III Survey sobre a função de Auditoria Interna em Portugal

INTERNAL AUDIT III Survey sobre a função de Auditoria Interna em Portugal 2013 ADVISORY SERVICES kpmg.pt

2 III Survey sobre a função de Auditoria Interna em Portugal SOBRE O ESTUDO A KPMG Advisory Consultores de Gestão, S.A. e o IPAI Instituto Português de Auditoria Interna tendo realizado dois Surveys sobre a função de Auditoria Interna em Portugal, em 2007 e 2009, e considerando os benefícios gerados pelos mesmos no desenvolvimento desta função, decidiram dar continuidade a este trabalho e realizar o III Survey sobre a função de Auditoria Interna em Portugal. Este III Survey tem como objectivo permitir aos Auditores Internos e Gestores das organizações continuarem a acompanhar a evolução da função de Auditoria Interna em Portugal, através de uma análise comparativa entre os resultados obtidos em 2007, 2009 e 2012. Os principais benefícios esperados com a realização deste Estudo são os de permitir, através da identificação sistemática ao longo do tempo dos aspectos passíveis de serem melhorados ao nível da função de Auditoria Interna, o estabelecimento e execução de planos de acção a nível macro e a nível individual de cada função, reforçando assim um alinhamento mais célere com as práticas internacionais reconhecidas e, dessa forma, valorizando o seu contributo para a organização. METODOLOGIA E ÂMBITO O Estudo foi suportado na realização de um questionário on-line dirigido a 147 organizações, em nome dos responsáveis pela função de Auditoria Interna ou de Administradores. O questionário foi realizado entre os meses de Julho e Novembro de 2012, tendo sido apresentadas as conclusões preliminares na XIX Conferência Anual do IPAI realizada em Lisboa no dia 22 de Novembro de 2012. O Estudo foi finalizado em Fevereiro de 2013 e esta publicação consubstancia as respectivas conclusões finais. CARACTERIZAÇÃO DAS ORGANIZAÇÕES PARTICIPANTES Responderam a este inquérito, tal como em 2009, 84 organizações a que corresponde uma taxa de resposta de 57%. Das organizações participantes, 23 são cotadas (27%), das quais 13 cotadas no PSI 20. Aproximadamente 31% das organizações participantes pertencem ao sector financeiro. Refira-se que 56% das organizações que participaram no II Survey, realizado em 2009, e 47% das organizações que participaram no I Survey, realizado em 2007, responderam também a este III Survey. COORDENAÇÃO DO ESTUDO Rui Branco KPMG Advisory - Consultores de Gestão, S.A. Fátima Geada IPAI Instituto Português de Auditoria Interna Francisco Melo Albino IPAI Instituto Português de Auditoria Interna ELABORAÇÃO DO ESTUDO Rui Branco KPMG Advisory - Consultores de Gestão, S.A. Francisco Melo Albino IPAI Instituto Português de Auditoria Interna João Amorim KPMG Advisory - Consultores de Gestão, S.A.

III Survey sobre a função de Auditoria Interna em Portugal 3 ÍNDICE 1 Mensagem da KPMG 04 2 Mensagem do IPAI 06 3 Sumário Executivo 08 4 Resultados do Estudo 13 A Existência de função de Auditoria Interna e de Comissão de Auditoria 15 B Estrutura Organizativa da função de Auditoria Interna 20 C Plano de Auditoria e Programas de Trabalho 24 D Avaliação da Qualidade 31 E Formação dos Auditores Internos 33 F Coordenação com o Auditor Externo 35 G Externalização da Auditoria Interna 36 H Crise Económica e implicações na Auditoria Interna 37

4 III Survey sobre a função de Auditoria Interna em Portugal MENSAGEM DA KPMG

III Survey sobre a função de Auditoria Interna em Portugal 5 Jorge Santos Partner, KPMG O lançamento do III Survey sobre a função de Auditoria Interna em Portugal, com o apoio do IPAI Instituto Português de Auditoria Interna, representa mais uma etapa importante na partilha do conhecimento sobre a evolução da função em Portugal, face às práticas internacionais de referência, nomeadamente do The Institute of Internal Auditors. Este terceiro Estudo reflecte também a continuidade do empenho por parte da KPMG, ao longo destes últimos seis anos, em contribuir de forma decisiva para o desenvolvimento e valorização da função em Portugal. A estrutura deste Estudo mantém a avaliação da evolução da função de Auditoria Interna nas suas principais dimensões, considerando a sua estrutura organizativa, os planos e os programas de auditoria, a avaliação da performance da função, a formação dos Auditores Internos, a coordenação com o Auditor Externo e a externalização total ou parcial das actividades de auditoria interna. Dado o contexto da crise económica actual, considerou-se manter, neste Estudo, um capítulo com o objectivo de compreender o impacto financeiro da referida crise nas organizações e, em particular, na actividade das funções de Auditoria Interna. Assim, consideramos que o desenvolvimento de uma abordagem sistemática de identificação, primeiro em 2007, depois em 2009 e agora em 2013, dos pontos fortes e dos aspectos passíveis de serem melhorados ao nível da função de Auditoria Interna, permite o estabelecimento e execução de planos de acção a nível macro e a nível individual de cada função e, consequentemente, potencia um alinhamento mais célere e consistente com as boas práticas, valorizando o contributo da função para a organização. Gostaríamos de agradecer às organizações e aos seus representantes que participaram neste III Survey sobre a função de Auditoria Interna em Portugal pelo seu empenho e tempo investido, sem os quais o Estudo não teria sido possível realizar.

