O que são controles internos?
Os controles internos referem-se a um processo contínuo, implementado pelo Conselho de Administração, Direção e outros membros da organização, orientado para proporcionar a garantia de que a organização atingirá seus objetivos nas seguintes áreas:
1. Estratégia da organização;
2. Uso eficaz e eficiente dos recursos;
3. Confiabilidade e integridade da informação financeira;
4. Adesão às leis, regulamentos e normas aplicáveis.
Entende-se por controle interno o conjunto inter-relacionado de atividades administrativas – que incluem planejamentos, rotinas, métodos e procedimentos – bem como políticas operacionais, desenvolvidas com o intuito de resguardar os ativos da empresa, garantir a veracidade das informações contábeis, otimizar a eficiência das operações e assegurar a conformidade com as diretrizes e políticas estabelecidas.
Sistema e importância dos controles internos
O sistema de controle interno consiste nas práticas instituídas pela gestão a fim de garantir que os objetivos estabelecidos sejam alcançados. Segundo o Comitê de Procedimentos de Auditoria do Instituto Americano de Contadores Públicos Certificados (AICPA), controles internos englobam a estrutura organizacional e todas as medidas adotadas com o objetivo de proteger os ativos da organização, assegurar a precisão e confiabilidade dos registros contábeis, fomentar a eficiência operacional e promover a adesão às diretrizes executivas.
Aspectos práticos e de compliance dos controles internos
Os controles internos, além de servirem como uma ferramenta de gestão, também abrangem medidas físicas, como dispositivos de segurança e sistemas de vigilância, visando a proteção dos ativos e informações da empresa. Além disso, visam garantir que os funcionários cumpram as legislações e regulamentações pertinentes e sejam prevenidos de ações que possam prejudicar a organização.
Dentro de um contexto de compliance, os controles internos são essenciais para assegurar o cumprimento de leis e regulamentos, além de políticas internas, com o intuito de identificar, prevenir e mitigar riscos associados a questões de natureza legal, ética e de conformidade.
E, dentro de uma organização, o compliance é responsável por estabelecer e garantir a observância dos controles internos que regulamentam a retenção e uso dos dados. Esses controles podem variar significativamente, desde a determinação do período pelo qual os dados podem ser retidos até a forma como os dados são utilizados e protegidos.
Por exemplo, um controle dentro da matriz de controles internos pode ser estabelecido para avaliar a retenção dos dados. Este controle pode estipular que os dados de um cliente devem ser excluídos após um período específico ou após a conclusão de uma transação comercial.
Essas práticas de compliance ajudam a garantir que as empresas não apenas cumpram com as leis de proteção de dados, mas também estabelecem uma base sólida para a confiança dos clientes na proteção de suas informações pessoais.
Por fim, é importante destacar que, enquanto os controles internos são supervisionados pela própria empresa, os controles externos, como auditorias e investigações regulatórias, são geridos por entidades independentes. Portanto, os controles internos são vitais para um gerenciamento organizacional eficaz e consistente, e sua implementação adequada requer conhecimento, entendimento, procedimentos claros e prestação de contas.
Como funcionam
Os controles internos atuam de forma dupla: eles atribuem aos gestores da organização a responsabilidade pelos ativos tangíveis e pela exatidão e consistência dos registros financeiros. Além disso, impõem a necessidade das empresas estabelecerem registros detalhados de auditoria para suas operações financeiras. Esses registros, que oferecem um histórico detalhado de cada movimentação, são essenciais para garantir que as atividades contábeis das empresas estejam livres de manipulações indevidas.
Os desafios da auditoria nos controles internos
A auditoria é um componente essencial para a governança corporativa, responsável por validar a integridade e eficácia dos controles internos. No entanto, essa validação tem sido tipicamente baseada em amostras, levando a um grau de incerteza. Isso ocorre porque, em um ambiente de auditoria típico, a avaliação completa de cada transação ou processo (como vendas) é quase impossível devido ao volume envolvido. Portanto, os auditores se voltam para amostragens aleatórias ou direcionadas. No entanto, isso gera um “risco de amostragem” em que erros ou inconsistências podem passar despercebidos se não estiverem presentes na amostra selecionada.
Ao reimaginar a auditoria no contexto de microsserviços e desenvolvimento ágil, podemos transformá-la de um processo baseado em amostra em um processo contínuo, automatizado e mais assertivo. Isso permite que as empresas atendam às crescentes demandas de governança em um ambiente digital, garantindo a integridade e eficácia de seus controles internos.
A auditoria também pode funcionar como uma ferramenta para reforçar a segurança cibernética, integrando-a aos controles internos de uma empresa. Uma matriz de controles internos é dividida em três tipos: controles a nível de entidade (como hotline e governança), controles a nível de processo (como avaliação de processos de vendas, compras, ativos fixos) e controles gerais de TI. Embora a cibersegurança ainda não seja um foco primário na auditoria externa, as empresas podem adicionar controles de segurança em suas auditorias internas, para itens como antivírus e testes de penetração.
