Machado (2011), a auditoria interna deve prestar informações sobre risco e controle para as áreas apropriadas. A OS realiza um Plano Anual da Auditoria Interna –PAINT–, até o mês de outubro do exercício anterior à sua vigência. Neste Plano são estabelecidos, dentre outros assuntos, os trabalhos que serão realizados prioritariamente. Entretanto, a OS ainda não possui um planejamento baseado em uma avaliação de riscos, tendo em vista que o mapeamento dos riscos está em processo de implementação.

As Normas determinam que é função do chefe de auditoria assegurar que os recursos são apropriados, suficientes e aplicados da melhor forma possível. Na OS, este acompanhamento é realizado através do monitoramento das demandas e reuniões semanais com os auditores internos. Outro ponto importante no gerenciamento é o estabelecimento de políticas e procedimentos para orientar a atividade da auditoria interna. A OS possui como referência de orientação o Regimento Interno da Auditoria. Entretanto, ainda não possui um manual prático de auditoria próprio, estando este em fase de desenvolvimento.

A norma recomenda que a OS reporte periodicamente à alta administração e ao Conselho informações acerca do desempenho da auditoria. Estas informações versam sobre o planejamento, o progresso, o nível de conformidade com as Normas e os resultados obtidos. A auditoria interna da OS emite trimestralmente o Relatório Anual da Auditoria Interna –RAINT–, que envolve todas as informações supracitadas, mas, ainda não considera o nível de risco da entidade. Alguns itens da Norma não possuem aplicação prática na OS, pois retratam situações inéditas, como a utilização de serviços externos de terceiros.

No que se refere à norma de Natureza do Trabalho (2100), o Percentual de cumprimento foi de 73,85% (Alto nível de atendimento). Conforme constante nas Normas, a atividade da auditoria interna deve avaliar e contribuir para a melhoria dos processos de governança, gerenciamento de riscos e controles. Para isso, deve utilizar uma abordagem sistemática, disciplinada e com base em riscos.

Na OS, a auditoria contribui para os processos de governança, através do auxílio na tomada de decisões estratégicas e operacionais; da supervisão do gerenciamento de risco e controles; da asseguração do gerenciamento eficaz do desempenho organizacional; da prestação de contas; e da comunicação das informações relacionadas aos riscos e aos controles às áreas apropriadas. Ainda não são realizadas atividades relacionadas à governança de tecnologia da informação da organização.

A contribuição da auditoria interna para a governança foi ratificada por diversos autores ao longo deste artigo, tais como Trisciuzzi (2009), Nascimento e Reginato (2008) e pelo próprio Instituto Brasileiro de Governança Corporativa (IBGC, 2015). Baseados nos questionários e nas entrevistas, é possível inferir que todos os auditores internos da OS reconhecem a contribuição do seu trabalho para a governança, citando as seguintes atividades: 1) Acompanhamento da implementação de novas políticas e procedimentos, sugerindo melhorias quando necessário, 2) Recomendações diversas aos setores para que melhorem suas fragilidades, 3) Assessoramento à alta administração, 4) Identificação de fraudes, 5) Análise e processos com vistas a aperfeiçoar o uso dos recursos da instituição, 6) Auxílio à organização no cumprimento de seus objetivos estratégicos, 7) Realização da conformidade e testes acerca da efetividade dos controles internos, e 8) Atitudes proativas na mitigação dos riscos mapeados.

Além da governança, as normas estabelecem que a auditoria interna deve avaliar, por meio de atividades contínuas e/ou de avaliações específicas, a eficácia dos processos de gerenciamento de riscos, e contribuir para a sua melhoria. O risco de potenciais fraudes também deve ser avaliado. Entretanto, a responsável pelo gerenciamento de todos os riscos é a administração.

A OS aprovou uma política de gerenciamento de riscos, que se encontra em processo de implementação. Dentre as medidas incluem-se a implementação de um setor de controle interno, e a elaboração de uma matriz de riscos, na qual todos os gestores e colaboradores da OS estão envolvidos. Outra função da auditoria citada nas Normas é o auxílio na manutenção de controles efetivos em resposta aos riscos, através da avaliação de sua eficácia e eficiência e da promoção de melhorias. Como a matriz de riscos da OS ainda está em fase de implementação, as atividades ainda não possuem este enfoque. Entretanto, os controles são testados na prioridade estabelecida pelo PAINT.

