Neste artigo, abordaremos como o framework COSO pode ser aplicado para atender às Resoluções do BACEN de Controles Internos. A Resolução CMN nº 4.968 de 25/11/2021 e a Resolução BCB nº 260 de 22/11/2022 estabelecem diretrizes sobre os sistemas de controles internos das instituições supervisionadas pelo Banco Central do Brasil.
Inicialmente, apresentaremos os conceitos fundamentais. Em seguida, demonstraremos a aplicação prática através de cruzamentos detalhados entre as exigências regulatórias e os componentes do COSO. Dessa forma, profissionais de Controles Internos poderão visualizar claramente o caminho para a conformidade.
Principais diferenças entre as Resoluções
A Resolução CMN 4.968/21 aplica-se às instituições financeiras e demais entidades autorizadas pelo Banco Central. Por outro lado, a Resolução BCB 260/22 dirige-se especificamente às administradoras de consórcio e instituições de pagamento.
Como estratégia metodológica, este artigo apresenta um mapeamento detalhado entre as exigências das Resoluções e os componentes do COSO. Consequentemente, os profissionais poderão implementar soluções práticas e eficazes.
0. Considerações importantes antes de começar
0.1. Não existe solução universal
Primeiramente, é fundamental esclarecer que não existe uma “receita pronta” para atingir conformidade com as resoluções. Cada organização possui características únicas que demandam adaptações específicas.
0.2. Caráter de apoio técnico
Da mesma forma, este conteúdo funciona como apoio técnico. Não representa a única forma de atingir os objetivos regulatórios. Portanto, cabe ao profissional de Controles Internos avaliar e adaptar as sugestões conforme necessário.
0.3. Personalização por organização
Adicionalmente, não existe verdade absoluta no mundo dos controles internos. Cada empresa possui particularidades que influenciam a implementação do COSO. Consequentemente, aspectos como perfil de risco, cultura organizacional, engajamento das equipes e tamanho da empresa devem ser considerados.
0.4. Processo contínuo de melhoria
Por fim, utilizar o COSO não é um projeto com início e fim definidos. Trata-se de um processo contínuo que permite evolução constante do ambiente de controle. Além disso, possibilita identificar sinais de alerta sobre mudanças operacionais que podem afetar o sistema de controles.
0.5. Pré-requisitos de conhecimento
Antes de abordar as Resoluções CMN nº 4.968 e BCB nº 260, explicaremos detalhadamente o framework COSO. Isso inclui sua estrutura, componentes, princípios e pontos focais. Também abordaremos o conceito de componente “presente e funcionando”.
1. Fundamentos dos Controles Internos
1.1. Definição de controle corporativo
Um controle representa qualquer mecanismo de prevenção de perdas organizacionais. No ambiente corporativo, define-se como qualquer ação tomada pela organização para gerir riscos. Consequentemente, aumenta-se a probabilidade de alcançar objetivos e metas estabelecidos.
1.2. Conceito de controles internos
Um controle interno constitui um processo conduzido pela estrutura de governança e administração. É desenvolvido por profissionais da entidade para proporcionar segurança razoável. Abrange a realização de objetivos relacionados a operações, divulgação e conformidade. Pode ser automatizado ou manual.
É importante destacar que o termo “controles internos” (ou “Controles Internos”) pode ser encontrado em diferentes contextos organizacionais com significados distintos. Por vezes, refere-se ao departamento ou setor responsável pela gestão dos controles internos da instituição. Em outras situações, menciona os próprios mecanismos de controle que os diferentes setores, departamentos ou a empresa como um todo possui implementados. Portanto, ao encontrar referências a “controles internos” em documentos, políticas ou comunicações organizacionais, é fundamental sempre considerar o contexto específico em que o termo aparece para compreender adequadamente seu significado pretendido.
Nota: A expressão “estrutura de governança” engloba órgãos deliberativos como conselho de administração, conselho consultivo, sócios, proprietários ou conselho supervisor.
1.3. Características essenciais dos controles internos
O controle interno apresenta características fundamentais que devem ser compreendidas:
1.3.1. Foco em objetivos múltiplos
É direcionado para atingir objetivos em categorias distintas mas interconectadas. Essas categorias incluem operações, reporte e conformidade.
1.3.2. Natureza processual
Constitui um processo de tarefas e atividades contínuas. Representa um meio para atingir fins específicos. Não é um objetivo final em si mesmo.
1.3.3. Elemento humano central
É implementado por pessoas em todos os níveis organizacionais. Vai além de políticas, manuais, sistemas e formulários. Depende fundamentalmente das ações humanas para sua efetividade.
1.3.4. Segurança razoável
Proporciona avaliação razoável, não absoluta, para alta administração e conselho. Reconhece limitações inerentes de qualquer sistema de controle interno.
1.3.5. Flexibilidade estrutural
Adapta-se à estrutura específica de cada entidade. Permite aplicação flexível para subsidiárias, divisões, unidades operacionais ou processos específicos.
1.4. Natureza dinâmica e integrada
O controle interno não funciona como processo sequencial. Pelo contrário, opera como processo dinâmico e integrado. O framework aplica-se a organizações de todos os portes. Inclui entidades com e sem fins lucrativos, além de órgãos governamentais. Entretanto, cada organização pode implementar controles internos de forma diferenciada.
1.5. Por que controles internos são necessários?
1.5.1. Gestão de riscos organizacionais
Os controles internos são essenciais porque toda organização enfrenta riscos significativos. Estes riscos variam desde falência empresarial até má utilização de ativos organizacionais. Também incluem preparação incorreta de relatórios financeiros ou informações não financeiras relevantes.
1.5.2. Função mitigadora de riscos
Os controles internos são projetados especificamente para mitigar esses tipos de risco. Por exemplo, empresas que não preparam informações financeiras precisas enfrentam duplo problema. Primeiramente, apresentam-se incorretamente ao público. Simultaneamente, tornam-se incapazes de tomar decisões gerenciais adequadas.
1.5.3. Propósito fundamental
Portanto, podemos afirmar que controles internos existem para atenuar ameaças à consecução de objetivos. A única maneira eficaz de avaliar a qualidade dos controles é através de metodologias estruturadas como o COSO.
2. Framework COSO: Estrutura completa para instituições financeiras
2.1. Visão geral do COSO Internal Control – Integrated Framework
O COSO (Committee of Sponsoring Organizations) desenvolveu um framework integrado para controles internos. Este framework tornou-se padrão mundial para implementação e avaliação de sistemas de controles internos. No contexto das instituições supervisionadas pelo BACEN, o COSO oferece estrutura robusta para atender exigências regulatórias.
2.2. Os cinco componentes do COSO
O framework COSO estrutura-se em cinco componentes interconectados. Cada componente contribui para a efetividade geral do sistema de controles internos:
2.2.1. Ambiente de controle
Estabelece a base para todos os demais componentes. Define o tom organizacional e influencia a consciência de controle das pessoas.
2.2.2. Avaliação de riscos
Identifica e analisa riscos relevantes para atingir objetivos. Forma a base para determinar como os riscos devem ser gerenciados.
2.2.3. Atividades de controle
Constituem políticas e procedimentos que ajudam a assegurar cumprimento das diretrizes gerenciais. Garantem que ações necessárias sejam tomadas para mitigar riscos.
2.2.4. Informação e comunicação
Identifica, captura e comunica informações pertinentes de forma que permita às pessoas cumprir suas responsabilidades.
2.2.5. Atividades de monitoramento
Avalia a qualidade do desempenho do sistema de controle interno ao longo do tempo. Identifica deficiências e promove melhorias contínuas.
