0%
Rodrigo Vogliotti

Identificação dos Controles

Transcrição

Vamos agora pra próxima etapa, depois de identificar os riscos na matriz de riscos e classificar os riscos como a gente viu em função da matriz de. Eventos de risco olhando a sua probabilidade e seu impacto, a próxima etapa do framework de controle de riscos é a resposta ao risco. É definir os controles necessários para mitigar aquele risco. Vejam como o racional ainda continua aqui, porque os riscos baixos vão ter poucos ou nenhum controle. Como eu comentei, é, a companhia, em muitos casos, vai assumir esse risco. Mais controles de maior risco médio, alto risco extremo precisam ser devidamente controlados, por isso que a gente precisa do passo anterior. Então, voltando aqui no framework de riscos, controles que que a gente já passou, já passamos a fase de de identificar e mapear os riscos. Já priorizamos esses riscos com base nos riscos priorizados na classificação desses riscos. E agora a gente vai para resposta aos riscos, né? Pensando nos controles, qual que é o ambiente de controle que eu preciso ter para esses riscos? Estamos nesse momento. Lembrando que esse framework de controles internos é o framework proposto pelo cos, que é a principal metodologia para gestão de riscos, para gestão de controles internos. Dentro de uma empresa, dentro de uma organização. Vamos seguir e voltando aos nossos exemplos. Exemplo, um processo de venda via telemarketing nós tínhamos até então. Chegado até a identificação dos riscos e agora a gente vai chegar no nível do controle, relembrando a atividade. Realize o contato inicial com o cliente e solicito o número do CPF do solicitante. O objetivo é identificar o cliente. O risco é a falta de segurança com os dados e a perda associada era a perda de não realizar venda a custo do atendente. Nós estávamos aqui. E agora, nessa matriz de riscos, nessa linha da matriz, a gente inclui essa coluna de controle. Qual que é o controle que a gente pode ter nessa atividade? OCPF ou CNPJ do cliente do solicitante é digitado no sistema da empresa e o sistema vai informar se ele é válido ou não. Imagina que é um fraudador. Ele frauda o CPF. Né, que era a situação que a gente estava preocupado aqui quando a empresa digita no seu sistema os OCPF. Daquela pessoa que é um CPF fraudado, que não é válido, o sistema vai dizer que OCPF não é válido. E vai. É emitir um alerta para que não seja feita a venda para esse cliente, pois possivelmente é um fraudador. Veja, é o tipo de controle preventivo. Vamos lembrar dos tipos preventivo, detetive, né? Os 2 principais aqui é um controle preventivo. Essa checagem do CPF previne uma venda indevida. Previne o envio do produto para um cliente que não iria pagar porque é um fraudador. Está então um controle preventivo. Ele previne a venda que a principal atividade aqui do processo. É interessante a gente saber como se encaixa o controle na matriz de risco. Vamos ver outro exemplo. Que era o exemplo, 2 processo de aprovação de crédito, vamos lembrar, a atividade era, o departamento financeiro recebe o pedido de venda com os dados do cliente e vai verificar se esse cliente já tem limite de crédito aprovado. O objetivo é garantir que o cliente tem capacidade financeira para pagar a sua compra. Risco, risco de inadimplência, risco de crédito e a perda perda associada ao não pagamento do cliente no prazo estabelecido. Qual que é o controle que nós podemos ter para evitar o risco de inadimplência? Verificar no sistema de crédito se o cliente já possui limite de crédito aprovado. Vejam, o controle é uma verificação. O analista aqui, que faz atividade lá do departamento financeiro, vai verificar no sistema se ele já tem limite, aprovado, está tudo certo, vai dar OK na aprovação. A empresa vai efetivar a venda, né? E vai mandar ali o boleto para pagamento do cliente, já pode enviar o produto. Porém, se aquele cliente não tem limite de crédito para ler o processo. Volta uma mensagem de que o cliente precisa enviar suas informações financeiras para ser feita a avaliação de crédito pela área competente. Depois da avaliação de crédito, ele vai ter o seu limite de crédito aprovado e ele pode voltar aqui nessa etapa, nessa atividade de novo. É um controle preventivo. A checagem no sistema para ver se o cliente tem o limite de crédito previne a venda. Que a empresa não receberia, né? Se o risco se materializasse, então ele previne. É, antes de realizar a venda de novo, um controle preventivo. Tá claro? A gente vai ter situações também de controles detectivos. Coincidentemente, esses 2 são controles preventivos e aí fica fácil de visualizar como isso fica na matriz de riscos. Riscos? E os controles? E depois esses controles vão ser testados. Não é em uma visão de certificação para ver se ele é efetivo, né? Mas aí são os próximos passos. Na última etapa, após a definição dos testes de controle, né? Que eu acabei de falar, podemos elaborar a matriz de riscos e controles é qual que é o objetivo dessa matriz é ter uma visão