Amostragem em auditoria de contratos de TI com população heterogênea
Uma equipe de auditoria do controle externo examina 1.240 contratos de serviços de TI firmados por um órgão federal ao longo de quatro anos. O objetivo é estimar a proporção de contratos com cláusulas de nível de serviço (SLA) incompletas. A equipe dispõe de 18 dias de campo e de três auditores. Os contratos variam de R$ 8 mil a R$ 42 milhões; 61 deles concentram 87% do valor total e possuem anexos técnicos extensos. O sistema de gestão contratual exporta uma planilha com data de assinatura, valor, unidade gestora e fornecedor, mas não indica se o SLA está completo. A equipe considera duas alternativas: (a) selecionar 60 contratos por amostragem aleatória simples sobre os 1.240; (b) estratificar em dois grupos - os 61 contratos de maior valor e os demais - e examinar integralmente o primeiro grupo e uma amostra do segundo. O coordenador pressiona por resultados rápidos e sugere começar pelos contratos mais recentes, por serem de acesso mais fácil.
1. Qual estratégia de amostragem a equipe deve adotar diante do objetivo declarado e das restrições de prazo? Justifique com base em risco de auditoria e representatividade.
Read the worked answer
A estratificação é a escolha adequada, mas com uma correção importante: examinar integralmente os 61 contratos de maior valor não é amostragem, é censo de um estrato, e isso é defensável porque esses contratos concentram 87% do valor e o risco de distorção material é maior neles. Para o segundo estrato, deve-se usar seleção aleatória com tamanho calculado, e não conveniência.
A amostragem aleatória simples de 60 contratos ignoraria a concentração de valor: um erro relevante em um contrato de R$ 42 milhões pesaria pouco na estimativa de proporção, embora seja materialmente decisivo. Além disso, o objetivo é estimar proporção de SLA incompleto, e a heterogeneidade dos anexos técnicos sugere que a falha não é aleatória em relação ao valor - contratos grandes tendem a ter SLAs mais complexos e potencialmente mais lacunas.
Começar pelos mais recentes introduz viés de seleção: a facilidade de acesso não é critério probabilístico e impede generalização. O prazo de 18 dias com três auditores é compatível com o censo de 61 contratos se o exame for documental e padronizado por checklist, reservando a amostra do segundo estrato para verificação complementar. A conclusão deve declarar que os achados do estrato de maior valor são conclusivos para aquele estrato e que a estimativa para o universo depende da amostra probabilística do segundo estrato.
2. O órgão afirma que a planilha exportada é suficiente como evidência de que os SLAs estão completos, pois foi gerada pelo sistema oficial. Como a equipe deve tratar essa afirmação?
Read the worked answer
A afirmação confunde existência do registro com suficiência de evidência. A planilha comprova data, valor, unidade e fornecedor, mas não contém o atributo auditado - a completude do SLA. Portanto, não é evidência do critério, apenas evidência de identificação da população.
A equipe deve obter os instrumentos contratuais e seus anexos e aplicar critério predefinido, por exemplo: existência de indicadores mensuráveis, metas, metodologia de medição, sanção por descumprimento e responsável pelo acompanhamento. Cada item deve ser registrado em papel de trabalho com referência ao documento examinado.
Se o sistema oficial for usado como fonte, a equipe precisa testar sua confiabilidade: verificar se há controle de acesso, trilha de auditoria, versionamento dos anexos e conciliação entre o cadastro e o contrato assinado. Sem esse teste, a evidência é apenas indireta. O achado deve distinguir falha de controle interno (sistema que não armazena o atributo) de falha contratual (SLA incompleto), pois as recomendações são diferentes: uma pede melhoria do sistema, a outra pede revisão de cláusulas e repactuação.