NBC TA 265 COMUNICAO DE DEFICINCIAS DE CONTROLE INTERNO AOS RESPONSVEIS PELA GOVERNANA E ADMINISTRAO ndice INTRODUO Alcance Data de vigncia OBJETIVO DEFINIES REQUISITOS APLICAO E OUTROS MATERIAIS EXPLICATIVOS Determinao se foram identificadas deficincias de controle interno Deficincias significativas de controle interno Comunicao de deficincias de controle interno Item

1-3 4 5 6 7-11 A1-A4 A5-A11 A12-A30

Esta Norma deve ser lida juntamente com a NBC TA 200 - Objetivos gerais do auditor independente e a conduo da auditoria em conformidade com normas brasileiras e internacionais de auditoria.

IntroduoAlcance 1. Esta Norma trata da responsabilidade do auditor de comunicar apropriadamente, aos responsveis pela governana e administrao, as deficincias de controle interno que foram identificadas na auditoria das demonstraes contbeis. Esta Norma no impe responsabilidades adicionais ao auditor na obteno de entendimento do controle interno, assim como no planejamento e na execuo de testes de controle alm dos requisitos da NBC TA 315, itens 4 e 12, e da NBC TA 330. A NBC TA 260 estabelece requisitos adicionais e fornece orientao sobre a responsabilidade do auditor na comunicao com os responsveis pela governana em relao auditoria de demonstraes contbeis. O auditor deve obter entendimento do controle interno relevante para a auditoria ao identificar e avaliar os riscos de distoro relevante (NBC TA 315, item 12,A60 a A65 da NBC TA 315 fornecem orientao sobre controles relevantes para a auditoria). Nessas avaliaes de risco, o auditor considera o controle interno para planejar os procedimentos de auditoria que so apropriados nas circunstncias, mas no para fins de expressar uma opinio sobre a eficcia do controle interno. O auditor pode identificar deficincias do controle interno, no somente durante esse processo de avaliao de risco, mas, tambm, em qualquer outra etapa da auditoria. Esta Norma especifica quais deficincias identificadas pelo auditor devem ser comunicadas aos responsveis pela governana e administrao. Esta Norma no impede o auditor de comunicar aos responsveis pela governana e administrao outros assuntos sobre controle interno que o auditor tenha identificado durante a auditoria.

2.

3.

Data de vigncia 4. Esta Norma aplicvel a auditoria de demonstraes contbeis para perodos iniciados em ou aps 1 de janeiro de 2010.

Objetivo5. O objetivo do auditor comunicar apropriadamente, aos responsveis pela governana e administrao, as deficincias de controle interno que o auditor identificou durante a auditoria e que, no seu julgamento profissional, so de importncia suficiente para merecer a ateno deles.

Definies6. Para fins das normas de auditoria, os termos a seguir possuem os seguintes significados a eles atribudos:

Deficincia de controle interno existe quando: (i) o controle planejado, implementado ou operado de tal forma que no consegue prevenir, ou detectar e corrigir tempestivamente, distores nas demonstraes contbeis; ou (ii) falta um controle necessrio para prevenir, ou detectar e corrigir tempestivamente, distores nas demonstraes contbeis. Deficincia significativa de controle interno a deficincia ou a combinao de deficincias de controle interno que, no julgamento profissional do auditor, de importncia suficiente para merecer a ateno dos responsveis pela governana (ver item A5).

