Acho que, de modo geral, a área de controles internos das instituições financeiras e demais empresas é mal entendida e até mesmo talvez por isto mais utilizada como deveria e poderia.
Por isto, queria falar mais do tema, e para isto vou usar como ponto de partida o excelente conteúdo divulgado em uma recente Resolução do Bacen de Nº 333, publicada na semana passada que fala da Política de Controles Internos da Gestão do próprio Banco Central, desenvolvida pelo Comitê de Governança, Riscos e Controles do Banco Central, que serve com uma tremenda referência, que por sua vez se baseou bastante na documentação do COSO (Committee of Sponsoring Organizations of the Treadway Commission) de: “Internal Control - Integrated Framework” de 2013.
Legal que já no começo já traz algumas definições e conceitos interessantes de controles internos como:
1) Execução Ordenada, Ética, Econômica, Eficiente e Eficaz das Operações:
Esta definição enfatiza a importância de uma gestão responsável e transparente, considerando aspectos de ética e economia. Significa que todas as operações devem ser executadas de maneira ordenada e estruturada, evitando desperdício e seguindo princípios morais e legais.
2) Cumprimento das Obrigações de Accountability:
Refere-se à responsabilidade dos gestores de prestar contas de suas ações e decisões, assegurando transparência e responsabilidade na utilização de recursos públicos.
3) Cumprimento das Leis e Regulamentos Aplicáveis:
A instituição deve estar em conformidade total com as leis e regulamentos relevantes, para evitar penalidades legais e manter a reputação.
4) Salvaguarda dos Recursos para Evitar Perdas, Mau Uso e Danos:
Proteção ativa dos recursos da organização, garantindo que sejam utilizados de maneira eficaz e não sejam desperdiçados, mal utilizados ou danificados.
Depois traz também outras definições muito usadas na gestão de riscos e nos controles internos, que sempre bom repetir e deixar claro para todos como:
1) Accountability:
Implica na transparência e responsabilidade dos gestores em suas decisões e ações, garantindo que estejam alinhadas com os objetivos da organização.
2) Apetite por Risco:
Mede a quantidade de risco que uma organização está disposta a aceitar em suas operações para alcançar seus objetivos estratégicos.
3) Monitoramento Contínuo:
Refere-se a um processo ininterrupto de avaliação dos controles internos para garantir sua eficácia e identificar qualquer necessidade de melhoria.
Acrescentaria apenas o conceito de linhas de defesa, que por mais óbvio que seja, também sempre bom reforçar e relembrar, que acho que ficou faltando na norma do Bacen.
Depois a norma fala dos objetivos que querem alcançar, que são os mesmos que qualquer área de controles internos também quer como:
1) Sistematização dos Controles Internos:
Criar uma estrutura unificada para os controles internos, evitando redundâncias e lacunas.
2) Fortalecimento da Governança Corporativa:
Aprimorar a estrutura de governança, aumentando a eficácia na gestão e a confiança dos stakeholders.
3) Estímulo à Cultura de Controles Internos: Incentivar uma mentalidade onde todos na organização entendem e valorizam a importância dos controles internos.
Seguindo o documento, a norma fala de princípios, que fornecem a base sobre a qual os controles internos são construídos e operados. Incluem a integridade e ética, o acompanhamento contínuo de mudanças, a cultura de valorização, e a comunicação eficaz.
1) Integridade e Ética:
A integridade e a ética são fundamentais na gestão e controle das operações de uma organização. Esses princípios implicam em agir com honestidade, transparência e responsabilidade. A integridade envolve a adesão a um conjunto de valores e princípios morais, enquanto a ética refere-se à aplicação desses valores na tomada de decisões e na condução das operações. A cultura ética ajuda a prevenir fraudes, conflitos de interesse e outras práticas inadequadas.
2) Coordenação Adequada e Supervisão:
A coordenação adequada e a supervisão são essenciais para garantir que os controles internos sejam implementados e mantenham-se eficazes. Esse princípio enfatiza a necessidade de uma estrutura clara, com responsabilidades bem definidas, para que todos os envolvidos saibam o que é esperado deles. A supervisão adequada ajuda a identificar e corrigir quaisquer desvios, mantendo o sistema alinhado com seus objetivos.
3) Monitoramento de Mudanças:
O ambiente de negócios é dinâmico, com mudanças constantes em regulamentações, tecnologias e condições de mercado. O monitoramento de mudanças significa que a organização deve estar sempre vigilante a essas alterações, adaptando seus controles internos conforme necessário. Isso permite que a organização continue cumprindo seus objetivos, mesmo em face de mudanças significativas.
4) Base Sólida em Informações:
Os controles internos devem ser baseados em informações precisas e confiáveis. Uma base sólida em informações significa que todos os dados usados para tomar decisões e avaliar desempenho devem ser precisos, atuais e relevantes. A qualidade das informações é fundamental para a eficácia dos controles, e a organização deve ter processos robustos para garantir essa qualidade.
5) Cultura de Valorização dos Controles Internos:
Uma cultura que valoriza os controles internos é aquela em que todos na organização entendem a importância desses controles e estão comprometidos com sua implementação e manutenção. Essa cultura promove uma abordagem proativa em relação ao controle, onde a prevenção é enfatizada sobre a detecção, e a responsabilidade é compartilhada por todos.
