Promovendo o Sucesso em um Mundo em Mudança

Transcrição

1 Promovendo o Sucesso em um Mundo em Mudança GLOBAL PERSPECTIVE Practitioner Series 10 Imperativos para a Auditoria Interna Larry Harrington CIA, QIAL, CRMA, CPA Arthur Piper CBOK The Global Internal Audit Common Body of Knowledge Patrocínio

2 Sobre o CBOK FATOS DA PESQUISA Participantes Países Idiomas 14, NÍVEIS DOS FUNCIONÁRIOS* Chief audit executive (CAE) 26% Diretor 13% Gerente 17% Equipe 44% *Os níveis foram obtidos de participantes. O Common Body of Knowledge (CBOK) Global de Auditoria Interna é o maior estudo contínuo global no mundo sobre a profissão da auditoria interna, incluindo estudos sobre os praticantes de auditoria interna e suas partes interessadas. Um dos componentes principais do CBOK 2015 é a pesquisa global do praticante, que fornece uma perspectiva abrangente das atividades e características dos auditores internos do mundo todo. Este projeto tem como base as duas pesquisas globais do praticante anteriores, conduzidas pela The IIA Research Foundation em 2006 (9.366 respostas) e 2010 ( respostas). Com início em Julho de 2015, os relatórios serão lançados mensalmente e podem ser baixados de graça, graças às contribuições generosas e ao apoio de indivíduos, organizações profissionais, filiais do IIA e institutos do IIA. Mais de 25 relatórios foram planejados e categorizados em oito áreas de conhecimento, com foco nas questões emergentes da profissão, em áreas que incluem o futuro da auditoria interna, governança, perspectiva global, gestão, riscos, normas, talento e tecnologia. Visite o CBOK Resource Exchange em para download das perguntas da pesquisa e dos relatórios seguintes, conforme forem disponibilizados. Pesquisa do Praticante CBOK 2015: Participação das Regiões Globais Europa & Ásia 23% Central América 19% do Norte Oriente Médio & África 8% do Norte América Latina 14% & Caribe África 6% Subsaariana Sul da Ásia 5% Leste Asiático 25% & Pacífico Observação: As regiões globais são baseadas nas categorias do Banco Mundial. As respostas da pesquisa foram coletadas entre 2 de Fevereiro de 2015 e 1º de Abril de O link da pesquisa online foi distribuído via listas de mailing dos institutos, sites do IIA, newsletters e redes sociais. Pesquisas parcialmente preenchidas foram incluídas na análise, desde que as perguntas demográficas tivessem sido completadas. Nos relatórios CBOK 2015, perguntas específicas são chamadas de Q1, Q2 e assim por diante.

3 Áreas de Conhecimento do CBOK Conteúdos Futuro Sumário Executivo 4 Perspectiva Global Governança Gestão Seção 1: Desempenhe um Papel de Liderança 1 Antecipe as Necessidades das Partes Interessadas 5 2 Desenvolva Práticas de Gerenciamento de Riscos Orientadas para o Futuro 8 3 Oriente Continuamente o Conselho e o Comitê de Auditoria 10 4 Seja Corajoso 12 Seção 2: Supere a Lacuna das Expectativas 5 Apoie os Objetivos do Negócio 14 Risco Normas & Certificações 6 Identifique, Monitore e Lide com os Riscos Tecnológicos Emergentes 15 7 Melhore as Descobertas de Auditoria por meio do Maior Uso de Métricas de Análise de Dados 16 8 Vá Além das Normas do IIA 17 Seção 3: Invista na Excelência Talento 9 Invista em Si Mesmo Recrute, Motive e Retenha uma Ótima Equipe 23 Tecnologia Conclusão 26

4 Sumário Executivo A mudança no mundo dos negócios está acelerando conforme os efeitos da globalização, os avanços tecnológicos e as revoluções nos cenários geopolíticos se enraízam nas sociedades do mundo todo. Larry Harrington, o vice-presidente sênior global do Conselho de Administração do The IIA entre 2014 e 2015, formou uma parceria com o escritor de negócios premiado Arthur Piper para desenvolver a publicação Promovendo o Sucesso em um Mundo em Mudança: 10 Imperativos para a Auditoria Interna, que dá aos praticantes uma nova perspectiva sobre como lidar com os desafios da atualidade. Os 10 imperativos ajudarão os praticantes a descobrir áreas onde possam crescer profissionalmente e agregar valor às suas organizações. Este relatório é apoiado por insights advindos da Pesquisa Global do Praticante de Auditoria Interna do CBOK 2015, a maior pesquisa de auditores internos do mundo. Além disso, os autores conduziram entrevistas com líderes em auditoria interna das regiões globais. Neste relatório, você descobrirá como os participantes das regiões globais responderam perguntas como: Como você mensura a eficácia de seu desempenho? Seu departamento de auditoria interna está alinhado com o plano estratégico de sua organização? Com que frequência você atualiza seu plano de auditoria? Você já se sentiu pressionado a suprimir ou modificar uma descoberta ou relatório válido de auditoria? Se sim, por quem? Quanto tempo seu departamento de auditoria interna dedica aos riscos de cibersegurança e mídias sociais? Você pratica auditoria contínua? Que tipos de treinamento você disponibiliza para sua equipe? Você também aprenderá sobre tendências na profissão, tais como: Qual porcentagem de participantes pretendem permanecer na profissão da auditoria interna nos próximos cinco anos Como a proporção entre auditores internos e auditoras internas está mudando drasticamente Como o uso das Normas Internacionais para a Prática Profissional de Auditoria Interna (Normas) aumentou nos últimos cinco anos Quais habilidades os CAEs (chief audit executives - diretores executivos de auditoria) desejam trazer para seus departamentos de auditoria interna Promovendo o Sucesso em um Mundo em Mudança é o primeiro de uma série anual de relatórios com base na pesquisa do praticante CBOK 2015, que será lançada a partir de Julho de Os relatórios CBOK estão disponíveis gratuitamente para o público no site

