As três linhas de defesa no IFPR

Entraremos agora num dos principais assuntos no que tange a governança e a gestão: as três linhas de defesa. E por que essas linhas são importantes? Elas são a base, seja legal ou de boas práticas, para a configuração do controle interno de qualquer instituição pública ou privada. No caso, as instituições públicas, principalmente TCU (Tribunal de Contas da União) e CGU (Controladoria Geral da União), dedicadas ao controle interno e governança, utilizam as três linhas de defesa como base para seus normativos.

A primeira linha de defesa é a etapa trivial do controle interno. Ela é executada pelo dono do processo. Geralmente os controles são feitos concomitantemente com a elaboração do produto ou prestação do serviço. Por exemplo, se o IFPR faz uma compra, os controles relativos básicos ao processo de compra podem ser executados pelos servidores da área. No mesmo processo de compra pode-se ter controles do setor financeiro. Todos esses controles, que geralmente são concomitantes à execução do processo e abarcam todos os produtos ou serviços, dizem respeito à primeira linha de defesa.

A segunda linha de defesa se refere às estruturas que supervisionam e orientam a execução dos controles na primeira linha de defesa. São exemplos de segunda linha de defesa o compliance, gestão de riscos, Pró-reitorias. Muitas vezes um setor que atua como segunda linha de defesa em alguns processos pode não atuar em outros. Via de regra, processos estratégicos para instituição devem possuir a primeira e a segunda linha de defesa.

A terceira linha de defesa, também conhecida como Auditoria Interna, também é responsável pela supervisão dos controles internos. Há duas grandes diferenças entre a segunda linha de defesa e a Auditoria Interna. A primeira é a sua autonomia. A opinião da Auditoria Interna deve ser isenta, não sofrendo influência de qualquer um dos stakeholders. A segunda diferença é que o principal cliente da Auditoria Interna é o conselho superior, onde cada stakeholders deve ter sua representação. Por fim, a auditoria deve tratar somente dos processos que possuem relevância estratégica para instituição.

Abaixo temos um modelo (adaptado a partir do modelo do Instituto dos Auditores Interno do Brasil) do que são as três linhas de defesa no IFPR*:

No modelo acima, a primeira linha de defesa compreende as Direções, Coordenações, Seções e os servidores em geral. Essas instâncias lidam com os processos no cotidiano e executam muitos controles concomitantes à medida que vão prestando o serviço (processo, atividade ou tarefa). É interessante observar que essa primeira linha está se reportando em termos de controle interno à alta gestão (basicamente o CGRC - Comitê, Riscos e Controles e ao CODIR - Colégio de Dirigente). É importante observar que a composição do CGRC e o CODIR são similares. O CODIR é composto pelo Reitor, Pró-reitores, Diretores Gerais dos Campi e Diretorias Sistêmicas. Já o CGRC tem a mesma composição, tendo adicionalmente os Diretores Gerais dos Campi Avançados. O CODIR é um órgão consultivo de apoio ao processo decisório da Reitoria. O CGRC é um órgão normativo e consultivo de assessoramento à Reitoria no que cabe a sistematização de práticas relacionadas à governança, gestão de riscos e controles Internos. Colocamos o Reitor como alta gestão por ser a autoridade máxima do órgão e muitas vezes atua tendo que arcar com o ônus e o bônus de algumas decisões individuais, mesmo tendo muitas das suas decisões respaldadas pelos demais membros da alta gestão.

A segunda linha de defesa é composta pela Reitoria, Gabinete e Pró-reitorias, Direção Geral dos Campi, Diretorias Sistêmica. Essa linha tem como missão orientar e supervisionar a primeira linha de defesa em termos de controle e governança. É nítido que muitos dos atores que fazem parte da primeira linha de defesa o fazem também na segunda linha: é o caso das diretorias e diretorias sistêmicas. As Pró-reitorias e Diretores de Campi atuam na segunda linha de defesa e ao mesmo tempo fazem parte da alta gestão na composição CGRC e CODIR. Isso é perfeitamente normal e faz parte do esforço intenso de ajustar os controles internos, mas ao mesmo tempo é praticamente impossível a isenção desses setores quando emitem opinião referente a sua área de atuação. Para preservar essa isenção é que existe a terceira linha de defesa: auditoria interna.

