Queria dar continuidade ao tema que abordei no post de ontem sobre o diagnóstico da maturidade da gestão de riscos nas empresas, em que mostrei alguns dos principais pontos que devem ser observados, mas que hoje quero dar um passo a mais, mostrando destes pontos o que diferencia uma empresa nos 5 níveis de maturidade, da que está com algo inexistente, até aquela que tem um nível avançado, como uma referência do que precisam melhorar nestas áreas na sua empresa, sempre com foco na gestão dos riscos e áreas afins.
Queria antes de mais nada listar alguns dos benefícios de se fazer o diagnóstico de Governança, Riscos e Compliance (GRC) como:
- Importante ter uma análise independente do nível de maturidade de GRC, que é compartilhada com membros do Conselho de Administração, Diretoria Executiva, e equipes de Gestão de Riscos, Controles Internos, Auditoria Interna e Compliance.
- Identificação do grau de alinhamento e disseminação das práticas de GRC na empresa, e ter um direcionamento e orientações para melhorar a estrutura de GRC de acordo com o nível de maturidade identificado.
- Fornecimento de dados práticos que podem ser usados no planejamento e direcionamento de investimentos na estrutura de GRC, com base nas áreas críticas identificadas.
- Ter um relatório detalhado sobre o nível de maturidade em GRC, incluindo pontos fortes, deficiências e recomendações, e um segundo relatório que fornece um plano para o aprimoramento e/ou implementação de GRC em fases, destacando atribuições, agentes de governança envolvidos e a interação com outras funções de GRC.
- Conhecimento e melhorias da estrutura e linhas de reporte do GRC.
Dito isto vamos ao que interessa na prática. O que tenho que fazer?
Leia então com calma os pontos abaixo e depois nos contem nos comentários em que nível acha que sua empresa está em cada um deles? Concorda com os desafios abaixo? E você também comete estes mesmos erros comuns que listei abaixo?
1) Governança Corporativa de Riscos:
No que diz respeito à Governança Corporativa, no primeiro nível de maturidade, que podemos chamar de inexistente, não há nenhuma estrutura de governança em prática, o que pode resultar em tomada de decisões ineficiente e falta de responsabilidade e transparência.
As organizações no primeiro nível de maturidade geralmente enfrentam desafios como falta de consciência sobre a importância da governança, resistência à mudança e falta de processos claros. Erros comuns incluem a ausência de políticas de governança e falta de envolvimento da liderança.
À medida que a organização progride para o segundo nível, o baixo, observa-se a criação de um Conselho e Comitês, embora suas funções estejam acumuladas e a estrutura não seja bem organizada, o que ainda pode ser ineficaz para responder prontamente às mudanças e exigências do mercado.
Ao tentar avançar para o segundo nível, organizações podem enfrentar dificuldades em definir papéis e responsabilidades, além de não implementar efetivamente o código de ética. Erros comuns incluem uma comunicação deficiente e falta de treinamento para os membros do conselho.
Já no terceiro nível, sustentável, a Governança Corporativa começa a se solidificar, com a adoção das diretrizes do Código Brasileiro de Governança Corporativa, e a organização estabelece uma periodicidade regular para reuniões e reportes.
Aqui, os desafios envolvem manter a sustentabilidade, equilibrar o poder entre acionistas e garantir a transparência. Erros comuns incluem falha em estabelecer métricas de desempenho e não monitorar os riscos adequadamente.
No quarto nível, maduro, a governança alcança um patamar mais alto, com a adoção parcial das diretrizes de governança avançada, como o Novo Mercado, e membros independentes e competentes no Conselho. Existe também um processo de avaliação interna para monitorar o desempenho dos órgãos de governança.
Os desafios nesse nível envolvem garantir a eficácia do conselho e alinhar os objetivos da organização com os interesses dos stakeholders. Erros comuns são o excesso de confiança e a complacência com as práticas existentes.
No nível cinco, e mais avançado, a organização alcança a excelência em governança, com uma abordagem abrangente que inclui diversidade, indicadores de monitoramento e avaliação externa dos órgãos de governança.