6 III Survey sobre a função de Auditoria Interna em Portugal MENSAGEM DO IPAI

III Survey sobre a função de Auditoria Interna em Portugal 7 Fátima Geada Presidente do IPAI O III Survey sobre a função Auditoria Interna em Portugal, efetuado em parceria entre o IPAI e a KPMG, representa um importante Estudo relativo ao conhecimento da função e um reconhecido benchmarking interno e internacional, enquanto quadro de referência para comparações com realidades de outros países, elaborado com rigor técnico e científico que permite um confiável diagnóstico e um traçar de caminhos para o futuro da profissão. Os resultados do Estudo demonstram uma evolução positiva da função, denotandose um alinhamento em relação às boas práticas internacionalmente reconhecidas, não tendo ainda atingido o patamar que se considera desejável e nalguns aspetos evidenciando algum retrocesso. Como vertentes onde se deverá continuar a investir no seu desenvolvimento, salienta-se: a elaboração de manuais escritos, planos e programas orientados para os principais riscos da organização, nos procedimentos de suporte à auditoria contínua e possibilidade de monitorização à distância. A Auditoria Interna tem vindo a evidenciar uma evolução significativa em Portugal, para a qual o papel que o IPAI tem desempenhado no ponto de vista da formação especializada na Área e divulgação das certificações internacionais, procurando com as suas ações formativas e eventos, quer sectoriais, quer nacionais, quer junto das universidades, promover o saber, as competências e a partilha de experiências profissionais. Nos eventos de âmbito nacional: Fórum e Conferência Anual de Auditoria Interna, com elevada participação por parte dos Associados, o IPAI procura sensibilizar e divulgar conhecimento sobre a Área de conhecimento e a profissão. Com a Revista que publica procura dar a conhecer novos desenvolvimentos sobre esta temática de conhecimento e profissional. Este esforço também se encontra relevado no presente documento, onde se verifica um acréscimo das organizações que dedicam formação específica para os seus colaboradores da Auditoria Interna. O IPAI agradece à KPMG o esforço, empenho, dedicação e proficiência na organização deste Estudo, de extrema relevância para a divulgação e conhecimento da função de Auditoria Interna em Portugal, bem como a todas as organizações e respetivos responsáveis que participaram e tornaram possível a realização deste Estudo.

8 III Survey sobre a função de Auditoria Interna em Portugal SUMÁRIO EXECUTIVO

III Survey sobre a função de Auditoria Interna em Portugal 9 No presente Estudo verifica-se, em termos globais, uma evolução positiva significativa da performance da função de Auditoria Interna (AI) em Portugal, no conjunto dos três últimos anos. Assim, considerando que no Estudo de 2009 se tinha constatado também uma evolução positiva da função face a 2007, ainda que moderada, conclui-se neste Estudo que existe uma aceleração no alinhamento por parte das funções de AI em relação às boas práticas internacionalmente reconhecidas. No entanto, apesar dessa aceleração no referido alinhamento a partir de 2009, continua a existir um conjunto de dimensões da função que, podendo até ter apresentado uma evolução significativa, não atingiu ainda o patamar de desenvolvimento desejável, bem como outras, embora em número reduzido, para as quais se assistiu inclusivamente a algum retrocesso. Assim, importa continuar a investir na função de AI com especial enfoque ao nível do desenvolvimento de planos e programas de auditoria interna orientados aos principais riscos da organização, no reforço da formação específica onde se incluem as certificações reconhecidas, na execução de auditorias aos sistemas de informação, na capacitação das funções de auditarem e monitorizarem, de forma contínua e à distância, diversos temas com maior grau de eficácia e eficiência e, finalmente, no reforço das avaliações externas independentes da função, considerando ser esta última dimensão um elemento indutor para o desenvolvimento mais célere das outras vertentes. EXISTÊNCIA DE FUNÇÃO DE AUDITORIA INTERNA E DE COMISSÃO DE AUDITORIA Verificou-se um aumento significativo do peso das organizações com funções de AI e com Comissão de Auditoria, tendo passado, respectivamente, de 79% e 25% em 2009 para 92% e 36% em 2012. Assim, se na verdade a grande maioria das organizações participantes possui uma função de AI ou externaliza a mesma, não existindo dúvidas sobre o reconhecimento da sua importância, no que respeita à Comissão de Auditoria esse reconhecimento é ainda relativamente reduzido, embora se constate ao nível das organizações cotadas um crescimento substancial do peso das que possuem o referido órgão, aumentando 14 p.p., de 64% em 2009 para 78% em 2012. A existência de uma Comissão de Auditoria, que depende também da dimensão da organização, é considerada uma boa prática em termos de modelo de governo e confere à função um maior empowerment e independência no desenvolvimento da sua actividade, face ao carácter menos operacional que o Conselho Fiscal, em geral, apresenta. No âmbito da frequência da comunicação da função de AI com o órgão do qual depende, salienta-se um crescimento em 14 p.p. das funções que reúnem mais de cinco vezes por ano com o referido órgão, passando de 79% em 2007 para 93% em 2012, potenciando-se assim uma melhor articulação entre as partes e uma maior celeridade no processo de tomada de decisão. Em paralelo, assiste-se também a uma evolução significativa em termos das funções de AI que incluem no seu universo auditável todas as áreas da organização, filiais ou organizações subsidiárias, com um aumento de 13 p.p., passando de 82% em 2007 para 95% em 2012. Em termos globais assiste-se a uma evolução significativa da performance da função de Auditoria Interna (AI) em Portugal, considerando que diversas dimensões importantes da função apresentam uma acentuada melhoria. A As dimensões da função que apresentam uma evolução positiva muito significativa são, nomeadamente: Auditoria a Sistemas de Informação; Avaliação Externa da função de AI; Auditoria e Monitorização Contínuas. Ainda assim, estas dimensões estão longe de atingir o patamar de desenvolvimento desejável, existindo por isso a necessidade de reforçar as mesmas. A Importa, pois, continuar a investir em: Desenvolvimento de planos e programas de auditoria orientados aos principais riscos da organização; Formação específica em auditoria interna, na qual se incluem as certificações internacionalmente reconhecidas; Desenvolvimento de auditorias a Sistemas de Informação e Auditoria e Monitorização Contínuas; Avaliações Externas da função de AI.AAA

