0%
Rodrigo Vogliotti

Metodologia COSO - Parte 2

Transcrição

Ainda estamos falando sobre a metodologia coso. Segundo cozo, o gerenciamento dos riscos corporativos é constituído de oito componentes e esses componentes são inter-relacionados pela qual a administração faz a gestão das suas atividades, e eles devem estar integrados no processo de gestão às áreas de negócio. Quando fazem as suas atividades precisam seguir esses componentes, o que está dizendo aqui é que todas essas questões de avaliação de riscos e controles não devem ser isoladas da empresa devem estar inseridos nas atividades de negócio. Essa é a principal mensagem, vamos conhecer um pouco mais sobre esses componentes, então eu vou explicar aqui pelo desenho. Normalmente a gente chama isso de cubo do cozo. Nós falamos de três principais pilares da metodologia na aula anterior, então ele está aqui ele está consolidado. Nós falamos dos objetivos operacionais estratégicos. Era o primeiro, o segundo de comunicação que são as informações financeiras e contábeis e o terceiro de conformidade às leis. Então a metodologia deve buscar atingir esses objetivos, e aqui é o como qual que é o passo a passo que eu preciso fazer para contribuir com esses objetivos da organização. Primeiro uma avaliação do ambiente interno a gente vai falar um pouco mais nos próximos slides. A gente precisa fixar os objetivos que eu quero garantir identificar os eventos e os processos. Os riscos avaliar os riscos identificados dar uma resposta para esse risco que normalmente é definir o controle. Avaliar as atividades de controle ter uma visão das informações e comunicações geradas e fazer o monitoramento dessas atividades. Então esse é o passo a passo. Essa é a sequência para a implantação da metodologia coso que a gente vai explorar aqui na sequência, e para quem se aplica essa metodologia para cobrir esses objetivos. Para garantir esses objetivos, ele vai desde o nível da organização a própria organização em si, mas a gente pode direcionar para uma divisão específica para uma unidade de negócio, ou mesmo para uma subsidiária a mesma metodologia. A gente pode aplicar sobre a visão da empresa inteira só para um segmento só para a humanidade de negócio ou mesmo para uma subsidiária. Então possibilita ter cent aqui de abrangência para as unidades da empresa, mas vamos explorar um pouco mais primeiro componente ambiente interno. Aqui compreende qual que é o tom da organização para a avaliação dos riscos, qual que é a metodologia que a empresa vai utilizar como que ela vai abordar o seu pessoal com relação aos riscos co. A filosofia de gerenciamento de riscos se vai ter apetite de riscos. O que é apetite de riscos é a definição de um limite, eu só aceito risco até determinado limite acima disso eu não aceito. Esse é meu apetite como que vai ser a integridade. A avaliação dos valores éticos dentro dessa organização, então é o ambiente de riscos. A empresa quer controlar mais seus riscos, quer controlar menos essa é a filosofia depois vai fixar os objetivos. Os objetivos devem existir antes que a administração possa identificar eventos em potencial que pode afetar a sua realização. O gerenciamento dos riscos corporativos vai assegurar que a administração da empresa tem um processo implantado para estabelecer seus objetivos e vai garantir um suporte ali para tudo que a organização tem para realizar suas missões e que seja compatível com o seu apetite de risco, quais são os objetivos da empresa, o que ela quer fazer onde ela quer chegar. E como a aceitação dos riscos está relacionada a isso, vamos pegar um exemplo de um banco que a gente gosta muito de tratar aqui em função do gerenciamento de risco ser muito forte o banco quanto mais risco ele correr mais alavancado. Ele for maior tem de ser a sua rentabilidade. O apetite de risco é muito grande, tem bancos que querem correr muitos riscos, outros não outros são mais contidos. Os objetivos definidos é um objetivo de rentabilidade clara claro querem ter rentabilidade, mas não tão forte não querem estar tão alavancados para correr mais riscos. Então esses objetivos são fundamentais para direcionar como que vai ser a gestão do risco em si. O terceiro componente é