O Conselho Federal de Contabilidade, no exercício de suas atribuições legais e regimentais e com fundamento no disposto na alínea "f" do art. 6º do Decreto-Lei nº 9.295/1946, alterado pela Lei nº 12.249/2010,

Resolve:

Art. 1º Aprovar a NBC TO 3402 - Relatórios de Asseguração de Controles em Organização Prestadora de Serviços, elaborada de acordo com a sua equivalente internacional ISAE 3402.

Art. 2º Esta Resolução entra em vigor na data de sua publicação.

JUAREZ DOMINGUES CARNEIRO

Presidente do Conselho

ANEXO
Ata CFC nº 952
NORMAS BRASILEIRAS DE CONTABILIDADE
NBC TO 3402 - RELATÓRIOS DE ASSEGURAÇÃO DE CONTROLES EM ORGANIZAÇÃO PRESTADORA DE SERVIÇOS

Introdução

Alcance

1. Esta Norma de Asseguração (NBC TO) trata dos trabalhos de asseguração executados por contador que atua na prática da auditoria independente para fornecer relatório para ser utilizado por entidades usuárias e seus auditores sobre os controles em uma organização prestadora de serviços que presta serviço a essas entidades usuárias que é provavelmente relevante para o controle interno dessas entidades por estar relacionado com relatórios financeiros. Ela complementa a NBC TA 402 - Considerações de Auditoria para a Entidade que Utiliza Organização Prestadora de Serviços, visto que relatórios elaborados de acordo com esta Norma são capazes de fornecer evidência apropriada segundo a NBC TA 402 (ver item A1).

2. A NBC TA - ESTRUTURA CONCEITUAL - Estrutura Conceitual para Trabalhos de Asseguração estabelece que um trabalho de asseguração pode ser de "asseguração razoável" ou de "asseguração limitada", que por sua vez pode ser um trabalho "baseado em afirmações" ou de "relatório direto" e que a conclusão do relatório de asseguração para trabalho baseado em afirmações pode ser redigida em termos da afirmação da parte responsável ou diretamente em termos do objeto e dos critérios (ver itens 10, 11 e 57 da NBC TA ESTRUTURA CONCEITUAL).

Esta Norma trata somente de trabalhos baseados em afirmações que proporcionam segurança razoável, cuja conclusão do relatório de asseguração redigida diretamente em termos do objeto e dos critérios (ver itens 13 e 52 (k)).

3. Esta Norma se aplica somente quando a organização prestadora de serviços é responsável pelo adequado projeto de controles, ou consegue de outra forma fazer uma afirmação sobre eles. Esta Norma não trata de trabalhos de asseguração com a finalidade de:

(a) emitir relatório sobre se os controles na organização prestadora de serviços operaram conforme descrito; ou

(b) emitir relatório apenas sobre os controles na organização prestadora de serviços que não aqueles relacionados com um serviço que, provavelmente, seja relevante para o controle interno das entidades usuárias por estar relacionado com relatórios financeiros (por exemplo, controles que afetam a produção ou o controle de qualidade de entidades usuárias).

Entretanto, esta Norma fornece orientação para esses trabalhos executados de acordo com a NBC TO 3000 - Trabalho de Asseguração Diferente de Auditoria e Revisão que não sejam auditorias ou revisões de informações financeiras históricas (ver item A2).

4. Além da emissão do relatório de asseguração sobre controles, o auditor da organização prestadora de serviços também pode ser contratado para fornecer os seguintes relatórios que não são tratados nesta Norma:

(a) relatório sobre transações de entidade usuária ou sobre saldos mantidos por organização prestadora de serviços; ou

(b) relatório de procedimentos previamente acordados sobre controles em organização prestadora de serviços.

Relação com outros pronunciamentos profissionais

5. A execução de trabalhos de asseguração que não sejam auditorias ou revisões de informações financeiras históricas requer que o auditor da organização prestadora de serviços cumpra a NBC TO 3000. Essa Norma inclui requisitos e tópicos como aceitação de trabalho, planejamento, evidências e documentação que se aplicam a todos os trabalhos de asseguração, incluindo trabalhos de acordo com esta Norma. Esta Norma complementa o modo como a NBC TO 3000 deve ser aplicada em trabalho de asseguração razoável para emitir um relatório sobre controles em organização prestadora de serviços. A NBC TA ESTRUTURA CONCEITUAL, que define e descreve os elementos e objetivos do trabalho de asseguração, fornece o contexto para entender esta Norma e a própria NBC TO 3000.

6. O cumprimento da NBC TO 3000 requer, entre outras coisas, que o auditor da organização prestadora de serviços cumpra as normas profissionais e o Código de Ética Profissional do Contador do Conselho Federal de Contabilidade (CFC) e implemente procedimentos de controle de qualidade que são aplicáveis especificamente a esse trabalho (ver itens 4 e 6 da NBC TO 3000).

Data de vigência

7. Esta Norma é aplicável a relatórios de asseguração de acordo como o definido na Resolução do CFC que aprova esta Norma.