2.3. Controle interno eficaz
A estrutura de controle interno do COSO ICIF possui 17 (dezessete) princípios para apoiar os 5 (cinco) componentes e os 3 (três) objetivos do sistema de controle interno.
De acordo com o COSO, um sistema eficaz de controle interno requer cada um dos cinco componentes e princípios relevantes estejam presentes e funcionando. Além disso, os cinco componentes devem operar juntos e de maneira integrada.
É importante entender as definições do COSO relacionados aos termos:
- “Presente” refere-se à determinação de que o componente e os princípios relevantes existem no desenho e na implementação do sistema de controle interno para realizar os objetivos especificados. Ou seja, os componentes e princípios foram projetados e implantados através de controles.
. - “Em funcionamento” refere-se à determinação de que os componentes e princípios relevantes continuam a existir nas operações e condução dos controles internos ao longo do tempo. Ou seja, continua a existir na aplicação do controle.
. - “Operar juntos” refere-se à determinação de que todos os cinco componentes, em conjunto, reduzam a um nível aceitável o risco de não se atingir o objetivo.
Ao verificar se um componente está presente e funcionando, a alta administração, com a supervisão da estrutura de governança, precisa determinar até que ponto os princípios relevantes estão presentes e funcionando. Entretanto, o fato de um princípio estar presente e funcionando não significa que a organização se esforce para buscar o mais alto nível de desempenho na aplicação desse princípio em particular. Ao contrário, a administração exercerá julgamento na ponderação dos custos e benefícios do desenvolvimento, da implementação e da aplicação do controle interno.
Quando existe uma deficiência maior com respeito à presença e ao funcionamento de um componente ou princípio relevante, ou com respeito à operação conjunta dos componentes de uma forma integrada, a organização não pode concluir que já possui um sistema eficaz de controle interno.
2.3.1. Controle presente e funcionando
As Resoluções CMN 4.968/21 e BCB 260/2022 estabelecem requisitos específicos para estrutura de governança. Estes requisitos alinham-se diretamente com os princípios do COSO relacionados ao Ambiente de Controle.
Tabela 1: Avaliação da presença e funcionamento dos componentes e princípios do COSO
| Breve descrição do cenário hipotético da empresa avaliada: | A empresa ACME é uma fabricante de componentes eletrônicos de capital aberto, com oito divisões. Possui sede na Europa e com unidades de fabricação e varejo na Europa e América Latina. |
| Componente avaliado: | Avaliação de Riscos. |
| Princípio avaliado: | Princípio 7 - Identifica e analisa riscos: a organização identifica os riscos à realização de seus objetivos por toda a entidade e analisa os riscos como uma base para determinar a forma como devem ser gerenciados. |
| Este princípio está presente na empresa? | Sim |
| Este princípio está funcionando na empresa? | Não |
| Explicação / conclusão da avaliação: |
Esse princípio foi avaliado em cada unidade e uma deficiência de controle interno foi observada na “Unidade Bruxelas”, pois o processo para analisar os riscos a fim de determinar como eles devem ser gerenciados não está funcionando.
Foram selecionados e desenvolvidos controles detalhados (isto é, políticas e procedimentos escritos), mas eles não foram aplicados. Os riscos não estão sendo analisados com eficácia para avaliar a sua importância e determinar como eles devem ser gerenciados. A análise dos processos de avaliação de riscos nas outras unidades da empresa revelou que eles estavam presentes e funcionando. |
Conseguiu perceber a diferença na prática? Ou seja, de que adianta ter (existir) políticas e procedimentos escritos se não são seguidos e aplicados na empresa?
2.4. Os 17 princípios do COSO
Cada um dos cinco componentes desdobra-se em princípios específicos. Ao todo, são 17 princípios que devem estar “presentes e funcionando” para que o sistema seja considerado eficaz:
2.4.1. Ambiente de controle (Princípios 1-5)
- (1) Demonstra compromisso com integridade e valores éticos
- (2) Exerce responsabilidade de supervisão
- (3) Estabelece estrutura, autoridade e responsabilidade
- (4) Demonstra comprometimento com competências
- (5) Aplica responsabilização (accountability)
2.4.2. Avaliação de riscos (Princípios 6-9)
- (6) Especifica objetivos adequados
- (7) Identifica e analisa riscos
- (8) Avalia risco de fraude
- (9) Identifica e analisa mudanças significativas
2.4.3. Atividades de controle (Princípios 10-12)
- (10) Seleciona e desenvolve atividades de controle
- (11) Seleciona e desenvolve controles gerais de tecnologia
- (12) Implementa através de políticas e procedimentos
2.4.4. Informação e Comunicação (Princípios 13-15)
- (13) Usa informações relevantes
- (14) Comunica internamente
- (15) Comunica externamente
2.4.5. Atividades de Monitoramento (Princípios 16-17)
- (16) Conduz avaliações contínuas e/ou independentes
- (17) Avalia e comunica deficiências
3. Aplicação prática: COSO vs. Resoluções BACEN
Agora que percorremos as principais informações acerca do COSO (e do COSO ICIF), estamos preparados para dar o próximo passo, que é conectá-lo com os requisitos da Resolução CMN nº 4.968, que aborda sobre o sistema de controles internos que as instituições reguladas pelo Banco Central do Brasil devem possuir.
Para começarmos, vamos pegar o Art. 3º da Resolução CMN nº 4.968, no “Capítulo II – Dos Sistemas de Controles Internos”, na “Seção I – Da Obrigatoriedade e dos Objetivos”:
Tabela 2: Finalidade dos controles internos conforme Resolução BACEN vs. COSO ICIF
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II - DOS SISTEMAS DE CONTROLES INTERNOS
Seção I - Da Obrigatoriedade e dos Objetivos Art. 3º Os sistemas de controles internos devem ter como finalidade o atingimento dos objetivos de: |
* * * |
| I - desempenho: relacionado à eficiência e à efetividade no uso dos recursos nas atividades desenvolvidas; | Objetivos operacionais |
| II - informação: relacionado à divulgação voluntária ou obrigatória, interna ou externa, de informações financeiras, operacionais e gerenciais, que sejam úteis para o processo de tomada de decisão; e | Objetivos de divulgação |
| III - conformidade: relacionado ao cumprimento de disposições legais, regulamentares e previstas em políticas e códigos internos. | Objetivos de conformidade |
Viu como os objetivos se entrelaçam?
3.1. Elementos da Resolução 4.968/21 versus Componentes do COSO ICIF
Agora, vamos seguir em frente. Pegamos agora o Art. 5º da Resolução CMN nº 4.968 e os seus cinco incisos e os correlacionamos com os cinco componentes equivalentes do COSO ICIF:
Tabela 3: Características dos controles Resolução BACEN vs. Componentes COSO ICIF
| ELEMENTOS DA RESOLUÇÃO 4.968/2021 | COMPONENTES DO COSO ICIF |
|
CAPÍTULO II - DOS SISTEMAS DE CONTROLES INTERNOS
Seção II - Das Características Essenciais Art. 5º Os sistemas de controles internos devem prever: |
* * * |
| I - quanto aos aspectos relacionados à cultura de controle. | Ambiente de Controle |
| II - quanto aos aspectos relacionados à identificação e à avaliação de riscos. | Avaliação de Riscos |
| III - quanto aos aspectos relacionados às atividades de controle e segregação de funções. | Atividades de Controle |
| IV - quanto aos aspectos relacionados à informação e à comunicação. | Informação e Comunicação |
| V - quanto aos aspectos relacionados ao monitoramento. | Monitoramento |
Percebeu a sinergia e relacionamento entre o normativo e o COSO ICIF?
