O adequado cumprimento das competências da CAUD depende, em muito, do modelo de articulação, relacionamento, entre a CAUD e os responsáveis das funções de controlo.
O modelo das 3 linhas de defesa, ou das 4 linhas de defesa (incluindo o Revisor Oficial de Contas), subjacente a um sólido ambiente de gestão do risco de controlo interno pressupõe que cada uma das linhas de defesa cumpra as suas funções, competindo aos responsáveis das funções de controlo:
Segunda linha de defesa:
a. Gestão do Risco – Nas entidades sujeitas ao Aviso 03/2020, do Banco de Portugal, de acordo com o artigo 27.º do Aviso, compete à função de gestão de risco assegurar o cumprimento de um conjunto vasto de obrigações que assegure um adequado processo de identificação, avaliação e monitorização dos riscos, assim como a prestação de informação regular e emissão de pareceres em situações especificas, bem como a emissão do relatório anual, em matéria de gestão de riscos;
b. Conformidade / Compliance – De acordo com o artigo 28.º do Aviso 03/2020, do Banco de Portugal, compete à função de conformidade assegurar o adequado cumprimento dos normativos legais e regulamentares aplicáveis, bem como realizar testes de conformidade com as disposições legais e regulamentares através de um programa próprio e estruturado de verificação do cumprimento, regularmente revisto e adaptado aos processos com maior risco de conformidade, bem como a emissão do relatório anual, em matéria de conformidade.
Terceira linha de defesa. A terceira linha de defesa é composta pela função de auditoria interna, sendo as suas competências definidas no artigo 32.º do Aviso, competindo à função de auditoria interna elaborar o seu Plano de Atividades Plurianual e Anual, bem como promover a sua operacionalização, bem como a realização de auditorias, ou inspeções que se venham a revelar necessárias em função das circunstâncias. Tal como acontece com as restantes funções de controlo, compete à função de auditoria interna elaborar o seu relatório mensal.
Os relatórios anuais das funções de controlo, que devem integrar o Relatório Anual de Autoavaliação (artigos 54.º e 55.º do Aviso), são um contributo importante para a CAUD elaborar o seu Relatório de Avaliação (artigo 56.º do Aviso).
Consequentemente, é essencial que ao longo do exercício a CAUD assegure o agendamento de reuniões com os responsáveis das funções de controlo, independentemente da participação em eventuais comités de controlo interno ou gestão de risco, de modo a poderem acompanhar a atividade desenvolvida pelas funções de controlo, o resultado dos trabalhos desenvolvidos e o grau de implementação dos planos de ação visando ultrapassar as deficiências de controlo interno identificadas por detetores internos, ou externos.
No caso da função de auditoria interna, na medida em que a mesma deve reportar ao Presidente da CAUD, quer em termos funcionais, quer hierárquicos, requer-se um maior grau de acompanhamento.
O Plano Plurianual de Auditoria Interna, assim como o Plano Anual, devem ser elaborados e apresentados pelo responsável da função de Auditoria Interna, para parecer da CAUD e aprovação do CA.
Tal como acontece com o Plano de Atividades da CAUD, o documento que for elaborado e apresentado pelo responsável da função de auditoria interna deve estar alinhado com o Plano da CAUD e tomar em consideração a estratégia da entidade. É uma boa prática, antes da elaboração do Plano o responsável da função de auditoria interna obter contributos dos membros do Conselho de Administração, dos quais deverá tomar a devida nota.
O acompanhamento da atividade da função de auditoria interna, por parte da CAUD é fundamental para assegurar:
O acompanhamento da atividade desenvolvida pela função de auditoria interna;
O cumprimento do Plano de Atividades Plurianual e Anual;
A qualidade do trabalho desenvolvido e do relato produzido;
A interação e comunicação da função de auditoria interna e do seu responsável com as restantes áreas e órgãos da sociedade; e
O contributo da função de auditoria interna para a promoção de uma sólida cultura organizacional, um adequado sistema de gestão risco e sistema de controlo interno.