Requisitos7. O auditor deve determinar se, com base no trabalho de auditoria executado, ele identificou uma ou mais deficincias de controle interno (ver itens A1 a A4). Se o auditor identificou uma ou mais deficincias de controle interno, o auditor deve determinar, com base no trabalho de auditoria executado, se elas constituem, individualmente ou em conjunto, deficincia significativa (ver itens A5 a A11). O auditor deve comunicar tempestivamente por escrito as deficincias significativas de controle interno identificadas durante a auditoria aos responsveis pela governana (ver itens A12 a A18 e A27). O auditor tambm deve comunicar tempestivamente administrao no nvel apropriado de responsabilidade (ver itens A19 e A27): (a) por escrito, as deficincias significativas de controle interno que o auditor comunicou ou pretende comunicar aos responsveis pela governana, a menos que no seja apropriado nas circunstncias comunicar diretamente administrao (ver itens A14, A20 e A21); e (b) outras deficincias de controle interno identificadas durante a auditoria que no foram comunicadas administrao ou a outras partes e que, no julgamento profissional do auditor, so de importncia suficiente para merecer a ateno da administrao (ver itens A22 a A26). O auditor deve incluir na comunicao por escrito das deficincias significativas de controle interno: (a) descrio das deficincias e explicao de seus possveis efeitos (ver item A28); e (b) informaes suficientes para permitir que os responsveis pela governana e a administrao entendam o contexto da comunicao. O auditor deve especificamente explicar que (ver itens A29 e A30): (i) o objetivo da auditoria era o de expressar uma opinio sobre as demonstraes contbeis;

8.

9.

10.

11.

(ii) a auditoria incluiu a considerao do controle interno relevante para a elaborao das demonstraes contbeis com a finalidade de planejar procedimentos de auditoria que so apropriados nas circunstncias, mas no para fins de expressar uma opinio sobre a eficcia do controle interno; e (iii) os assuntos comunicados esto limitados s deficincias que o auditor identificou durante a auditoria e concluiu serem de importncia suficiente para comunicar aos responsveis pela governana.

Aplicao e outros materiais explicativosDeterminao se foram identificadas deficincias de controle interno (ver item 7) A1. Ao determinar se foram identificadas uma ou mais deficincias de controle interno, o auditor pode discutir os fatos e as circunstncias relevantes das suas observaes com o nvel adequado da administrao. Essa discusso fornece oportunidade para o auditor alertar tempestivamente a administrao sobre a existncia de deficincias sobre as quais a administrao possivelmente no tinha conhecimento. O nvel da administrao com o qual apropriado discutir as observaes aquele que est familiarizado com a rea de controle interno relacionada e que tem autoridade para tomar as medidas corretivas para quaisquer deficincias de controle interno identificadas. Em algumas circunstncias, pode no ser apropriado para o auditor discutir as suas constataes diretamente com a administrao, por exemplo, se elas parecerem questionar a integridade ou competncia da administrao (ver item A20). A2. Ao discutir os fatos e as circunstncias das suas observaes com a administrao, o auditor pode obter outras informaes relevantes para considerao adicional, como: entendimento da administrao das causas reais ou suspeitas das deficincias; excees decorrentes das deficincias que a administrao pode ter observado, por exemplo, distores que no foram prevenidas pelos controles de tecnologia da informao (TI) relevantes; indicao preliminar da administrao de sua resposta s observaes. Consideraes especficas para entidades de pequeno porte A3. Embora os conceitos que suportam as atividades de controle em entidades de pequeno porte sejam provavelmente semelhantes aos de entidades de grande porte, a formalidade com que operam variar. Alm disso, as entidades de pequeno porte podem determinar que certos tipos de atividades de controle no so necessrios devido aos controles aplicados pela administrao. Por exemplo, a autoridade exclusiva da administrao de conceder crdito a clientes e aprovar aquisies significativas pode proporcionar o controle efetivo sobre saldos contbeis e transaes importantes, diminuindo ou eliminando a necessidade de atividades de controle mais detalhadas.

