Auditoria interna e controles

Monitoramento contínuo e analytics

Rotinas automatizadas sobre a população inteira, com regra documentada, dono do tratamento, limiar calibrado e desfecho registrado.

Monitoramento contínuo troca a verificação pontual por rotinas que examinam a população completa em intervalos curtos. Em vez de testar uma amostra de pagamentos no trimestre, a rotina lê todos os pagamentos e sinaliza o que foge da regra: fornecedor cadastrado e pago no mesmo dia, aprovação feita por quem solicitou, valor fracionado logo abaixo da alçada, conta bancária repetida entre fornecedores distintos. O mesmo vale para conciliação, acesso, estoque, crédito e obrigação regulatória. A frente cria essas rotinas com dono definido e fluxo de tratamento, para que o alerta gere decisão. Sem isso, o painel vira relatório que ninguém abre e o investimento em dado se perde.

O COSO Internal Control trata as atividades de monitoramento como componente próprio, com avaliações contínuas e independentes e comunicação tempestiva das deficiências. É preciso separar monitoramento contínuo, responsabilidade da gestão e da segunda linha, de auditoria contínua, que é da auditoria interna. Qualidade do dado é pré-requisito: sem dicionário de dados, linhagem e teste de completude e exatidão do extrato, a rotina produz conclusão falsa com aparência de precisão. Excesso de falso positivo mata a rotina em poucos meses, então o limiar precisa de revisão periódica e de registro das calibragens. No sistema financeiro, a norma conjunta do Banco Central e da CVM sobre qualidade da informação reforça rastreabilidade e documentação.

A MERC começa escolhendo poucos testes de alto valor, ligados a risco já conhecido, em vez de tentar cobrir tudo de uma vez. Valida a fonte do dado, reconcilia o extrato com o razão ou com o sistema de origem e documenta a lógica da regra em linguagem que o dono do processo consiga conferir. Define limiar, responsável pelo tratamento, prazo e registro do desfecho de cada alerta. Entrega as rotinas, a documentação técnica, o painel e o procedimento de calibragem. A firma não entrega painel sem dono do tratamento, porque alerta sem destinatário cria a ilusão de controle e piora a posição da companhia diante do regulador.

O que examinamos

• Reconciliação da fonte de dados com o razão contábil
• Dicionário de dados, linhagem e completude do extrato
• Lógica da regra documentada e validada com o gestor
• Limiar calibrado e registro das revisões de calibragem
• Dono do tratamento, prazo e desfecho de cada alerta
• Separação entre monitoramento da gestão e auditoria contínua

Norma aplicável

COSO Internal Control, no componente de atividades de monitoramento, com avaliações contínuas e independentes e comunicação tempestiva de deficiências. No sistema financeiro, a resolução conjunta do Banco Central e da CVM sobre política de qualidade da informação impõe dicionário de dados, rastreabilidade e documentação, com detalhes a conferir na versão vigente.

Entregável

Rotinas de monitoramento implantadas, documentação técnica das regras, painel de alertas e procedimento de calibragem com donos de tratamento.