Módulo 2Implementando a SOX,

identificando riscos, definindo controle, verificando riscos

residuais, analisando processos e exercícios

O que acontecerá a seguir?

Os departamentos de Contabilidade e Finanças devem revisar os procedimentos de Contabilidade e os procedimentos de Controle Internos. A documentação para as tarefas específicas de contabilidade realizadas pela controladoria devem determinar onde os riscos são baseados no volume de transações, valores de ativos, porcentagem da receita bruta, tamanho das contas dos clientes etc.

É melhor utilizar as pessoas que atualmente trabalham na função criando os procedimentos. Os procedimentos e políticas necessitam ser adequados cuidadosamente para a companhia. O uso de cópia das telas do software é hoje uma forma comum e de qualidade para esclarecer melhor os procedimentos de trabalho.

Uma das coisas que os auditores internos vão querer fazer é analisar a realização dos processos e seu foco primário deverá ser nos controles e transações e no que acontece se algo dá errado ou vai mal. Em outras palavras, os auditores estarão olhando os controles dentro da companhia e não necessariamente se os números foram adicionados corretamente desde a última auditoria realizada.

Implementação

Também é recomendado criar fluxogramas para os processos, identificar os donos dos processos, documentos criados e controles internos dentro dos próprios fluxogramas. Desta forma será fácil para os auditores interno e externo seguirem os processos. Também é seguro contratar um auditor externo como consultor para criar os fluxogramas. A estrutura do COSO -Committee of Sponsoring Organizations of the Treadway Commission deve ser incluída na documentação. Desde que os procedimentos e registros sejam criados já teremos um bom começo.

Tendo os fluxogramas documentados, os riscos podem ser identificados e controles podem ser definidos documentados e aplicados (o que fazer e quem é responsável), depois da implantação os controles devem ser auditados para garantir sua eficiência operacional e se necessário devem ser revisados até que se possa garantir a sustentabilidade de todo processo.

Um projeto como esse deve ser iniciado com um planejamento, pois caso contrário pode-se perder o controle e os prazos finais, reuniões de análise crítica são boa prática uma vez que mudar o processo durante o próprio processo faz parte do processo.

Implementação

Mapa para ImplementaçãoV

alo

r p

ara

o N

egó

cio

Conformidade com a SOX

1. Plano e Escopo

2. Avaliação de Riscos

3. Identificar Controles e Responsabilidades

4. Documentar Controles

5. Avaliar Controles

6. Avaliar Eficiência operacional

7. Determinar Fraquezas no material

8. Documentar Resultados

9. Construir SustentabilidadeHavendo fluxogramas de todos os processos

Administração De Riscos

Risco está relacionado à escolha, não ao acaso, pois

decorre da incerteza inerente ao conjunto de possíveis

conseqüências (ganhos e perdas) que resultam de

decisões tomadas diariamente pela organização.

Definição de riscos

Risco é o potencial que uma dada ameaça possui para explorar vulnerabilidades e causar perda ou dano a

organização

Riscos de Negócios

Tipos de RiscosTipos de Riscos

Variáveis que alteram o valor de um instrumento

financeiro.

Perdas resultantes de processos internos, pessoas e sistemas

inadequados.

Atividades nas quais o êxito depende de cumprimento

pela outra parte, emitente ou tomador.

MERCADO OPERACIONAIS CRÉDITO

Visão GeralO Que Todos os Executivos Deveriam Questionar?

� Quais as melhores práticas de controle e gestão de riscos? Existem sistemas de controle e gestão que indiquem eventuais falhas de controle, por exemplo, fraudes, perdas?

� Nossos processos e controles para divulgação nos asseguram que todas as informações relevantes foram identificadas, quantificadas e reportadas?

� Nossa estrutura de governança corporativa está adequada às necessidades?

� Código de ética.� Conselho de Administração e Comitês de Auditoria e

Fiscal.� Parâmetros razoáveis para bônus e lucros.

