CNseg OSgovernancarisco 140918 er-WEB

GOVERNANÇA, RISCO
E COMPLIANCE NO SETOR
DE SEGUROS
A OPERAÇÃO
DE SEGUROS
P R O G R A M A
EDUCAÇÃO
EM SEGUROS
GOVERNANÇA, RISCO E
COMPLIANCE NO SETOR
DE SEGUROS
A OPERAÇÃO
DE SEGUROS
Objetivos deste livreto
Este livreto tem o objetivo de apresentar os fundamentos da Governança
Corporativa e das funções de Gestão de Riscos e de Compliance no setor
de seguros às associadas da CNseg, aos poderes Executivo, Legislativo
e Judiciário, aos órgãos de imprensa, às instituições acadêmicas e ao
público em geral.
“O conhecimento é poder.
A informação é libertadora.
A educação é a premissa do
progresso, em todas
as sociedades, em todas
as famílias.”
Kofi Annan
4 2018 | EDUCAÇÃO EM SEGUROS - A OPERAÇÃO DE SEGUROS
Índice
06 Capítulo 1
INTRODUÇÃO
24 Capítulo 3
GESTÃO DE RISCOS
1.1 GRC: Significado e motivação 3.1 Princípios da Gestão de Riscos

para um modelo integrado
3.2 Ambiente de controle
1.2 Referências Teóricas de GRC
3.2.1 Diretrizes da Estrutura
1.3 Aplicação do conceito de Gestão de Riscos
de GRC no mercado segurador
3.2.2 Identificação dos Riscos
1.4 GRC: desafios
3.2.3 Avaliação dos Riscos
e benefícios da integração
3.2.4 Solvência e Capital Baseado
1.4.1 Principais desafios
em Riscos
1.4.2 Benefícios da integração
3.2.5 Tratamento dos Riscos
3.2.6 Apetite e Tolerância aos Riscos
3.2.7 Comunicação
16
3.2.8 Monitoramento
Capítulo 2
GOVERNANÇA
2.1 Definição de Governança
2.2 Princípios
2.3 Integração entre as áreas –

GRC e Tone at the Top
2.4 Mecanismos de Governança
2.5 Linhas de defesa
2.6 Benefícios de se ter Governança

GOVERNANÇA, RISCO E COMPLIANCE NO SETOR DE SEGUROS 5
32 Capítulo 4
COMPLIANCE 46 Capítulo 5
CONCLUSÃO
4.1 A função de Compliance – o que é
4.2 Focos de um Programa
de Compliance
4.2.1 Prevenção à lavagem
de dinheiro
4.2.2 Prevenção contra fraudes
4.2.3 Prevenção à corrupção
4.3 Boas Práticas
48 Capítulo 6
GLOSSÁRIO
4.3.1 Canais de Denúncias

4.3.2 Comunicação
4.3.3 Treinamento
4.3.4 Avaliações de Risco
4.3.5 ISO 37001
4.4 Benefícios de um Programa
de Compliance
Introdução
Capítulo 1
1.1 GRC: Significado outros efeitos, na celebração de acordos

e motivação para um de leniência e em reconhecimentos
modelo integrado públicos de grandes empresas nacionais
de que não aplicavam princípios
importantes da GRC, assumindo o
A expressão Governança, Risco e compromisso de passar a observá-los.
Compliance, mais conhecida pela
sigla GRC, passou a ser recentemente A fim de compreender de forma
utilizada no mundo dos negócios. No individualizada cada um dos seus três
entanto, só utilizá-la não basta para elementos, é necessário mencionar que
compreendê-la, sendo imperativo as práticas de Governança Corporativa
entender cada um dos seus três compõem a primeira letra da sigla GRC.
componentes a partir da constatação As primeiras discussões organizadas
de que cada um deles, isoladamente, sobre o tema remontam à década
já faz parte do vocabulário do mundo de 1990, tendo como marco inicial a
corporativo há bem mais tempo. publicação do relatório Cadbury, em
1992, na Inglaterra. No Brasil, pode-se
Cada componente da GRC vem ganhando considerar como marco a fundação,
exponencial relevância no cenário em 1995, do Instituto Brasileiro de
brasileiro e mundial nas últimas décadas. Governança Corporativa (IBGC),
Infelizmente, menos em decorrência de referência nacional para o tema, e
iniciativas voluntárias para prevenção que elaborou seu primeiro código de
de ameaças, e mais por indução de leis melhores práticas em 1999.
ou regulamentos que buscam atacar
as causas de desvios de conduta, como Pode-se, de forma geral, dizer que
famosos casos de fraude a exemplo a governança de uma empresa está
da que envolveu a empresa americana relacionada com a forma como uma
Enron, que acabou resultando, em 2002, organização é dirigida, ou seja, com
na aprovação, pelo Congresso dos a definição e, principalmente, com o
Estados Unidos, da Lei Sarbanes-Oxley, exercício de práticas que permitem
mais conhecida como SOX. A lei veio a alinhar as expectativas não só de
estabelecer padrões rígidos de GRC para acionistas e administradores, mas
as companhias com ações negociadas em também das demais partes interessadas
bolsas de valores americanas. (pessoal, consumidores, fornecedores,
credores, governo e a sociedade em
No Brasil, exemplos recentes são os geral). Nesse contexto, emergem as
casos de corrupção advindos das bases da Governança Corporativa: a
investigações da Operação Lava-Jato, transparência, a equidade, a prestação
associada à promulgação da Lei de contas e a responsabilidade
nº 12.846/13, conhecida como Lei corporativa, fazendo com que o controle
Anticorrupção, que redundaram, entre seja tão importante quanto a gestão.
A segunda letra da sigla GRC está o termo ter se popularizado no

