Quem gere o risco de tesouraria?

O setor segurador está habituado a olhar para o risco através da lente da subscrição, da sinistralidade, do capital e da solvência. É aí que tradicionalmente se concentram as atenções dos órgãos de gestão e fiscalização, das funções-chave e dos reguladores/supervisores. Afinal, é a capacidade de assumir e gerir riscos que define o negócio segurador.

Mas talvez uma das perguntas mais relevantes para as empresas de seguros seja surpreendentemente mais simples. E se o próximo incidente com impacto relevante não resultar de um grande sinistro, de um evento climático extremo ou de uma insuficiência de capital? E se resultar de uma falha de controlo interno na tesouraria?

À primeira vista, a ideia pode parecer excessiva. A tesouraria continua a ser frequentemente encarada como uma função operacional, responsável pela gestão de pagamentos, recebimentos, contas bancárias e posição de caixa. Contudo, essa visão já não corresponde à realidade.

Num contexto marcado pela digitalização, pela crescente sofisticação dos esquemas de fraude e pela aceleração dos processos financeiros, a tesouraria transformou-se numa das funções mais críticas de qualquer organização. Nas empresas de seguros, onde diariamente circulam milhões de euros entre clientes, beneficiários, hospitais, oficinas, prestadores de serviços, mediadores, resseguradores e instituições financeiras, uma falha de controlo pode ter consequências muito para além da dimensão financeira.

A verdade é que os riscos associados à tesouraria evoluíram significativamente. Os ataques deixaram de depender da violação de sistemas complexos ou de conhecimentos técnicos avançados. Hoje, muitas fraudes exploram algo muito mais simples. Exploram a confiança.

Uma alteração fraudulenta de dados bancários, uma ordem de pagamento aparentemente legítima, um pedido urgente proveniente de uma identidade falsificada ou um acesso inadequadamente atribuído podem ser suficientes para desencadear um incidente com impacto relevante.

A questão já não é saber se uma empresa de seguros será alvo de uma tentativa de fraude. A experiência mostra que essa hipótese deve ser considerada uma inevitabilidade. A verdadeira questão é outra. Os controlos internos existentes serão capazes de a impedir ou de a detetar atempadamente?

O mais interessante é que a maioria dos incidentes significativos não resulta de circunstâncias extraordinárias. Resulta frequentemente de fragilidades básicas que permanecem durante anos sem serem verdadeiramente questionadas.

Um processo excessivamente manual. Uma validação insuficiente. Um acesso que nunca foi revisto. Uma acumulação excessiva de responsabilidades numa única pessoa. Uma reconciliação que deixou de ser efetuada com o rigor necessário.

Na maioria dos casos, os problemas não começam com tecnologia. Começam com processos.

É por isso que a discussão sobre controlo interno em tesouraria não deve ser encarada como um exercício de conformidade regulatória. Trata-se de um tema estratégico que influencia diretamente a capacidade de uma empresa de seguros proteger os seus ativos, garantir a fiabilidade da informação financeira e preservar a confiança dos seus stakeholders.

Esta realidade torna-se ainda mais evidente quando pensamos na crescente dependência tecnológica das organizações. Existe uma perceção generalizada de que a automação reduz automaticamente o risco operacional. Em parte, é verdade. Os erros manuais diminuem, os processos tornam-se mais rápidos e a eficiência aumenta.

Mas a tecnologia também altera a escala dos riscos. Um processo manual mal executado pode gerar um erro isolado. Um processo automatizado mal controlado pode replicar esse mesmo erro milhares de vezes em poucos minutos.

Da mesma forma, um acesso inadequadamente configurado numa plataforma de banca eletrónica já não representa apenas uma vulnerabilidade operacional. Pode representar uma vulnerabilidade estratégica com impacto financeiro, reputacional e até regulamentar.

Neste contexto, um dos princípios mais antigos do controlo interno continua a ser um dos mais relevantes. A segregação de funções. A capacidade de separar responsabilidades entre quem prepara, quem aprova, quem executa e quem revê uma operação continua a constituir uma das defesas mais eficazes contra erros e fraudes. Contudo, muitas empresas de seguros enfrentam limitações organizacionais, que dificultam uma segregação ideal. Estruturas mais reduzidas, equipas especializadas ou restrições de recursos tornam inevitável algum grau de concentração de tarefas.

A resposta não pode ser ignorar o problema

A resposta passa pela implementação de controlos compensatórios robustos. Revisões independentes, validações reforçadas, autenticação multifator, monitorização contínua de operações sensíveis e mecanismos automáticos de deteção de anomalias são hoje elementos essenciais de qualquer modelo de controlo eficaz.

Mas mesmo estes mecanismos só serão verdadeiramente eficazes, se forem encarados como instrumentos de gestão e não como meras formalidades, porque o verdadeiro objetivo do controlo interno não é dificultar operações. É garantir que a organização pode confiar na informação que utiliza para tomar decisões.

Uma previsão de tesouraria incorreta pode conduzir a decisões inadequadas de investimento ou financiamento. Uma reconciliação bancária deficiente pode ocultar problemas operacionais durante semanas. Um controlo de acessos insuficiente pode abrir a porta a incidentes cujos impactos ultrapassam largamente a esfera financeira.

À medida que os riscos se tornam mais sofisticados, também os modelos de controlo terão de evoluir. O futuro passará cada vez mais pela utilização de dados, análises contínuas e monitorização em tempo real.

Não será suficiente testar amostras periodicamente. Será necessário analisar a totalidade das transações. Não será suficiente identificar problemas depois de ocorrerem. Será necessário detetar padrões de risco antes de provocarem consequências. Não será suficiente auditar. Será necessário monitorizar continuamente.

Tudo isto conduz a uma reflexão que merece estar na agenda dos órgãos de gestão e fiscalização das empresas de seguros. Continuamos a ver a tesouraria como uma função administrativa ou reconhecemos finalmente o seu papel como uma das principais linhas de defesa da organização?

A resposta poderá fazer toda a diferença, porque os clientes não conhecem os processos internos. Não analisam matrizes de risco nem modelos de controlo. Partem do princípio de que os pagamentos serão efetuados corretamente, que os sistemas funcionarão como esperado e que os seus dados estarão protegidos.

Em suma, partem do princípio de que podem confiar.

E é precisamente essa confiança que as empresas de seguros têm a obrigação de preservar.

Num setor construído sobre promessas, a tesouraria deixou de ser apenas uma função operacional. Tornou-se uma função estratégica de proteção da confiança.

E talvez a pergunta mais importante para os gestores seja: Se amanhã um atacante, um erro operacional ou um evento extremo colocar à prova os controlos internos de tesouraria, descobrirá uma organização preparada ou apenas uma sensação de segurança que nunca chegou verdadeiramente a ser testada?