10 III Survey sobre a função de Auditoria Interna em Portugal Aumento significativo do peso das organizações com funções de AI e com Comissão de Auditoria, tendo passado, respectivamente, de 79% e 25% em 2009 para 92% e 36% em 2012. A Nas organizações cotadas assistiu-se a um crescimento substancial em 14 p.p. das que possuem Comissão de Auditoria, sendo que hoje quatro em cada cinco organizações possuem aquele órgão. A Reforço da articulação entre a função de AI e o órgão do qual depende, através do crescimento em 14 p.p. das funções que reúnem mais de cinco vezes com aquele órgão, que actualmente atingem os 93%. AAA O rácio de Auditores Internos por colaboradores mantém a sua tendência decrescente ao longo dos três Estudos realizados, tendo passado de 0,31% em 2007 para 0,19% em 2012, embora se forem consideradas as organizações comuns aos referidos Estudos, o indicador mantém-se praticamente inalterado nos 0,23%. Decréscimo significativo na flexibilidade por parte da função de AI para a contratação de recursos ou de serviços externos, tendo-se reduzido em 10 p.p., passando para 64% em 2012.AAA ESTRUTURA ORGANIZATIVA DA FUNÇÃO DE AUDITORIA INTERNA Face ao elevado grau de complexidade das actividades e dos negócios das organizações, que actuam em mercados diversificados e actualmente com níveis superiores de incerteza, bem como, por vezes, com elevada dispersão geográfica internacional, implica que a função de AI se estruture e capacite, em termos de recursos e competências, por forma a cumprir adequadamente o seu papel. Este Estudo revela que apesar de se ter verificado nas organizações um ligeiro acréscimo do número médio de Auditores Internos (11,6 em 2012 face aos 10,9 de 2009), o rácio de Auditores Internos/colaboradores mantém a sua tendência decrescente ao longo dos três Estudos realizados, tendo passado de 0,31% em 2007 para 0,21% em 2009 e, finalmente, para 0,19% em 2012. No entanto, este facto fica a dever-se à alteração da composição das organizações participantes, dado que comparando apenas aquelas que são comuns aos últimos Estudos, aquele rácio manteve-se praticamente inalterado, tendo variado de 0,24% em 2009 para 0,23% em 2012. Este Estudo realça também a necessidade das funções de AI continuarem a investir no reforço das suas competências específicas ao nível de auditorias de sistemas de informação e no âmbito da actividade de auditoria e monitorização contínuas, dado que apenas 42% e 62% daquelas funções, respectivamente, referem possuir essas competências. Um dos destaques pela negativa é o decréscimo significativo das funções de AI com flexibilidade para a contratação de recursos ou de serviços externos, tendose reduzido em 10 p.p., ficando em 2012 nos 64%. Considerando as organizações comuns aos dois últimos Estudos, o decréscimo foi ainda mais acentuado (14 p.p.), sendo a actual crise económica uma das justificações para esta situação. PLANO DE AUDITORIA E PROGRAMAS DE TRABALHO De acordo com as boas práticas os responsáveis da função de AI devem estabelecer um plano de AI baseado no risco, no sentido de determinar as prioridades da actividade de auditoria, consistente com os objectivos da organização. No que respeita a esta dimensão, houve um decréscimo significativo em 13 p.p., de 2009 para 2012, do peso das funções de AI que referem que o seu planeamento é efectuado com base numa avaliação de riscos da organização, reduzindo-se de 92% para 79%, embora essa evolução desde 2007 seja positiva, ainda que ligeira. Considerando a importância actual dos sistemas de informação no desenvolvimento da actividade e dos processos das organizações, salienta-se o crescimento acentuado e continuado, em 15 p.p., das funções de AI que incluem no seu plano a componente de auditorias aos sistemas de informação, passando de 46% em 2007, para 50% em 2009 e, finalmente, para 61% em 2012.

III Survey sobre a função de Auditoria Interna em Portugal 11 Adicionalmente, confirma-se um acentuado crescimento em 9 p.p. das funções de AI que possuem ferramentas de auditoria e monitorização contínuas, passando de 17% em 2009 para 26% em 2012, sendo essa tendência ainda mais acentuada (13 p.p.) se forem consideradas as organizações comuns aos dois últimos Estudos. Assim, embora se tenha assistido desde 2007 a evoluções significativas sustentadas no âmbito das componentes de auditorias aos sistemas de informação e de utilização de ferramentas de auditoria e monitorização contínuas, não se atingiram ainda os níveis desejáveis, continuando a exigir por parte das organizações um forte investimento nestas componentes. AVALIAÇÃO DA QUALIDADE Relativamente às avaliações da qualidade da função de AI, a realizar por entidades externas independentes e que de acordo com as boas práticas devem ser efectuadas pelo menos uma vez de cinco em cinco anos, destaca-se uma evolução significativa em 9 p.p., aumentando de 10% em 2009 para 19% em 2012 as funções que realizaram a referida avaliação. Mesmo que se considerem apenas as organizações comuns aos dois últimos Estudos, esta evolução é igualmente significativa, tendo aumentado de 14% para 25% o peso das organizações em que a avaliação da função de AI é realizada por entidades externas independentes. Por último, verifica-se também uma melhoria ligeira em 3 p.p. das funções de AI que definem indicadores chave de performance, em conjunto com o órgão do qual dependem, evoluindo de 45% em 2009 para 48% em 2012. Apesar dos progressos registados é importante que o investimento no processo de Quality Assurance & Improvement Program continue a ser reforçado, enquanto instrumento fundamental para a melhoria contínua da qualidade do trabalho de auditoria interna desenvolvido. FORMAÇÃO DOS AUDITORES INTERNOS Verifica-se uma evolução significativa em 9 p.p. de funções de AI que consideram possuir um plano de formação individual de acordo com o perfil de competências exigido para a função, tendo atingido os 51% em 2012. No entanto, esta percentagem é ainda baixa, devendo continuar a ser realizado um esforço para a implementação desta prática. É de salientar que se assiste a um acréscimo de 6 p.p. das organizações que cumprem um número mínimo anual de 40 horas de formação por Auditor Interno, embora representem apenas 51% do total das funções de AI, o que pressupõe a necessidade de continuar a investir em formação específica para os Auditores Internos. Decréscimo significativo em 13 p.p. do peso das funções de AI que referiram que o seu planeamento é efectuado com base numa avaliação de riscos da organização, sendo actualmente de 79%. A Crescimento acentuado e sustentado em 15 p.p., desde 2007, das funções de AI que incluem no seu plano a componente de auditorias a Sistemas de Informação, correspondendo actualmente a quase dois terços das organizações. Forte crescimento em 9 p.p. das funções de AI que possuem ferramentas de Auditoria e Monitorização Contínuas, embora num patamar ainda baixo, dado que apenas uma em cada quatro funções possui aquele tipo de ferramentas. AAA Apenas uma organização em cada cinco realizou a avaliação externa independente da sua função de AI nos últimos cinco anos, apesar de se assistir a uma evolução significativa em 9 p.p. desde 2009. Aproximadamente metade das funções de AI não tem um plano de formação individual de acordo com o perfil de competências exigido para a função, embora se assista a uma evolução positiva em 9 p.p. desde o último Estudo. AAA

