PORTARIA CISET-MD N° 734, DE 5 DE FEVEREIRO DE 2026 (parte 2 de 2)

ANEXO
MANUAL DE ELABORAÇÃO DO PLANO ANUAL DE AUDITORIA INTERNA -
PAINT
1. Introdução
1.1. Trata o Manual sobre os procedimentos internos a serem observados na
elaboração do Plano Anual de Auditoria Interna - PAINT no âmbito da Secretaria de
Controle Interno do Ministério da Defesa - CISET-MD, em conformidade com as
diretrizes contidas na Orientação Prática: Plano de auditoria interna baseado em riscos
aprovada pela Portaria SFC/CGU nº 1.055, de 30 de abril de 2020, da Secretaria Federal
de Controle Interno da Controladoria-Geral da União.
1.2. Um Plano de Auditoria Interna baseado em riscos alinha-se ainda ao
Planejamento Estratégico da CISET-MD uma vez que uma evolução do modelo de
maturidade IA-CM para o Nível III prevê a institucionalização do KPA 3.6 - Plano de
Auditoria baseado em riscos.
1.3. O Manual tem por objetivo principal servir de referência para os
integrantes da CISET-MD como maneira de padronizar procedimentos, alcançando assim
maior eficiência no planejamento realizado para os trabalhos de auditoria da Unidade
de Auditoria Interna Governamental - UAIG, cujo propósito visa sempre aumentar e
proteger o valor organizacional do Ministério da Defesa, proporcionando assim a
melhoria dos processos de governança, gerenciamento de riscos e de controles
internos.
1.4. Considerando ainda as funções de supervisão e orientação técnica da
CISET-MD perante os Centros de Controle Interno das Forças Armadas, o Documento
deverá ser utilizando como referência para a elaboração do PAINT a ser apresentado
pelos Centros de Controle para avaliação pela CISET-MD.
2. Visão Geral - MACROPROCESSOS
2.1. Cabe destacar que o foco do presente documento será o Plano
Operacional, ficando o planejamento dos trabalhos individuais reservado à fase que
antecede a execução das atividades de auditoria inseridas no Plano Operacional.
2.2. Percebe-se que, do diagrama abaixo, antes dos procedimentos
específicos relacionados ao macroprocesso de Elaboração do Plano Operacional,
propriamente dito, existem macroprocessos de preparação que demandam um
entendimento do ambiente externo e interno no qual o Ministério da Defesa encontra-
se inserido, o que subsidiará as condições adequadas para uma definição do universo de
auditoria da Unidade, cuja base será utilizada para a escolha das atividades de auditoria
a serem realizadas, e posteriormente a avaliação da maturidade da gestão de riscos,
que ajudará a decidir a metodologia de riscos aplicada na seleção dos objetos de
auditoria. 1_MD_10_001
Fig. 1 - Visão Geral
3. Entendimento do Contexto da Unidade
3.1. Entender o propósito da Unidade, a finalidade para a qual ela existe,
assim como onde ela quer chegar ou como ela pretende ser reconhecida perante seu
público-alvo torna-se uma etapa fundamental para entender os objetivos dos principais
processos de negócio da Organização e direcionar o olhar para possíveis riscos internos
ou externos e eventuais pontos de controle.
3.2. Como fontes de informações sobre a missão e visão da Unidade pode-
se utilizar documentos estruturantes como: Política Nacional de Defesa - PND; a
Estratégia Nacional de Defesa - END; Planejamento Estratégico Setorial de Defesa -
PESD; Plano Plurianual - PPA; o Planejamento Estratégico Organizacional - PEO; assim
como os Relatórios de Gestão publicados recentemente.
3.3. Consultada as fontes anteriormente mencionadas, informações
adicionais podem ser adquiridas junto aos demais stakeholders dos processos: alta
Administração, conselhos de governança, funções de segunda linha etc.
3.4. A comunicação informal também poderá ser utilizada como fonte de
informações, considerando que eventualmente conhecimentos tácitos não estão
transformados em conhecimentos explícitos por meio de normas ou regulamentos. Para
tanto, o acompanhamento, pelos auditores, da execução dos procedimentos da
Unidade pode ser uma boa prática como fonte de informações.
3.5. Como resultado, espera-se que o entendimento do contexto da unidade
possibilite levantar informações sobre a estrutura organizacional com as principais
atividades de segunda linha, base legal vigente, a finalidade clara da organização,
eventuais ameaças externas ou fraquezas internas que podem interferir no atingimento
dos objetivos da organização, os principais stakeholders e como se relacionam com a
Organização, que quando consolidadas devem ser capazes de responder as seguintes
questões:
3.5.1. Qual é o objetivo da atuação governamental ou qual é o motivo de
existência da Organização?
