Como será o futuro da auditoria interna?
O futuro da auditoria interna é contínuo, interligado e preditivo. Em vez de executarem planos de auditoria anuais e apresentarem relatórios sobre o que já correu mal, as equipas de auditoria interna estão a orientar-se para a monitorização de riscos em tempo real no âmbito de um ecossistema de risco integrado: um ambiente partilhado onde os dados de auditoria, risco e conformidade falam todos a mesma língua.
Essa mudança é importante porque o risco já não espera pelo calendário de auditorias. Uma lacuna de controlo identificada em março pode já não ter relevância quando o relatório for apresentado em setembro. As organizações que associam as conclusões das auditorias aos dados de risco empresarial, em vez de as arquivar num sistema separado, conseguem antecipar-se aos problemas antes que estes se tornem notícia.
A seguir, analisamos os fatores que estão na origem desta mudança, como se apresenta, na prática, um ecossistema de risco integrado e o que isso significa para os auditores internos que desempenham esta função.
O plano de auditoria anual está a perder a sua eficácia
Durante a maior parte da história da auditoria interna, o trabalho era simples. Escolher um conjunto de áreas todos os anos, testar os controlos, registar o que não estava a funcionar e passar para o próximo trabalho. Funcionava bem quando os riscos evoluíam lentamente e as empresas tinham tempo para reagir entre os ciclos de revisão.
Esse não é o ambiente em que ninguém opera atualmente. A cada 6 minutos, surge uma nova alteração regulamentar algures no mundo. Se a isso acrescentarmos a transformação digital, uma maior dependência de terceiros e a introdução da IA nos processos empresariais do dia-a-dia, a velocidade a que surgem novos riscos ultrapassou o ciclo de revisão concebido para os detetar. Uma constatação de auditoria de há seis meses pode já estar a descrever um problema que se transformou em algo completamente diferente.
Isto está a obrigar a repensar qual é, na verdade, o objetivo da auditoria interna. Já não basta ser a função que surge a posteriori e explica o que aconteceu. O valor reside agora em detetar sinais de risco com antecedência suficiente para tomar medidas, o que significa que a auditoria tem de se integrar nos mesmos fluxos de dados que as equipas de risco e conformidade já estão a monitorizar.
Desde análises pontuais até uma visão contínua dos riscos
Uma visão contínua dos riscos não significa abandonar a metodologia de auditoria. Significa alimentar essa metodologia com dados em tempo real, em vez de depender exclusivamente de verificações programadas.
Na prática, isto fica assim:
- Acompanhar as tendências de desempenho dos controlos entre as auditorias formais, e não apenas durante as mesmas
- Reajustar as prioridades das áreas de foco da auditoria à medida que surgem novos sinais de risco, em vez de se cingir rigidamente a um plano definido há 11 meses
- Utilizar dados integrados, e não apenas os dados da auditoria, para identificar padrões em toda a empresa
Pense nisso como se a auditoria funcionasse como um sistema de radar. Sempre a analisar, sempre a captar sinais em todas as áreas operacionais, tecnológicas e de controlo, em vez de ser ativada apenas uma vez por ano para uma verificação programada.
O que é um ecossistema integrado de risco?
Um ecossistema de risco integrado é uma estrutura partilhada onde o risco empresarial, os controlos de segunda linha e a conformidade, as conclusões de auditoria e a correção de problemas coexistem em sistemas interligados que utilizam taxonomias comuns, em vez de existirem em silos separados com as suas próprias folhas de cálculo, definições e periodicidades de reporte.
A maioria das organizações ainda gere estas funções de forma independente. A gestão de riscos tem o seu próprio registo de riscos. A conformidade acompanha as obrigações à sua maneira. A auditoria mantém o seu próprio registo de conclusões. O resultado é uma duplicação de esforços, terminologia inconsistente e pontos cegos que ninguém repara até que algo corra mal em dois departamentos ao mesmo tempo.
