AUDITORIA INTERNA BASEADA EM RISCOS (ABR)

AUDITORIA INTERNA BASEADA EM RISCOS (ABR) Setembro de 2011

CONTEÚDO 1. Reflexões, Definições e Premissas 2. Variáveis a considerar na ABR 3. Matriz de Risco de Auditoria Referências e cálculos 4. Debate

Alguns (dos muitos) adjetivos da Auditoria Interna 1. Auditoria Transacional (ou das Transações) Dos negócios e atividades, baseada no exame de documentos 2. Auditoria Analítica Da segurança do Controle Interno, baseado em fluxogramas e testes de conformidade 3. Auditoria Integrada Que cobre todos os aspectos: transacional, financeiro, TI, contábil, controle interno, compliance, etc. 4. Auditoria Contínua (ou Permanente / Continuada) Verificação permanente de determinado processo, negócio, fluxo, ciclo, etc. 5. Auditoria Baseada em Riscos (ABR)

Definições AUDITORIA INTERNA é uma atividade independente e objetiva que presta serviços de avaliação (assurance) e consultoria, e tem como objetivo adicionar valor e melhorar as operações de uma organização. Auxilia a organização a alcançar seus objetivos, adotando uma abordagem sistemática e disciplinada para a avaliação e melhoria da eficácia dos processos de gerenciamento de riscos, de controle e governança corporativa Fonte: IIA / IAIB

Definições RISCO é todo ato ou fato que, se ocorrer (probabilidade), afeta negativamente (ameaça) e de forma significativa (impacto) a capacidade que tem a organização de atingir seus objetivos estratégicos. AUDITORIA INTERNA BASEADA EM RISCOS é uma metodologia que associa a auditoria interna ao arcabouço global de gestão de riscos de uma organização. Possibilita que uma auditoria interna dê garantia ao conselho diretivo de que os processos de gestão de riscos estão gerenciando os riscos de maneira eficaz em relação ao apetite por riscos. Fonte: IIA / IAIB

Premissas e/ou Reflexões A Auditoria interna baseada em riscos só pode ser praticada se houver, na organização, um adequado processo de gestão de riscos. Portanto, a auditoria do processo de gestão de riscos passa a ser fundamental para garantir uma base confiável para o planejamento Caso não haja um processo efetivo de gestão de riscos, a Auditoria interna deve priorizar recomendações visando implementá-lo Planejamentos de Auditoria interna com base em riscos pressupõem alterações na forma de gerir a atividade Os planejamentos de Auditoria interna passam a ser dinâmicos e, por isso, implicam em algum grau de flexibilidade com relação ao conjunto de negócios, atividades e processos da organização Auditorias internas baseadas em risco também passam a ser dinâmicas e, por isso, necessitam de algum grau de flexibilidade com relação a escopos, alcances, objetivos e recomendações

O Planejamento de Auditoria Interna em Seguros Regulamentos a considerar Sobre o sistema de controles internos em geral - Circular SUSEP 249 (seguro direto) - Circular SUSEP 363 (resseguro) - Circular BACEN 2.554 (instituições financeiras) Tratam sobre o monitoramento da consistência e da efetividade do Sistema de Controles Internos e da Governança de TI, assim como da verificação da conformidade dos negócios e atividades a leis e regulamentos e a políticas e normas internas. Circular 249 - Art. 3º - Inciso VIII Parágrafos 1º e 2º - Os controles internos devem ser periodicamente revisados, devendo a atividade de auditoria interna fazer parte do sistema de controle interno.