Tipos de controle interno
Há duas categorias principais de controles internos:
Controles proativos: estes se referem a estratégias e políticas estabelecidas para prevenir desafios antes que eles se manifestem.
Controles reativos: estes mecanismos têm como objetivo reconhecer e abordar questões que já surgiram.
Tanto os controles proativos, quanto os reativos focam na proteção de bens tangíveis, na distribuição adequada de responsabilidades, na autorização de movimentações financeiras entre contas, no endosso de acordos externos e na análise minuciosa de cada fase das operações financeiras.
Objetivos
Não há uma fórmula única que defina o sucesso de um sistema de controle interno; estes devem ser adaptados às especificidades e demandas de cada empresa, levando em consideração os potenciais riscos. Os objetivos centrais incluem:
- Proteger os bens da organização;
- Coletar informações relevantes;
- Potencializar a eficácia das operações da empresa;
- Estimular a adesão às diretrizes administrativas.
Para estruturar esses controles, é fundamental a atuação da governança corporativa. Isso significa contar com uma liderança estratégica que estabeleça e monitore princípios de governança para otimizar os processos da empresa. A governança, nesse contexto, assegura que as práticas e táticas sejam adequadamente aplicadas, cultivando um ambiente de responsabilidade e transparência na organização.
Vantagens
- Os controles internos são geralmente reservados para um grupo seleto de profissionais de alto nível e confiança. Limitando o acesso, torna-se mais simples monitorar as atividades e evitar práticas inadequadas;
- Quando bem estruturados e implementados, os controles internos potencializam a eficiência ao tornar as transações claras e acessíveis para qualquer segmento empresarial que necessite delas;
- Controles internos bem calibrados, que aliam transparência à otimização de processos, servem como escudo para os colaboradores, protegendo-os de alegações infundadas de condutas impróprias ou má gestão de ativos.
Ouça agora o episódio 10 completo no Spotify!
Riscos que os controles internos ajudam a combater
1. Delegação de responsabilidades
Organizações estabelecem um guia de responsabilidades, determinando quem é responsável por tarefas específicas, tais como assinatura de documentos, gestão de fundos, aprovação de gastos e acesso a registros financeiros.
2. Processo de autorização
Empresas definem critérios claros sobre quem pode aprovar determinadas operações. Idealmente, um indivíduo não deveria autorizar transações das quais ele possa se beneficiar diretamente, evitando conflitos de interesse.
3. Registro de bens
A organização mantém um catálogo detalhado de seus ativos, incluindo informações como data de aquisição, valor, cobertura de seguro e detalhes específicos como números de série.
4. Cuidados com os ativos
Os ativos da empresa, sejam tangíveis como máquinas ou edificações, requerem manutenções regulares e inspeções, assegurando seu bom funcionamento e longevidade.
5. Gestão de fundos
As empresas tendem a limitar operações em dinheiro vivo para reduzir riscos. Quando necessário, práticas de segurança incluem a restrição de acesso, reconciliações frequentes e emissão de comprovantes.
6. Processo de compras
Diversos indivíduos estão envolvidos nos processos de solicitação, aprovação e pagamento, garantindo a integridade e eficácia do processo.
7. Gestão de estoque
A entrada e saída de produtos são gerenciadas por diferentes setores, e verificações regulares do inventário são realizadas para garantir a precisão dos registros.
8. Reembolsos e devoluções
Procedimentos distintos governam a autorização de devolução e a realização de reembolsos, reforçando a integridade do processo.
9. Contas a pagar
No departamento de contas a pagar, recebimento de faturas e aprovação de pagamentos são realizados por diferentes indivíduos.
10. Operações bancárias
As organizações encerram contas não utilizadas e realizam reconciliações bancárias frequentes para evitar qualquer possibilidade de fraude.
11. Gestão de cheques
Empresas adotam critérios rigorosos para quem pode assinar cheques, muitas vezes, exigindo múltiplas assinaturas para validação.
12. Administração da folha de pagamento
Diferentes membros da equipe são responsáveis por registrar horas trabalhadas, aprovar pagamentos e efetuar a transferência de salários.
13. Monitoramento digital
O uso de tecnologias e computadores é constantemente monitorado para assegurar práticas éticas e produtivas por parte dos funcionários.
14. Política de seguros
As organizações investem em seguros para proteger ativos valiosos e insubstituíveis, garantindo a continuidade das operações mesmo em face de adversidades.
Quer saber mais sobre controle interno? Baixe agora o nosso material de apoio!
7 exemplos de controles internos para usar na sua empresa
1. Formação e desenvolvimento
A integridade e a clareza são pilares essenciais no ambiente corporativo. Contudo, para incorporar uma cultura empresarial baseada em conformidade e ética, é imperativo que todos os membros da equipe estejam alinhados. Por isso, a formação em compliance se torna essencial. Esse treinamento deve focar na sensibilização de todos quanto à importância das normas internas, do código de ética e de outras diretrizes organizacionais.