Só a título de informação e curiosidade (mesmo porque está revogada desde 01/01/2022), você também podia visualizar essa correlação com o COSO observando a Circular nº 3.467/2009, que estabelecia critérios para elaboração dos relatórios de avaliação da qualidade e adequação do sistema de controles internos e de descumprimento de dispositivos legais e regulamentares.
3.2. Estrutura de Governança e Ambiente de Controle
Agora que você já viu, de forma macro, o relacionamento entre os incisos de I a V do Art. 5º da Resolução CMN nº 4.968 (o que os sistemas de controles internos devem prever) com os cinco elementos do COSO, vamos explorar cada um deles?
Na tabela abaixo, correlacionei os aspectos requeridos pelo BACEN quanto à previsão dos sistemas de controles internos voltados à cultura de controle versus os princípios do COSO que você pode utilizar para endereçá-los.
Para fins de padronização das terminologias usadas nas tabelas mais abaixo, cabe frisar que nelas haverão as seguintes informações:
- Componentes: os componentes representam o que é necessário para atingir os objetivos (são cinco componentes de acordo com o COSO).
. - Princípios: são conceitos fundamentais associados aos componentes. Os princípios são características importantes dos componentes. Os controles fornecem evidências de que os princípios relevantes estão funcionando na companhia.
. - Pontos focais do princípio: são características importantes dos princípios e auxiliam no desenho, implantação ou aplicação do princípio. Nas tabelas a seguir, os pontos focais foram listados através de marcadores romanos (i, ii, iii etc.), logo abaixo dos princípios que estão associados. Os pontos de foco e os controles estão sujeitos a julgamentos da administração.
Tabela 4: Estrutura de governança e ambiente de controle – BACEN vs. COSO
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II – DOS SISTEMAS DE CONTROLES INTERNOS
Seção II – Das Características Essenciais Art. 5º Os sistemas de controles internos devem prever: |
* * * |
| I – quanto aos aspectos relacionados à cultura de controle | – Componente: Ambiente de Controle |
| a) definição das responsabilidades dos funcionários nos sistemas de controles internos e dos respectivos meios para o seu eficaz cumprimento; |
– Princípio 2: A estrutura de governança demonstra independência em relação aos seus executivos e supervisiona o desenvolvimento e o desempenho do controle interno.
(i) Estabelecer as responsabilidades pela supervisão; (ii) Utilizar experiências relevantes (membros devem estar capacitados a questionar e tomar ações compatíveis); (iii) Operar de forma independente (membros independentes em número suficiente e objetivos); (iv) Exercer a supervisão do sistema de controle interno (desenho, implementação e aplicação dos 5 componentes pela administração). – Princípio 3: A administração estabelece, com a supervisão da estrutura de governança, as estruturas, os níveis de subordinação e as autoridades e responsabilidades adequadas na busca dos objetivos. (i) Considerar todas as estruturas da entidade; (ii) Estabelecer linhas de subordinação; (iii) Definir, atribuir e limitar autoridades e responsabilidades: a. Estrutura de governança; b. Alta administração; c. Administração (Supervisores/Gestores); d. Equipe (Staff); e. Prestadores de serviços terceirizados. – Princípio 4: A organização demonstra comprometimento para atrair, desenvolver e reter talentos competentes, em linha com seus objetivos. (i) Estabelecer políticas e práticas (definição de competências necessárias); (ii) Avaliar a competência e tratar as deficiências (na organização e prestadores de serviços); (iii) Atrair, desenvolver e reter talentos (aconselhamento e treinamento; recursos suficientes e competentes); (iv) Planejar e preparar a sucessão (planos devem ser desenvolvidos pela alta administração e estrutura de governança). |
|
b) obrigatoriedade de comunicação tempestiva ao adequado nível gerencial, por parte dos funcionários, de:
1. problemas nas operações; 2. situações de não conformidade com os padrões de conduta definidos pela instituição; e 3. violações das políticas da instituição ou de disposições legais e regulamentares; |
– Princípio 1: A organização demonstra ter comprometimento com a integridade e os valores éticos.
(i) Liderar pelo exemplo. (ii) Estabelecer normas de conduta. (iii) Avaliar a adesão às normas de conduta. (iv) Tratar decisões de forma oportuna. – Princípio 2: A estrutura de governança demonstra independência em relação aos seus executivos e supervisiona o desenvolvimento e o desempenho do controle interno. (i) Estabelecer as responsabilidades pela supervisão; (ii) Utilizar experiências relevantes (membros devem estar capacitados a questionar e tomar ações compatíveis); (iii) Operar de forma independente (membros independentes em número suficiente e objetivos); (iv) Exercer a supervisão do sistema de controle interno (desenho, implementação e aplicação dos 5 componentes pela administração). – Princípio 3: A administração estabelece, com a supervisão da estrutura de governança, as estruturas, os níveis de subordinação e as autoridades e responsabilidades adequadas na busca dos objetivos. (i) Considerar todas as estruturas da entidade; (ii) Estabelecer linhas de subordinação; (iii) Definir, atribuir e limitar autoridades e responsabilidades: a. Estrutura de governança; b. Alta administração; c. Administração (Supervisores/Gestores); d. Equipe (Staff); e. Prestadores de serviços terceirizados. – Princípio 14: A organização transmite internamente as informações necessárias para apoiar o funcionamento do controle interno, inclusive os objetivos e responsabilidades pelo controle. (i) Comunicar as informações de controle interno (para entendimento e condução de responsabilidades de controle interno). (ii) Comunicar-se com a estrutura de governança (entre a alta administração e estrutura de governança para cumprir suas funções). (iii) Fornecer linhas de comunicação independentes (anônimo e confidencial quando canais normas estão inoperantes ou são ineficazes). (iv) Selecionar métodos de comunicação relevantes (considerando tempestividade, público e natureza). |
| c) proibições de estabelecimento de metas de desempenho que incentivem a tomada de riscos em desacordo com os níveis determinados pela alta administração; |
– Princípio 5: A organização faz com que as pessoas assumam responsabilidade por suas funções de controle interno na busca pelos objetivos.
(i) Exigir a prestação de contas por meio de estruturas, autoridades e responsabilidades (comunica, obriga a prestar contas, implementa ações corretivas); (ii) Estabelecer métricas, incentivos e recompensas de desempenho; (iii) Avaliar continuamente a relevância de métricas, incentivos e recompensas de desempenho; (iv) Considerar pressões excessivas (avaliar e ajustar); (v) Avaliar o desempenho e recompensar ou aplicar ações disciplinares às pessoas. – Princípio 8: A organização considera o potencial para fraude na avaliação dos riscos à realização dos objetivos. (i) Considerar os vários tipos de fraude; (ii) Avaliar incentivos e pressões; (iii) Avaliar oportunidades; (iv) Avaliar atitudes e racionalizações. |
| d) formalização do compromisso com a ética e com a integridade, incluindo o cumprimento do código de ética ou de documento equivalente; |
– Princípio 1: A organização demonstra ter comprometimento com a integridade e os valores éticos.
(i) Liderar pelo exemplo. (ii) Estabelecer normas de conduta. (iii) Avaliar a adesão às normas de conduta. (iv) Tratar decisões de forma oportuna. |
| e) divulgação do código de ética ou documento equivalente; |
– Princípio 1: A organização demonstra ter comprometimento com a integridade e os valores éticos.