Partes do Controle Interno e seu Monitoramento pela Auditoria Interna M O N I T O R A M E N T O AMBIENTE DE CONTROLE OBJETIVOS ESTRATÉGICOS GESTÃO DE RISCOS ATIVIDADES DE CONTROLE C O M U N I C A Ç Ã O AMBIENTE DE CONTROLE M O N I T O R A M E N T O Framework COSO II Framework COBIT

Regulamentos a considerar Sobre os processos, sub processos e atividades prioritárias - Circular SUSEP nº 280: O Planejamento de Auditoria Interna em Seguros Define os elementos do Controle Interno (COSO II) Indica o que deve ser avaliado para cada um Menciona as Atividades de Controle prioritárias Subscrição e emissão de apólices, certificados e títulos Regulação de sinistros, concessão de benefícios, resgates e sorteios Tesouraria Investimentos Jurídico

O Planejamento de Auditoria Interna em Seguros Regulamentos a considerar Sobre os controles internos específicos - Circular SUSEP nº 380 Obriga a revisão do Sistema de Controles Internos específico para a prevenção de delitos de lavagem de dinheiro pela Auditoria Interna - Circular SUSEP nº 344 Obriga a revisão do Sistema de Controles Internos específico para a prevenção de fraudes internas e externas pela Auditoria Interna

O Planejamento de Auditoria Interna em Seguros Outras demandas regulamentares - Circular SUSEP nº 340 Regulamentos a considerar Obriga o acompanhamento, pela Auditoria Interna, da execução dos planos de ação demandados pela SUSEP em face de fiscalizações com escopo de avaliação do Sistema de Controles Internos - Resolução BACEN 3.849 Determina a validação, pela auditoria Interna, dos relatórios semestrais da Ouvidoria

O Planejamento de Auditoria Interna em Seguros Outros aspectos a considerar Plano estratégico e respectivas ações estratégicas Resultados do processo de Avaliação de riscos Requerimentos da Holding, se for o caso Requerimentos do Conselho de Administração, do Comitê de Auditoria e da Alta Direção Duração e resultados de auditorias anteriores Histórico anterior de trabalhos especiais Outras circunstâncias relacionadas à Holding

Um exemplo hipotético Grupo estrangeiro, com sede em país da União Européia, com 4 empresas no Brasil, não ligado a banco Empresa A Automóvel Residencial Incêndio Transporte Empresa B Vida Previdência Empresa C Capitalização Empresa D DTVM Dados Gerais 1.000 funcionários 30 Sucursais Organização por negócio, com back office comum Política: quadro de Auditoria Interna com no máximo 0,5% do total (5 profissionais) Produtividade: 10 trabalhos / ano por Auditor 50 trabalhos

União Européia - Solvência II Campo de atuação da Auditoria Interna SISTEMA DE GOVERNO Estrutura Transparente Responsabilidades Claras Responsabilidades Segregadas Perspectiva Econômica Baseada em Riscos Subscrição Mercado Crédito Operacional Liquidez Comunicação Eficaz Concentração Funções de Governo Gestão de Riscos Atuarial Compliance Identificação de Riscos Avaliação de Riscos Quantificação de Riscos Capital e Provisões ($) Processos / Normas Verificação da conformidade Auditoria Interna (Âmbito de atuação)

Âmbito de atuação da Auditoria Interna Auditorias relacionadas ao Controle Interno em geral (exceto Atividades de Controle ) Framework COSO II Processo de Planejamento Estratégico Processo Gestão de Riscos Processos de Comunicação e Divulgação Processos de Monitoração Permanente Ambiente de Controle 5 trabalhos de campo

Âmbito de atuação da Auditoria Interna Auditorias relacionadas às Atividades de Controle Subscrição (7 negócios) Emissão (7 negócios) Sinistros (7 negócios) Tesouraria Investimentos Jurídico (Contencioso e Sinistro Judicial) 25 trabalhos de campo

Âmbito de atuação da Auditoria Interna Auditorias relacionadas à Governança de TI Framework COBIT Domínio Planejar e Organizar Domínio Adquirir e Implementar Domínio Entregar e Suportar Domínio Monitorar e Avaliar Outras auditorias de TI Desenvolvimento de Sistemas Sistemas Operacionais Segurança Lógica Segurança Física Telecomunicações Uso de recursos à disposição de usuários finais 10 trabalhos de campo

Âmbito de atuação da Auditoria Interna Auditorias derivadas da Solvência II Governança corporativa Modelo interno de cálculo de capital adicional Cálculo de Provisões Processos atuariais Processos de Compliance Auditorias derivadas dos CI Específicos Lavagem de dinheiro (4) Prevenção a fraude (4) Ouvidoria (2) 15 trabalhos de campo

