A Falácia das Auditorias de Follow-up

Durante meus primeiros anos na profissão, na qualidade de jovem auditor interno, sempre me orgulhei de meus relatórios, principalmente das descobertas e recomendações. Então, elaborar um novo relatório de auditoria era motivo de comemoração. Mas nada era mais desmoralizante do que quando eu invariavelmente fazia uma auditoria de acompanhamento, só para descobrir que minhas recomendações ou planos de ação gerencial cuidadosamente elaborados nunca sequer foram implementados. Afinal, a administração concordou com as ações corretivas propostas (ou havia proposto suas próprias ações corretivas) para corrigir os problemas identificados em minhas auditorias. Então, por que tão frequentemente falhavam em seguir adiante?

Sempre houve muitas desculpas da administração quando as auditorias de acompanhamento revelavam que “os problemas não haviam sido corrigidos”:

• “Subestimamos a complexidade da ação que concordamos em executar.”
• “Não percebemos quanto tempo levaria para implementar as ações prometidas.”
• “As circunstâncias mudaram e as ações acordadas não são mais válidas.”
• “Acontece que não temos recursos para corrigir os problemas.”
• “O cachorro comeu nosso dever de casa, etc.”

Acabei criando pavor de auditorias de acompanhamento, porque os resultados eram muitas vezes decepcionantes. Quando me tornei executivo-chefe da auditoria (CAE), questionei seriamente, como um todo, o valor das auditorias de acompanhamento. Raramente achava que eram um uso eficiente dos recursos de auditoria interna. Afinal, o que gerava maior impacto para a organização: abordar novas áreas de alto risco ou revisitar as áreas às quais já dedicamos recursos há apenas alguns meses? Mesmo quando descobrimos que tudo havia sido corrigido, sentia que meus recursos limitados poderiam ter sido aproveitados melhor.

Como auditor governamental na época, eu realmente não tinha escolha se fazíamos ou não as auditorias de acompanhamento. Elas eram obrigatórias, de acordo com nossas normas profissionais, e exigidas pelos regulamentos. Felizmente, hoje, as Normas Internacionais para a Prática Profissional de Auditoria Interna do The IIA fornecem uma latitude muito maior quanto às auditorias de acompanhamento. O foco mudou do produto resultante da recomendação (auditorias de acompanhamento) para os resultados decorrentes da recomendação implantada (disposição apropriada das descobertas e recomendações em nossos relatórios).

A Norma 2500 do The IIA: Monitoramento do Progresso aborda as responsabilidades dos auditores internos em relação à disposição de nossas descobertas e recomendações. Ela declara:

O executivo-chefe de auditoria deve estabelecer e manter um sistema para monitorar o tratamento dado aos resultados comunicados à administração.

2500.A1 – O executivo-chefe de auditoria deve estabelecer um processo de acompanhamento para monitorar e assegurar que as ações da administração tenham sido eficazmente implantadas ou que a alta administração tenha aceitado o risco de não se tomar nenhuma ação.

Em nenhum lugar da norma aparecem as palavras “auditoria de acompanhamento”. Em vez disso, a ênfase está em um “processo de acompanhamento”. O The IIA dá mais detalhes sobre como esses processos podem ser elaborados e implantados no Guia de Implantação da Norma 2500. Para elaborar tal processo, a orientação enfatiza de forma apropriada que os auditores internos “solicitem informações da administração sobre formas de criar um processo eficaz e eficiente de monitoramento”. A orientação observa que o processo de monitoramento pode ser “sofisticado ou simples”, dependendo do tamanho e da complexidade da função de auditoria interna e da organização a que serve.

A orientação do The IIA claramente oferece alternativas às auditorias de acompanhamento obrigatórias que muitos de nós já tínhamos penado para fazer no passado. Inclusive, afirma:

“… alguns CAEs podem optar por perguntar periodicamente, como trimestralmente, sobre o status de todas as ações corretivas que deveriam ser concluídas no período anterior. Outros podem optar por realizar trabalhos periódicos de acompanhamento para as auditorias com recomendações significantes, para avaliar especificamente a qualidade das ações corretivas tomadas. Outros podem optar por acompanhar as ações pendentes durante uma auditoria futura, programada para a mesma área da organização. A abordagem é determinada com base no nível de risco atribuído, bem como a disponibilidade de recursos.”

