Três linhas de defesa: risco e auditoria
Toda organização, no seu dia-a-dia de trabalho, realiza um processo de avaliação, muitas vezes inconsciente, dos riscos a que está exposta e que podem afetar negativamente o negócio.
Nesse quadro de análise, a gestão de riscos corporativos tornou-se um desafio interno, não apenas do ponto de vista de gestão e controle, mas também quando se trata de atribuir os perfis mais adequados dentro da organização. Esse processo de alocação tornou-se uma tarefa fundamental dentro das organizações, uma vez que sua correta alocação permitirá que os recursos da organização estabeleçam internamente um processo adequado de gerenciamento de riscos.
Como resultado, é necessário falar sobre o modelo das três linhas de defesa cujas raízes foram geradas nas organizações financeiras, mas evoluiu para ser aplicado em diferentes tipos de organizações, independentemente de sua atividade ou tamanho, pois o importante é gerenciar corretamente os riscos aos quais uma empresa está exposta.
O modelo de três linhas de defesa fornece um sistema simples e eficaz para melhorar o processo de comunicação interna na gestão e controle de riscos, definindo funções e obrigações relacionadas, garantindo o sucesso contínuo das iniciativas de gerenciamento de riscos.
Primeira linha de defesa: gestão operacional
O modelo de três linhas de defesa planeja uma primeira linha de ação que corresponde aos recursos operacionais e de gestão da organização, como os encarregados de garantir o cumprimento dos objetivos da organização por meio de um sistema de controle interno.
A gerência operacional é responsável pela execução e manutenção dos controles internos estabelecidos pela organização, garantindo que as atividades realizadas em suas unidades sejam compatíveis com as metas e objetivos do negócio.
Através de uma estrutura de responsabilidade operacional, os médios gestores da organização desenham e implementam procedimentos que servem de controlo, permitindo aos seus colaboradores realizar tarefas de supervisão desses procedimentos, reportando diretamente à Alta Direção.
Segunda linha de defesa: conformidade
A segunda linha de defesa executa as tarefas de supervisão dos controles estabelecidos e conformidade com as políticas e padrões definidos pela organização, gerenciando riscos no mais alto nível estratégico, reportando suas descobertas à Alta Administração.
As funções atribuídas à segunda linha podem variar dependendo da organização ou setor, mas em termos gerais podemos destacar o seguinte:
- Supervisão e controlo de riscos, prestando apoio aos diferentes gestores internos (1ª linha) na definição do sistema de controlo de riscos.
- Garantir a conformidade regulatória da organização , tanto com as leis e regulamentos aplicáveis, quanto com as políticas e padrões internos.
- Garantir a veracidade e confiabilidade das informações financeiras geradas e reportadas pela organização.
Terceira linha de defesa: auditoria interna
A terceira linha de defesa permite uma visão independente e objetiva do controle de riscos por meio do processo de Auditoria Interna. Esse processo de revisão fornece supervisão neutra sobre as duas primeiras linhas de defesa, avaliando o sistema de controle interno da organização como um todo para identificar pontos fracos e recomendar melhorias.
O processo de auditoria interna fornece uma garantia sobre a eficácia da gestão de riscos e controles internos aplicados, analisando as boas práticas aplicadas pela primeira e segunda linhas de defesa com base no alcance dos objetivos da organização. A sua atividade reporta diretamente à Alta Direção, mas também diretamente a níveis superiores, como a Comissão de Gestão ou o Conselho de Administração.
Entre as funções associadas à terceira linha de defesa podemos destacar:
- Analisa a eficácia e a eficiência dos controlos aplicados pela primeira e segunda linhas de defesa para alcançar um quadro de controlo interno adequado.
- Verifica a integridade dos relatórios de informações, a conformidade legal e regulamentar, bem como as políticas e procedimentos organizacionais.
Como se pode observar, cada uma das linhas identificadas tem um papel diferente dentro do quadro de gestão da organização, com um nível de independência suficiente para não comprometer a eficácia da gestão de riscos e estabelecer ações de melhoria para potenciar a sua eficácia.
Nesse sentido, na GlobalSuite Solutions oferecemos soluções para abordar a definição do modelo de três linhas de defesa, tanto do ponto de vista da consultoria quanto da centralização e automação desse processo em uma plataforma GRC. Graças à plataforma, todos os gestores envolvidos poderão acessar o mesmo ponto de informação, ter uma gestão de risco multidisciplinar com a capacidade de extrair informações filtradas, além de estabelecer um sistema de auditoria que coleta todas as evidências necessárias propostas neste modelo.