Âmbito de atuação da Auditoria Interna Auditorias requeridas pela Holding Processo de consolidação das demonstrações financeiras Pagamento de comissões Compras de recursos de TI Fluxo de caixa Auditorias requeridas pelo Comitê de Auditoria Processo de recebimento e tratamento de denúncias Resseguros 6 trabalhos de campo

Âmbito de atuação da Auditoria Interna Auditorias requeridas pela Alta Direção Salvados Ressarcimento Folha de Pagamento Sucursais da região Sudeste (10) Trabalhos Especiais Apuração de fraudes / situações anômalas (6) Pareceres (4) 23 trabalhos de campo

Âmbito de atuação da Auditoria Interna - Consolidação Resumo dos trabalhos de Auditoria Interna Elementos do Controle Interno (*) 5 Atividades de Controle 25 Governança de TI (*) 4 Sistemas 6 Derivados da Solvência II 5 Derivados dos CI específicos (*) 10 Requeridos pela Holding (*) 4 Requeridos pelo Comitê de Auditoria (*) 2 Requeridos pela Alta Direção 13 Trabalhos Especiais (*) 10 TOTAL 84 Capacidade da Auditoria Interna 50 (*) Obrigatórios 35 Margem 15 Não obrigatórios (A priorizar) 49 Ou, quais dos 49 devem ser os 15 possíveis? Matriz de Riscos

Matriz de Risco de Auditoria Interna - Premissas Variáveis a considerar Resultados da Avaliação de riscos (IR, PO, GC) e do Gap analysis de governança de TI Inserção ou não no Planejamento estratégico Requerimento ou não de Conselho, Comitê de Auditoria ou Alta Direção Existência ou não de normativas Valores envolvidos Auditoria Anterior (resultados, tempo desde a última, etc.) Alterações relevantes (Negócios, Gestores, Sistemas, etc.) Juízo Profissional

Matriz de Risco de Auditoria Interna Formatação Atribuir pesos a cada variável, consideradas suas sub variáveis Calcular a importância de cada processo Estabelecer critério de definição das auditorias prioritárias Exemplo: Acima de 66% dos pontos Auditar obrigatoriamente Entre 33% e 66% dos pontos Auditar se possível Abaixo de 33% dos pontos - Não auditar Documentar para apresentação ao Comitê de Auditoria / Auditoria Externa / SUSEP