A4. Alm disso, entidades de pequeno porte frequentemente possuem menos empregados, que pode limitar at que ponto a segregao de funes praticvel. Entretanto, em entidade de pequeno porte administrada pelo proprietrio, ele pode ser capaz de supervisionar de maneira mais eficaz do que em uma entidade de grande porte. Esse nvel mais alto de superviso da administrao deve compensar a maior probabilidade da administrao burlar os controles. Deficincias significativas de controle interno (ver itens 6(b) e 8) A5. A importncia de uma deficincia ou de uma combinao de deficincias de controle interno no depende somente se a distoro realmente ocorreu, mas, tambm, da probabilidade de que a distoro poderia ocorrer e a possvel magnitude da distoro. Portanto, podem existir deficincias significativas mesmo que o auditor no tenha identificado distores durante a auditoria. A6. Exemplos de assuntos que o auditor pode considerar ao determinar se a deficincia ou a combinao de deficincias de controle interno constitui deficincia significativa incluem: a probabilidade das deficincias levarem a distoro relevante nas demonstraes contbeis no futuro; a susceptibilidade perda ou fraude do respectivo ativo ou passivo; a subjetividade e a complexidade da determinao de valores estimados, como estimativas contbeis a valor de mercado; os valores das demonstraes contbeis expostos s deficincias; o volume de atividade que ocorreu ou poderia ocorrer nos saldos contbeis ou na classe de transaes expostas deficincia ou s deficincias; a importncia dos controles para o processo de elaborao de demonstraes contbeis; por exemplo: o controle de monitoramento geral (tais como superviso da administrao); o controle sobre a preveno e a deteco de fraude; o controle sobre a seleo e a aplicao das principais prticas contbeis; o controle sobre transaes significativas com partes relacionadas; o controle sobre transaes significativas fora do curso normal dos negcios da entidade; o controles sobre o processo de elaborao de demonstraes contbeis de final de perodo (tais como controle sobre lanamentos no recorrentes ou no usuais); a causa e a frequncia das excees detectadas em decorrncia das deficincias de controle; a interao da deficincia com outras deficincias do controle interno. A7. Os indicadores de deficincia significativa do controle interno incluem, por exemplo: evidncia de aspectos ineficazes do ambiente de controle, como: o indicaes de que transaes significativas, nas quais a administrao est financeiramente interessada, no esto sendo apropriadamente analisadas pelos responsveis pela governana;

o identificao de fraude da administrao, relevante ou no, que no foi prevenida pelo controle interno da entidade; o falha da administrao ao no implementar medidas corretivas apropriadas para as deficincias significativas anteriormente comunicadas; ausncia de processo de avaliao de risco na entidade em que a existncia desse processo seria normalmente esperada; evidncia de processo de avaliao de risco ineficaz, tais como falha da administrao para identificar risco de distoro relevante que o auditor esperaria que o processo de avaliao de risco tivesse identificado; evidncia de resposta ineficaz a riscos significativos identificados (por exemplo, ausncia de controle sobre esses riscos); distoro detectada pelos procedimentos do auditor que no foi prevenida ou detectada e corrigida, pelo controle interno da entidade; reapresentao de demonstraes contbeis emitidas anteriormente para refletir a correo de distoro relevante devido a erro ou a fraude; evidncia da incapacidade da administrao de supervisionar a elaborao das demonstraes contbeis. A8. Os controles podem ser planejados para operarem individualmente ou em conjunto para prevenir, ou detectar e corrigir, as distores de maneira eficaz (NBC TA 315, item A66). Controles sobre contas a receber, por exemplo, podem consistir de controles automatizados e manuais elaborados para operarem em conjunto para prevenir, ou detectar e corrigir, distores no saldo contbil. A deficincia de controle interno, por si s, pode no ser suficientemente importante para se constituir em deficincia significativa. Entretanto, a combinao de deficincias que afeta o mesmo saldo contbil ou a mesma divulgao, a mesma afirmao relevante, ou o mesmo componente do controle interno, pode aumentar os riscos de distoro a ponto de dar origem a uma deficincia significativa. A9. A legislao ou os regulamentos em algumas jurisdies podem estabelecer requisito (especificamente para auditoria de entidade registrada em bolsa) para que o auditor comunique aos responsveis pela governana ou a outras partes relevantes (como agncias reguladoras) um ou mais tipos especficos de deficincia de controle interno que o auditor tenha identificado durante a auditoria. Quando a legislao ou o regulamento estabelecem termos e definies especficos para esses tipos de deficincia e requer que o auditor use esses termos e definies para fins de comunicao, o auditor usa esses termos e definies nas comunicaes de acordo com os requisitos legais ou regulatrios. A10. Quando a jurisdio estabeleceu termos especficos para tipos de deficincia de controle interno a serem comunicados, mas no definiu esses termos, pode ser necessrio que o auditor use julgamento para determinar os assuntos a serem comunicados, em adio ao requisito legal ou regulatrio. No Brasil, no existem ainda termos determinados por reguladores especficos. Ao determinar os assuntos a serem comunicados, o auditor pode considerar apropriado os requisitos e a orientao desta Norma. Por exemplo, se a finalidade do requisito legal ou regulatrio o de