Dentre as exigências das Normas, a auditoria da OS ainda precisa melhorar a avaliação e identificação do potencial risco de fraude dentro da realidade da organização; buscar capacitar seus auditores quanto à governança da Tecnologia da Informação; e utilizar o gerenciamento dos riscos em suas atividades.

Referente à norma de Planejamento do Trabalho de Auditoria Interna (2200), o Percentual de cumprimento foi de 71,85% (alto nível de atendimento). Segundo as Normas, um planejamento deve ser desenvolvido e documentado para cada trabalho da auditoria. Este deve incluir os objetivos, escopo, prazo e alocação de recursos. Na OS, cada auditor desenvolve um programa para cada trabalho a ser realizado, tendo como base o planejamento anual, realizado anteriormente por intermédio do PAINT.

No planejamento devem ser considerados diversos fatores, como as estratégias, objetivos e riscos da organização que sejam relevantes para o trabalho; os riscos significativos para os objetivos, recursos e operações da entidade, dentre outros. Também é importante estabelecer um entendimento com a área a ser auditada acerca dos objetivos e escopo do trabalho que será realizado. Dentre os fatores citados na Norma, o planejamento da OS considera apenas alguns deles. Com relação à comunicação com as áreas, previamente ao início dos trabalhos, é realizada uma reunião entre os principais gestores para orientações, apresentação do escopo e da equipe de auditoria interna.

Os objetivos são elaborados para cada trabalho de auditoria. Estes são consistentes com os valores, estratégias e objetivos da organização. Previamente à sua elaboração é realizada uma avaliação preliminar dos riscos relevantes para a atividade sob revisão. Entretanto, na elaboração dos objetivos, a auditoria interna da OS não considera a probabilidade de erros significativos, fraudes e outras não conformidades. Igualmente, não se utiliza critérios adequados para avaliar a governança, gerenciamento de riscos e controles.

Antes do início dos trabalhos, os auditores internos devem determinar a quantidade de recursos que será apropriada e suficiente para o cumprimento dos objetivos. No caso da OS, é realizada uma reunião com a equipe para definir o orçamento necessário para a auditoria. Com relação ao programa de trabalho, conforme orientação da Norma, os auditores internos desenvolvem e documentam programas para cada trabalho, de forma a atender os objetivos de sua realização.

No que se refere à norma Execução do Trabalho da Auditoria (2300), o Percentual de cumprimento foi de 64,72% (Atende eventualmente). Na execução dos trabalhos, os auditores internos devem identificar, analisar, avaliar e documentar informações suficientes para cumprir os objetivos do trabalho de auditoria. Dessa forma, poderão basear suas conclusões e resultados em análises e avaliações apropriadas. As informações obtidas devem ser suficientes, confiáveis, relevantes e úteis. Os auditores internos da OS relataram que usualmente as informações são confiáveis (obtidas através da utilização de técnicas de auditoria apropriadas e úteis). Estas informações têm auxiliado à organização a atingir suas metas, porém, nem sempre são suficientes e relevantes. Frequentemente estão relacionadas à falta de colaboração das áreas auditadas, com constantes atrasos na prestação das solicitações realizadas.

As informações que darão suporte às conclusões do trabalho de auditoria devem ser documentadas. Cabe ao chefe de auditoria estabelecer políticas para controlar o acesso aos registros do trabalho, tanto por partes internas quanto externas. A OS já realiza controle de acesso, independentemente do meio onde o registro está armazenado. Entretanto, ainda necessita desenvolver políticas para reger a custódia e retenção dos registros em consistência com as diretrizes da organização. Os trabalhos da auditoria são adequadamente supervisionados pelo executivo chefe de auditoria. Contudo, nem sempre a evidência da supervisão é documentada e mantida, conforme orienta a Norma.

A respeito da norma Comunicação dos Resultados (2400), o Percentual de cumprimento foi de 91,66% (Alto nível de atendimento). Os resultados dos trabalhos da auditoria devem ser comunicados. As comunicações emitidas pela auditoria interna da OS incluem os objetivos, o escopo e os resultados do trabalho de auditoria, além de todas as recomendações e/ou planos e ação aplicáveis. No caso de um trabalho específico, é realizada reunião com a área auditada para apresentação dos resultados e sugestões. Não é realizada a divulgação dos resultados para partes externas à organização. O chefe de auditoria é responsável por revisar e aprovar a comunicação final do trabalho antes da sua emissão, a qual é, frequentemente acompanhada de uma opinião geral do auditor.