Matriz de Risco de Auditoria Interna - Cálculos AUDITORIA INTERNA Matriz de Risco - 2011 (Exemplo parcial - "Atividades de Controle") Variável 1 Resultados da avaliação dos RO Variável 2 Última Auditoria - Tempo Variável 3 Última Auditoria - Conceito Variável 4 Existência de Normativa Processo / Atividade / Aspecto I.R. P.O. G.C. Média Nível do risco Pontuação Realizada há (Anos) Pontuação Resultado Pontuação Há normativa? Pontuação 1 Subscrição - Automóvel 76,22 47,75 61,98 62,0 Médio 5 1 0 Bom 0 Sim 5 2 Emissão - Automóvel 72,72 52,17 62,44 62,4 Médio 5 2 5 Regular 5 Sim 5 3 Sinistros - Automóvel 72,89 52,05 62,47 62,5 Médio 5 3 10 Ruim 10 Sim 5 4 Subscrição - Residencial 79,30 57,90 68,60 68,6 Alto 10 3 10 Ruim 10 Não 10 5 Emissão - Residencial 4,60 25,10 14,85 14,9 Baixo 0 2 5 Regular 5 Sim 5 6 Sinistros - Residencial 86,00 23,10 54,55 54,6 Médio 5 1 0 Bom 0 Sim 5 7 Subscrição - Incêndio 96,00 44,70 70,35 70,4 Alto 10 2 5 Regular 5 Sim 5 8 Emissão - Incêndio 79,10 51,30 65,20 65,2 Médio 5 3 10 Ruim 10 Sim 5 9 Sinistros - Incêndio 77,60 46,80 62,20 62,2 Médio 5 1 0 Bom 0 Sim 5 10 Subscrição - Transporte 81,40 36,30 58,85 58,9 Médio 5 3 10 Ruim 10 Não 10 11 Emissão - Transporte 79,30 57,90 68,60 68,6 Alto 10 2 5 Regular 5 Não 10 12 Sinistros - Transporte 79,20 52,80 66,00 66,0 Médio 5 1 0 Bom 0 Sim 5 13 Subscrição - Vida 78,90 58,90 68,90 68,9 Alto 10 1 0 Bom 0 Sim 5 14 Emissão - Vida 77,00 35,40 56,20 56,2 Médio 5 2 5 Regular 5 Sim 5 15 Sinistros - Vida 72,72 52,17 62,44 62,4 Médio 5 3 10 Ruim 10 Não 10 16 Subscrição - Previdência 78,70 19,40 49,05 49,1 Médio 5 3 10 Ruim 10 Não 10 17 Emissão - Previdência 78,50 40,50 59,50 59,5 Médio 5 2 5 Regular 5 Sim 5 18 Resgates - Previdência 82,80 33,50 58,15 58,2 Médio 5 1 0 Bom 0 Sim 5 19 Subscrição - Capitalização 74,30 55,30 64,80 64,8 Médio 5 2 5 Regular 5 Sim 5 20 Emissão - Capitalização 74,40 52,50 63,45 63,5 Médio 5 3 10 Ruim 10 Sim 5 21 Resgate - Capitalização 79,10 51,30 65,20 65,2 Médio 5 1 0 Bom 0 Não 10 22 Jurídico - Contencioso 78,80 48,10 63,45 63,5 Médio 5 3 10 Ruim 10 Sim 5 23 Jurídico - Sinistro judicial 78,70 19,40 49,05 49,1 Médio 5 2 5 Regular 5 Sim 5 24 Tesouraria 80,60 59,30 69,95 70,0 Alto 10 1 0 Bom 0 Não 10 25 Investimentos 80,40 45,60 63,00 63,0 Médio 5 2 5 Regular 5 Sim 5

Matriz de Risco de Auditoria Interna - Cálculos AUDITORIA INTERNA Matriz de Risco - 2011 (Exemplo parcial - "Atividades de Controle") Variável 5 Importância Econômica Variável 6 Planejamento Estratégico Variável 7 Juízo Profissional Sub variáveis Processo / Atividade / Aspecto % do total Pontuação Relação com o PE Pontuação Mudança em regulamentos Mudança de gestores Opinião pessoal Pontuação Pontuação total 1 Subscrição - Automóvel 39,97% 10 Não 0 0 0 0 0 20 2 Emissão - Automóvel 39,16% 10 Parcial 5 0 0 0 0 35 3 Sinistros - Automóvel 46,09% 10 Não 0 0 0 0 0 40 4 Subscrição - Residencial 18,30% 5 Não 0 5 10 0 15 60 5 Emissão - Residencial 18,27% 5 Parcial 5 5 10 0 15 40 6 Sinistros - Residencial 14,57% 5 Sim 10 5 10 0 15 40 7 Subscrição - Incêndio 11,32% 5 Sim 10 10 5 0 15 55 8 Emissão - Incêndio 11,29% 5 Não 0 0 5 0 5 40 9 Sinistros - Incêndio 7,81% 5 Parcial 5 0 0 0 0 20 10 Subscrição - Transporte 25,78% 5 Sim 10 0 0 0 0 50 11 Emissão - Transporte 24,63% 5 Parcial 5 15 0 0 15 55 12 Sinistros - Transporte 16,56% 5 Não 0 0 0 0 0 15 13 Subscrição - Vida 4,25% 5 Sim 10 0 5 10 15 45 14 Emissão - Vida 4,25% 5 Parcial 5 0 0 5 5 35 15 Sinistros - Vida 14,98% 5 Não 0 10 0 0 10 50 16 Subscrição - Previdência 0,38% 5 Não 0 0 0 15 15 55 17 Emissão - Previdência 0,38% 5 Parcial 5 5 10 0 15 45 18 Resgates - Previdência 0,11% 5 Sim 10 5 10 0 15 40 19 Subscrição - Capitalização 0,11% 5 Sim 10 5 10 0 15 50 20 Emissão - Capitalização 1,21% 5 Não 0 10 5 0 15 50 21 Resgate - Capitalização 1,21% 5 Parcial 5 0 0 0 0 25 22 Jurídico - Contencioso 26,15% 5 Sim 10 0 0 10 10 55 23 Jurídico - Sinistro judicial 73,85% 15 Parcial 5 0 0 0 0 40 24 Tesouraria 10,00% 5 Não 0 15 0 0 15 40 25 Investimentos 90,00% 15 Parcial 5 5 5 5 15 55