12 III Survey sobre a função de Auditoria Interna em Portugal A coordenação com o Auditor Externo é uma das componentes que não regista desde 2007 qualquer melhoria, vindo mesmo a degradar-se, pelo que actualmente em quase metade das funções de AI não existe qualquer coordenação com o Auditor Externo, ou esta se produz muito raramente. A O peso das organizações que externalizam parcialmente ou totalmente a função de AI, que chegou em 2007 a ser de 30%, é actualmente de apenas 20%. Estas organizações justificam a sua estratégia de externalização pela Formação Técnica do Pessoal e Redução de Custos, que aquela propicia à função. A Decorrente da crise económica, aproximadamente uma em cada cinco organizações tiveram um impacto Severo (redução de resultados superior a 50%) ou Catastrófico (elevada probabilidade de falência) na sua performance. AAA O peso das funções de AI que vêem reduzido o seu orçamento é de 39% em 2012, (em 2009 foi de 24%), o que poderá implicar uma forte limitação no desenvolvimento adequado da actividade de auditoria interna. COORDENAÇÃO COM O AUDITOR EXTERNO Devendo existir uma coordenação adequada das actividades desenvolvidas pela função de AI e pelo Auditor Externo, assiste-se, contrariamente, a uma degradação da mesma, em que o peso das funções de AI em que não existe essa articulação, ou ela se produz muito raramente, cresceu 7 p.p., de 36% em 2009 para 43% em 2012. Este Estudo volta a confirmar o espaço de melhoria que continua a existir para uma cooperação e coordenação adequadas entre a função de AI e o Auditor Externo, no sentido de garantir uma melhor cobertura e complementaridade dos trabalhos a realizar. EXTERNALIZAÇÃO DA FUNÇÃO DE AUDITORIA INTERNA As estratégias de externalização total ou parcial da função de AI podem aplicarse como uma forma complementar de superar limitações técnicas ao nível de competências específicas. Mantém-se a constatação neste Estudo de que as funções de AI em Portugal não recorrem, regra geral, à externalização quer total ou parcial, sendo apenas uma em cada cinco que adopta esta prática. CRISE ECONÓMICA Entre o Estudo de 2009 e o presente Estudo a crise económica tem vindo gradualmente a acentuar-se, sendo o impacto actual ainda mais significativo no universo das organizações participantes, quando comparado com o que se havia verificado no Estudo anterior. Assim, crescem de 12% em 2009 para 17% em 2012, as organizações que consideraram ter tido um impacto Catastrófico ou Severo nos seus resultados. Verifica-se a mesma tendência comparando as organizações comuns aos dois últimos Estudos. Esta situação tem como consequência o orçamento das funções de AI ser ainda mais afectado do que o verificado em 2009. Assim, no presente Estudo, 39% daquelas funções viram os seus orçamentos serem reduzidos, ou seja mais 15 p.p. do que em 2009. As reduções daqueles orçamentos foram, essencialmente, acomodadas através da diminuição de despesas de formação e de contratação de serviços administrativos, do congelamento de compensações e bónus e, por último, da redução de viagens no âmbito da actividade de auditoria interna. Neste contexto de situação económica desfavorável, a actividade de auditoria interna focou-se, no último ano, no risco de fraude, nos testes de eficácia ao sistema de controlo interno, na redução de custos e na aferição da eficácia da gestão de risco, sendo que nos próximos 12 meses aquela actividade irá centrar-se em três dos referidos, com excepção da redução de custos que é substituída pelo tema do risco operacional.

RESULTADOS DO ESTUDO III Survey sobre a função de Auditoria Interna em Portugal 13

14 III Survey sobre a função de Auditoria Interna em Portugal Os resultados deste III Survey sobre a função de Auditoria Interna em Portugal foram analisados e comparados, sempre que possível, com os resultados obtidos nos I e II Surveys realizados, respectivamente, em 2007 e 2009, em colaboração com o Instituto Português de Auditoria Interna (IPAI). A distribuição das organizações por sector de actividade, que participaram ao longo dos três Estudos, encontrase reflectida na figura 1 que abaixo se apresenta. O nível de participação neste Estudo, que apresentou um aumento de 15% em 2009 face a 2007, manteve-se em 2012 com 84 organizações. Outro aspecto relevante, está relacionado com o facto de mais de metade das organizações participantes no presente Survey (56%) tinham também participado no II Survey, publicado em 2009, e 47% no I Survey, publicado em 2007, o que demonstra um grau de fidelização importante neste tipo de Estudo. O sector que contribui neste Estudo com um maior número de organizações participantes (26) é de novo o sector financeiro, o que corresponde a 31% do total dos participantes. É de salientar também uma participação activa de um novo conjunto de organizações, nomeadamente, Organismos Públicos e Entidades de Supervisão que vem permitir uma maior cobertura e enriquecimento deste Estudo. Importa também referir que 23 das organizações participantes (27%) são cotadas, 13 das quais encontram-se cotadas no PSI 20 (57%). FIGURA 1 Distribuição das organizações participantes nos três Estudos por sector de actividade SECTOR DE ACTIVIDADE 2007 2009 2012 Nº % Nº % Nº % Alimentação e Bebidas 2 3% 3 4% 3 4% Banca, Seguros e Serviços Financeiros 21 29% 26 31% 26 31% Comércio e distribuição 5 7% 4 5% 3 4% Construção e produção de materiais de construção 4 5% 4 5% 2 2% Indústria 13 18% 11 13% 8 10% Petrolífero e Gás 1 1% 1 1% 1 1% Saúde 4 6% 8 9% 8 9% Serviços 13 18% 12 14% 6 7% Telecomunicações e Média 1 1% 6 7% 5 6% Transportes 3 4% 6 7% 7 8% Utilities 6 8% 3 4% 5 6% Outros * - - - - 10 12% TOTAL 73 100% 84 100% 84 100% * Inclui Organismos Públicos, Entidades de Supervisão, entre outros.