Objetivo

8. Os objetivos do auditor da organização prestadora de serviços são:

(a) obter segurança razoável, em todos os aspectos relevantes, com base em critérios adequados de que:

(i) a descrição do sistema da organização prestadora de serviços apresenta adequadamente o sistema que foi projetado e implementado durante o período especificado (ou no caso de relatório tipo 1, na data especificada);

(ii) os controles relacionados com os objetivos dos controles especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados e implementados durante o período especificado (ou no caso de relatório tipo 1, na data especificada);

(iii) quando incluídos no alcance do trabalho, os controles operaram de maneira efetiva para fornecer segurança razoável de que os objetivos dos controles especificados na descrição do sistema da organização prestadora de serviços foram alcançados durante o período especificado;

(b) emitir relatório sobre os assuntos da alínea (a), de acordo com as constatações do auditor da organização prestadora de serviços.

Definições

9. Para fins desta Norma, os termos a seguir possuem os significados a eles atribuídos:

Afirmação da organização prestadora de serviços é a afirmação por escrito sobre os assuntos referidos nas definições de "relatório sobre a descrição e o projeto de controles" (alínea (b)) e de "relatório sobre a descrição, o projeto e a efetividade operacional dos controles" (alínea (b)), deste item.

Auditor da organização prestadora de serviços é o contador que presta serviços de auditoria independente que, por solicitação da organização prestadora de serviços, fornece um relatório de asseguração dos controles dessa organização.

Auditor da usuária é o auditor que examina e apresenta relatório sobre as demonstrações contábeis da entidade usuária. No caso de organização subcontratada para prestação de serviços, o auditor da organização que utiliza os serviços da subcontratada também é auditor da usuária.

Auditores internos são as pessoas que desempenham as atividades da função de auditoria interna. Auditores internos fazem parte do departamento de auditoria interna ou função equivalente.

Controles complementares da entidade usuária são os controles que a organização prestadora de serviços assume, no projeto do seu serviço, que serão implementados pelas entidades usuárias e que, se necessário para alcançar os objetivos de controle especificados na descrição do seu sistema pela organização prestadora de serviços, são identificados nessa descrição.

Controles da organização prestadora de serviços são os controles sobre o alcance de um objetivo de controle que é coberto pelo relatório de asseguração do seu auditor (ver item A3).

Controles em organização subcontratada são os controles para fornecer segurança razoável sobre o alcance de um objetivo de controle.

Critérios são os referenciais usados para avaliar ou mensurar o objeto do trabalho, incluindo, quando relevante, referenciais para apresentação e divulgação.

Entidade usuária é a entidade que utiliza uma organização prestadora de serviços.

Função de auditoria interna é uma atividade de avaliação estabelecida ou fornecida como serviço à organização prestadora de serviços. Suas funções incluem, entre outras coisas, o exame, a avaliação e o monitoramento da adequação e eficácia de controles internos.

Método de desmembramento (carve out) trata dos serviços prestados por uma organização subcontratada para prestação de serviços, pelo qual a descrição do sistema da organização prestadora de serviços inclui a natureza dos serviços prestados pela organização subcontratada para prestação de serviços, mas os objetivos de controle relevantes para essa organização subcontratada para prestação de serviços e os respectivos controles estão excluídos da descrição do sistema da organização prestadora de serviços e do alcance do trabalho do seu auditor. A descrição desse sistema e o alcance do trabalho do seu auditor incluem controles da organização prestadora de serviços para monitorar a efetividade dos controles da organização subcontratada para prestação de serviços, que pode incluir a revisão pela organização prestadora de serviços de um relatório de asseguração sobre controles da organização subcontratada para prestação de serviços.

Método de inclusão é o método de lidar com os serviços fornecidos por organização subcontratada, no qual a descrição do sistema da organização prestadora de serviços inclui a natureza dos serviços prestados pela organização subcontratada para prestação de serviços, e que os objetivos de controle relevantes para essa organização subcontratada para prestação de serviços e os respectivos controles estão incluídos na descrição do sistema da organização prestadora de serviços e no alcance do trabalho do seu auditor (ver item A4).

Objetivo de controle é a finalidade de um aspecto específico de controle e se refere aos riscos que os controles procuram mitigar.

Organização prestadora de serviços é uma organização terceirizada (ou segmento de organização terceirizada) que presta serviços a entidades usuárias que são provavelmente relevantes para o controle interno das entidades usuárias por estarem relacionados com relatórios financeiros.

Organização subcontratada para prestação de serviços é uma organização prestadora de serviços contratada por outra organização prestadora de serviços para executar alguns dos serviços prestados a entidades usuárias que são provavelmente relevantes para o controle interno das entidades usuárias uma vez que ele está relacionado com os relatórios financeiros.

Relatório sobre a descrição e o projeto de controles em organização prestadora de serviços (denominado nesta Norma como relatório tipo 1) é um relatório que contém:

(a) a descrição do sistema da organização prestadora de serviços;

(b) uma afirmação por escrito da organização prestadora de serviços de que, em todos os aspectos relevantes, e com base em critérios adequados:

(i) a descrição apresenta adequadamente o sistema da organização prestadora de serviços conforme projetado e implementado na data especificada;

(ii) os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados na data especificada; e

(c) um relatório de asseguração do auditor da organização prestadora de serviços que proporciona segurança razoável sobre os assuntos em (b)(i) e (ii).

