Em 2019, uma pesquisa Gartner apontou que menos de 40% dos executivos utilizam informações de RH para tomadas de decisão – a chamada People Analytics. Esse resultado, embora alarmante, não é totalmente desconhecido de líderes de Recursos Humanos. Apesar de boa parte das empresas concordarem que pessoas são seu principal ativo, poucas possuem efetivamente números relevantes e confiáveis.
Todo RH possui métricas, que periodicamente são computadas e apresentadas aos executivos. Considerando que há métricas geradas pelo RH, por que esses resultados não são ou pouco são utilizados para a tomada de decisões?
Basicamente porque não são métricas estratégicas. Historicamente, os próprios executivos da organização cobram métricas de Recursos Humanos, que pouco versam sobre a estratégia da empresa e falam muito mais de aspectos operacionais e de compliance: tempo médio de contratação, custo de contratações, comparativos de custos atuais e com períodos anteriores etc, são métricas que departamentos de RH geram e são avaliados por essas mesmas métricas. Ou seja, há um grande foco na administração de programas (contratação, compensação e benefícios) e menos na produção de soluções estratégicas.
O RH Estratégico
O RH Estratégio é um conceito que passa pelo maior alinhamento das políticas e práticas de RH com os objetivos estratégicos da companhia, considerando resultados operacionais, financeiros, partes interessadas e colaboradores, sem descuidar do lado humano e de representação dos colaboradores.
Soluções data-driven que promovam tomadas de decisão precisas, justas, éticas e em conformidade com a lei, tem muito a contribuir com o RH ansioso por alinhar seus resultados com os objetivos organizacionais e tornar mais mensurável sua contribuição no atingimento destes.
People Analytics
Nesse sentido, o People Analytics é uma ferramenta poderosa para trazer a estratégia organizacional à vida, ao oferecer uma abordagem rigorosa para atrair, motivar e reter profissionais talentosos que são cruciais para atingir objetivos estratégicos através de decisões orientadas por dados e baseadas em evidências.
Os modelos descritivos, preventivos e até mesmo prescritivos não são um fim em si mesmos, mas suportam diversas temáticas dentro da jornada de Recursos Humanos com agente ativo na estratégia da organização.
Indo além da criação de indicadores para engajamento e retenção da força de trabalho, a função de analytics com a ajuda da inteligência artificial podem ajudar a gerar valiosos insights e aumentar a eficiência de tarefas do RH, por exemplo:
Planejamento da força de trabalho;
Análise do pool de talentos;
Seleção de CVs;
Enquadramento salarial;
Previsão de performance;
Previsão de turnover;
Redução de absenteísmo;
Análise de sentimentos entre outros.
Mudança Cultural
O fato é que adoção de novas tecnologias e métodos para people analytics como inteligência artificial exigem mudança cultural (data-driven) e um nível de instrução em analytics mais elevado dos times de RH.
Conclusão: o futuro do People Analytics
A implantação de um RH mais alinhado a estratégia da organização, por meio de Analytics só ocorrerá, quando o RH construir pontes com outros departamentos, discutir a estratégia com Executivos, avaliar onde focar seus esforços e então engajar todos no projeto, decidir com quais parceiros trabalhará e o objetivo final desse esforço.
Acesso às máquinas e equipamentos, não constituem uma vantagem competitiva em si, mas a habilidade para usá-los sim, por isso empresas que gerenciam adequadamente sua força de trabalho e seu know-how obtém uma vantagem competitiva genuína por uso do people anlytics.
Por fim, entendemos que apesar de muito poderoso, ferramentas de people analytics devem ser pensadas e desenvolvidas para resolver problemas de negócio relevantes. Funções de RH devem avaliar quais problemas demandam uma ação imediata, sempre em alinhamento com a estratégia da organização e direcionar os esforços (tempo e orçamento) para ações que tragam retorno estratégico e agreguem valor. Pequenos projetos de análise que levam a resultados positivos aumentarão os investimentos futuros e a credibilidade da função de RH, possibilitando assim mais sucesso.
Rodrigo Kramper, Head de Advanced Data & Analytics Solutions na Protiviti.
Para sobreviverem dentro do contexto da nova economia, executivos de empresas de diferentes portes e segmentos vem implementando um novo conceito de ambiente de trabalho. E nunca se tornou tão importante uma política de gestão de risco e monitoramento de informações.
Hoje, o ambiente de trabalho é balizado pela:
diversidade e convivência de gerações;
estímulo a colaboração e construção de vínculos e relacionamentos;
livre troca de ideias e informações;
uso de metodologias para execução ágil de projetos e atividades, com monitoramento e responsabilidade.
Catalizado pelas novas tendências sociais e avanços tecnológicos, esse novo ambiente de trabalho ganhou força e espaço na sociedade. Hoje é considerado como um standard, um elemento necessário para o sucesso das organizações.
Novos riscos e desafios para os executivos
Porém, nem tudo são flores nesse novo ecossistema de trabalho em que convivemos.
Esse mesmo ambiente que estimula a colaboração, flexibilidade, agilidade e inovação pode abrir espaço para comportamentos inadequados de seus colaboradores.
Há ainda o incremento de situações de assédio e discriminação, e até mesmo de fraudes, outras irregularidades e atos ilícitos, como o sequestro e o vazamento de dados, expondo as organizações a riscos, com impactos financeiros e reputacionais catastróficos.
Aspectos regulatórios e sociais trazem complexidade adicional aos executivos cujo desafio é buscar o equilíbrio entre um ambiente de trabalho estimulante, máxima eficiência, controles efetivos e o compliance.
Neste contexto, torna-se cada vez mais relevante estabelecer abordagens de gestão de risco e controle que sejam eficazes e, ao mesmo tempo, “invisíveis” para a organização. Isso, principalmente, para não burocratizarem processos e atividades chegando ao ponto de sequer serem notados pelas equipes em seu dia a dia.
Gestão de risco e monitoramento de informações ativo: uma abordagem detectiva e preventiva
Utilizando-se do mesmo avanço tecnológico que impulsiona os negócios, o monitoramento ativo do ambiente de trabalho mostra-se como uma alternativa detectiva disponível e viável aos executivos. Principalmente para aqueles que querem agir de modo preventivo diante das ameaças que circundam o novo ambiente de trabalho das organizações.
