Melhores práticas para configurar uma estrutura de controles internos e sua implementação prática com software especializado.
O termo “controles“, originalmente utilizado no domínio GRC (Governança, Risco, Conformidade) para descrever mecanismos de gestão de riscos e garantia de conformidade, agora é aplicado de forma mais ampla ao planejamento estratégico.
Neste artigo, compartilharemos as melhores práticas para configurar controles e seu uso prático.
Introdução aos controles internos
Em essência, um “controle” é um mecanismo de resposta ou prevenção usado para gerenciar riscos e garantir a conformidade.
Exemplo de controle: “Funcionário saiu da empresa”
- Plano de ação: Redirecionar e-mails
- Plano de ação: Notificar clientes
- Métrica de eficácia: Logins desativados [Baseado em Evidências]
- Métrica de eficácia: % de clientes notificados
- Risco: Interrupção do fluxo de trabalho
Componentes de controle
Os controles têm componentes específicos:
- Definição do controle.
- Mecânicas internas para garantir que o controle funcione adequadamente (métricas, planos de ação, monitoramento).
- Os resultados da aplicação de um controle que são reportados e fornecem dados para um ciclo de aprendizado.
Do ponto de vista da automação, um controle pode ser:
- Tão simples quanto um plano de ação com métricas de progresso alinhadas ou
- Tão complexo quanto um conjunto hierárquico de controles e subcontroles, cada um com seu próprio conjunto de métricas, estimativas de risco, planos de mitigação, dependências contextuais e responsáveis.
Os controles têm áreas de aplicação específicas, definindo quando certos controles devem ser ativados.
Vamos explorar as ferramentas que podemos usar para implementar controles no planejamento estratégico.
1. Definição de controle
Na etapa inicial, nosso objetivo é mapear adequadamente as experiências passadas da equipe de gerenciamento em controles ou mecanismos formais de resposta.
Propriedades gerais
O básico para identificar um controle inclui dar a ele um nome significativo e explicar seu propósito na descrição. Defina:
- Condições que acionam o controle,
- Escopo do controle.
No BSC Designer:
- Use o botão Adicionar para criar um novo item.
- Identifique o controle através dos campos de nome e descrição.
- Interligue o controle com metas, eventos ou requisitos regulatórios passados relevantes.
Documentação de suporte
No BSC Designer:
- Adicione documentos a um controle através do diálogo de Descrição.
- Adicione documentos ao plano de ação do controle através do diálogo de Iniciativas.
Propriedades personalizadas
No BSC Designer:
- Defina as propriedades necessárias dos controles por meio de campos personalizados.
- Os novos campos estarão disponíveis para controles, métricas e iniciativas.
Propriedade
Por exemplo, os controles de manutenibilidade de software podem automatizar atualizações, mas é necessário um especialista em TI para resolver conflitos se uma atualização falhar. No BSC Designer:
- Adicione pessoas responsáveis pelo controle como usuários; atribua a pessoa a uma equipe.
- Atribua a pessoa ou equipe como proprietário do controle através do campo Proprietário.
Os proprietários receberão notificações relevantes ao controle.
Certificação / Aprovação
No BSC Designer:
- Use campos personalizados para definir propriedades de controle, como “Estado da certificação” e “Certificado por”.
- Ao atestar os controles, a equipe de gestão pode atualizar essas propriedades.
- Use filtros em relatórios para identificar controles sem certificação adequada.
Para desativar controle não certificado, mas mantê-lo no scorecard:
- Selecione um controle.
- Alterne para a aba Desempenho.
- Ative a caixa de seleção Indicador de dados brutos.
Alinhamento de controles
No BSC Designer:
- Copie e cole itens entre scorecards.
- Quando solicitado, use a opção de conexão por contexto para vincular dois itens.
Catálogo de controles
No BSC Designer:
- Crie um scorecard dedicado a controles.
- Use uma estrutura hierárquica para organizar os controles.
- Quando necessário, copie o controle para o scorecard ativo.
2. Quantificação dos controles
Métricas de eficácia
Usar métricas para os controles torna o controle mais específico e evita diferentes interpretações. Defina métricas para acompanhar:
- Adesão aos padrões
- Eficácia do controle
- Progresso dos planos de ação
Por exemplo, no relato de incidentes:
- A métrica de eficiência pode ser “% de pessoal treinado em relato de incidentes.”
- A métrica de eficácia pode ser “% de incidentes não comunicados corretamente.”
No BSC Designer:
- Use o botão Adicionar para adicionar métricas dentro do item Controle.
