Resultados da pesquisa sobre os desafios e prioridades dos comitês de auditoria (CoAud) feita pelo ACI Institute da KPMG X Gestão de Riscos na agenda

Comentei ontem sobre a pesquisa sobre os desafios e prioridades dos comitês de auditoria (CoAud) feita pelo ACI Institute e do Board Leadership Center da KPMG Brasil, coordenado pelo Sidney Ito e Fernanda Allegretti, com membros e coordenadores de comitês de auditoria de empresas de diferentes tamanhos e setores, aonde me incluo pois também participei das respostas, realizada de fevereiro a março deste ano de 2023 com 90 participantes do Brasil, mais 179 da América Latina (incluindo os brasileiros) e 768 a nível global (também com os brasileiros).

Queria então mostrar alguns dos resultados e fazer meus comentários.

Entre as macrotendências como esperado que têm maior impacto na agenda do comitê de auditoria, destaca-se a crescente complexidade do ambiente de negócios e de riscos, e sou mais um dos que também vê este cenário mais desafiador, que sai apenas da tradicional histórica responsabilidade pelos demonstrativos financeiros, que continua obviamente, inclusive mais ainda depois do caso das Americanas, porém o escopo dos Coauds tem aumentado.

Por exemplo mais de 80% dos brasileiros, aonde pessoalmente me incluo, e na América Latina destacaram esse fator, que inclui riscos de cibersegurança, inovações tecnológicas e evolução de ferramentas de Inteligência Artificial, disrupções nas cadeias de suprimentos e desafios relacionados ao capital humano, temas que normalmente abordo nos meus posts.

O maior rigor no ambiente de controles internos também foi apontado pelos brasileiros (54%) e latino-americanos (44%) como um dos temas de maior impacto no foco do comitê de auditoria no curto prazo, até motivado pelas cobranças e medo que o caso das fraudes nas Americanas trouxe consigo.

Uma das primeiras e principais perguntas da pesquisa foi: "Quais desses assuntos terão maior impacto no foco e na agenda do comitê de auditoria em que você atua, nos próximos meses?"

Os resultados em ordem de relevância foram os seguintes:

1) Aumento da Complexidade dos Negócios e do Ambiente de Riscos:

Este ponto foi destacado como uma das principais preocupações, com 83% no Brasil (aonde me incluo), 87% na América Latina e 78% globalmente apontando para a crescente complexidade como um desafio iminente. Vejo cada vez mais o comitê de auditoria, nas empresas que diante da importância, ainda não tem um comitê de riscos específico separado para tratar desta gestão. Veja o caso da 123 milhas que comentei aqui em outro post.

2) Maior Rigor no Ambiente de Controles Internos:

Aqui 54% dos respondentes no Brasil (aonde me incluo) e 44% na América Latina sinalizaram que o aumento da rigidez nos controles internos, muitas vezes em resposta a disrupções nos negócios ou pressões de desaceleração econômica, também figura como uma das prioridades nos próximos meses. Caso Americanas mais uma vez também ajudou.

3) Relatórios e Divulgações de Informações Sobre Questões de ESG (Ambientais, Sociais e de Governança):

Embora menos prevalente que os dois primeiros pontos, ainda é uma preocupação significativa, com 33% no Brasil, 37% na América Latina e 40% globalmente o destacando. Eu por exemplo sou um deles, que vejo este tema cada vez mais presente nas agendas do Coaud, assim como vejo a chegada de novas exigências regulatórias e padrões internacionais. Veremos as notas explicativas e relatórios de sustentabilidade cada vez mais completos, e o combate ao Greenwashing.

4) Riscos Geopolíticos e Econômicos:

Esses incluem fatores como inflação e possível recessão. 29% no Brasil, 34% na América Latina e 47% globalmente apontaram para esses riscos como relevantes. Pessoalmente, ainda que sempre devemos olhar estes desafios, acho que no Brasil já estamos muito acostumados com o tema, que já está no sangue, e talvez por isto tenham aqui um número bem menor do que nos demais países.

5) Novos Requisitos Regulatórios ou Demandas de Stakeholders por Divulgações com Mais Transparência:

Este item foi apontado por 22% dos respondentes no Brasil, 23% na América Latina e 27% a nível global. Também não é algo que me preocupa tanto, ainda que ache que precise sempre ser olhado e acompanhado. Acho que já faz parte da rotina.

6) Escassez de Talentos na Área Financeira e Contábil e/ou na Auditoria Interna:

Este fator foi apontado por 20% dos respondentes no Brasil, 21% na América Latina e 23% globalmente. Ainda que este tenha dado baixo no Brasil, eu tenho esta preocupação, pois acho que estamos em um divisor de água e uma nova revolução tecnológica, com o uso de ferramentas da dita inteligência artificial, com análise de dado em grandes volumes, que deverão ser adotados não apenas pelas áreas de front e de riscos, mas também pelos times de controles internos e auditoria, que vejo ainda pouco preparados para tal. Vai faltar analista e cientista de dados para tanta demanda.

