PORTARIA CISET-MD N° 734, de 5 de fevereiro de 2026
O SECRETÁRIO DE CONTROLE INTERNO DO MINISTÉRIO DA DEFESA, no uso das atribuições que lhe confere o art. 71 do Anexo I do Decreto nº 11.337, de 1º de janeiro de 2023, tendo em vista o disposto na Portaria SFC/CGU nº 1.055, de 30 de abril de 2020, e na Instrução Normativa SFC/CGU nº 5, de 19 de agosto de 2021, e de acordo com o que consta do Processo Administrativo nº 60103.000005/2026-53, resolve:
Art. 1º A Portaria COSEA/CISET-MD nº 511, de 28 de janeiro de 2025, passa a vigorar com as seguintes alterações:
"Art. 2º-A Fica aprovado o Manual de Elaboração do Plano Anual de Auditoria Interna - PAINT no âmbito da Secretaria de Controle Interno do Ministério da Defesa, na forma do Anexo.
Parágrafo único. O Manual de Elaboração do PAINT de que trata o caput e suas atualizações, serão disponibilizados na página eletrônica do Ministério da Defesa (https://www.gov.br/defesa/pt-br) e na intranet e divulgadas diretamente aos agentes públicos que integram a estrutura organizacional da Secretaria de Controle Interno do Ministério da Defesa." (NR)
Art. 2º Esta Portaria entra em vigor na data de sua publicação.
Maj Brig Int GILSON ALVES DE ALMEIDA JÚNIOR
ANEXO
MANUAL DE ELABORAÇÃO DO PLANO ANUAL DE AUDITORIA INTERNA - PAINT
1\. Introdução
1.1\. Trata o Manual sobre os procedimentos internos a serem observados na elaboração do Plano Anual de Auditoria Interna - PAINT no âmbito da Secretaria de Controle Interno do Ministério da Defesa - CISET-MD, em conformidade com as diretrizes contidas na Orientação Prática: Plano de auditoria interna baseado em riscos aprovada pela Portaria SFC/CGU nº 1.055, de 30 de abril de 2020, da Secretaria Federal de Controle Interno da Controladoria-Geral da União.
1.2\. Um Plano de Auditoria Interna baseado em riscos alinha-se ainda ao Planejamento Estratégico da CISET-MD uma vez que uma evolução do modelo de maturidade IA-CM para o Nível III prevê a institucionalização do KPA 3.6 - Plano de Auditoria baseado em riscos.
Informações do ato
Seção
Seção 1
Edição
28
Página
16
Órgão
Ministério da Defesa
Unidade
Secretaria de Controle Interno
Número do ato
734
Disponibilidade da fonte
Coleção
Diário Oficial da União — atos normativos (Seção 1)
Histórico desde
03/11/2025
Última verificação
06/10/2026 às 02:02
Limitações
O Atlas guarda o DOU a partir de 3 de novembro de 2025; atos anteriores não estão nesta coleção.
Somente a Seção 1 e somente os tipos de ato normativo listados; despachos, extratos, editais e atos de pessoal ficam de fora.
Um ato cujo texto integral não foi coletado aparece com o texto indisponível; o link oficial continua valendo.
Datas de publicação no fuso de Brasília; a data de publicação não é a data de vigência.
Identificador no Atlas: dou:87736 · na fonte: portaria-ciset-md-n-734-de-5-de-fevereiro-de-2026-686268028 · lido pelo Atlas em 06/10/2026 às 04:00.
1.3\. O Manual tem por objetivo principal servir de referência para os integrantes da CISET-MD como maneira de padronizar procedimentos, alcançando assim maior eficiência no planejamento realizado para os trabalhos de auditoria da Unidade de Auditoria Interna Governamental - UAIG, cujo propósito visa sempre aumentar e proteger o valor organizacional do Ministério da Defesa, proporcionando assim a melhoria dos processos de governança, gerenciamento de riscos e de controles internos.
