A gestão de riscos de fraudes e a integridade tem se tornado dois temas cada vez mais relevantes para as empresas, até mesmo por causa de alguns dos recentes escândalos corporativos, e com o surgimento de novas leis, regulamentos e exigências.
Empresas e seus executivos estão cada vez mais cientes da necessidade de criar políticas, programas e controles que abordem a fraude e a má conduta, seguindo as melhores práticas recomendadas, construindo seus programas de conformidade e programas antifraude, para alinhar os valores organizacionais com o desempenho.
Bom começar com o conceito de má conduta, que pode ser um pouco amplo, e que geralmente se refere a violações de leis, regulamentos, políticas internas e expectativas de conduta empresarial ética.
Embora não exista uma definição amplamente aceita de fraude, esta é frequentemente definida como uma representação falsa que é devidamente confiada por um indivíduo para seu detrimento ou para a vantagem injusta do fraudador. Para fraudes perpetradas contra indivíduos, essa definição pode ser perfeitamente aceitável. No entanto, para fraudes cometidas por aqueles dentro de uma empresa ou contra ela, essa definição pode não se encaixar tão bem, uma vez que muitas vezes é difícil ou impossível medir a perda infligida ou o ganho alcançado.
Então fraude pode ser definida como uma enganação intencional que drena valor de uma empresa. Independentemente do contexto, o núcleo do que define um ato como fraude é a intenção de enganar.
Juntas a fraude e a má conduta geralmente se enquadram nas seguintes categorias, cada uma das quais pode minar a confiança pública e danificar a reputação das empresas:
- Relatórios financeiros fraudulentos: a má representação de informações financeiras.
- Apropriação indevida de ativos: roubo de dinheiro ou outros ativos.
- Outros atos ilegais ou antiéticos: suborno, corrupção ou manipulação de mercado.
A fraude é um risco constante que se aproveita de fraquezas existentes e não tem um ponto natural de parada, aonde uma análise do problema aponta para a solução: o reconhecimento de que toda categoria de risco empresarial carrega um risco equivalente de fraude. Assim a fraude deve ser considerada parte do perfil de risco normal de uma empresa, como um fator potencial em cada operação e função.
À medida que as empresas buscam conformidade com novas leis e regulamentos, a agenda de conformidade cada vez mais se concentra na capacidade da gestão de:
- Compreender os riscos de fraude e má conduta que podem comprometer objetivos empresariais complexos e globais.
- Reduzir a exposição à responsabilidade corporativa, sanções e litígios.
- Alcançar altos níveis de integridade empresarial por meio de uma governança corporativa sólida, controle interno e transparência.
Diversas leis e regulamentos emergiram recentemente em todo o mundo, fornecendo às empresas uma série de critérios para incorporar em seus esforços antifraude e de má conduta. No Brasil o arcabouço legal que trata da anticorrupção, integridade, ética e fraude é bastante abrangente e inclui diversas leis e regulamentos destinados a prevenir e combater esses problemas. As principais legislações e normas incluem:
- Lei Anticorrupção (Lei nº 12.846/2013):
A Lei Anticorrupção, também conhecida como "Lei da Empresa Limpa", estabelece a responsabilidade objetiva administrativa e civil das pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira. Essa lei é um marco no combate à corrupção no Brasil e inclui sanções severas para empresas envolvidas em atos de corrupção.
- Lei de Improbidade Administrativa (Lei nº 8.429/1992):
Essa lei trata dos atos de improbidade administrativa praticados por agentes públicos que importem em enriquecimento ilícito, causem prejuízo ao erário ou atentem contra os princípios da administração pública. A lei prevê sanções para os agentes públicos e para terceiros que participem desses atos.
- Código Penal Brasileiro (Decreto-Lei nº 2.848/1940):
O Código Penal Brasileiro contém diversos dispositivos relacionados a fraudes, corrupção e outros crimes contra a administração pública, como peculato, concussão, corrupção ativa e passiva, entre outros.
- Lei de Lavagem de Dinheiro (Lei nº 9.613/1998):
A Lei de Lavagem de Dinheiro criminaliza a ocultação ou dissimulação de bens, direitos e valores provenientes de crimes. Estabelece medidas preventivas, incluindo a exigência de comunicação de operações suspeitas por instituições financeiras e outras entidades.
