Implementando Auditoria Contínua em Tesouraria de Bancos

1. Inteligência em Riscos Implementando Auditoria Contínua em Tesouraria de Bancos 18th WCAS – World Continuous Auditing Symposium Junho 2009

2. Agenda • Contexto e Evolução da Auditoria Interna • Enfoque de Desenvolvimento • Exemplo Prático • Principais Desafios e Benefícios • Tendências em Auditoria Contínua

3. Contexto e Evolução daAuditoria Interna

4. ContextoPressões sobre a Processo Tradicional de Auditoria Interna Governança • Manutenção da independência • Gestão de Riscos • Estrutura de Comitês • Stake-holders • Pressão por demonstrar valor agregado • Expectativa de detecção de fraude e oportunidades de redução de custos • Evolução sobre conceitos de Auditoria Interna Conhecimento do risco Aumento da eficiência Chief Executive Auditors Outros Fatores de Negócio Redução de Custos Aderência regulatória • Economia globalizada • Automatização de processos • Aumento da complexidade das operações • SOX • IFRS • Basiléia II • BACEN/CVM Regulamentação

5. ContextoEstado atual do processo de auditoria interna

6. ContextoEstado desejado do processo de auditoria interna

7. Grau de Automação dos Processos e Controles vs. Enfoque da Auditoria • Foco em risco. • Parte das análises efetuadas abrangendo toda base de dados. • Mensuração financeira parcial de riscos residuais. • Ausência de tempestividade na revisão do processo. • Média de tempo para realização de FUP de 1 a 2 anos. • Planos de Ação para corrigir as deficiências com prazos longos. • Auditoria Interna com foco em risco. • Análises efetuadas abrangendo toda base de dados. • Mensuração financeira total dos principais riscos residuais. • Avaliação preventiva e tempestiva dos indicadores de risco, otimizando a atuação da Auditoria Interna. • Realização direcionada dos trabalhos, conforme a redução ou aumento dos níveis de risco residual. • Ausência de foco em risco. • Análises em base amostral. • Ausência de mensuração de volumes financeiros. Grau de Informatização e Integração dos Processos e Negócios Tempo - Enfoque da Auditoria Interna ContextoEvolução do Enfoque de Auditoria Interna

8. ContextoAuditoria Contínua vs. Auditoria Tradicional • Avaliação de riscos e controles de forma contínua e automatizada. • Cobertura de 100% das operações. • Priorização ocorre em “real-time” com base nos indicadores calculados. • Utilização de dados/informações correntes para identificação das necessidades de auditoria. Auditoria Tradicional • Testes cíclicos bom base em dados históricos (muitas vezes ocorrendo meses após as atividades aconteceram). • Bases amostrais para análise. • Priorização ocorre semestralmente / anualmente, durante a elaboração do plano de Auditoria. • Enfoque voltado para revisão de documentação. Auditoria Contínua

9. Contexto Objetivo da Auditoria Contínua • Assegurar capacidade de resposta

10. Contexto Formas de Atuação da Auditoria Interna *Fonte: GTAG – Global Technology Audit Guide, Continuous Auditing: Implications for Assurance, Monitoring, and Risk Assessment, publicado pelo IIA - The Institute of Internal Auditors

11. Acompanhamento Gerencial Testes de auditoria Indicadores (KPI´s e KRI´s) PRINCIPAIS DESAFIOS ContextoIntegração com Informações Gerenciais Gestores Auditoria Integração Integração Auditoria Contínua Sistemas Corporativos e Processos Atividades, Transações e Eventos Resultados da Auditoria Monitoramento Contínuo

12. ContextoBusiness Intelligence vs. Risk Intelligence Business Intelligence Risk Intelligence Ferramentas Balance Scorecard (KPIs) Controls Continuous Monitoring Continuous Audit (KRIs) “Drivers” • Performance • Orçamento / Budget • Indicadores Financeiros • Foco no Passado • Variações, Desvios, Concentrações • Nível de Exposição aos Riscos (Apetite) • Exceções (“non-compliance”) • Associados a Riscos Operacionais • Foco nas exceções futuras • Acompanhar as metas do negócio Objetivos • Identificar erros, falhas e contingências • Monitorar a exposição a riscos acima do tolerável

13. Enfoque de Desenvolvimento

14. Enfoque de DesenvolvimentoUniverso Auditável PROCESSOS DE NEGÓCIO VALOR AOS ACIONISTAS RISCOS CORPORATIVOS Criação e Preservação de Valor Vantagem Competitiva Aumento da Receita Estratégicos Otimização dos Custos Operacionais Operacionais Eficiência dos Ativos Financeiros Atendimento das Expectativas Regulamentares

