DOE 02/12/2022 - Diário Oficial do Estado do Ceará

                            101
DIÁRIO OFICIAL DO ESTADO  |  SÉRIE 3  |  ANO XIV Nº240  | FORTALEZA, 02 DE DEZEMBRO DE 2022
despendidos para custear tais ações. Por fim, salienta-se que o Tribunal de Contas do Estado do Ceará – TCE orienta, de acordo com a Instrução Normativa 
003/2015, que, na Prestação de Contas Anual, seja apresentado o Manual de Controle Interno como evidência de Procedimentos de Controle.
O presente Manual auxiliará e orientará a atuação dos integrantes da Assessoria de Controle Interno desta SEINFRA, servindo como um instrumento 
em busca de planejamento, gerenciamento e padronização das atividades desenvolvidas, visando atingir padrões de qualidade e aprimoramento das atividades 
inerentes à Administração Pública, bem como proporcionar maior transparência das ações ao TCE e aos demais órgãos de controle, almejando-se, por fim, 
ajustes, ao longo do tempo, promovendo uma importante evolução da gestão desta SEINFRA.
Este Manual está dividido em 5 (cinco) itens, onde, na Introdução, serão apresentados os objetivos do referido documento, seguido de explanação 
quanto ao Controle Interno, no item 02, e a definição do conceito de Risco adotado pela SEINFRA, no item seguinte.
No item 04, será apresentada a metodologia do Gerenciamento de Riscos, que segue as diretrizes do COSO (Committee of Sponsoring Organizations 
of the Treadway Commission), bem como o Decreto nº 33.805, de 9 de novembro de 2020, que institui a Política de Gestão de Riscos – PGR, do Poder 
Executivo do Estado do Ceará, e a Portaria 05/2021/CGE, que institui a metodologia de gerenciamento de riscos do Poder Executivo do Estado do Ceará.
Finalizando o Manual, serão descritas ,no item 05, as técnicas de auditoria prioritárias a serem utilizadas, seguidas dos Procedimentos de Avaliação 
a serem realizados pela Assessoria de Controle Interno (Acint), conforme disposto no Plano Anual de Auditoria, apresentados no item 06.
2.  CONTROLES INTERNOS
Os Controles Internos podem ser adequadamente compreendidos por meio da Teoria da Agência. A satisfação do titular depende da atuação do 
agente, portanto, o titular deve se assegurar de que a atuação do agente será aquela que satisfaça seu objetivo. Porém, os interesses do agente nem sempre 
estão alinhados aos do titular. Nesse caso, tem-se, como resultado, um conflito de agência ou conflito agente-titular e, para minimizar tais problemas, torna-se 
necessária a criação dos instrumentos de controle, pois dificilmente o titular terá condições de fiscalizar 100% dos atos praticados pelo agente. Esse conjunto 
de mecanismos de controles adotados para selecionar e monitorar os atos praticados pelos agentes denomina-se “Controles Internos”.
Os Controles Internos devem ser operados por pessoas em todos os níveis da organização, desde os mais altos (conselhos e diretorias) até o quadro 
de pessoal em geral.
Como uma das principais referências no assunto, temos o Committee of Sponsoring Organizations of the Treadway Commission (COSO), uma 
organização americana que reúne cinco patrocinadores, que atuam para o desenvolvimento de estruturas e orientações sobre gerenciamento de riscos corpo-
rativos, controle interno e controle de fraudes.
O COSO define os controles internos da seguinte forma:
“Controle interno é um processo conduzido pela estrutura de governança, administração e outros profissionais da entidade, e 
desenvolvido para proporcionar segurança razoável com respeito à realização dos objetivos relacionados a operações, divulgação 
e conformidade.”
Com o COSO I, o papel dos controles internos foi ampliado e reconhecido como ferramenta de gestão e monitoramento de riscos em relação ao 
alcance dos objetivos da organização.
O Controle Interno, na área pública, tem o objetivo de ser um mecanismo de auxílio ao administrador público e um instrumento de proteção e defesa 
do cidadão. Os controles contribuem para que os objetivos da organização pública sejam alcançados e as ações conduzidas de forma econômica, eficiente e 
eficaz, resultando na salvaguarda dos recursos públicos contra o desperdício, o abuso, os erros, as fraudes e as irregularidades.
