10Minutos sobre por que a atualização do COSO merece a sua atenção

Transcrição

1 10Minutos Seus controles acompanham o ritmo dos negócios? 10Minutos sobre por que a atualização do COSO merece a sua atenção Julho 2013 Destaques Aplicar a atualização pode ajudá-lo a fortalecer os controles e reforçar a confiança no cumprimento dos objetivos operacionais, de divulgação e de conformidade. Novos recursos ajudam a identificar riscos não mapeados e a implementar os controles apropriados. A atualização ajuda a identificar e, potencialmente, evitar que pessoas, tecnologias e processos causem falhas de controles. Avalie como você pode usar a atualização para aprimorar seus controles, a fim de contemplar mudanças nos negócios. Um controle interno eficaz pode ajudar a revelar riscos não identificados. Nos últimos anos, temos visto exposições a riscos não mapeados, resultando em custos não previstos. Onde estão os pontos cegos? Nas mídias sociais, onde os problemas das organizações vêm à tona antes que se convoque um recall? Em organizações que não atendem as exigências de conformidade e divulgação? Em registros de negociação que podem não revelar uma perda surpreendente? O Controle Interno (Internal Control - Integrated Framework uma Estrutura integrada), do COSO, tem sido amplamente adotado desde 1992 para atender a exigências de divulgações externas. Depois de 20 anos, o comitê decidiu que era hora de uma modernização. A atualização de 2013, 1 de autoria da PwC, aborda objetivos operacionais e de divulgação e conformidade. Com isso, organizações e stakeholders têm um vocabulário comum para lidar com um ambiente em constante mudança. À medida que o negócio evolui, as organizações aprimoram seus sistemas de controles internos. A estrutura recém-lançada oferece a oportunidade perfeita para você avaliar se seus controles realmente estão atualizados. 1 Atualização do Committee of Sponsoring Organization s Internal Control - Integrated Framework, Uma nova perspectiva sobre os controles pode beneficiar sua empresa, principalmente se ela estiver passando por... Uma grande mudança. Crescimento, reestruturações ou novos mercados, produtos e parceiros criam novos riscos. Supervisão e escrutínio regulatórios. Se você estiver cumprindo requisitos regulatórios locais ou internacionais, o espaço para erros será reduzido. Maior complexidade no modelo e na estrutura operacional. Contratar novos prestadores de serviços ou outros parceiros pode criar novos riscos ao negócio. Maior dependência de tecnologia. O uso de novas tecnologias e investimentos pode criar riscos associados com as interações internas e externas. Mais expectativas sobre divulgações não financeiras? Stakeholders e reguladores buscam transparência e confiabilidade maiores nas divulgações. Fracassos e eventos danosos à marca. Empresas de diversos setores precisam reconstruir a confiança de clientes e stakeholders. 1

2 Instantâneo Principais mudanças Algumas mudanças no negócio e como a atualização do COSO pode ajudar. Exames regulatórios detalhados Maior dependência da tecnologia Expectativa de divulgação adicional Complexidade Ritmo acelerado dos negócios Maior complexidade em modelos de gestão e estruturas legais Leva em conta um número crescente de regulamentações locais e globais, como exigências para divulgações financeiras e normas ambientais. Contém um princípio voltado para controles sobre a tecnologia/infraestrutura, desenvolvimento, uso e outros processos. Passa a cobrir objetivos de divulgações não financeiras, como os de sustentabilidade e métricas de satisfação dos clientes. Ajuda a customizar os controles e a verificar se eles apoiam objetivos e princípios variados. Essas atualizações permitem saber o que está coberto e o que está ausente no negócio inclusive operações dispersas e terceirizadas. Fornece princípios que ajudam a adaptar controles para mudanças planejadas e circunstâncias imprevistas e a mantê-los em sincronia com o negócio. Considera modelos de negócio de modo explícito e ajuda a aplicar controles em modelos operacionais de gestão e estruturas corporativas. 2

