NBC-TO-3402 - ASSEGURAÇÃO DE CONTROLES EM PRESTADORAS DE SERVIÇOS - ELABORAÇÃO DO TRABALHO

NBC - NORMA BRASILEIRA DE CONTABILIDADE

NBC-TO - NORMAS DE ASSEGURAÇÃO DE INFORMAÇÃO NÃO HISTÓRICA

NBC TO 3402 - RELATÓRIOS DE ASSEGURAÇÃO DE CONTROLES EM ORGANIZAÇÃO PRESTADORA DE SERVIÇOS

REQUISITOS PARA ELABORAÇÃO DO TRABALHO

• NBC TO 3000 - item 10
• Exigências éticas relevantes - item 11
• Administração e responsáveis pela governança - item 12
• Aceitação e continuidade - item 13 - 14
• Avaliação da adequação dos critérios - item 15 - 18
• Relevância - item 19
• Obtenção de entendimento sobre o sistema da organização prestadora de serviços - item 20
• Obtenção de evidência em relação à descrição - item 21 - 22
• Obtenção de evidência em relação ao projeto de controles - item 23
• Obtenção de evidência em relação à efetividade operacional dos controles - item 24 - 29
• Função da auditoria interna - item 30 - 37
• Representações formais - item 38 - 40
• Outras informações - item 41 - 42
• Eventos subsequentes - item 43 - 44
• Documentação - item 45 - 52
• Elaboração do relatório de asseguração do auditor do serviço - item 53 - 55
• Outras responsabilidades de comunicação - item 56

NBC TO 3000 - item 10

10. O auditor da organização prestadora de serviços não deve declarar o cumprimento desta Norma, a menos que tenha cumprido os requisitos desta Norma e da NBC-TO-3000.

Exigências éticas relevantes - item 11

11. O auditor da organização prestadora de serviços deve cumprir as exigências éticas relevantes, incluindo aquelas pertinentes à independência, relacionadas com trabalhos de asseguração (ver item A5).

Administração e responsáveis pela governança - item 12

12. Quando esta Norma requer que o auditor da organização prestadora de serviços indague, solicite representações, comunique-se ou interaja de outra forma com a organização prestadora de serviços, o auditor deve determinar as pessoas apropriadas da estrutura da administração ou da governança da referida organização com quem interagir. Isso inclui considerar quais pessoas tem as responsabilidades e o conhecimento apropriados relacionados com os assuntos envolvidos (ver item A6).

Aceitação e continuidade - item 13 - 14

13. Antes de concordar em aceitar ou continuar um trabalho, o auditor da organização prestadora de serviços deve:

(a) determinar se:

(i) ele tem a capacitação e a competência para executar o trabalho (ver item A7);

(ii) os critérios a serem aplicados pela organização prestadora de serviços para elaborar a descrição de seu sistema serão adequados e estarão disponíveis para entidades usuárias e seus auditores; e

(iii) o alcance do trabalho e a descrição do sistema da organização prestadora de serviços não serão limitados a ponto de ser improvável que sejam úteis para as entidades usuárias e seus auditores;

(b) obter a concordância da organização prestadora de serviços de que ela reconhece e entende sua responsabilidade:

(i) pela elaboração da descrição de seu sistema e da afirmação que a acompanha, incluindo a integridade, a precisão e o método de apresentação dessa descrição e afirmação (ver item A8);

(ii) por ter uma base razoável para a afirmação que acompanha a descrição do seu sistema (ver item A9);

(iii) por especificar na sua afirmação os critérios usados para elaborar a descrição do seu sistema;

(iv) por especificar na descrição do seu sistema:

a. os objetivos de controle; e

b. no caso de estarem especificados por lei ou regulamento, ou por outra parte (por exemplo, grupo usuário ou órgão profissional), a parte que os especificou;