- Lei das Sociedades por Ações (Lei nº 6.404/1976):
A Lei das Sociedades por Ações regula a governança corporativa das empresas de capital aberto no Brasil. Inclui disposições sobre a responsabilidade dos administradores, transparência, auditoria e divulgação de informações.
Regula o conflito de interesses no exercício de cargo ou emprego no âmbito do Poder Executivo federal. Define situações que configuram conflito de interesses e estabelece procedimentos para prevenir e resolver esses conflitos.
Estabelece normas gerais para a organização e funcionamento dos sistemas de controle interno do Poder Executivo federal, visando à prevenção e ao combate à corrupção e à fraude.
Decreto nº 11129/2022
Regulamenta a Lei Anticorrupção e estabelece os parâmetros para a avaliação dos programas de integridade das empresas. Define critérios para a aplicação das sanções e para a avaliação dos mecanismos internos de prevenção e detecção de irregularidades.
Código de Conduta da Alta Administração Federal
Estabelece normas de conduta ética para os ocupantes de cargos na alta administração federal, buscando prevenir conflitos de interesses e promover a integridade e a transparência na administração pública.
Portaria CGU nº 909/2015
Estabelece diretrizes para a promoção da integridade nas empresas estatais federais, incluindo a implementação de programas de compliance e integridade.
Essas leis e regulamentos compõem um sistema robusto para combater a corrupção, promover a ética, integridade e transparência, e prevenir fraudes tanto no setor público quanto no privado no Brasil.
Colocado este arcabouço legal, queria agora falar mais sobre a estruturação e implementação de um programa antifraude.
O desafio para as empresas é desenvolver uma estratégia abrangente que ajude a:
- Compreender os diversos marcos regulatórios e de avaliação aplicáveis.
- Garantir que controles, como avaliações de risco, códigos de conduta e mecanismos de denúncia, estejam em vigor e sejam apoiados pela gestão.
- Criar um programa ético e de conformidade amplo que gerencie e integre esforços de prevenção, detecção e resposta à fraude.
Um programa abrangente de ética e conformidade, projetado para prevenir, detectar e responder à fraude e má conduta, deve incluir uma série de elementos essenciais. Esses elementos são agrupados em três categorias principais: prevenção, detecção e resposta.
Prevenção
Avaliação de Riscos de Fraude e Má Conduta: Identificar e avaliar os riscos específicos de fraude e má conduta dentro da empresa, permitindo o desenvolvimento de controles eficazes.
Código de Conduta e Padrões Relacionados: Estabelecer um código de conduta robusto que defina claramente as expectativas de comportamento ético e as diretrizes para prevenir fraudes.
KYC e a Diligência Devida de Funcionários e Terceiros: Realizar verificações de antecedentes e avaliações de risco em funcionários, parceiros comerciais e outros terceiros para garantir sua integridade.
Comunicação e Treinamento: Desenvolver programas de treinamento contínuo e estratégias de comunicação para educar os funcionários sobre os riscos de fraude e as políticas da empresa.
Controles Específicos para Riscos de Fraude em Processos: Implementar controles específicos em processos críticos para mitigar riscos identificados.
Análise Forense Proativa de Dados: Utilizar técnicas avançadas de análise de dados para identificar padrões suspeitos e prevenir atividades fraudulentas antes que ocorram.
Detecção:
Canais e Mecanismos de Denúncia: Estabelecer canais de denúncia seguros e anônimos para que funcionários e terceiros possam reportar suspeitas de fraude ou má conduta.
Auditoria e Monitoramento: Realizar auditorias regulares e monitoramento contínuo das atividades da empresa para detectar sinais de fraude.
Análise Retrospectiva de Dados Forenses: Analisar dados históricos para identificar fraudes que possam ter ocorrido e não foram detectadas anteriormente.
Resposta:
Protocolos de Investigação Interna: Desenvolver procedimentos claros e eficazes para a investigação de suspeitas de fraude e má conduta dentro da empresa.