relacionada à Gestão de Riscos. O conceito Brasil recentemente, as primeiras
de risco evoluiu ao longo do tempo e é menções a essa função remontam
dependente do contexto em que está à metade do século XX.
inserido. Porém, para essa abordagem
inicial, vamos utilizar a definição que está Pode-se dizer, portanto, que GRC, muito
expressa na norma ISO:31.000, de 2009, mais que apenas uma reunião dessas
que trata risco como “o efeito da incerteza três práticas, é algo bem mais elevado
nos objetivos”. A Gestão de Riscos, como, por exemplo, definem Nicolas,
realizada ao longo do desenvolvimento WEIPPL, Edgar e SEUFERT, Andreas:
humano de forma intuitiva, ganhou
maior notoriedade a partir de alguns GRC é uma abordagem
compromissos internacionais como holística e integrada,
o Acordo da Basileia e a Diretiva de
Solvência II. Aqui, também se veem
para toda a organização,
reações a casos de escândalos financeiros de governança, riscos e
que resultaram na criação de frameworks Compliance que garanta
de referência como o The Committee of
Sponsoring Organizations - COSO, que
uma atuação ética e de
teve sua primeira versão em 1992, e a já acordo com o seu apetite
citada norma ISO:31.000, de 2009. ao risco, políticas internas
Por fim, a última letra refere-se a um
e regulamentações
termo já bastante utilizado no Brasil, o externas através do
Compliance. Em linhas gerais, estar em alinhamento da estratégia,
Compliance ou em conformidade, em
uma tradução livre para o Português,
processos, tecnologia e
significa ter seus negócios e atividades pessoas, melhorando assim
conduzidos nos estritos padrões da a eficiência e eficácia.
legislação e dos regulamentos oficiais
vigentes e de acordo com as políticas (A Frame of Reference for Research
empresariais e normas internas de of Integrated Governance, Risk and
procedimentos que, obviamente, não Compliance (GRC), tradução livre, 2014, p.9)
podem colidir com as primeiras. Mais
do que o cumprimento de normas, a Pensar em Governança, Risco e
função de Compliance tem a ver com o Compliance de uma forma combinada
zelo pela integridade da organização, agrega valor superior à mera existência
que está ancorado no comportamento isolada dessas três práticas, mediante a
adotado por seus administradores, criação de uma vantagem competitiva.
colaboradores e representantes em Ou seja, tratar cada um desses
cada situação cotidiana. Apesar de elementos da GRC de forma segregada,
cada qual em uma área de atuação e demandas individualizadas de

específica, como se fossem células sem governança, riscos e Compliance,
qualquer interconexão, pode levar à em detrimento das atividades fim da
perda da oportunidade de uma maior empresa e da busca pelo resultado
efetividade no processo. operacional. Por isso, não é raro
que gestores das áreas de negócio
A não coordenação desses assuntos, por questionem o fato de terem de gastar
um lado, faz com que seja necessário tempo excessivo com atividades
alocar diversos profissionais com que, em suas visões, se mostram
habilidades específicas atuando de redundantes ou, até mesmo, mais grave,
forma individual sobre temas que, contraditórias, quando não há um
quando integrados, resultam em modelo integrado de GRC.
ganho de escala e de eficácia; isso
ocorre não só para aqueles que cuidam A integração desses três componentes
desses temas nas organizações, mas em uma iniciativa coordenada e
também, por exemplo, para as áreas sinérgica proporciona uma atuação
de negócio, que acabam por dispensar que vai da participação na orientação
maior atenção e tempo às atividades estratégica às atividades mais
operacionais de uma companhia. 1.2 Referências

Portanto, o sucesso dessa integração teóricas de GRC
depende de um elemento fundamental
quando se fala de governança, risco e
Compliance: a adequação da cultura Entre as referências teóricas de
organizacional ou, como bem define o GRC, destaca-se a International
COSO, do “ambiente de controle”. Organization for Standardization
– ISO – que, por sua natureza
A cultura organizacional é, pois, além independente e não governamental,
de necessária, o fator fundamental auxilia o mercado na padronização
para o pleno desenvolvimento de uma de assuntos, aproximando-o dos seus
estrutura eficiente de GRC, porque, reguladores e sendo fonte riquíssima
como se viu, não basta juntar os três de conteúdo. Devem-se destacar a ISO
temas em um arranjo organizacional 31.000, que trata da Gestão de Riscos,
de uma única área, mas sim pensar e e a ISO 37.001, que trata de sistemas
atuar com esses temas de uma forma de prevenção à corrupção, como
integrada, coordenada e colaborativa, documentos ligados à GRC.
buscando melhor comunicação,
melhora do trabalho com as Como outra referência, é importante
diferentes equipes e, principalmente, citar o COSO, que tem como objetivo
gerenciamento da informação. produzir e divulgar documentos que
ajudam os mercados a respeito de
O desenvolvimento de um modelo Gestão de Riscos, controles internos
integrado de GRC deve, portanto, levar e prevenção à fraude. O COSO foi
em consideração aspectos da cultura fundado por entidades ligadas a
organizacional antes de olhar para os contabilistas, auditores internos e
aspectos regulatórios e comerciais, executivos de finanças, seus principais
uma vez que, sem essa visão de cunho documentos foram publicados a partir
cultural interno, não há como gerar e de 1992 (sobre Controles Internos), com
influenciar a governança, o ambiente diversas revisões ao longo dos anos.
de gestão de risco e os procedimentos Em 1999, ocorreu a primeira publicação
e práticas de Compliance, por sobre Prevenção à Fraude e, em 2004,
mais sofisticados e dispendiosos a publicação a respeito da Gestão
que eles possam parecer sob uma de Riscos Corporativos, esta revista
ótica individualizada e meramente em 2017, com a inclusão da perspectiva
operacional. Com isso, por um lado, da integração com as estratégias
se evitará que essas práticas estejam e desempenho das empresas.
desalinhadas com o objetivo de um
modelo integrado de GRC e, por outro, No Brasil, há que se destacar o já citado
que haja resistência de serem aceitas e Instituto Brasileiro de Governança
seguidas por todos os envolvidos. Corporativa (IBGC), que reconhece
a Gestão de Riscos como fator no contexto do mercado segurador

