RELATÓRIO DE AUDITORIA Nº001/2019
Auditoria nos controles internos administrativos

Todos os direitos reservados

Sumário
1.	Introdução	4
2.	QUESTÃO 1-As uas conhecem sua estrutura organizacional desenhada pelo tjac?	7
3.	QUESTÃO 2-As uas gerenciam, com consciência, os riscos provenientes do desenvolvimento de suas competências?	11
4.	QUESTÃO 3-As uas adotam mecanismos de controle visando oportuno tratamento de riscos?	13
5.	QUESTÃO 4-As uas movimentam as informações sobre os controles internos adotados conforme gestão de riscos?	15
6.	QUESTÃO 5-As uas acompanham a qualidade dos mecanismos de controles internos adotados?	16
7.	Conclusão	17
1.	

1.	Introdução
O presente trabalho foi desenvolvido em cumprimento ao que dispõe o Plano Anual de Auditoria – PAA/2019, tendo sido realizado com foco específico nas Diretorias Administrativas (unidades auditadas - UAs) deste Tribunal de Justiça, no período de 11/09/2019 a 17/10/2019.

Em curso a gestão 2019-2021, esta auditoria, teve como objetivo geral verificar a estruturação e técnicas de controles internos adotados pelas Diretorias que compõem a estrutura administrativa do TJAC, sob a perspectiva da análise dos riscos.

Por conseguinte, teve como objetivos específicos à identificação das competências de cada Diretoria, bem como a aderência das atividades e suas diretrizes, planos, normas e procedimentos. Além disso, se buscou verificar o ambiente de controle interno administrativo das diretorias, identificando as atividades de controle existentes, para analisar se os controles praticados atendem aos objetivos do TJAC. Por fim, foram apresentados os riscos observados nos Setores.
Gestão de Riscos
A busca dos objetivos de uma organização pública está exposta a riscos, seja internos e/ou externos, decorrentes da natureza de suas competências/atividades, de mudanças sociais e na própria administração pública, assim como do cumprimento de normativos e da necessária transparência e prestação de contas a sociedade.

Risco, conforme IN MP/CGU nº 01/2016, é a possibilidade de ocorrer um evento que venha a ter impacto no cumprimento dos objetivos. Em geral, o risco é medido em termos de impacto e de probabilidade de ocorrência.

E diante esta inevitável exposição a riscos, importa o seu devido gerenciamento que, conforme IN CGU nº 03/2017, é o processo que identifica, analisa, avalia, administra e controla potenciais eventos ou situações, para fornecer razoável certeza quanto ao alcance dos objetivos da organização.

Cumpre frisar que gerenciar riscos não é uma atividade autônoma, separada das demais, mas sim parte de todos os processos organizacionais, incluindo o planejamento estratégico, os projetos e processos de gestão em todos os níveis da organização; é parte integrante e indissociável das responsabilidades administrativas e inclui atividades como: a) estabelecer o ambiente apropriado, incluindo a estrutura para gerenciar riscos; b) definir, articular e comunicar os objetivos e o apetite a risco; c) identificar potenciais ameaças ou oportunidades ao cumprimento dos objetivos; d) avaliar os riscos (i.e., determinar o impacto e a probabilidade da ameaça ocorrer); e) selecionar e implantar respostas aos riscos, por meio de controles e outras ações; f) comunicar as informações sobre os riscos de forma consistente em

todos os níveis; g) monitorar e coordenar os processos e os resultados do gerenciamento de riscos; e h) fornecer avaliação (assurance) quanto à eficácia com que os riscos são gerenciados (TCU, PORTARIA-SEGECEX nº 9/2017, que dispõe sobre roteiro de auditoria em gestão de riscos).
Por conseguinte, a responsabilidade pela concepção, estruturação e implementação da política de gestão de riscos percorre toda a organização pública, em movimento circular, contínuo. A iniciativa deve ser da Alta Administração por meio da formulação, consolidação e comunicação de planejamento estratégico e de manuais/códigos de atuação devidamente atualizados às demandas administrativas. A seguir, alcança os gestores e seus servidores no que diz respeito a responsabilidade primária de identificação e gerenciamento dos riscos por meio da implementação, manutenção e monitoramento de controles internos administrativos pertinentes às suas competências/atividades, retornando a Alta Administração que, neste estágio, detém a responsabilidade de manter, descartar e/ou aprimorar os indicadores/metas/controles internos inicialmente estabelecidos, assim como continuamente apoiar e informar claramente a seriedade e importância das responsabilidades de gerenciamento de riscos.

Denota-se que é fator essencial para a gestão pública e sua política de riscos a adoção de controles internos administrativos que visam essencialmente aumentar a probabilidade de que os objetivos e metas estabelecidos sejam alcançados, de forma legal, legítima, eficaz, eficiente, efetiva e econômica.

“Controles internos: conjunto de regras, procedimentos, diretrizes, protocolos, rotinas de sistemas informatizados, conferências e trâmites de documentos e informações, entre outros, operacionalizados de forma integrada pela alta administração, pelos gestores e pelo corpo de servidores e empregados dos órgãos e entidades da administração pública federal, destinados a enfrentar os riscos e fornecer segurança razoável de que, na consecução da missão da entidade, os seguintes objetivos gerais serão alcançados: a) execução ordenada, ética, econômica, eficiente e eficaz das operações; b) cumprimento das obrigações de accountability; c) cumprimento das leis e dos regulamentos aplicáveis; e d) salvaguarda dos recursos para evitar perdas, mau uso e danos.” (IN MP/CGU nº 01/2016; IN CGU nº 03/2017)
Observa-se que a gestão de riscos, um dos principais componentes de governança, adequadamente implantada e executada subsidia as decisões de alocação e uso apropriado dos recursos públicos, o aumento do grau de eficiência e eficácia no desenvolvimento das competências setoriais, bem como protege e entrega à sociedade uma atuação técnica baseada em responsabilidade gerencial, alinhada ao interesse público.
Ocorre que a instauração e aperfeiçoamento de mecanismos de governança caracterizam-se como grandes desafios enfrentados pelo setor público na atualidade, pois

existem organizações onde não há uma estrutura ou sistema formal de gestão de riscos. Ainda assim é possível a abordagem de risco, com melhorias na delegação e na coordenação das tarefas diante a abordagem como a das três linhas de defesa.

Na primeira linha de defesa (gestão operacional) estão as funções que gerenciam e têm propriedade de riscos - contempla os controles primários, que devem ser instituídos e mantidos pelos gestores responsáveis pela implementação das políticas públicas durante a execução de atividades e tarefas. Os controles internos devem ser integrados ao processo de gestão, dimensionados e desenvolvidos na proporção requerida pelos riscos.

Na segunda linha (gestão tática) estão as funções que supervisionam riscos objetivam assegurar que as atividades realizadas pela primeira linha sejam desenvolvidas e executadas de forma apropriada, apoiando o desenvolvimento dos controles internos da gestão e realizar atividades de supervisão e de monitoramento das atividades desenvolvidas no âmbito da primeira linha de defesa.

Na terceira linha estão as funções que fornecem avaliações representada pela atividade de auditoria interna, que presta serviços de avaliação com base nos pressupostos de autonomia técnica e de objetividade. Os trabalhos de avaliação dos processos de gestão de riscos e controles devem contemplar, em especial, os seguintes aspectos: adequação e suficiência dos mecanismos de gestão de riscos e de controles estabelecidos; eficácia da gestão dos principais riscos; e conformidade das atividades executadas em relação à política de gestão de riscos da organização.
Logo, o modelo três linhas de defesa é uma forma simples e eficaz para melhorar a comunicação e a conscientização sobre os papéis e as responsabilidades essenciais de gerenciamento de riscos e controles, aplicável a qualquer organização, provendo uma atuação coordenada e eficiente, sem sobreposições ou lacunas.

Portanto, no âmbito do Poder Judiciário, integrante dos macrodesafios da Estratégia Nacional do CNJ para o período 2015-2020, a adoção de controles internos administrativos inseridos em uma política de gestão de riscos contribui para a melhoria do desempenho da organização pública, pois prepara a organização a eliminar ou minimizar a ocorrência de ineficiências, impropriedades e/ou ilegalidades. A atuação diante o problema ao invés do risco, pouco agrega valor para a sociedade, sendo a recuperação dos prejuízos mínima. Deve- se priorizar a atuação preventiva e proativa da gestão, em todos os níveis de autoridade.
Instrumentos utilizados para a avaliação dos mecanismos de controles internos administrativos
Na obtenção das informações necessárias ao desenvolvimento desta avaliação, foram utilizadas as técnicas de Indagação Escrita, com aplicação do Questionário de Avaliação de

Controles Internos (QACI), com 30 (trinta) questões, com o intuito de obter e esclarecer fatos e informações das Diretorias.

Outro instrumento utilizado consiste na principal referência para a Auditoria nos Controles Internos Administrativos do TJAC foi a utilização do método desenvolvido pelo Committee of Sponsoring Organizations of the Treadway Commission, o conhecido COSO I (1992), com foco na proteção contra riscos.
O modelo COSO I tornou-se referência mundial pelo fato de: i) uniformizar definições de controle interno; ii) definir componentes, objetivos e objetos do controle interno em um modelo integrado; iii) delinear papéis e responsabilidades da administração; iv) estabelecer padrões para implementação e validação; e v) criar um meio para monitorar, avaliar e reportar controles internos.
O citado modelo de gerenciamento de risco é constituído por cinco componentes inter- relacionados: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação e monitoramento, os quais foram abordados nas questões de auditoria.