Relatório sobre a descrição, o projeto e a efetividade operacional dos controles em organização prestadora de serviços (denominados nesta Norma como relatório tipo 2) é um relatório que contém:

(a) a descrição do sistema da organização prestadora de serviços;

(b) uma afirmação por escrito da organização prestadora de serviços de que, em

todos os aspectos relevantes, e com base em critérios adequados:

(i) a descrição apresenta adequadamente o sistema da organização prestadora de serviços conforme projetado e implementado durante o período especificado;

(ii) os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados durante o período especificado; e

(iii) os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços operaram de maneira efetiva durante o período especificado; e

(c) um relatório de asseguração do auditor da organização prestadora de serviços que:

(i) proporciona segurança razoável sobre os assuntos em (b)(i) a (iii); e

(ii) inclui uma descrição dos testes de controle e dos respectivos resultados.

Sistema da organização prestadora de serviços compreende as políticas e os procedimentos projetados e implementados pela organização prestadora de serviços para prestar os serviços cobertos pelo relatório de asseguração do seu auditor às entidades usuárias. A descrição do sistema da organização prestadora de serviços inclui a identificação: dos serviços cobertos; do período ou, no caso de relatório tipo 1, da data a que se refere a descrição; dos objetivos de controle; e dos respectivos controles.

Teste de controle é o procedimento projetado para avaliar a efetividade operacional de controles em alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços.

Requisitos

NBC TO 3000

10. O auditor da organização prestadora de serviços não deve declarar o cumprimento desta Norma, a menos que tenha cumprido os requisitos desta Norma e da NBC TO 3000.

Exigências éticas relevantes

11. O auditor da organização prestadora de serviços deve cumprir as exigências éticas relevantes, incluindo aquelas pertinentes à independência, relacionadas com trabalhos de asseguração (ver item A5).

Administração e responsáveis pela governança

12. Quando esta Norma requer que o auditor da organização prestadora de serviços indague, solicite representações, comunique-se ou interaja de outra forma com a organização prestadora de serviços, o auditor deve determinar as pessoas apropriadas da estrutura da administração ou da governança da referida organização com quem interagir. Isso inclui considerar quais pessoas tem as responsabilidades e o conhecimento apropriados relacionados com os assuntos envolvidos (ver item A6).

Aceitação e continuidade

13. Antes de concordar em aceitar ou continuar um trabalho, o auditor da organização prestadora de serviços deve:

(a) determinar se:

(i) ele tem a capacitação e a competência para executar o trabalho (ver item A7);

(ii) os critérios a serem aplicados pela organização prestadora de serviços para elaborar a descrição de seu sistema serão adequados e estarão disponíveis para entidades usuárias e seus auditores; e

(iii) o alcance do trabalho e a descrição do sistema da organização prestadora de serviços não serão limitados a ponto de ser improvável que sejam úteis para as entidades usuárias e seus auditores;

(b) obter a concordância da organização prestadora de serviços de que ela reconhece e entende sua responsabilidade:

(i) pela elaboração da descrição de seu sistema e da afirmação que a acompanha, incluindo a integridade, a precisão e o método de apresentação dessa descrição e afirmação (ver item A8);

(ii) por ter uma base razoável para a afirmação que acompanha a descrição do seu sistema (ver item A9);

(iii) por especificar na sua afirmação os critérios usados para elaborar a descrição do seu sistema;

(iv) por especificar na descrição do seu sistema:

a) os objetivos de controle; e

b) no caso de estarem especificados por lei ou regulamento, ou por outra parte (por exemplo, grupo usuário ou órgão profissional), a parte que os especificou;

(v) por identificar os riscos que ameaçam o alcance dos objetivos de controle especificados na descrição do seu sistema, por projetar e implementar controles que fornecem segurança razoável de que esses riscos não impedirão o alcance dos objetivos de controle especificados na descrição do seu sistema e, portanto, que os objetivos de controle serão alcançados (ver item A10); e

(vi) por fornecer ao auditor da organização prestadora de serviços:

a) acesso a todas as informações, como registros, documentação e outros assuntos, incluindo acordos no nível de serviço, que essa organização saiba que é relevante para a descrição do seu sistema e para a sua afirmação;

b) informações adicionais que o auditor da organização prestadora de serviços pode solicitar dessa organização para fins do trabalho de asseguração; e

c) acesso irrestrito a pessoas dentro da organização prestadora de serviços de quem o auditor determina ser necessário obter evidência.

Aceitação de mudança nos termos do trabalho

14. Se a organização prestadora de serviços solicita uma mudança no alcance do trabalho antes da conclusão do trabalho, o auditor dessa organização deve estar satisfeito de que há uma justificativa razoável para a mudança (ver item A11 e A12).

Avaliação da adequação dos critérios

15. Conforme requerido pela NBC TO 3000, o auditor da organização prestadora de serviços deve avaliar se essa organização utilizou critérios adequados na elaboração da descrição do seu sistema, na avaliação de se os controles foram adequadamente projetados e, no caso de relatório tipo 2, na avaliação de se os controles estão operando de maneira efetiva (ver item 19 da NBC TO 3000).

