Melhores práticas para configurar uma estrutura de controles internos e sua implementação prática com software especializado.
O termo “controles“, originalmente utilizado no domínio GRC (Governança, Risco, Conformidade) para descrever mecanismos de gestão de riscos e garantia de conformidade, agora é aplicado de forma mais ampla ao planejamento estratégico.
Neste artigo, compartilharemos as melhores práticas para configurar controles e seu uso prático.
Introdução aos controlos internos
Em essência, um “controlo” é uma resposta ou mecanismo de prevenção utilizado para gerir o risco e assegurar a conformidade.
Exemplo de controlo: “O colaborador saiu da empresa”
- Plano de ação: Redirecionar e-mails
- Plano de ação: Notificar clientes
- Métrica de eficácia: Logins desativados [Evidence-Driven]
- Métrica de eficácia: % de clientes notificados
- Risco: Interrupção do fluxo de trabalho
Componentes de controle
Os controles têm componentes específicos:
- Definição do controle.
- Mecânicas internas para garantir que o controle funcione adequadamente (métricas, planos de ação, monitoramento).
- Os resultados da aplicação de um controle que são reportados e fornecem dados para um ciclo de aprendizado.
Do ponto de vista da automação, um controle pode ser:
- Tão simples quanto um plano de ação com métricas de progresso alinhadas ou
- Tão complexo quanto um conjunto hierárquico de controles e subcontroles, cada um com seu próprio conjunto de métricas, estimativas de risco, planos de mitigação, dependências contextuais e responsáveis.
Os controles têm áreas de aplicação específicas, definindo quando certos controles devem ser ativados.
Vamos explorar as ferramentas que podemos usar para implementar controles no planejamento estratégico.
1. Definição de controle
Na etapa inicial, nosso objetivo é mapear adequadamente as experiências passadas da equipe de gerenciamento em controles ou mecanismos formais de resposta.
Propriedades gerais
Os conceitos básicos para identificar um controle incluem atribuir a ele um nome significativo e explicar seu propósito na descrição. Defina:
- Condições que disparam o controle,
- Escopo do controle.
No BSC Designer:
- Utilize o botão Adicionar para criar um novo item.
- Identifique o controle pelos campos nome e descrição.
- Vincule o controle com metas anteriores relevantes, eventos ou requisitos regulatórios.
Documentação de suporte
No BSC Designer:
- Adicionar documentos a um controle por meio da caixa de diálogo Descrição.
- Adicionar documentos ao plano de ação do controle por meio da caixa de diálogo Iniciativas.
Propriedades personalizadas
Em BSC Designer:
- Defina as propriedades exigidas dos controles via campos personalizados.
- Os novos campos estarão disponíveis para controles, métricas e iniciativas.
Propriedade
Por exemplo, os controles de manutenibilidade de software podem automatizar atualizações, mas é necessário um especialista em TI para resolver conflitos se uma atualização falhar. No BSC Designer:
- Adicione pessoas responsáveis pelo controle como usuários; atribua a pessoa a uma equipe.
- Atribua a pessoa ou equipe como proprietário do controle através do campo Proprietário.
Os proprietários receberão notificações relevantes ao controle.
Certificação / Aprovação
No BSC Designer:
- Use campos personalizados para definir propriedades do controle, como “Estado da certificação” e “Certificado por”.
- Ao atestar os controles, a equipe de gestão pode atualizar essas propriedades.
- Use filtros em relatórios para identificar controles sem a devida certificação.
Para desativar um controle não certificado, mas mantê-lo no scorecard:
- Selecione um controle.
- Vá para a guia Desempenho.
- Ative a caixa de seleção Indicador de dados brutos.
Alinhar controles
No BSC Designer:
- Copie e cole itens entre scorecards.
- Quando solicitado, utilize a opção de conexão por contexto para vincular dois itens.
Catálogo de controles
No BSC Designer:
- Crie um scorecard dedicado a controles.
- Use uma estrutura hierárquica para organizar os controles.
- Quando necessário, copie o controle para o scorecard ativo.
2. Quantificação dos controles
Métricas de eficácia
Usar métricas para os controles torna o controle mais específico e evita diferentes interpretações. Defina métricas para acompanhar:
- Adesão aos padrões
- Eficácia do controle
- Progresso dos planos de ação
Por exemplo, no relato de incidentes:
- A métrica de eficiência pode ser “% de pessoal treinado em relato de incidentes.”
- A métrica de eficácia pode ser “% de incidentes não comunicados corretamente.”