5 1 Antecipe as Necessidades das Partes Interessadas P ara desempenhar um papel de liderança no sucesso de suas organizações, os auditores internos precisam antecipar as exigências de suas partes interessadas. No cenário dinâmico de riscos da atualidade, essa não é uma tarefa fácil. O conselho, a administração, as funções de controle e os prestadores internos e externos de avaliação têm uma ampla variedade de necessidades em constante mudança, frequentemente conflitantes e às vezes mal comunicadas, que os auditores internos devem, fundamentalmente, entender e atender. Os auditores internos devem melhorar os canais de comunicação para melhor antecipar as expectativas das partes interessadas, especialmente durante os processos de planejamento de auditoria e aprovação. Eles devem demonstrar como e por que seus planos de auditoria atendem os principais riscos que o negócio encara na aplicação de sua estratégia. Não conseguir fazer isso frequentemente leva a uma lacuna perigosa de expectativas entre os auditores internos e as partes interessadas. Globalmente, enquanto 3 de 4 departamentos (73%) dizem que incorporam pedidos da administração em seus planos de auditoria, apenas 2 de 3 (62%) consultam chefes de divisão ou do negócio e menos ainda (56%) consultam seus comitês de auditoria. Na América do Norte, há níveis muito maiores de consultoria em todas essas categorias (veja o Documento 1). Documento 1 Recursos Usados para Estabelecer um Plano de Auditoria 100% 80% 60% 86% 80% 74% 79% 74% 74% 66% 67% 68% 65% 60% 56% 67% 62% 61% 58% 54% 53% 50% 73% 62% 56% 40% 43% 40% 20% 0% América do Norte Sul da Ásia Europa e Ásia Central África Subsaariana Leste Asiático e Pacífico América Latina Oriente Médio e Caribe e África do Norte Média Global Pedidos da administração Consultas com chefes da divisão ou do negócio Pedidos do comitê de auditoria Observação: Q48: Quais recursos você utiliza para estabelecer seu plano de auditoria? (Escolha todas as aplicáveis.) Apenas CAEs participantes.

6 Quando se quer saber como as partes interessadas avaliam seu desempenho, é preciso mais do que enviar uma pesquisa de feedback. Pedimos que uma parte independente sente com nossas partes interessadas para uma conversa focada, com base em uma questionário sobre como estamos nos saindo, o que leva em consideração nosso estatuto e se estamos ou não atendendo suas necessidades. Robert Kella, Vice-Presidente Sênior de Auditoria Interna no Emirates Group, Dubai, Emirados Árabes Unidos Menos CAEs (32%) comparam os resultados de auditoria com as expectativas específicas estabelecidas e Documento 2 América Latina e Caribe Leste Asiático e Pacífico Desempenho Mensurado em Comparação com as Expectativas das Partes Interessadas Sul da Ásia 46% África Subsaariana América do Norte Oriente Médio e África do Norte Europa e Ásia Central Média Global 0% 10% 20% 30% 40% 50% Observação: Q90: Quais métricas específicas sua organização usa para avaliar o desempenho de sua atividade de auditoria interna? (Escolha todas as aplicáveis.) CAEs apenas participantes. Três Linhas de Defesa O modelo das Três Linhas de Defesa da governança corporativa é apoiado pelo The IIA e fornece a seguinte estrutura para atribuição e gestão das responsabilidades de gerenciamento de riscos e controle: Primeira Linha de Defesa: Gerência operacional, que é proprietária e gestora do risco e controle. Segunda Linha de Defesa: Funções de gerenciamento de riscos e controle, que definem as políticas de riscos e apoiam a gerência. Terceira Linha de Defesa: Auditoria interna, que fornece avaliação independente e objetiva, tanto à acordadas com as partes interessadas, exceto no Sul da Ásia, onde quase metade (46%) disse fazê-lo (veja o Documento 2). 26% 28% 31% 32% 35% 37% 42% gerência quanto à organização sobre quão bem o sistema funciona e atende as necessidades da organização. Entre os participantes da pesquisa familiarizados com o modelo das Três Linhas de Defesa, entre 62% e 81% indicaram que a auditoria interna usa o modelo em suas organizações (veja o total combinado de sim no Documento 3). No entanto, há uma falta de familiaridade com o modelo em certas regiões, especialmente Sul da Ásia, América do Norte e Oriente Médio e África do Norte, indicando oportunidades para mais educação (veja o Documento 4). Fonte: Declaração de Posicionamento do IIA, As Três Linhas de Defesa no Gerenciamento de Riscos e Controle Eficazes, Janeiro de 2013, páginas 3-5.

7 Documento 3 Uso do Modelo das Três Linhas de Defesa Sim, a auditoria interna é considerada a terceira linha de defesa 11% 6% 53% África Subsaariana Sim, mas a auditoria interna é considerada a segunda linha de defesa em nossa organização. 14% 3% 15% 5% 62% Leste Asiático e Pacífico Sim, mas a distinção entre segunda e terceira linhas não está clara. Não, minha organização não segue este modelo. 64% Europa e Ásia Central 15% 17% 4% 8% 19% 5% Sul da Ásia 50% 13% 10% 16% 10% América do Norte 50% 15% 22% 6% 6% Oriente Médio e África do Norte 45% 10% 10% 25% 10% América Latina e Caribe 45% 12% 5% 31% 6% Não, este modelo não é aplicável à minha organização. 56% Média Global 0% 20% 13% 6% 40% 60% 20% 80% 5% 100% Observação: Q63: Sua organização segue o modelo das três linhas de defesa, conforme articulado pelo IIA? participantes. Aqueles que responderam Não estou familiarizado com este modelo foram excluídos desses cálculos. Devido ao arredondamento, os totais de algumas regiões podem não somar 100%. Documento 4 Participantes não Familiarizados com o Modelo das Três Linhas de Defesa 43% Sul da Ásia 25% América do Norte Oriente Médio e África do Norte 24% 22% Leste Asiático e Pacífico 19% América Latina e Caribe África Subsaariana Europa e Ásia Central 15% 12% 20% Média Global 0% 10% 20% 30% 40% 50% Observação: Q63: Sua organização segue o modelo das três linhas de defesa, conforme articulado pelo IIA? Este documento mostra os participantes que escolheram a opção Não estou familiarizado com este modelo participantes.

