Diante de um cenário com mercados e empresas mais complexos operando em um ambiente cada vez mais incerto e volátil, é cada vez mais importante que haja mecanismos robustos de governança e gerenciamento de riscos.
Por isto mesmo, queria comentar sobre o conceito e a estrutura das "Três Linhas de Defesa", conforme definida pelo Instituto de Auditores Internos (IIA), que serve como referência e orientação, e pode ajudar muitas dessas empresas a identificar e implementar eficazes estruturas e processos de governança e gestão de riscos.
Ainda que nesta última revisão eles tenham retirado a palavra "defesa" de forma explícita, eu pessoalmente gosto de usá-la, pois reforça bem o conceito, e prefiro continuar a usar.
Neste sentido, a essência desse modelo é a clara definição de papéis e responsabilidades entre o órgão de governança, normalmente exercido pelo conselho de administração (e seus comitês), a alta administração, áreas de gestão de riscos e a auditoria interna.
Queria então comentar abaixo sobre os 6 princípios básicos deste modelo de 3 linhas, que acredito serem bem relevantes, e que pessoalmente gosto de seguir todos no dia a dia. Acredito bastante neles!
- Princípio 1: Governança: Este princípio aborda a importância de estruturas e processos adequados que possibilitem uma governança eficaz, responsabilizando o órgão de governança perante os stakeholders. Ele abrange tanto aspectos de liderança e integridade quanto a tomada de decisões baseada em riscos. Não dá para pensar em uma boa gestão de riscos sem uma boa governança. Tudo começa por aqui.
- Princípio 2: Papéis do Órgão de Governança (Conselho de Administração): O Conselho de Administração, como principal órgão de governança, é o responsável por assegurar que existam estruturas e processos eficazes para a boa governança e que os objetivos organizacionais estejam alinhados com os interesses dos stakeholders. Além disso, o conselho também é encarregado de estabelecer e supervisionar uma função de auditoria interna competente e objetiva.
- Princípio 3: Alta Administração e Primeira e Segunda Linhas de Defesa: Este terceiro princípio explica que a responsabilidade de atingir os objetivos organizacionais pertence à alta administração, normalmente representada pelas diretorias e gerências da empresa, que é dividida então entre as funções de primeira e segunda linha desta defesa. A primeira linha está diretamente alinhada com a entrega de produtos ou serviços, normalmente representada pelas áreas comerciais e de venda, enquanto a segunda linha oferece suporte na gestão de riscos, controles internos, compliance, etc.
- Princípio 4: Terceira Linha de Defesa: A auditoria interna representa a terceira linha, fornecendo garantias e conselhos e comitês independentes e objetivos sobre a adequação e eficácia da governança e gestão de riscos.
- Princípio 5: Independência da Terceira Linha: Este princípio ressalta a importância da independência da auditoria interna, que deve ser mantida através da responsabilidade direta ao órgão de governança e do acesso irrestrito aos recursos necessários. Pessoalmente, acredito que a segunda linha também deva ter esta mesma independência para que seja mais eficaz.
- Princípio 6: Criação e Proteção de Valor: O último princípio enfatiza a necessidade de alinhamento entre as várias partes interessadas para a criação e proteção de valor.
Dito isto, acho importante falar aqui do papel de cada uma das áreas e pessoas envolvidas nestas linhas:
1) Conselho de Administração e Comitês de Riscos e de Auditoria:
O conselho e seus comitês técnicos são os responsáveis por fornecer estruturas e processos eficazes para a governança, incluindo a definição do apetite ao risco da organização e a supervisão do cumprimento de expectativas legais, regulatórias e éticas.
2) Alta Administração e Gestão:
2.A) Primeira Linha de Defesa:
A primeira linha é responsável pela operacionalização dos objetivos da organização e pela manutenção de um diálogo contínuo com o órgão de governança.
2.B) Segunda Linha de Defesa:
A segunda linha oferece expertise complementar, suporte, monitoramento e desafio em relação ao gerenciamento de risco.
3) Auditoria Interna:
A auditoria interna atua como uma função independente, fornecendo garantia e aconselhamento objetivos.
Mas como cada uma destas áreas se relaciona entre si?
- Entre Conselho/Comitês e Gestão:
- O conselho e seus comitês são tipicamente o ponto focal para a definição da visão, missão, valores e apetite ao risco da empresa. Eles delegam as responsabilidades para a realização dos objetivos da organização à administração, fornecendo os recursos necessários.
- Entre a alta administração e a auditoria interna: A independência da auditoria interna garante que ela seja livre de interferências e viés no planejamento e na execução de seu trabalho. É importante que haja uma boa comunicação regular e eficaz entre a alta administração e a auditoria interna, para garantir que o trabalho da auditoria seja relevante e alinhado com as necessidades estratégicas e operacionais da empresa.
- Entre a auditoria interna e o conselho e comitês: A auditoria interna é responsável perante o órgão de governança, servindo como seus "olhos e ouvidos". Isso requer que o órgão de governança garanta uma função de auditoria interna independente e eficaz.
- Entre todos os papéis: Para o alinhamento efetivo com os objetivos organizacionais, é imperativo que exista uma coordenação, colaboração e comunicação regulares e eficazes entre o conselho e seus comitês, com a alta administração e a auditoria interna.
E como sempre gosto de fazer, queria aqui também comentar abaixo sobre alguns dos desafios e dos riscos relacionados às 3 linhas de defesa:
- Ambiguidade nas Responsabilidades: A falta de clareza nos papéis e responsabilidades pode levar a falhas de governança e gestão de riscos. Cada um tem que saber seu papel e o que fazer para este time dar certo.
- Inadequação nos Processos de Comunicação: A comunicação inadequada entre as diferentes linhas de defesa pode resultar em decisões mal informadas. Normalmente, os maiores problemas estão nesta inabilidade de conversar e estarem alinhados. Sem isto, fica difícil dar certo.
- Falta de Recursos: A insuficiência de recursos, particularmente na auditoria interna, pode comprometer a eficácia do modelo. Nem sempre dão o devido valor, e consequentemente apoio e investimento neste tema.
- Complexidade Organizacional: Em empresas mais complexas e diversificadas, a implementação efetiva do modelo de três linhas pode ser desafiadora, pois muitas vezes estão acostumadas a trabalhar em silos, cada um de forma independente, e aqui o conceito das 3 linhas exige integração e trabalhar juntos pelo objetivo comum.
Como podemos ver acima, o modelo de Três Linhas de Defesa oferece sim uma estrutura robusta para a implementação de um sistema eficaz de governança e gestão de riscos. No entanto, sua eficácia depende de uma implementação cuidadosa, tendo em mente os desafios e riscos associados.
Por fim deixo abaixo a dica de 3 fontes interessantes para quem desejar ir mais a fundo no tema:
- "International Professional Practices Framework (IPPF)" - Instituto de Auditores Internos (IIA).
- "Risk Management and Corporate Governance: Concepts and Synthesis" - OECD Guidelines.
- "Enterprise Risk Management — Integrated Framework" - COSO.