Não achem que ao chegar neste nível mais alto não há mais nada por fazer. Aqui o desafio está em inovar e adaptar-se às mudanças do mercado, mantendo altos padrões de governança. Um erro comum é não buscar feedback contínuo e melhorias.
2) Gestão de Riscos:
Em relação à Gestão de Riscos, no nível um, a organização não possui uma estrutura ou consciência dos riscos estratégicos.
A falta de consciência sobre a gestão de riscos e a ausência de uma estrutura formal são os principais desafios. Erros comuns são a reação excessiva aos riscos e a falta de documentação.
À medida que progride para o segundo nível, políticas e procedimentos começam a ser definidos, embora não sejam plenamente implementados.
Organizações neste nível podem enfrentar desafios na identificação de riscos e na integração da gestão de riscos em seus processos. Um erro comum é depender demais em checklists, sem análise crítica.
No terceiro nível, a metodologia de Gestão de Riscos se torna mais abrangente e os riscos passam a ser regularmente discutidos. Também há a implementação de um plano de treinamento e comunicação.
A padronização e comunicação efetiva sobre os riscos são desafios. Erros comuns incluem não priorizar os riscos e falhar em envolver todos os departamentos.
No nível quatro, a Gestão de Riscos é totalmente integrada às atividades da empresa e conta com uma infraestrutura tecnológica sólida. O planejamento estratégico da organização é integrado ao processo de Gestão de Riscos.
Os desafios incluem alinhar a gestão de riscos com os objetivos estratégicos e garantir a agilidade. Um erro comum é ser muito rígido nas abordagens de gestão de riscos.
No quinto nível, existe uma estrutura independente e automatizada para a gestão de riscos, com supervisão contínua pelo Conselho e Comitê de Auditoria. As atividades de Gestão de Riscos estão totalmente inseridas no planejamento estratégico.
O principal desafio é manter a melhoria contínua e responder efetivamente a novos riscos. Erros comuns são a complacência e a resistência à inovação.
3) Controles Internos:
Já em relação aos Controles Internos, no primeiro nível, não há documentação ou conhecimento sobre processos de negócio e controles internos.
O desafio principal é o estabelecimento de controles básicos. Erros comuns incluem não reconhecer a importância dos controles internos e falta de treinamento.
No segundo nível, os processos são documentados, mas sem padronização.
Aqui, os desafios são documentar e comunicar os controles existentes. Erros comuns são a falta de revisão e monitoramento de controles.
No terceiro nível, a organização possui uma função de Controles Internos desvinculada das áreas de negócio e os processos são documentados e padronizados.
O desafio é garantir que os controles sejam efetivos e consistentes. Erros comuns incluem depender demais em controles manuais e falta de auditorias.
No quarto nível, há um monitoramento por meio de indicadores de desempenho e riscos, e os profissionais das áreas de negócio realizam a gestão e a autoavaliação dos riscos operacionais e controles internos.
O desafio aqui é a integração dos controles internos com outras funções de GRC. Erros comuns incluem resistência à automação e falha em adaptar controles.
No nível cinco, o gerenciamento dos processos é automatizado e integrado com sistemas da empresa, permitindo uma resposta rápida e eficaz aos riscos.
O principal desafio é manter a eficácia dos controles ao longo do tempo. Erros comuns incluem complacência e não buscar inovação.
4) Compliance:
Aqui é imprescindível destacar o papel de Compliance dentro de uma organização. No primeiro nível de maturidade, a estrutura de Compliance é inexistente, os colaboradores têm pouco conhecimento sobre os conceitos e fundamentos de Compliance, e não existem canais anônimos para relatos de fraudes, assédio, suborno, ou conflito de interesses.
Os desafios incluem a falta de consciência e estrutura para compliance. Erros comuns são ignorar as regulamentações e não estabelecer um código de conduta.