a identificação dos eventos de risco. Os eventos podem ser internos ou externos vamos lá, exemplo de evento interno, uma fraude interna ou qualquer outro risco que aconteça internamente e um evento externo pode ser como a gente falou uma inundação ou qualquer situação que aconteça de fora para dentro e esses eventos podem influenciar. O cumprimento dos objetivos da organização pode prejudicar as suas atividades e precisam ser classificados entre riscos e oportunidades. Algumas situações vão ser riscos que devem ser mitigados e outras vão ser oportunidades que podem gerar mais dinheiro muito importante. Essa avaliação. As oportunidades são canalizadas para os processos para definir as estratégias e seus objetivos, então essa avaliação de riscos os controles oportunidades é muito importante. E aí nós temos o quarto componente que é a avaliação dos riscos, aqueles eventos de riscos que foram identificados. Eles devem ser analisados e classificados em função de probabilidade e impacto. O que é probabilidade qual é a chance desse risco? Se materializar qual a chance desse risco acontecer desse problema acontecer, qual que é a probabilidade é maior ou é menor e qual que é o impacto. Impacto a gente sempre vai lembrar de impacto financeiro se acontecesse risco qual que é o tamanho da perda financeira que eu vou ter qual é o impacto nas minhas finanças. E isso vai ser a base para determinar como que a gente vai administrar esses riscos, os riscos são avaliados quanto a sua condição inerentes e ou residuais, o que é isso. O risco inerente é o risco que existe no processo. Quando avalia um processo, uma atividade identifica o risco, esse é o risco inerente que está lá já está no processo. O que é o risco residual depois que eu avalio os riscos e tenho um controle ainda pode ter algum resquício de risco. É o risco residual e às vezes, esse risco residual é tão pequeno que eu vou aceitar conviver. Um exemplo simples. Imagina que a gente tem um risco que um tamanho de 100, mas eu tenho controles nesse risco. Faço ele ser mitigado por um tamanho de 10 e aí como ele é muito pequeno, eu vou conviver ao risco residual. Cinco respostas ao risco. A administração escolhe as respostas ao risco como evitando aquele risco, aceitando o risco, reduzindo o risco ou compartilhando risco. Veja uma série de medidas para alinhar os riscos com a tolerância e o apetite de risco que a companhia quer ter se a companhia tem um apetite de risco muito grande, ela pode aceitar o risco está dentro do que eu quero aceitar, vou correr esse risco e está tudo certo, mas tem situações que eu vou evitar se eu quero evitar o risco ou se eu quero reduzir o risco. Eu preciso ter os controles. Quando eu crio o controle coloco um controle natividade, eu vou evitar e vou reduzir ou outra palavra sinônimo que a gente usa muito mitigar o risco ou também eu posso compartilhar posso compartilhar esse risco, vou dar um exemplo aqui bem comum as empresas de seguros normalmente elas são consultadas para cobrir o risco de grandes projetos. Imagina uma refinaria de petróleo imensa. E aí a petrobras quer cobrir esse risco e chama uma seguradora, mas fica muito caro. No caso de um incêndio dessa refinaria fica muito caro para uma seguradora cobrir tirar dinheiro do seu caixa e cobrir para compartilhar esse risco, ela chama outras seguradoras e faz o que a gente chama de resseguro. E aí, por exemplo, cinco seguradoras agora compartilham risco e se caso tenha um incêndio caso, as seguradoras tenham que pagar, em vez de uma seguradora pagar todo o prejuízo para a petrobras como cobertura. Agora cinco o risco é dividido em cinco a cinco cada uma paga uma parte então o risco compartilhado, então a resposta vai depender do que é melhor para a companhia. Seis as atividades de controle. Aqui as políticas e procedimentos que são criadas e implementadas para assegurar a resposta, ela ser executadas com eficácia. Então eu tenho uma atividade com um para evitar que essa atividade seja feita de uma forma indevida, eu crio uma política, um manual de procedimentos, um passo a passo que deve ser seguido o colaborador que vai realizar essa atividade ele vai seguir o passo a passo. Isso tende a evitar uma falha