15. Enfoque de desenvolvimentoDefinição de Indicadores Reporte dos Resultados das Análises Alta Administração e Comitês Rating Estruturação • Riscos • Controles • Indicadores • Programa de trabalho Relatórios de Auditoria Limite de Tolerância à Riscos Definição da Abordagem Priorização Execução • Auditoria de processos com foco em riscos • Auditoria de conformidade • Auditoria oculta • Auditoria denúncias Cálculo dos indicadores Transacional Ocorrências Qualidade Resultados de Auditorias • Preços das operações • Posições • Resultado das operações (gerencial e contábil) • Disponibilidade e Perfis de Acesso • Denúncias referente a Funcionários • Perdas Efetivas • Extrapolação de limites (Var, Stress e Stop Loss) • SLA`s • Desvios • Ajustes e Estornos • Reprocessamento de Boletos • Apontamentos de Auditoria nos trabalhos de tesouraria • Produtos críticos em relevância e exposição

16. Exemplo Prático

17. 3. Extração de Dados 2. Mapeamento das Bases de Dados Sistema 1 Sistema 2 Sistema 3 Sistema 4 Sistema 5 Sistema 8 Sistema 6 Sistema 7 Exemplo PráticoImplementação 4. Cálculo dos Indicadores e Repositório de Dados 5. Dashboard Priorização dos Resultados 1. Definição dos Objetivos e Key Risk Indicators (KRIs) Risk Intelligence Extrator de Dados Software de Data Mining KRI Database Repositório Único de Dados Avaliação dos controles-chave

18. Exemplo PráticoImplementação em Tesouraria PROCESSOS DE NEGÓCIO VALOR AOS ACIONISTAS RISCOS CORPORATIVOS Criação e Preservação de Valor Vantagem Competitiva Aumento da Receita Estratégicos Otimização dos Custos Operacionais Operacionais Eficiência dos Ativos Financeiros Atendimento das Expectativas Regulamentares Negociação das Operações Formalização das Operações Manutenção da Carteira Liquidação das Operações Posição e Apuração de Resultados Gestão de Fluxo de Caixa Gestão de Riscos (Mercado, Liquidez)

19. Exemplo PráticoImplementação em Tesouraria Negociação das Operações Formalização das Operações Manutenção da Carteira Liquidação das Operações Posição e Apuração de Resultados Gestão de Fluxo de Caixa Gestão de Riscos (Mercado, Liquidez) Riscos Específicos do Processo (Exemplo) Riscos - Database R1 Negociação de operações em condições desfavoráveis ao Banco visando ao benefício próprio. R2 Posições assumidas em desacordo com as estratégias e a estrutura de limites de exposição definidas pelo Banco. R3 Não-recebimento de valores negociados em operações com contrapartes que excedam os limites de crédito estabelecidos.

20. Exemplos de KRIs Relacionado ao Risco Específico • Situações em que o volume financeiro de operações por operador excedeu a sua faixa média de atuação por produto. • Diferenças percentuais entre preço/taxa definidos pela trava e preço/taxa fechados na operação. • Operações realizadas com contrapartes não autorizadas. Exemplo PráticoImplementação em Tesouraria Riscos Específicos do Processo • R1 - Negociação de operações em condições desfavoráveis ao Banco visando ao benefício próprio. • R2 - Posições assumidas em desacordo com as estratégias e a estrutura de limites de exposição definidas pelo Banco. • R3 - Não-recebimento de valores negociados em operações com contrapartes que excedam os limites de crédito estabelecidos. VALOR AOS ACIONISTAS RISCOS CORPORATIVOS Receita Operacional Estratégico Conduta Anti-ética/Fraude Governança Risco de Crédito Despesas Operacionais Operacional Ativos da Organização Aderência as Regras Modelo de Negócio Capital Financeiro Risco de Mercado Risco Expectativas Regulamentar Político e Econômico Integridade Risco Operacional

21. Exemplo PráticoIndicador Detalhado de Tesouraria R1 R2 Trava Fórmula Procedimento Análise PC = (((Ti - Tpi)/Tpi) + ((Pi - Ppi)/Ppi) )/(Nt + Np)*100 • Para o cálculo da fórmula é necessário calcular individualmente, para cada valor de taxa e preço fora dos parâmetros, a distorção percentual em relação ao valor-- padrão aplicável ((Ti - Tpi)/Tpi e (Pi - Ppi))/Ppi) para depois totalizar esses percentuais e dividir o total pelo número de operações boletadas com taxa e preço fora dos parâmetros preestabelecidos. • Para as análises de quantidade e taxa, apenas gerar gráficos com a quantidade e o volume boletados com taxa e preço fora dos parâmetros preestabelecidos, respectivamente. • Produtos (exemplo): SELIC (Compromissadas) (*) Tomado e Doado, Títulos Públicos (*) CDI, Cupom Cambial, Cupom IGP-M, DDI Futuro, DI a Termo, Dólar Futuro. • Utilizar taxas externas obtidas de fontes externas (Bloomberg, Broadcast, etc.). Mesa, Produto, Operador,Quantidade e Volume Comprado e Vendido Componente Origem Tendência Histórica - Ponto de Inflexão PC - Diferença percentual. a Ti = Taxa de uma operação de crédito fechada fora dos parâmetros preestabelecidos. Sistema(s) X Tpi = Taxa-padrão estabelecida como parâmetro no momento de boletagem da operação. PC > 0% Sistema(s) X Pi = Preço de uma operação de derivativos fechada fora dos parâmetros preestabelecidos. Sistema(s) X Cálculo do Sinalizador Diário Ppi = Preço-padrão estabelecido como parâmetro no momento de boletagem da operação. Sistema(s) X Nt = Número total de operações fechadas com taxa fora dos parâmetros preestabelecidos. Sistema(s) X Np = número total de operações fechadas com preço fora dos parâmetros preestabelecidos. Sistema(s) X Observações Demonstra o grau de descolamento das taxas praticadas pela carteira comercial em relação ao valor estabelecido pela Tesouraria e dos preços e taxas negociados pela mesa Interbancária em relação a travas de negociação previamente definidas.