determinante para a perenidade de uma a mencionar o ambiente de controle,
empresa e como assunto necessariamente tratando de aspectos relacionados
ligado aos Conselhos de Administração. às características, responsabilidades,
monitoramento e supervisão desse
ambiente. Apesar de não tratar
1.3 Aplicação do explicitamente de Compliance, há
conceito de GRC no elementos característicos como a
mercado segurador necessidade de cumprimento de normas
e regulamentos e algumas atividades
No mercado de seguros, os de controle em relação a isso.
componentes do GRC começaram
a ter um marco regulatório elaborado Com o passar do tempo, outros
pela Susep a partir da publicação, em normativos foram adicionados ao
2004, da Circular Susep nº 249, que arcabouço regulatório que trata do
tinha como objetivo a implantação tema, no qual se destaca a Circular
de um sistema de controles Susep nº 344, de 2007, que trata de
internos. Tal norma foi a primeira controles para prevenção à fraude;
a Circular Susep nº 380/08, e,

posteriormente, a Circular Susep
nº 445/12, que abordam a necessidade
de controles para a prevenção à
lavagem de dinheiro; até, por fim,
chegar ao desenho da Circular Susep
nº 521/15, que trata da implantação
da Estrutura de Gestão de Riscos.
A despeito de o componente de
avaliação de riscos estar presente
já na Circular Susep nº 249/04, o
amadurecimento regulatório do
tema se deu com a publicação da
Circular Susep nº 521/15, junto com as
alterações da Circular Susep nº 561/17.
Essa norma está alinhada com o que
é praticado principalmente na União
Europeia em decorrência da Diretiva
de Solvência II, que busca promover a
gestão baseada em riscos com visão
integrada e adequada à complexidade
de cada empresa, e que associa
a necessidade de capital de uma
empresa ao seu amadurecimento em
O desenvolvimento
termos de governança corporativa, de de um modelo
gestão de riscos e de Compliance. integrado de GRC
É importante destacar o fomento dado
deve, portanto,
para que cada empresa busque os levar em consideração
próprios modelos e metodologias para aspectos da cultura
se adequar ao objetivo pretendido
pela mencionada Circular, sem
organizacional antes
determinar um escopo limitado, o de olhar para os
que ajuda a promover as discussões aspectos regulatórios
dentro das empresas e contribuir para
a evolução da cultura de riscos.
e comerciais.
A promulgação desses diversos

normativos de forma separada
consulta pública (nº 67), em junho

de 2018, proposta de Resolução
Normativa que dispõe sobre a
adoção de práticas de governança
corporativa, com ênfase em Controles
Internos e Gestão de Riscos pelas
operadoras de planos de saúde. A
proposta de normativo contemplou
a heterogeneidade do setor e teve
como base Nota Técnica e Relatório
de Análise de Impacto Regulatório
elaborados pela Diretoria de Normas
e Habilitação das Operadoras, além de
contribuições do setor apresentadas
em audiência pública realizada em
maio de 2018. Até a publicação deste
livreto, a Resolução Normativa não
havia sido publicada.
1.4 GRC: Desafios

e benefícios da
acabou por criar estruturas e integração
atividades operacionais apartadas
em cada empresa a fim de cumprir A integração das funções de GRC
essas regulações. Tal fato reforça a sob uma única estrutura gera
importância de se pensar na visão melhor alocação de recursos e
integrada do GRC no mercado de tempo, porque elimina trabalhos
seguros visto que, dessa forma, redundantes ou contraditórios,
tais assuntos seriam tratados menor demanda sobre as áreas de
conjuntamente de forma mais primeira linha de defesa dos objetivos
eficiente, o que permitiria a melhor estratégicos (as de negócios, as
gestão da informação e das ações operacionais e as de back-office),
a serem realizadas para gerar bem como maior eficiência para as
valor ao acionista e segurança de segunda linha de defesa (aquelas
para o regulador. inerentes a riscos, aspectos atuariais
e Compliance). Procedimentos,
No campo da Saúde Suplementar, práticas de Compliance , controles
a Agência Nacional de Saúde internos e gestão de processos
Suplementar (ANS) colocou em estarão desenhados com um melhor
entendimento do que é preciso para fundamental para a criação de um

cumprir com o que foi estabelecido ambiente de controle com alto grau de
pela empresa como seu apetite a risco maturidade e o mais próximo possível
e, portanto, alinhado com os objetivos do estado da arte, no que diz respeito
estratégicos. Ademais, facilita- à governança, risco e Compliance.
se a atuação da auditoria interna,
como atividade de terceira linha de O sucesso ou o fracasso de um
defesa, quando do monitoramento modelo integrado de GRC depende
periódico e sistemático da qualidade fortemente, como já se ressaltou, da
e do desempenho das atividades de cultura da empresa. Ela é essencial
primeira e de segunda linhas de defesa. na busca de maior eficiência das
práticas de governança, risco e
É esse alinhamento com a estratégia e Compliance de forma a criar um
a proximidade da alta administração desempenho superior e maior
e dos principais grupos de interesse transparência, fundamentais em um
com o assunto, que permite o cenário concorrencial cada vez mais
desenvolvimento e o aprimoramento acirrado, que exige um foco maior na
de uma cultura organizacional eficiência operacional. Eficiência esta
A aplicação de
práticas de GRC nas
empresas resulta em
inúmeros benefícios,
como por exemplo,
a interação entre áreas
e a melhoria
da performance
e dos resultados,
e a diminuição de
custos, decorrente
da eficiência
dos projetos.
que pode ser alcançada pela melhoria a busca pela sinergia entre as áreas,
do contexto interno focado na visão resultando na utilização de recursos e
da GRC como provedora de uma processos eficientes.
vantagem competitiva.
Para ilustrar essa dificuldade, tome-se
1.4.1 Principais desafios como exemplo a gestão dos riscos
emergentes, que constitui relevante
O arranjo necessário entre a definição desafio às estruturas de GRC existentes.
dos escopos, planejamento, execução e Com efeito, nem sempre é fácil
integração dos processos das funções estabelecer padrões sobre como
de Governança, Compliance, Gestão antecipar riscos emergentes como, por
dos Riscos Corporativos e Gestão exemplo, os derivados da introdução de
de Pessoas, executadas por diversas novos regulamentos ou de alterações
áreas de uma organização, pode não substanciais de normas já existentes, os
ser de fácil solução prática, motivo relacionados ao lançamento de novos
pelo qual um dos principais desafios produtos pela companhia, os oriundos
do desenvolvimento de um ambiente da entrada de novos competidores e as
de GRC integrado na organização é outras grandes mudanças que possam
gerar riscos futuros para a companhia.
No entanto, essa visão ficará facilitada
se, em vez de atualizarem de forma
isolada a governança, a gestão de
riscos e o Compliance, atuarem
de maneira coordenada.
1.4.2 Benefícios da integração
A aplicação de práticas de GRC

