The three lines of defense, a practical vision for corporations

It is very common in governance, audit, risk or internal control professional meetings to have presentations about three lines of defense model. As you may know, this model emerged with the publication on September 21, 2010 by FERMA and ECIIA in the Guidance on the 8th EU Company law as a recommendation to implement the requirements of the law for monitoring the effectiveness of the internal control system, internal audit and risk management.

As the IIA statement of position on the subject points out:

"The Three lines of Defense model is a simple and effective way to improve risk management and control communication by clarifying key roles and responsibilities." 

The main point in this model is the transparency of the responsibilities for each one of the stakeholders in the conduction of the business in order to organize the process, mitigating existing gaps due to the lack of understanding of the real responsibilities of each one in this governance process.

Of course, it is important that governance and control professionals understand and discuss this model, since they are the agents of change. In fact, they are the professionals who will motivate managers to adopt this model as the basis for their activities.

In summary:

• The first line of defense is the management responsible (high and medium management, and other decision makers) as executors of the risk management process and the organization's internal control systems.

• The second line is the area and staff that aims to support the management to fulfill their responsibilities of the first line, providing the knowledge and appropriate tools for this process. In this line are specialists in internal controls, risk management, processes, compliance and other support professionals.

• The third line is the internal audit, which aims to provide an independent assessment of whether management is fulfilling its first-line governance responsibilities, based on best management practices.

This article has the objective to discuss some observations that I have made during the projects of governance. Those observations demonstrate that, despite everything, this model is not yet adequately understood by the organizations, whether they are private or governmental

Let's look at some points that lead me to this conclusion:

•      Lack of knowledge and understanding of the dynamics of the model by senior management (Board, president and its direct reports). Some even mention that they have heard about the model, but that they do not know its essence,

•      Areas of control, risk, compliance and sometimes even internal audit taking first-line responsibility. Including a confusion of understanding of each of these areas as to their responsibility. It is common to see overlapping activities, duplicities of evaluation, execution of control, between these areas.

•      Lack of a structured and coordinated corporate risk management process. Having a risk matrix or risk inventory is not managing risks. Risk management is the basis for any governance process.

•      Weak internal environment, outdated policies and procedures, lack of attention to the skills management process, lack of vision of the value chain or business cycles, etc.

It is necessary to understand that in the current world where the organizations are inserted the challenges are immense and complex. The way we do business has changed dramatically, innovations are disruptive; convergence to the virtual world is a reality without a return, and if the organization is not prepared, structured, and with the appropriate competence to manage these challenges, it is doomed to failure and disappear.

We are still trying to run companies in the same way as we were managing post-industrial revolution.

Thus, adopting the three-line defense model in a comprehensive manner, aligned with existing information technology will allow the organization to have proactive positions and actions in a lean and optimized structure with economic operational processes, thereby minimizing the application of its capital in the structure, and consequently the loss of its competitive advantage.

In a simple way, in order to solve that, the management must make a diagnosis of its structure and organization considering the four points indicated above and based on the result, define actions to eliminate them or to mitigate them.

Also, a process of sensitization of the structure through lectures, workshops, e-learning, or other forms of knowledge transfer is essential for the strengthening and maturation of the organization, so that the different levels of management are prepared to understand and execute their responsibilities in a clear and coordinated manner as suggested in the three lines of defense model.

Be happy!

Um mundo disruptivo e seu impacto na sociedade, empresas e profissionais

É visível que estamos passando por transformações profundas em todos os sentidos. Seja em nossa vida pessoal ou no mundo corporativo, a convergência para o mundo virtual é uma realidade sem volta.

Mais e mais concentramos nossas atividades neste novo mundo; nos relacionamos através das mídias de relacionamento, comercializamos, estudamos, trabalhamos, viajamos, tudo pelo mundo virtual, sem a necessidade de deslocamento físico. 

Me lembro que Alvin Toffler, escritor e futurista, em sua obra A terceira onda, mencionava que em um certo momento existiria a "cabana eletrônica", pois bem chegamos nesta época. 

O ponto mais importante que até aqui, as inovações seguiam um padrão lógico, possibilitando que as pessoas fossem adicionando-as em seu dia-a-dia de forma sistemática, entretanto, o que vemos agora é a inovação disruptiva, a qual simplesmente muda tudo, de uma hora para outra, em uma velocidade espantosa. 

Este fenômeno, se assim posso chamar, ao mesmo tempo que parece complexo vivencia-lo, tem sua base transformadora em fazer algo diferente do que esta sendo feito, conduto de uma forma mais simples, econômica e acessível.

Observem quantas atividades hoje você faz via web que no passado precisava se deslocar para fazer, gastando tempo e dinheiro.

É preciso compreender que as organizações estão inseridas neste mundo, o que traz desafios imensos e complexos para ajustarmos a forma de operar e fazer negócio dentro dos novos requisitos de mercado.

Imagine que hoje seu concorrente pode estar somente no mundo virtual, com pequena estrutura física, em algum lugar do mundo que seja mais viável economicamente falando.

Se sua organização estiver ainda operando nos moldes da pós-revolução industrial, com certeza terá uma grande e mortal desvantagem competitiva. Não tenho duvidas em afirmar que quem ainda não acordou para isto, tem seus dias contados.

Incluo também neste rol os profissionais que teimam em gerir seus processos e negócios de forma ultrapassada, com atitudes e habilidades não mais condizentes neste novo mundo corporativo.

Para ajudar neste processo de adaptação, descrevo abaixo alguns atributos que podem ser considerados:

1. As organizações tendem a ser bem menos hierárquicas, mais matricial, de forma que em alguns momentos você será líder e em outros liderados;
2. Elas terão uma estrutura mais virtual, com acessos mais remotos, operando de forma descentralizada;
3. Serão empresas globais operando de forma colaborativa e através de parcerias;
4. As empresas industrializadora terá sua base de produção em países que ofereçam bom custo e beneficio, contudo, ela poderá estar espalhada em diversos locais com pequenos e eficientes núcleos de produção, isto para os produtos que puderem ser entregues via web através de uma impressora remota;
5. O uso apropriado da tecnologia, incluindo a inteligencia virtual, será a base para toda operação.

Logicamente que o impacto de tudo isto para a sociedade é significativo, entretanto para o profissional também é muito significativo, e com certeza irá requerer, uma reinvenção na forma de trabalho, comportamento, atitude e de gestão.

As empresas precisaram de profissionais com visão generalista, inserido no mundo digital, flexíveis e auto-motiváveis, com percepção de criação de valor, altamente éticos, com boa comunicação e interação nas mídias virtuais, desapegado quanto a local de trabalho, boa gestão de projetos, lideres e motivadores. 

Não tenho duvidas que parte do desemprego que existe no mundo é estrutural, consequência destas mudanças. Para aqueles profissionais que ainda não perceberam isto, não deixe para depois, pode ser tarde!

Seja feliz