Ao interligar estes elementos, altera-se o que a auditoria consegue efetivamente identificar. Em vez de analisar uma constatação isoladamente, os auditores podem identificar a forma como essa constatação se relaciona com uma categoria mais ampla de risco empresarial, se estão a surgir falhas de controlo semelhantes noutras unidades de negócio e se as medidas corretivas estão efetivamente a ser implementadas ou se estão apenas a ser marcadas como «encerradas» no papel.
Transformar as conclusões das auditorias em informação sobre riscos
Uma única constatação de auditoria, por si só, não diz grande coisa. É um instantâneo de um controlo, num processo, num determinado momento.
Mas quando essa constatação é associada às categorias de risco da empresa, ligada a um processo empresarial específico, relacionada com a sua causa principal e acompanhada ao longo do processo de correção, torna-se algo mais útil: um ponto de dados num padrão muito mais vasto.
É nesse reconhecimento de padrões que o verdadeiro valor se revela. Falhas de controlo recorrentes em várias regiões. Fraquezas sistémicas num determinado processo. Problemas que continuam a ser «corrigidos» sem nunca serem realmente resolvidos. Nada disso é visível quando as conclusões ficam confinadas a relatórios isolados.
Esta é a diferença prática entre relatar o que aconteceu e explicar por que é que isso continua a acontecer e, o que é ainda mais útil, o que fazer a seguir.
Os relatórios de auditoria também têm de mudar
Os conselhos de administração e os executivos não têm falta de dados. O que lhes falta é capacidade de síntese. Um relatório de 40 páginas repleto de conclusões e classificações individuais não indica a um diretor financeiro qual é, na realidade, a tendência da exposição ao risco da organização.
Os relatórios de auditoria modernos têm de partir de uma análise aprofundada, e não de meras observações. Isso significa dar prioridade a:
- Os poucos temas de risco que mais importam neste momento
- Causas profundas que abrangem várias funções, e não apenas um departamento
- Se a eficácia dos controlos está a melhorar ou a diminuir ao longo do tempo
- Recomendações diretamente ligadas a decisões empresariais, e não a formulações genéricas do tipo «reforçar os controlos»
Quando bem feito, isto transforma o relatório de auditoria de um mero documento de conformidade em algo que os executivos realmente lêem e sobre o qual tomam medidas. Além disso, reposiciona a auditoria interna como um consultor, e não apenas como um avaliador.
A garantia integrada não significa perder a independência
Existe uma preocupação comum de que uma colaboração mais estreita com as equipas de risco e conformidade comprometa a independência da auditoria. Na prática, quando bem feita, tem o efeito contrário.
A garantia integrada consiste na utilização de dados partilhados para:
- Reduzir a repetição de testes nas três linhas de produção
- Identificar as lacunas na cobertura do seguro
- Direcionar os recursos limitados de auditoria para as áreas com maior risco efetivo
A auditoria continua a desempenhar o seu papel independente: questionar pressupostos, verificar se os processos de gestão de risco funcionam efetivamente e apresentar relatórios sem preconceitos. A partilha de dados não substitui o julgamento independente. Significa apenas que esse julgamento se baseia numa visão mais abrangente da situação.
O papel da tecnologia e da IA na auditoria moderna
Nada disto funciona sem a infraestrutura adequada. As plataformas integradas de gestão de risco proporcionam às áreas de auditoria, risco e conformidade um ambiente único, onde as conclusões, os riscos e os controlos se interligam, em vez de ficarem dispersos em folhas de cálculo paralelas. Mais de 1 300 organizações utilizam o Archer®, incluindo metade das empresas da Fortune 500 e 37 dos 50 maiores bancos mundiais.
As plataformas deste nível suportam normalmente:
- Gestão centralizada das auditorias ao longo de todo o ciclo de vida, desde o planeamento até ao acompanhamento de questões
- Relação direta entre conclusões, riscos e controlos
- Painéis em tempo real, em vez de relatórios estáticos com dados de há um trimestre
- Fluxos de trabalho automatizados que reduzem a documentação manual
A IA acrescenta mais uma camada a essa base. Deteta anomalias em grandes conjuntos de dados, permite uma monitorização contínua e agiliza a documentação e os testes que antes consumiam horas da semana de um auditor.