Políticas, procedimentos, atividades e mecanismos,

desenvolvidos para assegurar que os objetivos de

negócios sejam atingidos e que eventos indesejáveis

sejam prevenidos ou detectados e corrigidos.

Definição de controles

• EVITAR RISCOS – exemplo: controles automatizados inibidores com eficácia altíssima,como os controles contra violações do ambiente de tecnologia da informação, queobrigatoriamente devem buscar eficácia de 100%;

• REDUZIR RISCOS – exemplo: controles preventivos ou detentivos para prevenir errosdentro de limites aceitáveis, como controles de revisão e análise para verificar se todasas transações relevantes foram classificadas adequadamente;

• COMPARTILHAR/TRANSFERIR RISCOS – exemplo: segurar bens e direitos contrariscos diversos, como hedge para prevenir perdas (variação de câmbio, preço, juros etc.);

• ACEITAR RISCOS – Após verificar a probabilidade e impacto dos riscos e considerar atolerância de riscos da empresa e o custo das três ações acima, a administração define olimite de exposição a riscos aceitável. As Áreas de Controle Interno, Auditoria Interna eGestão de Riscos auxiliam a Administração à verificar se o nível de exposição estádentro dos limites autorizados.

Fonte: Enterprise RisK Management (COSO II)

Observação:"hedging" consiste em realizar um determinado investimento com o objetivo específico de reduzir ou eliminar o risco de outro investimento ou transação, um exemplo é o caso de uma empresa que tem de pagar uma fatura em moeda estrangeira no prazo de 60 dias. Se comprar hoje, num mercado de futuros, um montante dessa moeda equivalente ao valor da fatura, consegue isolar-se do risco de ocorrerem alterações da taxa de câmbio que tornem a transação mais cara na sua moeda.

Tipos de respostas a riscos

� PREVENTIVO (P) - Executado no início do processo, previne o acontecimento de erros ou irregularidades e minimiza os riscos na fonte. Controle pró-ativo, portanto mais eficaz que o corretivo.

� CORRETIVO (C) - Executado ao longo do processo, detecta erros que são difíceis de definir ou prever, controle reativo, portanto menos eficaz que o preventivo.

� AUTOMATIZADO (A) - Controle executado por sistemas automatizados, não depende de julgamentos pessoais. Para garantir sua consistência e precisão é preciso ter um sistema seguro e confiável.vEste controle é mais eficaz que o manual.

� MANUAL (M) - Controle manual executado por pessoas. Menos eficaz que o automatizado.

� PERIODICIDADE DIVERSIFICADA - a cada evento, diário, semanal, mensal, trimestral, anual etc., a periodicidade do controle deve ser compatível com a freqüência da incidência dos eventos de risco cobertos pelo controle.

Alternativas de controles

O grau de tolerância aos riscos definido pela Alta Administração.

Riscos

Ausência de Controles

Controles + Tolerânciaà Riscos

Exposição aRiscos Inaceitáveis

Riscos

Controles + Tolerânciaà Riscos

Controles em Excesso

Exposição aCustos Excessivos

Riscos

Controles + Tolerânciaà Riscos

Controles Adequados

Controles InternosEficientes

Conceitos BásicosGrau de Tolerância

• A administração discute os riscos e respostas dos riscos associadosem reuniões regulares com os empregados.

• A administração divulga regularmente aos empregados os riscos daempresa como um todo.

• As políticas corporativas da administração de riscos, padrões eprocedimentos devem estar prontamente disponíveis aosempregados junto com declarações claras exigindo o devidocumprimento.

• A administração exige que os empregados consultemadequadamente outros dentro da empresa quando novos eventosforem identificados.

• Sessões de orientação a novos empregados devem incluirinformações e literatura sobre a filosofia da administração de riscos esobre o programa corporativo de administração de riscos.

• É exigido que empregados já na posse de seus cargos façamworkshops e/ou cursos renovadores sobre as iniciativas da empresada administração corporativa de riscos.

• A filosofia da administração de riscos é reforçada através deprogramas internos de divulgação.