Seguidamente, temos  a análise SWOT  que  versa  sobre Strengths  (forças) e  Weaknesses  (fraquezas),  no   ambiente  interno; Opportunities   (oportunidades) e Threats (ameaças), no ambiente externo, contribuindo na identificação dos riscos e na escolha das respostas aos riscos.

Por fim, a partir dos Pontos Fracos e das Ameaças identificadas na análise SWOT, utilizou-se o Diagrama de Verificação de Riscos (DVR) que orienta uma avaliação sob a perspectiva de probabilidade e impacto de sua ocorrência: os riscos de baixo impacto poderão ser aceitos e monitorados, por precaução; e os riscos de alto impacto poderão requerer a adoção de medidas alternativas para os programas/projetos ou prestação de serviços.

O objetivo da auditoria é formar uma base para o desenvolvimento de estratégias por parte da primeira e segunda linha de defesa (gestão e resposta aos riscos), as quais definirão, em conjunto com a Alta Administração, quais os riscos e como serão tratados, de modo a diminuir a probabilidade de ocorrência e/ou a magnitude do impacto.

2.	QUESTÃO 1-As UAs conhecem sua estrutura organizacional desenhada pelo TJAC?
Na presente questão de auditoria examinou-se o componente COSO ambiente de controle.

Entende-se por Ambiente de Controle a cultura organizacional e a consciência de controle dos agentes públicos pertencentes à unidade. Na análise, foram observados se os valores éticos, a definição de competências e responsabilidades, bem como o desenvolvimento de competências do quadro de pessoal contribuem para a formação desse ambiente de controle, bem como a suficiência de pessoas e materiais. Este componente fornece a base para a condução do controle interno por toda a organização.
Da análise, constatou-se que as Diretorias, em sua maior parte, conhecem suas competências, organizam e acompanham suas atividades a partir do planejamento estratégico do TJAC, promovem gestão participativa e adotam boas práticas na padronização de rotinas/documentos conforme demandas pré-determinadas, bem como diante o surgimento de novas demandas/urgências administrativas, realizam o rodízio de funções, quando pertinente, pois algumas áreas de atuação exigem singular expertise e formação, e concretizam a segregação de funções.
No entanto, em maior parte, relataram que:

a)	É necessária a formalização, revisão e/ou atualização dos normativos/documentos internos e manuais/rotinas de procedimentos quais sejam as Resoluções TJ/TPADM 180/2013, 187/2014, 190/2014, haja vista o surgimento/desfazimento de setores, de atividades, de práticas administrativas (p. ex. Sistema Eletrônico de Informações - SEI), com a devida participação das Diretorias.

b)	Houve a realização de algumas capacitações nas atividades-meio do Tribunal ofertada pela ESJUD frente às competências que desenvolvem, porém ainda não é a adequada, seja pela ausência de uma política formal de capacitação no âmbito do Tribunal, seja pela não concretização do que foi planejado pelo setor diante o levantamento de necessidades específicas. Observou-se, em alguns casos, que os servidores que tem a oportunidade de realizar capacitação, não são motivados a compartilhar o conhecimento. Ademais, os servidores da DRVJUR não recebem capacitação.
c)	Com exceção da DIFIC, há inadequada/insuficiente a alocação de pessoal nas Diretorias, e alta rotatividade de servidores na DITEC.
d)	Ausência ou adoção de práticas não informatizadas no gerenciamento de algumas informações estratégicas (tais como utilização de planilhas em word/excel).
e)	Com exceção da DITEC (Plano Estratégico de Tecnologia da Informaçõe e Comunicação 2019-2020) e D INS (Plano de Comunicação de 16/08/2019), nas outras Diretorias não há a realização de plano/programa de ação visando orientar o desenvolvimento de suas atividades e rotinas durante o ano/gestão.
a)	

Diante o art. 37, da CF/88, preceitua que tão importante quanto cumprir os normativos legais vigentes, é a atuação da administração pública visando a eficiência (atingir o pretendido, com capacidade e no menor custo e tempo). A atualização das competências com definições claras de autoridade e responsabilidade evitam a sobreposição e/ou conflito de competência, resultando na devida descentralização administrativa que assegura maior rapidez e objetividade nas decisões. Ademais, contribui para a devida separação de funções de autorização, aprovação de operações, execução, controle e contabilização – segregação de funções.

Conforme contrato n. 48/2011 (processo 0000830-79.2011.8.01.000) e respectivos

empenhos/liquidação, este Tribunal despendeu o montante de R$ 2.642.000,00 (dois milhões,

Deve-se atentar também para a existência de manuais/rotinas formalizados que padronizam procedimentos, pois orientam a executar com grau de segurança adequado as ações e resultados pretendidos, evitando a adoção de práticas informais por vezes não conhecidas, não reconhecidas por todos do setor e da organização. Constatou-se que não há unanimidade no seguimento dos manuais/rotinas administrativas: algumas Diretorias seguem os manuais - apesar de desatualizado e outras não o seguem.

