Modelo de Gestão de Riscos para Instituições Federais de Ensino Superior visando a realização de Auditoria Baseada em Riscos

Transcrição

1 Modelo de Gestão de Riscos para Instituições Federais de Ensino Superior visando a realização de Auditoria Baseada em Riscos Bruno Silva Auditor Interno

2 Estrutura da Apresentação I. Definições II. III. Por que Propor um Modelo de Gestão de Riscos para IFES? O papel da Auditoria Interna no Gerenciamento de Riscos IV. Abordagens da Auditoria Interna no que se refere à Auditoria Baseada em Riscos V. Modelo de Gestão de Riscos em IFES Relatório Técnico Guia de Gestão de Riscos em IFES Módulo para o Sistema de Informação VI. Considerações Finais

3 I. Definições A auditoria interna é uma atividade independente e objetiva de avaliação e de consultoria, desenhada para adicionar valor e melhorar as operações de uma organização. Auxilia na realização dos objetivos organizacionais a partir da aplicação de uma abordagem sistemática e disciplinada para avaliar e melhorar a eficácia dos processos de gerenciamento de riscos, controle e governança (IIA Brasil). O gerenciamento de risco é um processo necessário, lógico e sistemático para organizações identificarem e avaliarem riscos e oportunidades, visando melhorar a tomada de decisões e a avaliação de desempenhos (CARVALHO NETO e SILVA, 2009).

4 I. Definições Auditoria baseada em riscos é uma metodologia que associa a auditoria interna ao arcabouço global de gestão de riscos de uma organização. Possibilita que uma auditoria interna dê garantia ao conselho diretivo de que os processos de gestão de riscos estão gerenciando os riscos de maneira eficaz em relação ao apetite por riscos (IIA Brasil).

5 II. Por que propor um modelo de gestão de riscos para Instituições Federais de Ensino Superior (IFES)?

6 III. O Papel da Auditoria Interna no Gerenciamento de Riscos Em 2009 o Instituto dos Auditores Internos do Reino Unidade publicou um comunicado intitulado The role of Internal Auditing in Enterprisewide Risk Management. Segundo o IIA (2009, p. 3), o papel da auditoria interna é dar garantia ao conselho de administração ou órgão equivalente sobre a eficácia da gestão de riscos. Acrescentou ainda que a auditoria interna agrega valor à organização quando assegura que: i. os riscos chave estão sendo gerenciados adequadamente; e ii. que a organização possui uma estrutura efetiva de gestão de riscos e controle interno.

7 IV. Abordagens da Auditoria Interna no que refere à Auditoria Baseada em Riscos Segundo De Cicco 1 e Griffiths 2, a ABR pode ser abordada de duas forma distintas pela unidade de Auditoria Interna: Abordagem da Auditoria Interna segundo De Cicco: Cenário 1. Quando a organização não apresenta estrutura e processo de gestão de riscos definidos, ou seja, não adota nenhum modelo; 2. Quando uma organização já apresenta um grau de maturidade de gestão de riscos mais avançado. Abordagem Basear-se na avaliação de riscos da própria auditoria interna. Basear-se na avaliação de riscos da própria organização, definida pelos gestores. 1 Implemente a Auditoria Baseada em Riscos em sua Organização (2007, p. 5) 2 Risk Based Internal Auditing: An Introduction (2006, pg. 24)

8 IV. Abordagens da Auditoria Interna no que refere à Auditoria Baseada em Riscos Segundo De Cicco 1 e Griffiths 2, a ABR pode ser abordada de duas forma distintas pela unidade de Auditoria Interna: Abordagem da Auditoria Interna segundo Griffiths: Cenário 1. Quando a organização não apresenta estrutura e processo de gestão de riscos definidos, ou seja, não adota nenhum modelo; 2. Quando uma organização já apresenta um grau de maturidade de gestão de riscos mais avançado. Abordagem Realizar atividades de assessoria e consultoria visando aprimorar a estrutura e gestão de riscos da organização. Basear-se na avaliação de riscos da própria organização, definida pelos gestores. 1 Implemente a Auditoria Baseada em Riscos em sua Organização (2007, p. 5) 2 Risk Based Internal Auditing: An Introduction (2006, pg. 24)

9 V. Modelo de Gestão de Riscos em IFES Relatório Técnico Guia de Gestão de Riscos em Instituições Federais de Ensino Superior (GERIFES) Módulo para o Sistema de Informação

10 Relatório Técnico Apresenta aspectos relacionados à pesquisa (contextualização e problemática, problema da pesquisa, objetivos, metodologia etc.); Situa a auditoria interna no âmbito do controle da Administração Pública; Dispõe sobre gestão de riscos (conceitos e definições, o papel do gestor e do auditor no processo de implantação, maturidade, principais modelos e seus ponto fortes e fracos); Traz algumas considerações finais.