(v) por identificar os riscos que ameaçam o alcance dos objetivos de controle especificados na descrição do seu sistema, por projetar e implementar controles que fornecem segurança razoável de que esses riscos não impedirão o alcance dos objetivos de controle especificados na descrição do seu sistema e, portanto, que os objetivos de controle serão alcançados (ver item A10); e

(vi) por fornecer ao auditor da organização prestadora de serviços:

a. acesso a todas as informações, como registros, documentação e outros assuntos, incluindo acordos no nível de serviço, que essa organização saiba que é relevante para a descrição do seu sistema e para a sua afirmação;

b. informações adicionais que o auditor da organização prestadora de serviços pode solicitar dessa organização para fins do trabalho de asseguração; e

c. acesso irrestrito a pessoas dentro da organização prestadora de serviços de quem o auditor determina ser necessário obter evidência.

Aceitação de mudança nos termos do trabalho

14. Se a organização prestadora de serviços solicita uma mudança no alcance do trabalho antes da conclusão do trabalho, o auditor dessa organização deve estar satisfeito de que há uma justificativa razoável para a mudança (ver item A11 e A12).

Avaliação da adequação dos critérios - item 15 - 18

15. Conforme requerido pela NBC-TO-3000, o auditor da organização prestadora de serviços deve avaliar se essa organização utilizou critérios adequados na elaboração da descrição do seu sistema, na avaliação de se os controles foram adequadamente projetados e, no caso de relatório tipo 2, na avaliação de se os controles estão operando de maneira efetiva (ver item 19 da NBC TO 3000).

16. Ao avaliar a adequação dos critérios para a avaliação da descrição do sistema da organização prestadora de serviços, o auditor dessa organização deve determinar se os critérios abrangem, no mínimo:

(a) se a descrição apresenta como o sistema da organização prestadora de serviços foi projetado e implementado, incluindo, conforme apropriado:

(i) os tipos de serviços prestados, incluindo as classes de transações processadas;

(ii) os procedimentos, envolvendo os sistemas de tecnologia da informação (TI) e manuais, pelos quais os serviços são prestados, incluindo os procedimentos pelos quais as transações são iniciadas, registradas, processadas, corrigidas, conforme necessário, e transferidas para os relatórios e outras informações elaboradas para entidades usuárias;

(iii) os respectivos registros e as informações de suporte, incluindo registros contábeis, informações de suporte e contas específicas que são usadas para iniciar, registrar, processar e reportar as transações, incluindo a correção de informações e como a informação é transferida para os relatórios e outras informações elaboradas para entidades usuárias;

(iv) como o sistema da organização prestadora de serviços trata de eventos e condições significativos que não sejam transações;

(v) o processo usado para elaborar relatórios e outras informações para entidades usuárias;

(vi) os objetivos de controle especificados e os controles projetados para alcançar esses objetivos;

(vii) controles complementares da entidade usuária previstos no projeto dos controles; e

(viii) outros aspectos do ambiente de controle, do processo de avaliação de riscos, do sistema de informações (incluindo os respectivos processos de negócio) e da comunicação, das atividades de controle e dos controles de monitoramento da organização prestadora de serviços que são relevantes para os serviços prestados;

(b) no caso de relatório tipo 2, se a descrição inclui detalhes relevantes de mudanças no sistema da organização prestadora de serviços durante o período coberto pela descrição;

(c) se a descrição omite ou distorce informações relevantes para o alcance do sistema da organização prestadora de serviços que está sendo descrito, embora reconhecendo que a descrição foi elaborada para atender as necessidades comuns de ampla gama de entidades usuárias e seus auditores e, portanto, pode não incluir todos os aspectos do sistema da organização prestadora de serviços que cada entidade usuária individual e seu auditor pode considerar importante em seu ambiente específico.