Protocolos de Aplicação e Responsabilização: Implementar políticas de aplicação rigorosa e responsabilização para aqueles que cometerem fraudes ou má conduta.
Protocolos de Divulgação: Estabelecer diretrizes para a divulgação de informações relevantes às partes interessadas, incluindo autoridades regulatórias, quando apropriado.
Protocolos de Ação Corretiva: Definir ações corretivas para remediar os danos causados por fraudes e má conduta, incluindo recuperação de ativos e compensação às partes prejudicadas.
Esses elementos acima formam a base de um programa antifraude eficaz que ajuda as empresas a gerenciar os riscos de fraude de maneira proativa e consistente com as exigências legais e regulatórias, além de atender às expectativas do mercado.
A gestão do risco de fraude fornece às empresas ferramentas para gerenciar o risco de maneira consistente com os requisitos legais e regulatórios, bem como com as necessidades empresariais e expectativas do mercado. Tal abordagem geralmente possui quatro fases:
- Avaliação das Necessidades Organizacionais: Com base na natureza dos riscos de fraude e má conduta e nos programas e controles antifraude existentes.
- Desenho de Programas e Controles: De acordo com critérios legais e regulatórios, bem como práticas do setor que se mostraram eficazes.
- Implementação de Programas e Controles: Atribuição de funções, construção de competências internas e alocação de recursos.
- Avaliação da Eficácia: Avaliação do design do programa, da implementação e da eficácia operacional.
O desenvolvimento de tal abordagem pode ser alcançado em fases chave:
Avaliação:
A avaliação das necessidades da empresa é baseada na natureza dos riscos de fraude e má conduta que os controles se destinam a mitigar, bem como na adequação dos controles existentes.
A natureza dos riscos de fraude e má conduta enfrentados por uma organização pode ser tão diversa e fluida quanto o próprio negócio, aonde por exemplo, os riscos potenciais de fraude e má conduta para um banco nacional que experimentou crescimento rápido por meio de aquisições são diferentes daqueles de uma empresa global de energia que busca expandir a exploração de petróleo em mercados emergentes.
Com sempre na gestão de riscos, nenhuma empresa tem o mesmo perfil de risco, então as medidas antifraude devem ser adaptadas aos riscos específicos da empresa, às condições específicas que dão origem a esses riscos e às necessidades de recursos direcionados necessárias para equilibrar risco e controle.
O primeiro passo de avaliação é determinar os riscos de fraude e má conduta da empresa e avaliar como esses riscos são gerenciados de forma eficaz. Neste sentido o escopo dessa análise deve levar em consideração as principais unidades de negócios, processos, sistemas e controles da empresa, bem como outros fatores relevantes, e também pode identificar as partes interessadas chave que podem precisar estar envolvidas. Uma vez que a empresa entende seu seu estado atual e estabelece metas para melhorias, pode avaliar os "gaps" que deve fechar para alcançar o estado desejado e começar a definir os passos necessários para chegar lá.
Projeto:
O objetivo da fase de projeto de controle é permitir que a gestão desenvolva controles eficazes que protejam a organização dos riscos de fraude e má conduta.
Para que uma empresa tenha controles eficazes, primeiro deve adaptar esses controles aos riscos que está enfrentando, bem como ao ambiente de negócios único da organização. Assim ao projetar controles, a gestão deve esforçar-se para ir além da mera observância dos requisitos regulatórios (ou seja critérios mínimos definidos por vários marcos regulatórios). Em vez disso a gestão deve levar em consideração a relevância de uma variedade de práticas recomendadas (ou seja práticas que organizações semelhantes geralmente consideram eficazes no contexto desses marcos regulatórios). Incorporar práticas recomendadas no projeto de controles antifraude aumenta a probabilidade de que esses controles, em última análise, se mostrem eficazes.
Cada empresa é única e, como tal, terá considerações de controle individualizadas. A gestão seria bem servida ao considerar as circunstâncias únicas da empresa ao projetar controles antifraude. Por exemplo atributos de controle que podem ser apropriados para uma empresa global de telecomunicações podem ser inadequados para um banco nacional e vice-versa. A alta gestão deve procurar projetar controles que satisfaçam não apenas os requisitos legais, mas também as necessidades comerciais distintas da organização.