Desempenho geral
No BSC Designer:
- Selecione uma métrica
- Alterne para a aba Desempenho
- Altere o peso da métrica
O desempenho/progresso do controle será exibido na coluna correspondente.
Métricas de eficiência
Dependendo do contexto, utilize métricas de tendência. Ao contrário das métricas de resultado, as métricas de tendência não contribuirão diretamente para o desempenho geral do controle, mas sugerirão insights valiosos para entender a eficiência do controle.
No BSC Designer:
- Selecione uma métrica
- Altere para o Contexto
- Mude o tipo da métrica para Tendência
Estimativa de riscos
Um controle pode incluir uma definição de risco ou estar alinhado com riscos de um registro de riscos.
A estimativa de risco pode ser:
- Um gatilho para a execução do controle ou
- Uma condição para a seleção de um determinado curso de ação.
No BSC Designer:
- Crie um novo indicador
- Altere seu tipo para ‘Risco’
- Atualize os indicadores de Probabilidade e Impacto do risco
Controle Binário
Os estados possíveis dos indicadores binários:
- Não atribuído – a parte do controle ainda não foi executada
- Sim – para indicar que a parte do controle foi executada com sucesso
- Não – para indicar que a parte do controle não foi executada com sucesso
Exemplo: “Plano de continuidade de negócios atualizado levando em conta uma ameaça recém-identificada” pode ser automatizado com um indicador binário. No BSC Designer:
- Selecione um indicador
- Alterne para a guia ‘Geral’
- Altere suas unidades de medida para “Sim/Não”
Controle qualitativo
Os indicadores qualitativos são usados para os controles quando uma estimativa quantitativa mais específica ainda não foi desenvolvida ou não é economicamente viável desenvolver uma.
Exemplo: um controle Gestão e Comunicação de Políticas pode ser avaliado com uma métrica qualitativa Eficácia na Comunicação das Políticas de Conformidade com estados possíveis:
- Altamente eficaz (100): Os funcionários entendem claramente as políticas de conformidade.
- Moderadamente eficaz (60): Alguns funcionários entendem as políticas.
- Ineficaz (10): Os funcionários geralmente desconhecem as políticas.
No BSC Designer:
- Selecione um indicador
- Clique no botão Editar ao lado das unidades de medida para adicionar unidades de medida personalizadas
Controle quantitativo
Para tornar os controles mais específicos, são utilizados indicadores quantitativos ou numéricos. Para indicadores quantitativos, podemos definir sua fórmula de desempenho, por exemplo, como o estado atual de um indicador impacta o desempenho do resultado.
Exemplo: para avaliar a eficácia da implementação de um controle específico, fazemos uma auditoria interna para rastrear o % de Conformidade com a Política. Nesse caso, a fórmula de desempenho é maximização linear, com alvo = 100%. Outro exemplo pode ser a métrica Tempo Médio para Detectar, configurada como minimização linear com um alvo de 24 horas.
No BSC Designer:
- Alterne para a aba ‘Desempenho’ para definir a função de desempenho.
- Alterne para a aba ‘Dados’ para definir o estado atual do indicador, a linha de base e o alvo.
Controle baseado em evidências
Indicadores de evidência mudarão seu estado de acordo com o número de documentos/evidências carregados.
Por exemplo, o controle de teste de backup e recuperação pode exigir o upload de resultados de teste ou logs como prova da execução bem-sucedida do controle.
No BSC Designer:
- Selecione um indicador
- Altere suas unidades de medida para Evidência
- Carregue o documento no indicador para mudar seu estado
3. Iniciativas para controles
Planos de ação
No BSC Designer:
- Use a ferramenta Iniciativa para adicionar planos de ação aos controles.
- Alinhe riscos e métricas de eficiência com a iniciativa.
- Atribua um responsável à iniciativa; a pessoa receberá notificações quando o status mudar.
Acompanhar plano de ação
No BSC Designer:
- Adicione uma nova iniciativa ao controle.
- Abra o diálogo da iniciativa.
- Selecione o KPI de progresso no campo ‘KPI Alinhado’.
4. Controlar rastreamento ao longo do tempo
Controles periódicos
Exemplo de revisão da mecânica do controle:
- Revisão de Listas de Verificação de Conformidade – revisão anual
- Retenção de Conhecimento, % – revisão trimestral
Exemplos de aplicação periódica do controle:
- Varredura de Vulnerabilidades – revisão/atualização mensal
Exemplos de controle iniciado uma vez:
- Avaliação Inicial de Risco – para ser atualizado uma vez
No BSC Designer:
- Use a configuração de Intervalo de Atualização do indicador para programar revisões regulares.