À medida que a organização avança para o segundo nível, começam a surgir políticas e procedimentos, mas estes ainda não são claros ou bem estruturados. Os treinamentos de Compliance são pontuais e a efetividade dos canais de comunicação ainda é limitada.
Os desafios incluem a falta de consciência e estrutura para compliance. Erros comuns são ignorar as regulamentações e não estabelecer um código de conduta.
No terceiro nível, a estrutura de Compliance ganha autonomia e independência, há um reporte regular à diretoria, e começa a ser implantado um programa de Compliance com base tecnológica.
Os desafios incluem garantir autonomia e independência. Erros comuns são conflitos de interesse e dependência excessiva em indivíduos-chave.
Já no quarto nível, a estrutura de Compliance possui autoridade e é estabelecido um Comitê de Ética e Compliance. O Programa de Compliance se torna robusto e há uma revisão periódica das políticas.
Os desafios são estabelecer autoridade e um comitê de ética. Erros comuns incluem não envolver a liderança e não rever as políticas regularmente.
No quinto nível, a supervisão do Programa de Compliance pelo Conselho de Administração e pelo Comitê de Ética e Compliance é contínua, e a tecnologia é plenamente integrada ao processo, permitindo o monitoramento e reportes em tempo real.
O desafio é a integração total de tecnologia e supervisão contínua. Erros comuns são resistência à mudança e não atualizar práticas com base em feedback.
5) Auditoria Interna:
No que se refere à Auditoria Interna, no primeiro nível, apenas iniciativas de auditorias de processos são realizadas pelas áreas de negócio, mas sem independência.
O desafio é a implementação de auditorias básicas. Erros comuns incluem falta de independência e foco limitado.
No segundo nível, há uma estrutura de Auditoria Interna, mas ela ainda não é independente, e o Conselho de Administração e o Comitê de Auditoria recebem relatórios apenas ocasionalmente.
O desafio é estabelecer uma estrutura de auditoria interna. Erros comuns são relatórios inadequados e falta de comunicação com o conselho.
No terceiro nível, a Auditoria Interna se torna independente, e temas relacionados à Auditoria são regularmente discutidos pelo Conselho de Administração e pelo Comitê de Auditoria. O programa de treinamento e desenvolvimento é estabelecido e os procedimentos de teste começam a integrar dados, entrevistas e amostragem.
O desafio é alcançar independência e relatórios regulares. Erros comuns são falta de treinamento e foco excessivo em compliance.
No quarto nível, os resultados das auditorias são discutidos de forma recorrente, e a identificação dos processos auditáveis leva em consideração as interfaces com as demais funções de GRC. A Auditoria Interna tem acesso aos mesmos dados e relatórios que a gerência.
O desafio é a identificação de processos auditáveis e a integração com outras funções de GRC. Erros comuns são não ter acesso a dados adequados e não envolver a gerência.
No quinto e último nível, a supervisão dos resultados das auditorias pelo Conselho de Administração e Comitê de Auditoria é contínua, e o Plano de Auditoria Interna é dinâmico, atualizado com base em dados analíticos gerados pelo negócio.
O desafio é a supervisão contínua e a atualização dinâmica do plano de auditoria. Erros comuns incluem complacência e falta de inovação.
Como podemos ver acima, para que uma organização alcance um alto grau de eficácia e confiabilidade, é fundamental que ela desenvolva e aprimore continuamente sua Governança Corporativa, Gestão de Riscos, Controles Internos, Compliance e Auditoria Interna. Tais áreas são cruciais para garantir a integridade, a transparência, e a sustentabilidade do negócio, e, em última análise, para construir a confiança com os stakeholders.
Alcançar níveis mais altos de maturidade em Governança Corporativa, Gestão de Riscos e Controles Internos não só fortalece a estrutura organizacional, mas também constrói confiança entre os stakeholders e garante sustentabilidade a longo prazo. É essencial para as organizações investirem em melhorar e avançar nestas áreas como parte de sua estratégia de crescimento e estabilidade.
Conteúdo recuperado pela Okai.
