Controles Internos

Obter compreensão real do funcionamento das atividades, responsabilidades, riscos, controles existentes e pontos sensíveis.

Entendimento dos Processos

• Momento Inicial: Entrevistas iniciais com gestores e executores das atividades e controles.
• Coleta de Dados: Uso de questionários estruturados para manter padrão na coleta de informações.
• Compreender Governança: Levantar documentos, políticas, normas e evidências já existentes dos processos.
• Consolidar Compreensão: Observar in loco (shadowing) as atividades e etapas críticas — "ver para compreender".

Obter compreensão clara e consensual sobre o atual funcionamento do processo, evitando suposição e garantindo diagnóstico aderente à realidade.

• Registro estruturado das entrevistas
• Indicação inicial de riscos e lacunas de controles
• Lista de processos e subprocessos priorizados

Representar os processos de forma padronizada, permitindo análises, discussões e validações objetivas.

Mapeamento/ Revisão dos Processos

• Checar o Processo: Executar walkthrough nos processos com pessoal-chave.
• Estruturar Fluxo: Estruturar ou atualizar os fluxos do processo conforme padrão BPMN.
• Indicar Riscos: Identificar atividades críticas, riscos inerentes e pontos de controle.
• Validar Fluxo: Validar os trabalhos de maneira colaborativa com as áreas envolvidas.

Base estruturada com informações e dados que permitem avaliar riscos, controles e oportunidades de simplificação e melhoria dos processos.

• Diagramas BPMN completos e validados
• Reporte inicial de gaps, riscos e oportunidades de melhoria

Dar visibilidade de que os riscos relevantes sejam mitigados por controles formais, documentados e acompanhados.

Criar/ Revisar a Matriz de Controles

• Identificar Riscos: Identificar riscos estratégicos, operacionais e corporativos existentes nos processos.
• Conhecer Controles: Avaliar a existência, adequação e desenho dos atuais controles existentes.
• Indicar Oportunidades: Propor novos controles viáveis e adequados à realidade, quando necessário.
• Elaborar Matriz: Elaborar a Matriz de Controles contendo detalhamento do processo, riscos e controles.

Obter clareza sobre os riscos reais, controles existentes e pontos que precisam ser fortalecidos.

• Matriz de controles atualizada
• Reporte de gaps e recomendações

Avaliar se o desenho dos controles condiz com a realidade e se eles funcionam na prática.

Testes de Desenho e Efetividade

• ToD: Testes de desenho: verificação documental do desenho, aderência às políticas e coerência com o processo.
• ToE: Testes de efetividade: verificação de amostras e evidências da execução real dos controles.
• Análises Substantivas: Aplicação de técnicas de auditoria, amostragem e revisão independente.
• Reporte da Atividade: Registro detalhado dos resultados.

Diagnóstico assertivo da confiabilidade dos controles existentes.

• Planilhas de testes ToD e ToE
• Evidência de análises e resultados por controle
• Reporte consolidado por área/processo

Avaliar a maturidade da governança de riscos e o conjunto de indicadores, controles e alertas existentes.

Avaliação da Exposição a Riscos

• Avaliar KPIs e KRIs: Analisar os mecanismos de monitoramento testados.
• Mensurar Efetividade: Avaliar a efetividade dos KPIs e red flags identificados nos testes.
• Indicar Oportunidades: Identificar riscos emergentes e controles compensatórios.
• Reportar Resultados: Apresentar reporte consolidado dos levantamentos realizados.

Redução da exposição a riscos críticos e melhoria na capacidade de resposta.

• Diagnóstico de risco por processo
• Lista de melhorias e controles adicionais
• Proposta de indicadores/KRIs

Formalizar em procedimento os critérios, responsabilidades e rotinas que sustentam a governança de controles internos.

Revisão/ criação de Procedimentos

• Identificar: Conhecer as políticas existentes referentes aos processos analisados e a documentação de suporte.
• Avaliar: Estruturar o documento contendo diretrizes, papéis, responsabilidades, fluxos e metodologia de testes.
• Padronizar: Alinhar os procedimentos conforme boas práticas (COSO, ISO 31000, IIA).
• Validar: Validar a versão final com as áreas responsáveis para homologação e divulgação interna.

Padronizar as práticas de controle, melhorar a governança e disseminar a cultura de controles internos e riscos.

• Procedimento de Controles Internos revisado e aprovado
• Versão executiva para comunicação interna

Apresentar, de forma executiva e prática, os principais achados e recomendações priorizadas.

Relatório Final Consolidado

• 1. Consolidar: Consolidar os resultados obtidos com o mapeamento, testes, diagnósticos e análises realizadas.
• 2. Classificar: Classificar as recomendações por criticidade, esforço e impacto na organização.
• 3. Sumário Executivo: Preparar um sumário executivo para comitês e diretoria envolvidos nos trabalhos.
• 4. Apresentar: Realizar reunião de apresentação com as áreas executivas e gestores responsáveis.

Visão clara do estado atual, prioridades e roadmap de evolução dos processos.

• Relatório Final
• Sumário Executivo
• Plano de Ação Priorizado