(i) Liderar pelo exemplo. (ii) Estabelecer normas de conduta. (iii) Avaliar a adesão às normas de conduta. (iv) Tratar decisões de forma oportuna. – Princípio 14: A organização transmite internamente as informações necessárias para apoiar o funcionamento do controle interno, inclusive os objetivos e responsabilidades pelo controle. (i) Comunicar as informações de controle interno (para entendimento e condução de responsabilidades de controle interno). (ii) Comunicar-se com a estrutura de governança (entre a alta administração e estrutura de governança para cumprir suas funções). (iii) Fornecer linhas de comunicação independentes (anônimo e confidencial quando canais normas estão inoperantes ou são ineficazes). (iv) Selecionar métodos de comunicação relevantes (considerando tempestividade, público e natureza). |
O ambiente de controle de uma empresa é complexo, e sua avaliação geralmente alguma subjetividade.
3.3. Identificação e Avaliação de Riscos
Na tabela abaixo, correlacionei os aspectos requeridos pelo BACEN quanto à previsão dos sistemas de controles internos voltados à identificação e avaliação de riscos versus os princípios do COSO que você pode utilizar para endereçá-los:
Tabela 5: Identificação e avaliação de riscos – BACEN vs. COSO
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II – DOS SISTEMAS DE CONTROLES INTERNOS
Seção II – Das Características Essenciais Art. 5º Os sistemas de controles internos devem prever: |
* * * |
| II – quanto aos aspectos relacionados à identificação e à avaliação de riscos: | – Componente: Avaliação de Riscos |
| a) meios para identificar e avaliar continuamente os fatores internos e externos que possam afetar adversamente a realização dos objetivos da instituição e, quando aplicável, do grupo econômico que esta integra; |
– Princípio 6: A organização especifica os objetivos com clareza suficiente, a fim de permitir a identificação e a avaliação dos riscos associados aos objetivos.
(i) Objetivos operacionais; (ii) Objetivos de divulgação financeira externa; (iii) Objetivos de divulgação não financeira externa; (iv) Objetivos de divulgação interna; (v) Objetivos de conformidade. – Princípio 7: A organização identifica os riscos à realização de seus objetivos por toda a entidade e analisa os riscos como uma base para determinar a forma como devem ser gerenciados. (i) Incluir os níveis de entidade, subsidiária, divisão, unidade operacional e áreas funcionais; (ii) Analisar fatores internos e externos; (iii) Envolver os níveis apropriados da administração; (iv) Estimar a importância dos riscos identificados; (v) Determinar como responder aos riscos. – Princípio 9: A organização identifica e avalia as mudanças que poderiam afetar, de forma significativa, o sistema de controle interno. (i) Avaliar mudanças no ambiente externo (ex.: Regulatório, Econômico, Físico [desastres naturais]). (ii) Avaliar mudanças no modelo de negócios (ex.: nova linha, aquisições, operações no exterior, rápido crescimento, nova tecnologia incorporada. (iii) Avaliar mudanças na liderança (filosofia diferente). |
| b) revisão e atualização periódica dos sistemas de controles internos, com a inclusão de medidas relacionadas a riscos novos ou não abordados anteriormente; |
– Princípio 9: A organização identifica e avalia as mudanças que poderiam afetar, de forma significativa, o sistema de controle interno.
(i) Avaliar mudanças no ambiente externo (ex.: Regulatório, Econômico, Físico [desastres naturais]). (ii) Avaliar mudanças no modelo de negócios (ex.: nova linha, aquisições, operações no exterior, rápido crescimento, nova tecnologia incorporada. (iii) Avaliar mudanças na liderança (filosofia diferente). – Princípio 16: A organização seleciona, desenvolve e realiza avaliações contínuas e/ou independentes para se certificar da presença e do funcionamento dos componentes do controle interno. (i) Considerar uma combinação de avaliações contínuas e independentes; (ii) Considerar o ritmo das mudanças (exigências de divulgação externa podem afetar a combinação); (iii) Estabelecer o entendimento da base de referência (desenho e situação atual); (iv) Utilizar pessoal com conhecimento; (v) Integrar aos processos de negócios; (vi) Ajustar o escopo e a frequência; (vii) Avaliar objetivamente. |
| c) medidas para mitigação dos riscos não tolerados e não controlados; e |
– Princípio 6: A organização especifica os objetivos com clareza suficiente, a fim de permitir a identificação e a avaliação dos riscos associados aos objetivos.
(i) Objetivos operacionais; (ii) Objetivos de divulgação financeira externa; (iii) Objetivos de divulgação não financeira externa; (iv) Objetivos de divulgação interna; (v) Objetivos de conformidade. – Princípio 7: A organização identifica os riscos à realização de seus objetivos por toda a entidade e analisa os riscos como uma base para determinar a forma como devem ser gerenciados. (i) Incluir os níveis de entidade, subsidiária, divisão, unidade operacional e áreas funcionais; (ii) Analisar fatores internos e externos; (iii) Envolver os níveis apropriados da administração; (iv) Estimar a importância dos riscos identificados; (v) Determinar como responder aos riscos. |
| d) análise do potencial de ocorrência de fraudes nas atividades desenvolvidas em todos os níveis de negócios; |
– Princípio 8: A organização considera o potencial para fraude na avaliação dos riscos à realização dos objetivos.
(i) Considerar os vários tipos de fraude; (ii) Avaliar incentivos e pressões; (iii) Avaliar oportunidades; (iv) Avaliar atitudes e racionalizações. |
Percebe como o COSO está intimamente ligado e pode ser nosso grande aliado?
3.4. Atividades de Controle e Procedimentos
Agora, vamos partir para o próximo elemento. Na tabela abaixo, correlacionei os aspectos requeridos pelo BACEN quanto à previsão dos sistemas de controles internos voltados às atividades de controle e segregação de funções versus os princípios do COSO que você pode utilizar para endereçá-los:
Tabela 6: Atividades de controle e procedimentos – BACEN vs. COSO
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II – DOS SISTEMAS DE CONTROLES INTERNOS
Seção II – Das Características Essenciais Art. 5º Os sistemas de controles internos devem prever: |
* * * |
| III – quanto aos aspectos relacionados às atividades de controle e segregação de funções: | – Componente: Atividades de Controle |
| a) políticas e procedimentos de controle, bem como a verificação do seu cumprimento; |
– Princípio 12: A organização estabelece atividades de controle por meio de políticas que estabelecem o que é esperado e os procedimentos que colocam em prática essas políticas.
(i) Estabelecer políticas (o que é esperado) e procedimentos (ações) para apoiar a implementação das diretrizes da administração; (ii) Estabelecer responsabilidade e prestação de contas pela execução das políticas e procedimentos; (iii) Realizar tempestivamente (tempo hábil, conforme definido); (iv) Tomar ações corretivas (investiga e atua); (v) Realizar recorrendo a pessoal competente; (vi) Reavaliar políticas e procedimentos (quanto a contínua relevância e atualização). |
| b) revisão e acompanhamento de atividades relevantes pelos adequados níveis gerenciais; |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
| c) controles de atividades apropriados para os diferentes departamentos ou áreas de negócios; |
– Princípio 11: A organização seleciona e desenvolve atividades gerais de controle sobre a tecnologia para apoiar a realização dos objetivos.
(i) Determinar a dependência entre o uso da tecnologia nos processos de negócios e os controles gerais de tecnologia (AC automatizadas e controles gerais); (ii) Estabelecer atividades de controle sobre a infraestrutura de tecnologia relevante (assegurar a completude, exatidão e disponibilidade); (iii) Estabelecer atividades de controle sobre os processos relevantes de gerenciamento de segurança (restringir direitos de acesso e proteger ativos contra ameaças externas); (iv) Estabelecer atividades de controle sobre os processos relevantes de aquisição, desenvolvimento e manutenção de tecnologia (a fim de realizar os objetivos). |
| d) controles físicos de ativos de valor, como acesso restrito, dupla custódia e inventários periódicos; |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
| e) verificação do cumprimento dos limites de exposição e acompanhamento das situações de não conformidades; |
– Princípio 12: A organização estabelece atividades de controle por meio de políticas que estabelecem o que é esperado e os procedimentos que colocam em prática essas políticas.