Atualizar estado de controle
No BSC Designer:
- Selecione a métrica de um controle
- Selecione uma data no calendário interno
- Alterne para a aba ‘Dados’
- Insira o novo estado no campo ‘Valor’
Herança do estado do controle
Alguns indicadores usados para controles herdarão seu estado previamente conhecido, enquanto outros usarão apenas atualizações especificamente inseridas.
Por exemplo:
- % de funcionários treinados – é provavelmente um indicador inerente, pois podemos presumir que o percentual de funcionários treinados em maio permanecerá o mesmo ou aumentará em junho.
- Receita de vendas mensais – é provavelmente um indicador não inerente, pois estamos interessados em acompanhar os dados reais de vendas ao longo dos meses.
No BSC Designer:
- Selecione um indicador
- Clique no botão Editor de Valores
- Altere o tipo de herança do indicador
5. Controles de relatórios
Controles em dashboards
No BSC Designer:
- Alterne para a guia Dashboard.
- Adicione gráficos relevantes, incluindo gráficos de Gantt para iniciativas, diagramas de risco e diagramas listando controles e seus estados.
Controles para estimativa de risco
No BSC Designer:
- Conecte a parte de resultado do controle com as métricas de Impacto do Risco ou Estimativa de Risco no registro de riscos por meio de dados.
Controles em relatórios
No BSC Designer:
- Use o menu ‘Relatório’ para gerar vários relatórios
- Use o botão ‘Agendar’ no menu ‘Relatório’ para enviar relatórios automaticamente aos stakeholders
Responsabilidade
No BSC Designer:
- Todas as atividades relacionadas ao design e execução de controles são registradas no log de auditoria.
- O administrador da conta pode acessar os logs de auditoria via Menu > Usuários > Trilhas de Auditoria.
Exemplo prático de uso de um controle
Vamos discutir um exemplo prático. Considere o controle ativado quando um funcionário deixa a empresa.
Estrutura do exemplo:
Biblioteca de Controles GRC. Biblioteca de Controles
Na biblioteca de controles, tenho uma seção de RH onde um dos controles é “Funcionário deixou a empresa.”
Este controle possui três planos de ação:
- Redirecionar e-mails.
- Contatar clientes.
- Plano de transferência de conhecimento.
Também possui duas métricas:
- Logins desativados (baseado em evidências).
- Percentual de clientes notificados.
Outra métrica é usada para a revisão periódica dos controles:
- Retenção de Conhecimento (%)
Um risco é definido para o controle como:
- Risco: Interrupção do Fluxo de Trabalho
- Plano de mitigação: Documentar funções críticas
Scorecard de eventos
Tenho um scorecard chamado “Eventos de RH”, onde os eventos relevantes de RH são registrados. O scorecard é organizado por tipo de evento.
Aplicar o Controle
Aqui estão os passos a seguir quando um funcionário sai da empresa:
- Crie um novo evento no scorecard de Eventos, por exemplo, “Alex saiu da empresa.”
- Copie e cole o controle apropriado da biblioteca de controles para o scorecard de Eventos.
- A pessoa responsável pelo controle será automaticamente notificada sobre novos planos de ação criados.
- Carregue evidências (capturas de tela) de que os logins foram desativados.
- Notifique os clientes e atualize o indicador “% de clientes notificados”.
- Atualize o status dos planos de ação para “Em revisão.”
Sessão de treinamento: 'BSC Designer for Automation of GRC Controls' é oferecida como parte do nosso programa de aprendizado contínuo e incluída com uma assinatura do BSC Designer.
As sessões de treinamento são realizadas semanalmente via Zoom, proporcionando insights práticos e orientação personalizada. Após a conclusão, os participantes recebem um certificado de participação. Explore todas as sessões de treinamento disponíveis aqui.
Mais exemplos
Você pode encontrar mais exemplos de uso de controles em artigos sobre:
Use o modelo Library of GRC Controls
O BSC Designer ajuda as organizações a implementarem suas estratégias complexas:
- Inscreva-se para um plano gratuito na plataforma.
- Use o modelo
Library of GRC Controls como ponto de partida. Você o encontrará em Novo > Novo Scorecard > Mais Modelos. - Siga o nosso Sistema de Implementação de Estratégia para alinhar as partes interessadas e ambições estratégicas em uma estratégia abrangente.
Comece hoje e veja como o BSC Designer pode simplificar a implementação da sua estratégia!
BSC Designer é um software de execução de estratégia que aprimora a formulação e execução da estratégia por meio de KPIs, mapas estratégicos e dashboards. Nosso sistema proprietário de implementação de estratégia orienta as empresas na aplicação prática do planejamento estratégico.