16. Ao avaliar a adequação dos critérios para a avaliação da descrição do sistema da organização prestadora de serviços, o auditor dessa organização deve determinar se os critérios abrangem, no mínimo:

(a) se a descrição apresenta como o sistema da organização prestadora de serviços foi projetado e implementado, incluindo, conforme apropriado:

(i) os tipos de serviços prestados, incluindo as classes de transações processadas;

(ii) os procedimentos, envolvendo os sistemas de tecnologia da informação (TI) e manuais, pelos quais os serviços são prestados, incluindo os procedimentos pelos quais as transações são iniciadas, registradas, processadas, corrigidas, conforme necessário, e transferidas para os relatórios e outras informações elaboradas para entidades usuárias;

(iii) os respectivos registros e as informações de suporte, incluindo registros contábeis, informações de suporte e contas específicas que são usadas para iniciar, registrar, processar e reportar as transações, incluindo a correção de informações e como a informação é transferida para os relatórios e outras informações elaboradas para entidades usuárias;

(iv) como o sistema da organização prestadora de serviços trata de eventos e condições significativos que não sejam transações;

(v) o processo usado para elaborar relatórios e outras informações para entidades usuárias;

(vi) os objetivos de controle especificados e os controles projetados para alcançar esses objetivos;

(vii) controles complementares da entidade usuária previstos no projeto dos controles; e

(viii) outros aspectos do ambiente de controle, do processo de avaliação de riscos, do sistema de informações (incluindo os respectivos processos de negócio) e da comunicação, das atividades de controle e dos controles de monitoramento da organização prestadora de serviços que são relevantes para os serviços prestados;

(b) no caso de relatório tipo 2, se a descrição inclui detalhes relevantes de mudanças no sistema da organização prestadora de serviços durante o período coberto pela descrição;

(c) se a descrição omite ou distorce informações relevantes para o alcance do sistema da organização prestadora de serviços que está sendo descrito, embora reconhecendo que a descrição foi elaborada para atender as necessidades comuns de ampla gama de entidades usuárias e seus auditores e, portanto, pode não incluir todos os aspectos do sistema da organização prestadora de serviços que cada entidade usuária individual e seu auditor pode considerar importante em seu ambiente específico.

17. Ao avaliar a adequação dos critérios para a avaliação do projeto dos controles, o auditor da organização prestadora de serviços deve determinar se os critérios abrangem, no mínimo, se:

(a) a organização prestadora de serviços identificou os riscos que ameaçam o alcance dos objetivos de controle especificados na descrição do seu sistema; e

(b) os controles identificados nessa descrição forneceriam, se estivessem operando conforme descrito, segurança razoável de que esses riscos não impedem que os objetivos de controle especificados sejam alcançados.

18. Ao avaliar a adequação dos critérios para a avaliação da efetividade operacional dos controles em fornecer segurança razoável de que os objetivos de controle identificados na descrição serão alcançados, o auditor da organização prestadora de serviços deve determinar se os critérios abrangem, no mínimo, se os controles foram aplicados de maneira uniforme conforme projetado durante o período especificado. Isso inclui se os controles manuais foram aplicados por pessoas com competência e autoridade apropriadas (ver item A13 a A15).

Relevância

19. Ao planejar e executar o trabalho, o auditor da organização prestadora de serviços deve considerar a relevância com relação à adequada apresentação da descrição, à adequação do projeto dos controles e, no caso de relatório tipo 2, à efetividade operacional dos controles (ver definição sobre relevância nos itens A16 a A18).

Obtenção de entendimento sobre o sistema da organização prestadora de serviços

20. O auditor da organização prestadora de serviços deve obter entendimento do sistema dessa organização, incluindo controles que estão considerados no alcance do trabalho (ver itens A19 e A20).

Obtenção de evidência em relação à descrição

21. O auditor da organização prestadora de serviços deve obter, ler a descrição do sistema dessa organização e avaliar se os aspectos da descrição incluídos no alcance do trabalho estão adequadamente apresentados, incluindo se (ver item A21 e A22):

(a) os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços são razoáveis nas circunstâncias (ver item A23);

(b) os controles identificados nessa descrição foram implementados;

(c) os controles complementares da entidade usuária, se houver, estão adequadamente descritos; e

(d) os serviços prestados por organização subcontratada para prestação de serviços, se houver, estão adequadamente descritos, incluindo se foi utilizado o método de inclusão ou o método de desmembramento (carve out) em relação a eles.

22. O auditor da organização prestadora de serviços deve determinar, por meio de outros procedimentos juntamente com indagações, se o sistema dessa organização foi implementado. Esses outros procedimentos incluem observação e inspeção de registros e outras documentações, da maneira que o sistema da organização prestadora de serviços funciona e como os controles são aplicados (ver item A24).