III Survey sobre a função de Auditoria Interna em Portugal 15 A EXISTÊNCIA DE FUNÇÃO DE AUDITORIA INTERNA E DE COMISSÃO DE AUDITORIA EXISTÊNCIA DE FUNÇÃO DE AUDITORIA INTERNA E DE COMISSÃO DE AUDITORIA Se entre 2007 e 2009 se manteve o peso de organizações que possuía função de AI e/ou Comissão de Auditoria, assiste-se em 2012 a um aumento significativo das que integram no seu modelo de governo os referidos órgãos. Assim, em 2012, 92% das organizações participantes possuem uma função de AI, o que representa um acréscimo significativo de 13 p.p. face aos 79% registados em 2009. Salienta-se também, um acréscimo significativo em 11 p.p. das organizações que integram actualmente uma Comissão de Auditoria, aumentando para 36% em 2012. No entanto, este acréscimo deve-se principalmente à alteração da composição das organizações participantes que passam a ser de maior dimensão dado que, quando se consideram apenas as comuns aos dois últimos Estudos, verifica-se não existirem alterações significativas, mantendo-se nos 94% as organizações que possuem função de AI, ou seja, quase a totalidade das mesmas e em 38% as que possuem Comissão de Auditoria. É também relevante analisar a existência conjugada da função de AI e da Comissão de Auditoria, primeiro ao nível das organizações em geral e depois considerando as que são cotadas em Bolsa de Valores, bem como as não cotadas. Atendendo ao conjunto das organizações participantes, existe um crescimento significativo de 2009 para 2012 quer das que possuem, ao mesmo tempo, função de AI e Comissão de Auditoria (7 p.p.), bem como daquelas que só possuem função de AI (6 p.p.). Outro aspecto importante está relacionado com o facto de nas organizações cotadas verificar-se um acréscimo muito significativo em 18 p.p., das que simultaneamente integram a função de AI e a Comissão de Auditoria, passando de 56% em 2009 para 74% em 2012, o que potencialmente confere uma maior autoridade, independência e eficácia no desenvolvimento da actividade de auditoria interna. As organizações cotadas que possuem Comissão de Auditoria cresceram também 14 p.p., atingindo em 2012 os 78%. Neste caso o universo das organizações cotadas que participaram nos Estudos de 2009 e 2007 é praticamente o mesmo. FIGURA 2 Existe na organização uma função de Auditoria Interna (AI) e/ou Comissão de Auditoria (CA)? FIGURA 3 Existência de função de AI e CA em organizações cotadas e não cotadas. 2007 2009 2012 2007 2009 2012 EXISTÊNCIA DE FUNÇÃO Sim Não DE AUDITORIA INTERNA EXISTÊNCIA DE COMISSÃO DE AUDITORIA 2007 2009 2012 COTADAS 2012 NÃO COTADAS 2012 Sem AI e com CA Sem AI e sem CA Com AI e com CA Com AI e sem CA

16 III Survey sobre a função de Auditoria Interna em Portugal POSICIONAMENTO DA FUNÇÃO DE AUDITORIA INTERNA NA ORGANIZAÇÃO Um dos aspectos que importa avaliar numa função de AI é o seu posicionamento na organização, dado que o seu grau de independência, o seu empowerment e, consequentemente, a eficácia da sua actividade, vai ser função desse mesmo posicionamento. Na grande maioria das organizações, conforme se pode observar na figura 4, o Chief Audit Executive (CAE) depende hierarquicamente do Presidente da Comissão Executiva ou do Presidente do Conselho de Administração, caso não exista o primeiro órgão, pelo que face ao Estudo de 2009, esta situação não sofreu qualquer evolução mantendo-se o peso próximo dos 70%. A dependência hierárquica da referida função de um Outro membro da Comissão Executiva verifica-se em 21% das organizações, o que poderá implicar um menor grau de independência, caso estes membros tenham sob a sua responsabilidade pelouros relevantes. Onde se verifica um notório conflito de interesses é nos 9% de situações em que a dependência é do Director Financeiro (3%) ou de Outro (6%), sendo que este último agregador representa outras áreas da organização. FREQUÊNCIA DE COMUNICAÇÃO COM O ÓRGÃO DO QUAL A FUNÇÃO DE AUDITORIA INTERNA DEPENDE HIERARQUICAMENTE O peso das funções de AI que comunica mais do que cinco vezes/ano com o órgão do qual depende, cresce 14 p.p., passando de 79% em 2007, para 87% em 2009 e para 93% em 2012, constatando-se assim uma evolução sustentada e que potencia uma melhor articulação entre as partes, permitindo maior celeridade no processo de tomada de decisão sobre temas com níveis de exposição ao risco mais elevados. Em quase 70% dos casos a comunicação ocorre mais do que 10 vezes ao ano, o que vem reforçar o anteriormente referido. PERCEPÇÃO DO PAPEL DA FUNÇÃO POR PARTE DOS STAKEHOLDERS É importante os stakeholders percepcionarem o papel da função de AI, enquanto parceiro que colabora com a organização e com as áreas que FIGURA 4 A função de AI depende hierarquicamente de: FIGURA 5 Com que frequência a função de AI comunica com o órgão do qual depende? 2 0 1 2 2 0 1 2 69 7 21 1 3 6 69 % 24 Presidente da Comissão Executiva/Conselho de Administração (caso não exista Comissão Executiva) Outro membro da Comissão Executiva Director Geral Director Financeiro Outro Superior a 10 vezes ao ano Entre 5 a 10 vezes ao ano Inferior a 5 vezes ao ano

III Survey sobre a função de Auditoria Interna em Portugal 17 a integram no sentido destas poderem atingir os seus objectivos. Nesta vertente, verifica-se uma evolução positiva desde o primeiro Estudo realizado, traduzida no crescimento em 8 p.p. das organizações que têm um Razoável e um Bom entendimento sobre o referido papel, sendo esse peso actualmente de 96%. Se forem consideradas apenas as organizações comuns aos dois últimos Estudos, constata-se a mesma tendência, ou seja, um crescimento de 5 p.p., de 93% em 2009 para 98% em 2012. Adicionalmente, os stakeholders com um Bom entendimento sobre o papel da função, apresentam também uma evolução muito significativa de 21 p.p., passando de 14% em 2009 para 35% em 2012. UNIVERSO AUDITÁVEL Considerando que a função de AI deve abranger no seu universo auditável todas as entidades, áreas e processos da organização, salienta-se uma evolução significativa em 13 p.p. daquelas que adoptam esta abordagem, assistindo-se a uma evolução de 82% em 2007 para 95% em 2012. Este facto confere, à partida, se associado a uma avaliação de risco das entidades, áreas e principais processos que integram o universo da organização, uma mais eficiente cobertura da actividade de auditoria interna, reduzindo a probabilidade de não serem considerados temas com graus de exposição ao risco relevantes. Caso se considere apenas as organizações comuns aos Estudos de 2009 e 2012, verificase que não existe evolução, embora o peso das entidades com esse tipo abordagem se encontre actualmente a um nível bastante elevado (93%). INTEGRAÇÃO DA FUNÇÃO DE AUDITORIA INTERNA NO MODELO DE GOVERNO DA ORGANIZAÇÃO Desde 2007 que se continua a constatar um reforço significativo do peso das organizações em que o papel da função de AI tem vindo a ser desenvolvido e definido como parte integrante o modelo de governo dessas organizações, aumentando 13 p.p. e sendo actualmente de 77%. Este aspecto é extremamente relevante no sentido de assegurar um modelo de governo mais robusto, no âmbito do Modelo das Três Linhas de Defesa de uma organização, FIGURA 6 Em que medida os stakeholders da função de AI (pessoas ou serviços auditados) têm a percepção do papel que aquela função deve desempenhar? FIGURA 7 O âmbito da actividade da função de AI abrange todas as áreas da organização assim como filiais ou organizações subsidiárias? 21 18% 82% 2 0 0 7 2 0 0 9 2 0 1 2 2 0 0 7 2 0 0 9 2 0 1 2 1 2 3 4 5 1 Clientes da AI têm um vago entendimento sobre o papel da função na organização. 3 Clientes da AI têm um razoável entendimento sobre o papel da função na organização. 5 Clientes da AI têm um bom entendimento sobre o papel da função na organização. Sim Não

