Três Linhas de Defesa na Gestão de Riscos e Controle Interno

As Três Linhas de Defesa na Gestão de Riscos e Controle Interno são um conjunto de diretrizes elaborado e divulgado pelo IIA Global, The Institute of Internal Auditors, que visa esclarecer e organizar as responsabilidades e papéis dos profissionais da organização no gerenciamento de riscos e controles.

O Modelo de Três Linhas de Defesa visa designar responsabilidades de forma coordenada e cooperativa entre os envolvidos de modo que as ações ocorram de forma sistêmica e complementar, buscando a maximização dos resultados e a minimização de falhas e desperdício de recursos.

O que são as Três Linhas de Defesa?

As Três Linhas de Defesa buscam de forma simples e eficaz melhorar a comunicação do gerenciamento de riscos e controle por meio do esclarecimento dos papéis e responsabilidades essenciais.

Em 2013, o IIA Global, The Institute of Internal Auditors, lançou uma Declaração de Posicionamento sobre as responsabilidades e papéis dos profissionais que atuam na governança corporativa em relação ao controle e gerenciamento de riscos dentro das organizações.

As Três Linhas de Defesa, demonstram como funciona o modelo de gestão de riscos criado pela Comunidade Europeia, que separa áreas, funções e profissionais de forma específica para que possam ser coordenadas com eficácia e eficiência, definindo responsabilidades claras e estabelecendo limites para suas responsabilidades e ações, permitindo que haja clareza em como seus cargos se encaixam na estrutura geral de gestão de riscos e controles da organização.

As Três Linhas de Defesa podem servir de referência para empresas de todos os portes, embora seja mais frequente encontrar seus conceitos aplicados em grandes organizações. São diretrizes que indicam um modelo eficaz, coeso e sensato para gestão de riscos e para governança.

Objetivo das Três Linhas de Defesa

• Melhorar a clareza, funcionamento, coordenação e interações nos processos de gestão de riscos e controles;
• Definir com clareza as responsabilidades e atribuições;
• Determinar funções e atividades especificas e complementares;
• Estabelecer limites de responsabilidades e ações;
• Evitar a duplicação de esforços e atividades;
• Evitar o surgimento e a existência de lacunas nos controles.

Gerenciamento de Riscos Corporativos

Atualmente é comum encontrar gestores operacionais, auditores internos, especialistas em gerenciamento de riscos, inspetores de qualidade, profissionais de segurança, especialistas em T.I. e outros profissionais trabalhando em conjunto para gerenciar riscos na organizações.

Porém, cada uma dessas especialidades tem habilidades específicas e perspectiva únicas, motivo pelo qual os trabalhos devem ser coordenados com muito cuidado, para garantir que os processos de gerenciamento de riscos e controles sejam conduzidos de forma coesa e sistêmica, de forma que não haja “lacunas” em controles, nem duplicações desnecessárias na medidas de controle.

As Três Linhas de Defesa sugere a definição clara de responsabilidades que devem ser definidas para que cada grupo de profissionais entenda os limites de suas responsabilidades e como seus cargos/funções se encaixam na estrutura geral de gerenciamento de riscos.

O Modelo de Três Linhas de Defesa é uma forma simples, objetiva e eficaz de melhorar a comunicação do gerenciamento de riscos e controle por meio do esclarecimento dos papéis e responsabilidades essenciais.

Alta Administração e Órgãos de Governança

A alta administração e os órgãos de governança têm, coletivamente, a responsabilidade de definir os objetivos da organização e estratégias para alcançar esses objetivos, e o estabelecimento de estruturas e processos de governança para melhor gerenciar os riscos durante a realização desses objetivos.

O modelo de Três Linhas de Defesa é implementado melhor com o apoio ativo e a orientação do órgão de governança e da alta administração da organização.

Primeira Linha de Defesa (Três Linhas de Defesa)

FUNÇÃO DE GESTÃO OPERACIONAL

A primeira linha de defesa do modelo é composta pelas funções de gerência operacional responsáveis por monitorar e controlar os processos de trabalho.

Estas gerências funcionam como primeira linha de defesa pelo fato dos controles incorporados aos sistemas e processos de trabalho serem executados sob sua responsabilidade.

Os gerentes operacionais (gestores) devem gerenciar os riscos inerentes a sua área de atuação e tendo propriedade sobre eles.

Eles também devem ser responsáveis por implementar as ações corretivas para resolver deficiências em processos e controles.

O gerente deve ser o primeiro responsável por cuidar e fazer cuidar, dos ativos pertencentes a área sob sua responsabilidade.

