A structured view of the attributes and nature of Internal Controls.

In the literature on internal controls, there is no standardization for the attributes and classification of internal control. Each professional institution and/or each author ends up using their understanding of the categorization of control, which does not necessarily follow the same pattern.

This lack of standardization generates some misunderstandings, which negatively impacts the understanding of the first line of management about this important instrument for the mitigation of risk factors.

This article aims to bring to our reflection a more structured view of the topic of internal controls, and who knows how to start a conceptual standardization.

So, we can start this journey, reviewing the definition of internal control, based on the COSO ICF.

It says that:

"Internal control is an event or action, formalized in policies and procedures, which aims to mitigate the probability of the risk event materializing and adversely impacting the process's ability to achieve its objectives."

Looking at this definition, two points become clear:

•         The existence of an internal control is closely related to its alignment in mitigating one or more risk factors, and
•      That it is only effective when there is a condition of probability management. It is neither adequate nor effective for impact mitigation.

Now let's understand the difference between a control and a task. I still find a lot of confusion in the understanding of these concepts in organizations. It is very important, for the quality of risk and process management, to know how to clearly identify the control, differentiating it from a task, especially when we are modeling or mapping an operational process.

Let's look at the concept of tasks:

•           Task – By concept, a task is an activity that must be performed to help the operational process achieve its objectives and deliverables. It can be a registration, calculation, listing, filing, elaboration, filling and others,

Now, let's look at the control:

•          Control – It is an action that aims to mitigate the materialization of a risk event that will adversely impact the performance of a task, data and/or information processing, or the quality of the product object of the process. It can be a review, conference, recalculation, approval, validation, authorization and others.

In theory, the control activity is the action that confirms that the task or processing was performed in accordance with the pre-established procedures.

Any nonconformity in the performed task is promptly identified by the control, thus requesting that the task be reworked. Not allowing this non-compliance to contaminate the process and impact the quality of the product of the process.

This dynamic of “Doing” and “Reviewing”, during the processing of activities, increases the ability of the process to achieve its objectives and deliver products with the required quality.

Continuing on our journey, we now need to know the attributes of internal control. These attributes are important for us to model or evaluate an internal control, mainly in the evaluation of the design (efficiency) of the control.

Objectively, the basic attributes of control are: objective, action, evidence and periodicity.

Let's look at these attributes in a little more detail:

Attribute I - Objective: It relates to the risk factor that it mitigates, it is possible to say that it is the positive view of the risk factor, for example:

o Risk Factor: wrong registration of the invoice information in the system.

o Control Objective: Ensure the consistency of the invoice registration in the electronic system.

Attribute II - Action: it is the control execution activity, it can be a review, a check, a recalculation, an approval and so on. Taking into account the example in item I, we can exemplify the action:

o Control action: Checking the data recorded in the system against the invoice.

Attribute III - Evidence: it is the “mark” that demonstrates that the control has been executed, which can be a stamp, a check, a tick, a check box in the system, a log, an e-mail and others. Considering the example above, we can say that the evidence is:

o Evidence: Checked mark, in a check box on the system screen where the invoice is registered.

Attribute IV - Periodicity: It refers to when the control needs to be executed, which can be daily, weekly, monthly, by event and others.

o Frequency: The verification of the invoice registration in the system must happen at each registration event.

Note that these attributes provide us with a more detailed view of the control, which for professionals specializing in internal controls and/or internal auditors, is essential so that they can model, evaluate the efficiency and/or effectiveness of the control.

Now, to complement this understanding, it is also important to define the types of control, based on and performance characteristics. We can classify the control in: manual, electronic and automatic.

•           Manual control is the one that only needs the individual to be executed,
•          While electronic control needs the individual interacting with the electronic system
•          And automatic control, it ony needs the system to run.

Before electronic systems, controls were manually done. With the application of electronic systems in corporate processes, controls migrated to electronic controls. Now, with the convergence of automation and digitization of operational processes, we are experiencing the second wave of controls, also converging towards automated controls, based mainly on algorithms.

Now, to complement our study of internal controls, we need to work on understanding the nature of control.