3 1 Ganhe confiança naquilo que importa A maioria das empresas está planejando mudanças que podem impactar os controles Você espera uma mudança importante na sua empresa nas seguintes áreas ao longo dos próximos 12 meses? Estratégias para o consumidor Gestão de talentos Estrutura organizacional Fusões e aquisições, joint ventures ou alianças estratégicas Investimento em tecnologia Como você tem certeza de que seus controles continuam cumprindo suas funções? A estrutura do COSO foi atualizada em três aspectos importantes, que facilitarão a evolução dos seus controles de acordo com o negócio. 23% 22% 22% 21% 31% Base: CEOs globais. Fonte: PwC, 16ª Pesquisa Anual Global com CEOs, janeiro Reflete o ambiente atual. A atualização reflete as mudanças na maneira de se fazer negócios e fornece orientação para avaliar o risco e manter os controles atualizados. Por exemplo, hoje, o impacto negativo de um defeito de produto pode ser amplificado pelas mídias sociais. Se a empresa aplica controles para monitorar canais sociais, ela pode receber alertas mais rapidamente. 2. Aplicável a mais objetivos do negócio. A atualização ajuda a aplicar o controle interno à sua lista crescente de objetivos. Ela aborda divulgações internas, que podem satisfazer requisitos estabelecidos pela alta administração e pelos conselhos e comitês. A atualização também abrange os requisitos de divulgações externas não financeiras que atendem a leis, regulamentos e expectativas dos stakeholders. Como a versão anterior, ela se aplica ainda a divulgações financeiras para garantir a conformidade com a Lei Sarbanes - Oxley e permite fortalecer os controles existentes, muitas vezes sem modificações significativas. 2 A atualização facilita a consecução desses objetivos de forma integrada (mais objetivos não se traduzem, necessariamente, em mais trabalho). Por exemplo, uma empresa de biotecnologia talvez tenha requisitos de conformidade relacionados a padrões de pureza. Ela pode aplicar controles para evitar uma contaminação e, ao mesmo tempo, atender a um segundo objetivo: reforçar a confiança nas suas negociações. 3. Flexível e adaptável. A atualização baseia-se em princípios, o que a torna mais flexível, adaptável e amplamente aplicável. Ela contém 17 princípios, que formalizam conceitos fundamentais. Eles o ajudam a especificar os objetivos, avaliar os riscos e implementar controles para atender às suas necessidades. Também podem ajudá-lo a alcançar outros objetivos da empresa. Por exemplo, princípios que você aplica para prevenir e detectar fraudes em divulgações financeiras também podem ajudá-lo a lidar com riscos de fraudes em operações de grande porte, que, sem verificação, afetariam regras de conformidade. Foco no que é importante Você pode aplicar controles internos a muitos aspectos do seu negócio, mas a chave é mirar onde realmente é necessário. A atualização auxilia a identificar e comunicar claramente onde há objetivos importantes, e a selecionar os controles adequados. Por exemplo, mais da metade dos CEOs diz que a disponibilidade de competências-chave é uma alta prioridade. 3 A Atualização tem princípios para identificar objetivos específicos e críticos que seriam prejudicados se você não fosse capaz de encontrar o talento certo. Isso permite mapear onde outros controles podem ser necessários por exemplo, maior supervisão ou uso de tecnologia. 2 Consulte o Dataline (maio 2013), da PwC, para conhecer as implicações da atualização para divulgações externas. 3 PwC, 16ª Pesquisa Anual Global com CEOs, janeiro

4 2 Remova os pontos cegos A maioria das organizações experimentou mudanças recentes capazes de afetar os controles Organizações que se submeteram a uma grande transformação corporativa em resposta a mudanças do mercado desde meados de % Base: Mais de 800 executivos globais e gestores de risco. Fonte: PwC, Risk in review Global risk in the transformation age, Sem uma visão completa do seu negócio, exposições ocultas podem colocá-lo em risco. A atualização foi projetada para ajudar a revelar riscos dos quais você talvez não esteja ciente. Como ir fundo na identificação de problemas A atualização o ajuda a se concentrar em objetivos, riscos relacionados e controles em todo o negócio entidades jurídicas, divisões, unidades operacionais e departamentos. Considere um executivo que é responsável por uma entidade jurídica, mas que não tem autoridade sobre determinadas operações. Como vimos em crises recentes, as reações do público e dos órgãos reguladores são direcionadas aos líderes designados, mesmo que eles não tenham autoridade sobre as operações problemáticas. Controles também devem incluir parceiros de negócios. Um fabricante achou que tinha diversificado seus fornecedores, mas descobriu que, na realidade, todos compravam de uma única fonte. Quando essa única fonte quebrou, provocou a interrupção das operações do fabricante, apesar de seus esforços de diversificação. A atualização inclui princípios para especificar objetivos e avaliar riscos em toda a empresa, e também para criar estruturas, autoridades e responsabilidades que podem lidar com questões como essas. Como acompanhar a mudança Qualquer mudança novos líderes e gestores, novos mercados e produtos, crescimento, fusões e aquisições, reestruturações ou tecnologias emergentes apresenta riscos. A atualização inclui princípios para identificar e avaliar o impacto de mudanças significativas nos controles internos. Por exemplo, um fabricante que adquire um distribuidor on-line pode assumir novos riscos de gestão de estoque. A empresa precisa determinar se os controles existentes cobrem riscos que dificultariam a consecução de seus objetivos operacionais. Como ver toda a empresa Os riscos podem se tornar problemas bem mais à frente. A atualização ajuda a garantir que seus controles abordem todos eles. Suponha que você invista em outro mercado. A nova entidade poderia trazer riscos inesperados, como novas regras de negócio, requisitos fiscais e de regulação, e operações distantes. Da mesma forma que você já usou controles para cumprir as leis locais, também pode aplicá-los para ajudar a identificar e mitigar os riscos mais críticos antes que eles se tornem problemas. Quando o controle interno é aplicado para alcançar vários objetivos, a atualização o ajuda a observar todo o negócio e a evitar efeitos dominó. 4