8 2 Desenvolva Práticas de Gerenciamento de Riscos Orientadas para o Futuro Enquanto gerentes executivos entendem o que é importante para seus departamentos individualmente, a auditoria interna deve ter uma visão abrangente das coisas e entender corporativamente quais são os grandes riscos para a organização inteira. Theresa Grafenstine, Inspetora Geral, U.S. House of Representatives, Washington, DC A uditores internos devem entender como a teia complexa de riscos decorrentes de eventos geopolíticos, mudanças ambientais e avanços tecnológicos rápidos impactam seus negócios. Eles devem avaliar o impacto provável de possíveis eventos futuros - incluindo suas consequências de segunda e terceira ordem - sobre as estratégias e operações da organização. Pensando no futuro, CAEs dizem que os riscos para os quais a gerência executiva voltará seu foco principal em 2015 serão: Operacional 72% Riscos estratégicos do negócio 70% Conformidade/regulatórios 62% Fonte: Q65. Documento 5 América Latina e Caribe Oriente Médio e África do Norte Europa e Ásia Central Enquanto gerentes executivos podem entender a importância de tais riscos para seus departamentos, eles podem não conseguir ver como esses riscos impactam a organização como um todo. Em média, pouco mais de 1 em 3 participantes disseram que seu plano anual de auditoria é atualizado três ou mais vezes ao ano, conforme os riscos mudam (veja o Documento 5). Apesar de os auditores internos estarem na posição de entender os riscos estratégicos para suas organizações, em média, apenas cerca da metade dos participantes da pesquisa (57%) dizem que seus departamentos estão completamente ou em grande parte alinhados com o plano estratégico de seu negócio (veja o Documento 6). Plano de Auditoria Atualizado Três ou Mais Vezes por Ano América do Norte 47% África Subsaariana Sul da Ásia 29% 31% 35% 42% 45% Leste Asiático e Pacífico 24% Média Global 34% 0% 10% 20% 30% 40% 50% Observação: Q38: Como você descreveria o desenvolvimento do plano de auditoria em sua organização? O documento mostra os participantes que escolheram a opção 3, atualizado três ou mais vezes ao ano, conforme os riscos mudam, ou opção 4, abrange um plano altamente flexível, alinhado com o perfil de riscos em mudança da organização. CAEs apenas participantes.

9 O plano anual de auditoria deve ser baseado no plano estratégico da organização. Os auditores internos devem priorizar seus trabalhos e reavaliar e atualizar seus planos regularmente, diz Simon Nyazenga, antigo group director de auditoria interna na Rift Valley Corporation, Harare, Zimbábue. Assegurar o conselho de que a organização é capaz de lidar com os riscos rapidamente emergentes exige um entendimento dos riscos estratégicos, de negócio, jurídicos e de conformidade da organização; profundo conhecimento sobre o negócio; e altos níveis de competência em ferramentas tecnológicas. Um desafio para departamentos de auditoria interna será garantir que tenham as habilidades para atender a demanda por seus serviços nessas áreas. Documento 6 Auditoria Interna Alinhada com o Plano Estratégico América Latina e Caribe 72% 21% 7% Completamente ou em grande parte alinhada Pouco alinhada Não alinhada ou minimamente alinhada África Subsaariana Oriente Médio e África do Norte Europa e Ásia Central América do Norte Leste Asiático e Pacífico Sul da Ásia 69% 25% 7% 59% 31% 9% 57% 35% 8% 54% 40% 7% 45% 44% 11% 43% 49% 8% Média Global 57% 35% 8% 0% 20% 40% 60% 80% 100% Observação: Q57: Até que ponto você acredita que seu departamento de auditoria interna esteja alinhado com o plano estratégico de sua organização? CAEs apenas participantes.

10 3 Oriente Continuamente o Conselho e o Comitê de Auditoria PONTOS DE AÇÃO Comunicar os riscos no contexto das metas e objetivos do negócio. Fornecer uma opinião geral de como o negócio está se gerindo. Eliminar controles e atividades que não agregam valor para otimizar custos. Orientar o comitê de auditoria sobre as questões com as quais ele mais deve se preocupar regularmente. Dar uma visão geral do ambiente de controle e reportar se está melhorando ou piorando. O rientar o comitê de auditoria sobre o ambiente de conformidade, regulatório e de riscos em constante mudança é de grande valor para as organizações, porque auxilia em mantê-las informadas dos avanços globais. A ampla adoção dos comitês de auditoria no mundo todo dá à auditoria interna um conduite para ser a fonte líder de informação para o conselho sobre riscos emergentes, gerenciamento de riscos, auditoria interna e as Normas do IIA (veja o Documento 7). O chief audit executive está na posição ideal para informar e orientar o conselho sobre principais riscos, já que Documento 7 Comitê de Auditoria na Organização África Subsaariana 90% América do Norte ele(a) entende tanto do negócio quanto dos riscos e tem a habilidade de ligá-los, diz Theresa Grafenstine, inspetora geral, U.S. House of Representatives, Washington, DC. As respostas à pesquisa do praticante de 2015 indicam que uma alta porcentagem de CAEs tem um relacionamento ativo com seus comitês de auditoria. Entre as organizações que têm comitês de auditoria, em média, 7 de 10 dizem que reportam funcionalmente ao comitê de auditoria, apesar de haver amplas variações regionais (veja o Documento 8). Além disso, cerca de 75% dos CAEs dizem que se reúnem ao menos uma vez ao ano com 89% Europa e Ásia Central Oriente Médio e África do Norte Sul da Ásia Leste Asiático e Pacífico América Latina e Caribe Média Global 78% 76% 73% 73% 73% 79% 0% 20% 40% 60% 80% 100% Observação: Q78: Há um comitê de auditoria ou equivalente em sua organização? participantes.

11 o comitê de auditoria em sessões executivas, sem membros da administração presentes (Q78c). Além desses canais formais de comunicação, que são críticos, o trabalho por trás das cenas como conselheiro aos comitês de auditoria e outras partes interessadas é uma forma altamente eficaz de entender suas necessidades e ajudar a manter o conselho informado. Você precisa de credibilidade se quiser que as pessoas venham até você para conselhos e informação, diz Nicola Rimmer, diretora da Barclay s Internal Audit, em Londres, Reino Unido, e ex-presidente do The IIA-UK e Irlanda. Ela diz que os auditores internos aumentam sua credibilidade quando desenvolvem uma boa consciência de negócios, adotando uma abordagem pragmática em seu trabalho e sendo capazes de falar com as pessoas sobre o que realmente importa para elas, sem transformar cada pergunta em uma solicitação de auditoria. Com trabalho árduo, os auditores internos podem encorajar o conselho, a alta administração e outras partes interessadas a aceitar que a auditoria interna é capaz de operar no nível certo de senioridade para dar esses conselhos. Documento 8 CAEs que Reportam Funcionalmente ao seu Comitê de Auditoria África Subsaariana 87% Oriente Médio e África do Norte Sul da Ásia América do Norte 83% 82% 82% América Latina e Caribe Europa e Ásia Central 66% 61% Leste Asiático e Pacífico 51% Média Global 69% 0% 20% 40% 60% 80% 100% Observação: Q74: Qual é a primeira linha de reporte funcional para o chief audit executive (CAE) ou equivalente em sua organização? A pesquisa declarou que o reporte funcional se refere à supervisão das responsabilidades da função de auditoria interna, incluindo a aprovação do estatuto de auditoria interna, do plano de auditoria, da avaliação do CAE e da compensação do CAE. Apenas respostas de CAEs em organizações com comitês de auditoria estão relatadas participantes.