17. Ao avaliar a adequação dos critérios para a avaliação do projeto dos controles, o auditor da organização prestadora de serviços deve determinar se os critérios abrangem, no mínimo, se:

(a) a organização prestadora de serviços identificou os riscos que ameaçam o alcance dos objetivos de controle especificados na descrição do seu sistema; e

(b) os controles identificados nessa descrição forneceriam, se estivessem operando conforme descrito, segurança razoável de que esses riscos não impedem que os objetivos de controle especificados sejam alcançados.

18. Ao avaliar a adequação dos critérios para a avaliação da efetividade operacional dos controles em fornecer segurança razoável de que os objetivos de controle identificados na descrição serão alcançados, o auditor da organização prestadora de serviços deve determinar se os critérios abrangem, no mínimo, se os controles foram aplicados de maneira uniforme conforme projetado durante o período especificado. Isso inclui se os controles manuais foram aplicados por pessoas com competência e autoridade apropriadas (ver item A13 a A15).

Relevância- item 19

19. Ao planejar e executar o trabalho, o auditor da organização prestadora de serviços deve considerar a relevância com relação à adequada apresentação da descrição, à adequação do projeto dos controles e, no caso de relatório tipo 2, à efetividade operacional dos controles (ver definição sobre relevância nos itens A16 a A18).

Obtenção de entendimento sobre o sistema da organização prestadora de serviços- item 20

20. O auditor da organização prestadora de serviços deve obter entendimento do sistema dessa organização, incluindo controles que estão considerados no alcance do trabalho (ver itens A19 e A20).

Obtenção de evidência em relação à descrição - item 21 - 22

21. O auditor da organização prestadora de serviços deve obter, ler a descrição do sistema dessa organização e avaliar se os aspectos da descrição incluídos no alcance do trabalho estão adequadamente apresentados, incluindo se (ver item A21 e A22):

(a) os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços são razoáveis nas circunstâncias (ver item A23);

(b) os controles identificados nessa descrição foram implementados;

(c) os controles complementares da entidade usuária, se houver, estão adequadamente descritos; e

(d) os serviços prestados por organização subcontratada para prestação de serviços, se houver, estão adequadamente descritos, incluindo se foi utilizado o método de inclusão ou o método de desmembramento (carve out) em relação a eles.

22. O auditor da organização prestadora de serviços deve determinar, por meio de outros procedimentos juntamente com indagações, se o sistema dessa organização foi implementado. Esses outros procedimentos incluem observação e inspeção de registros e outras documentações, da maneira que o sistema da organização prestadora de serviços funciona e como os controles são aplicados (ver item A24).

Obtenção de evidência em relação ao projeto de controles - item 23

23. O auditor da organização prestadora de serviços deve determinar quais são os controles dessa organização necessários para alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços e deve avaliar se esses controles foram adequadamente projetados. Essa determinação deve incluir (ver itens A25 a A27):

(a) a identificação dos riscos que ameaçam o alcance dos objetivos de controle especificados na descrição do sistema da organização prestadora de serviços; e

(b) a avaliação da correlação dos controles identificados na descrição do sistema dessa organização com os riscos identificados.

Obtenção de evidência em relação à efetividade operacional dos controles - item 24 - 29

24. Ao fornecer um relatório tipo 2, o auditor da organização prestadora de serviços deve testar os controles que ele determinou como necessários para alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços e avaliar sua efetividade operacional durante o período. As evidências obtidas em trabalhos anteriores sobre a operação satisfatória de controles em períodos anteriores não fornece base para reduzir os testes, mesmo se forem complementadas com evidências obtidas durante o período atual (ver itens A28 a A32).

25. Ao projetar e executar testes de controle, o auditor da organização prestadora de serviços deve:

(a) executar outros procedimentos juntamente com indagação para obter evidência sobre:

(i) como o controle foi aplicado;

(ii) a uniformidade com que o controle foi aplicado; e

(iii) por quem ou por quais meios o controle foi aplicado;

(b) determinar se os controles a serem testados dependem de outros controles (indiretos) e, em caso positivo, se é necessário obter evidência para suportar a efetividade operacional desses controles indiretos (ver itens A33 e A34); e

(c) determinar meios de selecionar itens para teste que sejam efetivos para atingir os objetivos do procedimento (ver itens A35 e A36).