levar ao conhecimento dos responsveis pela governana certos assuntos sobre controle interno sobre os quais eles deveriam ter conhecimento, pode ser adequado considerar esses assuntos como sendo geralmente equivalentes s deficincias significativas que devem ser comunicadas aos responsveis pela governana de acordo com esta Norma. A11. Os requisitos desta Norma permanecem aplicveis independentemente de a lei ou o regulamento requerer que o auditor use termos ou definies especficos. Comunicao de deficincias de controle interno Comunicao de deficincia significativa de controle interno aos responsveis pela governana (ver item 9) A12. A comunicao de deficincias significativas por escrito aos responsveis pela governana reflete a importncia desses assuntos e auxilia os responsveis pela governana a cumprirem suas responsabilidades de superviso geral. A NBC TA 260, item 13, estabelece consideraes relevantes sobre comunicao com os responsveis pela governana quando todos eles esto envolvidos na administrao da entidade. A13. Ao determinar quando emitir a comunicao por escrito, o auditor pode considerar se o recebimento dessa comunicao seria um fator importante para permitir que os responsveis pela governana desempenhem suas responsabilidades de superviso geral. Alm disso, para entidades registradas em bolsa em certas jurisdies, os responsveis pela governana podem ter que receber a comunicao por escrito do auditor antes da data de aprovao das demonstraes contbeis para desempenhar responsabilidades especficas em relao ao controle interno, para fins regulatrios ou para atender outros propsitos. Para outras entidades, o auditor pode emitir a comunicao por escrito em uma data posterior. Contudo, neste ltimo caso, considerando que a comunicao por escrito do auditor sobre deficincias significativas faz parte do arquivo de auditoria final, a comunicao por escrito est sujeita ao requisito do item 14 da NBC TA 230, que requer do auditor a montagem tempestiva do arquivo de auditoria final. A NBC TA 230 estabelece que o limite de tempo adequado para a concluso da montagem do arquivo de auditoria final normalmente de no mximo 60 dias aps a data do relatrio do auditor independente (NBC TA 230, item A21). A14. Independentemente da poca da comunicao por escrito de deficincias significativas, o auditor pode comunic-las verbalmente em primeira instncia administrao e, quando apropriado, aos responsveis pela governana para auxililos a tomar tempestivamente as medidas corretivas para minimizar os riscos de distoro relevante. Contudo, isso no isenta o auditor da responsabilidade de comunicar as deficincias significativas por escrito, conforme requerido por esta Norma. A15. O nvel de detalhes de deficincias significativas a ser comunicado uma questo de julgamento profissional do auditor nas circunstncias. Os fatores que o auditor pode