3.5.2. Como está estruturado o processo de funcionamento da organização,
incluindo informações sobre organograma, atores envolvidos, objetivos estratégicos
etc.?
3.5.3. Quais são os resultados entregues para o atingimento do objetivo
institucional, as medidas de desempenho implementadas e os resultados alcançados ao
longo do tempo?
3.5.4. Como a Unidade monitora o desempenho de sua gestão e com que
frequência o faz?
3.5.5. A Unidade define formalmente as funções, as competências e as
responsabilidades de suas estruturas e de seus arranjos institucionais?
3.5.6. A Unidade mantém, monitora e revisa seu processo de gestão de
riscos?
3.6. Todas as informações coletadas serão registradas pela equipe de
auditoria, conforme modelo contido no ANEXO I
(https://repositorio.cgu.gov.br/handle/1/44964) da Orientação Prática: Plano de
auditoria interna baseado em riscos, da Controladoria-Geral da União, e devidamente
validadas pelo Chefe da Secretaria de Controle Interno do Ministério da Defesa
(https://repositorio.cgu.gov.br/handle/1/44964).
3.7. A figura a seguir representa o fluxo relacionado ao macroprocesso de
entendimento de contexto da unidade. 1_MD_10_002
Fig. 2 - Contexto Unidade
4. Definição do Universo de Auditoria
4.1. O Universo de Auditoria pode envolver qualquer tópico, assunto,
projeto, departamento, processo ou área que possa justificar um trabalho de auditoria
devido a identificação de algum risco.
4.2. De início, orienta-se que o universo de auditoria seja formado pelos
processos de negócio, que representam a atuação cotidiana das instituições, por
estarem diretamente relacionados com os riscos e com os controles implementados
pela Organização. A impossibilidade de utilização dos processos de negócio para a
composição do universo de auditoria deve ser devidamente justificada, possibilitando
uma definição clara dos objetos escolhidos para compor o universo.
4.3. Realizada a definição de como os objetos de auditoria seriam definidos
para constituir o universo de auditoria, sempre pensando na vinculação entre os
objetivos organizacionais e iniciativas estratégicas e considerando que um universo de
auditoria bem organizado possibilita uma melhor avaliação de riscos e por
consequência um plano de auditoria interna mais útil e valioso para a organização, faz-
se necessário que se execute os procedimentos de documentação de cada objeto, em
consonância com o anexo II (https://repositorio.cgu.gov.br/handle/1/44978) da
Orientação Prática CGU - Planejamento Baseado em Riscos, englobando informações
sobre os objetivos, atividades relacionadas, marco regulatório, arranjos orçamentários,
financeiros, de pessoal, infraestrutura tecnológica, etc.
4.4. Uma vez finalizado o universo de auditoria, a autoridade máxima da
CISET-MD avalia o rol de objetos auditáveis, que após aprovado pode ser registrado no
sistema de gestão das atividades da auditora.
4.5. Eventuais atualizações podem ser realizadas diante da necessidade de
incorporar mudanças internas e externas que venham a introduzir novos riscos ou
modificar a avaliação de riscos já mapeados. Sugere-se ainda que a revisitação ao
universo de auditoria esteja alinhada com o Planejamento Estratégico Organizacional da
Unidade Auditada, devendo ser realizado no período mínimo de 4 anos. 1_MD_10_003
Fig. 3 - Universo de Auditoria
5. Avaliação da Maturidade da Gestão de Riscos
5.1. A definição da base a ser utilizada na elaboração de um plano de
auditoria com base em riscos faz-se essencial para a seleção de objetos que apresentam
maiores vulnerabilidades e que precisam de uma ação mais eficaz da auditoria
interna.
5.2. Antes, porém, de se definir a base de riscos, a unidade de auditoria
interna precisa realizar uma avaliação da maturidade da gestão de riscos do contexto em
estudo. Será por meio dessa avaliação que a base de avaliação dos riscos será definida
no processo de escolha dos objetos a serem auditados.
