Controles internos: por que revisar processos que parecem funcionar

Controles internos não permanecem eficazes apenas porque foram bem desenhados no passado. Mudanças em pessoas, sistemas, estrutura, volume de operações, fornecedores e regras podem tornar um procedimento insuficiente, redundante ou fácil de contornar. Por isso, a revisão periódica de controles internos deve fazer parte da governança: ela verifica se os controles ainda respondem aos riscos relevantes, funcionam como previsto e produzem evidências confiáveis para a administração.

A questão não é presumir falhas ou desconfiar das equipes. É reconhecer que o negócio muda continuamente e que o ambiente de controle precisa acompanhar essa evolução. Para CFOs, controllers, diretores e conselhos, revisar controles significa proteger ativos, elevar a confiabilidade das informações e sustentar decisões com maior segurança.

Por que controles que parecem funcionar podem perder efetividade

Um controle pode existir formalmente e, ainda assim, não funcionar na prática. Uma aprovação prevista em política pode ter se tornado automática; um acesso temporário pode permanecer ativo; uma conciliação pode ser preparada e revisada pela mesma pessoa; ou uma rotina automatizada pode processar dados sem validações suficientes. Em todos esses casos, a presença do procedimento não comprova sua efetividade.

O COSO, referência internacional em controles internos, inclui o monitoramento entre os cinco componentes de um sistema efetivo. A lógica é direta: objetivos e operações se transformam, e os controles podem se tornar menos eficazes, obsoletos ou inadequados diante de novos riscos. Avaliações contínuas e periódicas ajudam a verificar se cada componente permanece presente e funcionando.

Entre os fatores que mais alteram o ambiente de controle estão:

• crescimento ou reorganização: novas unidades, aquisições e mudanças de estrutura podem criar lacunas de responsabilidade;
• troca de pessoas-chave: conhecimento informal pode desaparecer e atividades incompatíveis podem ser concentradas;
• implantação de tecnologia: integrações, automações e perfis de acesso podem introduzir riscos diferentes dos previstos no desenho original;
• pressão por agilidade: atalhos operacionais podem reduzir a qualidade das aprovações e das evidências;
• mudanças regulatórias ou de modelo de negócio: novas obrigações, canais, produtos e terceiros exigem controles atualizados.

O que uma revisão de controles internos deve verificar

Uma revisão consistente avalia dois aspectos complementares: o desenho do controle e sua operação. Essa distinção evita concluir que um processo está protegido apenas porque há uma política, um sistema ou uma matriz de alçadas.

Efetividade do desenho

A avaliação do desenho verifica se o controle, caso executado como previsto, é capaz de prevenir ou detectar o risco em tempo adequado. Considera objetivo, responsável, frequência, evidência, nível de aprovação, segregação de funções e dependência de sistemas ou planilhas.

Efetividade operacional

O teste operacional verifica se o controle foi executado de forma consistente no período analisado e por profissionais com autoridade e competência adequadas. Amostras, rastreabilidade, registros de aprovação, conciliações, logs e tratamento de exceções são exemplos de evidências que podem ser examinadas.

Também é importante avaliar se o conjunto de controles é proporcional ao risco. Controles excessivos podem gerar custo e lentidão sem benefício correspondente; controles insuficientes podem deixar exposições relevantes sem resposta. O objetivo é alcançar um ambiente coerente com o porte, a complexidade, o setor e a estratégia da organização.

Quais processos devem ser priorizados

A priorização deve partir dos riscos e da materialidade, não de uma lista padronizada. Ainda assim, alguns ciclos concentram transações, ativos, decisões ou acessos que justificam atenção recorrente:

• vendas e faturamento: cadastro de clientes, descontos, limites, faturamento, reconhecimento de receitas, devoluções e cancelamentos;
• compras e terceiros: seleção e homologação de fornecedores, conflitos de interesses, concorrências, contratos, aprovações e alterações de dados bancários;
• estoques e ativos: movimentações, inventários, perdas, ajustes, obsolescência, baixas, transferências e acesso físico;
• tesouraria e contas a pagar: alçadas, pagamentos, conciliações, cadastros bancários, acessos e segregação de funções;
• contas a receber: baixas, renegociações, conciliações, provisões e tratamento de inadimplência;
• folha e despesas: admissões, desligamentos, alterações cadastrais, reembolsos, cartões corporativos e viagens;
• tecnologia e dados: concessão e revogação de acessos, privilégios, mudanças em sistemas, interfaces, backups e continuidade;
• informações financeiras e não financeiras: origem dos dados, premissas, conciliações, revisões e trilha de auditoria.

A relevância de cada ciclo varia. Indústrias podem priorizar produção, matérias-primas e manutenção; empresas de tecnologia, acessos, receitas recorrentes e desenvolvimento de sistemas; construção e infraestrutura, medições, subcontratações e custos por projeto; organizações reguladas, obrigações específicas e evidências de conformidade.

Com que frequência os controles internos devem ser revisados

Não existe uma periodicidade única aplicável a todas as empresas ou a todos os processos. A frequência deve ser definida com base no risco, na materialidade, na velocidade das mudanças, no histórico de deficiências e na dependência do controle para decisões ou obrigações relevantes. Processos críticos podem exigir monitoramento contínuo ou testes mais frequentes; processos estáveis e de menor risco podem seguir ciclos mais espaçados.