18 III Survey sobre a função de Auditoria Interna em Portugal permitindo por um lado garantir a independência e autoridade com que a função de AI desenvolve a sua actividade e, ao mesmo tempo, estabelecendo os moldes de articulação e reporte com os seus stakeholders, pertençam eles à primeira ou segunda linhas de defesa. Nas organizações comuns aos dois últimos Estudos, constata-se uma estabilidade do referido peso que por si próprio é elevado (82%). COMPOSIÇÃO DA COMISSÃO DE AUDITORIA A independência dos elementos da Comissão de Auditoria, comissão essa que tem como função ser um Órgão de Fiscalização da actividade da organização e ao qual a função de Auditoria Interna reporta funcionalmente, é uma boa prática e um requisito para um mais adequado cumprimento do seu papel. Se no Estudo de 2009 se constatou que, face a 2007, o peso das organizações cuja Comissão de Auditoria é composta maioritariamente por administradores não executivos/independentes se manteve praticamente inalterado nos 90%, o Estudo de 2012 revela uma melhoria bastante significativa a este nível (7 p.p.), sendo praticamente a totalidade das organizações que adopta a referida boa prática. Quando se comparam apenas as organizações comuns ao Estudo de 2009 e ao presente Estudo, verifica-se uma evolução ainda superior (11 p.p.), tendo aumentado de 89% para 100%. No que respeita à presidência da Comissão de Auditoria ser exercida por um administrador também não executivo, observa-se um retrocesso em 8 p.p., reduzindo-se o peso das organizações em que tal situação ocorre, de 95% em 2009 para 87% em 2012. Este decréscimo é ainda mais acentuado se forem consideradas apenas as organizações comuns aos dois últimos Estudos, tendo-se reduzido o referido peso em 11 p.p., de 94% para 83%. FIGURA 8 A função de AI encontra-se integrada num adequado Modelo de Governo da organização? FIGURA 9 A maioria dos membros da Comissão de Auditoria são Administradores Não Executivos? 2 0 0 7 2 0 0 9 2 0 1 2 2 0 0 7 2 0 0 9 2 0 1 2 1 2 3 4 5 1 O papel da AI foi desenvolvido e definido independentemente das outras funções. 3 O papel da AI está alinhado com outras funções da organização, mas não é uma parte integrante do modelo de governo da organização. 5 O papel da AI foi desenvolvido e definido como parte integrante do modelo de governo da organização. Sim Não

III Survey sobre a função de Auditoria Interna em Portugal 19 Assim, se é um facto positivo o reforço do peso das organizações em que a Comissão de Auditoria é composta maioritariamente por administradores não executivos/independentes, o que contribui para a independência daquele órgão, ao invés, o aumento do peso das organizações cujo Presidente do mesmo é um administrador executivo reflecte, potencialmente, uma menor independência daquele órgão. POLÍTICAS E MANUAIS DE PROCEDIMENTOS FORMALIZADOS NA ORGANIZAÇÃO O peso das organizações que possuem políticas e manuais de procedimentos formalizados e que permitem à função de AI desenvolver de forma mais adequada o seu papel, tem-se mantido praticamente constante ao longo dos três Estudos realizados, existindo um ligeiro acréscimo de 3 p.p. entre 2009 e 2012, conforme se pode observar pela figura 11. No entanto, se forem consideradas as organizações comuns aos dois últimos Estudos, a evolução é bastante acentuada (10 p.p.), atingindo actualmente os 91%. FIGURA 10 O presidente da Comissão de Auditoria é um Administrador não executivo? FIGURA 11 A organização dispõe de políticas, manuais de procedimentos e outras orientações devidamente formalizados que permitam à função de AI desenvolver adequadamente o seu papel? 2 0 0 7 2 0 0 9 2 0 1 2 2 0 0 7 2 0 0 9 2 0 1 2 Sim Não Sim Não

20 III Survey sobre a função de Auditoria Interna em Portugal B ESTRUTURA ORGANIZATIVA DA FUNÇÃO DE AUDITORIA INTERNA DIMENSÃO DA FUNÇÃO DE AUDITORIA INTERNA Desde o primeiro Estudo realizado em 2007 que se assiste nas organizações, em termos globais, a um decréscimo gradual do rácio de Auditores Internos por número total de colaboradores. Assim, este rácio que era em 2007 de 0,31% decresceu para 0,21% em 2009 e manteve essa tendência em 2012, ficando nos 0,19%. Esta tendência aplica-se também para o conjunto das organizações que participaram nos dois últimos Estudos, constatando-se um decréscimo do referido rácio, ainda que muito ligeiro, de 0,24% para 0,23%. FIGURA 12 Distribuição das organizações e número médio de Auditores Internos por intervalos de número de colaboradores 1.000 COLABORADORES 1.001 A 4.000 COLABORADORES > 4.000 COLABORADORES TOTAL 2007 2009 2012 2007 2009 2012 2007 2009 2012 2007 2009 2012 Nº de organizações 27 26 28 13 21 27 14 19 20 54 66 77 Nº médio colaboradores 326 357 400 2,095 1,908 2,065 13,229 15,248 19,259 4,097 5,262 6,028 Nº médio Auditores Internos % Auditores Internos / colaboradores 6.33 3.9 3.68 8.85 7.3 10.89 28.5 23.8 23.5 12.69 10.9 11.56 1.94% 1.09% 0.92% 0.42% 0.38% 0.53% 0.22% 0.16% 0.12% 0.31% 0.21% 0.19% Pode observar-se que à medida que aumenta a dimensão das organizações, em termos de número médio de colaboradores, o rácio de Auditores Internos por total de colaboradores é cada vez menor, dado que por uma questão de escala permitir uma maior eficiência. Observando-se também que o número médio de colaboradores das organizações participantes é cada vez maior ao longo dos três Estudos realizados, pelo facto das organizações participantes serem de maior dimensão, poderá ser esta a principal razão que justifica a redução do referido rácio, ou seja, por uma questão de escala e não por razões associadas a libertação de recursos, quer por maior produtividade das funções de AI, quer por incapacidade das organizações em manter esses recursos face à redução da sua actividade. Assim, não sendo ainda possível concluir, no geral, sobre a tendência actual da dimensão dos recursos de auditoria interna, é possível pelo menos referir que, considerando apenas as organizações comuns ao Estudo de 2009 e ao presente Estudo, o rácio de Auditores Internos por total de colaboradores mantém-se estável.