nas empresas resulta em inúmeros
benefícios, dentre os quais se destacam:
(i) interação entre áreas e a melhoria
da performance e dos resultados;
(ii) diminuição de custos, decorrente
da eficiência dos projetos, dos
processos e dos controles existentes;
(iii) maior segurança e confiabilidade
nas informações obtidas, o que
pode ser traduzido na geração de
valor perceptível pelos acionistas
e investidores e; (iv) diminuição de
fraudes e maior controle dos processos.
Governança
Capítulo 2
2.1 Contexto
A crescente necessidade de leis, regulamentos e normas sobre governança, aliada

à necessidade de definição de fatores de riscos e ao imperativo do Compliance,
tem obrigado as organizações a repensar o seu modelo de negócio. As práticas de
governança corporativa, se tratadas separadamente da gestão de riscos e do Compliance,
podem se tornar redundantes e gerar conflitos de interesses, inconsistências e
ineficiências. Por outro lado, adotar boas práticas de governança significa estar
alinhado à evolução do ambiente de negócios, o que passou a ser mandatório.
2.2 Definição
de Governança
Há diversas definições para governança de empresas, governança corporativa

ou simplesmente governança:
“A governança corporativa
Conjunto de mecanismos
é um termo abrangente
organizacionais que tem como
que inclui questões
objetivo delimitar os poderes e
específicas decorrentes
também influenciar as decisões
de interações entre
dos gestores; dito
alta administração,
de outra forma, que governam
acionistas, conselhos de
a sua condução e definem
administração e outras
o seu poder discricionário.”
partes interessadas.”
(Charreaux, 1997)
(Cochran et Watrick, 1988);
“Governança corporativa é o sistema pelo qual as empresas

e demais organizações são dirigidas, monitoradas e
incentivadas, envolvendo os relacionamentos entre sócios,
conselho de administração, diretoria, órgãos de fiscalização
e controle e demais partes interessadas.” (site do IBGC)
Embora sejam várias as definições, agentes de governança, compreendendo

pode-se concluir, no entanto, que a responsabilidade integral dos seus
governança é um conjunto de atos e omissões e a atuação diligente e
mecanismos cujo objetivo principal é a responsável no âmbito dos seus papéis.
convergência dos anseios de diferentes Por fim, o princípio da responsabilidade
partes interessadas, delimitando seus corporativa trata da perenidade da
escopos de atuação e poderes de empresa, levando em consideração os
decisão. diversos capitais (financeiro, humano,
reputacional etc).
2.4 Integração entre

as áreas – GRC e
2.3 Princípios Tone at the Top
De acordo com o Instituto Brasileiro Uma gestão de riscos eficaz,

de Governança Corporativa (IBGC), as perfeitamente inserida nos princípios
boas práticas de governança corporativa do GRC, se inicia por meio de uma
convertem princípios básicos em estrutura organizacional que possibilite
recomendações objetivas, alinhando às lideranças do primeiro escalão
interesses com a finalidade de preservar tomarem decisões alinhadas com
e otimizar o valor econômico de longo o apetite a riscos estabelecido e se
prazo da organização, facilitando seu envolverem ativamente no tema. Uma
acesso a recursos e contribuindo para a prática comum é a criação de um comitê
qualidade da gestão da organização, sua de riscos, órgão de governo interno que
longevidade e o bem comum. O IBGC cita monitora continuamente os processos
quatro princípios básicos, já mencionados de identificação, avaliação e resposta
anteriormente: a transparência, a aos principais riscos corporativos e
equidade, a prestação de contas e a garante comunicação fluida com o
responsabilidade corporativa. conselho de administração e os outros
órgãos de governança, no tocante às
O princípio da transparência consiste diretrizes e à estratégia corporativa de
na disponibilização de informações de gestão de riscos.
relevância a todas as partes interessadas,
não se resumindo somente àquelas Tais mecanismos promovem
exigidas por mecanismos externos transparência, previsibilidade e confiança,
(leis, regulamentos). Já a equidade diz além de permitirem que as empresas
respeito à igualdade de tratamento tenham maior qualidade na gestão
a ser dada às partes interessadas. O empresarial e na governança e, portanto,
princípio da prestação de contas possam enfrentar momentos de crise e de
trata da transparência da atuação dos intensa pressão com maior resiliência.
Outra consequência direta é o

chamado “ Tone-at-the-Top”, que pode
ser traduzido como o compromisso
dos acionistas, conselheiros e líderes
empresariais em vivenciar, promover
e propagar a cultura organizacional
vinculada às práticas de governança
corporativa e conformidade.
A gestão da empresa se transforma