12 4Seja Corajoso Documento 9 Pressão para Mudar uma Descoberta ou Relatório de Auditoria CAE ou Equivalente 5% 29% 66% Diretor ou Gerente 11% 25% 64% 20% 14% Nunca Equipe 66% Uma vez ou mais Prefiro não responder Observação: Q77: Durante sua carreira de auditoria interna, você vivenciou uma situação na qual você tenha sido orientado a suprimir ou modificar significativamente uma descoberta ou relatório de auditoria válido? participantes. A uditores internos devem ter a coragem de dizer às partes interessadas a verdade, seja o que elas querem ouvir ou não. É mais fácil falar do que fazer, mas é essencial para que a auditoria interna ganhe credibilidade em toda a organização. Entre os níveis de função, cerca de 3 de 10 praticantes de auditoria interna dizem que sofreram pressão indevida para suprimir ou modificar suas descobertas. Dependendo do nível do funcionário, entre 5% e 14% de todos os participantes dizem que preferem não responder a pergunta, sugerindo que a questão não foi, possivelmente, reportada (veja o Documento 9). Os participantes da pesquisa indicaram que a pressão veio de uma variedade de fontes, dependendo do nível de função do participante. CAEs sentiram a maior pressão advinda do CEO, gestão operacional e do chief financial officer (CFO). No entanto, diretores, gerentes e equipe tiveram a maior probabilidade de reportar que a pressão veio de dentro do departamento de auditoria interna, talvez mostrando como a pressão é transferida do CAE para níveis inferiores de função (veja o Documento 10). Rimmer comenta que altos níveis de pressão da administração para alterar os relatórios de auditoria poderia significar que descobertas de auditoria adversas afetam o pagamento e bônus do cliente. Você precisa de uma cultura dentro da organização que encoraje e recompense as pessoas por serem proativas em encontrar questões e expô-las, diz ela. Ela orienta usar duas classificações: uma focada no ambiente de controle e a outra em avaliar a abordagem de controle da administração, para ver se estão identificando e lidando proativamente com as questões. Os relatórios, então, mostram claramente onde a administração é proativa (mesmo se a gerência ainda estiver em processo de melhora), o que reduz o risco de pressão para alterar relatórios de auditoria. Idealmente, a auditoria interna pode evitar conflitos desnecessários pedindo a colaboração para a solução do problema. Robert Kella, vice presidente sênior de auditoria interna no Emirates Group, em Dubai, Emirados Árabes Unidos, diz que seu departamento de auditoria interna partiu de uma posição de fazer recomendações de auditoria para uma de trabalhar com a administração em garantir ações acordadas. Isso permitiu que seu departamento voltasse mais o debate para qual seria a melhor forma de melhorar a resposta do negócio à gestão dos riscos. Também deu à sua equipe a confiança de que as questões que eles levantarem durante o trabalho de campo serão levadas a sério pela equipe executiva. Ainda assim, a auditoria interna precisa se preparar para lidar com conflitos. A administração precisa saber que, se houver discordância, você agirá de acordo com sua responsabilidade de escalonar o problema para o próximo nível e, de fato, o fará - o negócio tem que saber que a função de auditoria interna tem dentes, diz Kella. Para que os auditores internos tomem decisões difíceis, é crucial que eles ganhem o apoio do comitê de auditoria e da gerência executiva.

13 Documento 10 5 Principais Fontes de Pressão para Modificar uma Descoberta ou Relatório CAE ou Equivalente Diretor ou Gerente Equipe Chief executive officer (CEO) 38% Departamento de auditoria interna 34% Departamento de auditoria interna 44% Gerência operacional 26% Gerência operacional 26% Gerência operacional 21% Chief financial officer (CFO) 24% Chief executive officer (CEO) 24% Chief executive officer (CEO) 15% Conselho de administração 12% Chief financial officer (CFO) 18% Prefiro não responder 15% Outra fonte interna 10% Outra fonte interna 16% Outra fonte interna 14% Observação: Q77b: Qual foi a fonte da pressão que você sentiu quando foi orientado a suprimir ou modificar significativamente uma descoberta ou relatório de auditoria? (Escolha todas as aplicáveis.) Respondida apenas por participantes que indicaram anteriormente que se sentiram pressionados a modificar uma descoberta ou relatório participantes. AS PRESSÕES DE SER UM AUDITOR INTERNO Um projeto recente da The IIA Research Foundation examinou profundamente as pressões organizacionais sentidas pelos auditores internos. Os autores Patricia Miller e Larry Rittenberg, que passaram décadas na profissão da auditoria interna, identificaram as 10 melhores práticas para CAEs gerirem a pressão política. Seus insights estão disponíveis na publicação The Politics of Internal Auditing. 10 Melhores Práticas para CAEs Gerirem a Pressão Organizacional Busque uma boa governança e um conselho versado para apoiar as atividades de auditoria interna. Use o apoio executivo para mitigar questões com outros relacionamentos organizacionais. Saiba se os valores de seu funcionário combinam com seus valores. Construa credibilidade para a auditoria interna, levantando as questões certas, sendo justo, montando uma equipe forte, mantendo o foco nos fatos e jogando para o mesmo time da administração. Construa relacionamentos fortes, fazendo mais do que simplesmente comparecer às reuniões trimestrais; torne-se um líder mais visível. Fonte: Patricia K. Miller and Larry E. Rittenberg, The Politics of Internal Auditing (Altamonte Springs, Florida: The IIA Research Foundation, 2015), páginas Planeje com antecedência; fale com executivos e com seu conselho sobre o que você fará quando questões políticas surgirem. Tenha uma estrutura de decisão para determinar quais questões você investigará, mesmo se houver resistência. Desenvolva um estatuto de auditoria interna forte, para atenuar a resistência ao papel e às obrigações da auditoria interna. Comece uma comunicação positiva antes de conduzir auditorias; continue a comunicação para evitar conflitos futuros. Aprenda com suas experiências; considere o que funcionou e o que poderia ter corrido melhor.