5.3. Para a avaliação dessa maturidade utiliza-se a planilha modelo Anexo III
(https://repositorio.cgu.gov.br/handle/1/44987), em conformidade com a Orientação
Prática CGU: Plano de auditoria interna baseado em riscos, possibilitando uma avaliação
sobre a existência de objetivos e metas da Organização; a estrutura de governança de
riscos e controles; bem como internalização e efetiva execução de ações relacionadas aos
processos de identificação, avaliação, documentação, resposta e comunicação dos
resultados como ferramenta de apoio à tomada de decisão.
5.4. Ao concluir por um nível de maturidade de gestão de riscos classificado
com aprimorado ou avançado, a unidade de auditoria interna ainda precisa avaliar se o
levantamento de riscos realizado pela gestão pode ser considerado confiável, de maneira
a possibilitar a utilização desses riscos mapeados na definição do objeto de auditoria.
5.5. Tal confiabilidade pode ser avaliada por meio de procedimentos de
revisão documental envolvendo a política de gestão de riscos, a metodologia adotada e
atas de reuniões do Comitê de Gestão de Riscos. Verificar ainda se o monitoramento da
gestão de riscos ocorre com a frequência definida na metodologia da unidade, assim
como avaliar por meio de amostragem se definições quanto a probabilidade, impacto,
causas e controles estão devidamente evidenciados.
5.6. Diante de fragilidades no cadastro de riscos apresentados pela gestão da
unidade, a Unidade de Auditoria Interna poderá realizar sua própria avaliação de riscos,
para utilização como objeto de auditoria.
5.7. Não havendo ainda um levantamento dos riscos pela unidade de
auditoria, a base de riscos a ser utilizada pode ser a de fatores de riscos, lembrando que
fatores de riscos não são os próprios riscos, mas condições que estão associadas a uma
maior probabilidade de materialização dos riscos, como por exemplo: volume de recursos
abrangidos pelo objeto de auditoria; tempo sem atuação do Controle Interno; quantidade
de atuações do Controle Externo; interesse da atuação do Controle Interno pelo gestor;
identificação de riscos relevantes pelo Controle Interno; etc. Eventualmente, alguns
fatores podem ser mais significativos que outros, o que pode justificar a definição de
parâmetros de ponderação específicos. Assim, o somatório das classificações leva a uma
agregação única, risco total, dos fatores de riscos para cada unidade auditável,
fornecendo uma base para comparação e priorização dos trabalhos da auditoria
interna.
5.8. Todos esses parâmetros devem estar devidamente documentados na
Metodologia de Planejamento baseado em Riscos a ser apresentada juntamente com o
PAINT a ser elaborado. 1_MD_10_004
Fig. 4 - Maturidade de Risco
6. Elaboração do Plano Operacional
6.1. Definido o Universo de Auditoria e a metodologia a ser utilizada no
processo de hierarquização dos objetos a serem auditados, faz-se necessário definir a
capacidade operacional da Unidade de Auditoria Interna para então obter-se a quantidade
de homens-hora disponíveis para a execução das atividades a serem executadas pela
UAIG.
6.2. A capacidade operacional deve estar atualizada no perfil da unidade
correspondente à tarefa no e-CGU.
6.3. Para o cálculo dos homens-hora (hh) disponíveis correspondente ao total
de horas anuais, considera-se 12 meses com 22 dias úteis e 8 horas por dia, descontadas
as férias obrigatórias e os feriados em dias úteis previstos para o exercício planejado. Para
o caso específico de militares que atuam nas unidades de auditoria, podem ser
descontadas as horas relacionadas às atividades inerentes de militares relativas à cada
Força Singular (Exército, Marinha e Aeronáutica).
6.4. Por orientação da CGU deve-se ainda considerar um mínimo de 40 hh de
capacitação anual para cada componente da capacidade operacional envolvido nas
atividades a serem executadas pela UAIG.
6.5. As horas operacionais disponíveis devem ser alocadas nas seguintes
categorias:
6.5.1. Serviços de Auditoria: Atividades de Avaliação, Consultoria ou Apuração
com as respectivas reservas técnicas, assim como as atividades abrangidas pelas auditorias
contínuas, como as atividades relacionadas ao acompanhamento dos alertas do sistema
ALICE. As atividades de monitoramento das recomendações envolvendo trabalhos do TCU,
CGU e da própria unidade de auditoria interna devem ser também inseridas na categoria.
