O IIA revela uma atualização importante de uma das ferramentas de gerenciamento de riscos mais conhecidas e confiáveis. O novo Modelo das Três Linhas do IIA, uma nova visão sobre o respeitável modelo das Três Linhas de Defesa, promete mudar a maneira como muitas organizações olham não apenas para os riscos, mas também controles, colaboração, comunicação, prestação de contas, avaliação e muito mais.

Publiquei um artigo há mais de um ano anunciando os planos do IIA de explorar a melhor forma de atualizar as Três Linhas de Defesa. A intenção era refletir as mudanças no gerenciamento e governança modernos dos riscos, preservando ao mesmo tempo a abordagem direta e clara do modelo. Fico feliz em dizer que, após centenas de horas de trabalho e contribuições de especialistas, além de comentários de stakeholders do mundo todo, o esforço valeu a pena.

Antes de entrar em detalhes, gostaria de lembrar aos leitores o processo seguido para chegar ao novo modelo. O projeto foi liderado por um grupo de trabalho principal de especialistas em governança, liderado pela vice-presidente sênior do IIA, Jenitha John. O grupo de trabalho aproveitou as vastas experiências de um grupo consultivo adicional de 30 membros. O projeto incluiu uma revisão abrangente das abordagens de governança do mundo todo e uma análise de como o modelo antigo foi incorporado à prática e à regulamentação. O projeto também buscou e incorporou comentários públicos por meio de um processo formal de exposição global.

O Modelo das Três Linhas: Uma Evolução

O modelo apresentado hoje é uma evolução mais natural do que o tratamento revolucionário das confiáveis Três Linhas de Defesa. No entanto, isso não significa que as alterações sejam sutis.

Uma grande mudança é a maior incorporação do corpo administrativo ao modelo. O novo Modelo das Três Linhas delineia claramente as funções e responsabilidades do corpo administrativo, bem como da gestão executiva e da auditoria interna. Essas funções não se limitam ao gerenciamento de riscos, mas se concentram na governança geral da organização.

Embora não seja um modelo de governança, o foco maior sobre a governança apoia a criação e a proteção de valor e lida com os aspectos ofensivos e defensivos do gerenciamento de riscos. Isso aborda uma das principais críticas ao modelo das Três Linhas de Defesa, que é seu foco principal sobre a defesa.

A maior mudança é a identificação de seis princípios principais nos quais o novo modelo de três linhas se baseia:

Princípio 1: A governança de uma organização requer estruturas e processos apropriados, que permitam prestação de contas, ação e avaliação.

Princípio 2: Os papéis do corpo administrativo garantem estruturas e processos adequados para uma governança eficaz.

Princípio 3: A responsabilidade da gestão por atingir os objetivos organizacionais compreende os papéis de primeira e segunda linha. Os papéis de primeira linha estão mais diretamente alinhados com a entrega de produtos e/ou serviços aos clientes da organização e incluem os papéis das funções de suporte. Os papéis de segunda linha fornecem assistência no gerenciamento de riscos. 

Princípio 4: Em seu papel de terceira linha, a auditoria interna presta avaliação e assessoria independentes e objetivas sobre a adequação e eficácia da governança e do gerenciamento de riscos. Isso é feito através da aplicação competente de processos sistemáticos e disciplinados, expertise e conhecimentos. Ela pode considerar a avaliação de outros prestadores internos e externos.

Princípio 5: A independência da auditoria interna em relação às responsabilidades da gestão é fundamental para sua objetividade, autoridade e credibilidade.

Princípio 6: Todos os papéis que trabalham coletivamente contribuem para a criação e proteção de valor, quando estão alinhados entre si e com os interesses priorizados dos stakeholders.

A maioria dos auditores internos deve estar familiarizada com esses conceitos, mesmo que não tenham sido articulados em um único modelo ou documento. As organizações que adotam e incorporam esses princípios em seus controles, operações e culturas terão sempre uma governança mais forte. A adesão a esses princípios deve ser a meta de todas as organizações e, uma vez alcançada, deve ser continuamente monitorada e nutrida.

O desafio para todas as organizações será aplicar e adaptar o Modelo das Três Linhas às suas próprias necessidades e prioridades. Por exemplo, a extensão dos papéis de primeira e segunda linha variará dependendo de vários fatores, incluindo o tamanho e a complexidade da organização, a indústria ou setor em que opera e o nível de regulamentação externa.

A abordagem baseada em princípios do novo modelo foi projetada para fornecer aos usuários maior flexibilidade. Órgãos de governança, a gestão executiva e a auditoria interna não são divididos em linhas ou papéis rígidos. O conceito de "linhas" foi mantido no interesse da familiaridade. No entanto, elas não pretendem denotar elementos estruturais, mas uma diferenciação útil entre os papéis. As áreas de responsabilidade são geralmente descritas como:

• Prestação de contas pelo corpo administrativo aos stakeholders para supervisão.
• Ações (incluindo o gerenciamento de riscos) por parte da gestão para atingir os objetivos organizacionais.
• Avaliação e assessoria por uma função independente de auditoria interna, para fornecer conhecimentos, confiança e incentivo à melhoria contínua.

Alguns argumentaram que a auditoria interna deve permanecer na “terceira linha”, com muita cautela para garantir sua independência e a objetividade de sua equipe. No entanto, o modelo atualizado enfatiza claramente que "independência não implica isolamento". Como observa a atualização, “deve haver interação regular entre auditoria interna e gestão. . . . Há necessidade de colaboração e comunicação entre os papéis de primeira e segunda linhas de gestão e auditoria interna.”

Acredito que o novo Modelo das Três Linhas do IIA melhora as três linhas de defesa e espero que seja amplamente adotado, assim como o original. Alguns podem ficar desapontados com as mudanças — que vão longe demais, ou não vão longe o suficiente. De fato, provavelmente haverá críticos que tentarão invalidá-lo.

Convido todo o escrutínio e críticas construtivas, mas, como qualquer conceito novo ou atualizado sobre um pensamento ou doutrina estabelecida, o verdadeiro valor será visto com o tempo.

Divulgação:

Richard F. Chambers, presidente e CEO do Global Institute of Internal Auditors, escreve artigos semanais para um blog da InternalAuditor.org sobre assuntos e tendências relevantes para a profissão de auditoria interna.

Este artigo foi reproduzido do InternalAuditor.org com permissão do Instituto de Auditores Internos, Inc. traduzido do inglês para o português.

Tradução IIA Brasil