Conforme contrato n. 48/2011 (processo 0000830-79.2011.8.01.000) e respectivos
empenhos/liquidação, este Tribunal despendeu o montante de R$ 2.642.000,00 (dois milhões, seiscentos e quarenta e dois mil reais) para levantamento e aperfeiçoamento dos processos e sistemas administrativos, no que não pode estar sendo devidamente aproveitado.

seiscentos e quarenta e dois mil reais) para levantamento e aperfeiçoamento dos processos e

sistemas administrativos, no que não pode estar sendo devidamente aproveitado

Destaca-se ainda que, em conjunto com as necessárias modernizações citadas, deve- se realizar periódico alinhamento estratégico, no qual se avalia a manutenção da força de trabalho – adoção de política e práticas - compatível com a missão, objetivos estratégicos e metas organizacionais, retratando oportunidades de manutenção ou mudança nos indicadores de desempenho frente às novidades administrativas e sociais.

A capacitação profissional é um dos requisitos básicos para manter a qualidade, referência e produtividade dos servidores, uma vez que agrega valor para si e para a organização, pois adquire melhores técnicas de ação e conhecimentos específicos para o desenvolvimento de suas atividades funcionais. Uma qualificação adequada proporciona a devida execução de competências/atividades pré-determinadas, assim como estimula o aprimoramento de habilidades frente às novas realidades gerenciais.
Ademais tem-se os seguintes benefícios frente à capacitação planejada e periódica:

Redução de custos, pois pessoal capacitado utiliza técnicas corretas para a execução das rotinas diárias, reduzindo os gastos commateriais desnecessários;
ambiente de trabalho agradável, pois o estímulo ao aperfeiçoamento faz comque os servidores se sintamvalorizados, motivados e seguros para a tarefa, pois se reconhecemimportantes ao contexto organizacional;

diminuição na rotatividade da equipe: uma vez que os servidores são preparados e se mantém atualizados sobre a função que exercem;
alinhamento estratégico emtodos os níveis: a aprendizagemcontínua de todos, comvistas ao desenvolvimento das competências necessárias para o cumprimento da missão organizacional.
Ainda nesse sentido, a partir de adequado levantamento das necessidades, frise-se que a mesma atenção voltada a área fim do Tribunal para o oferecimento de capacitações, deve ser destinada a área meio - administrativa - pois esta área em parceria com àquela orientam ao cumprimento da Missão Institucional.

É sabido que as organizações públicas contam com déficit de pessoal, seja por questões orçamentárias, seja pela ausência de qualificação mínima e ainda diante inadequado clima organizacional (relacionamento interpessoal, função diferente da formação/capacitação). Com isso, a gestão de pessoas das organizações públicas precisa ser orientada a atrair, selecionar e reter profissionais com as competências técnicas, gerenciais e interpessoais desejadas, a partir de estratégias de força de trabalho mais profundo do que simplesmente o foco em quantidade e custos (gestão por competência, oportunidade de capacitação contínua, recompensas setoriais, dentre outros). As competências ajudam o gestor e o servidor a compreender o que é esperado deles em termos de atuação profissional e a direcionar o seu desenvolvimento profissional e pessoal.

Em nossa realidade institucional, o concurso público é principal processo de seleção, mas a alocação e movimentação de pessoas deve, de igual forma, visar à escolha daqueles que melhor atendam ao interesse público, por conseguinte às necessidades organizacionais. Com isso, a contratação de novos servidores, bem como a implantação de gestão por competências (banco ou gestão de talentos), trata e reduz o risco de alocação inadequada de pessoal/alta rotatividade.
Quanto ao controle de acesso a documentos, informações, bens, apesar de algumas destas atividades pertencerem ao quadro de competências específica de algumas diretorias, tais como dados de informática: DITEC, dados sobre bens: DRVAC/DILOG, dados sobre servidor: DIPES, cumpre a cada diretoria, a responsabilidade primária de gerenciar seus documentos, seus registros, seus bens com a finalidade de que terceiros estranhos ao setor ou ao órgão tenham acesso indevido a informações sigilosas, aos bens públicos.

2.1.	ACHADO 3- Rotinas administrativas não formalizadas, inadequadas e/ou ausentes.
2.1.1.	RECOMENDAÇÕES
2.1.1.1.	RECOMENDAÇÃO 3.1 Normativos e/ou Rotinas administrativas não formalizadas, inadequadas e/ou ausentes
2.1.1.1.	

Revisão e formalização de normativos, estratégias e manuais/rotinas de procedimentos
- Alta Administração, em conjunto com as Diretorias Administrativas revise e/ou formalize os normativos, estratégias e manuais/rotinas de procedimentos, em especial as Resoluções n.180/2013, 187/2014, 190/2014 e manuais FGV.