(i) Estabelecer políticas (o que é esperado) e procedimentos (ações) para apoiar a implementação das diretrizes da administração; (ii) Estabelecer responsabilidade e prestação de contas pela execução das políticas e procedimentos; (iii) Realizar tempestivamente (tempo hábil, conforme definido); (iv) Tomar ações corretivas (investiga e atua); (v) Realizar recorrendo a pessoal competente; (vi) Reavaliar políticas e procedimentos (quanto a contínua relevância e atualização). |
| f) sistema de aprovações e autorizações de transações sensíveis e de verificação e reconciliação; |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
| g) segregação apropriada das funções atribuídas aos integrantes da instituição, de forma a evitar situações de conflito de interesses; |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). – Princípio 11: A organização seleciona e desenvolve atividades gerais de controle sobre a tecnologia para apoiar a realização dos objetivos. (i) Determinar a dependência entre o uso da tecnologia nos processos de negócios e os controles gerais de tecnologia (AC automatizadas e controles gerais); (ii) Estabelecer atividades de controle sobre a infraestrutura de tecnologia relevante (assegurar a completude, exatidão e disponibilidade); (iii) Estabelecer atividades de controle sobre os processos relevantes de gerenciamento de segurança (restringir direitos de acesso e proteger ativos contra ameaças externas); (iv) Estabelecer atividades de controle sobre os processos relevantes de aquisição, desenvolvimento e manutenção de tecnologia (a fim de realizar os objetivos). |
| h) identificação e monitoramento independentes de áreas que possuam potencial conflito de interesses, com revisão periódica das responsabilidades e das funções que possam gerar conflitos dessa natureza; |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
| i) controles que visem a evitar o envolvimento da instituição em atividades indevidas ou ilícitas, em especial as relacionadas aos riscos sociais, ambientais e climáticos; |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
| j) procedimentos e controles previstos na legislação e regulamentação vigentes, visando à prevenção da utilização do sistema financeiro para a prática dos crimes de “lavagem” ou ocultação de bens, direitos e valores, e de financiamento do terrorismo; e |
– Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos.
(i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
| k) controles para prevenção, detecção, investigação e correção de fraudes; |
– Princípio 8: A organização considera o potencial para fraude na avaliação dos riscos à realização dos objetivos.
(i) Considerar os vários tipos de fraude; (ii) Avaliar incentivos e pressões; (iii) Avaliar oportunidades; (iv) Avaliar atitudes e racionalizações. – Princípio 10: A organização seleciona e desenvolve atividades de controle que contribuem para a redução, a níveis aceitáveis, dos riscos à realização dos objetivos. (i) Integrar-se com a avaliação de riscos (assegurar respostas); (ii) Considerar fatores específicos à entidade (ambiente, complexidade, natureza e escopo de operações…); (iii) Determinar os processos de negócios relevantes (quais requerem atividades de controle e se estão terceirizados); (iv) Avaliar a combinação de tipos de atividades de controle (manuais, automatizados, preventivos, detecção); (v) Considerar em quais níveis da entidade as atividades são realizadas (nível de transações ou nível mais alto) (ex.: Compras [variações]; Anal. de Desemp. de Neg. [real x orçado]); (vi) Abordar a segregação de funções (ou alternativas de controle quando não é possível). |
Praticamente todas as fraudes relevantes financeiras já ocorridas estiveram associadas com organizações que possuíam deficiências em seu ambiente de controle. Quer exemplos? WorldCom, Enron, Adelphia e instituições que sofreram com a crise financeira, como Lehman Brothers, Merrill Lynch e Citi.
Aliás, você sabia que a Enron possuía um dos melhores códigos de ética “escritos” da época? Entretanto, o conselho de administração costumeiramente anulava exigências envolvendo “conflitos de interesse”. Assim, permitiu que Andy Fastow, tesouro da empresa, montasse entidades com fins específicos cuja única finalidade era inflacionar lucros ou esconder prejuízos da empresa.
Controles são desenvolvidos para reduzir os riscos. Eles devem ser específicos aos riscos da organização e aos seus métodos de processamento de transações. Não há um conjunto único de controles recomendados que devem ser utilizados por todas as empresas. Há alguns, como o de segregação de funções e atividades, que podem ser comuns nas empresas, mas implantados de maneiras distintas. Por isso é importante que a administração identifique e implante os controles mais eficazes, em termos de custos e alinhados às suas necessidades, para lidar com riscos relevantes.
Além disso, as atividades de controle também se destinam a reduzir riscos associados a operações ineficazes ou ao descumprimento de políticas regulatórias ou da empresa. Os riscos e controles associados a operações e cumprimento de políticas comumente precisam ser considerados.
Note que o BACEN deixa, de maneira explícita, a menção a “segregação de funções”, e isso faz muito sentido devido a sua relevância e impacto que pode causar se negligenciada. A segregação tem como finalidade proteger contra o risco que um indivíduo possa perpetrar e encobrir uma fraude. Embora a segregação seja muito eficaz do ponto de vista de atenuar o risco, ela pode ser anulada por meio de conluio entre os funcionários. As organizações de menor porte devem considerar outras maneiras de atenuar o risco, pois geralmente não possuem pessoas suficientes para segregar plenamente todas as funções (adotar um controle de revisão periódico da atividade pode ser uma alternativa).
Muitas das atividades importantes de controle baseiam-se em políticas, procedimentos e no comprometimento de competência resultante do ambiente de controle da empresa.
3.5. Informação e Comunicação Organizacional
Surpreso até o momento em como as coisas estão conversando umas com as outras? Então continua aqui acompanhando.
Na tabela abaixo, correlacionei os aspectos requeridos pelo BACEN quanto à previsão dos sistemas de controles internos voltados às informações e comunicações versus os princípios do COSO que você pode utilizar para endereçá-los:
Tabela 7: Informação e comunicação organizacional – BACEN vs. COSO
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II – DOS SISTEMAS DE CONTROLES INTERNOS
Seção II – Das Características Essenciais Art. 5º Os sistemas de controles internos devem prever: |
* * * |
| IV – quanto aos aspectos relacionados à informação e à comunicação: | – Componente: Informação e Comunicação |
| a) canais de comunicação efetivos que assegurem aos funcionários, segundo o correspondente nível de atuação, o acesso a informações compreensíveis, confiáveis, tempestivas e relevantes para realização de suas tarefas e cumprimento de suas responsabilidades; |
– Princípio 14: A organização transmite internamente as informações necessárias para apoiar o funcionamento do controle interno, inclusive os objetivos e responsabilidades pelo controle.
(i) Comunicar as informações de controle interno (para entendimento e condução de responsabilidades de controle interno). (ii) Comunicar-se com a estrutura de governança (entre a alta administração e estrutura de governança para cumprir suas funções). (iii) Fornecer linhas de comunicação independentes (anônimo e confidencial quando canais normas estão inoperantes ou são ineficazes). (iv) Selecionar métodos de comunicação relevantes (considerando tempestividade, público e natureza). |
| b) fluxos de informações adequados para que os objetivos, estratégias, expectativas, políticas e procedimentos estabelecidos pelos superiores cheguem aos funcionários e as informações relevantes sejam compartilhadas entre os componentes organizacionais; |
– Princípio 14: A organização transmite internamente as informações necessárias para apoiar o funcionamento do controle interno, inclusive os objetivos e responsabilidades pelo controle.