É possível configurar regras específicas que possam alertar sobre situações suspeitas no ambiente, sejam elas sobre o e-mail, o acesso à internet, à impressora, produtividade da equipe etc.
Após a detecção do incidente e com uma ferramenta adequada em mãos, é possível aprofundar-se na investigação e buscar maiores detalhes sobre o ocorrido.
Diversas irregularidades e riscos podem ser cobertos com o monitoramento ativo, tais como:
Quanto maior o número de entidades sob o monitoramento de informação maior será a capacidade de detecção, prevenção e reação.
Visto a quantidade de riscos existes, podemos dizer que o monitoramento pode ser utilizado por diversas áreas de uma empresa a exemplo, áreas de compliance, recursos humanos, investigação, segurança, qualidade, auditoria, entre outras.
Cuidados para estabelecer sua função de monitoramento
Monitoramento de informação do ambiente corporativo é uma ferramenta útil para a prevenção e mitigação de riscos. Porém, não é incomum o tráfego de dados pessoas. Para estar em conformidade, alguns pontos precisam ser verificados:
Ter políticas claras e acessíveis de gestão de risco.
Comunicar sobre o monitoramento do ambiente e seus objetivos.
Obter ciência e consentimento dos colaboradores, terceiros, todos envolvidos no processo de monitoramento.
Manter o acesso limitado/restrito aos dados.
Seguir as melhores práticas de segurança da informação e confidencialidade e garantir que o processo interno mantém essas regras/diretrizes, incluindo a proteção de dados pessoais.
Ter definido e disponibilizado a informação sobre o tempo de armazenamento dos dados.
Não fazer distinção de pessoas quanto as regras que serão aplicadas.
Para ter um monitoramento de informação eficaz e maduro, é importante mencionar que a empresa precisa ter:
conhecimentos em gestão de risco;
conhecimento técnico e uma plataforma adequada para esse tipo de atividade;
independência no processo para garantir a confidencialidade, neutralidade no tratamento e cumprimento da LGPD,
escalonamento imparcial para tratamento de todo e qualquer incidente.
Inovação e transformação digital são termos que ganharam muita força no mundo corporativo nos últimos anos. O advento de novas tecnologias, vem modificando de forma profunda e permanente nosso contexto de vida e, consequentemente, nosso ambiente de trabalho e os mercados. Como engajar seu time na tão necessária transformação digital?
Dentre as principais tecnologias podemos citar como exemplos, especialmente, aquelas ligadas com a capacidade de captura, processamento, correlação e análise de dados — internet das coisas, big data, advanced analytics e inteligência artificial.
Na era da nova economia vemos startups desbancarem empresas seculares em poucos meses. Nelas vemos múltiplas gerações que, simultaneamente, colaboram e disputam espaço nas organizações. E não disputam espaço apenas com outras pessoas. Com a implementação de algoritmos e robôs, a necessidade de adaptação em alta velocidade é um imperativo.
Inovar tornou-se, talvez mais do que em qualquer outro momento da nossa história, sinônimo de sucesso e de sobrevivência.
Transformação digital deve ser parte do DNA de todos
Neste cenário de constante transformação digital, os executivos buscam de diferentes formas introduzir a “pegada de inovação” em seus negócios e equipes. Porém, esta tarefa vem se mostrando como um enorme desafio para a maioria das empresas.
Reunir mentes brilhantes em um laboratório de inovação e transformação digital parece ser uma abordagem promissora. Elas questionam o status quo e desenvolvem ideias disruptivas que farão da sua empresa o próximo unicórnio global. No entanto, as expectativas têm sido bem maiores do que os resultados práticos alcançados.
A explicação para esse fenômeno passa pela concepção equivocada de que a inovação disruptiva deve ser objetivo apenas de um grupo específico de pessoas na organização, como uma área de Pesquisa e Desenvolvimento, ou um squad focado em Transformação Digital.
Esse tipo de estrutura certamente produzirá alguma inovação ao longo do tempo. No entanto, estão fundamentalmente limitadas por sua forma de atuação, centradas em si mesmas.
A inovação parte de qualquer lugar e pessoa
A inovação disruptiva requer pluralidade e colaboração. As grandes invenções da humanidade não surgiram apenas de momentos de inspiração de um indivíduo ou grupo de pessoas altamente criativas e qualificadas.
Elas foram geradas de forma não linear, construídas pela colaboração direta e indireta de pessoas com diferentes contextos e experiências, dentro e fora das organizações.
É nesse momento que a inovação, a diversidade e a inclusão convergem no ambiente corporativo. Talvez o único caminho para que uma empresa seja verdadeiramente inovadora seja engajar todos os seus colaboradores nesta mentalidade — e não apenas um grupo específico.
É preciso mudar comportamentos, ofertando constantemente novos estímulos, dentro e fora do ambiente de trabalho. Eles devem provocar diferentes experiências e relacionamentos.
Também devem institucionalizar metodologias e processos corporativos para a coleta e transformação, constante e consistente, de ideias em realidade (novos produtos e serviços, sistemas e formas de trabalhar). Podem envolver, inclusive parceiros, fornecedores, clientes e a sociedade em geral nesta jornada.
Transformação digital e inovação na ICTS
Um exemplo interessante desta abordagem pode ser encontrado na Protiviti, empresa do segmento de consultoria empresarial. Essa empresa criou, em 2019, uma estrutura responsável por infundir, viabilizar e acelerar a inovação em toda a empresa. Ou seja, a inovação não fica centrada nessa estrutura, que tem como papel principal disseminar o DNA da inovação para todos.
Uma das ações mais contundentes desta nova filosofia foi a realização do Digital Day. Este é um evento interno de imersão em soluções inovadoras, criadas por startups, que mobilizou todos os colaboradores da empresa.
A ação contou com mais de 20 estandes, que apresentaram soluções de inteligência artificial, big data & analytics, IoT, automação, drones, impressão 3D, reconhecimento facial/biométrico, entre outras.
Além disso, foram realizadas palestras interativas com especialistas do mercado, abordando temas como: “O impacto das startups e da inovação em grandes corporações”, “Inteligência emocional na era da transformação digital” e “Cidades inteligentes”.