Divulgando a Filosofia de Administração de Riscos

Melhorar o Valor p/ AcionistasRever a Estratégia de

Crescimento Estratégia de Produtividade

Construir aFranquia

Aumentar Valor p/ o Cliente

Melhorar a estruturade custos

Melhorar o usode ativos

Trabalhadores motivados e preparados

Preço

Perspectiva

Financeira

Perspectiva

Clientes

Perspectiva

Processos

Internos

Perspectiva

Aprendizado e

Crescimento

Atributos Produto/Serviço

Competências Tecnologias Vontade

“Construção de Franquias”

“Aumentar o Valorp/ o Cliente”

“Alcançar aexcelência

operacional

“Seja um bom vizinho”

(Processos deInovação)

(Processos degerenciamento

dos Clientes

(Processos operacionaise logística)

(Normas eProcessos Ambientais

Proposta de Valor p/ Cliente

Qualidade

Excelência Operacional

Liderança no Produto

Proximidade c/ o Cliente

� Satisfação do Cliente

� Atração de Clientes � Retenção de Clientes

Prazo Serviço Relações Marca

Relacionamento Imagem

� Fatia de Mercado

Exemplo: Mapa estratégico considerando as 4 perspectivas do BSC e universo de riscos em todas as relações

Monitorar grau de exposicão aos riscos e status de implementação das ações

Selecionar risco para avaliação

Consolidar Planos de ação

Exposição aceitável ou inaceitável?

Aceitável

Inaceitável

Identificar fatores de contribuição

Desenvolver recomendações

Discutir definição do risco, atividades

afetadas e origem do risco

Determinar Impacto do riscoProcesso

Unidade de Negócio

Organização

Discutir controles

DefinirProbabilidade do Risco

Validar recomendações e definir responsáveis pela implementação

Elaboração de Planos de Ação

Avaliação de Risco

Sequência clássica na gestão de riscos

Objetivo de Aquiescência

Unidades de medidas

AlvoTolerância de Risco

Riscos

Pesticidas são utilizados em áreas proibidas

Pesticidas são utilizados nas premissas da empresa de acordo com todas as leis ambientais relevantes e regulamentações

Taxa de Aquiescência

100% de Aquiescência

2%Risco Inerente

Probalidade ImpactoRisco Selecionado Resposta (Controle)

Risco Residual

Probabilidade Impacto

Moderado Multas, sanções, danos na reputação

Distribuição de todos os pesticidas para o uso nas terras da empresa écoordenada através do departamento das Instalações

Um formulário de notificação na internet épreenchido por todas as pessoas base estabelecendo os detalhes chave 72 horas antes que o pesticida seja aplicado

Todas as áreas proibidas estão claramente marcadas

BaixaMultas,

sanções, danos na reputação

Exemplo de quadro de respostas aos Múltiplos Riscos

Uma empresa estima os riscos ao seu objetivo de manter uma força de trabalho com qualidade.

A probabilidade é considerada em termos de mudança percentual dentro de um período específico e impacto em termos de custos de ineficiências operacionais e custos para repor, manter e desenvolver empregados.

Os códigos em cor realçam aqueles riscos que tem maior probabilidade de ocorrer e maior probabilidade de ter efeitos significantes sobre os objetivos.

Exemplo de estimativa dos riscos ao objetivo de “manter uma força de trabalho com qualidade”

Categoria Descrição do risco Probabilidade

Impacto

A Remuneração Insatisfação dos empregados com a remuneração resulta em maiores mudanças de equipe.

Possível Moderado

B Reconhecimento

Empregados se sentem não reconhecidos, resultando em redução do foco nas tarefas e maiores taxas de erros.

Improvável Pequeno

C Perda de Funcionários

Empregados são utilizados em excesso e trabalham consideravelmente além do horário. A equipe procura trabalho em outra organização que ofereça um melhor equilíbrio de trabalho/vida.

Provável Moderado

D Demografia Mudar a composição demográfica do grupo de empregados causa aumento de mudanças.