1.4\. Considerando ainda as funções de supervisão e orientação técnica da CISET-MD perante os Centros de Controle Interno das Forças Armadas, o Documento deverá ser utilizando como referência para a elaboração do PAINT a ser apresentado pelos Centros de Controle para avaliação pela CISET-MD.
2\. Visão Geral - MACROPROCESSOS
2.1\. Cabe destacar que o foco do presente documento será o Plano Operacional, ficando o planejamento dos trabalhos individuais reservado à fase que antecede a execução das atividades de auditoria inseridas no Plano Operacional.
2.2\. Percebe-se que, do diagrama abaixo, antes dos procedimentos específicos relacionados ao macroprocesso de Elaboração do Plano Operacional, propriamente dito, existem macroprocessos de preparação que demandam um entendimento do ambiente externo e interno no qual o Ministério da Defesa encontra-se inserido, o que subsidiará as condições adequadas para uma definição do universo de auditoria da Unidade, cuja base será utilizada para a escolha das atividades de auditoria a serem realizadas, e posteriormente a avaliação da maturidade da gestão de riscos, que ajudará a decidir a metodologia de riscos aplicada na seleção dos objetos de auditoria.
3.1\. Entender o propósito da Unidade, a finalidade para a qual ela existe, assim como onde ela quer chegar ou como ela pretende ser reconhecida perante seu público-alvo torna-se uma etapa fundamental para entender os objetivos dos principais processos de negócio da Organização e direcionar o olhar para possíveis riscos internos ou externos e eventuais pontos de controle.
3.2\. Como fontes de informações sobre a missão e visão da Unidade pode-se utilizar documentos estruturantes como: Política Nacional de Defesa - PND; a Estratégia Nacional de Defesa - END; Planejamento Estratégico Setorial de Defesa - PESD; Plano Plurianual - PPA; o Planejamento Estratégico Organizacional - PEO; assim como os Relatórios de Gestão publicados recentemente.
3.3\. Consultada as fontes anteriormente mencionadas, informações adicionais podem ser adquiridas junto aos demais stakeholders dos processos: alta Administração, conselhos de governança, funções de segunda linha etc.
3.4\. A comunicação informal também poderá ser utilizada como fonte de informações, considerando que eventualmente conhecimentos tácitos não estão transformados em conhecimentos explícitos por meio de normas ou regulamentos. Para tanto, o acompanhamento, pelos auditores, da execução dos procedimentos da Unidade pode ser uma boa prática como fonte de informações.
3.5\. Como resultado, espera-se que o entendimento do contexto da unidade possibilite levantar informações sobre a estrutura organizacional com as principais atividades de segunda linha, base legal vigente, a finalidade clara da organização, eventuais ameaças externas ou fraquezas internas que podem interferir no atingimento dos objetivos da organização, os principais stakeholders e como se relacionam com a Organização, que quando consolidadas devem ser capazes de responder as seguintes questões:
3.5.1\. Qual é o objetivo da atuação governamental ou qual é o motivo de existência da Organização?
3.5.2\. Como está estruturado o processo de funcionamento da organização, incluindo informações sobre organograma, atores envolvidos, objetivos estratégicos etc.?
3.5.3\. Quais são os resultados entregues para o atingimento do objetivo institucional, as medidas de desempenho implementadas e os resultados alcançados ao longo do tempo?
3.5.4\. Como a Unidade monitora o desempenho de sua gestão e com que frequência o faz?
3.5.5\. A Unidade define formalmente as funções, as competências e as responsabilidades de suas estruturas e de seus arranjos institucionais?
3.5.6\. A Unidade mantém, monitora e revisa seu processo de gestão de riscos?
