Alinhamento dos conceitos do RCV

Após divulgação do convite no site da Receita Federal, foi realizada reunião para alinhamento dos conceitos do RCV, no auditório do Aeroporto Internacional de Viracopos, em Campinas/SP, para mais de 70 profissionais interessados.

A reunião foi conduzida pelos integrantes do Centro OEA, a analista tributária Elaine Costa e o auditor fiscal Danilo Invernizzi, e teve os assuntos divididos em duas partes:

1. Alinhamento dos conceitos do RCV
2. Principais incoerências encontradas nos Mapas de Risco

Alinhamento dos conceitos do RCV:

O RCV é uma ferramenta composta por 3 documentos:

1. Mapa de Risco : é uma planilha que deve ser preenchida de acordo com os preceitos da ISO 31000/2009:

Para obter mais informações sobre como preencher o Mapa de Risco, clique aqui.

2. Metodologia : é um documento escrito único , individualizado por empresa solicitante da certificação OEA, que deve conter duas partes:

• Método : indicação de quais metodologias foram utilizadas para testar a eficácia dos controles internos adotados pela empresa solicitante da certificação. Exemplos:
• Entrevistas : identificar as pessoas entrevistadas e o assunto abordado;
• Coleta de Evidências : descrever brevemente o que foi coletado, se possível, com fornecendo prints e fotos;
• Amostragem : descrever brevemente como foi feita, enviar os documentos analisados (papéis de trabalho) e descrever quais foram os critérios adotados para a definição da amostra.

• Resultados obtidos : indicação clara da conclusão obtida após a aplicação da Metodologia, para cada subcritério analisados.

3. Curriculum dos Profissionais : identificação dos profissionais que participaram do preenchimento do Mapa de Risco e da elaboração do documento Metodologia.

ATENÇÃO : O RCV deve ser composto apenas pelos três arquivos acima (Mapa de Risco, Metodologia e Curriculum). Manuais, roteiros de trabalho e fluxos de atividades não devem constar no RCV. Estes documentos devem fazer parte da fundamentação das respostas do QAA.

Principais incoerências encontradas nos Mapas de Risco

Para o preenchimento dos Mapas de Risco, prestem atenção na análise feita pelo Centro OEA com as principais incoerências encontradas naqueles já apresentados até o momento:

1) Repetição de mesmas Causas e Efeitos para Eventos de Risco diferentes : Causas são fatores que propiciam a ocorrência do evento de risco; Efeitos são derivações negativas da ocorrência do risco. Assim, caso diferentes eventos de riscos apresentem mesmas Causas e Efeitos, deve-se questionar se não existem Causas e Efeitos mais específicos que os diferencie, pois em geral, quando as Causas e Efeitos de dois riscos são iguais, é porque os riscos também são iguais.

2) Utilização de sinônimos na definição das Causas, Efeitos, Tratamentos e Monitoramentos: algumas Causas/Efeitos podem se repetir em diferentes eventos de risco, desde que haja outras específicas em conjunto. Além disso, pode ainda haver Causas que se configurem como Efeitos de outro risco. Quando isso acontecer, use sempre a mesma forma de escrita e enumere estas Causas e Efeito, respectivamente, por C1, C2... Cn e E1, E2...En. A enumeração é importante pois ela permite que seja feita relação entre Causas/Efeitos e seus respectivos Tratamentos/Monitoramentos.

3) Não envolvimento dos especialistas no processo de trabalho para determinação das Causas/ Efeitos e Controles Existentes e Propostos: Recomendam-se reuniões com a equipe de especialistas no processo de trabalho (equipes operacionais) para a determinação do rol de Causas e Efeitos de cada Evento de Risco, dos Controles Existentes e Controles a serem propostos. Quando estas pessoas não são envolvidas, os Mapas de Riscos se tornam superficiais e a análise de risco bastante limitada.

4) Incoerência na variação dos parâmetros Probabilidade e Consequência : A Probabilidade é a chance de um evento de risco acontecer. Ela está proporcionalmente relacionada às Causas, ou seja, quanto mais numerosas, maior a probabilidade de o evento de risco ocorrer. Assim, a implementação de Tratamentos eficazes sobre as Causas interfere negativamente sobre o parâmetro Probabilidade. Já a Consequência é o grau de importância dos Efeitos (dano) sobre os objetivos dos processos de trabalho, quando da ocorrência de um evento de risco. Os Tratamentos eficazes sobre os Efeitos ensejam diminuição da Consequência. Desta forma, a variação dos parâmetros, em desalinhamento com as regras descritas, configura incoerência do Mapa de Risco.

5) Incoerência nos valores dos Níveis de Risco (NR) Inerente, Residual e Futuro : o NR Residual é o atual nível de risco da empresa, obtido por meio da análise da atuação dos Tratamentos sobre as Causas e Efeitos do Evento de Risco e pela aplicação da Metodologia pelos profissionais responsáveis pela confecção do RCV. Já o NR Inerente é obtido por meio de um exercício de simulação, avaliando-se qual seria o impacto sobre a Probabilidade/Consequência do NR Residual, se houvesse a retirada dos Controles Existentes .

O NR Futuro é obtido também por meio de simulação, avaliando-se qual seria o impacto sobre a Probabilidade/Consequência do NR Residual se houvesse a implementação dos Controles Propostos.

Desta forma, podemos concluir que há incoerência no Mapa de Risco quando detectados valores de NR Inerente menor que o NR Residual ou NR Futuro maior que o NR Residual. Estes achados revelam, por exemplo, que ao serem implementados controles, o evento risco se tornaria mais provável ou que suas consequências seriam mais gravosas, o que é nitidamente um absurdo. Assim, considere, sempre:

6) Baixa importância aos Controles Propostos : uma das informações mais importantes do Mapa de Risco é a capacidade de a empresa pleiteante da certificação OEA em fazer análise de risco e admitir que existem melhoramentos a serem implementados. Assim, a inexistência de Controles Propostos é uma grave evidência ou de que a empresa não faz gerenciamento de risco ou de que este foi feito de maneira superficial. Não existem empresas perfeitas! O Programa OEA está relacionado a processos de melhoria contínua. Por outro lado, os Controles Propostos devem levar em consideração a sua execução, não devendo ser excessivos/onerosos a ponto de não poderem sem implementados na prática. Os Controles Propostos integrarão o Plano de Açã o pós certificação , que será monitorado pela equipe e-Gestão do Programa OEA.

7) Preocupação excessiva com as cores do Mapa de Risco : Mapas de Risco "verdes" são aqueles em que se percebe que o responsável pela sua confecção teve grande preocupação com o estabelecimento de Níveis de Risco Inerente, Residual e Futuro baixos. Em geral, nestes Mapas, observam-se atenuações acentuadas, principalmente, do parâmetro Consequência. Os Mapas "verdes" serão questionados pela equipe de análise, pois eles passam baixa credibilidade . O Mapa de Risco é uma das ferramentas de análise do Centro OEA; inúmeros outros relatórios serão analisados no processo de certificação, inclusive o histórico dos últimos 5 anos.