e passa a sustentar e patrocinar os
processos e soluções integradas de
GRC para agregar valor ao negócio de
qualquer companhia. Esse compromisso
da alta administração é comunicado de
forma clara e eficiente aos colaboradores
dos demais níveis e também ao mercado,
passando a integrar a missão, a visão e
os valores da sociedade.
2.5 Mecanismos de
Governança
Uma gestão de riscos Já se viu que a governança corporativa

eficaz se inicia por é um conjunto de mecanismos que
meio de uma estrutura tem como objetivo, sobretudo, a
criação de valor para a companhia.
organizacional Segundo Shleifer e Vishny (1997), esses
que possibilite às mecanismos funcionam para reduzir
lideranças do primeiro os conflitos de agência e também os
conflitos entre acionistas majoritários e
escalão tomarem minoritários.
decisões alinhadas
com o apetite a riscos A teoria da agência (Jensen e Meckling,
1976) propõe que o funcionamento de
estabelecidos e se tais mecanismos implique uma empresa
envolverem ativamente mais eficaz. Charreaux (1997) definiu
no tema. uma tipologia para esses mecanismos,
como segue:
Mecanismos específicos: Conselho de Finanças, Remuneração, entre outros.

Administração e seus Comitês, sistema O Comitê de Auditoria tem como
de remuneração, auditoria interna, atribuições principais o acompanhamento
entre outros. e a avaliação da qualidade da atuação
da auditoria interna e da auditoria
O Conselho de Administração é um dos independente, tanto na companhia
principais promotores do alinhamento como em suas controladas.
dos interesses de acionistas e gestores
no sistema de governança corporativa O Comitê de Remuneração atua na
de uma companhia. Entre suas revisão da política ou no sistema de
principais atribuições, destaca-se a remuneração e no modelo de gestão
definição da estratégia, a nomeação, de pessoas, podendo contribuir de
destituição e acompanhamento dos forma relevante na gestão de riscos. Os
diretores executivos, a aprovação e esquemas de remuneração em forma
supervisão orçamentária, a escolha de opções de ações, por exemplo,
dos auditores independentes e o são formas úteis e legítimas de
estabelecimento das políticas de GRC, alinhamento dos gestores e acionistas.
incluindo o apetite a riscos
da organização. Por fim, os comitês de risco
e financeiro, compostos por
Para auxiliá-lo, podem ser único comitê ou separadamente,
estabelecidos comitês especializados, acompanham e avaliam, monitoram e
como os comitês de Auditoria, Riscos, criam planos de ação para a gestão dos
riscos corporativos.
O Conselho de Mecanismos não específicos:

ambiente legal e regulatório, sindicatos,
Administração é auditores externos, entre outros.
um dos principais Os mecanismos externos de
promotores do governança referem-se a tudo aquilo
que não é inerente à empresa. Em
alinhamento outras palavras, são instituições
dos interesses formais tais como: leis e regulações,
de acionistas e regras econômicas e políticas,
códigos de condutas e valores, entre
gestores no sistema outros. Silveira (2002) destaca a
de governança influência exercida pelo ambiente
corporativa de uma externo no modelo de governança
corporativa no que tange ao seu
companhia. aperfeiçoamento e eficácia.
PRIMEIRA LINHA DE DEFESA

2.6 Linhas de defesa
É responsável por manter controles
O Institute of Internal Auditors (IIA), internos eficazes e por conduzir
uma das entidades que conceberam a procedimentos e controles de risco.
estrutura COSO, recomenda o modelo Tem como principais objetivos:
de Três Linhas de Defesa como forma
de gerenciamento de riscos que ● Identificar, avaliar, controlar e mitigar
possam comprometer os objetivos os riscos, guiando o desenvolvimento
estratégicos e como implantação de e a implementação de políticas e
atividades de controle para mitigá-los, procedimentos internos.
por meio do esclarecimento dos papéis ● Garantir que as atividades estejam de
e responsabilidades essenciais a cada acordo com as metas e objetivos.

nível da empresa. O modelo apresenta ● Desenvolver e implementar
uma visão sobre as operações, ajudando procedimentos detalhados de controles.

a garantir o sucesso contínuo das ● Assegurar a conformidade, reportando
iniciativas de Governança, Gestão de falhas de controle, processos

Riscos e Compliance e é aplicável a inadequados e eventos inesperados.
qualquer organização, não importando
seu tamanho ou complexidade. SEGUNDA LINHA DE DEFESA
É responsável por facilitar e monitorar

CONTROLES OPERACIONAIS a implementação de políticas eficazes
Áreas de negócio; de gerenciamento por parte da
Donos dos Processos e Riscos;
gerência operacional. Seus principais
Responsáveis por gerenciar riscos,
e criar controles. objetivos são:
● Auxiliar os proprietários dos riscos

FUNÇÕES DE GARANTIA
a definir a meta de exposição ao risco e
Gestão de Riscos;
a reportar adequadamente informações
Atuarial;
Controles Internos; relacionadas a riscos em toda a
Compliance. organização.
● Monitorar os diversos riscos específicos,
tais como: a não conformidade com leis

Auditoria e regulamentos aplicáveis e com políticas
Interna e normas internas.
● Reportar diretamente à alta
administração e, em alguns setores

de negócio, diretamente ao órgão
de governança.
● Monitorar algumas conformidades ● Verificar se os procedimentos internos

específicas. estão alinhados aos regulamentos,
políticas e normas.
TERCEIRA LINHA DE DEFESA
É responsável por avaliar 2.7 Benefícios

a eficiência e eficácia das operações. de se ter Governança
São seus principais objetivos:
● Reportar análises ao Conselho de Os principais objetivos gerados