3.6\. Todas as informações coletadas serão registradas pela equipe de auditoria, conforme modelo contido no ANEXO I (https://repositorio.cgu.gov.br/handle/1/44964) da Orientação Prática: Plano de auditoria interna baseado em riscos, da Controladoria-Geral da União, e devidamente validadas pelo Chefe da Secretaria de Controle Interno do Ministério da Defesa (https://repositorio.cgu.gov.br/handle/1/44964).
3.7\. A figura a seguir representa o fluxo relacionado ao macroprocesso de entendimento de contexto da unidade.
4.1\. O Universo de Auditoria pode envolver qualquer tópico, assunto, projeto, departamento, processo ou área que possa justificar um trabalho de auditoria devido a identificação de algum risco.
4.2\. De início, orienta-se que o universo de auditoria seja formado pelos processos de negócio, que representam a atuação cotidiana das instituições, por estarem diretamente relacionados com os riscos e com os controles implementados pela Organização. A impossibilidade de utilização dos processos de negócio para a composição do universo de auditoria deve ser devidamente justificada, possibilitando uma definição clara dos objetos escolhidos para compor o universo.
4.3\. Realizada a definição de como os objetos de auditoria seriam definidos para constituir o universo de auditoria, sempre pensando na vinculação entre os objetivos organizacionais e iniciativas estratégicas e considerando que um universo de auditoria bem organizado possibilita uma melhor avaliação de riscos e por consequência um plano de auditoria interna mais útil e valioso para a organização, faz-se necessário que se execute os procedimentos de documentação de cada objeto, em consonância com o anexo II (https://repositorio.cgu.gov.br/handle/1/44978) da Orientação Prática CGU - Planejamento Baseado em Riscos, englobando informações sobre os objetivos, atividades relacionadas, marco regulatório, arranjos orçamentários, financeiros, de pessoal, infraestrutura tecnológica, etc.
4.4\. Uma vez finalizado o universo de auditoria, a autoridade máxima da CISET-MD avalia o rol de objetos auditáveis, que após aprovado pode ser registrado no sistema de gestão das atividades da auditora.
4.5\. Eventuais atualizações podem ser realizadas diante da necessidade de incorporar mudanças internas e externas que venham a introduzir novos riscos ou modificar a avaliação de riscos já mapeados. Sugere-se ainda que a revisitação ao universo de auditoria esteja alinhada com o Planejamento Estratégico Organizacional da Unidade Auditada, devendo ser realizado no período mínimo de 4 anos.
5.1\. A definição da base a ser utilizada na elaboração de um plano de auditoria com base em riscos faz-se essencial para a seleção de objetos que apresentam maiores vulnerabilidades e que precisam de uma ação mais eficaz da auditoria interna.
5.2\. Antes, porém, de se definir a base de riscos, a unidade de auditoria interna precisa realizar uma avaliação da maturidade da gestão de riscos do contexto em estudo. Será por meio dessa avaliação que a base de avaliação dos riscos será definida no processo de escolha dos objetos a serem auditados.
5.3\. Para a avaliação dessa maturidade utiliza-se a planilha modelo Anexo III (https://repositorio.cgu.gov.br/handle/1/44987), em conformidade com a Orientação Prática CGU: Plano de auditoria interna baseado em riscos, possibilitando uma avaliação sobre a existência de objetivos e metas da Organização; a estrutura de governança de riscos e controles; bem como internalização e efetiva execução de ações relacionadas aos processos de identificação, avaliação, documentação, resposta e comunicação dos resultados como ferramenta de apoio à tomada de decisão.
5.4\. Ao concluir por um nível de maturidade de gestão de riscos classificado com aprimorado ou avançado, a unidade de auditoria interna ainda precisa avaliar se o levantamento de riscos realizado pela gestão pode ser considerado confiável, de maneira a possibilitar a utilização desses riscos mapeados na definição do objeto de auditoria.
