Há muito tempo, sou fascinado pela dinâmica entre a auditoria interna e os comitês de auditoria aos quais ela reporta. Deixe-me dizer de cara que acredito que a grande maioria dos comitês de auditoria seja diligente em sua supervisão. No entanto, como compartilhei pela primeira vez em um artigo do blog em 2015, existem muitos casos em que os comitês de auditoria incluem membros que não são tão dedicados quanto deveriam em suas funções de supervisão.

Em Extraordinary Circumstances, o relato fascinante de Cynthia Cooper sobre o papel da auditoria interna em desvendar a fraude de reporte financeiro na WorldCom, ela conta os desafios que enfrentou para garantir uma audiência com o comitê de auditoria da empresa, para que pudesse compartilhar os resultados da auditoria interna. Depois de prolongada hesitação do presidente do comitê de auditoria, sua paciência finalmente se esgotou. Em uma fala digna de um filme de Clint Eastwood, ela mandou dizer ao presidente que, "se ele não convocar uma reunião hoje, vou pegar o telefone e convocar uma eu mesma". Como já fiz na ocasião, pergunto-me quantos de nós teriam tanta coragem; quantos de nós precisariam ir tão longe?

Assim que o presidente cedeu e convocou a reunião, o motivo de sua relutância ficou mais claro. Falando com Cooper por telefone mais tarde naquele dia, o presidente a repreendeu: "você tem alguma ideia do que estou prestes a fazer? Estou prestes a explodir esta empresa." Existem poucos (se houver) casos em que uma auditoria interna tenha divulgado informações tão importantes quanto no caso da WorldCom. No entanto, certamente não é a única vez que um comitê de auditoria ou seu presidente decidiu enfiar a cabeça firmemente na areia, em vez de ouvir informações prejudiciais ou desconfortáveis por parte da auditoria interna.

Como CEO do IIA, muitas vezes ouvi chefes executivos de auditoria (CAEs) lamentarem sobre os desafios de executar suas funções. Com base em minhas próprias experiências, raramente fico surpreso quando citam exemplos de relutância da gestão em ouvir más notícias, seja sobre suas próprias operações ou sobre as ações de colegas ou subordinados. A grande maioria dos executivos está realmente disposta a ouvir a verdade, mas ainda há muitos — inclusive, CEOs e diretores financeiros — que preferem não receber más notícias da auditoria interna. Em raras ocasiões, eles podem proibir a auditoria interna de fazer a divulgação apropriada dos resultados, ou podem retaliar contra os CAEs que o fazem. A "rede de segurança" dos CAEs que trabalham para executivos nefastos deveria ser o comitê de auditoria. Afinal, o conselho de administração e seu comitê de auditoria têm a responsabilidade fiduciária de zelar pelos acionistas — certo?

O que me surpreende mais do que as histórias de executivos obstrucionistas são as experiências de CAEs cujos comitês de auditoria relutam em ouvir tudo o que a auditoria interna pode ter a compartilhar. Às vezes, a relutância é movida pelo desejo de evitar más notícias — como pode ter sido o caso na WorldCom. Outras vezes, é porque seu prato está transbordando e ouvir mais um risco ou falha de controle simplesmente não é desejável. Independentemente do motivo, um comitê de auditoria desinteressado ou, pior ainda, antagônico é a última coisa de que um CAE precisa.

Como compartilhei em um artigo do blog há vários anos, com base nas experiências em primeira mão dos CAEs, existem vários exemplos de informações ou resultados de auditoria interna que às vezes deixam os comitês de auditoria desconfortáveis. Esses incluem:

• Alegações de má conduta ou comportamento inadequado por parte do CEO ou de outro executivo.
• Uma avaliação geral de que o tom corporativo no topo pode não estar saudável.
• A incapacidade de prestar avaliação sobre a eficácia dos controles internos ou do gerenciamento de riscos.
• Uma afirmação de que os recursos da auditoria interna podem não ser adequados ou que as reduções direcionadas pela gestão aos recursos da auditoria interna foram excessivas.
• Uma alegação do CAE de interferência da gestão no trabalho da auditoria interna.
• Uma discussão sobre os riscos que a auditoria interna não abordará durante o próximo ano, devido a restrições de recursos ou expertise limitada.
• Um inventário dos riscos emergentes que devem estar no radar do comitê de auditoria.

É raro que o presidente ou o comitê de auditoria inteiro impeçam explicitamente o CAE de discutir esses tópicos. Em vez disso, o apetite limitado de um comitê de auditoria por esse feedback é mais frequentemente mascarado. Por exemplo, se o comitê de auditoria nunca questiona o CAE sobre qualquer limitação de recurso ou de escopo, fica muito mais difícil que o assunto surja. Um comitê de auditoria também pode limitar o potencial de más notícias, limitando ou concordando com as limitações de escopo da auditoria interna. Por exemplo, se o escopo da cobertura de auditoria interna se limitar a avaliar a eficácia dos controles financeiros, o comitê de auditoria provavelmente ouvirá muito pouco sobre riscos operacionais, tecnológicos ou de conformidade, a menos que a avaliação venha da gestão. Certa vez, um CAE compartilhou comigo que, quando tentou compartilhar suas perspectivas sobre riscos não financeiros, o comitê de auditoria gentilmente o lembrou que os riscos não financeiros estavam fora do escopo da auditoria interna.

Meu objetivo não é impugnar os comitês de auditoria ou seus membros sitiados. A grande maioria é muito vigilante na execução de seus papéis. Mas acredito que qualquer relutância dos comitês de auditoria em ouvir/solicitar tudo o que a auditoria interna precisa dizer representa um chamado à ação da profissão. Devemos fazer um trabalho melhor de articulação das funções que podemos desempenhar no aprimoramento do gerenciamento de riscos e dos controles internos em nossas organizações. Devemos encorajar os comitês de auditoria a fazer perguntas difíceis. Quando não o fizerem, devemos oferecer as respostas ainda assim. Afinal, os comitês de auditoria não atenderão aos interesses dos acionistas, se procurarem fechar os olhos ou tampar os ouvidos para as notícias ruins.

Embora seja improvável que qualquer um de nós venha a ter que ameaçar convocar uma reunião do comitê de auditoria por conta própria, nunca devemos fugir de nossas responsabilidades de manter o comitê de auditoria plena e prontamente informado, especialmente sobre o que eles podem não querer ouvir.

Aguardo suas opiniões sobre este assunto delicado.

Richard F. Chambers, presidente e CEO do Global Institute of Internal Auditors, escreve um blog semanal para a InternalAuditor.org sobre questões e tendências relevantes para a profissão de auditoria interna.

Traduzido por IIA Brasil