14 5 Apoie os Objetivos do Negócio Você pode apoiar melhor os objetivos do negócio, desenvolvendo key performance indicators, tais como: Métricas do Cliente: Uma lista de áreas nas quais é agregado valor por auditoria, classificações de satisfação do cliente e número de reuniões principais com clientes. Métricas Financeiras: Documentação de corte de custos, eficiências melhoradas ou outros benefícios monetários relativos aos objetivos organizacionais. Métricas de Qualidade: Revisões de avaliações de qualidade, benchmarking usando a Global Audit Information Network (GAIN ). Métricas de Crescimento da Equipe: Certificações recebidas, horas de treinamento por ano, desenvolvimento do planejamento de treinamento usando o Career Map do The IIA. O s auditores internos podem preencher a lacuna de expectativas entre eles e as partes interessadas, alinhando melhor seu trabalho aos objetivos estratégicos do negócio. Esse alinhamento facilita a auditoria com base em riscos e a melhor antecipação das necessidades das partes interessadas. Pouco mais da metade dos participantes (57%) da pesquisa do praticante CBOK disse que o departamento de auditoria interna está alinhado plenamente ou em grande parte com o plano estratégico de seu negócio (veja o Documento 6). Isso significa que quase metade dos participantes não está segura de estar alinhada à estratégia organizacional e, provavelmente, terá dificuldade em demonstrar o valor que agrega à suas organizações. Entender precisamente os objetivos de negócio do cliente e identificar e gerir os principais riscos que esses objetivos encaram são os dois elementos básicos mais poderosos com os quais a auditoria interna pode ajudar seus clientes a atingirem seus objetivos, diz Gabriel Benavides Ramirez, diretor de auditoria de controle interno e anticorrupção no Escritório Geral de Auditoria da Cidade do México, México. Ramirez recomenda, Para cada área do plano estratégico, métricas específicas de desempenho devem ser identificadas, para indicar a mudança geral da direção em relação ao definido pelo plano. Além de acompanhar esses indicadores em comparação com os resultados desejados do negócio, ele acrescenta, o departamento de auditoria pode usá-los para incentivar os funcionários por meio de seus programas de treinamento e pacotes de compensação. Os líderes de auditoria interna precisam fazer mais para educar suas equipes sobre as organizações nas quais operam. Auditores individuais podem buscar certificações específicas da indústria para melhorar seu entendimento do negócio e para ajudar a construir credibilidade pessoal junto à gerência. CAEs precisam garantir que a forma como mensuram o desempenho de seu departamento não aprofunde a lacuna de expectativas. Apenas cerca da metade (51%) diz usar pesquisas com clientes de auditoria para mensurar a qualidade de seu desempenho, com menos de 1 de 3 (29%) entrevistando as principais partes interessadas (Q91).

15 6 Identifique, Monitore e Lide com os Riscos Tecnológicos Emergentes ACOMPANHANDO A TECNOLOGIA Quinze anos atrás, Grafenstine decidiu focar intensamente na auditoria de TI e segurança. Ela investiu nela mesma, aprendendo sobre diversos sistemas operacionais e aplicativos corporativos, investiu tempo dos finais de semana lendo sobre tendências de TI e riscos e incorporou gradualmente esse conhecimento em seu trabalho de auditoria. Os auditores, frequentemente, não lidam com risco de TI, porque têm medo - eles não o entendem, disse ela. Mas é um risco grande demais para ignorar. Ela recomenda que os auditores comecem a examinar o risco de TI, primeiramente, de um nível alto, examinando políticas, planos de projetos e questões de negócios. Eles devem se comunicar com colegas e grupos de interesse especial do IIA, fazer seu trabalho de casa para gradualmente expandir seu conhecimento técnico e aumentar o conhecimento e habilidades de TI dentro de suas equipes. R iscos tecnológicos são extremamente difíceis de gerenciar, porque estão em evolução constante. Os auditores internos precisam reagir proativamente, ajudando suas organizações a identificar, monitorar e lidar com tais riscos emergentes de TI e orientando seus conselhos sobre a melhor forma de fazê-lo. O risco de TI está entre os cinco principais riscos nos quais os auditores internos estão concentrando seu maior nível de atenção em 2015, de acordo com os participantes da pesquisa (Q66). No entanto, em uma porcentagem notável de organizações, o envolvimento Documento 11 Envolvimento da Atividade de Auditoria Interna com Relação à Cibersegurança e Mídias Sociais Uso de mídias sociais por parte dos funcionários 27% 61% 12% Cibersegurança das informações eletrônicas 17% 63% 20% 0% 20% 40% 60% 80% 100% Nenhum da auditoria interna em algumas questões de TI críticas e não rotineiras é surpreendentemente baixo. Na média global, quase 1 de 5 participantes (17%) disse não investir tempo algum de auditoria nos sistemas de cibersegurança de sua organização e, da mesma forma, mais de 1 de 4 (27%) dizem não investir tempo algum em auditorias de mídias sociais (veja o Documento 11). A maioria dos participantes diz que o envolvimento da atividade de auditoria na cibersegurança e mídias sociais aumentará dentro dos próximos 2 a 3 anos - 74% e 54%, respectivamente (Q94). Moderado ou mínimo Extenso Observação: Q92: Para a segurança da tecnologia da informação (TI), especificamente, qual o envolvimento do departamento de auditoria interna em relação às áreas a seguir: uso de mídias sociais por parte dos funcionários e cibersegurança das informações eletrônicas? participantes para cibersegurança; participantes para mídias sociais.