Obtenção de evidência em relação ao projeto de controles

23. O auditor da organização prestadora de serviços deve determinar quais são os controles dessa organização necessários para alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços e deve avaliar se esses controles foram adequadamente projetados. Essa determinação deve incluir (ver itens A25 a A27):

(a) a identificação dos riscos que ameaçam o alcance dos objetivos de controle especificados na descrição do sistema da organização prestadora de serviços; e

(b) a avaliação da correlação dos controles identificados na descrição do sistema dessa organização com os riscos identificados.

Obtenção de evidência em relação à efetividade operacional dos controles

24. Ao fornecer um relatório tipo 2, o auditor da organização prestadora de serviços deve testar os controles que ele determinou como necessários para alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços e avaliar sua efetividade operacional durante o período. As evidências obtidas em trabalhos anteriores sobre a operação satisfatória de controles em períodos anteriores não fornece base para reduzir os testes, mesmo se forem complementadas com evidências obtidas durante o período atual (ver itens A28 a A32).

25. Ao projetar e executar testes de controle, o auditor da organização prestadora de serviços deve:

(a) executar outros procedimentos juntamente com indagação para obter evidência sobre:

(i) como o controle foi aplicado;

(ii) a uniformidade com que o controle foi aplicado; e

(iii) por quem ou por quais meios o controle foi aplicado;

(b) determinar se os controles a serem testados dependem de outros controles (indiretos) e, em caso positivo, se é necessário obter evidência para suportar a efetividade operacional desses controles indiretos (ver itens A33 e A34); e

(c) determinar meios de selecionar itens para teste que sejam efetivos para atingir os objetivos do procedimento (ver itens A35 e A36).

26. Ao determinar a extensão dos testes de controle, o auditor da organização prestadora de serviços deve considerar assuntos que incluem as características da população a ser testada, como a natureza dos controles, a frequência da aplicação (por exemplo, mensal, diária, um número de vezes por dia) e a taxa de desvio esperada.

Amostragem

27. Quando o auditor da organização prestadora de serviços utiliza amostragem, ele deve (ver itens A35 e A36):

(a) considerar o objetivo do procedimento e as características da população de onde serão extraídos os dados para a determinação da amostra;

(b) determinar o tamanho de amostra suficiente para reduzir o risco de amostragem a um nível apropriadamente baixo;

(c) selecionar itens para a amostra de forma que cada unidade de amostragem na população tenha chance de seleção;

(d) se um procedimento projetado não for aplicável a um item selecionado, executar o procedimento para um item substituto; e

(e) se não conseguir aplicar os procedimentos projetados, ou procedimentos alternativos adequados, a um item selecionado, considerá-lo como um desvio.

Natureza e causa de desvios

28. O auditor da organização prestadora de serviços deve investigar a natureza e a causa de quaisquer desvios identificados e determinar se:

(a) os desvios identificados estão dentro da taxa de desvio esperada e se são aceitáveis; portanto, os testes que foram realizados fornecem base para concluir que o controle está operando de maneira efetiva durante o período especificado;

(b) são necessários testes adicionais de controle ou de outros controles para se concluir se os controles relativos a um objetivo de controle específico estão operando de maneira efetiva durante o período especificado ou (ver item A25);

(c) os testes que foram realizados fornecem base adequada para concluir que o controle não operou de maneira efetiva durante o período especificado.

29. Em circunstâncias extremamente raras em que o auditor da organização prestadora de serviços considera um desvio constatado em amostra como uma anomalia e não existem outros controles identificados que lhe permitam concluir que o respectivo objetivo de controle está operando de maneira efetiva durante o período especificado, o auditor deve obter um alto grau de segurança de que esse desvio não é representativo da população. O auditor da organização prestadora de serviços deve obter esse alto grau de segurança executando procedimentos adicionais para obter evidência apropriada e suficiente de que o desvio não afeta o restante da população.

Função da auditoria interna

Esta Norma não trata dos casos em que auditores internos auxiliam diretamente o auditor da organização prestadora de serviços na execução de procedimentos de auditoria.

Obtenção de entendimento sobre a função de auditoria interna

30. Se a organização prestadora de serviços possui a função de auditoria interna, o auditor da organização prestadora de serviços deve obter entendimento sobre a natureza das responsabilidades da função de auditoria interna e das atividades realizadas para determinar se essa função é relevante para o seu trabalho (ver item A37).

Determinação sobre utilização e até que ponto utilizar o trabalho dos auditores internos

31. O auditor da organização prestadora de serviços deve determinar:

(a) se é provável que o trabalho dos auditores internos seja adequado para fins do seu trabalho; e

(b) em caso positivo, o efeito planejado do trabalho dos auditores internos sobre a natureza, época ou extensão dos procedimentos de auditoria que o auditor da organização aplicará.

32. Ao determinar se é provável que o trabalho dos auditores internos seja adequado para fins do seu trabalho, o auditor da organização prestadora de serviços deve avaliar:

(a) a objetividade da função de auditoria interna;

(b) a competência técnica dos auditores internos;

(c) se o trabalho dos auditores internos é executado com o devido zelo profissional; e

(d) se a comunicação é efetiva entre ele e os auditores internos.