26. Ao determinar a extensão dos testes de controle, o auditor da organização prestadora de serviços deve considerar assuntos que incluem as características da população a ser testada, como a natureza dos controles, a frequência da aplicação (por exemplo, mensal, diária, um número de vezes por dia) e a taxa de desvio esperada.

Amostragem

27. Quando o auditor da organização prestadora de serviços utiliza amostragem, ele deve (ver itens A35 e A36):

(a) considerar o objetivo do procedimento e as características da população de onde serão extraídos os dados para a determinação da amostra;

(b) determinar o tamanho de amostra suficiente para reduzir o risco de amostragem a um nível apropriadamente baixo;

(c) selecionar itens para a amostra de forma que cada unidade de amostragem na população tenha chance de seleção;

(d) se um procedimento projetado não for aplicável a um item selecionado, executar o procedimento para um item substituto; e

(e) se não conseguir aplicar os procedimentos projetados, ou procedimentos alternativos adequados, a um item selecionado, considerá-lo como um desvio.

Natureza e causa de desvios

28. O auditor da organização prestadora de serviços deve investigar a natureza e a causa de quaisquer desvios identificados e determinar se:

(a) os desvios identificados estão dentro da taxa de desvio esperada e se são aceitáveis; portanto, os testes que foram realizados fornecem base para concluir que o controle está operando de maneira efetiva durante o período especificado;

(b) são necessários testes adicionais de controle ou de outros controles para se concluir se os controles relativos a um objetivo de controle específico estão operando de maneira efetiva durante o período especificado ou (ver item A25);

(c) os testes que foram realizados fornecem base adequada para concluir que o controle não operou de maneira efetiva durante o período especificado.

29. Em circunstâncias extremamente raras em que o auditor da organização prestadora de serviços considera um desvio constatado em amostra como uma anomalia e não existem outros controles identificados que lhe permitam concluir que o respectivo objetivo de controle está operando de maneira efetiva durante o período especificado, o auditor deve obter um alto grau de segurança de que esse desvio não é representativo da população. O auditor da organização prestadora de serviços deve obter esse alto grau de segurança executando procedimentos adicionais para obter evidência apropriada e suficiente de que o desvio não afeta o restante da população.

Função da auditoria interna - item 30 - 37

Esta Norma não trata dos casos em que auditores internos auxiliam diretamente o auditor da organização prestadora de serviços na execução de procedimentos de auditoria.

Obtenção de entendimento sobre a função de auditoria interna

30. Se a organização prestadora de serviços possui a função de auditoria interna, o auditor da organização prestadora de serviços deve obter entendimento sobre a natureza das responsabilidades da função de auditoria interna e das atividades realizadas para determinar se essa função é relevante para o seu trabalho (ver item A37).

Determinação sobre utilização e até que ponto utilizar o trabalho dos auditores internos

31. O auditor da organização prestadora de serviços deve determinar:

(a) se é provável que o trabalho dos auditores internos seja adequado para fins do seu trabalho; e

(b) em caso positivo, o efeito planejado do trabalho dos auditores internos sobre a natureza, época ou extensão dos procedimentos de auditoria que o auditor da organização aplicará.

32. Ao determinar se é provável que o trabalho dos auditores internos seja adequado para fins do seu trabalho, o auditor da organização prestadora de serviços deve avaliar:

(a) a objetividade da função de auditoria interna;

(b)a competência técnica dos auditores internos;

(c) se o trabalho dos auditores internos é executado com o devido zelo profissional; e

(d) se a comunicação é efetiva entre ele e os auditores internos.