No que se refere à norma Monitoramento do Progresso (2500), o Percentual de cumprimento foi de 100% (Atende plenamente). O chefe da auditoria interna da OS mantém um sistema para monitorar se as ações recomendadas à administração foram efetivamente implantadas. O chamado follow-up é um processo mapeado pela auditoria.

Por fim, referente à norma Comunicação da Aceitação de Riscos (2600), verificou-se que ela não se aplica a realidade da OS. Consta na Norma que ao evidenciar o fato da administração aceitar um nível de risco possivelmente inaceitável para a organização, o chefe de auditoria deve discutir este assunto com a alta administração. Caso não sejam tomadas as providências cabíveis, o auditor deve comunicar à questão ao conselho. Esta situação ainda não foi relatada na OS, logo, não pôde ser avaliada.

Pode-se concluir que a auditoria interna se encontra em conformidade parcial, pois cumpre parcialmente às Normas do IIA. Por tanto, pode se afirmar que a auditoria interna faz uma contribuição efetiva para a governança da OS. O nível médio total de cumprimento das normas foi de 68.45%. A melhoria do percentual pode ser obtida através das atividades sugeridas no tabela 3 (Apêndice A).

TABLA 3 TABLA 3 Sugestões de melhoria para cumprimento total das Normas do IIA

IIA	%	Sugestões de Melhoria
1000	83,33	· Estabelecer procedimentos para a revisão periódica do estatuto de auditoria.
		· Submissão do Regimento Interno de Auditoria ao Conselho de Administração.
1100	78,19	· Divulgação do impedimento de auditores internos às partes apropriadas.
		· Supervisão externa à atividade de auditoria das funções realizadas pelo chefe executivo.
1200	75,69	· Treinamento dos auditores internos na área de Governança de TI.
1300	00,00	· Desenvolvimento de um Programa de Qualidade e Melhoria da Auditoria.
2000	65,23	· Finalização da matriz de riscos da organização, para ser utilizada como base na determinação dos trabalhos de auditoria.
		· Desenvolvimento de um manual prático de auditoria para orientação dos auditores e padronização dos procedimentos.
2100	73,85	· Realização de trabalhos de auditoria relacionados à Governança de Tecnologia da Informação.
		· Melhorar a avaliação e identificação de potenciais riscos de fraude dentro da organização.
2200	71,85	· Melhorar a abrangência de informações constantes no planejamento por trabalho de auditoria.
		· Considerar mais fatores na determinação dos objetivos do trabalho de auditoria, como a probabilidade de erros significativos e avaliação da governança, gerenciamento de riscos e controles.
2300	64,72	· Procurar meios de melhorar o nível de envolvimento e contribuição da área auditada para com a auditoria.
		· Melhorar a suficiência e relevância das informações obtidas.
		· Implementação de políticas para reger a custódia e retenção dos registros de auditoria.
		· Manter documentação da evidência da supervisão dos trabalhos de auditoria.
2400	91,66	· Melhorar a completude das informações contidas nas comunicações.
2500	100,00	· Melhoria contínua do processo de follow up.

Nota:

IIA - Normas do IIA e % - Percentual de cumprimento.

Com relação à atividade de auditoria interna exercida no âmbito de uma organização social em contraponto com a de entidades públicas ou privadas, foi constatado que as atividades desenvolvidas possuem um fim parecido. Ambas se orientam à melhoria dos controles internos e da governança para ganhos de gestão, transparência, eficiência e eficácia. Entretanto, a OS possui algumas particularidades, conforme apontamento auditores internos, a principal é a de que não há uma regulamentação específica para se basear, aqui a regulamentação é interna na OS, neste caso, falta definição de políticas e todo o sistema normativo da OS estava em construção, no que diz respeito aos aspectos práticos das rotinas da atividade de auditoria.

As Normas Internacionais de Práticas Profissionais (International Professional Practices Framework - IPPF) (IIA Global) apresentam robusto referencial teórico (Christ et al., 2015; Seeuws, 2014; Marks, 2012; e Vinten, 2004) acerca das características e critérios necessários para uma auditoria interna de qualidade. Entretanto, ainda existe um vácuo normativo a ser preenchido no contexto brasileiro, relativo às Auditorias Internas das OS. No caso em análise, a OS está adotando as melhores práticas do mercado, porém, o Brasil não adota formalmente as normas internacionais do IIA Global.