Além do calendário regular, alguns eventos devem provocar uma reavaliação:

• mudança relevante de sistema ou automação;
• aquisição, integração, expansão geográfica ou nova unidade;
• crescimento acelerado do volume de transações;
• alteração de responsáveis, estrutura ou terceiros críticos;
• nova exigência regulatória ou contratual;
• incidente, perda, erro recorrente ou denúncia;
• deficiência relevante apontada por auditoria interna ou independente.

Uma abordagem baseada em risco permite distribuir melhor os recursos e evita revisar todos os processos com a mesma profundidade. O plano deve ser atualizado quando o perfil de risco da organização mudar.

Quem é responsável pelos controles internos

A responsabilidade pelo ambiente de controle permanece com a administração e com os gestores dos processos. O Modelo das Três Linhas, do IIA, ajuda a organizar os papéis: a primeira linha executa as operações e gerencia riscos; a segunda oferece especialização, suporte, monitoramento e questionamento; e a auditoria interna, quando existente, fornece avaliação independente e objetiva sobre governança, riscos e controles. O conselho ou órgão de governança supervisiona o sistema e cobra informações adequadas para exercer seu papel.

A auditoria independente das demonstrações financeiras tem objetivo e escopo próprios. Embora possa identificar e comunicar deficiências de controle relevantes para o trabalho, ela não substitui a responsabilidade da administração nem um programa abrangente de avaliação de controles internos. Políticas formalizadas, sistemas integrados e relatórios de auditoria tampouco dispensam o monitoramento cotidiano pelos gestores.

Nenhum sistema elimina integralmente fraudes ou erros. Controles bem desenhados, executados e monitorados oferecem segurança razoável, não absoluta. Essa qualificação é importante para alinhar expectativas e concentrar a governança nos riscos que realmente podem afetar os objetivos do negócio.

Como estruturar um ciclo de revisão orientado por risco

Um programa útil para a administração pode ser organizado em sete etapas:

1. Definir escopo e objetivos. Relacionar processos críticos, riscos, materialidade, unidades, sistemas e período a avaliar.

2. Mapear o processo real. Entrevistar responsáveis, observar rotinas e acompanhar transações para comparar a prática com políticas e fluxos documentados.

3. Vincular riscos e controles. Identificar quais controles respondem a cada risco, quem os executa, com que frequência e qual evidência deve existir.

4. Avaliar o desenho. Verificar se o controle é capaz de prevenir ou detectar a exposição de forma tempestiva e proporcional.

5. Testar a operação. Selecionar amostras e examinar evidências, acessos, exceções e consistência de execução.

6. Classificar e priorizar deficiências. Considerar probabilidade, impacto, abrangência, recorrência, controles compensatórios e urgência da resposta.

7. Acompanhar os planos de ação. Definir responsáveis, prazos, critérios de conclusão e validação da correção implementada.

A etapa de acompanhamento é decisiva. Registrar uma deficiência não reduz o risco por si só. A administração precisa verificar se a ação foi concluída, se funciona e se não criou efeitos colaterais ou novas dependências. Indicadores de pendências vencidas, reincidência e tempo de remediação ajudam a dar visibilidade à governança.

Sinais de que a revisão merece prioridade

Alguns sinais não comprovam uma falha, mas indicam que o desenho ou a execução dos controles devem ser examinados:

• dependência excessiva de uma única pessoa;
• aprovações sem evidência ou realizadas após a transação;
• acessos incompatíveis com a função ou mantidos após transferências e desligamentos;
• conciliações atrasadas ou com diferenças antigas;
• ajustes manuais frequentes em sistemas ou planilhas;
• exceções recorrentes tratadas como rotina;
• recomendações de auditoria sem responsável ou prazo;
• crescimento do negócio sem atualização de políticas, alçadas e responsabilidades.

Revisar controles é fortalecer governança e capacidade de decisão

Controles internos não devem ser vistos apenas como exigências de auditoria ou barreiras à operação. Quando proporcionais aos riscos e integrados aos processos, eles apoiam continuidade, confiabilidade da informação, proteção de ativos, conformidade e eficiência. A revisão pode, inclusive, revelar controles duplicados, etapas sem valor e oportunidades de automação.

Também há uma dimensão de proteção profissional. Responsabilidades claras, aprovações documentadas e evidências consistentes ajudam a demonstrar como decisões foram tomadas e quais diligências foram aplicadas. A avaliação de eventual responsabilidade, contudo, depende das atribuições, da legislação vigente e das circunstâncias específicas de cada caso.

Para administradores e conselheiros, a pergunta mais útil não é apenas se os controles existem, mas se há evidências de que permanecem adequados aos riscos e funcionam de forma consistente. Transformar essa pergunta em uma rotina de governança reduz surpresas, melhora a qualidade das decisões e prepara a organização para crescer com mais confiança.

A revisão de controles internos é mais útil quando considera a estratégia, os riscos e a maturidade de cada organização. A RSM Brasil apoia empresas na avaliação do desenho e da efetividade dos controles, no mapeamento de processos, na auditoria interna e na estruturação da gestão de riscos, com abordagem ajustada ao porte, ao setor e ao momento do negócio.