33. Ao determinar o efeito planejado do trabalho dos auditores internos sobre a natureza, época ou extensão dos procedimentos do auditor da organização prestadora de serviços, ele deve considerar (ver item A38):

(a) a natureza e o alcance do trabalho específico executado, ou a ser executado, pelos auditores internos;

(b) a importância desse trabalho para as suas conclusões; e

(c) o grau de subjetividade envolvido na avaliação da evidência obtida para suportar essas conclusões.

Utilização do trabalho da auditoria interna

34. Para usar o trabalho específico dos auditores internos, o auditor da organização prestadora de serviços deve avaliar e executar procedimentos sobre esse trabalho para determinar sua adequação para os seus objetivos (ver item A39).

35. Para determinar a adequação do trabalho específico executado pelos auditores internos para os seus objetivos, o auditor da organização prestadora de serviços deve avaliar se:

(a) o trabalho foi executado por auditores internos que possuem treinamento técnico adequado e competência;

(b) o trabalho foi adequadamente supervisionado, revisado e documentado;

(c) foi obtida evidência adequada para permitir que os auditores internos atinjam conclusões razoáveis;

(d) as conclusões alcançadas são adequadas nas circunstâncias e se os relatórios elaborados pelos auditores internos são condizentes com os resultados do trabalho executado; e

(e) exceções relevantes para o trabalho ou assuntos não usuais divulgados pelos auditores internos foram devidamente resolvidos.

Efeito sobre o relatório de asseguração do auditor da organização prestadora de serviços

36. Se o trabalho da auditoria interna foi utilizado, o auditor da organização prestadora de serviços não deve fazer referência a esse trabalho na seção do relatório de asseguração do auditor da organização prestadora de serviços que contém a opinião do auditor (ver item A40).

37. No caso de relatório tipo 2, se o trabalho da auditoria interna foi utilizado na realização dos testes de controle, a parte do relatório de asseguração do auditor da organização prestadora de serviços que descreve os testes de controle realizados e os respectivos resultados deve incluir uma descrição do trabalho dos auditores internos e dos procedimentos que o auditor da organização aplicou com relação a esse trabalho (ver item A41).

Representações formais - item 38 - 40

38. O auditor da organização prestadora de serviços deve solicitar que os responsáveis pela organização forneçam representações formais (ver item A42):

(a) que ratificam a afirmação que acompanha a descrição do sistema;

(b) que ela forneceu todas as informações e acesso acordados (ver item 13(b)(v)); e

(c) que ela divulgou para o seu auditor qualquer um dos assuntos abaixo sobre os quais tem conhecimento:

(i) não cumprimento de leis e regulamentos, fraude ou desvios não corrigidos atribuíveis à organização prestadora de serviços que podem afetar uma ou mais entidades usuárias;

(ii) deficiências no projeto de controles;

(iii) casos em que os controles não operaram conforme descrito; e

(iv) quaisquer eventos subsequentes ao período coberto pela descrição do sistema da organização prestadora de serviços até a data do seu relatório de asseguração, que possam ter efeito significativo sobre esse relatório de asseguração.

39. As representações devem estar na forma de carta de representação endereçada ao auditor da organização prestadora de serviços. A data dessa carta deve ser o mais próximo possível, mas não depois, da data do relatório de asseguração do auditor.

40. Se, apesar de ter discutido o assunto com o seu auditor, a organização prestadora de serviços não fornecer uma ou mais de uma representação por escrito solicitada de acordo com o item 38(a) e (b) desta Norma, o auditor deve abster-se de emitir uma opinião (ver item A43).

Outras informações - item 41 - 42

41. O auditor da organização prestadora de serviços deve ler as outras informações, se houver, incluídas no documento que contém a descrição do sistema da organização prestadora de serviços, para identificar inconsistências relevantes, se houver, com essa descrição. Ao ler as outras informações com a finalidade de identificar inconsistências relevantes, o auditor pode tomar conhecimento de uma aparente distorção de um fato nessas outras informações.