The view that we bring about the nature of control is based on a process view, which has the beginning access, the processing and at the end the delivery of its products.

Considering this, we define the nature according to the essence of control, which can be: preventive, detective and corrective.

Let’s take a look at the concept and definition of each one:

•           Preventive controls are those located before the start of the process. They aim to prevent access by people without a profile or authorization, incomplete or wrong documents, unauthorized data or information, etc,
•       Detective controls are controls in place during the processing of process activities, after the beginning of the process until the end of the process. The purpose of these controls is to mitigate the probability of the task being performed outside the schedule and/or of information or data being processed without consistency and/or integrity. They detect, and request correction, before moving on to the next task. 
•      Corrective controls, on the other hand, are controls performed on the product originating from the process, which aim to request the correction of the product of the process, if any anomaly or problems of quality, integrity and/or consistency of the product are identified. of the process.

Remember that the effectiveness of internal control is related to its ability to bring the risk factor to an acceptable level of risk, which must be aligned with the risk appetite defined by the corporation.

Now we have a more structured view of the attributes and nature of internal controls, however, it is important to point out that these controls must be part of a systemic and integrated set applied to the operational process, which we call system and internal control, but this will be topic for another article

I hope this article will help you to delve deeper into the study of internal control and thereby consolidate your understanding of the subject, but at the end of the day, what matters is that you,

Be happy!

Uma visão estruturada sobre os atributos e natureza dos Controles Internos.

 Não existe, na bibliografia sobre controles internos, uma padronização para os atributos e classificação do controle interno. Cada instituição profissional e/ou cada autor, acabam utilizando o seu entendimento sobre a categorização do controle, os quais, não necessariamente seguem o mesmo padrão.

Esta falta de padronização gera alguns entendimentos equivocados, o que impacta negativamente o entendimento da primeira linha de gestão sobre este importante instrumento para a mitigação dos fatores de riscos.

Este artigo, tem como objetivo, trazer para nossa reflexão, uma visão mais estruturada para o tema controles internos, e quem sabe iniciar uma padronização conceitual.

Para que possamos iniciar esta jornada, vamos, primeiro, com base no COSO ICF, relembrar o conceito de controle interno.

Ele diz que:

“Controle interno é um evento ou ação, formalizada em políticas e procedimentos, a qual tem como objetivo a mitigação da probabilidade do evento de riscos se materializar e impactar adversamente a capacidade do processo em alcançar seus objetivos.”

Analisando esta definição, dois pontos ficam claros:

·         A existência de um controle interno está intimamente relacionada com seu alinhamento na mitigação de um ou mais fatores de riscos,

·         E que ele somente é efetivo quando existe condição da gestão da probabilidade. Ele não é adequado e nem efetivo para a mitigação do impacto.

Agora vamos entender a diferença entre o controle e uma tarefa. Ainda encontro muita confusão no entendimento destes conceitos nas organizações. É muito importante, para a qualidade do gerenciamento de riscos e dos processos, saber identificar de forma clara o controle, diferenciando-o de uma tarefa, principalmente quando estamos modelando ou mapeando um processo operacional.

Vejamos o conceito de tarefas:

·         Tarefa – Por conceito, uma tarefa é uma atividade que deve ser realizada para auxiliar o processo operacional alcançar seus objetivos e entregas. Pode ser uma emissão, registro, cálculo, listagem, arquivamento, elaboração, preenchimento e outros,

Agora, vejamos o controle:

·         Controle – É uma ação que visa mitigar a materialização de um evento de risco que impactará adversamente a realização de uma tarefa, processamento de dados e/ou informações, ou na qualidade do produto objeto do processo. Pode ser uma revisão, conferência, recálculo, aprovação, validação, autorização e outros.

Em tese, a atividade de controle é a ação que confirma que a tarefa ou processamento foi realizada em conformidade com os procedimentos pré-estabelecido.

Qualquer não conformidade na tarefa executada é prontamente identificada pelo controle, solicitando assim, que a tarefa seja retrabalhada. Não permitindo que esta não conformidade contamine o processo e impacte na qualidade do produto do processo.