33. Ao determinar o efeito planejado do trabalho dos auditores internos sobre a natureza, época ou extensão dos procedimentos do auditor da organização prestadora de serviços, ele deve considerar (ver item A38):

(a) a natureza e o alcance do trabalho específico executado, ou a ser executado, pelos auditores internos;

(b) a importância desse trabalho para as suas conclusões; e

(c) o grau de subjetividade envolvido na avaliação da evidência obtida para suportar essas conclusões.

Utilização do trabalho da auditoria interna

34. Para usar o trabalho específico dos auditores internos, o auditor da organização prestadora de serviços deve avaliar e executar procedimentos sobre esse trabalho para determinar sua adequação para os seus objetivos (ver item A39).

35. Para determinar a adequação do trabalho específico executado pelos auditores internos para os seus objetivos, o auditor da organização prestadora de serviços deve avaliar se:

(a) o trabalho foi executado por auditores internos que possuem treinamento técnico adequado e competência;

(b) o trabalho foi adequadamente supervisionado, revisado e documentado;

(c) foi obtida evidência adequada para permitir que os auditores internos atinjam conclusões razoáveis;

(d) as conclusões alcançadas são adequadas nas circunstâncias e se os relatórios elaborados pelos auditores internos são condizentes com os resultados do trabalho executado; e

(e) exceções relevantes para o trabalho ou assuntos não usuais divulgados pelos auditores internos foram devidamente resolvidos.

Efeito sobre o relatório de asseguração do auditor da organização prestadora de serviços

36. Se o trabalho da auditoria interna foi utilizado, o auditor da organização prestadora de serviços não deve fazer referência a esse trabalho na seção do relatório de asseguração do auditor da organização prestadora de serviços que contém a opinião do auditor (ver item A40).

37. No caso de relatório tipo 2, se o trabalho da auditoria interna foi utilizado na realização dos testes de controle, a parte do relatório de asseguração do auditor da organização prestadora de serviços que descreve os testes de controle realizados e os respectivos resultados deve incluir uma descrição do trabalho dos auditores internos e dos procedimentos que o auditor da organização aplicou com relação a esse trabalho (ver item A41).

Representações formais

38. O auditor da organização prestadora de serviços deve solicitar que os responsáveis pela organização forneçam representações formais (ver item A42):

(a) que ratificam a afirmação que acompanha a descrição do sistema;

(b) que ela forneceu todas as informações e acesso acordados (ver item 13 (b)(v)); e

(c) que ela divulgou para o seu auditor qualquer um dos assuntos abaixo sobre os quais tem conhecimento:

(i) não cumprimento de leis e regulamentos, fraude ou desvios não corrigidos atribuíveis à organização prestadora de serviços que podem afetar uma ou mais entidades usuárias;

(ii) deficiências no projeto de controles;

(iii) casos em que os controles não operaram conforme descrito; e

(iv) quaisquer eventos subsequentes ao período coberto pela descrição do sistema da organização prestadora de serviços até a data do seu relatório de asseguração, que possam ter efeito significativo sobre esse relatório de asseguração.

39. As representações devem estar na forma de carta de representação endereçada ao auditor da organização prestadora de serviços. A data dessa carta deve ser o mais próximo possível, mas não depois, da data do relatório de asseguração do auditor.

40. Se, apesar de ter discutido o assunto com o seu auditor, a organização prestadora de serviços não fornecer uma ou mais de uma representação por escrito solicitada de acordo com o item 38 (a) e (b) desta Norma, o auditor deve abster-se de emitir uma opinião (ver item A43).

Outras informações

41. O auditor da organização prestadora de serviços deve ler as outras informações, se houver, incluídas no documento que contém a descrição do sistema da organização prestadora de serviços, para identificar inconsistências relevantes, se houver, com essa descrição. Ao ler as outras informações com a finalidade de identificar inconsistências relevantes, o auditor pode tomar conhecimento de uma aparente distorção de um fato nessas outras informações.

42. Se o auditor tomar conhecimento de uma inconsistência relevante ou uma aparente distorção de um fato nas outras informações, o auditor deve discutir o assunto com a organização prestadora de serviços. Se ele conclui que há uma inconsistência relevante ou distorção de um fato nas outras informações que a organização prestadora de serviços se recusa a corrigir, o auditor deve tomar medidas adicionais apropriadas (ver itens A44 e 45).

Eventos subsequentes

43. O auditor da organização prestadora de serviços deve indagar se ela tem conhecimento de quaisquer eventos subsequentes ao período coberto pela descrição do sistema da organização até a data do seu relatório de asseguração que podem ter efeito significativo sobre esse relatório de asseguração. Se o auditor tem conhecimento de algum evento e as informações sobre esse evento não foram divulgadas pela organização prestadora de serviços, o auditor deve divulgá-las no seu relatório de asseguração.

44. O auditor da organização prestadora de serviços não tem obrigação de realizar nenhum procedimento em relação à descrição do sistema da organização prestadora de serviços ou à adequação do projeto ou à efetividade operacional dos controles, após a data do seu relatório de asseguração.