Para Victor Carreiro, líder na área de Inovação e Transformação da Protiviti, o evento foi um marco importante na empresa, promovendo o interesse genuíno e aprendizado, bem como uma forte integração da equipe. Carreiro complementa sobre os impactos práticos da ação:
“Após o Digital Day, experimentamos um incremento de 30% no volume de ideias registradas em nosso portal de inovação, bem como geramos mais de 60 oportunidades de negócio junto as startups participantes, fomentando nosso ecossistema e soluções para o mercado”.
O exemplo da Protiviti mostra como o acesso a tecnologias disruptivas e inovadoras por parte dos colaboradores, sem limitações, é o ingrediente secreto para o engajamento das equipes e para a transformação digital.
Além do Digital Day, a empresa vem promovendo ao longo do ano uma série de treinamentos, internos e externos, além de visitas a centros de inovação e encubadoras.
Adicionalmente, criou um concurso interno, o Innovation Challenge, no qual mais de 50 colaboradores formaram equipes para exercitarem na prática o processo de inovação e transformação.
Estas novas vivências e experiências das equipes impulsionam a quebra de paradigma, o pensamento crítico, criativo e a colaboração. Também mobilizam a organização para a etapa mais difícil da inovação: a transformação das ideias em realidade.
Como concretizar ideias?
É nesse momento que a estrutura de inovação deve conduzir, como um maestro conduz sua orquestra, o fluxo de transformação digital efetiva do negócio. Isso é possível de duas maneiras:
1. Agindo com viés estrutural, institucionalizando metodologias (ex.: design thinking, design sprint, agile, pipeline de inovação, etc).
2. Implementando processos corporativos que:
capturem, aprofundem e triem as ideias geradas pela organização;
acompanhem a execução dos projetos selecionados;
viabilizem o aprendizado e a evolução contínua dos novos produtos, serviços e fluxos de trabalho;
atraiam talentos e outras empresas com perfil diversificado, que agreguem expertise e/ou experiências ao ecossistema e ciclo de inovação;
fomentem continuamente a curiosidade e capacidade de autocrítica e reinvenção da organização;
viabilizem os investimentos financeiros e de tempo das pessoas para o foco de inovação e transformação.
A concretização das ideias é a engrenagem final deste motor de inovação corporativa. Ao verem o investimento efetivo da organização e participarem e/ou acompanharem a realidade sendo continuamente transformada por suas ideias, forma-se um ciclo virtuoso nas equipes e demais interfaces da organização.
Maurício Fiss, diretor executivo da área de Inovação e Transformação da ICTS, confirma essa visão:
“Investimos fortemente na estruturação de um framework que impulsiona a inovação, mas principalmente na formação de equipes que trabalhem com um espírito inovador no seu dia a dia. Serão elas que continuamente transformarão nosso negócio, impactando positivamente nosso ambiente de trabalho, parceiros, clientes e a sociedade em geral”, conclui.
Como vimos, a transformação digital é mais que um trabalho a ser realizado por uma equipe de pesquisa e desenvolvimento. Ela deve ser um sentimento e uma filosofia a ser vivida pelo colaborador dentro da organização. E se ter ideias é bom, pô-las em prática é ainda melhor.
Gostou do texto sobre transformação digital e inovação. Tem alguma ideia bacana sobre como engajar ainda mais os colaboradores na transformação digital? Deixe um comentário!
É prática usual nas empresas a realização de avaliação de riscos por meio de mapas de risco, mapas de calor e classificações de risco. Elas são baseadas em avaliações subjetivas da criticidade do impacto de possíveis eventos futuros, bem como de sua probabilidade de ocorrência.
Essas abordagens fornecem uma imagem geral dos riscos, parecem simples e compreensíveis para a maioria das pessoas. No entanto, elas geralmente resultam de um processo sistemático e fornecem um perfil aproximado dos riscos da organização.
Principais atribuições de uma avaliação de riscos
Atributos comuns do mapa de riscos incluem os objetivos da Alta Direção baseados em uma estratégia ou plano de negócios. Isso porque é ela quem fornece o contexto para a avaliação. É a partir desse contexto que se cria uma linguagem comum que possibilita a compreensão do universo de riscos relevantes e critérios predeterminados para a realização de uma avaliação de riscos.
Embora todos concordem que uma avaliação de risco eficaz nunca deve terminar com a gerência tendo em mãos uma lista de riscos, não é incomum que as avaliações de riscos tradicionais façam exatamente isso. E isso deixa os tomadores de decisão com poucas informações sobre o que fazer em seguida. Então, por que é um desafio para as empresas ir além de uma avaliação de riscos para um plano acionável? A Protiviti Brasil oferece quatro razões.
Razão 1. Impressões individuais na avaliação de riscos
Primeiro, o processo de avaliação de riscos pode permitir que impressões individuais afetem a avaliação, promovam o “pensamento de grupo” e se antecipem ao pensamento inovador.
Razão 2. Pessoas são diferentes, logo os entendimentos são diferentes
A pesquisa mostrou que escalas derivadas de descrições qualitativas de criticidade e probabilidade são entendidas e usadas de maneira diferente por pessoas diferentes. As avaliações de participantes desinformados costumam ser moderadas nessas escalas e podem distorcer os resultados gerais.
As interseções em um mapa de risco são médias aritméticas de visões, algumas vezes, amplamente dispersas e não são necessariamente um consenso dos avaliadores participantes.
Razão 3. Experiências passadas podem distorcer uma análise racional
Avaliações subjetivas são, frequentemente, influenciadas pela experiência. Esse é um atalho perigoso no processo de avaliações de riscos. Isso porque se tem algo que aprendemos ao longo dos anos é que o passado nem sempre é um indicador confiável do que esperar no futuro.
Por exemplo, a crise financeira nos ensinou que o que não sabemos é mais importante do que aquilo que sabemos.
A integridade do processo de avaliação de riscos pode ser prejudicada pelo excesso de confiança decorrente de sucessos passados e por uma visão excessivamente simplificada do futuro.
Razão 4. Situações extremas são deixadas de lado
O processo tradicional de avaliação de riscos oferece poucas informações sobre o que fazer com exposições a eventos extremos. Às vezes, o processo leva a uma conclusão para tirar dos holofotes os chamados riscos de “alto impacto, baixa probabilidade”.