A Auditoria Interna, mais conhecida como terceira linha de defesa, possui como característica a sua autonomia (muitos normativos chamam de independência), mas independente do termo, a AUDIN (como é chamada a Auditoria Interna no Instituto Federal no IFPR) deve emitir uma opinião isenta, sem receber qualquer tipo de pressão por parte da alta gestão ou de qualquer outro stakeholder. A auditoria interna pode auxiliar a alta gestão, inclusive com assessoramento e consultoria, no entanto, a sua participação vai até o limite em que não comprometa sua objetividade. A auditoria presta contas ao conselho, ajudando a monitorar a primeira e a segunda linha de defesa, emitindo uma opinião isenta para os conselheiros (CONSUP).

O Conselho mais importante do IFPR é o CONSUP (Conselho Superior). Os demais Conselhos (CONSAP - Conselho de Administração e Planejamento e o CONSEPE - Conselho de Ensino, Pesquisa e Extensão, possuem características da atuação por delegação do CONSUP e ambos possuem caráter operacional. A AUDIN presta conta dos seus trabalhos ao CONSUP. A razão da Auditoria prestar contas ao Consup é que este é o conselho que concentra as decisões mais importantes e é representado pela totalidade do stakeholders do IFPR. Relembrando que a AUDIN tem que se reportar a todos os stakeholders e todos devem ser tratados igualmente. Se a Auditoria se reportasse à Alta Gestão, apenas a gestão teria acesso à AUDIN, provocando assimetria de informações e um tratamento desigual.

* Neste modelo a alta administração / gestão aparece como a gestão executiva do órgão, ao contrário do que mencionamos na seção de vídeos em que a alta gestão / administração foi colocada, principalmente, como órgão de governança. Os termos "alta gestão" e "alta administração" pode ser usado em ambos os casos, o que temos que ter em mente é diferença entre órgãos de governança e a gestão. Estes fazem, "executam" a gestão e aqueles ditam as regras e monitoram as ações da gestão. A gestão pode ser uma pessoa ou grupo de pessoas, já os órgãos de governança devem ter representantes de todas as partes interessadas - stakeholders ).

Acesse também os materiais complementares:

Conteúdo audiovisual 3

Instrução Normativa Conjunta nº 01, de 10 de maio de 2016

Declaração de posicionamento do IIA: as três linhas de defesa no gerenciamento eficaz de riscos e controles

As 3 linhas de defesa

IN 01/2016 CGU/MP

(Passe o mouse)

Art. 3o Os órgãos e entidades do Poder Executivo federal deverão implementar, manter, monitorar e revisar os controles internos da gestão, tendo por base a identificação, a avaliação e o gerenciamento de riscos que possam impactar a consecução dos objetivos estabelecidos pelo Poder Público. Os controles internos da gestão se constituem na primeira linha (ou camada) de defesa das organizações públicas para propiciar o alcance de seus objetivos.Esses controles são operados por todos os agentes públicos responsáveis pela condução de atividades e tarefas, no âmbito dos macroprocessos finalísticos e de apoio dos órgãos e entidades do Poder Executivo federal. A definição e a operacionalização dos controles internos devem levar em conta os riscos que se pretende mitigar,tendo em vista os objetivos das organizações públicas. Assim, tendo em vista os objetivos estabelecidos pelos órgãos e entidades da administração pública, e os riscos decorrentes de eventos internos ou externos que possam obstaculizar o alcance desses objetivos, devem ser posicionados os controles internos mais adequados para mitigar a probabilidade de ocorrência dos riscos, ou o seu impacto sobre os objetivos organizacionais.

BUY NOW