42. Se o auditor tomar conhecimento de uma inconsistência relevante ou uma aparente distorção de um fato nas outras informações, o auditor deve discutir o assunto com a organização prestadora de serviços. Se ele conclui que há uma inconsistência relevante ou distorção de um fato nas outras informações que a organização prestadora de serviços se recusa a corrigir, o auditor deve tomar medidas adicionais apropriadas (ver itens A44 e 45).

Eventos subsequentes - item 43 - 44

43. O auditor da organização prestadora de serviços deve indagar se ela tem conhecimento de quaisquer eventos subsequentes ao período coberto pela descrição do sistema da organização até a data do seu relatório de asseguração que podem ter efeito significativo sobre esse relatório de asseguração. Se o auditor tem conhecimento de algum evento e as informações sobre esse evento não foram divulgadas pela organização prestadora de serviços, o auditor deve divulgá-las no seu relatório de asseguração.

44. O auditor da organização prestadora de serviços não tem obrigação de realizar nenhum procedimento em relação à descrição do sistema da organização prestadora de serviços ou à adequação do projeto ou à efetividade operacional dos controles, após a data do seu relatório de asseguração.

Documentação - item 45 - 52

45. O auditor da organização prestadora de serviços deve elaborar documentação que seja suficiente para permitir que outro auditor experiente, sem nenhuma relação anterior com o trabalho, entenda:

(a) a natureza, a época e a extensão dos procedimentos realizados para atender a esta Norma e os requisitos legais e regulamentares aplicáveis;

(b) os resultados dos procedimentos realizados e a evidência obtida; e

(c) os assuntos significativos que surgem durante o trabalho e as respectivas conclusões alcançadas e os julgamentos profissionais significativos para chegar a essas conclusões.

46. Ao documentar a natureza, a época e a extensão dos procedimentos executados, o auditor da organização prestadora de serviços deve registrar:

(a) as características que identificam os itens ou assuntos específicos a serem testados;

(b) quem executou o trabalho e a data em que esse trabalho foi concluído; e

(c) quem revisou o trabalho executado e a data e a extensão dessa revisão.

47. Se o auditor da organização prestadora de serviços utiliza trabalho específico dos auditores internos, ele deve documentar as conclusões alcançadas com relação à avaliação da adequação do trabalho dos auditores internos e os procedimentos executados pelo auditor da organização executados em relação a esse trabalho.

48. O auditor da organização prestadora de serviços deve documentar as discussões de assuntos significativos com os responsáveis da organização, incluindo a natureza dos assuntos significativos discutidos e quando e com quem ocorreram as discussões.

49. Se o auditor da organização prestadora de serviços identificou informações que não são condizentes com a sua conclusão final com relação a assunto significativo, ele deve documentar como a inconsistência foi tratada.

50. O auditor da organização prestadora de serviços deve montar a documentação em arquivo de trabalho e concluir o processo administrativo de montagem desse arquivo final tempestivamente após a data do seu relatório de asseguração (os itens A54 e A55 da NBC-PA-01 - Controle de Qualidade para Firmas (Pessoas Jurídicas e Físicas) de Auditores Independentes fornece orientação adicional).

51. Depois de concluída a montagem do arquivo de trabalho final, o auditor da organização prestadora de serviços não deve excluir ou descartar a documentação antes do final do período de retenção (ver item A46).

52. Se o auditor da organização prestadora de serviços entende ser necessário modificar a documentação existente do trabalho ou adicionar nova documentação depois de concluída a montagem do arquivo final e essa documentação não afeta o seu relatório, ele deve, independentemente da natureza das modificações ou adições, documentar:

(a) as razões específicas das modificações ou adições; e

(b) quando e por quem elas foram feitas e revisadas.