5.5\. Tal confiabilidade pode ser avaliada por meio de procedimentos de revisão documental envolvendo a política de gestão de riscos, a metodologia adotada e atas de reuniões do Comitê de Gestão de Riscos. Verificar ainda se o monitoramento da gestão de riscos ocorre com a frequência definida na metodologia da unidade, assim como avaliar por meio de amostragem se definições quanto a probabilidade, impacto, causas e controles estão devidamente evidenciados.
5.6\. Diante de fragilidades no cadastro de riscos apresentados pela gestão da unidade, a Unidade de Auditoria Interna poderá realizar sua própria avaliação de riscos, para utilização como objeto de auditoria.
5.7\. Não havendo ainda um levantamento dos riscos pela unidade de auditoria, a base de riscos a ser utilizada pode ser a de fatores de riscos, lembrando que fatores de riscos não são os próprios riscos, mas condições que estão associadas a uma maior probabilidade de materialização dos riscos, como por exemplo: volume de recursos abrangidos pelo objeto de auditoria; tempo sem atuação do Controle Interno; quantidade de atuações do Controle Externo; interesse da atuação do Controle Interno pelo gestor; identificação de riscos relevantes pelo Controle Interno; etc. Eventualmente, alguns fatores podem ser mais significativos que outros, o que pode justificar a definição de parâmetros de ponderação específicos. Assim, o somatório das classificações leva a uma agregação única, risco total, dos fatores de riscos para cada unidade auditável, fornecendo uma base para comparação e priorização dos trabalhos da auditoria interna.
5.8\. Todos esses parâmetros devem estar devidamente documentados na Metodologia de Planejamento baseado em Riscos a ser apresentada juntamente com o PAINT a ser elaborado.
6.1\. Definido o Universo de Auditoria e a metodologia a ser utilizada no processo de hierarquização dos objetos a serem auditados, faz-se necessário definir a capacidade operacional da Unidade de Auditoria Interna para então obter-se a quantidade de homens-hora disponíveis para a execução das atividades a serem executadas pela UAIG.
6.2\. A capacidade operacional deve estar atualizada no perfil da unidade correspondente à tarefa no e-CGU.
6.3\. Para o cálculo dos homens-hora (hh) disponíveis correspondente ao total de horas anuais, considera-se 12 meses com 22 dias úteis e 8 horas por dia, descontadas as férias obrigatórias e os feriados em dias úteis previstos para o exercício planejado. Para o caso específico de militares que atuam nas unidades de auditoria, podem ser descontadas as horas relacionadas às atividades inerentes de militares relativas à cada Força Singular (Exército, Marinha e Aeronáutica).
6.4\. Por orientação da CGU deve-se ainda considerar um mínimo de 40 hh de capacitação anual para cada componente da capacidade operacional envolvido nas atividades a serem executadas pela UAIG.
6.5\. As horas operacionais disponíveis devem ser alocadas nas seguintes categorias:
6.5.1\. Serviços de Auditoria: Atividades de Avaliação, Consultoria ou Apuração com as respectivas reservas técnicas, assim como as atividades abrangidas pelas auditorias contínuas, como as atividades relacionadas ao acompanhamento dos alertas do sistema ALICE. As atividades de monitoramento das recomendações envolvendo trabalhos do TCU, CGU e da própria unidade de auditoria interna devem ser também inseridas na categoria. Importante destacar que, apesar de não existir um percentual exigido para a alocação da quantidade de horas disponíveis na categoria de serviços de auditoria, deve-se tentar manter um mínimo de 60%, considerando que a categoria envolve as atividades finalísticas da UAIG e que é por meio dela que se pode realmente agregar valor à Instituição;
6.5.2\. Gestão Interna da UAIG: Envolve atividades relacionadas tanto a serviços de apoio administrativo, gestão documental, como a atividades relativas à gestão estratégica, envolvendo elaboração de planejamento estratégico, planejamento operacional (PAINT/RAINT), regimentos internos, estatutos etc.;
6.5.3\. Gestão e Melhoria da Qualidade: categoria utilizada para unidades que já possuem um Programa de Gestão de Melhoria da Qualidade (PGMQ) formalmente instituído, agrupando assim ações com foco na melhoria contínua da auditoria interna, envolvendo avaliações internas de qualidade, melhoria de processos, elaboração de normativos com foco em qualidade etc.;
6.5.4\. Levantamento de Informações para Órgãos de Controle: categoria relacionada a atividades envolvendo a in terlocução da unidade com órgãos de controle interno e externo: CGU, TCU, MPF; e etc.;
6.5.5\. Outros: categoria eventualmente utilizada para atividades que não se enquadram nas categorias anteriormente previstas.