Quase certo

Moderado

E Mercado empregatício

Aumento de demanda de empregados por empresas contratantes. Improvável Moderado

F Avaliação de desempenho

Insatisfação dos empregados com as medidas de avaliação de desempenho e processos causam baixa disposição, fazem a equipe se focalizar em objetivos não críticos, e perda da boa convivência da equipe.

Possível Moderado

G Comunicação Comunicação inefetiva entre empregados e a administração resulta em mensagens confusas e na procura de empregos alternativos.

Possível Moderado

H Segurança do local de trabalho

Local de trabalho inseguro causa dano ao empregado e pedido de demissão. A equipe é prejudicada por outros que se preocupam com questões de segurança.

Improvável Alto

I Desenvolvimento da carreira

Os empregados percebem um controle limitado sobre o desenvolvimento de suas carreiras, causando maiores trocas.

Possível Moderado

Exemplo de estimativa dos riscos ao objetivo de “manter uma força de trabalho com qualidade”

A

B

C

D

E

F G

H

I

J

5

4

3

2

1

1 2 3 4 5

Imp

acto

Probabilidade

A. Remuneração

B. Reconhecimento

C. Diminuição

D. Demografia

E. Mercado Empregatício

F. Avaliação

do Desempenho

G. Comunicação

H. Segurança do Local de Trabalho

I. Desenvolvimento da Carreira

J. Diversidade de Trabalho

Mapa do Risco - Probabilidade e Impacto para manter uma força de trabalho com qualidade

Avaliação dos Riscos de Processos – modelo I

� Efetuar análise geral de riscos:

� Entendimento geral dos objetivos de negócio.

� Condução de reuniões com os principais executivos da Organização, com oobjetivo de entendermos os principais riscos.

� Elaboração de questionários de avaliação.

� Seleção e consolidação dos riscos a serem avaliados (Linguagem Comum deRisco).

� Identificação dos indicadores de risco potencial, considerando aspectos decontrole, gestão e tecnologia.

� Mapeamento e avaliação dos riscos selecionados.

� Identificação dos controles que minimizam os riscos existentes.� Avaliar alternativas de ferramentas / sistemas para gestão de riscos,

documentação e acompanhamento dos processos.� Elaboração e validação do plano de trabalho.

Avaliação dos Riscos de Processos – modelo II

� Definir e revisar os processos críticos e principais controles.

� Entendimento do desenho processo (fluxo do processo).

� Avaliação dos riscos aplicáveis ao processo.

� Análise da estrutura de controles do processo (“benchmarking”).� Catalogação das oportunidades de melhoria identificadas na execução da

revisão dos processos de negócio.

� Identificação dos indicadores de risco do processo

� Definição de plano de ação, base para a implantação das oportunidades identificadas.

Implantação de Controles Internos

Visão Geral - Benefícios de uma Estrutura de Controles

Internos Consistente

Controle Interno Consistente

� Reduz potencial para fraudes� Conquista (ou reconquista) a

confiança dos investidores � Observa leis e regulamentações� Reduz o risco de perda de

recursos� Otimiza decisões de negócio com

maior qualidade� Identifica operações ineficientes� Minimiza denúncias

Controle Interno Inconsistente

� Aumenta a exposição a fraudes� Informações financeiras imprecisas� Publicidade desfavorável� Impacto negativo nos valores das

ações� Sanções de órgãos de controle� Processos ou outras ações legais� Perda de ativos� Decisões de negócio sub-otimizadas

Não Confiáveis

Ambiente Imprevisível.Não há sistema de informação integrado.

Informais

Existem controles mas eles não estão adequadamente documentados.

Padronizados

As atividades de controle estão documentadas e padronizadas.

Monitorados

Controles padronizados e testados periodicamente. Os resultados dos testes são reportados à gerência.

Otimizados

Sistemas integrados, hámonitoramento em tempo real e aprimoramento contínuo.

