Matriz de riscos e controles: dono, teste e evidência no mesmo registro

A matriz de riscos e controles costuma nascer numa planilha e se multiplicar ao longo do ano. Cada área mantém a sua cópia, os testes ficam em outra pasta e a evidência, em e-mails. Quando chega a revisão, ninguém sabe qual é a versão certa, e o histórico precisa ser reconstruído.

O que costuma faltar é um registro único que ligue cada risco ao controle que o trata, ao dono, ao teste e à evidência. Este artigo mostra o que esse registro precisa conter.

O que cada linha da matriz precisa ter

A relação entre risco e controle é de muitos para muitos: um controle pode tratar vários riscos, e um risco relevante costuma ter mais de um controle. Para cada controle, registre:

• Risco e objetivo de controle: o que pode dar errado e o que o controle garante.
• Descrição do controle: quem executa, o que faz, quando, com base em qual informação e o que acontece quando encontra uma exceção. Uma descrição vaga ("o gestor revisa os pagamentos") é impossível de testar.
• Tipo: preventivo ou detectivo, manual ou automático.
• Frequência: anual, trimestral, mensal, semanal, diária ou a cada ocorrência.
• Dono: uma pessoa, com cargo. Área não é dono.
• Evidência esperada: o que a execução deixa de rastro (relatório assinado, log do sistema, aprovação registrada).
• Procedimento de teste: como verificar desenho e operação, e com qual amostra.
• Resultado: data do último teste, conclusão, deficiências e plano de correção com prazo.

Essa lista corresponde ao que o COSO chama de atividades de controle (princípios 10 a 12: selecionar controles que mitiguem riscos, incluir controles gerais de tecnologia e implantar por meio de políticas e procedimentos) e de monitoramento (princípios 16 e 17: avaliar se os controles funcionam e comunicar as deficiências a tempo a quem precisa corrigir).

Desenho e operação são testes diferentes

Um controle pode estar bem desenhado e não ser executado, ou ser executado à risca e não cobrir o risco. Por isso a referência mais usada no mercado, a norma AS 2201 do PCAOB, separa dois testes, como resume o alerta de prática nº 11 do PCAOB:

• Desenho: o controle, executado como prescrito por alguém com autoridade e competência, atende ao objetivo e consegue prevenir ou detectar o erro? Um walkthrough (acompanhar uma transação do início ao fim, com indagação, observação e inspeção) costuma bastar.
• Efetividade operacional: o controle funcionou como desenhado durante todo o período, executado por quem deveria? Aqui entra a amostra, e quanto maior o risco, mais evidência é necessária.

Um terceiro ponto aparece com frequência nas inspeções: a informação usada pelo controle. Se o revisor confere um relatório extraído do sistema, o teste precisa mostrar que esse relatório é completo e exato. Revisar um relatório incompleto não controla nada.

Para o tamanho da amostra e a seleção aleatória, veja o nosso guia de amostragem em testes de controle.

O que a CMN 4.968 pede às instituições financeiras

A Resolução CMN nº 4.968/2021, que substituiu a antiga 2.554/1998 a partir de 2022, trata do sistema de controles internos das instituições autorizadas pelo Banco Central. Os pontos que dependem de uma matriz bem mantida:

• Controles proporcionais à natureza, ao porte, à complexidade e ao perfil de risco (art. 2º).
• Controles contínuos, integrados à rotina e "revisados e atualizados periodicamente" (art. 4º). Uma matriz parada desde o último ciclo contraria esse artigo.
• Avaliações periódicas, inclusive pela auditoria interna, com desvios prontamente corrigidos e deficiências reportadas aos responsáveis, à diretoria e, quando materiais, ao conselho (art. 5º, V).
• Relatório anual (art. 6º) com a avaliação da adequação e da efetividade dos controles, as recomendações com cronograma de saneamento e a manifestação dos responsáveis sobre as deficiências apontadas antes. O relatório vai ao conselho e às auditorias interna e externa e fica à disposição do Banco Central por cinco anos.

O relatório do art. 6º é praticamente um extrato da matriz: quais controles foram avaliados, o que falhou, o que está sendo corrigido e até quando. Com a matriz em um registro único, ele sai pronto. Com planilhas espalhadas, vira um projeto à parte todo ano.

Os sete erros que mais aparecem na revisão

1. Planilhas paralelas por área, com versões que divergem e nenhuma consolidação confiável.
2. Riscos relevantes sem controle associado, que só aparecem quando alguém cruza as listas.
3. Descrições que não dizem quem, o quê e quando, impossíveis de testar.
4. Excesso de controles detectivos e de revisão gerencial no lugar de controles preventivos que tratariam o risco na origem.
5. Controle de revisão sem precisão definida: não diz o que o revisor procura nem a partir de qual valor ou variação investiga.
6. Relatório do sistema usado sem evidência de que é completo e exato.
7. Matriz não revisada e deficiências sem dono nem prazo, que se repetem de um ciclo para o outro.

O problema tem escala conhecida: no alerta de 2013 citado acima, o PCAOB relatou evidência insuficiente em 46 das 309 auditorias de controle interno inspecionadas, cerca de 15%.

Um registro em vez de colunas soltas

A matriz deixa de ser um documento quando cada controle carrega o próprio histórico: quem é o dono hoje, quando foi testado, com qual amostra, qual evidência sustenta a conclusão, que deficiência foi aberta e quando foi corrigida. Cada teste concluído fica preservado, e a próxima revisão começa do ponto em que a anterior parou.

A melhor matriz é a que responde, sem reconstrução, o que foi testado, por quem e com base em qual evidência.

Checklist da matriz

• Cada risco relevante tem ao menos um controle, e cada controle aponta os riscos que trata.
• A descrição diz quem, o quê, quando, com base em qual informação e o que fazer com exceções.
• Tipo, frequência e dono (pessoa, com cargo) preenchidos.
• Evidência esperada e procedimento de teste definidos antes do teste.
• Desenho e efetividade operacional testados e registrados separadamente.
• Relatórios usados pelos controles com evidência de completude e exatidão.
• Deficiências com dono, plano e prazo, acompanhadas até o fechamento.
• Matriz revisada ao menos uma vez por ciclo.