As quatro etapas de elaboração do PAINT

O MOT descreve o caminho de elaboração do PAINT em quatro etapas encadeadas, com uma lógica que se repete depois no planejamento de cada auditoria. Este guia percorre as quatro, do entendimento da unidade auditada até a seleção dos trabalhos que entram no plano.

A lógica das quatro etapas

Para a elaboração do plano, o MOT descreve basicamente a estrutura da ISO 31000 em quatro etapas. A lógica é intuitiva e encadeada: você entende como a unidade funciona, define o que pode auditar, avalia o risco de cada objeto e, só então, escolhe o que entra no plano.

1. Entendimento da unidade auditada

Quanto mais você conhece algo, maior a sua capacidade de identificar riscos. Um auditor é, em essência, um analista: precisa de capacidade crítica para entender o contexto, e só consegue isso se entender como a unidade em que atua funciona no dia a dia.

A finalidade da etapa é adquirir conhecimento sobre a unidade auditada: seus objetivos, suas estratégias, os meios pelos quais monitora seu desempenho, e os processos de governança, gerenciamento de riscos e controles internos. Com isso, a unidade de auditoria consegue identificar as áreas de maior relevância, os principais riscos e recomendar medidas que de fato contribuam para o aperfeiçoamento da gestão.

As fontes de informação mais comuns são o conselho, a alta administração e as áreas responsáveis. Muitas vezes o ponto de partida é uma denúncia.

Top-down e bottom-up

Esse entendimento pode ser construído de duas formas:

• Top-down — você parte dos objetivos até chegar nas atividades.
• Bottom-up — você parte das atividades até chegar nos objetivos.

As duas levam ao mesmo resultado: mapear os principais processos e atividades. Isso é fundamental porque os riscos são identificados a partir de objetivos e processos.

Um exemplo concreto

Imagine uma sorveteria. Pelo caminho top-down: um objetivo estratégico é produzir um sorvete de qualidade, capaz de satisfazer os clientes. O que pode impedir isso? Uma produção deficiente (evento de risco), tendo como consequência a insatisfação do cliente. E o que causaria essa produção deficiente? Matérias-primas de baixa qualidade (causa). Mapeado o risco, já se enxergam os testes possíveis: verificar se as matérias-primas chegam na qualidade esperada, se a receita prevista está sendo seguida, se os clientes estão satisfeitos.

Pelo caminho bottom-up: chega uma denúncia de que o sorvete estava estragado. A partir dessa atividade no menor nível, você reconstrói o caminho para trás: o que pode gerar um sorvete estragado? Acondicionamento inadequado, produção inadequada, problema na entrega. E assim você chega aos processos de armazenamento e de entrega, até alcançar o objetivo.

2. Definição do universo de auditoria

Com o entendimento em mãos, a unidade define o universo de auditoria: o conjunto de objetos sobre os quais ela pode realizar trabalhos. É, em uma frase, tudo aquilo que você pode auditar.

Só é possível definir bem esse universo depois de entender a unidade. Se você quer organizar os objetos por processos, a unidade precisa ter processos mapeados; se ela só tem organograma, você começa organizando por setores. Este tema tem detalhes suficientes para um guia próprio: veja universo de auditoria e fatores de risco.

3. Avaliação da maturidade da gestão de riscos

Definidos os objetos, a unidade avalia a maturidade da gestão de riscos da unidade auditada. O MOT define essa maturidade como o grau em que a organização se encontra em relação à adoção e aplicação da abordagem de gestão de riscos, ou seja, se dispõe de gerenciamento de riscos formalizado e se os princípios, estruturas e processos existem e estão integrados aos processos de gestão. Esse grau varia desde a ausência de maturidade formal até uma gestão de riscos totalmente incorporada às operações.

A finalidade é obter uma visão geral de quanto a administração e o conselho avaliam, gerenciam e monitoram riscos de forma harmoniosa com o arcabouço técnico adotado pela organização.

Os dois cenários

• Maturidade alta — a unidade de auditoria se apropria desse conhecimento: cadastra os riscos, se julgar confiável, e avalia o próprio processo de gestão de riscos, incorporando tudo ao plano.
• Sem gestão de riscos formalizada — a unidade terá de fazer um planejamento alternativo baseado em fatores de risco, ou ir a campo identificar riscos por conta própria.

4. Seleção dos trabalhos

Por fim, a unidade seleciona os trabalhos segundo o nível de risco atribuído a cada objeto, priorizando aqueles em que ela tem maior capacidade de adicionar valor. É essa a essência do planejamento baseado em riscos: um planejamento que identifica os riscos e considera prioritários os objetos com maior nível de risco.

A auditoria não substitui o gestor

Há um cuidado importante nesse processo. Mesmo quando a unidade de auditoria mapeia processos, identifica riscos e atribui níveis de risco por conta própria, esse trabalho é dela, para consumo próprio, com o objetivo de direcionar seus trabalhos.

Ela não pode substituir o gestor. Não cabe simplesmente entregar todo esse mapeamento para a gestão, porque quem deve definir o apetite a risco da gestão é a própria gestão. Do contrário, a unidade perderia a objetividade e a independência: como criticaria depois um mapeamento de processos que ela mesma fez?

Perguntas frequentes

Quais são as etapas de elaboração do PAINT?

Entendimento da unidade auditada, definição do universo de auditoria, avaliação da maturidade da gestão de riscos e seleção dos trabalhos.

Qual a diferença entre a abordagem top-down e a bottom-up?

Top-down parte dos objetivos até as atividades; bottom-up parte das atividades até os objetivos. As duas chegam ao mesmo resultado.

O que a unidade faz quando a maturidade de gestão de riscos é alta?

Ela se apropria desse conhecimento, cadastra os riscos se julgar confiável e avalia o próprio processo de gestão de riscos.

E quando não existe gestão de riscos formalizada?

A auditoria faz um planejamento alternativo baseado em fatores de risco, ou vai a campo mapear por conta própria. É o cenário mais comum.