operacional. Por exemplo, porque ele vai seguir o passo a passo, vai seguir aquilo que está no manual, e isso vai fazer com que não tenha os riscos. Materializados veja é uma atividade de controle que foi criada para Evitar os riscos, sete informações e comunicações. Informações relevantes. São identificadas colhidas e comunicadas no prazo para permitir que se cumpra suas responsabilidades. A comunicação eficaz também ocorre num sentido bem amplo, fluindo em todos os níveis da organização, o que é essa parte, tudo que a gente viu aqui de avaliar o ambiente de controle, identificar os riscos classificar os riscos, criar os devidos controles os controles. Tudo isso deve ser documentado e bem comunicado dentro da organização. Faz todo o sentido ter comitês de avaliação de riscos e controles. Uma boa metodologia de gestão de riscos requer que os riscos sejam os inerentes sejam os residuais sejam devidamente informados para os executivos e por último, o monitoramento. A gestão dos riscos corporativos é monitorada e são feitas modificações necessárias para o seu aprimoramento. Monitoramento é realizado através de atividades gerenciais que são contínuas são periódicas. Existem avaliações independentes que são realizadas. O que é o monitoramento. Não faz sentido ter uma avaliação de risco ao longo do ano e depois, nos outros meses não ter mais avaliações. O monitoramento requer que as avaliações de risco os testes de controle sejam contínuos sejam feitos periodicamente pelos responsáveis seja pelas internos, seja pela auditoria interna, mostrando seus resultados que tenham acompanhamentos periódicos que tenham indicadores de riscos mensais ou periódicos, mostrando o tamanho das perdas. Se as perdas que aconteceram no passado continuam acontecendo, então o monitoramento, inclusive esse monitoramento deve ser submetido aos com de risco para acompanhamento e para avaliação muito importante a realização também do monitoramento dos riscos, controles e das perdas que aconteceram e falando da evolução na metodologia aquoso. Em 2013 nós, tivemos uma nova versão da metodologia aquoso, qual foi o objetivo garantir a eficácia e a robustez da estrutura de controles internos que já havia sido criada lá em 92. Algumas questões não mudaram porque elas já estão consistentes, mas outras mudaram o que não mudou a definição principal de controles internos que a gente viu as três categorias de objetivos e os componentes de controles internos que a gente já passou também e o papel importante do julgamento que existe na concepção. Implementação e gestão dos controles de ferramentas de vários. Mas de de tudo isso existe um julgamento. Existe uma avaliação que é feita desde os profissionais de controles internos, mas também dos comitês dos executivos, qual o julgamento de risco sobre tudo isso e o que mudou. Houve uma expansão do escopo na divulgação, além da divulgação das informações financeiras, qual que é a ideia além do foco das demonstrações financeiras, lembra que tudo começou aí ter os controles internos para garantir as demonstrações financeiras. Agora, a ideia é que tenha divulgação de riscos e controles para todos os processos da empresa. Todas as atividades relevantes da empresa não só aquelas vinculadas às demonstrações financeiras. Os aspectos de governança também agora estão mais amplos a função dos comitês de risco. As suas atribuições ficou mais claro a importância. Um alinhamento desta gestão de risco e controle com o modelo de negócio. O modelo de negócio deve estar inserido nessa visão de riscos e controles e consideração mais explícita dos prestadores de serviço terceirizados. Tem muitos riscos que acontecem muitas perdas que acontecem quando a empresa terceiriza suas atividades. Então tem uma preocupação muito grande com os prestadores terceiros e por fim, a capacidade de adaptação e adequação dos sistemas de controles internos. Com relação à mudança de negócio, os negócios estão cada vez mais dinâmicos, e essas mudanças também devem acontecer nos seus sistemas de controles. Imagina que um negócio muda, tem um novo foco, uma nova estratégia, um novo produto e o controle fica defasado. A avaliação de risco fica defasada, e isso não pode acontecer.