20042005 2006

(SOX)

Lei Sarbanes OxleyCiclo de Evolução dos Controles Internos

RiscosRiscos

MonitorizaçãoMelhoria

Definição

ExecuçãoVerificação

1. Alta Administração

• Elabora as estratégias de negócio

• Define diretrizes gerais (políticas) e limites de exposição a riscos

• Fornece recursos necessários

• Responsável final pelo adequado funcionamento do ambiente de controles

2. Gestores de Negócio

• Executa as ações

• Monitora as operações no dia-a-dia (tomada de decisão)

• Assume riscos

• Implementa os controles

3. Auditoria Interna

• Realiza trabalhos de revisão de aspectos operacionais e financeiros, assim como das funções de compliance

• Fornece uma avaliação independente do ambiente de controles internos

• Auxilia a organização a melhorar seus processos de negócio

4. Gestão de Riscos e Compliance

• Auxilia a organização na monitorização dos riscos e melhoria do ambiente de controles

• Mensura exposição (base de perdas e auto-avaliação)

• Assegura conformidade:

• Externa: leis e regulamentações

• Interna: políticas e procedimentos e Código de Ética

• Comunica os resultados para a Alta Administração

1

2

22

3

3 44

Fonte: Deloitte

Relação entre papéis e responsabilidades da auditoria com outros relacionados

Exercício

Indique se é Verdadeiro ou Falso:

1. ( ) Definição de controles: são políticas, procedimentos, atividades e mecanismos, desenvolvidos para assegurar que os objetivos de negócios sejam atingidos e que eventos indesejáveis sejam prevenidos ou detectados e corrigidos.

2. ( ) Todos os executivos deveriam poder responder a seguinte pergunta: Nossa estrutura de governança corporativa está adequada às necessidades?

3. ( ) Definição de risco: risco é o potencial que uma dada ameaça possui para explorar vulnerabilidades e causar perda ou dano à organização.

4. ( ) Para que os riscos sejam identificados a organização deve ter seus processos mapeados, uma boa prática é elaborar fluxogramas para identificar com clareza os pontos onde controles existem e onde deveriam ser implantados.

5. ( ) Controles internos consistentes: aumentam a exposição a fraudes, fornecem informações financeiras imprecisas, aumentam a probabilidade de publicidade desfavorável e podem causar impacto negativo nos valores das ações.

6. ( ) A organização pode transferir/compartilhar, reduzir, aceitar e evitar riscos.

7. ( ) Para garantir a eliminação dos riscos a organização deve implantar todos os controles internos que forem possíveis e adequados aos riscos existentes.

8. ( ) Podemos eliminar completamente os riscos.

Resposta do exercício

Indique se é Verdadeiro ou Falso:

1. ( V ) Definição de controles: são políticas, procedimentos, atividades e mecanismos, desenvolvidos para assegurar que os objetivos de negócios sejam atingidos e que eventos indesejáveis sejam prevenidos ou detectados e corrigidos.

2. ( V ) Todos os executivos deveriam poder responder a seguinte pergunta: Nossa estrutura de governança corporativa está adequada às necessidades?

3. ( V ) Definição de risco: risco é o potencial que uma dada ameaça possui para explorar vulnerabilidades e causar perda ou dano à organização.

4. ( V ) Para que os riscos sejam identificados a organização deve ter seus processos mapeados, uma boa prática é elaborar fluxogramas para identificar com clareza os pontos onde controles existem e onde deveriam ser implantados.

5. ( F ) Controles internos consistentes (inconsistentes): aumentam a exposição a fraudes, fornecem informações financeiras imprecisas, aumentam a probabilidade de publicidade desfavorável e podem causar impacto negativo nos valores das ações.

6. ( V ) A organização pode transferir/compartilhar, reduzir, aceitar e evitar riscos.

7. ( F ) Para garantir a eliminação dos riscos a organização deve implantar todos os controles internos que forem possíveis e adequados aos riscos existentes. (burocratiza e tem custo alto)

8. ( F ) Podemos eliminar completamente os riscos. (sempre existem riscos residuais)

Fim do módulo 2