16 7 Melhore as Descobertas de Auditoria por meio do Maior Uso de Métricas de Análise de Dados O s auditores internos devem continuar melhorando suas habilidades e técnicas de análise de dados, para aprimorar as descobertas de auditoria. Além de serem capazes de analisar conjuntos completos de dados (em vez de amostras), tais tecnologias permitem aos auditores a melhoria da eficiência e de áreas de auditoria ricas em dados de formas mais sofisticadas. Cerca de metade dos participantes da pesquisa disse usar mineração de dados ou análise de dados na identificação de fraude (49%), para investigar questões levantadas por meio do monitoramento de riscos ou controle (47%), com pouca variação entre as regiões globais (Q96). Isso sugere que uma adoção muito mais ampla dessas técnicas é necessária. Adicionalmente, os auditores internos se dão altas classificações de proficiência para o uso de análise de dados para atingir conclusões significantes. Globalmente, cerca de metade (55%) se considera avançada ou especialista, com altas porcentagens na América Latina e Caribe (69%) e na Europa e Ásia Central (68%) (Q86). Se você tem uma comunicação regular com seus clientes e fala sobre compartilhar habilidades de análise de dados, eles geralmente ficam muito felizes de aprender essas habilidades comigo, diz Kwang Ho Sung, vice presidente e chefe de auditoria interna em um grande banco sul-coreano. Tal transferência de conhecimento pode empoderar as partes interessadas a alcançar com mais facilidade seus objetivos de gestão de seus próprios riscos e controles e permitir que os recursos de auditoria interna sejam concentrados no cenário amplo de riscos, ele acrescenta. A tecnologia de auditoria contínua ou em tempo real está sendo alavancada pelos departamentos de auditoria interna. Na média global, pouco menos da metade dos participantes (44%) reportou atividade moderada ou extensa em auditoria contínua/em tempo real (Q95). Para ajudar a auditoria interna a seguir em direção à auditoria contínua, Kella diz que a auditoria interna deve desenvolver planos separados, mas relacionados, para os processos e métricas de auditoria. Ele recentemente alocou cerca de 60% de seus recursos de métricas para apoiar o plano de auditoria do grupo e alocou os 40% restantes para desenvolver plataformas de monitoramento contínuo com um grupo seleto de unidades de negócios de mentalidade semelhante. Kella diz que isso divide os custos de desenvolvimento, ajuda a treinar a gerência a usar o conjunto de métricas e transforma o departamento de auditoria em um papel mais independente de monitoramento contínuo.

17 8 Vá Além das Normas do IIA A melhor forma de demonstrar o valor das Normas é fazer com que seja fácil e conveniente trabalhar com a auditoria, ajudando a cortar custos e manter a conformidade com os regulamentos, mas, acima de tudo, atingindo os objetivos da organização de forma eficiente e ética. Gabriel Benavides Ramirez, Diretor de Auditoria de Controle Interno e Anticorrupção, Escritório Geral de Auditoria da Cidade do México, México. A s Normas do IIA dão aos auditores internos orientações que permitem a eles conduzir com sucesso as atividades de auditoria interna para as organizações que eles atendem. O uso das Normas parece estar crescendo no geral, de acordo com os CAEs que responderam as pesquisas do praticante CBOK em 2010 e Em 2015, 54% dos CAEs indicaram que usam todas as Normas, em comparação com 46% em 2010 (um aumento de 8%). Ao mesmo tempo, a porcentagem de participantes que disse Documento 12 Aumento no Uso das Normas do IIA (de 2010 a 2015) Sim, todas as Normas Sim parcial, algumas das Normas Não 100% 90% 80% 70% 60% 50% 40% 30% 46% 40% não utilizar as Normas caiu para 11% em 2015, em comparação com 14% em 2010 (veja o Documento 12). O uso das Normas varia muito entre regiões, com um máximo de 68% na América do Norte e um mínimo de 40% no Leste Asiático e Pacífico para o uso de todas as Normas. Quando as respostas de uso total e parcial das Normas estão combinadas, a região com maior porcentagem foi a África Subsaariana (96%) e a de menor porcentagem foi o Sul da Ásia (76%) (veja o Documento 13). 54% 35% 20% 10% 14% 11% 0% Observação: Q98: Sua organização usa as Normas Internacionais para a Prática Profissional de Auditoria Interna (Normas)? Apenas respostas de CAEs foram relatadas neste documento. Esses dados representam uma comparação entre as pesquisas do praticante CBOK de 2010 e participantes em participantes em 2015.

18 Documento 13 Uso das Normas do IIA América do Norte 68% 24% 8% Europa e Ásia Central 60% 32% 8% Sim, todas as Normas Sim parcial, algumas das Normas Não África Subsaariana Oriente Médio e África do Norte Sul da Ásia América Latina e Caribe 58% 38% 4% 49% 43% 8% 39% 37% 24% 41% 47% 12% Leste Asiático e Pacífico Média Global 40% 41% 19% 54% 35% 11% 0% 20% 40% 60% 80% 100% Observação: Q98: Sua organização usa as Normas Internacionais para a Prática Profissional de Auditoria Interna (Normas)? Apenas respostas de CAEs foram incluídas neste documento. Devido ao arredondamento, alguns totais podem não somar 100% participantes. O chief audit executive pode usar as Normas para informar o conselho de suas responsabilidades e para retratar um cenário holístico do negócio e dos riscos que ele encara, diz Ramirez. O conselho pode confiar nos insights objetivos da auditoria interna sobre o negócio, porque as Normas fornecem uma abordagem especializada e sistemática para prestar tal tipo de avaliação. Programa de Melhoria e Certificação de Qualidade (Norma 1300) A Norma 1300 declara que O diretor executivo de auditoria deve desenvolver e manter um programa de melhoria e certificação de qualidade que compreenda todos os aspectos da atividade de auditoria interna. Os auditores internos precisam implementar métricas de certificação de qualidade para avaliar se estão atendendo as expectativas das partes interessadas e para fechar a lacuna de expectativas de desempenho. Historicamente, a Norma 1300 teve os menores níveis de conformidade de todas as Normas. De 2010 para 2015, o número de CAEs que indicaram total conformidade com a Norma 1300 aumentou levemente, de 39% para 42% (veja o Documento 14). Apenas 1 de 3 CAEs sente que seus processos de qualidade estão bem definidos (veja o Documento 15). No entanto, entre todos os participantes que estão usando as Normas, cerca de 7 de 10 dizem que têm avaliações internas periódicas ou contínuas, conforme exigido pela Norma 1311 (Q100).

