O COSO ERM é construído em torno de cinco componentes:
- Governança e cultura
- Estratégia e definição de objetivos
- Desempenho
- Revisão e alteração
- Informação, comunicação e relatórios
A auditoria interna frequentemente utiliza o COSO ERM como uma estrutura de gestão de riscos operacionais para determinar se os esforços de gestão de riscos de uma organização estão alinhados com sua estratégia e se as informações sobre riscos fluem adequadamente para a liderança.
O papel da auditoria interna na gestão de riscos operacionais
A auditoria interna desempenha um papel fundamental como provedor independente de garantias dentro do modelo de governança da organização. Ao oferecer insights e conselhos objetivos, os auditores avaliam a eficácia das práticas de gestão de riscos operacionais (ORM) e apoiam a melhoria contínua na supervisão de riscos.
Avaliação da estrutura de gestão de riscos operacionais
O primeiro passo para a auditoria interna é determinar se a organização estabeleceu uma estrutura formal de ORM que esteja alinhada com seus objetivos estratégicos, requisitos regulatórios e padrões do setor. Essa avaliação envolve a revisão de como a organização identifica, avalia e responde aos riscos. Os auditores examinam as metodologias utilizadas para a identificação de riscos, os critérios aplicados nas avaliações de risco e a qualidade da documentação relativa às respostas aos riscos. Além disso, eles analisam o uso de Indicadores-chave de risco (KRIs), os protocolos para relatórios e escalonamento de riscos e a atribuição de funções e responsabilidades pela propriedade dos riscos.
Testes de controles operacionais
Os auditores internos costumam ter mais experiência na avaliação do projeto e da eficácia dos controles internos. Nesta fase, os auditores revisam a documentação do processo, realizam orientações e executam testes de controle para determinar se os principais controles operacionais estão funcionando conforme o esperado. Eles identificam lacunas ou ineficiências de controle e fornecem recomendações para melhorar o ambiente de controle.
Avaliação da cultura de risco e governança
Uma cultura de risco saudável influencia a gestão eficaz do risco operacional. A auditoria interna avalia a cultura de risco da organização analisando o tom na alta administração, a conscientização dos funcionários e os esforços de treinamento, o processo de escalonamento para questões de risco e a capacidade de resposta da administração aos riscos identificados. Uma cultura de risco robusta apoia uma melhor tomada de decisão e responsabilidade pelo risco em toda a organização.
Validação das avaliações de risco
A auditoria interna analisa como as avaliações de risco são conduzidas em toda a organização e questiona as premissas subjacentes quando necessário. Isso inclui verificar a documentação relacionada às avaliações de risco quanto à consistência e justificativa das classificações de risco, garantir que os riscos emergentes sejam incorporados e confirmar que os limites de apetite e tolerância ao risco estejam claramente definidos e sejam seguidos. Essas validações ajudam a alinhar as avaliações de risco com as exposições reais dos negócios.
Aconselhamento sobre estratégias de risco operacional
Ao mesmo tempo em que mantém a independência, a auditoria interna pode fornecer suporte proativo para fortalecer as estratégias de risco operacional. Os auditores podem participar de grupos de trabalho de gestão de risco, oferecer contribuições para o projeto de estruturas de relatórios de risco e fornecer insights sobre riscos emergentes. Essas contribuições podem ajudar a melhorar a maturidade e a capacidade de resposta da postura de risco da organização.
Desafios enfrentados pela auditoria interna na gestão de riscos operacionais
A gestão de riscos operacionais abrange um amplo espectro de tópicos, o que apresenta vários desafios para a auditoria interna. Uma questão fundamental é a rápida evolução dos riscos, particularmente em áreas impulsionadas pela tecnologia, como inteligência artificial ou blockchain, onde o ritmo das mudanças pode ultrapassar as abordagens tradicionais de auditoria. Além disso, os recursos limitados significam que os auditores não podem ser especialistas no assunto em todas as áreas. Também é difícil encontrar um equilíbrio entre oferecer suporte consultivo e manter a independência. Por fim, a coleta de dados de risco confiáveis e abrangentes continua sendo um obstáculo constante, pois as informações costumam ser fragmentadas ou incompletas.
Para enfrentar esses desafios, muitas equipes de auditoria interna estão investindo em capacitação, aproveitando a análise de dados e construindo relações de trabalho mais próximas, mas independentes, com seus colegas de gestão de riscos. Estabelecer relações mais fortes fora da auditoria cria uma parceria mais aberta e compreensiva. Esses esforços são essenciais para garantir que a auditoria interna continue sendo um parceiro relevante e estratégico na supervisão dos riscos operacionais.
Para onde caminha a auditoria interna?
O papel da auditoria interna na gestão de riscos operacionais não é estático — está crescendo e mudando rapidamente. Algumas tendências que moldam o futuro incluem:
- Lidar com riscos tecnológicos emergentes, como vulnerabilidades de IA e SaaS
- Enfrentar um maior escrutínio regulatório, especialmente em setores críticos
- Avançar para uma gestão de riscos integrada que conecte riscos operacionais, estratégicos e de conformidade
- Adoção de agile auditing para manter a flexibilidade e a capacidade de resposta
As equipes de auditoria que abraçam essas mudanças, mantendo-se fiéis às suas raízes de garantia, ajudarão suas organizações a prosperar em tempos de incerteza.
A auditoria interna como aliada estratégica na ORM
Os riscos operacionais não estão desaparecendo. Na verdade, eles estão se tornando mais complexos. As empresas podem gerenciá-los bem com estruturas sólidas, liderança clara e esforços inteligentes de garantia. A auditoria interna não se resume a detectar erros. Trata-se de garantir que os esforços de gestão de riscos funcionem, ajudando as empresas a evitar desastres dispendiosos e transformando a gestão eficaz de riscos em uma vantagem competitiva. Em um mundo onde as perturbações são comuns, ter a auditoria interna como parceira estratégica na gestão de riscos operacionais não é apenas benéfico — é uma vantagem estratégica.