(i) Comunicar as informações de controle interno (para entendimento e condução de responsabilidades de controle interno). (ii) Comunicar-se com a estrutura de governança (entre a alta administração e estrutura de governança para cumprir suas funções). (iii) Fornecer linhas de comunicação independentes (anônimo e confidencial quando canais normas estão inoperantes ou são ineficazes). (iv) Selecionar métodos de comunicação relevantes (considerando tempestividade, público e natureza). |
| c) metodologias para o registro e a manutenção de informações internas à instituição, como dados financeiros, operacionais e de conformidade; |
– Princípio 13: A organização obtém ou gera e utiliza informações significativas e de qualidade para apoiar o funcionamento do controle interno.
(i) Identificar os requisitos de informações (informações necessárias para outros componentes e realização de objetivos); (ii) Capturar fontes internas e externas de dados; (iii) Processar dados relevantes em informações; (iv) Manter a qualidade durante todo o processamento (tempestiva, atual, exata, completa, acessível, protegida, verificável e retida); (v) Considerar custos e benefícios. – Princípio 14: A organização transmite internamente as informações necessárias para apoiar o funcionamento do controle interno, inclusive os objetivos e responsabilidades pelo controle. (i) Comunicar as informações de controle interno (para entendimento e condução de responsabilidades de controle interno). (ii) Comunicar-se com a estrutura de governança (entre a alta administração e estrutura de governança para cumprir suas funções). (iii) Fornecer linhas de comunicação independentes (anônimo e confidencial quando canais normas estão inoperantes ou são ineficazes). (iv) Selecionar métodos de comunicação relevantes (considerando tempestividade, público e natureza). |
| d) diretrizes para a utilização de fontes externas de informações e para a divulgação ao público externo sobre eventos e condições de mercado relevantes para a tomada de decisão; |
– Princípio 13: A organização obtém ou gera e utiliza informações significativas e de qualidade para apoiar o funcionamento do controle interno.
(i) Identificar os requisitos de informações (informações necessárias para outros componentes e realização de objetivos); (ii) Capturar fontes internas e externas de dados; (iii) Processar dados relevantes em informações; (iv) Manter a qualidade durante todo o processamento (tempestiva, atual, exata, completa, acessível, protegida, verificável e retida); (v) Considerar custos e benefícios. – Princípio 15: A organização comunica-se com os públicos externos sobre assuntos que afetam o funcionamento do controle interno. (i) Comunicar-se com públicos externos (forma estruturada para informações relevantes). (ii) Possibilitar o recebimento de comunicações (clientes, fornecedores, auditores externos, órgãos reguladores, analistas financeiros, …). (iii) Comunicar-se com a estrutura de governança (resultado de avaliações externas). (iv) Fornecer linhas de comunicação independentes. (v) Selecionar métodos de comunicação relevantes (de acordo com tempestividade, público, natureza, requisitos e expectativas legais, regulatórias e fiduciárias). |
| e) sistemas de informação confiáveis e as respectivas medidas de segurança e monitoramento independente para sua manutenção; |
– Princípio 13: A organização obtém ou gera e utiliza informações significativas e de qualidade para apoiar o funcionamento do controle interno.
(i) Identificar os requisitos de informações (informações necessárias para outros componentes e realização de objetivos); (ii) Capturar fontes internas e externas de dados; (iii) Processar dados relevantes em informações; (iv) Manter a qualidade durante todo o processamento (tempestiva, atual, exata, completa, acessível, protegida, verificável e retida); (v) Considerar custos e benefícios. |
| f) requisitos relacionados ao adequado processamento de informações em formato eletrônico e previsão de trilha de auditoria adequada; |
– Princípio 13: A organização obtém ou gera e utiliza informações significativas e de qualidade para apoiar o funcionamento do controle interno.
(i) Identificar os requisitos de informações (informações necessárias para outros componentes e realização de objetivos); (ii) Capturar fontes internas e externas de dados; (iii) Processar dados relevantes em informações; (iv) Manter a qualidade durante todo o processamento (tempestiva, atual, exata, completa, acessível, protegida, verificável e retida); (v) Considerar custos e benefícios. |
| g) testes periódicos de segurança para os sistemas de informações e de tecnologia; e |
– Princípio 16: A organização seleciona, desenvolve e realiza avaliações contínuas e/ou independentes para se certificar da presença e do funcionamento dos componentes do controle interno.
(i) Considerar uma combinação de avaliações contínuas e independentes; (ii) Considerar o ritmo das mudanças (exigências de divulgação externa podem afetar a combinação); (iii) Estabelecer o entendimento da base de referência (desenho e situação atual); (iv) Utilizar pessoal com conhecimento; (v) Integrar aos processos de negócios; (vi) Ajustar o escopo e a frequência; (vii) Avaliar objetivamente. |
| h) planos de retomada e contingência de negócios para situações de interrupção da prestação de serviços da instituição em decorrência de eventos fora do seu controle, com previsão de utilização de instalações físicas remotas, inclusive de serviços prestados por terceiros; |
– Princípio 4: A organização demonstra comprometimento para atrair, desenvolver e reter talentos competentes, em linha com seus objetivos.
(i) Estabelecer políticas e práticas (definição de competências necessárias); (ii) Avaliar a competência e tratar as deficiências (na organização e prestadores de serviços); (iii) Atrair, desenvolver e reter talentos (aconselhamento e treinamento; recursos suficientes e competentes); (iv) Planejar e preparar a sucessão (planos devem ser desenvolvidos pela alta administração e estrutura de governança). – Princípio 11: A organização seleciona e desenvolve atividades gerais de controle sobre a tecnologia para apoiar a realização dos objetivos. (i) Determinar a dependência entre o uso da tecnologia nos processos de negócios e os controles gerais de tecnologia (AC automatizadas e controles gerais); (ii) Estabelecer atividades de controle sobre a infraestrutura de tecnologia relevante (assegurar a completude, exatidão e disponibilidade); (iii) Estabelecer atividades de controle sobre os processos relevantes de gerenciamento de segurança (restringir direitos de acesso e proteger ativos contra ameaças externas); (iv) Estabelecer atividades de controle sobre os processos relevantes de aquisição, desenvolvimento e manutenção de tecnologia (a fim de realizar os objetivos). |
Cabe frisar que não basta que uma empresa tenha um sistema de informação que facilite a identificação oportuna de problemas de desempenho e falhas de controle. O sistema de informação, em si próprio, não é suficiente. Ele deve permitir que seja feita a comunicação às pessoas certas para garantir que as providências necessárias sejam tomadas.
Desde o surgimento da SOX, há um reconhecimento claro da necessidade de uma comunicação “de baixo para cima”, particularmente, quando um funcionário está preocupado com algo que considera impróprio nas operações da empresa (afinal, se lembra das fraudes que comente mais acima?). Isso é o que se chama de “função de denúncia”, que comumente inclui processos que permitem que a comunicação seja feita de forma anônima e não leve a represálias.
3.6. Monitoramento Contínuo e Avaliações
Preparados para seguirmos para o último dos elementos? Vamos lá!