Implementação:
Uma vez que os controles tenham sido projetados, a alta gestão deve estabelecer uma estratégia e um processo para implementar os novos controles em toda a empresa, e atribuir a um profissional sênior a responsabilidade e os recursos para liderar o esforço geral. A implementação significativa e consistente geralmente requer uma mudança substancial na cultura e práticas do local de trabalho, portanto é importante que a alta administração defenda esses esforços e que os funcionários recebam comunicações claras e frequentes sobre quando, como e por quem os controles serão implementados, bem como a maneira pela qual a conformidade com os novos controles será aplicada.
Avaliação:
A simples existência de um controle não garante que ele operará como pretendido. Após um controle ter operado por um período de tempo designado, ele deve ser avaliado para determinar se foi projetado e implementado para alcançar a eficácia ideal. Tal avaliação deve primeiro considerar os controles identificados como "de maior risco" antes de outros controles de menor prioridade.
Por outro lado, simplesmente porque um controle particular ainda não existe, a alta gestão não deve automaticamente concluir que o objetivo de gerenciamento de risco da empresa não está sendo atendido. Na ausência de um controle específico, outros controles compensatórios podem estar operando de forma eficaz e mitigando o risco de fraude e má conduta.
Ao avaliar a "eficácia do projeto" de um controle, a alta gestão deve levar em consideração tanto os requisitos regulatórios quanto as práticas recomendadas que organizações semelhantes descobriram correlacionar-se com a gestão eficaz de riscos, e pode então empreender um processo de análise de lacunas para determinar se o controle em questão de fato incorpora os critérios de projeto necessários. Por exemplo, onde um critério de projeto exige que a linha direta de denúncia da empresa permita a submissão anônima de perguntas ou preocupações relacionadas a questões contábeis e de auditoria, deve-se buscar determinar se os protocolos da linha direta realmente permitem o anonimato do denunciante.
Para avaliar a "eficácia operacional" de um controle particular, a alta gestão deve focar na medida em que os objetivos do controle foram alcançados. Por exemplo, a gestão deve procurar entender se as estratégias de mitigação que foram projetadas e implementadas estavam de fato prevenindo ou detectando a má conduta em questão. Da mesma forma, pode ter implementado um código de conduta bem projetado, mas os funcionários estão realmente usando o documento e achando-o eficaz para guiar suas atividades diárias?
Quando essas questões básicas são abordadas, pode-se focar na coleta de dados empíricos sobre a eficácia dos controles usando técnicas de revisão e avaliação (por exemplo, auditorias estruturadas empiricamente e análise forense de dados proativa). Por exemplo, pode desejar verificar se os funcionários realmente entendem os padrões contidos no código de conduta ou se se sentem confortáveis em ligar para a linha direta. Para coletar esses dados qualitativos difíceis de auditar, a gestão pode desejar realizar uma pesquisa que capture percepções e atitudes dos funcionários. Tal pesquisa pode ser uma ferramenta poderosa, gerando dados que podem ser comparados com resultados de anos anteriores para notar melhorias e demonstrar a eficácia dos controles.
Outro ponto importante em relação a uma abordagem eficaz de gestão de riscos de fraude e má conduta é que ela abrange controles que têm três objetivos:
- Prevenção: Evitar a ocorrência de fraudes e má conduta.
- Detecção: Identificar fraudes e má conduta quando elas ocorrem.
- Resposta: Tomar ações corretivas apropriadas e remediar o dano causado por quebras de integridade.
Vamos agora detalhar alguns dos controles e programas antifraude, começando pelos aspectos de governança e liderança, falando da supervisão do conselho e de seus comitês de riscos e de auditoria.
O conselho de administração e os seus comitês de uma empresa desempenham juntos um papel fundamental na supervisão dos programas de mitigação de riscos de fraude e má conduta. Pois a responsabilidade pela supervisão principal da gestão de riscos de fraude pode ser delegada a um comitê de nível de conselho (tipicamente o comitê de auditoria), que é encarregado de:
- Revisar e discutir questões levantadas durante o processo de avaliação de riscos de fraude e má conduta.