Isso é resultado das baixas probabilidades de eles ocorrerem e de uma falsa sensação de segurança decorrente da falta de precedência histórica. Esses eventos, caso ocorram ou não de forma inesperada, frequentemente causam mais danos.
Portanto, o processo precisa levar em conta fatores como a rapidez ou a velocidade do impacto, a persistência do impacto ao longo do tempo e a prontidão de resposta da organização.
Ainda há espaço para abordagens tradicionais de avaliação de riscos, pois geram reconhecimento e permitem a obtenção rápida de uma visão geral do risco. Principalmente quando uma empresa está apenas iniciando seu percurso pelo ERM (Enterprise Risk Management – Gestão de riscos dos negócios).
No entanto, as abordagens tradicionais perdem seu valor ao longo do tempo e se tornam mais uma ferramenta de “olhar para o passado”. E na verdade elas deveriam ser um exercício prospectivo à medida que o gerenciamento de riscos da empresa evolui.
Dessa forma, mecanismos de avaliação de riscos mais focados podem ser necessários para fornecer informações que a gestão da empresa necessita. Se muito pouco acontecer como resultado do processo de avaliação de riscos de uma organização, este será um sinal claro de que abordagens alternativas devem ser consideradas.
A “Avaliação de Programas de Compliance Corporativos” (Guia de Orientação do Programa de Compliance) atualiza a orientação divulgada anteriormente em 8 de fevereiro de 2017 e fornece às empresas maior clareza na avaliação do governo americano sobre programas de Compliance.
O Guia de Orientação do Programa de Compliance expande as “questões fundamentais” previamente fornecidas para os procuradores para avaliar se um programa de Compliance está adequadamente identificando e prevenindo a conduta indevida.
Perguntas fundamentais sobre os programas de Compliance
O programa de Compliance da corporação é bem projetado?
O programa está sendo aplicado com honestidade e de boa fé? Em outras palavras, o programa está sendo implementado de forma efetiva?
O programa de Compliance funciona na prática?
Notavelmente, embora os principais fatores relevantes para a análise por um procurador permaneçam os mesmos, este Guia enfatiza que não existe uma abordagem única para avaliar o programa de Compliance de uma empresa. Em vez disso, “o perfil de risco de cada empresa e as soluções para reduzir seus respectivos riscos determinam a realização de uma avaliação particularizada/individualizada”. Com o objetivo de realizar a mencionada avaliação individualizada, o Guia de Orientação do Programa de Compliance fornece um conjunto organizado de tópicos com os quais a performance e o programa de Compliance de uma empresa serão avaliados.
O DOJ sinaliza que não está atrás de um “checklist” de esforços de Compliance, mas que espera que as empresas construam um programa de Compliance individualizado, que aborde os riscos reais e específicos enfrentados por este negócio e que seja adequadamente implementado para garantir que o mesmo seja verdadeiramente efetivo.
O Guia de Orientação do Programa de Compliance enfatiza que as empresas têm flexibilidade para construir/desenvolver e melhorar o programa de Compliance, com o objetivo de assegurar que o mesmo seja adaptado e direcionado para os riscos que as empresas enfrentam devido o atual ambiente normativo e legal. A alta direção da empresa deve ser envolvida e também ser responsável pelo processo de avaliação das áreas de alto risco.
Além disso, a empresa também deve contar com o apoio dos times de negócios para identificar as maiores áreas de risco, auxiliar no desenvolvimento de canais apropriados e eficazes de comunicação e garantir que as políticas, procedimentos, treinamentos e controles internos adicionais irão funcionar efetivamente no âmbito da estrutura da empresa e sua respectiva cultura. Cada empresa deve considerar os tipos de mas condutas que tenham maior probabilidade de ocorrer em seus negócios e mensurar se o programa de Compliance de sua empresa está projetado/desenvolvido para identificar, detectar e prevenir condutas impróprias, a priorização de áreas de alto risco, as atividades adicionais de Compliance serão voltadas para as atividades particularmente sensíveis.
Além disso, quando os procuradores estão avaliando como um programa de Compliance é estruturado e se existem suficiente quantidade e qualidade de funcionários e recursos dedicados ao programa de Compliance para promover os desenvolvimento e objetivos, os procuradores irão levar em conta características específicas de cada empresa, como “tamanho, estrutura e perfil de risco”. O Guia de Orientação do Programa de Compliance enfatiza que os procuradores devem garantir que o programa de Compliance de uma empresa não seja bom apenas no papel, mas que seja “projetado/desenvolvido para detectar os tipos específicos de condutas improprias mais prováveis de ocorrer na linha de negócios de uma empresa em particular”.
Alta direção das empresas
A alta direção de cada uma das empresas também deve demonstrar de maneira visível a liderança e o compromisso com uma cultura de Compliance por meio de ações concretas. O Guia de Orientação do Programa de Compliance instrui os procuradores a buscarem provas concretas de exemplos de como a alta gestão está definindo tom de Compliance para o restante dos funcionários da empresa e como esta sendo comunicado aos funcionários que a alta administração realmente tem seriedade em relação ao programa de Compliance.
A alta direção deve ir além de apenas enviar mensagens e, de fato, fazer ações concretas para modelar e incentivar o comportamento adequado. Isso deve incluir o ato de “ não incentivar os funcionários a agir de forma antiética para atingir um objetivo comercial”.
O Guia de Orientação do Programa de Compliance enfatiza que os procuradores devem questionar se a expertise de Compliance tem estado disponível para o conselho da empresa. Isso inclui se o conselho se reuniu individualmente com o Compliance Officer e seu time (se aplicável) e outras funções de controles, quais foram os os tipos de documentos e informações que foram disponibilizados para o conselho, incluindo no que diz respeito a áreas onde violações de políticas da empresa ocorreram. As empresas devem considerar como será endereçada a questão da supervisão do conselho em relação ao Compliance Officer e sua equipe e como essa supervisão foi documentada ao longo do tempo.