22. Exemplos: • Operações realizadas com contrapartes não autorizadas. • Ajuste manual de taxas após fechamento das operações. • Exemplos: • Volume de perdas. • Índice de posição da carteira vs. limites de risco estabelecidos. Exemplo PráticoIndicadores de Tesouraria (Tradicional vs. Contínuo) Indicador(es) que Aponte(m) Materialização efetiva de Riscos • Foco AI: • Comunicação a Alta Administração. • Início Imediato de Trabalho.

23. Exemplos: • Volume financeiro de operações por operador excedeu alçadas definidas. • Ajuste manual de taxas após fechamento das operações. Exemplo PráticoIndicadores de Tesouraria (Tradicional vs. Contínuo) • Exemplos: • Freqüência de acerto do modelo de VaR em função de perdas não esperadas. • Comportamento diário do caixa, analisando grandes oscilações de seu valor. Indicador(es) que Aponte(m) Probabilidade de Materialização de Riscos • Foco AI: • Comunicação do Gestor da UN / Processo. • Solicitação de documentação suporte. • Análises adicionais em caso de visita a UN (trabalhos estruturais).

24. Exemplos: • Ajustes retroativo em operações. • Índice de operações não “batidas” com a contraparte. Exemplo PráticoIndicadores de Tesouraria (Tradicional vs. Contínuo) • Exemplos: • Freqüência de ajustes no cadastro de contrapartes autorizadas. • Freqüência de ajustes dos limites de alçada dos operadores. Indicador(es) que Aponte(m) Falhas de Controles que pode(m) “Encobrir” a Materialização de Riscos • Foco AI: • Programação de trabalho para avaliar os agentes que apresentem os piores índices.

25. Exemplo PráticoDashboard Tesouraria

26. Exemplo PráticoDashboard Tesouraria

27. Principais Desafios e Benefício

28. Desafios para Implementação da Auditoria Contínua • Definição dos KRIs: Definir efetivamente quais são os indicadores e “agentes” que impactam na materialização dos riscos. • Origem das Informações: Unidades de negócio com sistemas distintos, porém com o mesmo processo e riscos inerentes bem como diversidade dos bancos de dados para coleta e consolidação das informações. • Processamento e Performance: Alto custo no desenvolvimento de “querys” para extração dos dados e no processamento e cálculo dos KRIs. • Automação: Devido a falta de integração ou limitação das ferramentas, esse processo pode não ter a devida automatização. • Análise dos Resultados: Grande volume de análise para classificar as exceções, podendo ocasionar a ineficácia desse processo. • Tratamento dos “falso positivos”: Identificar as situações operacionais que podem levar a um “falso positivo” e ajustar o indicador de forma contínua. • Capacitação dos Profissionais: Exigência de conhecimentos técnicos em TI e processos para otimizar recursos.

29. Demonstração tempestiva da evolução dos riscos para a Alta Administração. Detecção de potenciais situações de fraude ou perdas financeiras. Melhoria da eficiência dos processos . Estabelecimento de benchmarking, avaliando o desempenho entre localidades e Unidades de Negócios. Acompanhamento de falhas recorrentes e estabelecimento de ações corretivas. Auxilio no processo de follow-up das recomendações da Auditoria Interna. Procedimento para validação de um processo de “Control Self-Assessment”. Otimização dos recursos de AI e direcionamento adequado dos trabalhos. Principais Benefícios Principais Benefícios

30. Tendências em Auditoria Contínua • Aperfeiçoamento contínuo dos indicadores, considerando inclusive a correlação entre eventos de risco. • Aumento de investimentos em tecnologia para extração e análise de dados. • O processo de Auditoria Contínua passará a ter maior destaque na estrutura de Governança das organizações. • Maior demanda por profissionais com habilidades em estatística e análise de dados.

31. Informações Adicionais Inteligência em Riscos www.deloitte.com.br Ives P. Müller imuller@deloitte.com Luiz F. Ferreira Dias luizdias@deloitte.com