19 Documento 14 Conformidade com a Norma 1300: Programa de Melhoria e Certificação de Qualidade (mudança de 2010 para 2015) 50% Sim, conformidade total 40% 44% 39% 42% 41% Sim, conformidade parcial 30% Não, em não conformidade 20% 10% 16% 16% 0% Observação: Q99: Sua organização está em conformidade com as Normas? Tópico: Norma 1300: Programa de Melhoria e Certificação de Qualidade. Apenas respostas dos CAEs que usam todas ou parte das Normas foram incluídas neste documento. Esses dados representam uma comparação entre as pesquisas do praticante CBOK de 2010 e Devido ao arredondamento, alguns totais podem não somar 100% participantes em participantes em Documento 15 Nível de Maturidade do Programa de Melhoria e Certificação de Qualidade Europa e Ásia Central América do Norte África Subsaariana Oriente Médio e África do Norte Leste Asiático e Pacífico América Latina e Caribe Sul da Ásia Média Global 42% 32% 26% 40% 33% 27% 32% 49% 19% 30% 43% 27% 30% 36% 34% 22% 44% 34% 20% 49% 31% 34% 37% 29% 0% 20% 40% 60% 80% 100% Bem definida No processo de desenvolvimento Inexistente ou ad hoc Observação: Q47: Qual o nível de desenvolvimento do programa de melhoria e certificação de qualidade (quality assurance and improvement program - QAIP) em sua organização? CAEs apenas. Bem definida inclui os que responderam bem definida, incluindo uma revisão externa de qualidade ou bem definida, incluindo uma revisão externa de qualidade e ligação formal com atividades de melhoria contínua e treinamento da equipe participantes.

20 TRABALHANDO AS NORMAS PARA AGREGAR MAIS VALOR 1. Use as Normas do IIA como estrutura para a avaliação de qualidade. a. Informe o comitê de auditoria sobre o valor das Normas, especialmente aquelas que cobrem qualidade, para demonstrar o profissionalismo da auditoria interna e seu compromisso com a qualidade. b. c. d. e. Estabeleça um programa robusto de melhoria e certificação de qualidade, conforme exigido pelas Normas. Conduza uma autoavaliação anual para garantir a conformidade com as Normas e conduza uma revisão externa de qualidade ao menos a cada cinco anos. Informe o comitê de auditoria sobre os resultados da revisão externa e do programa de qualidade, para dar a ele a base de entendimento da qualidade das atividades de auditoria interna e de onde elas precisam ser melhoradas. Garanta que a equipe de auditoria seja certificada e exija que os funcionários de auditoria interna sejam certificados, se tiverem certos níveis de responsabilidade. 2. Vá além das Normas para identificar e entregar atividades específicas de alto valor para sua organização. a. b. c. Debata com o comitê de auditoria e a gerência executiva sobre suas visões e expectativas para o que considerariam uma atividade de auditoria interna de alto valor. Concorde com o comitê de auditoria e com a gerência executiva quanto a um conjunto de atividades específicas nas quais a auditoria interna se concentraria para atender essas expectativas de qualidade e valor. Reporte periodicamente ao comitê de auditoria e à gerência executiva sobre o desempenho da auditoria interna com relação às expectativas específicas do comitê de auditoria e da gerência executiva.

21 9 Invista em Si Mesmo A liderança é uma habilidade importante para os auditores internos, conforme as organizações buscam ser relevantes e competitivas globalmente. A auditoria interna é considerada um dos pilares centrais da governança corporativa nessas organizações e espera-se que ela tenha um papel de liderança, motivo pelo qual, na África, o treinamento é alinhado ao desenvolvimento de uma governança corporativa robusta. Simon Nyazenga, ex-group Director de Auditoria Interna, Rift Valley Corporation, Harare, Zimbábue N unca houve momento melhor para ser um auditor interno. A escassez de habilidades na profissão causou uma forte competição pelos auditores melhor qualificados. Você pode colher todas as recompensas, investindo em seu próprio desenvolvimento. Dito isso, os auditores internos não podem simplesmente confiar em seus Documento 16 Estruturado e documentado Não desenvolvido ou ad hoc Maturidade do Programa de Treinamento em Comparação com os Funcionários dos Departamentos de Auditoria Interna 100% 80% 60% 40% 20% 0% 67% 33% 1 3 empregadores para treinamento, ainda mais em departamentos de auditoria interna de menor porte. Nos menores departamentos de auditoria interna, quase 7 de 10 CAEs disseram que os programas de treinamento não foram desenvolvidos ou são feitos em base ad hoc (veja o Documento 16) or more Observação: Q45: Qual é o nível de formalidade do programa de treinamento para auditoria interna em sua organização? Comparada com Q24: Aproximadamente, quantos funcionários equivalentes a período integral compõem seu departamento de auditoria interna? CAEs apenas participantes. 55% 45% % 37% 68% 32% 74% 26%

22 Aqueles que oferecem programas de treinamento normalmente incluem habilidades de auditoria interna (68%), mas estão menos inclinados a incluir orientação a novos funcionários (54%) e outras habilidades críticas de negócios, como conhecimentos do negócio (53%), pensamento crítico (30%) ou liderança (27%) (veja o Documento 17). É especialmente crítico para os auditores internos ter conhecimento suficiente sobre o negócio, para que possam entender a importância de suas descobertas de auditoria e agregar valor às suas organizações. A melhor forma de fazê-lo é entender as habilidades, conhecimentos e atitudes que contribuem mais para com o negócio no qual trabalham, talvez dedicando algum tempo a trabalhar no lado operacional da organização. Documento 17 Elementos Inclusos nos Programas de Treinamento de Auditoria Interna Habilidades de auditoria interna (ex.: redação de relatórios de auditoria) 68% Integração e orientações para novos funcionários Conhecimento do negócio com relação à indústria e a organização 54% 53% Habilidades de pensamento crítico 30% Habilidades de Liderança 27% 0% 20% 40% 60% 80% 100% Observação: Q46: O que está incluído no programa de treinamento de auditoria interna? (Escolha todas as aplicáveis) CAEs apenas participantes. Documento 18 Horas de Treinamento de Auditoria Interna por Ano Menos de 40 horas Mais de 40 horas 33% 39% Exatamente 40 horas 28% Cerca de 4 de 10 dizem que recebem menos de 40 horas de treinamento por ano, o que está abaixo do nível exigido para manter muitas certificações do IIA. Cerca de 3 de 10 reportam exatamente 40 horas de treinamento por ano e outros 3 de 10 excedem 40 horas (veja o Documento 18). Quarenta horas são suficientes, se você aceita mediocridade, mas para ser bem sucedido, você precisa dedicar mais tempo, diz Grafenstine. Em minha organização, se as pessoas investem em si mesmas e obtêm certificações adicionais, elas aumentam o profissionalismo do grupo de auditoria interna e nós recompensamos isso em dinheiro. Observação: Q14: Quantas horas de treinamento formal relativos à auditoria interna você recebe por ano? participantes.