considerar ao determinar um nvel de detalhe apropriado para a comunicao incluem, por exemplo: a natureza da entidade. Por exemplo, a comunicao requerida para entidade de interesse pblico pode ser diferente daquela requerida para entidade que no seja de interesse pblico; o porte e a complexidade da entidade. Por exemplo, a comunicao requerida para entidade complexa pode ser diferente da requerida para entidade que opera um negcio simples; a natureza das deficincias significativas que o auditor identificou; a composio da governana da entidade. Por exemplo, podem ser necessrios mais detalhes se os responsveis pela governana incluem membros que no tm experincia significativa no setor da entidade ou nas reas afetadas; requisitos legais ou regulatrios relativos comunicao de tipos especficos de deficincia de controle interno. A16. A administrao e os responsveis pela governana podem j ter conhecimento de deficincias significativas que o auditor identificou durante a auditoria e optado por no corrigi-las por causa do custo ou de outras consideraes. A responsabilidade pela avaliao dos custos e benefcios de implementar medidas corretivas da administrao e dos responsveis pela governana. Consequentemente, o requisito do item 9 se aplica independentemente de custo ou outras consideraes que a administrao e os responsveis pela governana podem considerar relevante para determinar se essas deficincias devem ser corrigidas. A17. O fato de que o auditor comunicou uma deficincia significativa aos responsveis pela governana e administrao na auditoria anterior no elimina a necessidade dele repetir a comunicao se ainda no foi tomada medida corretiva. Se a deficincia significativa comunicada anteriormente no foi corrigida, a comunicao do exerccio corrente pode repetir a descrio da comunicao anterior, ou simplesmente fazer referncia comunicao anterior. O auditor pode perguntar administrao ou, quando apropriado, aos responsveis pela governana porque a deficincia significativa ainda no foi corrigida. A falha por no agir, sem explicao racional, pode por si s, representar deficincia significativa. Consideraes especficas para entidade de pequeno porte A18. No caso de auditoria de entidade de pequeno porte, o auditor pode fazer comunicao aos responsveis pela governana de forma menos estruturada do que no caso de entidade de grande porte. Comunicao de deficincia de controle interno administrao (ver item 10) A19. Normalmente, o nvel apropriado da administrao o que tem a responsabilidade e a autoridade para avaliar as deficincias de controle interno e tomar as medidas corretivas necessrias. Para deficincias significativas, o nvel adequado provavelmente o diretor presidente ou diretor financeiro (ou equivalente) uma vez

que esses assuntos tambm devem ser comunicados aos responsveis pela governana. Para outras deficincias de controle interno, o nvel adequado pode ser a administrao operacional com envolvimento mais direto nas reas de controle afetadas e com autoridade para tomar a medida corretiva apropriada. Comunicao de deficincia significativa de controle interno administrao (ver item 10(a)) A20. Certas deficincias significativas de controle interno identificadas podem colocar em dvida a integridade ou a competncia da administrao. Por exemplo, pode haver evidncia de fraude ou no conformidade intencional de leis ou regulamentos pela administrao, ou a administrao pode demonstrar ser incapaz de supervisionar a elaborao adequada de demonstraes contbeis adequadas pode gerar dvida sobre a competncia da administrao. Consequentemente, pode no ser apropriado comunicar essas deficincias diretamente administrao. A21. A NBC TA 250 estabelece requisitos e fornece orientao sobre a comunicao de suspeita ou efetiva no conformidade com leis e regulamentos, inclusive quando os prprios responsveis pela governana esto envolvidos na referida no conformidade (ver NBC TA 250, itens 22 a 28). A NBC TA 240, item 41, estabelece requisitos e fornece orientao sobre a comunicao aos responsveis pela governana quando o auditor identificou fraude ou suspeita de fraude envolvendo a administrao. Comunicao de outras deficincias de controle interno administrao (ver item 10(b)) A22. Durante a auditoria, o auditor pode identificar outras deficincias de controle interno que no so deficincias significativas, mas podem ser de importncia suficiente para merecer a ateno da administrao. A determinao sobre quais dessas deficincias de controle interno merecem a ateno da administrao uma questo de julgamento profissional do auditor nas circunstncias, levando em considerao a probabilidade e a possvel magnitude de distores que podem surgir nas demonstraes contbeis em decorrncia dessas deficincias. A23. A comunicao de outras deficincias de controle interno que merecem a ateno da administrao no precisa ser por escrito, podendo, portanto, ser verbal. Quando o auditor discutiu os fatos e as circunstncias das suas constataes com a administrao, ele pode considerar que foi feita comunicao verbal das outras deficincias na poca dessas discusses. Consequentemente, no precisa ser feita comunicao formal posteriormente. A24. Se o auditor comunicou administrao as deficincias de controle interno que no sejam deficincias significativas no perodo anterior e a administrao optou por no corrigi-las pelo custo ou por outras razes, o auditor no precisa repetir a comunicao no perodo corrente. Alm disso, no requerido ao auditor repetir informaes sobre essas deficincias se elas foram comunicadas anteriormente