E ser responsável por manter controles internos eficazes e por conduzir procedimentos de segurança e controles diariamente.

Por meio de uma estrutura de responsabilidades em cascata, os gerentes operacionais devem delegar responsabilidades de prevenção de riscos e cumprimento de procedimentos internos a seus subordinados.

Os gestores devem identificar, avaliar e controlar os riscos, contribuindo para melhorar as políticas internas e assegurando que as atividades desenvolvidas estejam compatíveis com os objetivos da organização.

Estes controles de gestão, quando exercidos de modo adequado, funcionam para garantir a conformidade com leis e regulamentos, evitar a execução inadequada de processos e a ocorrência de eventos inesperados.

Segunda Linha de Defesa (Três Linhas de Defesa)

FUNÇÕES DE GERENCIAMENTO DE RISCOS E CONFORMIDADE

Na segunda linha de defesa estão as funções de gerenciamento de risco, conformidade, controle e fiscalização, para ajudar a desenvolver e/ou monitorar os controles da primeira linha de defesa.

Essas funções servem para assessorar, monitorar e contribuir para a implementação das práticas de gestão de risco pelos gestores locais.

Funções Específicas Segunda Linha

As funções específicas da segunda linha de defesa vão variar entre organizações, mas funções típicas dessa segunda linha de defesa incluem especialistas das área de:

• Gerenciamento de Riscos;
• Controladoria;
• Financeiro;
• Logística;
• Qualidade;
• Segurança da Informação;
• Segurança Patrimonial;
• Segurança e Saúde Ocupacional;
• Meio ambiente.

Essas funções visam a garantia de que a primeira linha de defesa seja apropriadamente desenvolvida e posta em prática e que opere conforme o desejado.

Cada uma dessas funções tem seu nível de independência em relação à primeira linha de defesa, elas podem intervir diretamente, de modo a modificar e desenvolver o controle interno e os sistemas de riscos.

Responsabilidades Segunda Linha

As responsabilidades dessas funções variam em sua natureza específica, mas podem incluir:

• Apoiar as políticas de gestão, definir papéis e responsabilidades e estabelecer metas para implementação;
• Elaborar, sugerir e coordenar medidas de controle;
• Monitorar e fiscalizar processos e medidas de controle;
• Apoiar e fornecer estruturas de gerenciamento de riscos;
• Identificar questões atuais e emergentes;
• Identificar mudanças no cenário de riscos da organização;
• Sugerir, apoiar, assessorar e auxiliar a gerência da área no desenvolvimento processos e controles para gerenciar riscos de acordo com suas especialidades;
• Intervir nos processos para bloquear e sanar/controlar situações de riscos eminentes;
• Atividades de compliance – monitorar os riscos de desconformidade com leis e regulamentos;
• Monitoramento dos riscos financeiros;
• Monitoramento dos riscos de fraude e corrupção.

As funções de segunda linha de defesa, portanto, ajudam a primeira linha a manter as políticas e os procedimentos estabelecidos pela organização, propondo melhorias nas estruturas e orientações.

Terceira Linha de Defesa (Três Linhas de Defesa)

AUDITORIA INTERNA

A auditoria interna tem a função de avaliar e informar a eficácia da governança, do gerenciamento de riscos e dos controles internos, incluindo a forma como a primeira e a segunda linhas de defesa alcançam os objetivos em relação ao gerenciamento de riscos e controles.

Os auditores internos são aqueles responsáveis por fornecer ao órgão de governança e à alta administração avaliações objetivas e abrangentes, com o maior nível de independência dentro da organização.

Os auditores internos não elaboram ou implementam controles e não são responsáveis pelas operações da organização. Essas atividades ficam a cargo das outras duas linhas de defesa.

A auditoria interna deve gozar de elevada independência organizacional de modo que, propicie condições adequadas para os auditores poderem fornecer uma avaliação confiável e objetiva para a alta direção da organização.

Participação do leitor

Para continuar publicando e disponibilizando os artigos de forma gratuita a todos, solicitamos a colaboração de nossos leitores, fazendo pelo menos uma das práticas a seguir:

• Deixe seu comentário no final dos artigos;
• Curta e compartilhe as publicações com seus amigos pelas redes sociais;
• Cadastre se como leitor e receberá avisos sobre novas publicações em seu e-mail.

Forte abraço e sucesso!

José Sérgio Marcondes – Autor

Referência Bibliográfica

Declaração de Posicionamento do IIA (Global, The Institute of Internal Auditors) : AS TRÊS LINHAS DE DEFESA NO GERENCIAMENTO EFICAZ DE RISCOS E CONTROLES – JANEIRO 2013.