5 3 Assuma o controle com pessoas, tecnologia, informação e processo As empresas precisam fortalecer seus controles 46% 58% 42% 57% dos conselhos têm discutido sobre como liderar por meio de integridade e valores éticos (tone of the top) (Jul 2011 Jul 2012) 1 A disponibilidade de competências-chave preocupa 58% dos CEOs 2 A velocidade das mudanças tecnológicas preocupa 42% dos CEOs 2 dos conselhos pretendem dedicar mais tempo a problemas e oportunidades de TI 1 1.Base: 860 diretores de companhias abertas. Fonte: PwC, Insights from the Boardroom, Base: CEOs globais. Fonte: PwC, 16a Pesquisa Anual Global com CEOs, janeiro Os princípios da atualização podem ajudá-lo a impedir o desenvolvimento de lacunas, geralmente mapeando como os controles interagem com o modo de fazer negócios. Prepare seu pessoal Seu ambiente de controle estabelece estruturas, padrões, responsabilidades e supervisão para a implantação de controles internos. O papel que você e outros líderes da empresa desempenham é crucial. Basta ver a cobertura da mídia sobre crises recentes, na qual foram revelados até s de executivos para descobrir se os líderes davam o exemplo certo. Princípios norteiam a criação de um ambiente de controle robusto. A atualização ajuda você a lidar com as pessoas em todos os níveis da empresa. Ela inclui um princípio para atrair, desenvolver e reter pessoal competente. Gestores com funções-chave em unidades operacionais e departamentos, como cadeia de suprimentos, segurança de TI e gestão de portfólios, estão mais próximos dos riscos e das mudanças que podem afetá-los. Também estão bem posicionados para apontar novos riscos, identificar quando eles podem ocorrer e selecionar controles para mitigá-los. Algumas funções de serviços financeiros exigem profissionais capazes de determinar quando os perfis de risco da transação estão mudando e tomar ações corretivas. Compreenda os riscos da tecnologia Embora a tecnologia seja o motor de muitas empresas conectando funcionários, parceiros e clientes, o excesso de confiança nela pode representar riscos e mascarar problemas. Isso ocorre especialmente com tecnologias emergentes. A atualização inclui um princípio explicitamente focado em controles sobre o uso da tecnologia. O roubo de dados, por exemplo, tornou-se comum e as empresas devem estar preparadas para lidar com vulnerabilidades. No entanto, muitas que já foram atacadas não têm controles suficientes nem mesmo para saber como as falhas ocorreram e quais sistemas ou tecnologias as tornaram vulneráveis. Concentre-se na informação e nos processos A atualização inclui vários princípios para usar informações relevantes e comunicar as informações certas para as pessoas certas. Por exemplo, uma empresa poderá se surpreender numa posição de alto risco se monitorar apenas as posições financeiras líquidas, sem observar as peças individuais que poderiam colocá-la em perigo. A atualização também aborda seus processos significativos e lembra as empresas de que elas não podem delegar a parceiros comerciais e prestadores de serviços a responsabilidade de alcançar seus objetivoschave. Por exemplo, muitos negócios com base na Internet dependiam de um provedor de serviços em nuvem ( cloud service provider ) que sofreu uma interrupção no serviço. As empresas que tinham controles sobre o serviço terceirizado, com planos de contingência, mantiveram as operações; as que não tinham foram obrigadas a suspender as atividades. Princípios tratam desses tipos de situação e ajudam a garantir que os controles sustentam os processos relevantes na consecução dos objetivos. 5