Esta dinâmica de “Fazer” e “Revisar”, durante o processamento das atividades, aumenta a capacidade do processo em alcançar seus objetivos e entregar produtos com a qualidade requerida.

Prosseguindo em nossa caminhada, precisamos agora, conhecer os atributos do controle interno. Estes atributos são importantes para que possamos modelar ou avaliar um controle interno, principalmente na avaliação do desenho (eficiência) do controle.

De forma objetiva, os atributos básicos do controle são: objetivo, ação, evidência e periodicidade.

Vejamos estes atributos com um pouco mais de detalhe:

·         Atributo I - Objetivo: Se relaciona com o fator de risco que mitiga, é possível dizer que ele é a visão positiva do fator de risco, exemplo:

o   Fator de Risco: registro errado, no sistema, das informações da nota fiscal.

o   Objetivo do Controle: Assegurar a consistência do registro da nota fiscal no sistema eletrônico. 

·         Atributo II - Ação: é a atividade de execução do controle, pode ser uma revisão, uma conferência, um recálculo, uma aprovação e etc. Levando em conta o exemplo no item I, podemos exemplificar a ação:

o   Ação do controle: Conferência dos dados registrados no sistema em comparação com a nota fiscal. 

·         Atributo III - Evidência: é a “marca” que demonstra que o controle foi executado, podendo ser um carimbo, um visto, um tick, um check box no sistema, um log, um e-mail e outros. Considerando o exemplo acima, podemos dizer que a evidência é:

o   Evidência: Marca de conferido, em um check box na tela do sistema onde acontece o registro da nota fiscal.

·         Atributo IV - Periodicidade: Refere-se quando o controle precisa ser executado, o qual pode ser diário, semanal, mensal, por evento e outros.

o   Periodicidade: A conferência do registro da nota fiscal no sistema deve acontecer a cada evento de registro.

Observe que estes atributos nos proporciona uma visão mais detalhada do controle, o que para os profissionais especialistas em controles internos e/ou os auditores internos, é essencial para que possam modelar, avaliar a eficiência e/ou eficácia do controle.

Agora, para a complementarmos este entendimento, é importante também definirmos os tipos de controle, tomando como base as características de execução. Podemos classificar o controle em: manual, eletrônico e automático.

·         O controle manual é aquele que precisa apenas do indivíduo para ser executado,

·         Enquanto que o controle eletrônico precisa do indivíduo interagindo com o sistema eletrônico,

·         E o controle automático, precisa apenas do sistema para ser executado.

Antes dos sistemas eletrônicos, os controles eram manuais. Com a aplicação dos sistemas eletrônicos nos processos corporativos, os controles migraram para controles eletrônicos. Agora, com a convergência da automação e digitalização dos processos operacionais, estamos vivenciando a segunda onda dos controles, também convergindo para controles automatizados, baseados principalmente em algoritmos.

Para complementar nosso estudo sobre controles internos, precisamos trabalhar o entendimento sobre a natureza do controle.

A visão que trazemos sobre a natureza do controle é baseada em uma visão de processo, o qual tem o início, o processamento e no final a entrega de seus produtos.

Considerando isto, definimos a natureza conforme a essência do controle, podendo ser: preventivos, detectivos e corretivos.

Vejamos o conceito e a definição de cada uma delas:

·         Os controles preventivos são aqueles localizados antes do inicio do processo. Eles têm como objetivo prevenir o acesso de pessoas sem perfil ou autorização, documentos incompletos ou errados, dados ou informações não autorizadas e etc.

·         Os controles detectivos são os controles existentes durante o processamento das atividades do processo, após do início até o final do processo. O objetivo destes controles é mitigar a probabilidade de a tarefa ser executada fora do previsto e/ou das informações ou dados serem processados sem consistência e/ou integridade. Eles detectam, e solicitam a correção, antes de passar para a próxima tarefa.

·         Já os controles corretivos, são os controles executados sob o produto oriundo do processo, os quais tem o objetivo de solicitar a correção do produto do processo, se for identificado alguma anomalia ou problemas de qualidade, de integridade e/ ou de consistência do produto do processo.

Lembre-se que a efetividade do controle interno está relacionada com sua capacidade de trazer o fator de risco para um nível aceitável de risco, o qual deve estar alinhado ao apetite a risco definido pela corporação.

Agora já temos uma visão mais estruturada sobre os atributos e natureza dos controles internos, entretanto, é importante salientar que estes controles devem fazer parte de um conjunto sistêmico e integrado aplicado no processo operacional, o qual chamamos de sistema e controle interno, mas isto será tema para um outro artigo

Espero que este artigo o ajude a se aprofundar no estudo sobre controle interno e com isto consolidar sua compreensão sobre o tema, mas no final de tudo, o que importa é que você,

Seja Feliz!

O sistema de controle interno para um efetivo programa de Compliance

No artigo anterior fiz uma reflexão sobre as causas que impactam adversamente a qualidade de um programa de compliance. Agora, neste artigo, quero trabalhar em como os atributos de um sistema de controles internos pode tornar o programa de compliance mais efetivo.

Para iniciar, vamos relembrar alguns conceitos básicos que fazem parte da gestão e da dinâmica corporativa:

·         Objetivo de Compliance: Sabemos que “compliance” é uma atitude, e que seu objetivo é assegurar que todas as atividades, tarefas, ações e decisões para a operacionalidade da organização, sejam realizadas dentro dos requisitos legais internacionais, do país e/ou do órgão regulador, além, da conduta e relacionamento serem baseados nos valores morais da organização.

·         Risco: É todo e qualquer evento que, uma vez materializado, deverá impactar adversamente a capacidade da empresa alcançar seus objetivos e/ou sua missão.

·         Controle interno: É toda a ação, baseada em políticas e procedimentos, a qual tem como objetivo mitigar a probabilidade do evento de risco se materializar.

Todas as organizações, sejam elas de qualquer nacionalidade e/ou setor econômico, estão expostas aos efeitos de eventos, internos e/ou externos. Para que a organização possa aumentar sua capacidade de alcançar os objetivos operacionais, corporativos e estratégicos, os quais devem alinhado a sua missão, ela precisa contar como um processo de gerenciamento de riscos, o qual, proativamente, olha para o futuro, conhece os eventos que possam impactar sua operação, identificam os riscos e suas causas, avalia a magnitude e define o tratamento adequado para que possa manter os riscos dentro dos seus níveis aceitáveis, isto é, alinhado ao seu apetite a risco definido.

A gestão de riscos, de forma objetiva, trabalha com três camadas de risco em sua avaliação: Risco inerente, aqueles que estão relacionados com os objetivos primários de um processo; risco de TI, aquele que se relaciona com a operacionalização das atividades de TI em um processo operacional; e o risco de compliance, incluindo neste grupo o risco de integridade também.

Um programa de compliance e integridade, é parte integrante da resposta do risco identificado. Para este programa ser mais assertivo, importante que sua construção leve em conta o resultado oriundo deste processo de gerenciamento de riscos. Além de considerar a natureza, a cultura, o mercado, a estrutura e o nível de exposição da organização.

Para facilitar nosso entendimento de como o sistema de controle interno interage com o processo de mitigação dos riscos de compliance, vou utilizar a visão de Hierarquia do Sistema de Controles Internos do ICI – Internal Control Institute, o qual é baseado no COSO ICFR, para podermos direcionar as ações e/ou documentação de mitigação, como também a responsabilidade de cada um dos níveis hierárquicos neste processo. Vejamos:

1.      Ambiente de Controle: Este é o primeiro nível da hierarquia de controles internos. A qualidade deste atributo irá contribuir para a qualidade dos outros níveis do sistema de controle interno. Sua composição é essencialmente por “soft-controls”, que são: políticas, programa de integridade, gestão da competência, segregação de responsabilidades, monitoramento estratégico e operacional e outros.

No caso de compliance, é neste nível que trabalhamos as políticas que irá direcionar todas as diretrizes que devam ser observadas nas atividades diárias da organização. Estas políticas podem ser compostas por: compliance, integridade, código de conduta, anticorrupção, e outras que a organização achar necessário ter.

Neste nível, também trabalhamos as políticas que irá traçar as diretrizes básicas para a manutenção e/ou desenvolvimento de competências, de cultura e de consciência de governança. Sabemos que a efetividade do programa de compliance está intimamente relacionada com o comprometimento de seus colaboradores, o qual somente é obtido pela gestão de competência e consciência para compliance e integridade.

Os responsáveis pela qualidade deste nível são a gestão executiva (presidente e seus diretos) e a gestão de Governança (Conselho e seus comitês), os quais devem promover a cultura das boas práticas de gestão e governança, a consciência de compliance e dos valores morais da organização, como também devem monitorar o cumprimento de todos estes quesitos, além de reforçar a mensagem pelo exemplo. 

2.      Controle de Processo: Este é o nível onde a gerencia média, aqueles que são tomadores de decisão e responsáveis pelos processos operacionais, tem como responsabilidade organizar, planejar, dirigir e monitorar. É um nível composto por “soft e hard-controls”.

Neste nível, os gestores operacionais são responsáveis pela elaboração e formalização dos procedimentos para a operacionalização das políticas, criação de processos de monitoramento por indicadores de desempenho (KPIs) e indicadores riscos (KRIs).

Devem supervisionar e revisar todo o processo, certificando que a entrega do processo atendeu todas as diretrizes de qualidade, de compliance e de integridade, evidenciando esta atividade por sua aprovação do produto oriundo do processo.

Além disto, devem promover a consciência de governança, compliance e integridade em todas as áreas e/ou processos que sejam responsáveis, além de continuamente direcionar a conduta de seu time, suas decisões e posicionamento para os valores morais definidos no código de conduta.

3.      Controle de Transação: Este nível é composto especificamente por “hard-controls”, como ações de verificação, recálculo, conferência, validação, realizados em conformidade com os procedimentos que foram definidos pela gestão média.

É neste nível onde temos a execução das tarefas que compõem o processo, e consequentemente é onde executamos as atividades de controle para a mitigação dos riscos operacionais, incluindo os riscos de compliance e integridade.

Aqui, os responsáveis são os colaboradores que executam as atividades e também os controles. A segregação de função entre quem executa e quem revisa, quem registra e quem exclui, quem tem a guarda do ativo e quem controla o ativo contabilmente, acontece neste nível. Quando melhor for a segregação, melhor será a qualidade dos controles neste nível.

Como você pode observar, o sistema de controle interno ele é um processo que integra, de forma organizada e estruturada, todos os níveis de uma organização.

Não é possível ter um programa de compliance e integridade efetivo, se não houver um sistema de controle interno específico para a mitigação dos fatores de riscos relacionados com o risco de tomada de decisão, ação ou atividades fora dos requisitos legais e fora dos valores morais da organização.

Para concluir, é importante que a gestão de primeira linha esteja ciente de sua responsabilidade em relação de definição e implementação de todos estes atributos que demonstramos, em todos os níveis. E que para isto, sejam efetivamente apoiados e instrumentalizados pelas áreas de especialistas de segunda linha de gestão, como: compliance, controles internos e gestão de riscos, as quais devem atuar integradas e com sinergia.

Então: Reflita, inove, mude e no final, o que importa

É ser feliz!

Por que os programas de compliance falham?

 

Como acontece com outras práticas de governança, o programa de compliance, para ser efetivo, requer que os pilares que irão sustentá-lo, no tempo e espaço, estejam presentes.

Vejamos alguns pontos com os quais normalmente me deparo nas corporações:

• Encontro programas de compliance que se restringem apenas na existência de políticas de integridade, que é importante, mas não o suficiente.
• Também, me confronto com programas muito bem elaborados e formalizados em políticas e procedimentos, entretanto, infelizmente, este programa fica somente no papel.
• Me deparo com áreas de compliance que sua atividade se resume na execução de controle, por meio do preenchimento de checklist, passando a ser, neste caso, parte da primeira linha de gestão, perdendo sua identidade de área especialista de segunda linha de gestão.

Não quero dizer com isto, que contar com um bom programa de integridade, ou ter um processo adequadamente formalizado, ou realizar um monitoramento independente não seja importante. Sim é importante, mas é preciso é que tudo isto faça parte de um processo mais amplo, estruturado e integrado.