Conforme a orientação aponta, alguns CAEs podem ainda optar por realizar auditorias de acompanhamento, especialmente para descobertas anteriores que tenham sinalizado riscos significantes para a organização. Também reconheço que, em alguns casos, a administração, comitês de auditoria ou reguladores podem querer que a auditoria interna realize auditorias de acompanhamento rotineiras. Nesses casos, recomendo uma abordagem muito prática antes de realizar auditorias de acompanhamento, que garante o uso mais inteligente dos escassos recursos da auditoria interna. Antes de agendar uma auditoria de acompanhamento, eu me perguntaria se:

• A administração informou que a ação corretiva foi concluída? Eu nunca começaria uma auditoria de acompanhamento sem perguntar antecipadamente à gerência: “vocês implementaram as ações corretivas acordadas?” Se não, provavelmente precisamos perguntar por que a ação corretiva está atrasada, mas ainda não é hora de um trabalho de acompanhamento. Não há necessidade de uma auditoria de acompanhamento, quando você já sabe que algo ainda está “quebrado”.
• A gerência da área sob análise já tentou enganar a auditoria interna sobre a integralidade das ações corretivas ou sobre outras questões de auditoria? Se assim for, isso é um tremendo alerta vermelho que claramente justifica uma auditoria de acompanhamento. No entanto, se o seu cliente for confiável e você tiver um relacionamento de trabalho aberto e sincero, você pode aceitar sua afirmação de que as ações corretivas foram implantadas. Se os problemas forem de alto risco, talvez você ainda queira fazer um acompanhamento seletivo ou por amostragem, para garantir que a afirmação da administração esteja correta.
• A ação corretiva planejada foi tão complexa que provavelmente resultaria em problemas imprevistos? Os controles têm alta probabilidade de falhar quando os processos estão sendo alterados; e quando mudanças complexas estão sendo feitas, podem ser necessárias revisões adicionais. Mas se as ações corretivas planejadas são relativamente diretas, os erros são menos prováveis e pode não haver motivo para uma revisão.
• Apontamentos repetidos são prováveis? Se você conhece bem seus clientes, talvez conheça alguns gerentes que tendem a cometer os mesmos erros ou que parecem subestimar a importância dos controles internos. Quando um cliente está propenso a erros ou quando, muitas vezes, têm apontamentos repetidos, os riscos são maiores. Mas, se as operações forem bem controladas e o cliente reportar que a ação corretiva foi concluída, você poderá pular a visita de acompanhamento.
• A auditoria de acompanhamento é exigida pelo comitê de auditoria ou por regulamentos? Conforme observado anteriormente, alguns comitês de auditoria insistem em auditorias de acompanhamento, principalmente aquelas com descobertas de maior risco. Se o CAE acredita que essa expectativa está levando ao uso ineficiente dos recursos de auditoria interna, sugiro uma conversa franca com a administração e com o comitê de auditoria, descrevendo disposições alternativas, conforme descrito no guia de implantação do The IIA para a Norma 2500. Mas a decisão é, em última análise, do conselho — não nossa.

Se, depois de uma avaliação cuidadosa, as auditorias de acompanhamento muitas vezes parecerem justificadas, pode ser válido se perguntar por que os planos de implantação da sua organização continuam não sendo cumpridos. Suas recomendações foram vagas? Você não foi convincente? Você deixou de ouvir a administração ou de levar a sério suas objeções? As recomendações ou planos de ação gerencial são pouco claros ou não específicos? Existe uma cultura de não conformidade dentro da organização?

Obviamente, é melhor encontrar erros repetidos do que ignorá-los e, às vezes, isso pode significar que uma auditoria de acompanhamento é necessária. Mas descobertas repetidas são, frequentemente, tanto uma falha da auditoria interna quanto da administração. Se precisarmos com frequência de auditorias de acompanhamento para garantir que o trabalho foi feito, precisamos chegar à causa raiz. É melhor prevenir falhas de acompanhamento do que detectá-las após o fato.

É hora de reconhecer que o objetivo final não é um monte de auditorias de acompanhamento. Em vez disso, o objetivo é que as ações corretivas sejam implantadas e que um sistema de monitoramento esteja em vigor para proporcionar essa garantia.

Como sempre, este blog representa minhas opiniões e não deve substituir a orientação formal do The IIA. Mas espero que isso leve você a repensar quaisquer processos desatualizados que possa ter em prática.

Aguardo suas opiniões sobre esse importante assunto.

(fonte: https://global.theiia.org/)

Divulgação:
Richard F. Chambers, presidente e CEO do Global Institute of Internal Auditors, escreve artigos semanais para a InternalAuditor.org sobre assuntos e tendências relevantes para a profissão de auditoria interna.