6.6\. Definidas as quantidades de hh disponíveis para a realização dos serviços de auditoria, promove-se a seleção dos objetos de auditoria com base na metodologia aplicada para o planejamento baseado em riscos.
6.7\. Importante destacar que a seleção dos objetos de auditoria deve considerar também eventuais serviços de avaliação e consultoria demandados pela alta administração e que não aparecerem necessariamente entre as principais prioridades identificadas na avaliação de riscos. Caso essas demandas não ocorram de maneira espontânea por parte da gestão, a unidade de auditoria pode provocar a alta administração sobre a percepção dos riscos existentes, assim como sobre eventual processo, programa ou projeto que justificaria um trabalho específico de auditoria. A inclusão dessas solicitações deve estar alinhada com a finalidade de agregar valor à instituição, melhorando assim o gerenciamento de riscos e as operações da organização.
6.8\. A minuta do PAINT contendo as informações em consonância com a Instrução Normativa SFC/CGU nº 5, de 19 de agosto de 2021, será encaminhada para avaliação e validação do titular da Unidade de Controle Interno.
6.9\. A Minuta aprovada na CISET-MD será encaminhada para a avaliação da Controladoria-Geral da União por meio do sistema e-CGU. Retornado da CGU, o documento sofrerá as adequações eventualmente propostas e será enviado para a aprovação do Ministro de Estado da Defesa.
6.10\. Uma vez aprovada pela autoridade máxima, a versão final será disponibilizada novamente para a CGU pelo sistema e-CGU para conhecimento, acompanhamento e publicação no site da Instituição.
6.11 Por fim, há que se considerar que o PAINT está sujeito a premissas, restrições e a seus próprios riscos associados. A unidade de Auditoria interna deve assim realizar um mapeamento claro dessas questões promovendo revisões ou alterações necessárias no planejamento inicialmente realizado diante de eventuais situações imprevistas. As alterações realizadas no planejamento advindas de mudanças nas premissas, identificação de novas restrições ou concretização de riscos associados devem ser comunicadas à autoridade máxima da instituição assim como à unidade técnica supervisora de controle interno.
7\. Considerações Finais
7.1\. A aderência aos princípios da transparência e da uniformização de procedimentos foram a fonte inspiradora para a elaboração deste manual, sempre tendo em mente o propósito de agregar valor por meio da sistematização de um planejamento baseado em riscos e de possibilitar a execução de atividades de auditoria factíveis, de maneira a contribuir com o alcance da missão institucional do Ministério da Defesa.
7.2\. Por fim, diante do dinamismo e evolução constante do estado da arte envolvendo as atividades da auditoria interna, este manual não pode ser entendido como um documento imutável, mas sim como uma referência para os gestores e demais interessados que são impactados pelos trabalhos da auditoria entenderem as origens e as motivações utilizadas no âmbito das escolhas dos objetos auditáveis.
7.3\. Sendo assim, esse manual entra em vigor na data de sua publicação, devendo ser amplamente difundido entre as unidades organizacionais do ministério da defesa, ficando passível de revisão sempre que alguma melhoria procedimental for identificada, visando, com isso, a um aperfeiçoamento contínuo do processo de elaboração do planejamento dos trabalhos da Secretaria de Controle Interno do Ministério da Defesa.