2.2.	ACHADO 4- Ausência de gestão por competências.
2.2.1.	RECOMENDAÇÕES
2.2.1.1.	RECOMENDAÇÃO 4.1 Gestão por competências
Alta Administração, em conjunto com as Diretorias Administrativas, implemente a gestão por competências.

2.3.	ACHADO 5- Inadequação de responsabilidades diante as competências.
2.3.1.	RECOMENDAÇÕES
2.3.1.1.	RECOMENDAÇÃO 5.1 Contratação de servidores
A Alta Administração, em conjunto com as Diretorias Administrativas, priorize a contratação de servidores, a partir do levantamento de necessidades e da gestão por competências.
2.3.1.2.	RECOMENDAÇÃO 5.2 Plano de capacitação
Alta Administração em conjunto com as Diretorias Administrativas elaborem e executem plano de capacitação regular no âmbito do Tribunal de Justiça, por meio de levantamento das necessidades dos setores.

3.	QUESTÃO 2-As UAs gerenciam, com consciência, os riscos provenientes do desenvolvimento de suas competências?
Na presente questão examinou-se o componente COSO avaliação de riscos.
A Avaliação de Riscos abrange a análise sobre os procedimentos adotados pelas Diretorias para lidar com os eventos que, em potencial, podem impactar na realização de seus objetivos, definindo forma de mensurá-los, considerando a possibilidade de ocorrência destes eventos e o seu impacto no caso de ocorrência. Toda entidade enfrenta vários riscos de origem tanto interna quanto externa. A avaliação de riscos envolve um processo dinâmico e

iterativo para identificar e avaliar os riscos à realização dos objetivos, requer ainda que a administração considere o impacto de possíveis mudanças no ambiente externo e dentro de seu próprio modelo de negócio que podem tornar o controle interno ineficaz.

Da análise, constatou-se deficiente a avaliação de riscos. As diretorias adotam boas práticas setoriais, conseguem identificar e acompanhar as atividades que fornecem maior risco e necessitam de maior monitoramento, minimizando erros e detém alinhamento estratégico com indicadores de desempenho adequados. No entanto não conseguem avaliar os níveis dos riscos (alta, média ou baixa probabilidade e impacto) assim como não adotam postura de tratamento destes. Dentre os fatores que impedem a adoção de medidas pela diretorias, relatou-se: atividades/competências/manuais de rotinas desatualizados, falta de pessoal capacitado e orçamento para melhorias setoriais (p. ex, equipamentos, consultorias) e trabalho específico em gestão de riscos, sistemas informatizados para melhor acompanhamento da atividade.

A avaliação estabelece a base para determinar a maneira como os riscos serão gerenciados, diante os objetivos pretendidos pela organização, formando uma base para o desenvolvimento de estratégias (resposta a risco) de como os riscos serão administrados, de modo a diminuir a probabilidade de ocorrência e/ou a magnitude do impacto. Uma segura avaliação deve basear-se numa visão consolidada de riscos no âmbito de toda a organização, a ser desenvolvida pela Alta Administração, que demonstre quais os níveis de apetite e tolerância, a partir da qual os gestores e servidores estarão devidamente informados, habilitados e autorizados a identificação e tratamento daqueles riscos afetos às suas competências/atividades e resultados.

Nem todas organizações/setores necessitam buscar nível avançado de gestão de riscos, pois áreas mais complexas e dinâmicas, tais como financeiro, contratações, tecnologias da informação, precisam ter maior competência de gestão de riscos do que outras por serem essenciais a atividade-meio deste Tribunal. Então, é a partir da avaliação que a Alta Administração perceberá e definirá em qual grau deve gerenciar os riscos nos setores e na instituição.

3.1.	ACHADO 9- Ausência de política de gestão de riscos.
3.1.1.	RECOMENDAÇÕES
3.1.1.1.	RECOMENDAÇÃO 9.1 Capacitação em gestão de riscos
9.1.1	Alta Administração em conjunto com as Diretorias Administrativas elaborem e executem plano de capacitação regular no âmbito do Tribunal de Justiça, por meio de levantamento das necessidades dos setores.
9.1.1	

9.1.2	Alta Administração em conjunto com as Diretorias Administrativas elaborem e executem plano de capacitação regular no âmbito do Tribunal de Justiça, por meio de levantamento das necessidades dos setores.
9.1.3	Alta Administração invista em multiplicadores capacitados em gerenciamento de riscos para disseminação contínua de teoria e práticas sobre gerenciamento de riscos.
9.1.4	Alta Administração realize treinamento, em todos os níveis hierárquicos, acerca do gerenciamento de riscos em processos de trabalho.
3.1.1.2.	RECOMENDAÇÃO 9.2 Gestor(es) de Riscos
9.2.1 Alta Administração, em conjunto com as Diretorias Administrativas, após a devida capacitação e instituição da política de riscos, proceda a nomeação de responsáveis por implantar e gerenciar os riscos.

