Vivências reais sobre governança, riscos, compliance, controles internos e auditoria
Depois de tantos anos observando de dentro a estrutura das empresas, cheguei a uma conclusão que parece simples, mas que muita gente ainda não colocou em prática: o que chamamos de GRC, governança, riscos e compliance, só funciona quando está integrado à rotina e ancorado na cultura. Falar de integridade, riscos e controles é relativamente fácil em relatórios, apresentações e discursos institucionais. Sustentar esses pilares no dia a dia, especialmente diante de pressões internas, é o verdadeiro desafio. E é nesse espaço entre o discurso e a prática que as falhas costumam se instalar.
Aprendi ao longo da trajetória que muitas dessas falhas não são fruto de má-fé. Elas nascem em ambientes permissivos, silenciosamente coniventes com pequenas brechas, e se multiplicam onde a estrutura não tem coragem para sustentar seus próprios princípios. O que compartilho aqui não é teoria. É vivência.
Riscos: só os que doem chamam atenção
Já ouvi inúmeras vezes a frase: “aqui nunca aconteceu nada”. Ao longo dos anos aprendi a interpretar essa afirmação com cuidado. Ela pode significar três coisas muito diferentes. Pode ser que os riscos estejam realmente bem controlados. Pode ser que ninguém esteja olhando para onde deveria. Ou pode ser que algo já esteja acontecendo e simplesmente ainda não foi descoberto.
Vi empresas subestimarem riscos relevantes apenas porque nunca haviam se materializado antes. Até que um dia o improvável virou realidade e o custo foi altíssimo. Risco ignorado é oportunidade para o problema crescer em silêncio. A gestão de riscos precisa sair do papel e entrar nas decisões do dia a dia: mapear, tratar, priorizar e revisar com frequência. Não como exercício burocrático. Como ferramenta de gestão.
Controles internos: um sistema só é forte se não depender de quem está no poder
Já identifiquei falhas graves em controles internos que teoricamente existiam. O problema, nesses casos, não era a ausência do controle. Era sua fragilidade estrutural: ele dependia de quem ocupava o topo da hierarquia para funcionar. E quando quem está no topo decide que as regras não se aplicam a si mesmo, o controle deixa de ser preventivo e vira papel assinado.
Em uma das situações mais emblemáticas que vivenciei, um alto executivo tinha acesso irrestrito a processos que envolviam autorização e liquidação de valores relevantes em seu próprio benefício. O controle existia formalmente. Mas ninguém ousava questioná-lo. Controle que não resiste à autoridade não é controle. É ilusão de segurança. E ilusões de segurança são, talvez, mais perigosas do que a ausência de qualquer controle, porque criam uma falsa sensação de proteção.
Auditoria: perguntar onde ninguém quer responder
O papel da auditoria não é apenas olhar para o que foi feito. É investigar o que deixou de ser feito, e por quê. É incomodar, provocar, tirar o gestor da zona de conforto, acender alertas antes que os prejuízos apareçam no balanço. A força da auditoria não está apenas nos testes e nos papéis de trabalho. Está na independência real para reportar o que precisa ser dito, mesmo quando isso desagrada.
E aqui reside uma das lições que considero mais importantes: não basta ter uma área de auditoria. É preciso que ela tenha voz, acesso direto a quem decide e posicionamento correto dentro da estrutura de governança corporativa. Uma auditoria subordinada ao mesmo gestor que audita é uma contradição que nenhum procedimento formal consegue resolver.
Compliance: mais que regra, é cultura colocada em prática
Compliance é, ao mesmo tempo, o tema mais falado e um dos menos compreendidos do ambiente corporativo. Já vi códigos de conduta impecáveis, cartilhas premiadas, programas estruturados com todos os elementos formais. E uma realidade completamente diferente no comportamento dos líderes. Compliance não se mede pelo número de políticas criadas nem pela quantidade de treinamentos realizados. Mede-se pela coragem de aplicar as regras quando dói. Inclusive, e especialmente, para quem está no topo.
Se o compliance não for vivenciado pela liderança, ele é apenas um protocolo de fachada. Um conjunto de documentos que existe para ser apresentado em auditorias, não para orientar decisões. E programas de fachada não protegem organizações. Apenas criam a ilusão de que elas estão protegidas.
Governança corporativa: o lugar onde tudo deveria convergir
Se a governança falha, todo o resto desmorona junto. Já testemunhei estruturas em que o conselho de administração era apenas figurativo, com membros que pouco entendiam do negócio ou que estavam ali em razão de compromissos políticos. Nessas situações, não há controle, gestão de riscos, compliance ou auditoria que resolva. Porque o problema está na base.
Governança é mais do que formalidade. É coerência, independência, transparência e responsabilização. Quando esses elementos estão presentes de verdade, o GRC tem onde se apoiar. Quando não estão, ele vira discurso bonito, capaz de impressionar relatórios, mas incapaz de proteger a organização quando ela mais precisa.
Uma reflexão final
Depois de tantos anos nesse campo, sigo aprendendo todos os dias. Mas se há algo que carrego com certeza é a convicção de que GRC não é burocracia. É estratégia. É proteção. É compromisso com a longevidade do negócio.
Não existe empresa à prova de riscos. Mas existem empresas preparadas para lidar com eles. Essa preparação começa onde muita gente ainda não quer mexer: na cultura, na estrutura e na forma de tomar decisões. Porque, no final das contas, nenhum documento, nenhum sistema e nenhuma política substitui a coragem de fazer o que é certo quando fazer o certo custa alguma coisa.
Eder Carvalho Magalhães
Consultor em Governança, Riscos, Controles Internos, Compliance e Auditoria