Administração, quando houver, ou à por uma estrutura eficiente e
alta administração, nos casos em que robusta de governança giram em
não houver. torno de algumas temáticas centrais:
● Aferir a confiabilidade e a integridade (i) o aprimoramento do processo decisório
dos processos de reporte. com base em riscos; (ii) a deliberação
● Atestar que os procedimentos de temas vinculados à gestão de riscos
internos estejam em conformidade e Compliance na agenda do Conselho
com as leis aplicáveis. de Administração e administradores; (iii)
o tratamento transparente e equânime de avaliação de desempenho e de

com os públicos interno e externo e; um sistema de incentivo, que priorizam
(iv) a observância do apetite a riscos o interesse da sociedade a médio e
estabelecido na organização. longo prazos.
● As estruturas de gestão de riscos
Importante ressaltar que a Governança e controles internos asseguram

Corporativa a ser buscada pelas efetivamente a aderência às regras,
sociedades não trata do mero diminuindo as chances de surpresas
cumprimento de regras e recomendações negativas.
contidas no código de ética e conduta ● Prevalece a transparência com as
ou em políticas institucionais, tampouco partes interessadas e os seus acionistas

deve ser entendida apenas como uma exercem seus direitos de forma
validação de práticas a serem observadas equitativa.
sem qualquer vinculação com o
cotidiano da empresa com o objetivo de Tais benefícios gerados pela
passar uma boa imagem para o público governança resultam no aumento do
externo e satisfazer regulações. valor do negócio e, consequentemente,
as empresas percebidas como bem
A Governança a ser almejada é a administradas se tornam mais atraentes
praticada no cotidiano da empresa, para investidores e mais confiáveis
e seu valor se torna perceptível quando: para consumidores.
● O aprimoramento do processo A excelência em Governança

decisório resulta na descentralização Corporativa tem sido buscada, cada
do poder, no gerenciamento dos vez mais, pelos acionistas e demais
conflitos de interesse e em deliberações partes interessadas e pode ser traduzida
sustentáveis, que objetivam o interesse em processos e boas práticas que
de longo prazo da organização. passam a ser visíveis na sociedade e
● Seus colaboradores cumprem que efetivamente agregam valor a ela,
as normas de maneira consciente e alinhando a tomada de decisão com
manifestam um comportamento ético. o apetite a riscos estabelecido.
● Prevalece uma atitude transparente e
equânime, que gera confiança e reflete Portanto, a organização deve analisar

em uma percepção externa positiva a governança corporativa com a sua
e na boa reputação da organização. devida importância, a fim de assegurar a
● Há um relacionamento estruturado sua perenidade e direcionar as principais
entre a Administração, os conselheiros mudanças organizacionais e práticas por
e os acionistas. meio de uma “agenda de governança”
● A meritocracia é praticada por meio do eficaz, que possa ser adotada a curto,
aperfeiçoamento de mecanismos médio e longo prazos.
Gestão de Riscos
Capítulo 3
3.1 Princípios da objetos do controle interno

Gestão de Riscos em um modelo integrado.
3. Delinear papéis e
responsabilidades da administração,
A Gestão de Riscos deve fazer parte reforçando a independência em
da rotina corporativa, estar aliada às relação aos seus executivos.
práticas e aos princípios de Controles 4. Estabelecer padrões para
Internos e servir como suporte às áreas implementação e validação dos
de negócio e aos administradores da controles.
companhia na tomada de decisões. 5. Criar um meio para monitorar,
Refere-se aos princípios, à estrutura e avaliar e reportar os controles
ao processo para mitigar os riscos que internos.
eventuais fraquezas internas e ameaças 6. Demonstrar o comprometimento
externas trazem aos negócios, seja por com a integridade e os valores éticos.
sua probabilidade de ocorrência, seja
pelos impactos negativos que podem vir 3.2.1 Diretrizes da Estrutura
a gerar caso se materializem. de Gestão de Riscos
Considerando definições presentes

3.2 Ambiente de em documentos de melhores práticas
Controle e regulamentos associados ao tema,
a Estrutura de Gestão de Riscos deve,
principalmente:
O Ambiente de Controle deve dar o
ritmo a uma organização por meio de ● Ser compatível com a natureza, escala
uma cultura de Controles Internos que e complexidade das operações da
influencie e conscientize as pessoas que organização, além de estar alinhada
nela trabalham. Com base na estrutura com o ambiente de controles internos;
integrada publicada pelo COSO, foram ● Prever processos, metodologias e
estabelecidos princípios que permitem ferramentas para identificar, avaliar,

às empresas avaliar os seus sistemas mensurar, tratar e monitorar
próprios de controle, melhorando a exposição a riscos.
o desempenho e a governança das ● Adotar os tratamentos e controles
organizações. Tais princípios abordam a adequados, compatíveis com cada risco,

estrutura de controles internos de uma com o objetivo de, entre alternativas
organização sob diversas perspectivas possíveis, evitá-lo, mitigá-lo,
de ações, em especial: compartilhá-lo ou mesmo aceitá-lo
de forma consciente e controlada.
1. Uniformizar definições ● Descrever o conjunto de riscos
de controle interno. a que a companhia se encontra

2. Definir componentes, objetivos e exposta, de acordo com os processos
e metodologias empregados para a operações financeiras da companhia

