Cada vez mais as instituições de pagamento têm crescido sua relevância no mercado financeiro, se parecendo cada vez mais também com um banco, seja pelo tamanho, seja pela complexidade, então é natural que o regulador, no caso do Bacen, também se preocupe de não haver arbitragem regulatória, e passe a ter um nível de exigência maior, ainda que sempre seguindo a premissa de ser compatíveis com a sua natureza, o seu porte, a sua complexidade, a sua estrutura, o seu perfil de risco e o seu modelo de negócio (chamada ABR - Abordagem baseada em riscos).
Neste sentido, o Bacen soltou esta semana uma nova resolução de número 260, que aborda exatamente isto de forma bem clara, passando a exigir que as chamadas IP também devem implementar e manter sistemas de controles internos.
Segue o link da norma completa aos interessados:
A norma começa falando das características essenciais, dizendo que os sistemas de controles internos devem abranger todas as atividades e áreas da instituição, e deve ser feito de forma rotineira, mas atualizados periodicamente (o que normalmente significa anualmente para a maioria dos casos críticos).
Depois, aborda a importância desta cultura de controle, não apenas fazer por fazer, mas sim que isto agrega valor e mitiga riscos, com a definição clara das responsabilidades, ou seja, aborda aqui o conceito da chamada segunda linha de defesa, com a área de controles internos independente, normalmente então por isto mesmo ligada à área de gestão de riscos.
A norma também deixa bem claro a obrigatoriedade de comunicação tempestiva à alta administração dos problemas nas operações, ou situações de não conformidade, e também a violações das políticas e exigências regulatórias. Uma responsabilidade a mais aos envolvidos. Não vai dar mais para usar a desculpa de que não sabia da situação.
Pessoalmente achei legal de ver que deixaram claro as proibições de estabelecimento de metas de desempenho que incentivem a tomada de riscos em desacordo com os níveis determinados pela alta administração no chamado Apetite a Riscos. Metas e o apetite precisam estar sempre alinhadas.
Outro ponto que pode parecer bobo, mas eu pessoalmente também acho importante, está na obrigatoriedade agora da formalização do compromisso com a ética e com a integridade, incluindo o cumprimento do código de ética (estou inclusive ajudando uma neste momento a criar o seu), que deve ter a devida divulgação (sou pessoalmente favorável que esteja no site e seja divulgado através de campanhas e palestras, não apenas para quem entra, que precisa ler e dar sua ciência que conhece e vai cumprir, mas também anualmente ser relembrado que existe para os demais funcionários).
No final das contas, os controles internos nada mais são do que uma gestão de seus riscos, por isto mesmo a norma bem lembra do processo de gestão deles, que começa com a identificação e depois na avaliação destes riscos de controles, olhando para todos os fatores internos e externos que possam afetar. Obviamente que fala da necessidade de uma revisão e atualização periódica dos sistemas de controles internos, com a inclusão dos novos riscos não abordados anteriormente, afinal o mercado e os riscos são dinâmicos, e precisam estar sempre revisados e incluídos (ou excluídos).
Depois de identificados e avaliados, vem a fase de pensar e implementar as medidas para mitigação dos riscos não aceitos, e aqui principalmente dos não controlados.
Outro ponto bem lembrado pela norma, e que está altamente correlacionado com a falta de controles, é a análise do potencial de ocorrência de fraudes em todos os níveis de negócios. As fraudes sempre andam juntas com falta de controle, e também com lavagem de dinheiro.
Outro dia estava falando aqui da busca pela eficácia, no caso de PLD, mas que também vale aqui, e que a norma também fala do monitoramento contínuo da eficácia dos sistemas de controles internos e dos principais riscos. Não é apenas fazer. Tem que fazer bem feito e de forma eficiente. Controlar com uma razão e resultado. E ainda acrescenta que deve haver avaliações periódicas por parte da auditoria interna desta eficácia dos sistemas de controles internos e dos principais riscos. Aqui entramos na responsabilidade da terceira linha de defesa fazendo seu papel.
Neste sentido, pessoalmente já tive a oportunidade de tocar esta área de CI (controles internos) e o que sempre defendi e pratiquei foi uma aproximação grande com a auditoria, tanto interna como externa, que deveriam usar como base de seu trabalho exatamente o resultado dos relatórios de CI. Um bom começo para eles. Facilita muito a vida do auditor. Basicamente meio caminho andando. Sempre digo que sem bem feito praticamente é uma "pré-auditoria".
Assim como nos bancos, a norma também exige que este trabalho de controles internos deve constar em um relatório anual, com uma avaliação sobre a adequação e a efetividade dos sistemas de controles internos, além das recomendações a respeito de eventuais deficiências, com o estabelecimento de cronograma de saneamento. Assim como a manifestação dos responsáveis pelas correspondentes áreas a respeito das deficiências encontradas em verificações anteriores e das medidas efetivamente adotadas para saná-las. Este relatório deve ser submetido formalmente ao conselho de administração e/ou diretoria, bem como às auditorias interna e externa, além de permanecer à disposição do Banco Central pelo prazo de cinco anos. Provavelmente será usado nas inspeções futuras como material de análise prévia. Bem importante este relatório.
Inclusive falando em CA e diretoria, a norma é bem clara na responsabilidade de ambos no envolvimento ativo nos controles internos, seja na promoção de elevados padrões éticos e de integridade, no estabelecimento de cultura organizacional com ênfase na relevância dos controles internos e no engajamento de cada funcionário no processo de controle interno. São responsáveis ainda pela manutenção de estrutura organizacional adequada para garantir a qualidade e a efetividade dos sistemas e processos de controles internos, e garantir os recursos adequados e suficientes para o exercício das atividades relacionadas aos sistemas de controles internos, de forma independente, objetiva e efetiva. Não pode faltar recursos pois depois a culpa dos problemas será de quem não os proveu.
Está aí o arcabouço para a implantação das áreas de controles internos nas instituições de pagamento (e consórcios). Mãos à obra pessoal! Precisando de ajuda estou aqui à disposição.
Consulta disponibilizada pela Okai.