III Survey sobre a função de Auditoria Interna em Portugal 21 ADEQUAÇÃO DO NÚMERO DE PESSOAS NA FUNÇÃO DE AUDITORIA INTERNA É de salientar que em 2012 se mantém próximo de 40% as funções de AI que consideram não ter um número adequado de colaboradores para desenvolver a sua actividade, ou seja, um valor extremamente elevado podendo potenciar, para aquelas organizações, o funcionamento não adequado da sua terceira linha de defesa, com as consequências que daí poderão resultar. As principais razões que as funções de AI apresentam para justificar o número não adequado de recursos estão relacionadas, principalmente, com a elevada dimensão da entidade, com a dispersão geográfica, bem como com a diversidade de negócios e processos desenvolvidos por cada organização. Ainda assim, existe um ligeiro acréscimo em 3 p.p. das funções de AI que consideram possuir um número adequado de Auditores Internos, atingindo os 61% em 2012. Se forem consideradas as organizações comuns aos dois últimos Estudos, verifica-se uma evolução mais acentuada, passando de 61% para 68%. COMPETÊNCIAS ESPECÍFICAS DA FUNÇÃO DE AUDITORIA INTERNA Do universo das organizações participantes com função de AI, 25% refere no presente Estudo não possuir qualquer competência específica (interna ou externalizada) ao nível das auditorias de sistemas de informação, da auditoria e monitorização contínuas e da inspecção, o que poderá ser limitativo no desenvolvimento da actividade. A competência no âmbito da actividade de auditoria e monitorização contínuas é aquela que um maior número de organizações refere possuir (62%), embora, como se constatará adiante neste Estudo, esta competência não se encontra devidamente suportada em termos de sistemas de informação. No âmbito da competência associada à auditoria de sistemas de informação, manteve-se de 2009 para 2012 o peso das organizações que refere possuir a mesma, ou seja, 42%. FIGURA 13 Considera que o número actual de pessoas que compõem a função de AI é o adequado? FIGURA 14 A função de AI inclui competências específicas na área de: 2 0 1 2 62 42 38 25 2 0 0 7 2 0 0 9 2 0 1 2 AUDITORIA DE SISTEMAS DE INFORMAÇÃO AUDITORIA CONTÍNUA/À DISTÂNCIA INSPECÇÃO NENHUMA DAS REFERIDAS Sim Não

22 III Survey sobre a função de Auditoria Interna em Portugal FLEXIBILIDADE DA FUNÇÃO DE AUDITORIA INTERNA NA CONTRATAÇÃO DE RECURSOS OU DE SERVIÇOS EXTERNOS A flexibilidade por parte das funções de AI quanto à contratação de novos recursos ou de serviços externos, factor relevante que permite uma adaptação mais célere a alterações do negócio, apresenta uma redução significativa em 10 p.p., passando de 74% em 2009 para 64% em 2012. A redução é ainda mais aceatuada (14 p.p.) se forem consideradas as organizações comuns aos dois últimos Estudos, passando de 82% para 68%. Esta menor flexibilidade na contratação, que é função do acentuar da crise económica dos últimos anos, potencia necessariamente uma menor ou menos adequada cobertura do universo auditável. No entanto, este tipo de restrição pode em algumas situações ser minimizado com o reforço do desenvolvimento de planos e programas de auditoria interna orientados ao risco. EXISTÊNCIA DE ESTATUTO QUE REGULE O FUNCIONAMENTO DA FUNÇÃO DA AUDITORIA INTERNA E DE MANUAIS DE POLÍTICAS E PROCEDIMENTOS A existência de estatuto (Audit Charter) para a função de AI, reveste-se de particular importância dado ser um mandato dos Órgãos de Administração e da Comissão de Auditoria (caso exista) para que a função exerça a sua actividade livre de interferências na determinação do seu âmbito de actuação, no desempenho do trabalho e na comunicação dos respectivos resultados. Constata-se pela análise da figura 16 uma evolução positiva no peso das funções de AI que têm os seus estatutos formalmente aprovados, apresentando um aumento de 4 p.p. face a 2009, atingindo em 2012 os 83%. Verifica-se uma evolução ligeira de 2 p.p., aumentando para 84% em 2012, considerando apenas as organizações comuns aos dois últimos Estudos. FIGURA 15 A função de AI tem flexibilidade suficiente na contratação de pessoas ou serviços externos para se adaptar às contínuas mudanças das necessidades de negócio? FIGURA 16 Existe algum documento formalmente aprovado ou estatuto (Audit Charter) que regule o funcionamento da função de AI? 2 0 0 7 2 0 0 9 2 0 1 2 2 0 0 7 2 0 0 9 2 0 1 2 1 4 1 O orçamento da função de AI não permite trabalhos adicionais. Sim 2 3 5 3 Existe um orçamento adicional para a função de AI, caso se solicite. 5 O orçamento da função de AI acomoda trabalhos imprevistos. Não

III Survey sobre a função de Auditoria Interna em Portugal 23 Relativamente à existência de manuais escritos que agreguem as políticas e procedimentos da função de AI, após se ter constatado um decréscimo acentuado entre 2007 e 2009, observa-se um forte crescimento em 11 p.p. entre 2009 e 2012, conforme se pode observar na figura 17. Da análise das organizações comuns ao Estudo de 2009 e ao presente Estudo, verifica-se não existir uma melhoria significativa, considerando uma evolução de apenas 2 p.p., passando de 66% para 68%. Importa assim, que as funções de AI continuem a investir na definição e formalização das políticas e procedimentos que regem a sua actividade, no sentido prover aos Auditores Internos a orientação, o conhecimento, a sua forma de funcionamento onde se inclui a articulação com os restantes stakeholders, bem como a forma de condução e execução da actividade de auditoria interna. FIGURA 17 Existe algum manual escrito que agregue as políticas e procedimentos da função de AI? 2 0 0 7 2 0 0 9 2 0 1 2 Sim Não