integrada dos riscos inerentes da organização e avaliar qual que é o nível de resposta ao risco. Então vou voltar aqui na explicação. Esse controle, ele é feito diariamente dentro da área responsável. Pode ser aqui a área financeira. Então chega um cliente, vem uma venda para ser realizada e é feita essa checagem do limite de crédito. Todo dia esse controle efetuado aí vão ter as evidências desse controle, né? As evidências são as consultas sistemicas para cada um dos clientes. Só que fica a dúvida, qual que é a dúvida? Esse controle está funcionando? Todo dia, quando vem 11 venda para ser realizada, o analista aqui da área de da área financeira faz essa consulta ou teve algum caso? Teve algum dia que ele não realizou a consulta e a venda passou sem ter a verificação do limite de crédito? É uma pergunta interessante aí, entre a atuação da área de riscos, ou melhor, da área de controles internos. A área de controles internos. Testa esse controle, testa a efetividade desse controle. Como que ele faz? Vai pedir as evidências para o analista aqui da área financeira? Vai fazer uma seleção de clientes e vai pedir se para todos esses clientes houve a consulta ao sistema para ver se tinha aprovação de crédito. Imagina que ele selecionou 10 casos e ele olhou a evidências dos 10 casos e os 10 casos tiveram a devida consulta do limite de crédito? O analista de controles internos vai concluir que esse controle está efetivo, né? Que é ótimo, né? Perfeito, né? Todo mundo quer, toda empresa quer que seus controles sejam efetivos, mas imagina que ele selecionou 10 casos e ele viu que o analista esqueceu de consultar um dos casos e a venda era uma venda de 100000 BRL, uma venda relevante para a empresa não teve a consulta do limite de crédito. Veja, o risco de inadimplência pode se materializar. Porque não teve a consulta do limite de crédito? Teve uma falha aqui no analista, ele deveria ter consultado para 10 clientes, consultou só para 9. Aí o controle vai ser inefetivo, porque ele não foi feito para a totalidade. Então essa resposta de controles internos é importante e agora a gente vai ter essa resposta na matriz de riscos. Matriz de riscos e controles essa matriz de riscos de controles é uma excelente ferramenta para fazer uma gestão adequada dos riscos numa visão geral, principalmente pela alta administração, tá? Muito importante é ter uma visão dessa dentro da sua organização, porque a gente vai verificar é a combinação dos riscos e controles sobre a ótica dessa matriz que eu vou explicar agora. Essa é a matriz de risco e controles que que a gente tem. Nós temos um eixo, que é o eixo x, onde ele vai falar do ambiente de controle, que pode ser adequado, moderado, insuficiente ou não. Há controle, que é o pior de todos. E o impacto inerente pode ser alto, médio, baixo ou imaterial. Aqui é a visão de riscos. Combinada com impacto financeiro. E aqui é a visão dos controles, veja o que interessante. Eu posso ter um risco com impacto muito alto. Mas o ambiente de controle está adequado? Ele vai estar aqui, ó, ó alto, Combinado com adequado, ele vai estar plotado aqui. Veja só que ele ainda é laranja. Por que que ela é laranja? Ah, o ambiente está adequado? Foram feitos testes de controle e o todos controles efetivos? Perfeito. Mas esses controles tem que ser acompanhados muito bem, porque o risco é alto se esse controle falhar. A empresa terá problemas? E a gente pode ter uma situação de risco muito alto. E se o ambiente não estiver controlado, ele vai estar no vermelho. Que que esse vermelho quer dizer que a empresa precisa envidar os melhores esforços pra resolver esse ambiente de controle. Esses riscos são inerentes. Esse risco alto é inerente que que eu preciso, preciso melhorar o ambiente de controle. Se eu tenho um risco aqui que ele é alto e não tem controle, preciso criar controle. Para ele, vim encaminhando para cá, conforme mais controles eu crio, ele vai vindo para cá até eu ter um ambiente adequado. Quando eu tiver um ambiente adequado ou moderado, vou estar mais tranquilo. Aqui é é péssimo para a organização e, claro, a gente vai ter os cenários bons. Imagina um risco baixo com um ambiente adequado? A organização está tranquila, um risco baixo. Com um ambiente de controle moderado, né, vai estar tranquila, é, mas ó, um risco baixo, com ambiente suficiente, ó, é um alerta, é um amarelo, não um vermelho, mas é um amarelo. Então vejam que interessante é usar essa matriz de risco e aqui normalmente são plotados principais riscos, os maiores riscos, por exemplo, risco de crédito, como a gente viu, risco de inadimplência como um todo, não é onde ele está plotado nessa matriz, se ele tiver aqui nessa região. Hoje é um problemática. Se ele tiver para cá, é uma região muito mais tranquila. Então os diretores, né? Da organização, gostam muito de ver os riscos e controles nessa visão. Então, para concluir. Essa é uma matriz que combina a visão de risco com a visão dos controles testados, bem interessante para uma boa gestão de riscos.