Matriz de Risco de Auditoria Interna - Cálculos AUDITORIA INTERNA Matriz de Risco - 2011 (Exemplo parcial - "Atividades de Controle") Variável 1 Variável 2 Variável 3 Variável 4 Variável 5 Variável 6 Variável 7 Processo / Atividade / Aspecto Pontuação Pontuação Pontuação Pontuação Pontuação Pontuação Pontuação Pontuação total 1 Subscrição - Residencial 10 10 10 10 5 0 15 60 2 Subscrição - Incêndio 10 5 5 5 5 10 15 55 3 Emissão - Transporte 10 5 5 10 5 5 15 55 4 Subscrição - Previdência 5 10 10 10 5 0 15 55 5 Jurídico - Contencioso 5 10 10 5 5 10 10 55 6 Investimentos 5 5 5 5 15 5 15 55 7 Subscrição - Transporte 5 10 10 10 5 10 0 50 8 Sinistros - Vida 5 10 10 10 5 0 10 50 9 Subscrição - Capitalização 5 5 5 5 5 10 15 50 10 Emissão - Capitalização 5 10 10 5 5 0 15 50 11 Subscrição - Vida 10 0 0 5 5 10 15 45 12 Emissão - Previdência 5 5 5 5 5 5 15 45 13 Sinistros - Automóvel 5 10 10 5 10 0 0 40 14 Emissão - Residencial 0 5 5 5 5 5 15 40 15 Sinistros - Residencial 5 0 0 5 5 10 15 40 16 Emissão - Incêndio 5 10 10 5 5 0 5 40 17 Resgates - Previdência 5 0 0 5 5 10 15 40 18 Jurídico - Sinistro judicial 5 5 5 5 15 5 0 40 19 Tesouraria 10 0 0 10 5 0 15 40 20 Emissão - Automóvel 5 5 5 5 10 5 0 35 21 Emissão - Vida 5 5 5 5 5 5 5 35 22 Resgate - Capitalização 5 0 0 10 5 5 0 25 23 Subscrição - Automóvel 5 0 0 5 10 0 0 20 24 Sinistros - Incêndio 5 0 0 5 5 5 0 20 25 Sinistros - Transporte 5 0 0 5 5 0 0 15

Matriz de Risco de Auditoria Interna Cálculos (Nível II) AUDITORIA INTERNA Matriz de Risco - Nível II - (Exemplo parcial - "Subscrição Incêndio") Variável 1 Risco Operacional Variável 2 Normativa Variável 3 Materialidade Variável 4 Plano Estratégico Negócio Nível do Há Relação I.R. P.O. G.C. Média Pontuação % do total Pontuação risco normativa Pontuação com o PE Pontuação Total Residencial Massificado 79,10 51,30 65,20 65,2 Médio 5 Não 10 38,85% 15 Não 0 30 Comercial Massificado 80,60 59,30 69,95 70,0 Alto 10 Sim 5 9,93% 5 Não 0 20 Fabril Massificado 79,10 51,30 65,20 65,2 Médio 5 Sim 5 40,02% 15 Não 0 25 Grandes Riscos 76,22 47,75 61,98 62,0 Médio 5 Não 10 11,20% 5 Sim 10 30 Pode (e deve) ser aplicado também nas auditorias obrigatórias, tornando-se, nesse caso, o Nível I

OBRIGADO! Assizio Oliveira E-mail: oliveiraa@mapfre.com.br