9 . 2 . 2 Alta Administração, conforme a execução do gerenciamento de riscos nos processos de trabalhos, providencie aos gestores de riscos consultoria voltada à melhoria dos mecanismos de controles internos administrativos.
3.1.1.3.	RECOMENDAÇÃO 9.3 Implantar política de gestão de riscos
Alta Administração, em conjunto com as Diretorias Administrativas, elaborem e implementem política corporativa de gestão de riscos.

4.	QUESTÃO 3-As UAs adotam mecanismos de controle visando oportuno tratamento de riscos?
Nesta questão de auditoria examinou-se o componente COSO atividades de controle.

Atividades de controle são ações estabelecidas por meio de políticas e procedimentos que ajudam a garantir o cumprimento das diretrizes determinadas pela administração para mitigar os riscos à realização dos objetivos. São as políticas e as atividades que contribuem para assegurar que os riscos sejam geridos, tanto por acontecerem em níveis aceitáveis, quanto pela sua mitigação ou eliminação. Esses procedimentos ocorrem em todo o TJAC, e em todas as dimensões da Instituição: áreas, funções, processos, rotinas, procedimentos, projetos, pois compreendem uma gama de controles preventivos e detectivos, como procedimentos de autorização e aprovação, segregação de funções (autorização, execução, registro e controle), controles de acesso a recursos e registros, verificações, conciliações, revisões de desempenho, avaliação de operações, de processos e de atividades, supervisão

direta etc. A segregação de funções é geralmente inserida na seleção e no desenvolvimento das atividades de controle. Nos casos em que a segregação de funções seja impraticável, a administração deverá selecionar e desenvolver atividades alternativas de controle.
Constatou-se deficiências nas atividades de controle. As diretorias adotam procedimentos e técnicas de conformidade e conferência da realização de suas atividades, tais como segregação de funções, supervisão direta diante os resultados dos trabalhos, níveis adequados de responsabilidades, no entanto o fazem informalmente, a partir de manuais/rotinas desatualizados/inexistentes e não contam com pessoas com capacitação específica para lidar com o tema, ademais com insuficiente orçamento.

A DIFIC relata dificuldades em gerenciar os recursos financeiros disponíveis frente às atuais necessidades, tendo em vista a redução na Lei Orçamentária Anual - em 53%, assim como a queda na arrecadação mensal correspondentes a custa judiciais, extrajudiciais, recursos excedentes e cartório não privatizados. O cumprimento da obrigação dos gestores públicos diante a correta aplicação dos recursos públicos concretiza-se, dentre outros instrumentos, com o planejamento adequado das despesas previstas para o ano futuro, especialmente, quanto aos gastos com aquisições de bens e contratação de serviços, evitando contratações/aquisições aventureiras, não programadas, que possam influenciar na gestão eficiente da dotação financeira orçamentária deste Tribunal.

A DITEC informa a insuficiência de investimento na modernização do parque tecnológico que, em sua maioria, já possui equipamentos com mais de 08 (oito) anos de uso, bem como na salvaguarda das informações digitais - áreas de backup e link de comunicação. Instituído o processo eletrônico, tanto no âmbito judicial quanto no administrativo, é oportuno a Alta Administração deste Tribunal captar e direcionar maior disponibilidade orçamentária e financeira à área de tecnologia da informação, para que o gerenciamento, transmissão e armazenamento de informações digitais ocorra de forma contemporânea, prática e segura.
Por não ter uma avaliação de riscos segura, tal como delineado na questão anterior, as atividades de controle restam prejudicadas, pois não se sabe ao certo a quais riscos (internos/externos) estão expostos para que possam adotar ferramentas formais e adequadas à mitigação.

A sistematização de uma gestão de riscos em nível institucional aumenta a capacidade da organização para lidar com incertezas, estimula a transparência e contribui para o fortalecimento da sua atuação e reputação. A instituição perde oportunidades em identificar e tratar riscos com procedimentos de controle íntegros pela falta de metodologias de gerenciamento integrado de riscos.
A partir da avaliação de riscos, realizada pela Alta Administração em conjunto com as

Diretorias, se definirá o escopo da gestão de riscos nos setores e na instituição. Por conseguinte, com as ferramentas de gestão de processos, é necessário determinar quais os processos organizacionais serão priorizados e submetidos a um arranjo de gestão de riscos mais rigoroso, seja pela relevância estratégica, materialidade e maturidade.

4.1.	ACHADO 12- Inexistência ou inadequação de tratamento aos riscos identificados.
4.1.1.	RECOMENDAÇÕES
4.1.1.1.	RECOMENDAÇÃO 12.1 Identificar, avaliar e tratar riscos
Alta Administração, em conjunto com as Diretorias Administrativas, a partir da política de gestão de riscos e gerenciamento de processos, formalize procedimentos de identificação, avaliação e tratamento de riscos.