No BSC Designer:
- Use o botão Adicionar para adicionar métricas dentro do item Controle.
Desempenho geral
No BSC Designer:
- Selecione uma métrica
- Alterne para a aba Desempenho
- Altere o peso da métrica
O desempenho/progresso do controle será exibido na coluna correspondente.
Métricas de eficiência
Dependendo do contexto, utilize métricas de tendência. Diferente das métricas de resultado, as métricas de tendência não contribuirão diretamente para o desempenho geral do controle, mas sugerirão insights valiosos para entender a eficiência do controle.
No BSC Designer:
- Selecione uma métrica
- Altere para o Contexto
- Altere o tipo da métrica para De tendência
Estimar riscos
Um controle pode incluir uma definição de risco ou estar alinhado com riscos de um registro de riscos.
A estimativa de risco pode ser:
- Um gatilho para a execução do controle ou
- Uma condição para selecionar um determinado curso de ação.
No BSC Designer:
- Criar um novo indicador
- Alterar seu tipo para ‘Risco’
- Atualizar os indicadores de Probabilidade e Impacto do risco
Controle Binário
Os possíveis estados dos indicadores binários:
- Não atribuído – a parte do controle ainda não foi executada
- Sim – para indicar que a parte do controle foi executada com sucesso
- Não – para indicar que a parte do controle não foi executada com sucesso
Exemplo: “Plano de continuidade de negócios atualizado levando em conta uma ameaça recém-identificada” pode ser automatizado com um indicador binário. No BSC Designer:
- Selecione um indicador
- Alterne para a aba ‘Geral’
- Altere suas unidades de medida para “Sim/Não”
Controle qualitativo
Indicadores qualitativos são usados para os controles quando uma estimativa quantitativa mais específica ainda não foi desenvolvida ou não é economicamente viável desenvolver uma.
Exemplo: um controle Gestão e Comunicação de Políticas pode ser avaliado com uma métrica qualitativa Eficácia da Comunicação de Políticas de Conformidade com possíveis estados:
- Altamente Eficaz (100): Os funcionários entendem claramente as políticas de conformidade.
- Moderadamente Eficaz (60): Alguns funcionários entendem as políticas.
- Ineficaz (10): Os funcionários geralmente desconhecem as políticas.
No BSC Designer:
- Selecione um indicador
- Clique no botão Editar ao lado das unidades de medida para adicionar unidades de medida personalizadas
Controle quantitativo
Para tornar os controles mais específicos, são usados indicadores quantitativos ou numéricos. Para indicadores quantitativos, podemos definir sua fórmula de desempenho, por exemplo, como o estado atual de um indicador impacta o desempenho do resultado.
Exemplo: para avaliar a eficácia da implementação de um controle específico, fazemos uma auditoria interna para rastrear o % de Conformidade com a Política. Nesse caso, a fórmula de desempenho é maximização linear, com alvo = 100%. Outro exemplo pode ser a métrica Tempo Médio para Detectar, configurada como minimização linear com alvo de 24 horas.
No BSC Designer:
- Alterne para a guia ‘Desempenho’ para definir a função de desempenho.
- Alterne para a guia ‘Dados’ para definir o estado atual do indicador, a linha de base e a meta.
Controle orientado por evidências
Indicadores de evidência alterarão seu estado de acordo com o número de documentos/evidências enviados.
Por exemplo, o controle de teste de backup e recuperação pode exigir o envio de resultados de testes ou logs como prova da execução bem-sucedida do controle.
No BSC Designer:
- Selecione um indicador
- Altere suas unidades de medida para Evidência
- Enviar documento para o indicador para alterar seu estado
3. Iniciativas para controles
Planos de ação
No BSC Designer:
- Use a ferramenta Iniciativa para adicionar planos de ação aos controles.
- Alinhe riscos e métricas de eficiência com a iniciativa.
- Atribua um responsável à iniciativa; a pessoa receberá notificações quando o status mudar.
Acompanhar plano de ação
No BSC Designer:
- Adicione uma nova iniciativa ao controle.
- Abra o diálogo da iniciativa.
- Selecione o KPI de progresso no campo ‘KPI Alinhado’.
4. Controlar rastreamento ao longo do tempo
Controles periódicos
Exemplo de revisão da mecânica do controle:
- Revisão de listas de verificação de conformidade – revisão anual
- Retenção de conhecimento, % – revisão trimestral
Exemplos de aplicação periódica do controle:
- Varredura de vulnerabilidades – revisão/atualização mensal
Exemplos de controle iniciado uma vez:
- Avaliação inicial de risco – atualizar uma vez
No BSC Designer:
- Use a configuração Intervalo de atualização do indicador para agendar revisões regulares.