3. RISCOS
Toda entidade, pública ou privada, ao desempenhar suas atividades, está sujeita a eventos, ou seja, incidentes e ocorrências oriundos de fontes internas 
ou externas, que podem afetar, positiva ou negativamente, a realização de seus objetivos. Quando um evento qualquer impacta positivamente a entidade, ou 
seus objetivos, tem-se a oportunidade, quando impacta negativamente tem-se o risco.
Segundo o TCU (2018, p. 08), “Risco é o efeito da incerteza sobre objetivos estabelecidos. É a possibilidade de ocorrência de eventos que afetem 
a realização ou alcance dos objetivos, combinada com o impacto dessa ocorrência sobre os resultados pretendidos”.
Já o PMBOK (2013) define risco como uma condição ou evento incerto, que, caso se concretize, causará efeitos negativos ou positivos sobre pelo 
menos um dos objetivos do projeto, como escopo, tempo, custo ou qualidade.
Para a CGE (2020, p. 01) é “possibilidade de ocorrência de um evento que tenha impacto no atingimento dos objetivos da organização”.
De outra parte, o Committee of Sponsoring Organizations of the Treadway Commission (Comitê das Organizações Patrocinadoras da Comissão 
Treadway) definiu que incertezas representam riscos e oportunidades, com potencial para destruir ou agregar valor às organizações, as quais só existem para 
gerar valor para os stakeholders (partes interessadas).
Nota-se, portanto, que risco é todo evento que pode causar impactos, tanto positivos como negativos,  na consecução de objetivos preestabelecidos.
4. GERENCIAMENTO DE RISCOS
A gestão de riscos exige o equilíbrio e a integração de uma série de elementos, que interagem uns com os outros. A escolha do método de gerencia-
mento de riscos deve considerar a realidade, o nível de criticidade dos processos e a capacidade técnica e operacional dos atores envolvidos.
O gerenciamento de riscos compreende o processo para identificar, analisar, avaliar, tratar e controlar potenciais eventos ou situações, a fim de 
fornecer razoável certeza quanto ao alcance dos objetivos. Neste sentido, o processo completo de gerenciamento de riscos é composto pelas seguintes etapas:
I – Estabelecimento do contexto: identificação dos objetivos da organização e compreensão dos contextos externo e interno a serem considerados no geren-
ciamento de riscos;
II – Identificação de riscos: elaboração de abrangente lista de riscos com base nos eventos que possam criar, aumentar, evitar, reduzir, acelerar ou atrasar a 
realização dos objetivos associados aos processos organizacionais;
III – Análise de riscos: identificação das possíveis causas, consequências e probabilidade de ocorrência dos riscos;
IV – Avaliação de riscos: identificação de quais riscos necessitam de tratamento e qual a prioridade para a implementação do tratamento;
V – Tratamento de riscos: definição das opções de respostas aos riscos, de forma a adequar seus níveis ao apetite estabelecido para os processos organiza-
cionais, além da escolha das medidas de controle associadas a essas respostas;
VI – Comunicação e consulta: realização de atividades a fim de assegurar que os responsáveis pela implementação do processo de gerenciamento de riscos 
e as partes interessadas compreendam os fundamentos sobre os quais as decisões são tomadas e as razões pelas quais ações específicas são requeridas; e
VII – Monitoramento e análise crítica: verificação e supervisão crítica contínua, visando identificar mudanças no desempenho requerido ou esperado para 
determinar a adequação, suficiência e eficácia do gerenciamento de riscos.
O documento COSO I discorre que controle interno é um processo constituído de cinco componentes que se interrelacionam: Ambiente de Controle, 
Avaliação de Risco, Procedimentos de Controle, Informação e Comunicação e Monitoramento, conforme demonstrado na figura abaixo.
Figura Coso I (adaptado)
Esta figura representa a estrutura do cubo do Coso I, contemplando três dimensões. A dimensão superior do cubo representa os objetivos; a dimensão 
frontal indica os componentes do gerenciamento de riscos e a dimensão lateral representa os níveis da organização pelos quais perpassa a gestão de riscos.
Em 2004, o COSO publicou o Enterprise Risk Management – integrated framework (Gerenciamento de Risco Corporativo – estrutura integrada), 
COSO-ERM ou COSO II, documento que ainda hoje é tido como referência para o tema gestão de riscos corporativos, apresentando algumas alterações de 
sua versão anterior.