23 10 Recrute, Motive e Retenha uma Ótima Equipe Habilidades excelentes de comunicação e conhecimentos do negócio são críticas para os auditores internos. Se encontrarmos um potencial problema de controle em uma área de alto risco, precisamos ser capazes de explicá-lo, fácil e precisamente, para nossos clientes, de forma que entendam. Kwang Ho Sung, Vice Presidente e Chefe de Auditoria Interna em um grande Banco Sul-Coreano D epartamentos de auditoria interna precisam lançar suas redes mais longe para atrair, reter e motivar membros da equipe que sejam capazes de entender e antecipar o ambiente de negócios em rápida mudança. Isso é crucial para que os auditores internos possam entender melhor os negócios e funções das organizações que atendem. No geral, os participantes da pesquisa estudaram contabilidade, auditoria e/ou tópicos relacionados a finanças na faculdade (Q5a). As áreas de estudo mais comuns foram: Contabilidade 57% Auditoria (interna) 42% Finanças 32% Administração 27% Auditoria (externa) 23% Economia 22% Esse foco relativamente estreito ameaça restringir as habilidades disponíveis para os CAEs e poderia, no final das contas, prejudicar a profissão. Hoje, os CAEs dizem que estão buscando, em especial, aumentar habilidades de pensamento crítico (64%) e comunicação (52%) em seus departamentos (veja o Documento 19). Uma grande prioridade também deve ser o conhecimento da indústria e habilidades gerais de TI, com ênfase na ligação entre o que os funcionários aprendem e sua relevância para os objetivos e necessidades de suas organizações. Documento 19 Principais habilidades que CAEs buscam para a equipe Pensamento analítico/crítico 64% Habilidades de Comunicação 52% Contabilidade 43% Avaliação de ger. de riscos 42% Tecnologia da informação (geral) 38% Conhecimento da indústria 35% Mineração e análise de dados 31% Tino comercial 27% Auditoria de Fraude 23% Finanças 22% Investigação forense e demais 15% Cibersegurança e privacidade 14% Conhecimento jurídico 12% Controles de Qualidade (Six Sigma; ISO) 7% Outras 4% Observação: Q30: Quais habilidades você está recrutando ou desenvolvendo ao máximo em seu departamento de auditoria interna? (Escolha até cinco.) CAEs apenas participantes.

24 A combinação de habilidades em um departamento também é importante. Historicamente, a maior parte do trabalho de gestão de desempenho e desenvolvimento esteve isolada entre um gerente e um indivíduo, diz Kella. Ainda temos isso, mas também adotamos mapas de talento para cada um de nossos níveis de experiência dentro do departamento. Esse processo é revitalizado, ao examinarmos duas vezes ao ano o talento do departamento, vendo os projetos que temos pela frente e combinando as demandas com o tipo de experiência prática, treinamento e experiência desenvolvimental que estamos buscando para o indivíduo. Para motivação e retenção de membros da equipe, muitas empresas oferecem bônus. Sessenta e sete porcento dos participantes dizem que têm a oportunidade de receber um bônus (Q34, participantes). Esses pagamentos estão ligados, mais comumente, ao desempenho pessoal (78%) ou ao desempenho da empresa (74%) (Q34a). Ao longo dos próximos cinco anos, cerca de 3 de 4 (75%) participantes da pesquisa disseram que pretendem permanecer na auditoria interna (veja o Documento 20). Pode ser que se torne uma característica da nova realidade a incapacidade de recrutar e desenvolver todas as habilidades de que os executivos de auditoria interna precisam, ao mesmo tempo, internamente. O processo de co-sourcing provavelmente continuará desempenhando um papel significante em suprir as habilidades necessárias. Uma tendência final a mencionar quanto à estruturação de equipe é a mudança significante entre a proporção de homens e mulheres, conforme mostrada no Documento 21 e 22 na próxima página. Documento 20 Planos de Carreira Relativos à Auditoria Interna nos Próximos Cinco Anos América Latina e Caribe 86% 10% 4% África Subsaariana Permanecer na profissão de auditoria interna Oriente Médio e África do Norte Deixar a profissão ou não tem certeza Sul da Ásia Europa e Ásia Central 80% 18% 2% 80% 18% 2% 76% 18% 6% 74% 21% 5% Aposentar-se Leste Asiático e Pacífico 70% 24% 6% América do Norte 67% 24% 9% Média Global 75% 20% 5% 0% 20% 40% 60% 80% 100% Observação: Q36: Nos próximos cinco anos, quais são seus planos de carreira relativos à auditoria interna? participantes.

25 Documento 21 MUDANÇA NA PROPORÇÃO ENTRE HOMENS E MULHERES Proporção Entre Homens e Mulheres por Idade 100% 83% As respostas da pesquisa indicam que a profissão da auditoria interna do futuro provavelmente será mais equilibrada entre homens e mulheres (na maioria das regiões). Para participantes entre 19 e 29, a proporção é quase igual (55% homens, 45% mulheres), em comparação com 83% homens e 17% mulheres para aqueles com 60 anos de idade ou mais. (Veja o Documento 21 e 22). Masculino 80% 69% 62% 61% 60% 55% Feminino 40% 45% 38% 39% anos anos 31% 20% 17% 0% 60 anos ou mais anos anos Observação: Q4: Qual é o seu sexo? Comparada com Q3: Qual é a sua idade? participantes. Documento 22 Proporção Entre Homens e Mulheres por Região Global 100% 87% 81% 80% 71% 57% 60% 52% 64% 60% 62% 48% 43% 40% 40% 38% 36% 29% 19% 20% 13% 0% América do Norte Leste Asiático Europa e América Latina África e Pacífico Ásia Central e Caribe Subsaariana Masculino Sul da Ásia Oriente Médio e África do Norte Média Global Feminino Observação: Q4: Qual é o seu sexo? participantes.