Atualizar estado do controle
No BSC Designer:
- Selecione a métrica de um controle
- Selecione uma data no calendário interno
- Altere para a guia ‘Dados’
- Insira o novo estado no campo ‘Valor’
Herança do estado do controle
Alguns indicadores usados para controles herdarão seu estado previamente conhecido, enquanto outros utilizarão apenas as atualizações inseridas especificamente.
Por exemplo:
- % de funcionários treinados – provavelmente será um indicador inerente, pois podemos assumir que o percentual de funcionários treinados em maio permanecerá o mesmo ou aumentará em junho.
- Receita de vendas mensal – provavelmente será um indicador não inerente, pois estamos interessados em acompanhar os dados reais de vendas ao longo dos meses.
No BSC Designer:
- Selecione um indicador
- Clique no botão Editor de valores
- Altere o tipo de herança do indicador
5. Controles de relatórios
Controles em dashboards
No BSC Designer:
- Alterne para a guia Dashboard.
- Adicione gráficos relevantes, incluindo gráficos de Gantt para iniciativas, diagramas de risco e diagramas listando controles e seus estados.
Controles para estimativa de risco
No BSC Designer:
- Conecte a parte de indicador de resultado do controle com as métricas de Impacto do risco ou Estimativa de risco no registro de riscos por meio de dados.
Controles em relatórios
No BSC Designer:
- Use o menu ‘Relatório’ para gerar vários relatórios
- Use o botão ‘Agendar’ no menu ‘Relatório’ para enviar relatórios automaticamente aos stakeholders
Responsabilidade
No BSC Designer:
- Todas as atividades relacionadas ao design e execução de controles são registradas no log de auditoria.
- O administrador da conta pode acessar os logs de auditoria via Menu > Usuários > Trilhas de Auditoria.
Exemplo prático de uso de um controle
Vamos discutir um exemplo prático. Considere o controle ativado quando um funcionário deixa a empresa.
Estrutura do exemplo:
Biblioteca de Controles GRC. Biblioteca de Controles
Na biblioteca de controles, tenho uma seção de RH onde um dos controles é “Funcionário deixou a empresa.”
Este controle possui três planos de ação:
- Redirecionar e-mails.
- Contatar clientes.
- Plano de transferência de conhecimento.
Também possui duas métricas:
- Logins desativados (baseado em evidências).
- Percentual de clientes notificados.
Outra métrica é usada para a revisão periódica dos controles:
- Retenção de Conhecimento (%)
Um risco é definido para o controle como:
- Risco: Interrupção do Fluxo de Trabalho
- Plano de mitigação: Documentar funções críticas
Scorecard de eventos
Tenho um scorecard chamado “Eventos de RH”, onde os eventos relevantes de RH são registrados. O scorecard é organizado por tipo de evento.
Aplicar o controle
Aqui estão os passos a seguir quando um funcionário deixa a empresa:
- Crie um novo evento no scorecard de Eventos, por exemplo, “Alex deixou a empresa.”
- Copie e cole o controle apropriado da biblioteca de controles para o scorecard de Eventos.
- A pessoa responsável pelo controle será automaticamente notificada sobre novos planos de ação criados.
- Carregue evidências (capturas de tela) de que os logins foram desativados.
- Notifique os clientes e atualize o indicador “% de clientes notificados”.
- Atualize o status dos planos de ação para “Em revisão.”
Mais exemplos
Você pode encontrar mais exemplos de uso de controles em artigos sobre:
Use o modelo Biblioteca de Controles de GRC
O BSC Designer ajuda as organizações a implementarem suas estratégias complexas:
- Inscreva-se para um plano gratuito na plataforma.
- Use o modelo
Biblioteca de Controles de GRC como ponto de partida. Você o encontrará em Novo > Novo Scorecard > Mais Modelos. - Siga o nosso Sistema de Implementação de Estratégia para alinhar as partes interessadas e ambições estratégicas em uma estratégia abrangente.
Comece hoje e veja como o BSC Designer pode simplificar a implementação da sua estratégia!
BSC Designer é um software de execução de estratégia que aprimora a formulação e execução da estratégia por meio de KPIs, mapas estratégicos e dashboards. Nosso sistema proprietário de implementação de estratégia orienta as empresas na aplicação prática do planejamento estratégico.