Gestão empresarial · Auditoria Interna e GRC
A camada de GRC sobre o Compliance Control: universo auditável priorizado por risco, plano anual aprovado pelo comitê, trabalhos com programa e papéis de trabalho revisados, achados com plano do gestor e follow-up, três linhas de defesa declaradas, indicadores de risco com limite de apetite lidos dos módulos reais e as bibliotecas de ISO 27001, COSO e SOX mapeadas nos controles que a empresa já tem.
O problema e a saída
Se alguma dessas situações parece familiar, é porque elas se repetem em quase toda empresa de formatura, até o sistema certo entrar em cena.
A auditoria interna é uma planilha com achados soltos, e ninguém sabe se o plano anual foi cumprido.
Universo auditável com risco por processo, plano anual versionado e aprovado, trabalhos com status e execução do plano medida no painel.
O achado é anotado, o gestor concorda na reunião e seis meses depois nada mudou.
Achado com recomendação, plano do gestor, prazo e dono, virando ação no mesmo fluxo de remediação que o Compliance já usa, com follow-up automático e alerta de vencido.
Quem testa o controle é da mesma área que executa o controle.
Independência checada pela segregação de funções que já existe: o auditor não executa procedimento sobre controle da própria área, e a exceção precisa ser registrada.
O conselho pede indicadores de risco e recebe opinião com cor de semáforo.
Indicadores calculados por fórmula nomeada em código, lendo inadimplência, chargeback, incidentes graves, rotatividade, acidentes e não conformidades críticas, com apetite e tolerância declarados.
A certificação pede a Declaração de Aplicabilidade, e ela é montada à mão toda vez.
Bibliotecas de ISO 27001, COSO e SOX carregadas por empresa e mapeadas para os controles internos, com a declaração gerada da matriz e a pendência explícita do item excluído sem justificativa.
Na prática
Situações do dia a dia de empresas de formatura, do problema ao resultado, usando os módulos que você vê nesta página.
A empresa precisa decidir o que auditar no ano com o time que tem.
O universo auditável recebe risco inerente por processo e unidade. O plano é montado a partir dessa priorização, versionado e aprovado na pauta do comitê.
A escolha do que auditar fica explicada, e a execução do plano vira indicador do período.
O auditor precisa provar o que testou, com amostra e evidência.
O trabalho tem programa com procedimentos, papéis de trabalho com amostra, evidência anexada, conclusão e revisão por outra pessoa. Achado vira ação com dono e prazo.
O relatório sai com rastro completo, e o follow-up cobra sozinho quando o prazo vence.
A inadimplência passa do limite que o conselho aceitou.
A medição diária compara o valor com o apetite e a tolerância. Fora da faixa, o monitoramento contínuo abre alerta e o painel do conselho mostra a tendência.
A conversa na reunião começa pelo número e pela série histórica, não pela impressão do mês.
Como funciona
Cada etapa é um módulo de verdade, e o que sai de uma entra na outra sem ninguém digitar de novo.
Módulo por módulo
7 módulos e 35 recursos nesta página, o mesmo cadastro de turma, formando e evento sustentando todos eles.
O que pode ser auditado, e o que será auditado este ano.
O teste que aconteceu, com a prova de que aconteceu.
O que foi encontrado vira mudança, com prazo.
Quem executa, quem monitora e quem audita, declarados.
Risco medido com dado do próprio sistema.
A norma ligada ao controle que você já tem.
O retrato que vai para a reunião, com data e origem.
Compare os módulos e escolha a configuração que acompanha sua operação.