A boa governança no Executivo federal demanda integração entre liderança, estratégia e controle, nos termos dos referenciais do TCU, com a auditoria interna posicionada como mecanismo de governança. Na prática, isso requer: papéis e responsabilidades formalmente definidos, gestão de riscos orientada à estratégia institucional e avaliação periódica da efetividade da auditoria interna segundo o referencial técnico da CGU.
Governança e gestão: delimitação de papéis
- Alta administração (governança): dirige, monitora e avalia; define objetivos e tolerâncias a risco; estabelece estruturas decisórias e incentivos; presta contas às partes interessadas.
- Gestão (execução): planeja, implementa e controla operações; mantém controles internos; informa desempenho e riscos.
- Auditoria interna: avalia e aconselha, com independência organizacional e objetividade; examina governança, riscos e controles; reporta-se diretamente à alta administração e ao colegiado de governança.
- Órgãos de integridade e controle (correição, ética, integridade, ouvidoria): compõem a segunda linha do modelo das três linhas, reduzindo assimetrias de informação e fortalecendo conformidade.
Arquitetura decisória e documentos essenciais
- Modelo de governança formalizado (estatuto/portaria): instâncias decisórias, fluxos de reporte, segregação de funções e critérios de priorização.
- Comitê de governança, riscos e controles: pauta estratégica, monitoramento de riscos-chave, acompanhamento de planos de ação e recomendações de auditoria.
- Políticas institucionais: gestão de riscos, integridade, transparência e gestão de pessoas; integração com planejamento, orçamento e contratações.
- Estatuto da auditoria interna, manual metodológico e plano anual baseado em riscos, alinhados ao referencial técnico da CGU.
Gestão de riscos orientada à estratégia
A Instrução Normativa Conjunta MP/CGU nº 01/2016, nos termos vigentes, impulsionou práticas de riscos no Executivo federal. A operacionalização deve:
1) Ancorar-se nos objetivos estratégicos e no mapa de valor da instituição.
2) Definir apetite e limites de tolerância a riscos, aprovados pela alta administração.
3) Adotar taxonomia comum, registro de riscos e critérios de avaliação de impacto/probabilidade.
4) Planejar respostas (aceitar, reduzir, compartilhar, evitar) e designar responsáveis.
5) Estabelecer controles-chave e indicadores de risco (KRIs) com gatilhos de reporte.
6) Integrar riscos a orçamento, contratações e projetos estratégicos.
7) Reportar periodicamente ao comitê e divulgar informações de transparência compatíveis com a natureza dos riscos.
Integração riscos-controles-auditoria: o modelo das três linhas
- Primeira linha: gestores de processos, proprietários de risco e de controles.
- Segunda linha: integridade, controles internos, gestão de riscos e conformidade.
- Terceira linha: auditoria interna, com planejamento baseado no mapa de riscos e coordenação de assurance para evitar lacunas e sobreposições.
Ferramenta prática: mapa de assurance que cruza riscos estratégicos com coberturas (auditoria, inspeções, monitoramentos e avaliações), evidenciando quem assegura o quê e com que periodicidade.
Diretrizes do TCU: liderança, estratégia e controle na prática
- Liderança: formalizar o modelo de governança; promover integridade e capacidade de liderança; critérios transparentes de nomeação e avaliação de dirigentes.
- Estratégia: gerir riscos vinculados a objetivos; comunicar desdobramentos para todas as unidades; monitorar metas e funções de gestão com indicadores claros e tempestivos.
- Controle: fortalecer transparência ativa e passiva; aferir satisfação das partes interessadas; avaliar a efetividade da auditoria interna como mecanismo de governança.
Perguntas de diagnóstico úteis: os principais riscos estratégicos têm responsáveis, KRIs e planos ativos? As recomendações críticas têm prazos e impactos mensurados? A alta administração discute riscos e auditoria em pauta recorrente?
Referencial técnico da auditoria interna (CGU): implicações práticas
- Independência e reporte: acesso direto à alta administração e proteção contra interferências no escopo, recursos e conclusões.
- Planejamento baseado em riscos: universo de auditoria mapeado por processos, projetos e temas transversais (integridade, TI, compras, pessoas).
- Execução e qualidade: metodologia padronizada, supervisão técnica e programa de garantia e melhoria da qualidade.
- Acompanhamento de recomendações: classificação por criticidade, prazos e validação de implementação.
- Atividades de consultoria: focadas em mitigação de riscos e desenho de controles, sem assumir responsabilidades de gestão.
Avaliar a efetividade da auditoria interna
Critérios recomendados:
- Cobertura de riscos: percentual de riscos estratégicos tratados por trabalhos de auditoria.
- Implementação de recomendações: taxa e tempo de implementação, por criticidade.
- Tempestividade: prazo entre encerramento de campo e emissão do relatório; atendimento ao plano anual.
- Qualidade técnica: aderência metodológica e resultados de avaliações internas/externas de qualidade.
- Valor público: benefícios estimados, redução de riscos residuais e melhorias de desempenho; percepção da alta administração e partes interessadas qualificadas.
- Salvaguardas de independência: ausência de conflitos e estabilidade orçamentária mínima para a função.
Recomendações práticas por público-alvo
Alta administração:
- Aprovar estatuto de governança, políticas de riscos e integridade e o estatuto da auditoria interna.
- Estabelecer apetite a risco e agendas regulares de monitoramento estratégico.
- Garantir recursos e autonomia técnica da auditoria; exigir avaliação periódica de efetividade.
Unidades de auditoria interna:
- Atualizar o universo de auditoria e o plano anual com base no perfil de riscos.
- Construir mapa de assurance e matriz de materialidade; priorizar temas transversais (integridade, TI, contratações e pessoas).
- Fortalecer o acompanhamento de recomendações com análises de benefício-risco.
- Implementar programa de qualidade e trilha de capacitação técnica.
Gestão (primeira e segunda linhas):
- Designar proprietários de risco e manter registros e KRIs atualizados.
- Integrar riscos a planejamento, orçamento e aquisições; evidenciar controles-chave.
- Responder tempestivamente a recomendações e comprovar efetividade de planos de ação.
Transparência e integridade como alicerces de controle
Transparência ativa e passiva, gestão de conflitos de interesse, prevenção a nepotismo, mecanismos de correição e programas de integridade reduzem assimetrias de informação, favorecem accountability e sustentam a efetividade do modelo de governança.
Roteiro objetivo de implementação
1) Formalizar instâncias e documentos-base (governança, riscos, integridade e auditoria).
2) Definir objetivos estratégicos e apetite a risco.
3) Mapear riscos estratégicos e operacionais prioritários.
4) Aprovar plano anual de auditoria baseado em riscos e mapa de assurance.
5) Estabelecer KRIs, metas e rotinas de reporte ao comitê.
6) Integrar riscos ao ciclo orçamentário e de contratações.
7) Operar o acompanhamento de recomendações e divulgar resultados de forma transparente.
8) Realizar avaliação periódica da efetividade da auditoria e ajustes de rotas.
Ao alinhar liderança, estratégia e controle com a gestão de riscos e uma auditoria interna efetiva, a organização pública aumenta a probabilidade de entregar valor à sociedade, reduzindo desvios de propósito, desperdícios e assimetrias informacionais de forma sustentável e verificável.
Conheça a Pós-Graduação em Auditoria Interna e Controle Governamental