O Guia de Orientação do Programa de Compliance novamente reforça os princípios que o DOJ, por longa data, tem requerido em relação a um programa de Compliance efetivo, especificamente, o departamento de Compliance da empresa deve ter orçamento adequado e possuir os recursos, autoridade e apoio da alta administração para efetivamente avaliar, investigar e sugerir medidas disciplinares para violações.
As empresas devem garantir que as investigações internas sejam conduzidas no tempo e de forma adequada. Por exemplo, o Guia coloca em prática procedimentos para assegurar que as “investigações sejam independentes, objetivas, apropriadamente conduzidas e adequadamente documentadas”. Caso uma conduta indevida seja identificada, o Guia de Orientação do Programa de Compliance estabelece a obrigatoriedade que a empresa realize uma análise adequada e honesta de causa raiz da conduta indevida, com o objetivo de entender: (i) o que contribuiu para tenha ocorrido a má conduta; e (ii) o grau de remediação necessária para prevenir que eventos semelhantes ocorram novamente no futuro. Ao fazer isso, as empresas não apenas estão reagindo a conduta indevida, mas, de fato, lidando com a conduta inadequada em questão ao utilizar a investigação como uma oportunidade para identificar a causa raiz da má conduta e quaisquer pontos fracos no programa de Compliance e/ou nos controles internos da empresa. A empresa terá a oportunidade realizar melhorias onde for necessário baseado no conceito de “lições aprendidas”.
O Guia de Orientação do Programa de Compliance também aconselha aos procuradores a questionar se a empresa realizou testes nos controles e fez análises de dados em áreas de riscos de Compliance e, quando os sinais de riscos são identificados se seguiu adiante com entrevistas com funcionários visando detectar a causa raiz em sua essência.
O DOJ também sugere aos procuradores para que eles devam examinar com que frequência e de que forma a empresa está mensurando sua própria cultura de Compliance, através de imputs de funcionários de toda a organização sobre suas respectivas percepções sobre o compromisso da alta administração com o programa de Compliance. Em outras palavras, em vez de simplesmente confiar nas informações fornecidas por meio dos canais de denúncias da empresa sobre potenciais violações de conduta, as empresas devem buscar informações dos funcionários sobre a cultura de Compliance da empresa antes que as violações sejam relatadas.
Principal lição
A principal lição deste Guia seja que, mais do que nunca, que as empresas devem realizar um cálculo do risco que querem e/ou devam enfrentar ao decidir quanto irão investir em um programa de Compliance que seja realmente efetivo. Com maior ênfase, o DOJ expressou a opinião de que “programas de Compliance de papel” não são suficientes, e que o DOJ está se tornando muito mais sofisticado em sua abordagem para determinar a efetividade ou não de um programa de Compliance.
Embora o tamanho e a forma variem, toda empresa deve se perguntar se está lidando com cada um dos elementos de um programa de Compliance de forma efetiva e foram dedicados recursos suficientes para endereçar/ lidar com as atividades de negócios de maior risco, não somente em bases reativas, mas antecipando que a violação ao programa de Compliance pode ocorrer.
A aversão a vamos prevenir/evitar “problemas no futuro”, embora muitas vezes difícil de ser financeiramente avaliada sob o ponto de vista do retorno sobre o investimento, é provavelmente o maior incentivo para as empresas que investem e implementam programas de Compliance efetivos.
Riscos empresariais podem ser resumidos como as incertezas com as quais os gestores devem lidar quando estão à frente de uma organização. Em maior e menor grau, toda organização está exposta a riscos, sejam eles regulatórios, operacionais, estratégicos, cibernéticos, entre tantos outros tipos possíveis. A auditoria interna é uma aliada indispensável nesse contexto.
Como mencionado, a incerteza é natural. No entanto, quanto melhores as condições de as empresas dimensionarem os riscos maiores serão as chances que elas terão de obter sucesso no mercado em que atuam. E é exatamente em face desse trabalho que a auditoria interna ganha relevância.
Afinal de contas, fica a cargo deste departamento acompanhar a conformidade dos processos de trabalho e atuar de forma preventiva para evitar quaisquer problemas dessa natureza. Para quem é auditor ou tem alguma interface com o trabalho de auditoria na organização vale ficar atento ao que vem sendo chamado de próxima geração da auditoria interna. E este é o tema do artigo de hoje. Continue a leitura e entenda quais são eles.
Entenda as dimensões da auditoria interna
O risco empresarial pode ser pensando tanto sob o ponto de vista interno quanto externo. No tópicos, a seguir, vamos pontuar o que é cada um deles. Acompanhe!
Externo
O risco externo tem a ver com o humor do mercado e a percepção do ambiente exterior em relação à organização. Para mensuração desse tipo de risco, vale a analise de notícias, comentários em redes sociais, informações setoriais. Enfim, acompanhar o comportamento de agentes externos em relação à empresa, de modo a capturar situações adversas e trabalhar de forma preventiva em relação a possíveis problemas.
O objetivo aqui é apurar as menções que a empresa recebe em diferentes espaços, sejam elas boas ou de ruins. Ou, ainda, tentar reconhecer algo que não esteja diretamente relacionado organização, mas que talvez possa impactá-la.
Interno
Os riscos internos estão ligados a questões operacionais. A partir disso, podemos pensar em uma série de pontos relevantes, tais como: qual é o risco se a equipe de vendas não souber apresentar determinado produto ao mercado? Quais os riscos das lideranças de um negócio gerirem mal o os profissionais dos seus times? Como trabalhar com esses riscos? Que ações tomar?
Para ficarmos em um exemplo prático, podemos pensar no risco de acidente de trabalho. Existe todo um protocolo adotado pelas organizações, o que envolve diferentes níveis de monitoramento, treinamento, adoção de equipamentos, checklist procedimental, entre tantas outras coisas. No entanto, existiria um trabalho consistente para se verificar quais são as reais causas dos acidentes de trabalho? Ou a empresa estaria apenas reproduzindo antigos processos que, muitas vezes, são insuficientes para tratar do problema?
E é aí que a próxima geração da auditoria interna ganha relevância. Isso porque esse tipo de abordagem pressupõe a adoção de técnicas inovadoras para tratar os riscos em sua “causa raiz”.