Elaboração do relatório de asseguração do auditor do serviço - item 53 - 55

Conteúdo do relatório de asseguração do auditor da organização prestadora de serviços

53. O relatório de asseguração do auditor da organização prestadora de serviços deve incluir os seguintes elementos básicos (ver item A47):

(a) título que indica claramente que o relatório é um relatório de asseguração do auditor independente;

(b) destinatário;

(c) identificação:

(i) da descrição do sistema da organização prestadora de serviços e da afirmação dessa organização, que inclui os assuntos descritos nas definições (item 9) de relatório sobre a descrição, o projeto e a efetividade operacional dos controles (alínea (b)) para relatório tipo 2, ou de relatório sobre a descrição e o projeto de controles (alínea (b)) para relatório tipo 1;

(ii) das partes da descrição do sistema da organização prestadora de serviços, se houver, que não estão cobertas pela sua opinião;

(iii) se a descrição se refere à necessidade de controles complementares da entidade usuária, uma declaração de que o auditor da organização prestadora de serviços não avaliou a adequação do projeto ou a efetividade operacional dos controles complementares da entidade usuária, e que os objetivos de controle especificados na descrição do sistema da organização podem ser alcançados somente se os controles complementares da entidade usuária forem adequadamente projetados ou estiverem operando de maneira efetiva, juntamente com os controles da organização prestadora de serviços;

(iv) se os serviços são prestados por organização subcontratada, a natureza das atividades realizadas pela organização subcontratada conforme descrito na descrição do sistema da organização prestadora de serviços e se foi utilizado o método de inclusão ou o método de desmembramento (carve out) em relação a eles. No caso de ter sido utilizado o método de desmembramento, uma declaração que a descrição do sistema da organização prestadora de serviços exclui os objetivos de controle e os respectivos controles das organizações subcontratadas para prestação de serviços relevantes, que os procedimentos do auditor não se estendem a controles da organização subcontratada. No caso de ter sido usado o método de inclusão, uma declaração que a descrição do sistema da organização prestadora de serviços inclui os objetivos de controle e os respectivos controles da organização subcontratada e que os procedimentos de auditoria se estendem aos controles da organização subcontratada;

(d) identificação dos critérios e da parte que está especificando os objetivos de controle;

(e) declaração de que o relatório e, no caso de relatório tipo 2, a descrição dos testes de controle são destinados apenas para as entidades usuárias e seus auditores, que têm entendimento suficiente para considerá-los juntamente com outras informações, incluindo informações sobre controles operados pelas próprias entidades usuárias na avaliação dos riscos de distorções relevantes nas demonstrações contábeis de entidade usuárias (ver item A48);

(f) declaração de que a organização prestadora de serviços é responsável:

(i) pela preparação da descrição de seu sistema e da afirmação, incluindo a integridade, a precisão e o método de apresentação dessa descrição e afirmação;

(ii) pela prestação dos serviços cobertos pela descrição de seu sistema;

(iii) por especificar os objetivos de controle (quando não identificados por lei ou regulamento, ou outra parte, por exemplo, grupo usuário ou órgão profissional); e

(iv) pelo projeto e pela implementação de controles para alcançar os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços;

(g) declaração de que a responsabilidade do auditor da organização prestadora de serviços é expressar uma opinião sobre a descrição do sistema da organização prestadora de serviços, sobre o projeto dos controles relacionados com os objetivos de controle especificados nessa descrição e, no caso de relatório tipo 2, sobre a efetividade operacional desses controles, com base nos procedimentos de auditoria;

(h) declaração de que o trabalho foi executado de acordo com esta Norma, que requer que o auditor da organização prestadora de serviços cumpra as exigências éticas, planeje e execute procedimentos para obter segurança razoável sobre se, em todos os aspectos relevantes, a descrição do sistema da organização prestadora de serviços está adequadamente apresentada e os controles estão adequadamente projetados e, no caso de relatório tipo 2, estão operando de maneira efetiva;