6 4 Hora de atualizar seus controles internos Como você pode modernizar seus controles com a atualização do COSO? Considere os seguintes pontos de partida e perguntas na avaliação dos controles atuais. Depois, determine onde precisa focar seus esforços. 4 4 Consulte Resilience: A journal of strategy and risk (maio 2013), da PwC, para saber mais sobre como a sua empresa pode usar a atualização para ser mais ágil. Construa uma visão geral Especifique os objetivos que são importantes para o seu negócio e que se beneficiariam com a aplicação de um sistema de controle completo e integrado. Que decisões estratégicas, de negócio ou operacionais recentes introduziram novos riscos? Como os nossos controles se adaptam a mudanças? Nossa empresa está preparada para responder a mudanças? Aplicamos controles a objetivos relacionados a divulgações internas, divulgações não financeiras, operações e conformidade? Algum de nossos controles podem ser aplicados a outros objetivos operacionais, de conformidade ou divulgação? Consideramos toda a empresa? Aprenda com o passado Assuma uma nova perspectiva sobre os controles existentes em relação aos riscos de não alcançar seus objetivos. Que problemas já tivemos com os nossos controles existentes? Por que não os antecipamos? Que problemas poderiam ter sido evitados se tivéssemos maior controle interno sobre a causa-raiz? Como podemos fortalecer os nossos sistemas de controles internos conectando melhor objetivos, riscos e controles? Avalie seus controles por meio da atualização Mapeie princípios relevantes para os controles existentes. Fazer isso agora permitirá que você aproveite os benefícios da atualização para objetivos importantes. Além disso, preparará seus controles internos sobre divulgações financeiras para usar a Estrutura atualizada, que, segundo o COSO, substituirá a original em dezembro de Com que profundidade implementamos os conceitos fundamentais estabelecidos na Estrutura de 1992? Esquecemos algum princípio? Conduza a modernização Nomeie um líder para comandar a transição para a Estrutura atualizada. Qual a visão da alta administração sobre a ampliação do uso de controles internos e a implementação da atualização do COSO? Como podemos usar a atualização do COSO para voltar a envolver os executivos, os conselhos e comitês no fortalecimento de nossos sistemas de controles internos? Como envolver as divisões, unidades operacionais e as funções de auditoria interna, gestão de riscos, conformidade, finanças, tecnologia e recursos humanos na adoção do sistema atualizado? 6

7 Para obter mais informações sobre a atualização do COSO e os controles internos, entre em contato com: Evandro Carreras líder da Prática de Riscos no Brasil evandro.carreras@br.pwc.com André Pannunzio andre.pannunzio@br.pwc.com Luiz Ponzoni luiz.ponzoni@br.pwc.com Rosana Napoli Sócia rosana.napoli@br.pwc.com Edmilson Monutti edmilson.monutti@br.pwc.com José Rezende jose.rezende@br.pwc.com Compartilhe conosco o que você acha da série 10Minutos e quais temas gostaria de conhecer melhor. Acesse: Siga-nos Twitter@PwCBrasil facebook.com/pwcbrasil 2013 PricewaterhouseCoopers Brasil Ltda. Todos os direitos reservados. Neste documento, PwC refere-se à PricewaterhouseCoopers Brasil Ltda., a qual é uma firma membro do network da PricewaterhouseCoopers, sendo que cada firma membro constitui-se em uma pessoa jurídica totalmente separada e independente. O termo PwC refere-se à rede (network) de firmas membro da PricewaterhouseCoopers International Limited (PwCIL) ou, conforme o contexto determina, a cada uma das firmas membro participantes da rede da PwC. Cada firma membro da rede constitui uma pessoa jurídica separada e independente e que não atua como agente da PwCIL nem de qualquer outra firma membro. A PwCIL não presta serviços a clientes. A PwCIL não é responsável ou se obriga pelos atos ou omissões de qualquer de suas firmas membro, tampouco controla o julgamento profissional das referidas firmas ou pode obrigá-las de qualquer forma. Nenhuma firma membro é responsável pelos atos ou omissões de outra firma membro, nem controla o julgamento profissional de outra firma membro ou da PwCIL, nem pode obrigá-las de qualquer forma.