AUDITOSSAUROS | Governança, riscos e controles
Guarda-chuva corporativo
Tem controle que reduz risco. E tem controle que reduz responsabilidade.
O guarda-chuva foi implementado. A chuva continua entrando. Pelo menos a justificativa está protegida.
O controle que não segura a chuva
AUDITOSSAUROS. Guarda-chuva corporativo. Tirinha de Jacson Cruz do Nascimento, 04/06/2025.
O controle protege o processo ou apenas a narrativa?
Tem controle que reduz risco. E tem controle que reduz responsabilidade. Nos AUDITOSSAUROS, o guarda-chuva corporativo foi oficialmente implementado.
O problema? Continua chovendo dentro.
Relatórios molhados. Risco presente. Controle ineficaz. Mas a empresa está protegida de algo muito importante: da culpa.
O desenho formal do controle não prova seu funcionamento. Para auditoria interna e gestão de riscos, é preciso avaliar se o mecanismo atua sobre a causa, detecta desvios em tempo adequado ou limita as consequências do evento.
Também é necessário distinguir a existência do controle de sua efetividade operacional. O formulário foi preenchido? Ótimo. Mas a chuva parou de molhar os relatórios?
Nos AUDITOSSAUROS, o guarda-chuva não segura a chuva. Mas segura muito bem a narrativa.
O que a tirinha está questionando
Existência
O controle foi documentado, aprovado e divulgado.
Funcionamento
Há evidências de que ele opera na rotina?
Efetividade
O controle reduz probabilidade, impacto ou melhora a resposta?
Governança
A informação reportada traduz o risco real?
Teste o guarda-chuva
Escolha o que a empresa fez. O painel abaixo explica se houve proteção operacional ou apenas formalização.
Um procedimento é útil, mas sua existência, isoladamente, não demonstra que a chuva deixou de entrar.
Controle desenhado não é necessariamente controle efetivo
O que examinar no desenho do controle?
Objetivo, risco tratado, responsável, frequência, ação preventiva ou detectiva, evidências e critérios de resposta a falhas.
O que verificar na operação?
Se o controle foi executado com consistência, por quem deveria, no momento apropriado e com tratamento das exceções identificadas.
Como relacionar controle e risco residual?
É preciso demonstrar como o mecanismo altera a exposição e avaliar o risco que permanece. Um registro de implantação não substitui essa análise.
Qual a pergunta de auditoria?
Que evidência sustenta a conclusão de que o controle funciona e ajuda a alcançar o objetivo para o qual foi criado?
Perguntas que o relatório deveria responder
- Qual risco específico o controle deveria tratar?
- Ele foi implementado ou apenas descrito?
- O que os testes de funcionamento demonstram?
- O risco residual mudou de forma verificável?
- O que acontece quando o controle falha?
- Quem responde pela correção e pelo acompanhamento?
Continue no universo AUDITOSSAUROS
Temas para explorar em outras publicações do projeto: implementação de recomendações e follow-up, planos de mitigação, evidências de auditoria, monitoramento e diferença entre conformidade formal e efetividade dos controles.
Leitura técnica: International Professional Practices Framework (IIA), Internal Control - Integrated Framework (COSO) e ISO 31000, para aprofundar governança, controles e gestão de riscos.
Comentários