identificação de riscos, definindo um e suas subsidiárias. Os riscos
apetite a risco e descrevendo a forma de financeiros podem ser classificados
alcançar seus objetivos estratégicos para entre riscos de Mercado, de Crédito
criar valor aos seus acionistas. e de Liquidez.
● Considerar a elaboração de um Plano c) Riscos Operacionais: são os riscos
de Continuidade de Negócios, contendo decorrentes da falta de consistência
os procedimentos e informações e adequação dos sistemas de
necessários para a manutenção das informação, processamento e
atividades críticas de uma organização controle de operações, bem como de
diante de situações que afetem seu falhas no gerenciamento de recursos
funcionamento normal. e nos controles internos ou fraudes
que tornem impróprio o exercício das
É de extrema importância observar atividades da companhia ou de suas
que o departamento responsável pela controladas diretas ou indiretas.
gestão dos riscos corporativos deve
estar subordinado, conforme o caso,
ao Conselho de Administração ou à
Diretoria da companhia, devendo dispor
da independência necessária para o É de extrema
exercício de suas atribuições. importância observar
que o departamento
3.2.2 Identificação dos riscos
responsável pela
A identificação e a avaliação dos gestão dos riscos
riscos deverão considerar, entre outras corporativos deve
possíveis, pelo menos as seguintes
tipologias de riscos: estar subordinado
ao Conselho de
a) Riscos Estratégicos: são os Administração ou à
riscos associados com as decisões
estratégicas da organização Diretoria da companhia,
para atingir os seus objetivos de devendo dispor da
negócios ou decorrentes da falta independência necessária
de capacidade ou habilidade da
companhia e suas subsidiárias para o exercício de suas
para proteger-se ou adaptar-se a atribuições.
mudanças no ambiente.
b) Riscos Financeiros: são os
riscos associados à exposição das
d) Riscos de Compliance: são os Devem ser estabelecidos processos

riscos relacionados a sanções legais de identificação e priorização do
ou regulatórias, de perda financeira tratamento dos riscos corporativos.
ou dano à reputação que a empresa Os processos de identificação dos
pode sofrer como resultado da falha riscos devem abranger pelos menos
no cumprimento da aplicação de as categorias de riscos descritas acima
normas, leis, acordos, regulamentos, e devem contar com o auxílio de bases
código de ética ou conduta ou das de dados internas da organização, de
demais políticas e normas internas. fontes de informações externas e ainda
e) Riscos de Segurança da com o julgamento de especialistas.
Informação: são os riscos
relacionados a controles ineficazes 3.2.3 Avaliação dos riscos
ou inexistentes e a ações indevidas
que possam comprometer a Para definir o tratamento que será
confidencialidade, integridade e dado a um determinado risco e sua
disponibilidade das informações da relevância, deve-se determinar o
companhia ou de suas controladas seu efeito potencial por meio de
diretas ou indiretas. ferramentas de avaliação de riscos.
Muitas companhias possuem seus Modelos qualitativos podem ser

próprios dicionários de riscos, não adotados como, por exemplo, a matriz
necessariamente seguindo a tipologia de riscos, que demonstra os pontos
de riscos descrita acima; no entanto, de cruzamento da probabilidade de
é mister que esses dicionários ocorrência e do impacto dos riscos.
categorizem e tratem todos os possíveis Dessa forma, pela divisão da matriz em
riscos a que as companhias estão quadrantes, pode-se avaliar a criticidade
expostas e que sejam adotados como dos riscos. Quanto maior for a
linguagem única de riscos pelas diversas probabilidade e o impacto de um risco,
áreas da organização. maior será seu nível de criticidade.
SEVERIDADE
PROBABILIDADE
MUITO BAIXA BAIXA MÉDIA ALTA MUITO ALTA
MUITO BAIXO Muito baixo Muito baixo Muito baixo Muito baixo Baixo
IMPACTO
BAIXO Muito baixo Muito baixo Baixo Baixo Médio

MÉDIO Muito baixo Baixo Médio Médio Alto
ALTO Muito baixo Baixo Médio Alto Muito alto
MUITO ALTO Baixo Médio Alto Muito alto Muito alto
Quanto à criticidade, pode-se estipular que: às operações (sem considerar os

controles mitigatórios associados),
a) Risco no quadrante vermelho: bem como sobre os riscos residuais
risco inaceitável, que possui alta (após a consideração dos controles
probabilidade de ocorrência e mitigatórios associados).
que, se ocorrer, poderá resultar em
impacto extremamente severo. Em estágios mais maduros dos
b) Risco no quadrante laranja: pode processos de avaliação dos riscos,
ser tanto um risco provável, com alta modelos estocásticos de quantificação
probabilidade de ocorrência, mas dos riscos podem ser adotados. Tais
baixo impacto para a consecução dos modelos estimam com determinado
objetivos, ou um risco inesperado, nível de confiança o impacto para
com baixa probabilidade de o conjunto de riscos corporativos
ocorrência, mas alto impacto para identificados e priorizados pela
a consecução dos objetivos. organização. Eles levam em
c) Risco no quadrante amarelo: consideração técnicas estatísticas,
risco que deve ser quantificado modelagens atuariais, financeiras e
e monitorado de forma rotineira econômicas e processos aleatórios
e sistemática;
d) Risco no quadrante verde: risco
que representa pequeno problema
e causa pouco prejuízo.
Por meio da construção da matriz de

riscos, é possível classificar os riscos em
diferentes níveis. O Nível de Risco é um
índice calculado pela multiplicação da
média dos graus de Probabilidade pela
média dos graus de Impacto dos riscos
presentes nos processos, projetos, áreas
ou organizações. Podem, por exemplo,
ser classificados como:
a) Mínimo;
b) Baixo;
c) Moderado;
d) Significativo e;
e) Alto.
As matrizes e indicadores podem ser

aplicados sobre os riscos inerentes
para estimar os impactos financeiros o capital mínimo requerido pelos

dos riscos bem como, a avaliação do reguladores reflete o risco médio
capital econômico necessário para adotado pelo mercado e não leva em
garantir a solvência da seguradora. consideração a estrutura societária
dos grupos seguradores, ignorando
3.2.4 Solvência e capital algumas correlações entre negócios,
baseado em riscos os modelos próprios de capital
desenvolvido internamente refletem
Um processo robusto e em estágio o capital econômico adequado para
avançado de gestão dos riscos a exposição ao risco da companhia,
deve produzir estimativas próprias tomando em consideração as
do capital econômico mínimo definições do apetite a riscos
necessário para garantir a solvência vigente, bem como as correlações
da companhia. Tais resultados são entre todos os negócios dentro
possíveis de serem obtidos por meio de um mesmo conglomerado
da construção de modelos internos de econômico segurador.
capital, independente das exigências
regulatórias vigentes. Enquanto 3.2.5 Tratamento dos riscos
A definição do tratamento a ser dado