Na tabela abaixo, correlacionei os aspectos requeridos pelo BACEN quanto à previsão dos sistemas de controles internos voltadas às atividades de monitoramento versus os princípios do COSO que você pode utilizar para endereçá-los:
Tabela 8: Monitoramento contínuo e avaliações – BACEN vs. COSO
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II – DOS SISTEMAS DE CONTROLES INTERNOS
Seção II – Das Características Essenciais Art. 5º Os sistemas de controles internos devem prever: |
* * * |
| V – quanto aos aspectos relacionados ao monitoramento: | – Componente: Atividades de Monitoramento |
| a) monitoramento contínuo da eficácia dos sistemas de controles internos e dos principais riscos associados às atividades da instituição; |
– Princípio 16: A organização seleciona, desenvolve e realiza avaliações contínuas e/ou independentes para se certificar da presença e do funcionamento dos componentes do controle interno.
(i) Considerar uma combinação de avaliações contínuas e independentes; (ii) Considerar o ritmo das mudanças (exigências de divulgação externa podem afetar a combinação); (iii) Estabelecer o entendimento da base de referência (desenho e situação atual); (iv) Utilizar pessoal com conhecimento; (v) Integrar aos processos de negócios; (vi) Ajustar o escopo e a frequência; (vii) Avaliar objetivamente |
| b) avaliações periódicas, inclusive por parte da auditoria interna, acerca da eficácia dos sistemas de controles internos e dos principais riscos associados às atividades da instituição; |
– Princípio 16: A organização seleciona, desenvolve e realiza avaliações contínuas e/ou independentes para se certificar da presença e do funcionamento dos componentes do controle interno.
(i) Considerar uma combinação de avaliações contínuas e independentes; (ii) Considerar o ritmo das mudanças (exigências de divulgação externa podem afetar a combinação); (iii) Estabelecer o entendimento da base de referência (desenho e situação atual); (iv) Utilizar pessoal com conhecimento; (v) Integrar aos processos de negócios; (vi) Ajustar o escopo e a frequência; (vii) Avaliar objetivamente. |
|
c) acompanhamento sistemático das atividades desenvolvidas, para avaliar, no mínimo, se:
1. os objetivos da instituição estão sendo alcançados; 2. os limites estabelecidos e as leis e regulamentos aplicáveis estão sendo cumpridos; e 3. eventuais desvios identificados estão sendo prontamente corrigidos; |
– Princípio 17: A organização avalia e comunica deficiências no controle interno em tempo hábil aos responsáveis por tomar ações corretivas, inclusive a estrutura de governança e alta administração, conforme aplicável.
(i) Avaliar resultados (administração e estrutura de governança); (ii) Comunicar deficiências (a quem deve tomar ação); (iii) Monitorar as ações corretivas (administração deve acompanhar). |
| d) atualização de premissas, das metodologias e dos modelos de gestão de riscos; e |
– Princípio 16: A organização seleciona, desenvolve e realiza avaliações contínuas e/ou independentes para se certificar da presença e do funcionamento dos componentes do controle interno.
(i) Considerar uma combinação de avaliações contínuas e independentes; (ii) Considerar o ritmo das mudanças (exigências de divulgação externa podem afetar a combinação); (iii) Estabelecer o entendimento da base de referência (desenho e situação atual); (iv) Utilizar pessoal com conhecimento; (v) Integrar aos processos de negócios; (vi) Ajustar o escopo e a frequência; (vii) Avaliar objetivamente. – Princípio 17: A organização avalia e comunica deficiências no controle interno em tempo hábil aos responsáveis por tomar ações corretivas, inclusive a estrutura de governança e alta administração, conforme aplicável. (i) Avaliar resultados (administração e estrutura de governança); (ii) Comunicar deficiências (a quem deve tomar ação); (iii) Monitorar as ações corretivas (administração deve acompanhar). |
| e) metodologia e canais de relato sobre deficiências nos controles internos aos responsáveis, à diretoria e ao conselho de administração, no caso de falhas materiais. |
– Princípio 17: A organização avalia e comunica deficiências no controle interno em tempo hábil aos responsáveis por tomar ações corretivas, inclusive a estrutura de governança e alta administração, conforme aplicável.
(i) Avaliar resultados (administração e estrutura de governança); (ii) Comunicar deficiências (a quem deve tomar ação); (iii) Monitorar as ações corretivas (administração deve acompanhar). |
Os processos de monitoramento contínuo são projetados para identificar falhas de controle, geralmente mediante a constatação de atividades e resultados fora do normal, inesperados ou incompatíveis com os objetivos da empresa.
O monitoramento é um componente importante de controle interno. A identificação de falhas deve ser acompanhada por ações gerenciais para que seja determinada a causa fundamental do problema, para assegurar que ações corretivas sejam tomadas.
3.7. Relatório Anual de Controles Internos: Exigências BACEN
3.7.1. Requisitos da Resolução 4.968/21 e 260/2021
O Artigo 6º das Resoluções CMN nº 4.968 e BCB nº 260/2022 estabelecem obrigatoriedade de relatório anual. Este relatório deve abordar o acompanhamento sistemático das atividades de controles internos. Possui conteúdo mínimo específico que deve ser atendido integralmente.
Tabela 9: Relação anual – BACEN vs. COSO
| REQUERIMENTOS DA RESOLUÇÃO 4.968/2021 | REFERÊNCIAS NO COSO ICIF |
|
CAPÍTULO II – DOS SISTEMAS DE CONTROLES INTERNOS
Seção III – Dos Relatórios Periódicos Art. 6º O acompanhamento sistemático das atividades relacionadas com os sistemas de controles internos deve ser objeto de relatório anual, contendo: |
* * * |
|
I – a avaliação sobre a adequação e a efetividade dos sistemas de controles internos;
II – as recomendações a respeito de eventuais deficiências, com o estabelecimento de cronograma de saneamento, quando for o caso; e III – a manifestação dos responsáveis pelas correspondentes áreas a respeito das deficiências encontradas em verificações anteriores e das medidas efetivamente adotadas para saná-las. |
– Princípio 14: A organização transmite internamente as informações necessárias para apoiar o funcionamento do controle interno, inclusive os objetivos e responsabilidades pelo controle.
(i) Comunicar as informações de controle interno (para entendimento e condução de responsabilidades de controle interno). (ii) Comunicar-se com a estrutura de governança (entre a alta administração e estrutura de governança para cumprir suas funções). (iii) Fornecer linhas de comunicação independentes (anônimo e confidencial quando canais normas estão inoperantes ou são ineficazes). (iv) Selecionar métodos de comunicação relevantes (considerando tempestividade, público e natureza). – Princípio 15: A organização comunica-se com os públicos externos sobre assuntos que afetam o funcionamento do controle interno. (i) Comunicar-se com públicos externos (forma estruturada para informações relevantes). (ii) Possibilitar o recebimento de comunicações (clientes, fornecedores, auditores externos, órgãos reguladores, analistas financeiros, …). (iii) Comunicar-se com a estrutura de governança (resultado de avaliações externas). (iv) Fornecer linhas de comunicação independentes. (v) Selecionar métodos de comunicação relevantes (de acordo com tempestividade, público, natureza, requisitos e expectativas legais, regulatórias e fiduciárias). |
| Parágrafo único. O relatório de que trata o caput deve: | * * * |
|
I – ser submetido ao conselho de administração ou, se inexistente, à Diretoria, bem como às auditorias interna e externa da instituição; e
II – permanecer à disposição do Banco Central do Brasil pelo prazo de cinco anos. |
* * * |
3.7.2. Estruturação do relatório baseada no COSO
Importante: A estrutura apresentada a seguir constitui apenas uma sugestão baseada nos componentes do framework COSO. Cada instituição possui perfil, natureza e características únicas que devem ser considerados na elaboração de seus relatórios. Portanto, cabe à organização adaptar esta proposta conforme suas especificidades operacionais, porte, complexidade e exigências específicas dos órgãos supervisores, sempre respeitando os requisitos mínimos estabelecidos pelas Resoluções BACEN aplicáveis.