2. Diretrizes de ética e comportamento
Todo membro da empresa deve estar ciente das diretrizes éticas que guiam o comportamento no ambiente de trabalho. Essas diretrizes, codificadas em um documento, esclarecem as expectativas da empresa em relação à conduta e proporcionam orientações sobre como lidar com dilemas éticos. Elas reforçam a postura que a empresa espera de seus colaboradores e o compromisso com práticas comerciais íntegras.
3. Monitoramento da qualidade
O controle de qualidade é um dos pilares do compliance, garantindo que os padrões e procedimentos sejam mantidos. Esse controle pode se referir tanto à produção de bens quanto à condução de processos internos, como os financeiros, garantindo que tudo seja feito de forma ética e conforme o planejado.
4. Revisões internas
A avaliação interna, ou auditoria, é um processo de revisão que busca entender se a empresa está operando conforme suas diretrizes e planos estabelecidos. Essas revisões são essenciais para identificar possíveis desvios e garantir que a empresa continue no caminho certo.
5. Via de comunicação para alertas
É essencial oferecer um canal onde colaboradores e parceiros possam, de forma segura e anônima, reportar possíveis infrações. Esta via de comunicação incentiva uma cultura de responsabilidade e proatividade na identificação e correção de desvios.
6. Proteção das informações
Com a promulgação da LGPD no Brasil, tornou-se imperativo que as empresas adotem práticas rigorosas de proteção de dados. É fundamental que todas as partes interessadas saibam como seus dados são geridos e que confiem nas medidas adotadas pela empresa para garantir sua segurança.
7. Gestão de terceiros
Manter a conformidade não se restringe apenas aos limites da empresa. É essencial verificar e garantir que parceiros e terceirizados também sigam práticas éticas e legais. Uma das ferramentas nesse processo é a verificação de antecedentes, garantindo que a empresa esteja associada a entidades que compartilham de seus valores e compromissos.
A responsabilidade pela supervisão de terceiros recai sobre a parte da organização que contratou o terceiro. Por exemplo, se a infraestrutura foi terceirizada, o proprietário dessa infraestrutura tem a responsabilidade de garantir que o terceiro esteja cumprindo suas obrigações. Isso não exime a empresa de suas responsabilidades, uma vez que os controles internos ainda precisam ser realizados para garantir a conformidade.
Conformidade e segurança da informação: A importância dos controles internos em TI
Em uma era onde a segurança da informação e a conformidade regulamentar são tão pertinentes para o sucesso das organizações, Ricardo Bortolotto, IT Security e Compliance Manager na Ambev, forneceu insights valiosos no episódio 10 do podcast Itshow. Bortolotto destacou a profundidade e a abrangência da matriz de controles internos, que vai muito além da visão externa aparente. Ele enfatizou que uma auditoria não deve ser apenas superficial, mas sim uma análise profunda dos controles de segurança, uma vez que falhas aqui podem ter consequências prejudiciais no mercado e afetar a decisão dos acionistas.
Sua abordagem holística, olhando para todas as camadas do negócio, desde o desenvolvimento até os processos legados e terceiros, destacou a necessidade de uma compreensão completa. Esta visão completa não só permite identificar armadilhas no processo, que talvez não sejam visíveis para os proprietários, mas também garante que as deficiências sejam abordadas de maneira eficaz.
Bortolotto ressaltou a sinergia entre segurança da informação e conformidade de TI, onde ambos têm um objetivo compartilhado de garantir não apenas a prevenção, mas também a disseminação do conhecimento. Ele enfatizou que o compliance não é apenas uma auditoria de TI tradicional, mas um meio para garantir que todos os controles de cibersegurança estejam alinhados.
A distinção entre o “Control Owner” e o “Process Owner” oferece uma perspectiva clara sobre os diferentes níveis de responsabilidades dentro de uma organização. Enquanto o primeiro garante que todas as medidas preventivas estão em vigor, o último assegura que essas medidas sejam executadas de maneira adequada.
Finalmente, sua abordagem em relação aos terceiros é esclarecedora. Bortolotto sustentou que a conformidade não pode ser comprometida, seja internamente ou por terceiros. A independência na auditoria é fundamental para garantir resultados precisos e imparciais. Seja com fornecedores ou dentro da própria organização, a integridade e a transparência devem ser mantidas a todo custo.
A visão de Ricardo Bortolotto fornece uma abordagem pragmática para o compliance e os controles internos, destacando a necessidade de uma abordagem multifacetada e profunda para garantir que as organizações não apenas cumpram as regulamentações, mas também se protejam de ameaças emergentes.
Assine nossa Newsletter para receber os melhores conteúdos do Itshow direto no seu email.