Uma abordagem válida frente ao problema de segurança em ambiente de trabalho seria realizar uma análise minuciosa dos acidentes já registrados se valendo de técnicas de tratamento de grandes volumes de dados e inteligência artificial afim de identificar padrões frente aos casos observados.
Tendências da auditoria interna
Conheça as principais tendências da auditoria interna frente as interfaces de governança, metodologia e tecnologia.
Governança
No que se refere a governança da auditoria interna, o que se espera das equipes é um constante esforço voltado à inovação. Para isso, se faz necessário estabelecer uma visão coletiva de múltiplos riscos, controles, conformidades — tudo isso avaliado a partir de uma perspectiva única.
Cabe também fazer algumas considerações em relação à formação dos profissionais ligados a atividades de auditoria interna. O que era há bem pouco tempo considerado qualificação ou função do futuro, hoje já se considera como técnica essencial para exercício desse tipo de atividade. Isto é, se espera cada vez mais por novas abordagens para a condução dos trabalhos e aplicação dos talentos e recursos.
Quando se fala em auditoria interna, não se pode perder de vista as melhores práticas de auditoria interna. Afinal de contas, trabalhar pela integridade e ética nas organizações também é uma competência das auditorias internas.
Metodologia
Quanto à metodologia da auditoria interna, deve-se considerar a adoção de uma avaliação dinâmica de todos os processos. Isso se dá a partir do uso de fontes de dados internas e externas. Além disso, há de se pensar na implementação de um programa maduro de monitoramento, que permita às auditorias internas responder às mudanças nos negócios quase que em tempo real.
As novas tendências de metodologia também passam pela geração de relatórios de alto impacto. Isso porque formatos de relatórios longos e narrativos dificultam um bom aproveitamento das informações absolutamente estratégicas desses documentos.
Tecnologia na auditoria interna
A tecnologia incorporada ao ciclo de vida da auditoria interna será uma competência vital às organizações. Afinal de contas, o tratamento de grandes volumes de dados gerados pelas empresas acaba por exigir ferramentas cada vez mais refinadas. Em meio a esse trabalho, cabe explorar as tecnologias existentes e aquelas em ascensão, como RPA, Inteligência Artificial, Machine Learning, analise massiva de dados, etc.
Com a automatização de tarefas altamente manuais dentro da função, o aproveitamento de dados permite entender processos em um nível mais profundo. Além disso, graças aos métodos de AI e algorítmicos, ainda é possível aumentar a eficácia e a eficiência de testes complexos, o que contribui para o reconhecimento de padrões.
Frente a esse que foi exposto, podemos afirmar que a análise de dados massivas e uma variedade de aplicações de tecnologias é uma característica definidora das funções de auditoria interna da próxima geração.
A interrupção das atividades de transportes de carga não é uma novidade. Só no Brasil, há histórico de greve nos anos 1999, 2008, 2013, 2015, 2017, além da recente paralisação nacional organizada em função do reajuste do preço do óleo diesel. Este cenário não é exclusivo do nosso país, de acordo com o Relatório de Resiliência no Supply Chain de 2017, do Business Continuity Institute (BCI). Realizado em 64 países, o documento apresenta a Interrupção das Atividades de Transporte como a 5ª maior causa de ruptura no Supply Chain, precedida por questões relacionadas a telecomunicações e ciberataques. Nesse sentido, a gestão de continuidade de negócios é essencial.
O relatório aponta que os principais impactos destas rupturas estão relacionados a perda de produtividade e de receita e aumento dos custos após o evento, seguindo o perfil da realidade brasileira. Pela ótica de perda de produtividade, algumas empresas sofrem rapidamente com as rupturas, principalmente, aquelas que trabalham com alto giro ou baixos estoques, como as indústrias automobilísticas no modelo just in time ou varejistas, bem como os operadores logísticos, que contam com centros de distribuição e precisam de recorrência no fluxo de entrega.
Além disso, por conta do desabastecimento, também há perda de receita, que pode vir a comprometer de 2% a 5% do faturamento mensal das companhias. Com relação ao aumento de custos, no setor agropecuário, por exemplo, em que a escassez de produtos afeta rapidamente os preços, é possível que haja aumento de mais de 100%. Para se ter uma ideia, na greve de 2015, o preço da batata subiu 250%. Se este assunto não é novidade para os empresários brasileiros, por que sempre em situações de paralisações há surpresas e os impactos são tão significantes? A resposta está na falta de um Programa de Gestão de Continuidade de Negócios e Crises, que permite as organizações se prepararem para reagirem ao evento de forma rápida e retomarem as atividades com o menor impacto.
Para quem ainda não sabe, o primeiro passo do programa é o planejamento. Nesta fase, são identificados os processos e recursos críticos à empresa, para que sejam traçadas alternativas com o intuito de evitar e/ou minimizar impactos e definir os papéis e responsabilidades dos executivos e suas equipes. Dessa forma, é possível identificar, por exemplo, outros fornecedores ou parceiros de distribuição, que podem atender em casos de emergências, ou formas de aumentar o nível de estoque, conforme o tempo de ruptura médio provável.
A segunda fase, a de preparação, envolve a execução de passos previstos no planejamento, a formalização e a divulgação dos planos para os responsáveis, como no exemplo anterior, em que é preciso entrar em contato com os parceiros e fornecedores, para definir os gatilhos e o formato de abastecimento de itens críticos, ou aumentar os espaços para atender o novo nível de estoque. Essas etapas são as mais importantes e seguem o princípio de que “o momento de consertar o telhado é quando o sol está brilhando”. Após o planejamento e a preparação, a empresa passa a ter um plano com ações definidas, para ser ativado no momento de um evento, como no caso da greve dos caminhoneiros.
A implantação de um Programa de Gestão de Continuidade de Negócios e Crises é fundamental para a resiliência das empresas em situações de interrupções e crises, tanto que 74% das que foram analisadas no relatório da BCI contam com um plano de continuidade. Vale ressaltar ainda que o compromisso da alta gestão aumentou de 33%, em 2015, para 41%, em 2017.
Por Victor Tubino, gerente de BPI (Business Performance Improvement) e Risk Management e líder da prática de Distribuição e Gestão de Estoques da Protiviti do Brasil
O monitoramento de informação não é apenas uma boa prática para a segurança de dados das empresas, mas uma necessidade. Um levantamento realizado pela Protiviti Brasil mostra que entre 2014 e 2018, dos 32 mil incidentes analisados nas empresas que participaram da pesquisa, mais de 70% eram relativos ao vazamento de informações.