Documentação

45. O auditor da organização prestadora de serviços deve elaborar documentação que seja suficiente para permitir que outro auditor experiente, sem nenhuma relação anterior com o trabalho, entenda:

(a) a natureza, a época e a extensão dos procedimentos realizados para atender a esta Norma e os requisitos legais e regulamentares aplicáveis;

(b) os resultados dos procedimentos realizados e a evidência obtida; e

(c) os assuntos significativos que surgem durante o trabalho e as respectivas conclusões alcançadas e os julgamentos profissionais significativos para chegar a essas conclusões.

46. Ao documentar a natureza, a época e a extensão dos procedimentos executados, o auditor da organização prestadora de serviços deve registrar:

(a) as características que identificam os itens ou assuntos específicos a serem testados;

(b) quem executou o trabalho e a data em que esse trabalho foi concluído; e

(c) quem revisou o trabalho executado e a data e a extensão dessa revisão.

47. Se o auditor da organização prestadora de serviços utiliza trabalho específico dos auditores internos, ele deve documentar as conclusões alcançadas com relação à avaliação da adequação do trabalho dos auditores internos e os procedimentos executados pelo auditor da organização executados em relação a esse trabalho.

48. O auditor da organização prestadora de serviços deve documentar as discussões de assuntos significativos com os responsáveis da organização, incluindo a natureza dos assuntos significativos discutidos e quando e com quem ocorreram as discussões.

49. Se o auditor da organização prestadora de serviços identificou informações que não são condizentes com a sua conclusão final com relação a assunto significativo, ele deve documentar como a inconsistência foi tratada.

50. O auditor da organização prestadora de serviços deve montar a documentação em arquivo de trabalho e concluir o processo administrativo de montagem desse arquivo final tempestivamente após a data do seu relatório de asseguração (os itens A54 e A55 da NBC PA 01 - Controle de Qualidade para Firmas (Pessoas Jurídicas e Físicas) de Auditores Independentes fornece orientação adicional).

51. Depois de concluída a montagem do arquivo de trabalho final, o auditor da organização prestadora de serviços não deve excluir ou descartar a documentação antes do final do período de retenção (ver item A46).

52. Se o auditor da organização prestadora de serviços entende ser necessário modificar a documentação existente do trabalho ou adicionar nova documentação depois de concluída a montagem do arquivo final e essa documentação não afeta o seu relatório, ele deve, independentemente da natureza das modificações ou adições, documentar:

(a) as razões específicas das modificações ou adições; e

(b) quando e por quem elas foram feitas e revisadas.

Elaboração do relatório de asseguração do auditor do serviço

Conteúdo do relatório de asseguração do auditor da organização prestadora de serviços

53. O relatório de asseguração do auditor da organização prestadora de serviços deve incluir os seguintes elementos básicos (ver item A47):

(a) título que indica claramente que o relatório é um relatório de asseguração do auditor independente;

(b) destinatário;

(c) identificação:

(i) da descrição do sistema da organização prestadora de serviços e da afirmação dessa organização, que inclui os assuntos descritos nas definições (item 9) de relatório sobre a descrição, o projeto e a efetividade operacional dos controles (alínea (b)) para relatório tipo 2, ou de relatório sobre a descrição e o projeto de controles (alínea (b)) para relatório tipo 1;

(ii) das partes da descrição do sistema da organização prestadora de serviços, se houver, que não estão cobertas pela sua opinião;

(iii) se a descrição se refere à necessidade de controles complementares da entidade usuária, uma declaração de que o auditor da organização prestadora de serviços não avaliou a adequação do projeto ou a efetividade operacional dos controles complementares da entidade usuária, e que os objetivos de controle especificados na descrição do sistema da organização podem ser alcançados somente se os controles complementares da entidade usuária forem adequadamente projetados ou estiverem operando de maneira efetiva, juntamente com os controles da organização prestadora de serviços;

(iv) se os serviços são prestados por organização subcontratada, a natureza das atividades realizadas pela organização subcontratada conforme descrito na descrição do sistema da organização prestadora de serviços e se foi utilizado o método de inclusão ou o método de desmembramento (carve out) em relação a eles. No caso de ter sido utilizado o método de desmembramento, uma declaração que a descrição do sistema da organização prestadora de serviços exclui os objetivos de controle e os respectivos controles das organizações subcontratadas para prestação de serviços relevantes, que os procedimentos do auditor não se estendem a controles da organização subcontratada. No caso de ter sido usado o método de inclusão, uma declaração que a descrição do sistema da organização prestadora de serviços inclui os objetivos de controle e os respectivos controles da organização subcontratada e que os procedimentos de auditoria se estendem aos controles da organização subcontratada;

(d) identificação dos critérios e da parte que está especificando os objetivos de controle;

(e) declaração de que o relatório e, no caso de relatório tipo 2, a descrição dos testes de controle são destinados apenas para as entidades usuárias e seus auditores, que têm entendimento suficiente para considerá-los juntamente com outras informações, incluindo informações sobre controles operados pelas próprias entidades usuárias na avaliação dos riscos de distorções relevantes nas demonstrações contábeis de entidade usuárias (ver item A48);

(f) declaração de que a organização prestadora de serviços é responsável:

(i) pela preparação da descrição de seu sistema e da afirmação, incluindo a integridade, a precisão e o método de apresentação dessa descrição e afirmação;

(ii) pela prestação dos serviços cobertos pela descrição de seu sistema;

(iii) por especificar os objetivos de controle (quando não identificados por lei ou regulamento, ou outra parte, por exemplo, grupo usuário ou órgão profissional); e

(iv) pelo projeto e pela implementação de controles para alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços;

(g) declaração de que a responsabilidade do auditor da organização prestadora de serviços é expressar uma opinião sobre a descrição do sistema da organização prestadora de serviços, sobre o projeto dos controles relacionados com os objetivos de controle especificados nessa descrição e, no caso de relatório tipo 2, sobre a efetividade operacional desses controles, com base nos procedimentos de auditoria;

(h) declaração de que o trabalho foi executado de acordo com esta Norma, que requer que o auditor da organização prestadora de serviços cumpra as exigências éticas, planeje e execute procedimentos para obter segurança razoável sobre se, em todos os aspectos relevantes, a descrição do sistema da organização prestadora de serviços está adequadamente apresentada e os controles estão adequadamente projetados e, no caso de relatório tipo 2, estão operando de maneira efetiva;

(i) resumo dos procedimentos de auditoria para obter segurança razoável e uma declaração de que o auditor acredita que a evidência obtida é suficiente e apropriada para fundamentar a sua opinião e, no caso de relatório tipo 1, uma declaração de que o auditor não executou nenhum procedimento em relação à efetividade operacional dos controles e, portanto, não é expressa nenhuma opinião sobre isso;

(j) declaração das limitações dos controles e, no caso de relatório tipo 2, do risco de projetar para períodos futuros qualquer avaliação da efetividade operacional dos controles;

(k) opinião, expressa na forma positiva, sobre se, em todos os aspectos relevantes, com base em critérios adequados:

(i) no caso de relatório tipo 2:

a) a descrição apresenta adequadamente o sistema da organização prestadora de serviços que foi projetado e implementado durante o período especificado;

b) os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados durante o período especificado; e

c) os controles testados, que foram aqueles necessários para fornecer segurança razoável de que os objetivos de controle especificados na descrição foram alcançados, operaram de maneira efetiva durante o período especificado;

(ii) no caso de relatório tipo 1:

a) a descrição apresenta adequadamente o sistema da organização prestadora de serviços que foi projetado e implementado na data especificada;

b) os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados na data especificada;

(l) data do relatório de asseguração, que não pode ter data anterior à data em que o auditor da organização prestadora de serviços obteve evidência apropriada e suficiente para servir de base para sua opinião;

(m) identificação do auditor (firma e sócio ou responsável técnico, conforme aplicável), números de registro no CRC e a localidade (escritório) em que o relatório foi emitido e assinatura.

54. No caso de relatório tipo 2, o relatório de asseguração do auditor da organização prestadora de serviços deve incluir uma seção separada após a opinião, ou um anexo, que descreva os testes de controle que foram realizados e os resultados desses testes. Na descrição dos testes de controle, o auditor deve especificar claramente quais controles foram testados, identificar se os itens testados representam todos ou uma seleção dos itens na população, e indicar a natureza dos testes em detalhes suficientes para permitir que os auditores de entidades usuárias determinem o efeito desses testes sobre suas avaliações de risco. No caso de terem sido identificados desvios, o auditor deve incluir a extensão dos testes realizados que levaram à identificação dos desvios (incluindo o tamanho da amostra em que a amostragem foi utilizada) e o número e a natureza dos desvios observados. O auditor deve informar desvios mesmo se, com base nos testes realizados, ele tiver concluído que o respectivo objetivo de controle foi alcançado (ver itens A18 e A49).

Opinião modificada

55. Se o auditor da organização prestadora de serviços concluir que (ver itens A50 e A52):

(a) a descrição da organização prestadora de serviços não apresenta adequadamente, em todos os aspectos relevantes, o seu sistema conforme projetado e implementado;

(b) os controles relacionados com os objetivos de controle especificados na descrição não foram adequadamente projetados, em todos os aspectos relevantes;

(c) no caso de relatório tipo 2, os controles testados, que foram aqueles necessários para fornecer segurança razoável de que os objetivos de controle especificados na descrição do sistema da organização foram alcançados, não operaram de maneira efetiva, em todos os aspectos relevantes; ou

(d) o auditor não consegue obter evidência apropriada e suficiente, sua opinião deve ser modificada e o seu relatório de asseguração deve conter descrição clara de todas as razões para a modificação.

Outras responsabilidades de comunicação

56. Se o auditor da organização prestadora de serviços tomar conhecimento de não cumprimento de leis e regulamentos, fraude ou erros não corrigidos atribuíveis à organização prestadora de serviços que não são claramente insignificantes e podem afetar uma ou mais entidades usuárias, ele deve determinar se o assunto foi adequadamente comunicado às entidades usuárias afetadas. Se o assunto não foi comunicado adequadamente e a organização prestadora de serviços não quer fazê-lo, o auditor deve tomar as medidas apropriadas (ver item A53).