6) Avaliação Regular:
Os controles internos devem ser avaliados regularmente para garantir que continuem adequados e eficazes. A avaliação regular pode identificar áreas de melhoria, bem como confirmar que os controles existentes estão funcionando como esperado. Isso pode envolver auditorias internas e externas, autoavaliações e outras formas de revisão.
7) Comunicação Eficaz:
A comunicação eficaz é essencial para o funcionamento dos controles internos. Isso inclui não apenas a comunicação entre diferentes níveis e funções dentro da organização, mas também com partes externas, como reguladores e stakeholders. Uma comunicação clara e oportuna ajuda a garantir que todos entendam suas responsabilidades e estejam cientes das informações e mudanças relevantes.
Depois fala das diretrizes que fazem todo o sentido que são:
1) Integração e Padronização:
A política busca harmonizar as atividades de controle em toda a instituição.
2) Definição Clara de Papéis:
Isso envolve estabelecer claramente quem é responsável por quê dentro dos controles internos.
3) Alinhamento ao Apetite por Riscos:
Os controles devem refletir o nível de risco que a organização está disposta a aceitar.
4) Comunicação do Resultado da Avaliação:
A avaliação dos controles internos deve ser comunicada de maneira clara e eficaz, permitindo a tomada de decisões informadas.
A seguir outro ponto bem legal é quando comentam sobre o que chamam das componentes dos controles internos, que são:
1) Ambiente de Controle:
O ambiente de controle é a base fundamental para todos os controles internos da gestão. Ele é composto pelo conjunto de regras, políticas, normas e estrutura organizacional que estabelecem a qualidade e o tom dos controles internos da gestão. Elementos como a integridade, os valores éticos da liderança, a competência dos colaboradores e a cultura organizacional desempenham um papel crucial na formação de um ambiente de controle sólido.
2) Avaliação de Riscos:
A avaliação de riscos é o processo contínuo e estruturado de identificar e analisar os riscos que podem afetar o alcance dos objetivos da organização. Envolve a compreensão da natureza dos riscos, sua origem, impacto potencial e a probabilidade de ocorrência. A avaliação de riscos permite que a organização determine as respostas apropriadas ao risco, como mitigação, transferência, aceitação ou evasão, de acordo com o apetite por risco definido.
3) Atividades de Controles Internos:
As atividades de controles internos incluem medidas específicas, como políticas, procedimentos, técnicas e ferramentas, que são implementadas para diminuir os riscos e assegurar o alcance de objetivos organizacionais. Essas atividades podem ser classificadas como preventivas, que visam reduzir a ocorrência de eventos de risco, ou detectivas, que possibilitam a identificação da ocorrência dos eventos de risco. Essas atividades são fundamentais para garantir que os controles internos estejam operando conforme o esperado.
4) Informação e Comunicação:
Informação e comunicação representam o processo de produção, armazenamento e disseminação de informações relevantes dentro da organização. As informações devem ser apropriadas, tempestivas, atuais, precisas e acessíveis. Uma comunicação eficaz, tanto interna quanto externa, é vital para garantir que todos compreendam seus papéis e responsabilidades e possam cumprir seus deveres, incluindo a execução dos procedimentos de controle interno.
5) Monitoramento dos Controles Internos:
O monitoramento é um processo contínuo de revisão e avaliação dos controles internos. Pode ser feito através de revisões específicas ou monitoramento contínuo, independentemente de ser independente ou não, sobre todos os outros componentes de controles internos. Ele ajuda a garantir que os controles estejam funcionando conforme o planejado e identifica oportunidades para melhorias.
6) Avaliação de Conformidade:
A avaliação de conformidade é uma parte essencial da estrutura de controles internos. Trata-se de um processo permanente de identificação e análise das obrigações relevantes que impactam o alcance dos objetivos organizacionais, direcionando o planejamento de ações que garantam o cumprimento das leis e regulamentos aplicáveis.
Por fim o documento fala também das competências e atribuições relativas aos controles internos. Veja abaixo um pouco desta governança da responsabilidade e alçada de cada uma das áreas envolvidas:
1) Conselho de ADM ou Diretoria Colegiada:
Responsável pelos controles internos da gestão, determinando a postura e o apetite a riscos na organização.
2) Comitê de Governança, Riscos e Controles (GRC)
- Aprovar e revisar a política;
- Avaliar a execução da política;
- Acompanhar a cultura de controles internos;
- Assegurar medidas corretivas para falhas identificadas.
3) Diretor de Gestão de Riscos Corporativos:
- Propor revisões e estratégias para aprimorar os controles internos da gestão ao GRC.
4) Gestores da Área de Riscos Corporativos:
- Propor revisões na política;
- Elaborar padrões para controles internos;
- Integrar informações e assegurar o envio;
- Promover boas práticas e cultura de controles internos;
- Manter informações atualizadas.
5) Área de Controles Internos e Riscos:
- Garantir implantação e aderência;
- Testar, avaliar e validar controles;
- Reportar informações conforme padrões definidos;
- Promover a cultura de controle interno;
- Comunicar falhas ao Deris;
- Designar Agente de Conformidade e Controles Internos (ACCI).
- Atestar informações de controles internos;
Para terminar o que me chamou também atenção foi que o Bacen previu realizar revisões periódicas apenas a cada três anos, o que achei longo, mas previu a saída para isto em períodos inferiores quando necessário.
Um bom resumo do que é e faz a área de controles internos que pode usar para avaliar como anda isto na sua empresa.
Aos interessados em mais detalhes, segue o link para o documento completo original em:
