Auditoria e Gestão de Riscos

Autor: David Mc Namee (1997)
The IIA Research Foundation

Adaptação e atualização: Francesco De Cicco (2006)
Diretor-Executivo do QSP

A Auditoria Baseada em Riscos (ABR) estende e melhora o modelo de avaliação dos riscos, alterando a perspectiva da auditoria interna. Em vez de olhar para os processos do negócio como algo que está dentro de um sistema de controle, o auditor os analisa numa envolvente de risco. É o paradigma de "olhar para a frente": uma auditoria centrada nos riscos acrescenta mais valor a uma organização do que uma auditoria centrada apenas nos controles.

UM PARADIGMA DIFERENTE

Algumas pessoas têm criticado a auditoria interna (e externa) por ser excessivamente centrada no passado. "Conduzir o carro olhando pelo espelho retrovisor", uma das metáforas mais freqüentes, caracteriza o auditor como alguém que dá recomendações com base em análises do registro histórico das operações do sistema de controles internos.

Para agregar mais valor à organização, os auditores internos devem passar da focalização no passado para a focalização no futuro. Se o auditor centrar a sua atenção sobre os riscos, a auditoria fica mais orientada para cobrir toda a amplitude dos aspectos que interessam à gestão.

Para a maioria dos auditores, essa mudança será sutil. Em vez de identificar e testar os controles, o auditor revisará os riscos e testará as vias pelas quais a gestão reduz esses riscos. A maioria das técnicas para tratar os riscos continuará a envolver os controles; mas o auditor irá testar "quão corretamente os riscos estão sendo gerenciados?", preferencialmente a "os controles sobre esses riscos são adequados e eficazes?".

Os controles por si sós não garantem necessariamente o sucesso. Grandes bancos, por exemplo, com centenas de controles sobre suas operações têm perdido centenas de milhões de reais por não conseguirem compreender o risco de alguns operadores não terem introduzido no sistema todos os seus compromissos e operações.

Sempre que se acrescenta um controle aos custos do sistema, aumenta a quantidade de recursos para assegurar seu funcionamento. Se os auditores continuarem a auditar e a recomendar novos e reforçados controles sem substituir os já existentes, o peso de tais controles comprometerá os processos do negócio.

O VALOR DA ABR 

Apesar das suas vantagens, um estudo realizado pelo Instituto de Auditores Internos (The Institute of Internal Auditors), dos Estados Unidos, mostra que pelo menos um  terço dos departamentos (equipes) e serviços de auditoria interna falha na utilização da ABR. Outra pesquisa menos formal parece confirmar essa conclusão e sugere que as razões podem ser várias:

• Os conceitos de risco não são compreendidos com clareza.
• Os auditores acreditam que a avaliação dos riscos requer conhecimentos especializados de software.
• Muito pouco tempo para o planejamento, devido ao ciclo contínuo das exigências de execução das auditorias.  
• Muitos serviços de auditoria interna sentem que a sua ação tem uma dimensão bastante reduzida para utilizar ferramentas de planejamento.
• Os auditores internos sentem que as auditorias de conformidade legal / normativa / financeira não se coadunam com o risco.

Na realidade, porém, os conceitos de ABR não são difíceis e não requerem conhecimentos ou softwares especializados. A ABR pode servir a equipes de auditoria de todas as dimensões e de todos os tipos. Mesmo onde as auditorias são obrigatórias por lei, por regulamentos e normas ou por vontade de um executivo esclarecido, as ABRs podem ajudar a focalizar o âmbito da auditoria onde isso for mais necessário. Os utilizadores da ABR indicam também que os relatórios das auditorias baseadas em riscos são mais fáceis de preparar e de "vender", sem criar atritos desnecessários.

Os planos de ABR são delineados para serem flexíveis. Concentram-se em áreas de maior importância, confiando muitas vezes em técnicas que permitem que a amostra seja ampliada ou reduzida, em função da taxa de erros. Embora os auditores sigam diversos padrões ao planejar um programa de auditoria, a prática comum ainda é a de concentrar mais o esforço de auditoria na análise dos controles do que na análise de como é feito o gerenciamento dos riscos. E isso é particularmente mais perceptível nas organizações brasileiras...É chegada a hora, portanto, de se adotar um novo paradigma.

A ABR E O NOVO PARADIGMA

Utilizar um novo paradigma com a Auditoria Baseada em Riscos significa ampliar a perspectiva de todas as auditorias internas (financeiras, da qualidade, ambiental, da segurança da informação, da segurança e saúde no trabalho, etc.), para abarcar todas as etapas da Gestão de Riscos, incluindo as atividades de controle. Essa prática dá também ao auditor a oportunidade de verificar se os processos do negócio estão sujeitos a controles excessivos, proporcionando a ele a rara oportunidade de recomendar a existência de menos controles, se forem identificados métodos obsoletos e ineficazes.

De acordo com o Statement of Responsabilities of Internal Auditing, do IIA, o propósito da auditoria interna consiste em examinar e avaliar as atividades da organização e fornecer análises, avaliações, recomendações, conselhos e informação sobre as atividades analisadas. Em cada ação de auditoria, há um objetivo relacionado com o fornecimento dos resultados do exame e avaliação das atividades.

Cada ação de auditoria é delineada para alcançar o objetivo da auditoria, através de um ou mais testes, que proporcionam a evidência utilizada pelo auditor para formular uma conclusão e formar opinião. O conjunto das conclusões e opiniões é o resultado da ação da auditoria. Existe uma progressão lógica, desde a missão da organização até a execução da auditoria. Durante o estágio de planejamento da auditoria, o auditor deve assegurar-se de que:

• Existe uma ligação positiva entre o objetivo da auditoria, os objetivos da unidade a ser auditada e a missão da organização.
• O programa de auditoria, tomado como um todo, produzirá as evidências necessárias para atingir o objetivo da auditoria.
• Cada teste proporcionará a evidência requerida no programa de auditoria.

O objetivo da auditoria deve estar relacionado com os riscos enfrentados pela unidade a ser auditada, no seu esforço para atingir os objetivos que estabeleceu. Os testes de auditoria dão apoio ao objetivo da auditoria.

Na versão ABR da auditoria, o auditor considera os mesmos riscos na consecução dos objetivos estabelecidos pela unidade a ser auditada e identifica aquilo que as pessoas estão fazendo, se alguma coisa estiverem fazendo, para reduzir os riscos. A auditoria consiste nos testes das atividades de tratamento - incluindo, mas não se limitando aos controles internos - para determinar a sua adequação e eficácia.

COMPARAÇÃO ENTRE O VELHO E O NOVO