Questão FC889004
No decurso de uma auditoria interna em uma instituição federal de educação, a área de auditoria teve acesso a documentos contendo dados pessoais sensíveis de estudantes, tais como
Auditoria Interna (Controle Interno)
FGV · 2026
No decurso de uma auditoria interna em uma instituição federal de educação, a área de auditoria teve acesso a documentos contendo dados pessoais sensíveis de estudantes, tais como histórico acadêmico, dados de renda e documentos de identificação pessoal. Os auditores também acessaram informações estratégicas da instituição, que incluem dados financeiros, planejamento de investimentos e convênios. Após a conclusão do trabalho, um dos auditores da equipe foi realocado para outra área da instituição. Esse auditor mantivera, em seu dispositivo pessoal de armazenamento, (laptop), cópias de relatórios e planilhas com essas informações confidenciais, “para consulta futura”. Posteriormente, esse dispositivo foi danificado e os dados se tornaram potencialmente acessíveis a terceiros.
À luz dos requisitos abordados nas Normas Globais de Auditoria Interna (The IIA, 2024), especificamente no item 5.2 – Proteção das Informações, a evidência de não conformidade diretamente violada pela atuação desse auditor interno é:
- falta de controle de acesso digital;
- uso indevido da informação para benefício pessoal;
- falta de liberação formal da informação a partes internas ou externas;
- falha na custódia, na retenção e no descarte adequado dos registros de auditoria;
- falha no entendimento das leis e regulamentos aplicáveis à privacidade e segurança da informação.
Mostrar resposta e comentário
Gabarito
D
Comentário do professor
A situação descrita configura, de forma clara, uma violação de custódia, retenção e descarte dos registros de auditoria.
Por custódia entende‑se a obrigação de guardar e controlar o acesso aos documentos de auditoria; por retenção, manter‑los apenas pelo período previsto em norma ou política; e por descarte, a eliminação segura e comprovada quando não mais necessários.
O auditor reteve cópias de informações confidenciais em dispositivo pessoal após mudança de função e não procedeu ao descarte seguro. O dano no equipamento, com potencial acesso por terceiros, demonstra a perda de controle e a exposição dos dados sensíveis, caracterizando a falha apontada.
Práticas esperadas incluem uso de repositório institucional, criptografia, cumprimento de cronograma de retenção e comprovação documental do descarte ao encerrar atribuições.
Conteúdo do catálogo FC Concursos · Atualizado em