Importante destacar que, apesar de não existir um percentual exigido para a alocação da
quantidade de horas disponíveis na categoria de serviços de auditoria, deve-se tentar
manter um mínimo de 60%, considerando que a categoria envolve as atividades finalísticas
da UAIG e que é por meio dela que se pode realmente agregar valor à Instituição;
6.5.2. Gestão Interna da UAIG: Envolve atividades relacionadas tanto a serviços
de apoio administrativo, gestão documental, como a atividades relativas à gestão
estratégica, envolvendo elaboração de planejamento estratégico, planejamento operacional
(PAINT/RAINT), regimentos internos, estatutos etc.;
6.5.3. Gestão e Melhoria da Qualidade: categoria utilizada para unidades que já
possuem um Programa de Gestão de Melhoria da Qualidade (PGMQ) formalmente
instituído, agrupando assim ações com foco na melhoria contínua da auditoria interna,
envolvendo avaliações internas de qualidade, melhoria de processos, elaboração de
normativos com foco em qualidade etc.;
6.5.4. Levantamento de Informações para Órgãos de Controle: categoria
relacionada a atividades envolvendo a in terlocução da unidade com órgãos de controle
interno e externo: CGU, TCU, MPF; e etc.;
6.5.5. Outros: categoria eventualmente utilizada para atividades que não se
enquadram nas categorias anteriormente previstas.
6.6. Definidas as quantidades de hh disponíveis para a realização dos serviços
de auditoria, promove-se a seleção dos objetos de auditoria com base na metodologia
aplicada para o planejamento baseado em riscos.
6.7. Importante destacar que a seleção dos objetos de auditoria deve
considerar também eventuais serviços de avaliação e consultoria demandados pela alta
administração e que não aparecerem necessariamente entre as principais prioridades
identificadas na avaliação de riscos. Caso essas demandas não ocorram de maneira
espontânea por parte da gestão, a unidade de auditoria pode provocar a alta
administração sobre a percepção dos riscos existentes, assim como sobre eventual
processo, programa ou projeto que justificaria um trabalho específico de auditoria. A
inclusão dessas solicitações deve estar alinhada com a finalidade de agregar valor à
instituição, melhorando assim o gerenciamento de riscos e as operações da organização.
6.8. A minuta do PAINT contendo as informações em consonância com a
Instrução Normativa SFC/CGU nº 5, de 19 de agosto de 2021, será encaminhada para
avaliação e validação do titular da Unidade de Controle Interno.
6.9. A Minuta aprovada na CISET-MD será encaminhada para a avaliação da
Controladoria-Geral da União por meio do sistema e-CGU. Retornado da CGU, o
documento sofrerá as adequações eventualmente propostas e será enviado para a
aprovação do Ministro de Estado da Defesa.
Fig. 5 - Elaboração do Plano Operacional
6.11 Por fim, há que se considerar que o PAINT está sujeito a premissas,
restrições e a seus próprios riscos associados. A unidade de Auditoria interna deve
assim realizar um mapeamento claro dessas questões promovendo revisões ou
alterações necessárias no planejamento inicialmente realizado diante de eventuais
situações imprevistas. As alterações realizadas no planejamento advindas de mudanças
nas premissas, identificação de novas restrições ou concretização de riscos associados
devem ser comunicadas à autoridade máxima da instituição assim como à unidade
técnica supervisora de controle interno.
7. Considerações Finais
7.1. A aderência aos princípios da transparência e da uniformização de
procedimentos foram a fonte inspiradora para a elaboração deste manual, sempre
tendo em mente o propósito de agregar valor por meio da sistematização de um
planejamento baseado em riscos e de possibilitar a execução de atividades de auditoria
factíveis, de maneira a contribuir com o alcance da missão institucional do Ministério
da Defesa.
7.2. Por fim, diante do dinamismo e evolução constante do estado da arte
envolvendo as atividades da auditoria interna, este manual não pode ser entendido
como um documento imutável, mas sim como uma referência para os gestores e
demais interessados que são impactados pelos trabalhos da auditoria entenderem as
origens e as motivações utilizadas no âmbito das escolhas dos objetos auditáveis.
7.3. Sendo assim, esse manual entra em vigor na data de sua publicação,
devendo ser amplamente difundido entre as unidades organizacionais do ministério da
defesa, ficando passível de revisão sempre que alguma melhoria procedimental for
identificada, visando, com isso, a um aperfeiçoamento contínuo do processo de
elaboração do planejamento dos trabalhos da Secretaria de Controle Interno do
Ministério da Defesa.
6.10. Uma vez aprovada pela autoridade máxima, a versão final será
disponibilizada novamente para a CGU pelo sistema e-CGU para conhecimento,
acompanhamento e publicação no site da Instituição. 1_MD_10_005