Agente de Monitoramento de SCI

Apenas cerca de 40 por cento das empresas avaliam seu próprio Sistema de Controle Interno como eficiente - segundo estudo da Deloitte entre empresas de capital aberto e grandes empresas não listadas na Alemanha. Simultaneamente, a legislação societária obriga a diretoria a estabelecer um sistema de monitoramento que identifique precocemente desenvolvimentos que ameacem a continuidade. A lacuna entre obrigação e eficácia surge quase sempre no mesmo ponto: o SCI é definido, mas não monitorado continuamente.

Verificação periódica ignora falhas de controle entre as datas de corte

A maioria das empresas verifica seu SCI trimestralmente ou na auditoria anual. O que acontece entre os períodos de verificação permanece invisível. Um limite de aprovação é temporariamente elevado e nunca revertido. Uma regra de substituição suspende o princípio de quatro olhos por três semanas. Um novo colaborador recebe permissões que violam a matriz de segregação.

Esses casos não são exceção. São a norma em organizações cujo sistema de controle depende de verificação manual e periódica. O auditor independente avalia a eficácia do SCI conforme ISA 315 e ajusta o escopo da auditoria correspondentemente. Um SCI que funciona apenas na data de corte resulta em auditoria ampliada e custos de auditoria mais elevados.

Monitoramento contínuo fecha essa janela temporal. Cada transação é verificada contra as atividades de controle definidas - não uma vez por trimestre, mas a cada lançamento.

Falta de segregação de funções causa os maiores danos individuais

Segregação de funções é um dos controles mais eficazes contra fraude. Segundo o ACFE Report to the Nations 2024, mais de 50 por cento de todos os casos de Occupational Fraud decorrem da ausência ou do contorno de controles internos - segregação estruturada de funções é uma das contramedidas mais eficazes. A consequência: a perda média por caso, segundo a ACFE 2024, é de cerca de 1,7 milhão de USD, com base em uma análise de 1.921 casos de fraude documentados em 138 países.

Um cenário concreto: um colaborador do setor de compras cadastra um fornecedor, registra o pedido e aprova a fatura para pagamento. Três papéis, uma pessoa. Em um sistema ERP com estrutura de permissões que cresceu organicamente, esse conflito frequentemente permanece não detectado por anos porque ninguém compara sistematicamente a matriz de permissões com as atribuições reais de funções.

O agente de monitoramento de SCI verifica a cada transação se a pessoa executante apresenta um conflito de segregação. Não como amostragem, mas de forma completa. Cada conflito é documentado e escalado conforme limiares definidos.

Monitoramento contínuo transforma a lógica de auditoria de amostragem para verificação integral

O framework COSO define monitoramento como componente independente do Sistema de Controle Interno - equivalente em importância ao ambiente de controle, avaliação de riscos, atividades de controle e informação. Na prática, monitoramento é o componente mais frequentemente negligenciado porque gera o maior esforço recorrente.

Um agente muda essa equação. Ele verifica atividades de controle de forma baseada em regras: o princípio de quatro olhos foi cumprido, a aprovação está dentro do limite, a permissão corresponde à matriz. Simultaneamente, detecta anomalias em dados transacionais - padrões de lançamento incomuns, concentrações logo abaixo dos limites de aprovação, carimbos de tempo suspeitos.

O resultado é um relatório de SCI que não se baseia em amostragem, mas na verificação de cada transação individual. Para o auditor independente, isso significa: evidência confiável sobre a eficácia do sistema de controle em todo o período de auditoria.

O Decision Layer separa controle automatizado de escalação humana

Nem toda decisão de SCI é adequada para automatização. Verificar o princípio de quatro olhos contra uma lista de verificação - isso é um conjunto de regras, nível 1. Detectar anomalias em dados transacionais - isso requer análise de IA, nível 2. Mas a decisão sobre como escalar em caso de falha de controle identificada permanece com o humano.

Essa separação não é um detalhe técnico. É o pré-requisito para que o auditor independente aceite o monitoramento automatizado como evidência de auditoria. Cada verificação de controle é documentada: o que foi verificado, qual resultado foi obtido, qual medida se segue. Em caso de falha, o agente protocola as transações afetadas, o tipo de violação e o caminho de escalação.

O responsável de compliance decide sobre a medida. O agente monitora se a medida decidida é implementada. Assim surge um ciclo fechado - da definição do controle, passando pela verificação, até o acompanhamento.