Seção 1: Avaliação da adequação
- Análise de cada um dos 5 componentes do COSO
- Verificação se os 17 princípios estão “presentes e funcionando”
- Identificação de gaps em relação às melhores práticas
- Benchmarking com padrões de mercado
Seção 2: Avaliação da efetividade
- Métricas quantitativas de performance dos controles
- Análise de incidentes e falhas identificadas
- Avaliação de aderência a políticas e procedimentos
- Resultados de testes de controles internos
Seção 3: Recomendações e cronograma
- Plano de ação específico para cada deficiência
- Cronograma realista com marcos intermediários
- Definição de responsáveis por cada ação
- Recursos necessários para implementação
Seção 4: Acompanhamento de ações anteriores
- Status de implementação de recomendações passadas
- Evidências de efetividade das melhorias implementadas
- Justificativas para eventuais atrasos ou replanejamentos
- Lições aprendidas e melhores práticas identificadas
4. Desafios comuns e possíveis soluções
4.1. Resistência organizacional à mudança
4.1.1. Identificação das causas
A resistência frequentemente origina-se do medo do desconhecido. Funcionários podem perceber controles internos como obstáculos à produtividade. Por outro lado, podem não compreender completamente os benefícios da implementação.
4.1.2. Estratégias de superação
Primeiramente, invista em comunicação transparente sobre os objetivos. Explique como controles internos protegem tanto a instituição quanto os funcionários. Adicionalmente, demonstre benefícios tangíveis como redução de retrabalho e maior segurança operacional.
4.2. Recursos limitados para implementação
4.2.1. Otimização de recursos existentes
Avalie possibilidades de realocação de recursos internos. Muitas vezes, competências necessárias já existem na organização. Consequentemente, pode ser necessário apenas redirecionamento estratégico.
4.2.2. Implementação faseada
Implemente o sistema de forma gradual e priorizada. Foque inicialmente nos processos mais críticos para compliance BACEN. Dessa forma, resultados positivos iniciais facilitarão aprovação de recursos adicionais.
4.3. Complexidade técnica e regulatória
4.3.1. Capacitação especializada
Invista em treinamento especializado para equipes-chave. Isso inclui cursos sobre COSO e regulamentações BACEN. Além disso, considere certificações profissionais relevantes.
4.3.2. Consultoria externa pontual
Considere apoio de consultoria externa para aspectos mais complexos. Isso é especialmente útil para implementação inicial e transferência de conhecimento. Entretanto, mantenha objetivo de internalizar competências.
5. Indicadores de sucesso e métricas
5.1. Indicadores quantitativos
5.1.1. Métricas de compliance
- Percentual de aderência às políticas internas
- Número de deficiências identificadas por auditoria
- Tempo médio para correção de não conformidades
- Índice de recorrência de deficiências similares
5.1.2. Métricas operacionais
- Redução de perdas operacionais
- Diminuição de retrabalhos por falhas de controle
- Melhoria na eficiência de processos críticos
- Redução de custos relacionados a não conformidades
5.2. Indicadores qualitativos
5.2.1. Cultura organizacional
- Percepção dos funcionários sobre importância dos controles
- Engajamento das lideranças com controles internos
- Qualidade das comunicações sobre deficiências
- Proatividade na identificação de melhorias
5.2.2. Relacionamento com reguladores
- Feedback positivo em supervisões BACEN
- Redução de questionamentos regulatórios
- Reconhecimento de boas práticas implementadas
- Melhoria no relacionamento instituciona
6. Tendências futuras e adaptações
6.1. Digitalização e automação
6.1.1. Controles automatizados
A evolução tecnológica permitirá maior automação dos controles internos. Isso incluirá monitoramento em tempo real e alertas automáticos. Consequentemente, a eficiência e eficácia dos controles aumentarão significativamente.
6.1.2. Inteligência artificial aplicada
Ferramentas de IA começam a ser utilizadas para análise preditiva de riscos. Também auxiliam na identificação de padrões anômalos. Portanto, instituições devem preparar-se para incorporar essas tecnologias.
6.2. Evolução regulatória
6.2.1. Harmonização internacional
Observe tendência de harmonização com padrões internacionais. Isso facilitará operações de instituições com atuação global. Adicionalmente, promoverá maior consistência regulatória.
6.2.2. Foco em sustentabilidade
Reguladores começam a incorporar aspectos ESG nos controles internos. Isso demandará adaptações nos sistemas existentes. Por outro lado, criará oportunidades para diferenciação competitiva.
7. Conclusão
A implementação do framework COSO para atender às Resoluções BACEN de controles internos representa desafio significativo. Entretanto, com planejamento adequado e execução disciplinada, é completamente viável. O sucesso depende fundamentalmente do comprometimento da alta administração e engajamento de todas as áreas.
Os benefícios da implementação vão além do mero cumprimento regulatório. Incluem melhoria na eficiência operacional, redução de riscos e fortalecimento da cultura organizacional. Adicionalmente, posicionam a instituição para enfrentar desafios futuros com maior preparação.
Finalmente, lembre-se que controles internos eficazes constituem vantagem competitiva sustentável. Proporcionam confiança para stakeholders e facilitam crescimento organizacional responsável. Portanto, o investimento em sistemas robustos de controles internos representa decisão estratégica fundamental para o sucesso de longo prazo.
8. Links adicionais para aprofundamento
Artigo:
Conteúdo multimídia:
-
Controles Internos segundo o BACEN (Marcos Assi)
Publicações internacionais:
Documentos normativos:
Recursos COSO oficiais:
-
COSO Internal Control – Integrated Framework (site oficial)
-
Sumário Executivo COSO ICIF (gratuito)
Materiais de implementação:
-
Ferramentas para Avaliação de Eficácia (3 volumes)
-
Internal Control – Integrated Framework, Internal Control Over External Financial Reporting
-
Internal Control – Integrated Framework and Compendium Bundle
9. Referências bibliográficas
Fontes primárias:
-
Scott Graham (imagem da capa do post, via banco de imagens Unsplash)
Literatura especializada:
Organizações de referência:
.
* * * * *
.
Que material maravilhoso, parabéns, pela explicação. É bem difícil encontrar referência desse nível gratuita. Tenho a mesma dúvida da colega Fernanda, uma sugestão de estrutura pra instituição financeira de como construir o Relatório Anual de Controles Internos, preciso realizar a metodologia e colocar em prática.
Olá Mayara,
Fiz uma atualização completa no artigo e acrescentei um tópico dedicado ao Relatório Anual de Controles Internos.
Dá uma olhada. Espero que ajude.
Qualquer coisa só falar.
Abraços,
Tiago Souza.
Que material fantástico. Parabéns, Thiago!
Faço parte de um grupo de WhatsApp de Compliance do Brasil e divulguei com os colegas.
Ademais, gostaria de saber se tem algum artigo que fala de como construir o relatório anual de Controles Internos. Estou em uma nova IP e preciso construir, procurei em alguns páginas de internet mas nada apresenta de fato. Você como especialista, poderia escrever sobre, acredito que fará grande sucesso.
Abraços
Olá Fernando,
Fico muito feliz que o artigo tenha ajudado e que tenha curtido 🙂
Anotada a sugestão. Vou incluir na lista aqui e em breve tento trazer algo relacionado.
Se você for construindo e tiver dúvidas, me manda mensagem privada que nos falamos.
Abraços,
Tiago Souza.