Dadas essas estatísticas, é evidente que os Comitês de Auditoria estão diante de um ambiente cada vez mais complexo e dinâmico, exigindo uma revisão constante de suas agendas para incluir novas categorias de risco e conformidade. Além disso, as variáveis regionais mostram que o contexto local também tem um papel significativo nas prioridades desses comitês.

A pesquisa continuou, detalhando mais cada um destes pontos com novas perguntas mais específicas sobre cada um deles, e neste sentido é evidente que a gestão de riscos se tornou uma tarefa cada vez mais intricada e compartilhada entre os conselhos de administração e comitês de auditoria. Os dados da pesquisa mostram que o cenário é multifacetado e requer atenção para diversos pontos cruciais. Vejam as perguntas que fizeram e os resultados e meus comentários.

Quais outros riscos estão sob monitoramento mais profundo do comitê de auditoria?

No Brasil, os comitês de auditoria têm priorizado riscos como cibersegurança e TI (82%), gerenciamento de riscos pela gestão (ERM) (77%) e compliance legal e regulatório (74%). Pessoalmente o risco que mais me preocupa atualmente, como já disse aqui algumas vezes em meus posts, é o de ciber, até porque já passei por dois ataques bem-sucedidos com impactos distintos em duas empresas, que deixaram marcas e aprendizados. Agora será mais difícil (mas não impossível) acontecer novamente, até porque o segredo não está apenas na palavra prevenção, mas também principalmente na palavra resiliência.

Obviamente, como gestão de riscos é uma das minhas especialidades (e paixão), sou mais um dos que acha que este é um tema, se não tiver um comitê separado, como o tema e sua relevância cada vez maior mereceria, que seja sempre uma das prioridades do Coaud.

Como trabalho muito com setores regulados, acaba que o compliance é sempre outro tema que temos que estar sempre olhando. Então fui um dos que respondeu que estes 23 acima são prioridade na agenda.

A preocupação com riscos emergentes como ESG e mudanças climáticas ainda é relativamente baixa, mas vejo crescendo, em especial nas empresas mais maduras e com melhor governança.

Então o amplo escopo de temas acima demonstra que o comitê de auditoria não pode mais ser visto apenas como um órgão de supervisão financeira, mas como um pilar central na governança corporativa de riscos.

Como o comitê de auditoria está lidando com as preocupações sobre a carga de trabalho?

No contexto brasileiro, 29% consideram que a agenda/carga de trabalho é adequada, o que pode ser um sinal de que a eficiência operacional ainda necessita de melhorias. A realocação das responsabilidades de supervisão de riscos entre os demais comitês é praticada por apenas 22% das empresas. Essa métrica muda drasticamente para empresas maiores, onde a porcentagem chega a 71%.

Pessoalmente, sou daqueles que acha de forma adequada, até porque não vejo os comitês fazendo o papel das áreas de gestão de riscos, controles internos e auditoria, mas sim ajudando, dando o direcionamento, e logicamente supervisionando todos os trabalhos. Normalmente gosto de dividir os temas ao longo do ano pelas reuniões, tendo certeza de que vamos abordar cada um deles ao menos uma vez.

Quem é o responsável pela supervisão do gerenciamento dos riscos críticos para o negócio?

No Brasil, 40% dos respondentes apontam o conselho de administração como principal responsável, enquanto 34% apontam o comitê de auditoria. Essa divisão de responsabilidades revela uma descentralização de poderes e demonstra a necessidade de uma abordagem integrada para a gestão de riscos.

Pessoalmente, acho que no final das contas é do Conselho, mas sabemos que nem sempre existe esta expertise, e que na maioria das vezes esta responsabilidade é compartilhada por isto mesmo com o Coaud (ou Coris), que tem uma composição mais técnica de especialistas. Eu sempre visto esta camisa e me sinto responsável por esta tarefa e ajuda.

Qual o grau de confiança sobre o entendimento dos riscos críticos?

Globalmente, a confiança é mais alta, com 59% dos respondentes se sentindo confiantes. No Brasil, esse número cai para 42%. Essa diferença pode ser um reflexo do cenário regulatório e econômico volátil no país.

Pessoalmente, acho que este entendimento ainda não é dos melhores. E a pior coisa na gestão dos riscos é quando, ou você não conhece os riscos que corre, ou menospreza e corre riscos acima de sua capacidade.

Por incrível que pareça, ainda não é comum vermos um bom trabalho de identificação e mitigação dos riscos, com uma matriz de riscos completa, atualizada e de conhecimento de todos. Falta maturidade para a maioria. Muito o que trabalhar e o papel do Coaud (e Coris) é de ajudar neste processo e exigir um bom trabalho de atualização da matriz.

Estes pontos são altamente relevantes para os comitês de auditoria, pois indicam uma necessidade crescente de adaptabilidade, competência técnica e integração com outros órgãos de governança. A gestão de riscos evoluiu para um processo contínuo e abrangente que exige vigilância constante e capacidades diversificadas.