O vazamento de informações confidenciais tornou-se um dos principais desafios de negócios globalmente. Hoje, nenhuma indústria ou empresa está 100% protegida contra perda e/ou roubo de dados. Garantir a segurança das informações está se tornando parte integrante dos processos de negócio e papel do monitoramento de informação.
Vazamentos mais comuns são a divulgação de resultados, planejamento financeiro, projetos estratégicos, dados dos colaboradores e dados de clientes. Normalmente esses vazamentos ocorrem internamente, cometidos por pessoas da organização.
É importante também conhecer a relação que existe entre os tipos de incidentes como, por exemplo, um incidente detectado sobre perda de talento, que ocorre quando o colaborador pretende deixar a empresa, geralmente está associado aos incidentes vazamento de informação. Quando o colaborador decide deixar a empresa, ele inicia um processo de transferência de arquivos para seu e-mail particular, para que ele possa utilizar essas informações em outras empresas que ele virá a trabalhar.
Com a lei geral de proteção de dados (LGPD) que entrou em vigor em agosto de 2020, os cuidados com os dados devem ser ainda maiores. Isso significa que as empresas precisam monitorar toda movimentação realizada, garantindo a segurança destas informações.
Além do vazamento de informações o monitoramento de informação pode detectar fraudes corporativas. E, quando há a falta de monitoramento de informação, a maioria dos riscos só são detectados depois de ser tornarem um problema. E essa detecção tardia da ameaça interna reduz as opções de correção.
Uma fraude não acontece da noite para o dia. O fraudador vai testando o ambiente, inicialmente de uma forma mais tímida e assim aumentando o risco de grandes fraudes. Com um monitoramento de informação efetivo é possível verificar indícios precoces da intenção.
A maior parte do gerenciamento de risco é, na verdade, o gerenciamento de incidentes e o foco está no forense.
Quais os riscos de um ambiente de trabalho sem monitoramento de informação?
Com o monitoramento de informação no ambiente é possível cobrir diversas irregularidades e riscos, tais como:
Quanto maior o número de entidades sob o monitoramento de informação maior será a capacidade de detecção, prevenção e reação.
Visto a quantidade de riscos existes, podemos dizer que o monitoramento pode ser utilizado por diversas áreas de uma empresa a exemplo, áreas de compliance, recursos humanos, investigação, segurança, qualidade, auditoria, entre outras.
Quais são as áreas que trazem mais estes tipos de incidentes
Em pesquisa realizada ao logo destes 10 anos na ICTS Protiviti, mostrou que operações/manufatura e comercial concentram mais de 50% dos incidentes detectados. Isso mostra que devemos estar mais atentos a elas, mas sem deixar de lado as demais áreas como a financeira, marketing, recursos humanos, logística.
Quais os níveis organizacionais com maiores riscos?
Nível estratégico: possui menos incidentes, porém são casos de maior criticidade, os assuntos que mais aparecem neste nível é a corrupção, assédio, favorecimento, vazamento de informações estratégicas e contato com concorrentes.
Nível tático: possui quantidade relevante de incidentes com variações nos impactos, nem crítico nem baixo, são equilibrados, os incidentes relacionados a este nível é a fraude, vazamento de fórmulas e segredos industriais, relacionamento com concorrente e perda de talentos.
Nível Operacional: possui a maior parte de incidentes de médio e baixo impactos que sinalizam tendências e sugerem planos de ação preventivos, os assuntos relacionados são o desvio de conduta, vazamento de informação, perda de talentos, erros operacionais, transgressão às regras, contato com sindicato e concorrente.
Segundo nossa experiência de mais de 10 anos, 100% das empresas possuem dados suficiente para detectar e prevenir diversos riscos.
Monitoramento de informação de Acordo com a Lei
Monitoramento de informação do ambiente corporativo é uma ferramenta útil para a prevenção e mitigação de riscos. Porém, não é incomum o tráfego de dados pessoas. Para estar em conformidade, alguns pontos precisam ser verificados:
Ter políticas claras e acessíveis.
Comunicar sobre o monitoramento do ambiente e seus objetivos.
Obter ciência e consentimento dos colaboradores, terceiros, todos envolvidos no processo de monitoramento.
Manter o acesso limitado/restrito aos dados.
Seguir as melhores práticas de segurança da informação e confidencialidade e garantir que o processo interno mantém essas regras/diretrizes, incluindo a proteção de dados pessoais.
Ter definido e disponibilizado a informação sobre o tempo de armazenamento dos dados.
Não fazer distinção de pessoas quanto as regras que serão aplicadas.
Os 4 pilares para um processo maduro de monitoramento envolvem unir
Confira os pilares do monitoramento de informação eficaz e maduro.
Conhecimento em riscos: contando com uma equipe especializada em riscos corporativos, deve-se buscar entender as necessidades específicas de cada corporação e ter ciência sobre diferentes impactos em diversas ações antiéticas e noções de priorização.
Conhecimento técnico: ter expertise na plataforma que integre informações de diversos dispositivos da empresa. É necessário entender de elaboração de regras e dicionários específicos para as necessidades de cada empresa.
Plataforma tecnológica moderna: possuir plataforma de monitoramento que consiga abranger diversas fontes de dados (comunicações corporativas, armazenamento, devices externos, logs de impressora etc.).
Independência: garantir a confidencialidade, neutralidade no tratamento, cumprimento da LGPD (Lei Geral de Proteção de dados), escalonamento imparcial para tratamento de todo e qualquer incidente.
Dividimos o monitoramento em três níveis de maturidade
Podemos classificar o monitoramento de informações das empresas em três níveis de maturidade. Leia e veja em qual a sua organização se encaixa.
Sem monitoramento: não há monitoramento preventivo nem reativo. Quando acontece uma situação, a empresa não consegue buscar informações dentro dos dados que possui. A corporação está à mercê de riscos como vazamento de dados, processos trabalhistas, corrupção e outros.
