Amostragem em testes de controle: tamanho, seleção e reexecução

Testar a efetividade de um controle quase sempre significa testar uma parte das ocorrências. A amostragem é o que permite tirar uma conclusão sobre o ano inteiro olhando para 25, 40 ou 60 itens. Ela também é um dos pontos mais questionados na revisão do trabalho: por que esse tamanho, como os itens foram escolhidos e se outra pessoa chegaria à mesma seleção.

Este guia responde a essas três perguntas com base nas Normas Globais de Auditoria Interna do IIA, na NBC TA 530 do Conselho Federal de Contabilidade e na AS 2315 do PCAOB.

O que as normas pedem

• Informação suficiente, confiável e relevante. A Norma 14.1 das Normas Globais pede esses três atributos e define suficiente como a informação que permite a uma pessoa prudente, informada e competente repetir o programa de trabalho e chegar às mesmas conclusões. Muito material ainda cita "suficiente, confiável, relevante e útil": essa lista era da antiga Norma 2310, substituída em 2025.
• Amostra o mais representativa possível. As considerações da Norma 14.1 pedem que o auditor avalie testar a população inteira ou uma amostra representativa.
• Método escrito no programa de trabalho. Pela Norma 13.6, quando há amostragem o programa registra a metodologia, a população, o tamanho da amostra e se o resultado pode ser projetado para a população.
• Documentação que permite repetir o trabalho. A Norma 14.6 pede que outra pessoa consiga repetir o trabalho e obter os mesmos resultados, e lista entre os elementos do papel de trabalho a descrição da população, o tamanho da amostra e o método de seleção.
• Definições e métodos. A NBC TA 530 traz o vocabulário em português e os métodos de seleção. A AS 2315 do PCAOB é a referência mais usada para testes de controle em empresas com obrigações nos Estados Unidos.

Amostra ou população inteira

Antes de calcular uma amostra, vale perguntar se ela é necessária. Quando os dados estão num sistema e a regra do controle pode ser verificada por consulta, testar 100% da população costuma ser mais rápido e mais conclusivo. A amostragem faz sentido quando a verificação exige olhar documento por documento: uma aprovação assinada, uma conciliação revisada, um contrato conferido.

Controles automatizados são um caso à parte (veja a seção própria mais abaixo).

Cinco conceitos que precisam estar claros

• População: o conjunto completo de ocorrências do controle no período. A amostra só representa a população se a população estiver completa.
• Taxa tolerável de desvio: a taxa máxima de falhas que você aceita e ainda conclui que o controle funciona. É uma decisão de julgamento, tomada antes do teste.
• Risco de amostragem: a chance de a amostra levar a uma conclusão diferente da que o teste da população inteira levaria. Em teste de controles há dois lados (AS 2315, itens 12 a 14): concluir que o controle funciona quando não funciona, que é o risco grave, e concluir que não funciona quando funciona, que só custa trabalho a mais.
• Desvio: uma ocorrência em que o controle não foi executado como desenhado.
• Item não testável: se a evidência de um item selecionado não existe, ele conta como desvio (NBC TA 530, item 11; AS 2315, item 40). Trocar o item por outro esconde o problema.

Quanto testar

Na prática de mercado, o tamanho da amostra para testes de efetividade operacional de controles manuais costuma seguir a frequência do controle. As faixas mais comuns:

• Anual: 1 ocorrência.
• Trimestral: 2.
• Mensal: 2 a 5.
• Semanal: 5 a 15.
• Diário: 20 a 40.
• Várias vezes ao dia: 25 a 60.

As fontes concordam nos três primeiros e divergem nos demais. Um artigo da Wolters Kluwer, por exemplo, descreve como tradicional 8 itens para controles semanais e 30 para diários.

O que a tabela não mostra é o que cada tamanho sustenta. Pelas tabelas de avaliação de amostragem por atributos do AICPA, reproduzidas em material didático, com 95% de confiança e nenhum desvio encontrado:

• 25 itens sustentam uma taxa de desvio de até cerca de 11,3%;
• 60 itens sustentam até cerca de 4,9%.

Pela conta binomial, a menor amostra que sustenta 5% de taxa tolerável com 95% de confiança e zero desvio é de 59 itens. A própria AS 2315 usa um exemplo nessa linha (item 41): com 5% de taxa tolerável, 60 itens e nenhum desvio, o risco de amostragem é aceitável; com dois ou mais desvios, não é.

Escolher 25 itens é aceitar, implicitamente, uma taxa tolerável perto de 11%. Para controles críticos, vale decidir isso de forma explícita.