5.	QUESTÃO 4-As UAs movimentam as informações sobre os controles internos adotados conforme gestão de riscos?
Nesta questão de auditoria examinou-se o componente COSO informação e comunicação.
Informação e Comunicação é a identificação, coleta e comunicação de informações relacionadas a atividades e eventos internos e externos, necessárias ao alcance dos objetivos da organização, bem como à efetividade das atividades por ela desenvolvidas. Essas informações devem ser transmitidas às pessoas de forma oportuna e tempestiva, de modo a permitir que cumpram suas responsabilidades adequadamente.

Todos na organização devem receber mensagens claras quanto ao seu papel e ao modo como suas atividades influenciam e se relacionam com o trabalho dos demais na consecução dos objetivos fixados. A importância do controle interno para a gestão das organizações está no seu potencial informativo para suporte ao processo decisório. A informação é necessária para que a entidade cumpra responsabilidades de controle interno a fim de apoiar a realização de seus objetivos. A administração obtém ou gera e utiliza informações importantes e de qualidade, originadas tanto de fontes internas quanto externas, a fim de apoiar o funcionamento de outros componentes do controle interno.

Constataram-se falhas no componente informação e comunicação dos riscos. As diretorias obtêm e fornecem as informações de que necessitam por meio da utilização de sistemas informatizados e boas práticas setoriais (planilhas, relatórios, despachos, reuniões, contatos telefônicos), os servidores são comunicados das boas práticas de controle interno

adotadas pelo setor, são realizados levantamentos, estudos e avaliações para que se forneçam informações necessárias ao desenvolvimento das competências dos setores, contam com sistemas de informática seguros e confiáveis.

No entanto, em sua maioria, apesar de em 2019 conseguirem obter informações sobre seu desempenho a partir de indicadores adequados, não contam com pessoal suficiente e qualificado para alimentar sistemas de dados e elaborar informações gerenciais; não conseguem obter informações importantes para avaliar os riscos internos e externos; não obtém retorno quanto aos reportes de riscos à Alta Administração.

A habilidade da administração para tomar decisões apropriadas é afetada pela qualidade da informação. Os controles internos devem ser a base informativa para o processo decisório. As pessoas devem receber informação clara, precisa e a tempo para que cumpram suas atribuições. O fluxo de informação e comunicação deve transmitir diretrizes do nível da administração para o nível de execução e vice-versa em formato e em tempo que permita a execução eficaz das atividades por todos. Planos, objetivos, metas, valores, funções, deveres, responsabilidades, desempenho, riscos, controles devem ser transmitidos a todas as partes envolvidas, permitindo a disseminação da cultura de gestão de riscos.

5.1.	ACHADO 15- Inexistente ou inadequada coleta e troca de informações de gestão de riscos.
5.1.1.	RECOMENDAÇÕES
5.1.1.1.	RECOMENDAÇÃO 15.1 Compartilhar boas práticas em gestão de riscos
Alta Administração, em conjunto com as Diretorias Administrativas, a partir da política de gestão de riscos, compartilhe internamente as informações de boas práticas adotadas pelos setores, mantendo os servidores informados dos objetivos e prioridades da Instituição e de suas unidades, assim como dos riscos enfrentados.

6.	QUESTÃO 5-As UAs acompanham a qualidade dos mecanismos de controles internos adotados?
Nesta questão de auditoria examinou-se o componente COSO monitoramento.
Monitoramento é a sistemática de acompanhamento dos controles implementados, cuja finalidade é diminuir riscos e aplicar medidas necessárias para implantar as melhorias. Uma organização utiliza avaliações contínuas, independentes, ou uma combinação das duas, para se certificar da presença e do funcionamento de cada um dos cinco componentes de controle

interno, inclusive a eficácia dos controles nos princípios relativos a cada componente.
Da análise constatou-se falhas no monitoramento. As diretorias acompanham as boas práticas setoriais adotadas, identificando melhorias no desempenho de suas atividades com esta aderência e reportando a Alta Administração as deficiências. No entanto, tal como delineado nas questões anteriores, ausentes mecanismos formais de controle interno, integrados à política de gestão de riscos.

O monitoramento visa aferir a qualidade dos mecanismos de controles internos, a partir de verificações rotineiras de índices de desempenho, ritmo de atividades, operações ou fluxos atuais em comparação com os que seriam necessários para o alcance de objetivos.

Ao monitorar, a instituição detecta mudanças no contexto externo e interno, incluindo alterações nos critérios de risco e no próprio risco, que podem requerer revisão, readequação dos tratamentos atualmente adotados e suas prioridades, e levar à identificação de riscos emergentes; além de obter informações adicionais para melhorar a política, a estrutura e o processo de gestão de riscos, analisar sucessos e fracassos e aprender com eles.