Gosto sempre de lembrar que compliance é na realidade “atitude”.

É a atitude que todos, que façam parte ou se relacionam com a corporação, executem suas atividades, ações e decisões dentro dos valores morais e éticos da organização, amparado pelos requisitos legais, sejam eles oriundos de legislação externa, do país, estado, munícipio ou do órgão regulador, sem exceção.

Outro ponto importante que devemos considerar é que se o objetivo é ter uma corporação onde suas atividades sejam amparadas pelos seus valores morais e éticos, dentro dos requisitos legais, temos o “risco” de isto não acontecer.  

Se compreendemos que não estar em compliance é um risco, precisamos gerenciá-lo por meio de um processo estruturado para a identificação dos riscos e seus fatores, avaliando sua magnitude e no final, tratando-o de forma a manter o fator de risco alinhado ao apetite a risco da organização, que neste caso deve ser zero, por motivos óbvios.

Agora, considerando que se não todos, uma boa parte dos fatores de riscos tem sua origem em fatores internos, podemos dizer que o seu tratamento será por meio da implementação de um sistema de controle interno, o qual é formado por ações, formalizadas em políticas e procedimentos, para a mitigação da probabilidade do evento de riscos se materializar.

Então, até aqui, podemos compreender que um programa de compliance para ser efetivo necessita estar amparado por um processo integrado para o gerenciamento dos fatores de riscos, o qual por sua vez, necessita de um eficaz sistema de controles internos.

Mas tudo isto, ainda não é suficiente para que o programa de compliance realmente funcione apropriadamente. É importante que os três pilares basilares estejam presentes. Os pilares são:

1.   Cultura – A organização precisa ter um conjunto de valores e crenças apropriados para influenciar e alinhar a atitude e o comportamento de todos colaboradores, prestadores, terceiros aos requisitos de compliance.

2.   Consciência – A cultura prepara o caminho, mas é importante contar com gestores, colaboradores, prestadores e terceiros que conscientemente acreditem, se comprometam, e que, apoiado pelos valores morais da organização e pelas melhores práticas de gestão, exemplifiquem e exerçam suas atividades dentro dos requisitos de compliance,

3.   Formalização – Para a manutenção da qualidade e entendimento das atividades, estrutura, processos e monitoramento é necessário a existência de um conjunto de documentos como: políticas, procedimentos, código de conduta, instruções de trabalho e outros. Esta documentação, uma vez atualizada e amplamente divulgadas, permite a equalização e alinhamento das atividades e operações, independentemente de qual ciclo de negócio ela pertencer.

Posso, sem medo de errar, dizer que o grande desafio para a implementação de um efetivo programa de compliance é com certeza trabalhar os dois primeiros pilares: cultura e consciência.

Os órgãos de governança, a alta e a média gestão têm papel importante nestes quesitos. Eles têm a responsabilidade de definir os valores, promover um ambiente propicio para a aplicação das melhores práticas de gestão, exemplificando estes valores em seu discurso, posicionamento, ações e em suas decisões.

Logicamente, tudo isto exige uma mudança mental e comportamental de todos os envolvidos, principalmente dos níveis de gestão e tomadores de decisão. Um programa estruturado de capacitação gerencial em governança, compliance e nas práticas de gestão tende a reduzir a resistência à mudança, mas o comprometimento incondicional aos requisitos de compliance, pelos membros dos órgãos de governança, será essencial para o amadurecimento da gestão em relação ao compliance e melhores práticas de gestão.

Cada linha de gestão deve conhecer claramente suas responsabilidades, de forma transparente, não podendo haver dúvidas, de forma que possam prestar conta, para quem os elegeu, sobre toda e qualquer materialização do risco de compliance e/ou violação aos valores morais da organização.

Temas estes que devem fazer parte da agenda do presidente, do conselho de administração e do comitê estatutário de auditoria.

Para finalizar, os programas de compliance que falham são aqueles, que por algum motivo, não contam, de forma equilibrada, com os três pilares: Cultura, Consciência e Formalização

Então: Reflita, inove, mude e no final

Seja feliz!