Como selecionar os itens

A NBC TA 530 (Apêndice 4) descreve os métodos de seleção:

• Aleatória: cada item tem a mesma chance, com uso de gerador de números aleatórios. É a base da amostragem estatística.
• Sistemática: divide a população pelo tamanho da amostra para achar o intervalo e escolhe um ponto de partida. A AS 2315 aceita como seleção aleatória quando o ponto de partida é sorteado. Cuidado com populações que têm padrão (por exemplo, lançamentos que se repetem a cada sexta-feira), que podem coincidir com o intervalo.
• Ao acaso: o auditor escolhe sem seguir um critério consciente. A norma alerta que não é apropriada para amostragem estatística, e é a mais difícil de defender numa revisão.
• Por bloco: um conjunto contínuo de itens, como todas as ocorrências de uma semana. Raramente é apropriada, porque não representa o resto do período.

Antes de sortear, confira a população: quantidade de itens e, quando houver valor, a soma, comparadas com a fonte oficial. Uma amostra perfeita de uma população incompleta não sustenta conclusão nenhuma.

Seleção reproduzível: a reexecução da amostra

O termo reexecução aparece em dois sentidos, e vale separá-los:

• Reexecução do controle: o auditor executa de novo, de forma independente, o procedimento que o controle deveria ter feito, como refazer uma conciliação. É o sentido da NBC TA 500 (item A20) e da AS 2201 (item 45).
• Reexecução da seleção: o revisor refaz o sorteio e precisa chegar aos mesmos itens. É a forma prática de atender à Norma 14.6, que pede documentação que permita repetir o trabalho com os mesmos resultados.

Para a seleção ser reproduzível, o gerador precisa aceitar uma semente: um número que, informado de novo, produz exatamente a mesma sequência. A função ALEATÓRIO() do Excel não serve para isso: ela não aceita semente e gera um número novo a cada recálculo da planilha, como a própria documentação da Microsoft informa. Uma amostra tirada assim muda na próxima vez que alguém abrir o arquivo.

Nenhuma norma exige semente, ferramenta e versão por escrito. Registrar esses dados é a boa prática que torna a Norma 14.6 verificável.

Quando aparece um desvio

Um desvio não encerra o teste. O caminho, pela NBC TA 530 (itens 12 e A23) e pela AS 2315 (itens 42 e 43):

1. Investigue a causa e a natureza do desvio. Um erro isolado de digitação é diferente de uma aprovação feita por quem não tinha alçada.
2. Avalie se o desvio pode indicar fraude ou falha no desenho do controle. Nesse caso, a conclusão vem pela natureza do desvio, independentemente da taxa.
3. Escolha o próximo passo: ampliar a amostra, testar um controle alternativo que trate o mesmo risco ou ajustar os procedimentos substantivos.
4. Conclua. A AS 2201 (item 48) admite que um controle seja efetivo mesmo com algum desvio, desde que a taxa fique dentro do tolerável. Para concluir pela inefetividade, a mesma norma (item 47) reconhece que é preciso menos evidência.

Registre a decisão e o motivo. Ampliar a amostra até o desvio "sumir" na proporção, sem analisar a causa, é o que a revisão costuma questionar.

Controles automatizados

Um controle automatizado executa a mesma regra toda vez. Se os controles gerais de tecnologia (acesso, gestão de mudanças, operação) forem efetivos, testar uma ocorrência pode bastar, como admitem a AS 2201 (itens 47, B28 e B29) e a NBC TA 330 (item A29). Nos anos seguintes, a AS 2201 permite o chamado benchmarking: confirmar que a regra não mudou, em vez de retestar.

O ponto de atenção é a premissa. Se os controles de mudança falharam no período, ninguém garante que a regra testada em janeiro é a mesma que rodou em novembro.

O que documentar

• Controle testado, objetivo e risco.
• Período e descrição da população, com a fonte, a quantidade de itens e o total conferido.
• Taxa tolerável de desvio e nível de confiança adotados, ou a regra de mercado usada e o motivo.
• Tamanho da amostra e método de seleção.
• Semente, ferramenta e versão usadas no sorteio, e a data.
• Lista dos itens selecionados, com a evidência de cada um.
• Desvios encontrados, análise da causa e decisão tomada.
• Conclusão sobre a efetividade do controle.

Próxima etapa

Estamos preparando uma planilha de apoio para este guia: sorteio com semente, que qualquer revisor consegue reexecutar, e a tabela de tamanho de amostra por frequência e por taxa tolerável. Ela será publicada aqui na Central de Recursos.