(i) resumo dos procedimentos de auditoria para obter segurança razoável e uma declaração de que o auditor acredita que a evidência obtida é suficiente e apropriada para fundamentar a sua opinião e, no caso de relatório tipo 1, uma declaração de que o auditor não executou nenhum procedimento em relação à efetividade operacional dos controles e, portanto, não é expressa nenhuma opinião sobre isso;

(j) declaração das limitações dos controles e, no caso de relatório tipo 2, do risco de projetar para períodos futuros qualquer avaliação da efetividade operacional dos controles;

(k)opinião, expressa na forma positiva, sobre se, em todos os aspectos relevantes, com base em critérios adequados:

(i) no caso de relatório tipo 2:

a. a descrição apresenta adequadamente o sistema da organização prestadora de serviços que foi projetado e implementado durante o período especificado;

b. os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados durante o período especificado; e

c. os controles testados, que foram aqueles necessários para fornecer segurança razoável de que os objetivos de controle especificados na descrição foram alcançados, operaram de maneira efetiva durante o período especificado;

(ii) no caso de relatório tipo 1:

a. a descrição apresenta adequadamente o sistema da organização prestadora de serviços que foi projetado e implementado na data especificada;

b. os controles relacionados com os objetivos de controle especificados na descrição do sistema da organização prestadora de serviços foram adequadamente projetados na data especificada;

(l) data do relatório de asseguração, que não pode ter data anterior à data em que o auditor da organização prestadora de serviços obteve evidência apropriada e suficiente para servir de base para sua opinião;

(m) identificação do auditor (firma e sócio ou responsável técnico, conforme aplicável), números de registro no CRC e a localidade (escritório) em que o relatório foi emitido e assinatura.

54. No caso de relatório tipo 2, o relatório de asseguração do auditor da organização prestadora de serviços deve incluir uma seção separada após a opinião, ou um anexo, que descreva os testes de controle que foram realizados e os resultados desses testes. Na descrição dos testes de controle, o auditor deve especificar claramente quais controles foram testados, identificar se os itens testados representam todos ou uma seleção dos itens na população, e indicar a natureza dos testes em detalhes suficientes para permitir que os auditores de entidades usuárias determinem o efeito desses testes sobre suas avaliações de risco. No caso de terem sido identificados desvios, o auditor deve incluir a extensão dos testes realizados que levaram à identificação dos desvios (incluindo o tamanho da amostra em que a amostragem foi utilizada) e o número e a natureza dos desvios observados. O auditor deve informar desvios mesmo se, com base nos testes realizados, ele tiver concluído que o respectivo objetivo de controle foi alcançado (ver itens A18 e A49).

Opinião modificada

55. Se o auditor da organização prestadora de serviços concluir que (ver itens A50 e A52):

(a) a descrição da organização prestadora de serviços não apresenta adequadamente, em todos os aspectos relevantes, o seu sistema conforme projetado e implementado;

(b) os controles relacionados com os objetivos de controle especificados na descrição não foram adequadamente projetados, em todos os aspectos relevantes;

(c) no caso de relatório tipo 2, os controles testados, que foram aqueles necessários para fornecer segurança razoável de que os objetivos de controle especificados na descrição do sistema da organização foram alcançados, não operaram de maneira efetiva, em todos os aspectos relevantes; ou

(d) o auditor não consegue obter evidência apropriada e suficiente, sua opinião deve ser modificada e o seu relatório de asseguração deve conter descrição clara de todas as razões para a modificação.

Outras responsabilidades de comunicação - item 56

56. Se o auditor da organização prestadora de serviços tomar conhecimento de não cumprimento de leis e regulamentos, fraude ou erros não corrigidos atribuíveis à organização prestadora de serviços que não são claramente insignificantes e podem afetar uma ou mais entidades usuárias, ele deve determinar se o assunto foi adequadamente comunicado às entidades usuárias afetadas. Se o assunto não foi comunicado adequadamente e a organização prestadora de serviços não quer fazê-lo, o auditor deve tomar as medidas apropriadas (ver item A53).