6.1.	ACHADO 18- Inadequado monitoramento dos controles internos diante os riscos identificados/tratados.
6.1.1.	RECOMENDAÇÕES
6.1.1.1.	RECOMENDAÇÃO 18.1 Formalizar monitoramento permanente de boas práticas/mecanismos de controle
Alta Administração, em conjunto com as Diretorias Administrativas, a partir da política de gestão de riscos, formalize o monitoramento permanente de boas práticas e de mecanismos de controle com vistas a mensurar a sua adequação ao tratar riscos.

7.	Conclusão
Esta análise teve como objetivo examinar a estruturação e as técnicas de controles internos administrativos utilizados pelas Diretorias Administrativas na mitigação dos riscos no desenvolvimento de suas atividades/competências e como esses controles asseguram, de forma razoável, a aplicação dos princípios constitucionais da administração pública na consecução dos objetivos e metas do TJAC.
A principal ferramenta deste trabalho foi o questionário de avaliação de controles internos (QACI) que, a princípio, pode parecer extenso e repetitivo, mas cada bloco de

questões abordou um componente do COSO. E a análise das respostas permite conhecer o nível das práticas de gestão de riscos nas diretorias administrativas, bem como o efeito dessas práticas sobre os resultados organizacionais, segundo a percepção dos respondentes (autoavaliação). A análise das respostas ao questionário trazem elementos que permitem identificar possíveis objetos de auditoria a ser contemplados no Plano Anual de Auditoria de 2020.

É oportuno lembrar que a responsabilidade por conceber, implantar, manter e monitorar controles internos para assegurar a consecução dos objetivos da administração do TJAC é de todos os servidores, cabendo à assessoria de controle interno analisar/avaliar a eficácia desses procedimentos, tal como dispõe o art. 1º, §1º, da Resolução TJAC n. 159/2011 TPADM.

As Diretorias seguem parcialmente as diretrizes relacionadas à estruturação de controles internos, tendo em vista o cumprimento alguns princípios de Controle Interno e a existência de algumas práticas voltadas para o gerenciamento de riscos, apesar de elas não estarem estruturadas, integradas e sistematizadas no âmbito do Tribunal de Justiça.
As boas práticas identificadas, apesar de não serem formalizadas, estruturadas e abrangentes, contribuem a minimizar, parcialmente, problemas e riscos.

Doutro modo, verificou-se que a maioria das deficiências identificadas relaciona-se a falhas no componente COSO ambiente de controle (normativos, estratégias, manuais/rotinas de procedimento formalizados/atuais, alocação insuficiente/inadequada de pessoal, ausência de capacitação na área que atuam e em riscos) e uma vez falho este há influência em todos os outros componentes, pois o ambiente de controle é o parâmetro para as demais providências. Assim, há falhas no componente avaliação de riscos realizada pelos Setores, uma vez que não é realizada de forma contínua, feita somente em alguns casos específicos, no componente atividades de controle, pois sem a identificação adequada dos riscos não tem como adotar posturas de tratamento, no componente informação e comunicação onde o fluxo de informações por vezes não satisfaz o recebimento de dados confiáveis e tempestivos sobre o desempenho das diretorias, seja pela sobreposição de competências, seja pela falta de pessoal habilitado para tal atividade ou ainda pela falta ou desatualização de normas/indicadores, e no componente monitoramento pois, apesar de acompanhar as boas práticas setoriais e os planos setoriais, não há mecanismos de controle claros e formais.
Assim, não há diagnóstico de riscos, ou seja - em sua maior parte - estes não são identificados, mensurados e tratados.
Nesse sentido, percebe-se que grande parte das deficiências identificadas resultam da ausência de normativos, estratégias e manuais/rotinas de procedimentos formalizadas e/ou

atuais e de uma política de gerenciamento de riscos. Com isso a Instituição pode se expor a riscos desnecessários e de alta probabilidade e impacto no alcance dos objetivos traçados pelo Setor e pelo TJAC, por não perceber os benefícios advindos de atitudes de prevenção ao invés das de correção.

Gerenciar riscos por meio de um bom sistema de controles internos é um processo de aprendizagem organizacional, que começa com o desenvolvimento de uma consciência sobre a importância e avança com a implementação de estruturas e práticas progressivamente mais consistentes e sistematizadas Adotar padrões e boas práticas estabelecidos em modelos reconhecidos é uma maneira eficaz de estabelecer uma abordagem sistemática, oportuna e estruturada para a gestão de riscos, que contribua para a eficiência e a obtenção de resultados consistentes (ABNT, 2009), evitando que a organização seja aparelhada com uma coleção de instrumentos e procedimentos burocráticos, descoordenados, que mais dão a falsa impressão da existência de um sistema de gestão de riscos e controle do que garantam efetivamente os benefícios desejados.

Rio Branco - AC, 17 de Outubro de 2019