Auditoria remota e o cuidado com as evidências

O que parecia uma fase passageira, aparentemente, veio para ficar um bom tempo. Algumas empresas e pessoas, inclusive, migraram para o trabalho remoto sem muita saudade dos tempos de deslocamento pelo trânsito da cidade grande. Os mecanismos da tecnologia permitiram, em maior ou menor grau, a adaptação com um mínimo de perda de qualidade na maioria dos casos. E na auditoria interna?

Empresas com sistema integrado de gestão proporcionam acesso a informações ou documentos digitalizados que permitiram aos auditores cumprirem boa parte do seu Plano Anual, com, aparentemente, poucos prejuízos. De fato, muitas das auditorias, mesmo antes da pandemia, já eram realizadas remotamente dada a facilidade das ferramentas de acesso a banco de dados e seleção de itens para teste. Bem-vinda seja a tecnologia que nos permite cobrir uma maior amplitude de riscos com menos tempo de trabalho. Mas os fundamentos da auditoria permanecem os mesmos.

"Evidência" é um conceito que não necessariamente tem, em auditoria, a conotação de "prova". É muito mais o registro de algo que permitiu ao auditor formar sua opinião, expressa nos seus relatórios. Sempre será aquilo que deixa o auditor "confortável" em relação às conclusões do trabalho. Mas a função de comprovar uma transação com o adequado nível de fidedignidade continua intacta, quer trabalhemos com arquivos eletrônicos, quer com papéis de arquivo cheios de poeira.

No fundo, o que o auditor deve avaliar é a possibilidade de que os arquivos eletrônicos tenham sofrido interferência ou manipulação. Sabemos o quanto é fácil, atualmente, falsificar um arquivo alterando dados relevantes: a avaliação, quando estamos lidando com as informações que nos chegam por uma tela, consiste em saber se os controles internos que produziram aquela informação podem ser considerados confiáveis. O papel da auditoria de TI, por isso mesmo, é cada vez mais relevante.

A praticidade que os sistemas integrados trouxeram à gestão e, porque não, às segunda e terceira linhas de defesa também, não pode ter como subproduto a insegurança das informações e documentos que servem de comprovação e que, por princípio, são fundamentais para as conclusões do auditor. Da mesma forma, algumas auditorias sempre irão exigir inspeção física. Portanto, até podemos trabalhar mais tempo de forma remota. Mas não todo o tempo.