A atividade da função de auditoria interna tem vindo a centrar-se na realização de ações visando avaliar do cumprimento dos normativos da entidade, deixando os temas associados ao relato financeiro e cumprimento das obrigações fiscais e junto da segurança social para a atividade desenvolvida pelo Revisor Oficial de Contas. Trata-se de uma opção que deve ser ponderada a abordagem a adotar de modo a garantir que não existe uma duplicação de esforços e trabalho, devendo essa decisão ser clara e assumida.
Em organizações com sistemas de gestão de risco e de controlo interno mais consolidados é expetável que seja da responsabilidade da função de conformidade / compliance a realização de testes de conformidade aos processos com maior risco de conformidade. Consequentemente, nestes casos compete à função de auditoria interna promover auditorias de modo a assegurar que a segunda linha efetua as suas funções, não competindo à função de auditoria interna substituir-se à função de conformidade.
Compete à CAUD, não só acompanhar a atividade da função de auditoria interna, mas, também, avaliar o seu responsável. Ainda que o responsável da função de auditoria interna seja independente, não devendo a sua atividade ser sujeita a qualquer tipo de condicionamento, tal não pode significar que a CAUD não deva / possa efetuar propostas de melhoria, visando introduzir melhorias nas diferentes áreas da atividade da função de auditoria interna, nomeadamente:
Plano Plurianual / Plano anual;
Metodologia de auditoria;
Âmbito dos trabalhos a serem efetuados;
Modelo e relato emitido; e
Ações de formação a serem promovidas
O responsável da função de auditoria interna, assim como os responsáveis da função de gestão de risco e da função de conformidade, devem reunir regularmente, não só com a CAUD, mas, também, com o Conselho de Administração, de modo a poderem apresentar a atividade desenvolvida, resultado do seu trabalho e eventuais recomendações decorrente do trabalho.
Um dos aspetos críticos no Relatório Anual de Avaliação a ser produzido pela CAUD consiste na avaliação da cultura organizacional existente na entidade. Ainda que a avaliação dos sistemas de gestão de riscos e do sistema de controlo interno implique desafios, no caso da avaliação da cultura organizacional esses desafios são bastantes superiores.
Recomenda-se que a CAUD pondere obter contributos por parte das funções de risco sobre a avaliação da cultura organizacional, sendo essencial que o Conselho de Administração entenda, como um todo, que este tipo de avaliação não é uma atividade intrusiva na gestão, decorrendo do requerido no Aviso 03/2020, do Banco de Portugal.
Os contributos da função de auditoria interna podem resultar, por exemplo:
Questionar os responsáveis das áreas sujeitas a auditoria no âmbito do plano anual, sobre qual a sua perceção sobre os riscos mais relevantes nas suas áreas e eventuais deficiências de controlo interno que requeiram ações de melhoria, de modo que os identificadores deixem de ser as funções de controlo e identificadores externos e passem a ser a primeira linha, a operação; e
Promover uma efetiva monitorização dos planos de ação decorrentes de deficiências de controlo interno de modo a identificar quais as áreas / funções com maior resistência à mudança e dificuldade em desenvolver uma cultura de controlo interno.
A interação da CAUD com os responsáveis da segunda linha de defesa (Gestão de Risco e Conformidade / Compliance) decorre das competências da CAUD sem que tal signifique qualquer ingerência no exercício das funções executivas, nomeadamente no normal processo entre o administrador executivo com o pelouro nestas áreas e os responsáveis das respetivas funções de controlo. Naturalmente, para além da interação com os responsáveis das funções de controlo é normal que a CAUD interaja com os administradores executivos com o pelouro das funções de controlo.
É importante assegurar que nas reuniões com os responsáveis das funções de controlo os mesmos sintam confiança para poder comentar e reportar matérias que considerem sensíveis e mereçam o conhecimento e eventual acompanhamento da CAUD, pelo que estas interações funcionam melhor garantindo que a CAUD reúna pessoalmente com cada um desses responsáveis.
A atuação da CAUD nesta matéria deverá tomar sempre em consideração a cultura organizacional da entidade e o seu grau de maturidade. Uma abordagem que pode ser adequada em entidades com uma cultura organizacional madura pode ser contraproducente numa entidade com uma reduzida cultura organizacional e um sistema de gestão de risco e de controlo interno mais débil.
Este modelo de interação decorrente do Aviso 03/2020, do Banco de Portugal, deve servir como boa pratica para as restantes entidades.
Comments