Monitoramento inicial: nele a empresa tem um monitoramento reativo, há uma ferramenta que o setor de Tecnologia da Informação utiliza para barrar alguns acessos, porém nem sempre há tempo e recursos para explorar todas as funcionalidades da ferramenta. Existem alguns dados levantados pelo TI quando a investigação é necessária, porém é difícil manter a confidencialidade do assunto. Nem sempre há tempo ou equipe para fazer esse monitoramento. Com isso, ficam “pontas soltas” e falta conhecimento para uma investigação apropriada. Isso impede a captura de dados que seriam essenciais para esse processo.
Monitoramento Maduro: possui monitoramento preventivo e investigativo. Empresas com esse nível de maturidade contam com equipe especializada em riscos corporativos, com expertise sobre os diferentes impactos em diferentes ações antiéticas. Ela também possui noções de priorização, conhecimento técnico e uma plataforma moderna que integre diversos ativos da empresa em uma visão de 360º. Isso garante a confidencialidade, a neutralidade, a privacidade de dados pessoais, o escalonamento imparcial e a terceirização de indicadores confiáveis (KPI).
Como vimos o monitoramento de informação é fundamental para corporações que desejam evitar perdas por atitudes antiéticas, fraudes, vazamentos entre outros. E para isso, é preciso seguir alguns pilares que garantem que a empresa tenha total maturidade para lidar com esse processo, seja de forma preventiva ou reativa.
Já ouviu falar em RPA? Ou automação robótica de processos? Muitos sites pedem para você fazer um pequeno teste antes de autorizar seu acesso. Você provavelmente já se deparou com um deles! Por exemplo: já ficou procurando semáforo em 8 fotos? Ou tentando decifrar letras e números meio confusos em uma imagem? Ou, até, simplesmente clicou em uma caixinha declarando “não sou um robô”?
Essas ferramentas são chamadas de CAPTCHA, sigla que, traduzindo para português, significa “Testes completamente automatizados para separar Humanos de Computadores”. Elas têm como finalidade evitar o acesso de robôs aos sites.
Mas, afinal, que robôs são esses que ficam tentando acessar sites na internet?
Diferentemente do que você pode imaginar, não são braços mecânicos que mexem sozinhos no mouse e no teclado. Na verdade, são simples programas de computador que podem executar automaticamente atividades pré-determinadas, simulando o comportamento de um usuário humano. Em outras palavras, são softwares de automação de processos, com sigla em inglês RPA (Robotic Process Automation).
Isso nos leva justamente ao tema desse artigo: como os robôs são usados?
RPA: o mau uso da automação de processos com robôs
Agora, você sabe que existem softwares robôs, ou bots, que conseguem executar atividades que emulam sua interação com o computador. Um exemplo do que eles são capazes de fazer é acessar redes sociais e curtir posts sobre assuntos específicos, que ele reconhece por meio de palavras-chave.
Se você acompanhou toda a discussão sobre o uso de robôs pelos partidos políticos na eleição de 2018, já deve ter entendido como estes podem ter impactado o processo.
As redes sociais usam algoritmos para definir quais conteúdos aparecem mais na timeline das pessoas, e um dos elementos desses algoritmos é o número de interações com o conteúdo. Então, se você tem bots dando “likes” sem parar em determinado post ou perfil, esse conteúdo vai ganhar mais visibilidade.
Esse é um exemplo de mau uso da tecnologia e, voltando ao início desse texto, para evitar esse tipo de problema é que foram criados os testes CAPTCHA e outras ferramentas de controle.
RPA: o bom uso da automação de processos com robôs
No entanto, cuidado para não se enganar pensando que os robôs só podem ser usados para finalidades negativas. De fato, o bom uso de uma tecnologia de RPA pode ajudar, e muito, pessoas e empresas a melhorar suas rotinas de trabalho e seus resultados!
Você já ligou para o telemarketing de uma operadora de telefonia ou TV a cabo, informou seus dados pessoais e ficou aguardando um tempão na linha, sem ouvir nada? Quando isso acontece, é provável que o atendente esteja buscando manualmente suas informações em diferentes sistemas da empresa. Só depois é que ele vai conversar com você para entender o seu problema dar uma solução. Nada eficiente, certo?
Felizmente, esse cenário, que antes era muito comum, está mudando. Aplicando automação neste processo, o cliente pode digitar seu CPF no teclado do telefone e o robô busca automaticamente todas as informações do usuário nos sistemas. O resultado sai em questão de segundos e muitas vezes nem é necessário acionar o atendente humano para resolver seu problema, mas caso seja necessário o atendente já entra na ligação com tudo que ele precisa para focar na solução do seu problema.
Com a automação de processos por meio do uso do robô no atendimento, todos saem ganhando. Ganha o cliente, que recebe um atendimento mais ágil; o atendente, que consegue alcançar uma maior produtividade no trabalho, eliminando a parte burocrática do atendimento; e a empresa, que consegue atender mais clientes e com melhor qualidade, o que ajuda na fidelização.
Adotando o RPA na prática: desafios
As soluções e ferramentas de RPA estão disponíveis e cada vez mais acessíveis. Entretanto, isso não significa que não existam alguns desafios a superar.
Em primeiro lugar, para tirar proveito destas soluções, é importante saber escolher e priorizar as rotinas e atividades que serão automatizadas, garantindo o máximo benefício para os envolvidos.
Uma vez que são escolhidas as atividades, é importante garantir a documentação do processo que foi automatizado, pois como todo software o robô também é sujeito a falhas e é importante que alguém assuma a atividade caso o robô pare de funcionar.
É por isso que muitas empresas vem investindo na construção de Centros de Excelência de Automação de Processo, que suportam a identificação de oportunidades de automação, implantação dos robôs e manutenção das atividades conduzidas por robôs.
A grande vantagem da robotização
Se você precisar se lembrar de apenas uma vantagem da automação de processos, depois de ler esse artigo, que seja essa: as pessoas podem parar de trabalhar em atividades repetitivas, que acrescentam pouco, e aproveitar melhor seus talentos para atividades que geram mais valor!
Quer saber mais sobre RPA, automação de processos e robôs? Entre em contato com a Protiviti, que é especialista no assunto, e nossa equipe vai responder todas as suas dúvidas sobre o assunto.
