Gestão de riscos

Modelo das três linhas

Organizar quem executa, quem monitora e quem avalia de forma independente, sem sobreposição e sem vazio de responsabilidade.

O modelo das três linhas organiza responsabilidades: a área de negócio gerencia o risco que gera, as funções de risco e conformidade monitoram e apoiam, e a auditoria interna avalia de forma independente. O serviço define fronteiras, elimina sobreposição e fecha vazio de cobertura. Os sintomas de desalinhamento são visíveis de fora. Conformidade executando controle operacional que caberia à linha de negócio. Auditoria interna revisando processo que ela mesma ajudou a desenhar. Risco respondendo pelo resultado comercial da carteira que mede. Em organização pequena, o desafio é outro: aplicar o modelo com equipe reduzida, sem criar cargos que a operação não sustenta.

A publicação do Instituto dos Auditores Internos atualizou o antigo modelo de três linhas de defesa para o modelo das três linhas, com ênfase em papéis e não em barreiras. Em instituição autorizada pelo Banco Central, a Resolução CMN 4.557 exige independência da unidade de gerenciamento de riscos e indicação de diretor responsável, e a regulação de governança editada pelo Banco Central atribui responsabilidades indelegáveis ao conselho e à diretoria, cuja numeração deve ser conferida. O erro clássico é resolver o desenho no organograma sem resolver o acesso: quem monitora precisa enxergar o sistema de quem executa. Outro é subordinar a auditoria interna à diretoria executiva.

A MERC mapeia quem faz o quê hoje, comparando a descrição formal com a prática observada nos registros e nos sistemas. Identifica controle órfão, controle duplicado e atividade executada por quem deveria avaliar. Depois propõe o desenho possível para o porte da instituição, incluindo uso de terceiros em funções que não se sustentam internamente. Também revisa o estatuto da auditoria interna, a linha de reporte e o plano anual de trabalho. Por ser firma de auditoria, a MERC conhece o limite da própria atuação e recusa desenho que a coloque avaliando controle que ela mesma implantou, porque isso compromete a independência exigida.

O que examinamos

• Atribuições formais confrontadas com a prática
• Independência e linha de reporte da auditoria interna
• Controles órfãos e atividades duplicadas
• Acesso das funções de monitoramento aos sistemas
• Plano anual de auditoria e cobertura de riscos
• Adequação do desenho ao porte da organização

Norma aplicável

Modelo das Três Linhas do Instituto dos Auditores Internos como referência de método, com a Resolução CMN 4.557 para a independência da unidade de riscos e a regulação de governança do Banco Central sobre responsabilidades indelegáveis do conselho e da diretoria, a conferir.

Entregável

Desenho das três linhas com atribuições por função, lacunas e sobreposições identificadas e estatuto de auditoria interna revisado.