11 Relatório Técnico Modelo Pontos Fortes Pontos Fracos ERM 1 (COSO) ISO (ABNT) Orange Book 3 (Tesouro Britânico) Ambiente Interno; Fixação de objetivos; Técnicas de identificação de riscos; Respostas ao risco; Monitoramento do risco. Princípios; Política de gestão de riscos; Distinção entre a estrutura e o processo. Conceito de proprietário do risco; Metodologia para classificação do risco; Comitê de gestão de riscos. Não faz distinção entre a estrutura e o processo de gestão de riscos. Não detalha as respostas ao risco. Foco governamental. 1 Enterprise Risk Management 2 Gestão de Riscos Princípios e Diretrizes 3 Management of Risk Principles and Concepts

12 Guia de Gestão de Riscos em Instituições Federais de Ensino Superior (GERIFES)

13 Guia de Gestão de Riscos em IFES 1. ESTRUTURA DE GESTÃO DE RISCOS 1.1 AMBIENTE INTERNO Filosofia de Gestão de Riscos Integridade e Valores Éticos Estrutura Organizacional Delegação de Autoridade e Responsabilidade Capacitação e Reconhecimento de Servidores 1.2. ARCABOUÇO PARA DEFINIÇÃO DOS OBJETIVOS PASSÍVEIS DE GERENCIAMENTO Definição dos Macroprocessos Definição dos Processos ou Macro Objetivos 1.3 POLÍTICA DE GESTÃO DE RISCOS 1.4 COMITÊ DE GESTÃO DE RISCOS 1.5 SISTEMA DE INFORMAÇÃO

14 Níveis de Objetivos Organizacionais

15 Guia de Gestão de Riscos em IFES 1. ESTRUTURA DE GESTÃO DE RISCOS 1.1 AMBIENTE INTERNO Filosofia de Gestão de Riscos Integridade e Valores Éticos Estrutura Organizacional Delegação de Autoridade e Responsabilidade Capacitação e Reconhecimento de Servidores 1.2. ARCABOUÇO PARA DEFINIÇÃO DOS OBJETIVOS PASSÍVEIS DE GERENCIAMENTO Definição dos Macroprocessos Definição dos Processos ou Macro Objetivos 1.3 POLÍTICA DE GESTÃO DE RISCOS 1.4 COMITÊ DE GESTÃO DE RISCOS 1.5 SISTEMA DE INFORMAÇÃO

16 2. PROCESSO DE GESTÃO DE RISCOS 2.1 DEFINIÇÃO DOS OBJETIVOS ORGANIZACIONAIS Objetivos Estratégicos Objetivos Operacionais 2.2 IDENTIFICAÇÃO DE EVENTOS Origem dos Eventos Tipos de Risco Proprietário do Risco Técnicas de Identificação de Eventos Análise de Fluxo de Subprocesso Realização de Oficinas com facilitadores 2.3 CLASSIFICAÇÃO DO RISCO Matriz de Risco Graus de Risco Risco Baixo Risco Moderado Risco Alto Risco Muito Alto

17 2. PROCESSO DE GESTÃO DE RISCOS 2.1 DEFINIÇÃO DOS OBJETIVOS ORGANIZACIONAIS Objetivos Estratégicos Objetivos Operacionais 2.2 IDENTIFICAÇÃO DE EVENTOS Origem dos Eventos Tipos de Risco Proprietário do Risco Técnicas de Identificação de Eventos Análise de Fluxo de Subprocesso Realização de Oficinas com facilitadores 2.3 CLASSIFICAÇÃO DO RISCO Matriz de Risco Graus de Risco Risco Baixo Risco Moderado Risco Alto Risco Muito Alto

18 2. PROCESSO DE GESTÃO DE RISCOS 2.1 DEFINIÇÃO DOS OBJETIVOS ORGANIZACIONAIS Objetivos Estratégicos Objetivos Operacionais 2.2 IDENTIFICAÇÃO DE EVENTOS Origem dos Eventos Tipos de Risco Proprietário do Risco Técnicas de Identificação de Eventos Análise de Fluxo de Subprocesso Realização de Oficinas com facilitadores 2.3 CLASSIFICAÇÃO DO RISCO Matriz de Risco Graus de Risco Risco Baixo Risco Moderado Risco Alto Risco Muito Alto

19 2.4 DEFINIÇÃO DA RESPOSTA AO RISCO Aceitar Mitigar Transferir Evitar 2.5 ESTABELECIMENTO DE PLANOS DE AÇÃO E DE CONTINGÊNCIA Plano de Ação Plano de Contingência 2.6 GESTÃO DE RISCO Risco Inerente x Risco Residual Monitoramento do Risco Atividade de Monitoramento Contínuo Avaliações Independentes Periodicidade do Monitoramento 2.7 INFORMAÇÃO E COMUNICAÇÃO

20 Manual de Utilização do Módulo Gestão de Riscos do Sistema Integrado de Patrimônio, Administração e Contratos (SIPAC)

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

79

80

81

82

83

84

85

86

87

88

89

90

91

92

93

94

95

96

97 VI. Considerações Finais Benefícios para a gestão Possibilidade de cadastrar em sistema de informação todos os objetivos organizacionais das IFES; Criação de banco de dados com os eventos que podem influenciar no alcance de seus objetivos; Registro dos planos de ação/contingência referentes a cada um dos eventos identificados; Visualização dos riscos que exigem maior atenção por parte dos gestores; Padronização da gestão de riscos em toda a instituição; Fortalecimento da governança corporativa.

98 Benefício para a unidade de auditoria interna Possibilidade de planejar as atividades de auditoria com base nas áreas mais críticas, ou seja, aquelas que representarem maior ameaça à organização; Maior receptividade dos trabalhos de auditoria por parte dos gestores, principalmente pelo fato de haver uma gradativa substituição dos trabalhos de auditoria convencionais, que têm como base fatos pretéritos, por trabalhos de auditoria baseada em riscos, cujo objetivo principal é dar garantia ao gestor máximo de que suas unidades estratégicas estão gerenciando os ricos de forma adequada.

99 Fim