A auditoria que falta

Num mundo onde a conformidade molda o destino das empresas, há uma função essencial que continua a ser ignorada: a função-chave de cumprimento.

O próprio regime de Solvência II reconhece a sua importância, ao colocá-la entre as quatro funções-chave do sistema de governação das empresas de seguros. No entanto, a sua eficácia raramente é posta à prova, pelo menos até que algo corra mal.

Muitas vezes vista como uma resposta burocrática à regulação, a função de cumprimento opera à margem dos processos estratégicos, sem influência real sobre as decisões críticas. E sem uma auditoria interna sólida que avalie a sua independência, impacto e eficácia, corre-se o risco de confiar num mecanismo que falha precisamente quando é mais necessário.

Se a função de cumprimento só recebe atenção quando surge um problema, está na altura de mudar esta mentalidade, antes que o próximo escândalo revele a sua fragilidade.

A auditoria interna, enquanto terceira linha de defesa e função-chave em si mesma, tem o mandato claro de avaliar a adequação e eficácia do sistema de controlo interno, incluindo as outras funções-chave. No entanto, são surpreendentemente poucas as auditorias específicas, regulares e com substância que se dedicam a testar a robustez, a independência e o impacto da função-chave de cumprimento. Chegou o momento de romper com essa negligência institucionalizada.

Muitas funções de cumprimento foram construídas a reboque da regulação, mais como resposta formal do que como instrumento efetivo de gestão do risco de não conformidade. Vivem demasiado próximas das funções jurídicas, longe dos processos operacionais e distantes da estratégia. Reduzem-se, por vezes, a produzir relatórios de conformidade e manter um registo de obrigações legais, mas não desafiam ativamente as decisões que colocam a empresa em risco reputacional, ético ou regulatório.

Neste contexto, a ausência de uma revisão crítica por parte da auditoria interna torna-se particularmente grave. A função de cumprimento pode estar tecnicamente “instalada”, mas não ser funcional e/ou eficaz. O seu plano pode ser “executado”, mas não testado. O seu responsável pode ser “independente”, mas não influente. E tudo isso permanecerá invisível até à próxima inspeção do regulador ou ao próximo escândalo de não conformidade.

Uma auditoria interna eficaz à função de cumprimento deve ir além da verificação documental. Deve testar:

1. A real independência da função – Está o responsável numa posição hierárquica e funcional que lhe permita atuar sem constrangimentos?
2. A integração nos processos de decisão – É ouvido nas decisões relevantes, ou apenas informado a posteriori?
3. A abrangência e atualidade do plano de cumprimento – Reflete os principais riscos de conformidade da empresa de seguros ou é um plano de manutenção burocrática?
4. A resposta a alertas e incumprimentos – Há mecanismos efetivos de remediação? Os incidentes são tratados com rigor ou “abafados”?
5. A cultura ética e de integridade – A função-chave de cumprimento atua como catalisador de uma cultura de integridade, ou é apenas mais uma “compliance box” a ser assinalada?

A regularidade e profundidade destas auditorias internas deveria ser uma prática institucionalizada, refletida no plano anual da função-chave de auditoria interna e visada pelo órgão de administração e pela comissão de auditoria ou conselho fiscal. Num contexto de risco reputacional crescente, de greenwashing a falhas em programas de whistleblowing, o papel de guardião silencioso que a auditoria interna pode exercer sobre a função-chave de cumprimento não é apenas recomendável, é vital!

É tempo de colocar a função-chave de cumprimento sob o espelho. E ninguém está melhor posicionado para o fazer do que a função-chave de auditoria interna.

Ignorar a eficácia da função-chave de cumprimento é como confiar num alarme desligado: só se percebe quando já é tarde demais!