24 III Survey sobre a função de Auditoria Interna em Portugal C PLANO DE AUDITORIA E PROGRAMAS DE TRABALHO PARTICIPAÇÃO DOS STAKEHOLDERS NA DEFINIÇÃO DO PLANO DE AUDITORIA INTERNA A participação activa dos stakeholders no que diz respeito à sua contribuição para a definição do plano de auditoria interna é reconhecidamente uma boa prática. Permite, por um lado, desenvolver um plano mais robusto que considera os objectivos e preocupações principais daqueles stakeholders, permitindo, por outro, o reconhecimento da função de AI enquanto parceiro importante que colabora com os stakeholders para que estes possam, mais facilmente, atingir os seus objectivos. Assiste-se, no entanto, a uma evolução negativa nesta dimensão, aumentando o peso em 8 p.p. das organizações cuja participação no plano é inexistente ou reduzida, passando de 47% em 2009 para 55% em 2012. Circunscrevendo a análise à componente das organizações em que os stakeholders não participam de todo na definição do plano de auditoria, a evolução é ainda mais negativa, ou seja, aumenta 14 p.p., atingindo os 22% em 2012, conforme se pode observar na figura 18. PLANO DE AUDITORIA INTERNA DEFINIDO COM BASE NA AVALIAÇÃO DE RISCOS DA ORGANIZAÇÃO O CAE deve estabelecer um plano de AI baseado no risco, no sentido de determinar as prioridades da actividade de auditoria interna, consistente com os objectivos da organização. Adicionalmente, aquele responsável deve também considerar o framework de gestão de risco da organização no desenvolvimento do seu plano e caso aquele framework não exista, utilizar o seu próprio julgamento sobre os riscos, após consultar os órgãos de gestão da organização. Se de facto, através da observação da figura 19, se constata uma redução bastante significativa das funções de AI que desenvolvem o seu plano com base na avaliação de riscos da organização, passando de 92% em 2009 para 79% em 2012, não deixa de se considerar ter existido alguma bondade por parte dos participantes na resposta a esta questão em 2009. Apesar de tudo, importa que as funções de AI continuem a investir neste processo, reforçando a articulação com as áreas de Risco e definindo critérios de prioritização de entidades, áreas, FIGURA 18 Existe uma participação activa por parte dos stakeholders na definição do plano de AI? FIGURA 19 O plano de AI é definido com base na avaliação de riscos da organização? 2 0 0 9 2 0 1 2 2 0 0 7 2 0 0 9 2 0 1 2 Inexistente Reduzida Suficiente Sim Não

III Survey sobre a função de Auditoria Interna em Portugal 25 processos e sistemas de informação da organização que deverão ser auditados num determinado período de tempo. EXISTÊNCIA NA ORGANIZAÇÃO DE UM PROCESSO DE IDENTIFICAÇÃO, AVALIAÇÃO, REPORTE E MONITORIZAÇÃO DE RISCOS Salienta-se um aumento em 5 p.p. das organizações que têm implementado um processo de identificação, avaliação, reporte e monitorização dos riscos, atingindo os 82% em 2012. Considerando apenas as organizações comuns aos dois últimos Estudos, verifica-se também um acréscimo relevante em 6 p.p., passando de 79% em 2009 para 85% em 2012, o peso das organizações que têm implementado um processo de gestão de risco. Importa assim salientar, uma preocupação crescente por parte das organizações em desenvolver processos de gestão de risco mas que, no entanto, conforme se poderá constatar no ponto seguinte, o grau de documentação destes processos é na grande maioria das organizações (52%) reduzido ou de todo inexistente, embora se tenha assistido a uma ténue melhoria correspondente a 2 p.p.. Se a análise for circunscrita às organizações comuns aos dois últimos Estudos, observa-se uma evolução mais acentuada em 8 p.p. das organizações que têm o processo de gestão de risco totalmente documentado, ou cuja maioria dos processos se encontra documentada, atingindo em 2012 os 55%. Por outro lado, assiste-se também, face a 2009, a uma melhoria nesta dimensão considerando uma redução de 4 p.p. das organizações que se apresentam Sem documentação relativamente ao referido processo, sendo em 2012 apenas de 13%. FIGURA 20 Existe na sua organização algum processo que procure a identificação, avaliação, reporte e monitorização dos riscos que afectam a organização? FIGURA 21 Em que grau se encontra documentado o processo anteriormente referido? 2 0 0 7 2 0 0 9 2 0 1 2 2 0 0 7 2 0 0 9 2 0 1 2 Sim Não Sem documentação Algumas áreas estão documentadas A maioria dos processos está documentada Documentação completa

26 III Survey sobre a função de Auditoria Interna em Portugal ENVOLVIMENTO DA FUNÇÃO DE AUDITORIA INTERNA NO PROCESSO DE IDENTIFICAÇÃO E AVALIAÇÃO DE RISCOS Observa-se um menor envolvimento por parte da função de AI no processo de identificação e avaliação de riscos face ao estudo realizado em 2009. Assim, assiste-se a um decréscimo na ordem dos 12 p.p. do peso das funções de AI que têm um envolvimento Significativo e Importante no referido processo, atingindo em 2012 os 59%, valor inclusivamente inferior ao observado em 2007. Considerando as organizações comuns ao Estudo de 2009 e ao presente Estudo, mantém-se a tendência acima descrita, tendo-se reduzido o referido peso de 72% em 2009 para 64% em 2012. PROGRAMAS DE AUDITORIA INTERNA ORIENTADOS AO RISCO A importância dos programas de auditoria interna serem desenvolvidos com base no risco, é um aspecto determinante para que os trabalhos de auditoria interna se foquem nos aspectos mais críticos de um determinado objecto de auditoria (e.g. área, processo, sistema de informação, entre outros), aspectos esses associados a riscos inerentes e residuais elevados, que podem colocar em causa a consecução dos objectivos da organização. É também de referir que deverá existir um alinhamento entre os riscos identificados e avaliados decorrentes do processo de gestão de risco da organização e/ou da avaliação de risco realizada pela própria função de AI, e os riscos que são depois vertidos nos diversos programas de auditoria interna que suportam o desenvolvimento da principal actividade da função. Embora se observe uma evolução pouco significativa desde 2009, expressa numa redução de 3 p.p. do peso das funções de AI cujos programas são orientados ao risco, o peso dessas funções encontrase num nível (88%) com margem de melhoria reduzida. Ao nível das organizações comuns aos dois últimos Estudos, não existem alterações, mantendose o referido peso nos 93%. No entanto, considera-se poder existir, também nesta situação, alguma benevolência dos participantes na resposta a esta questão, devendo esta, no futuro, ser mais específica no sentido de se entender, mais do que se os programas se encontram orientados ao risco, se os riscos se encontram devidamente identificados nos referidos programas. FIGURA 22 Qual é o grau de envolvimento da função de AI no processo de identificação e avaliação de riscos? FIGURA 23 Os programas de auditoria encontram-se orientados ao risco? 2 0 0 7 2 0 0 9 2 0 1 2 2 0 0 9 2 0 1 2 Mínimo (0-25%) Reduzido (26% - 50%) Importante (51% - 75%) Significativo (76% - 100%) Sim Não