Dito isto, a IA é uma ferramenta de apoio, não um substituto do discernimento. Funciona melhor quando é devidamente regulada, com uma supervisão clara e auditores que continuam a aplicar o ceticismo profissional ao que a tecnologia revela. Um modelo que sinalize uma anomalia continua a precisar de um ser humano para decidir se isso é realmente relevante. Essa é a diferença entre uma conclusão de auditoria que se pode defender perante um examinador e uma que apenas se pode explicar.
O que isto significa para os auditores internos
O conjunto de competências está a mudar. Os conhecimentos técnicos de controlo e os fundamentos de contabilidade continuam a ser requisitos mínimos, mas já não são suficientes por si só.
Os auditores que se destacam neste ambiente tendem a reunir:
- Princípios sólidos de gestão de risco
- Facilidade no manuseamento de dados e ferramentas de análise
- Uma compreensão real de como a empresa funciona na prática, e não apenas como deveria funcionar no papel
- A capacidade de explicar de forma clara conclusões complexas a executivos que não pertencem à área da auditoria
- Suficiente domínio técnico para trabalhar em conjunto com a IA e as plataformas integradas, e não à margem delas
Atualmente, esta é uma função multidisciplinar. É, em parte, auditor, em parte analista e, em parte, mediador entre as conclusões técnicas e as decisões empresariais.
Conclusão
A auditoria interna não é uma despesa geral opcional, nem se trata de um exercício de conformidade realizado uma vez por ano. As organizações que integram a auditoria num ecossistema de risco partilhado, em vez de a gerirem como uma função isolada, obtêm alertas mais precoces sobre riscos emergentes e decisões mais bem fundamentadas ao mais alto nível.
O valor desta função, daqui para a frente, não será avaliado pelo número de auditorias concluídas. Será avaliado pela medida em que os resultados das auditorias influenciaram efetivamente uma decisão.
Se estiver a definir como será esse modelo interligado para a sua própria função de auditoria, veja como a Archer integra a auditoria, o risco e a conformidade em dados e taxonomias partilhados.
Saiba mais em https://www.archerirm.com/audit-management
Perguntas frequentes
O que é um ecossistema de risco integrado na auditoria interna?
Um ecossistema de risco integrado é uma estrutura interligada em que as funções de auditoria, gestão de riscos e conformidade partilham dados, taxonomias e estruturas de reporte, em vez de operarem em silos separados. Proporciona à auditoria interna visibilidade sobre a forma como as constatações individuais se relacionam com os riscos empresariais mais amplos, em vez de analisar cada constatação isoladamente.
Em que medida a auditoria interna difere da monitorização contínua dos riscos?
A auditoria interna tradicional baseia-se em intervenções programadas e revisões periódicas, normalmente de acordo com um plano anual. A monitorização contínua de riscos utiliza dados em tempo real ou quase em tempo real para acompanhar o desempenho dos controlos e os riscos emergentes entre auditorias formais, permitindo que as equipas ajustem as prioridades à medida que as condições mudam, em vez de esperarem pela próxima revisão programada.
A utilização de dados de risco partilhados compromete a independência da auditoria interna?
Não. Quando implementados corretamente, os dados partilhados reforçam a independência, em vez de a comprometerem. A auditoria interna continua a realizar testes independentes, a questionar pressupostos e a apresentar relatórios sem preconceitos. O acesso a dados partilhados sobre riscos e conformidade proporciona simplesmente aos auditores um melhor contexto, ajudando-os a direcionar os recursos para áreas de maior risco, em vez de distribuírem a cobertura de forma uniforme, independentemente da exposição real.
Que competências precisam os auditores internos para o futuro da auditoria interna?
Os conhecimentos em controlo técnico e os fundamentos de contabilidade continuam a ser a base, mas já não são suficientes por si só. Os auditores internos precisam, cada vez mais, de conhecimentos básicos sobre gestão de risco, de se sentirem à vontade com dados e ferramentas analíticas, de uma compreensão prática do funcionamento do negócio, da capacidade de explicar as conclusões a executivos que não pertencem à área da auditoria e de fluência técnica suficiente para trabalhar em conjunto com a IA e plataformas integradas de gestão de risco.