administrao por outras partes, como auditores internos ou agncias reguladoras. Entretanto, pode ser adequado para o auditor comunicar novamente essas outras deficincias no caso de ter havido mudana da administrao, ou de novas informaes que chegaram ao seu conhecimento que alteram o entendimento anterior do auditor e da administrao sobre as deficincias. Contudo, o fato de a administrao no corrigir outras deficincias de controle interno, anteriormente comunicadas, pode se tornar uma deficincia significativa, requerendo que seja comunicada aos responsveis pela governana. A determinao se esse o caso depende do julgamento do auditor nas circunstncias. A25. Em algumas circunstncias, os responsveis pela governana podem solicitar que sejam informados detalhes de outras deficincias do controle interno que o auditor comunicou administrao, ou ser sucintamente informados da natureza das outras deficincias. Alternativamente, o auditor pode considerar adequado informar aos responsveis pela governana sobre a comunicao das outras deficincias administrao. Em qualquer dos casos, o auditor pode fazer a comunicao verbal ou por escrito aos responsveis pela governana, conforme adequado. A26. A NBC TA 260, item 9, estabelece consideraes relevantes sobre comunicao com os responsveis pela governana quando todos eles esto envolvidos na administrao da entidade. Consideraes especficas de entidade do setor pblico (ver itens 9 e 10) A27. Auditores do setor pblico podem ter responsabilidades adicionais de comunicar deficincias de controle interno que foram identificadas durante a auditoria, de diferentes maneiras, em nvel de detalhes, e para partes no previstas nesta Norma. Por exemplo, deficincias significativas podem ter que ser comunicadas ao rgo legislativo ou outro rgo executivo. A lei, o regulamento ou outra autoridade tambm pode determinar que os auditores do setor pblico comuniquem deficincias de controle interno, independentemente da importncia dos possveis efeitos dessas deficincias. Alm disso, a legislao pode requerer que os auditores do setor pblico comuniquem assuntos relacionados a controles internos de forma mais ampla do que as deficincias de controle interno que devem ser comunicadas de acordo com esta Norma, por exemplo, controles relacionados a cumprimento de determinaes das autoridades legislativas, regulamentos ou clusulas de contratos ou acordos de concesso. Contedo da comunicao de deficincia significativa de controle interno (ver item 11) A28. Ao explicar os possveis efeitos das deficincias significativas, o auditor no precisa quantificar esses efeitos. As deficincias significativas podem ser agrupadas para fins de comunicao, quando adequado. O auditor tambm pode incluir na comunicao por escrito, suas sugestes para medidas corretivas das deficincias, as aes implementadas ou propostas pela administrao, assim como informao sobre se o auditor verificou se as aes da administrao foram implementadas (follow up pelo auditor).

A29. O auditor pode considerar apropriado incluir as seguintes informaes como contexto adicional para a comunicao: indicao de que se o auditor tivesse executado procedimentos mais extensivos sobre o controle interno, ele poderia ter identificado mais deficincias a serem comunicadas, ou concludo que algumas deficincias comunicadas, na verdade, no deveriam ter sido comunicadas; indicao de que essa comunicao foi fornecida aos responsveis pela governana e que pode no servir para outras finalidades. A30. A legislao ou a regulamentao pode requerer que o auditor ou a administrao fornea uma cpia por escrito da comunicao do auditor sobre as deficincias significativas para as autoridades reguladoras. Nesse caso, a comunicao por escrito do auditor pode identificar essas autoridades reguladoras.