- Revisar e discutir com auditores internos e externos as conclusões sobre a eficácia dos programas e controles antifraude da empresa.
- Estabelecer procedimentos para o recebimento e tratamento de questões ou preocupações relacionadas a assuntos contábeis ou de auditoria questionáveis.
A responsabilidade pela abordagem de gestão de riscos de fraude e má conduta deve ser compartilhada em níveis superiores, começando pela prevenção e seguindo até a detecção e resposta. Aonde o CEO tem um papel central ao influenciar as ações dos empregados através de sua liderança pessoal, estabelecendo o tom ético da organização e alocando recursos para esforços antifraude. Tá certo que em alguns casos como os da Americana ele era um dos principais envolvidos.
Uma avaliação eficaz de riscos de fraude e má conduta ajuda a gestão a entender os riscos únicos às operações da empresa, identificar lacunas ou fraquezas nos controles e desenvolver um plano prático para direcionar recursos e controles adequados para reduzir tais riscos.
O código de conduta e ética de uma empresa é uma ferramenta fundamental para comunicar aos empregados os padrões de conduta empresarial aceitável. Um código bem elaborado e comunicado vai além da reiteração de políticas da empresa, estabelecendo o tom para a cultura de controle geral da empresa.
Parte importante de uma estratégia eficaz de prevenção de fraudes e má conduta é a diligência no recrutamento, retenção e promoção de funcionários e terceiros relevantes. Esta diligência é especialmente importante ao contratar funcionários em locais geográficos de maior risco ou que têm autoridade discricionária sobre processos financeiros.
A conscientização dos empregados sobre suas obrigações na mitigação dos riscos de fraude e má conduta começa com uma comunicação prática e treinamento. Programas de conscientização sobre fraudes e má conduta devem ser baseados nos resultados da avaliação de riscos e adaptados às necessidades das funções de trabalho individuais.
Queria agora falar um pouco mais sobre os mecanismos de detecção de fraudes e má conduta, aonde as empresas têm melhores chances de detectar fraudes e má conduta precocemente quando criam uma cultura onde os empregados acreditam que têm uma participação na empresa e veem a integridade como um elemento chave da organização. É importante que os empregados saibam para onde recorrer para pedir ajuda e sintam-se confortáveis para relatar condutas impróprias sem medo de retaliação.
Além disto, processos de auditoria e monitoramento são ferramentas importantes que a gestão pode usar para determinar se os controles da organização estão funcionando conforme o esperado, aonde estas atividades devem ser baseadas em riscos identificados por meio de um processo formal de avaliação de riscos.
A análise forense de dados pode ajudar a detectar fraudes e má conduta ao identificar irregularidades em registros financeiros e operacionais, aonde ferramentas analíticas preditivas podem apoiar estratégias de prevenção, detecção e resposta a fraudes, identificando vulnerabilidades de controle e transações fraudulentas em tempo real.
Quando informações relacionadas a fraudes e má conduta são descobertas, a gestão deve estar preparada para conduzir uma investigação interna abrangente e objetiva. Uma investigação bem desenhada inclui supervisão pelo comitê de auditoria, direção por assessoria jurídica interna ou externa e atividades conduzidas por investigadores qualificados.
Um sistema disciplinar consistente e credível é fundamental para ajudar a evitar fraudes e má conduta, e neste sentido a aplicação de sanções significativas envia um sinal claro aos stakeholders internos e externos de que a organização considera a gestão de riscos de fraude uma prioridade.
Como sempre, após a ocorrência de fraudes e má conduta, a gestão deve considerar ações para remediar o dano causado, o que deve incluir a divulgação voluntária dos resultados da investigação às autoridades governamentais, a reparação do dano causado e o fortalecimento dos controles para mitigar riscos futuros.
A criação de um programa abrangente de gestão de riscos de fraudes é uma etapa importante na mitigação dos riscos impostos por fraudes e má conduta. Ao avaliar continuamente a eficácia dos controles e ajustá-los conforme necessário, as empresas podem alinhar seus valores corporativos ao desempenho, proteger seus ativos e impulsionar o crescimento organizacional.
Acesso fornecido pela Okai.
