Gestão de Controles Internos e Gestão de Riscos, o que devo fazer primeiro?

As empresas nos últimos tempos estão adequando a sua gestão com base em controles internos, compliance, riscos e segurança da informação, mas o que devemos fazer primeiro, levantar os riscos e implementar controles, ou mapear os processos, implementar controles e identificar os riscos depois?

Eu acho muito interessante isso, pois em conversas com colegas especialistas em controles e riscos, ficamos boquiabertos como falta ainda uma boa definição de como facilitar a gestão dos negócios, e já não é de hoje que falamos que antes de implementar controles, necessitamos conhecer o negócio, e quando evidenciamos negócios, dizemos processos, sistemas, produtos, pessoas e modelo de gestão.

Falar de gestão de riscos antes de implementar controles internos e contábeis é dar tiro no escuro em minha humilde opinião, pois quando iniciamos uma empresa, sempre visamos os controles contábeis, financeiros e alguns controles internos necessários para o negócio.

Para que tenhamos uma noção disso, muitas empresas ainda estão em processo de profissionalização dos controles internos e contábeis, mas falam de riscos e nem mapearam seus processos internos, e como estariam então seus controles, se não fazem a mínima ideia de quantos processos têm e para qual objetivo foi criado, e quem são os responsáveis, agora me respondam quais são os riscos?

Existem alguns questionamentos sobre maturidade de riscos e maturidade de controles. Podemos questionar em qual nível de maturidade de Controles Internos sua empresa se encontra?

ü  Nível 1 – Não Confiável: as atividades de controle não são mapeadas

ü  Nível 2 – Informal: os controles dependem principalmente das pessoas

ü  Nível 3 – Padronizado: as atividades de controle são mapeadas e implementadas

ü  Nível 4 – Monitorado: controles padronizados e com testes periódicos

ü  Nível 5 – Otimizado: utilização de automação e ferramentas para apoiar as atividades de C.I

Se somos sabedores que muitos dos controles são dependentes de quem os criou ou de quem os faz, e quando o “gestor do conhecimento” vai embora, quem dá continuidade no trabalho?

Então se somos frágeis em maturidade de controle imaginem na maturidade de riscos sem mapeamentos e processos definidos?

Portanto, acreditamos que controle interno deveria ser ponto inicial de cada projeto, produto, sistema, atividade e principalmente voltado para o negócio, mas em certos casos não é assim que acontece, colocamos o produto ou serviço na linha de produção e depois corremos atrás para entender como controlamos e se existem normas de órgãos reguladores ou normas internas que permitem a realização do projeto.

Na verdade no momento atual, falar que risco é mais importante que controle interno, que é mais importante que compliance ou que sejam mais importantes que segurança da informação, é justamente uma falácia, pois todas estas áreas tem sua importância na gestão, dependendo do momento e da situação que cada uma delas possui, mas sozinhas nada podem fazer.

E aqui deixo também evidente o grau de importância da auditoria na validação e verificação dos processos de controles, compliance, riscos e segurança da informação tão importantes na gestão dos negócios.

Portanto, devemos avaliar que na profissionalização da gestão e na busca de atendimento aos órgãos reguladores, devemos em minha opinião, mapear processos, identificar controles, validar compliances, identificar riscos e fazer a com que a empresa esteja em conformidade com regras estabelecidas na boa gestão de governança corporativa e sustentabilidade.

* Marcos Assi é consultor da MASSI Consultoria ganhadora do Premio Excelência e Qualidade Brasil 2013, Professor de MBA da disciplina de Controles Internos e Compliance da Trevisan Escola de Negócios, entre outras, autor dos livros “Controles Internos e Cultura Organizacional – como consolidar a confiança na gestão dos negócios” e “Gestão de Riscos com Controles Internos – Ferramentas, certificações e métodos para garantir a eficiência dos negócios”.