aos riscos identificados baseia-se
no seu grau de exposição e natureza
de risco. Após a avaliação do risco,
o tratamento envolve a seleção de
uma ou mais opções para tratar os
riscos e a posterior implementação
de controles ou processos para
acompanhá-los.
Para mitigar os riscos, a companhia

precisa implantar atividades de
controle, as quais compreendem
desde as políticas corporativas até os
manuais de procedimentos elaborados
para assegurar que as diretrizes e os
objetivos, definidos para minimizar seus
riscos, estejam sendo observados nas
atividades executadas.
As respostas a riscos classificam-se nas solvência, lucro, capacidade de

seguintes categorias: distribuição de dividendos ao longo
de um período específico etc.), a
a) ELIMINAR – descontinuação das Tolerância ao Risco é o percentual do
atividades que geram riscos. Apetite a Riscos que servirá de alerta
b) MITIGAR – adoção de medidas para Administração.
para reduzir a probabilidade ou o
impacto dos riscos. O Apetite a Risco da companhia
c) COMPARTILHAR – redução da deve estar alinhado com as
probabilidade ou do impacto dos respectivas estratégias e com o
riscos pela transferência ou pelo seu Plano de Negócios e refletido
compartilhamento de uma parcela nos limites de riscos aceitáveis.
do risco.
d) ACEITAR – nenhuma medida é O Apetite a Riscos e a Tolerância a
adotada para modificar os níveis Riscos deverão ser estabelecidos pelo
de probabilidade ou de impacto Conselho de Administração, conforme
dos riscos. exemplo no gráfico da página seguinte.
3.2.6 Apetite e
Tolerância aos Riscos
O Apetite ao Risco se refere a quanto

de risco que uma organização está
A área de Gestão
disposta a correr para atingir seus de Riscos deve
objetivos. As declarações do Apetite acompanhar o
ao Risco podem ser expressas tanto
qualitativa como quantitativamente
desempenho dos
e geridas em relação a uma iniciativa indicadores de riscos
individual ou agregada. e os seus limites, bem
A Tolerância ao Risco é a quantidade
como supervisionar a
de incerteza que uma organização está implementação e
preparada para aceitar no manutenção dos
total ou de forma mais restrita
dentro de uma determinada
planos de ação
unidade de negócio, de uma mediante gestão
categoria de risco específica ou contínua e avaliações
relacionada a uma determinada
iniciativa. Expresso em termos
independentes.
quantitativos que podem ser
monitorados (como, por exemplo,
Apetite a Riscos
Tolerância
a Riscos
Portfolio Atual
dos Riscos
Estratégicos
Governança Adm. Operacional
As camadas de
Legal/Compliance Operações
Apetite a Riscos,
Mercado Financeiro
Tolerância a Riscos
e Portfólio de Riscos
e as suas respectivas
quantificações são revisadas
de acordo com a Política Interna
da companhia. 3.2.8 Monitoramento
A Administração deve avaliar

3.2.7 Comunicação continuamente a adequação e a
eficácia da Gestão de Riscos. A área
A comunicação deve ser tempestiva e de Gestão de Riscos, por sua vez,
adequada com as partes interessadas, deve acompanhar o desempenho
acionistas, reguladores e outros públicos dos indicadores de riscos e os seus
externos. Deve reforçar sempre a cultura limites, bem como supervisionar a
de riscos a ser seguida por todos os implementação e manutenção dos
colaboradores e administradores e as planos de ação mediante gestão
atitudes da organização perante os contínua e avaliações independentes.
ambientes externo e interno.
As atividades de gestão de riscos
Como visam compartilhar e fornecer devem ser adequadamente
informações para o gerenciamento documentadas como forma de
contínuo de riscos, são processos que evidenciar sua aderência ao modelo
devem permear por toda a companhia. de Gestão de Riscos da companhia.
Compliance
Capítulo 4
4.1 A função de prática de atos em desconformidade

Compliance – o que é com a regulamentação aplicável,
assim como as políticas e normas
internas e institucionais.
A palavra Compliance vem do verbo ● Programas de treinamento
em inglês “to comply ”, que significa robustos e cíclicos, que alcancem

“cumprir, executar, satisfazer, realizar todos os níveis da sociedade,
o que lhe foi imposto”, ou seja, inclusive terceirizados.
Compliance é o dever de cumprir, ● Canais internos de comunicação
estar em conformidade no que tange para reciclagem de temas relevantes

à correção das atividades, dos sistemas e também para contato interno
de informação e das leis e com a sociedade de forma irrestrita
regulamentos oficiais aplicáveis, e isenta.
assim como de políticas e normas ● Monitoramento e implementação
internas e institucionais. das demandas regulatórias e

demais normativos legais aos quais
Para que seja efetiva a função de a companhia esteja submetida,
Compliance, também diretamente visando ao estrito cumprimento de
relacionada à Governança tais disposições.
Corporativa, as companhias
devem desenvolver um programa A função de Compliance deve ser
de Compliance eficiente, contendo evidenciada pelo apoio visível
certas diretrizes, como a seguir e inequívoco da alta direção da
relacionadas, porém não se limitando sociedade. A Circular Susep nº 234/03
a elas se assim o ambiente exigir: impõe a designação específica de um
diretor estatutário como responsável
● Estabelecer e aculturar a conduta pelas funções de Compliance e
ética e fomentar os canais de determina a observância das referidas
denúncias em todos os níveis da práticas pelos membros da Diretoria e
companhia, considerando todas as do Conselho de Administração.
diretrizes estabelecidas no Código
de Ética, inclusive com alcance O departamento responsável pela
irrestrito aos terceirizados, sejam avaliação do cumprimento do
eles fornecedores de bens ou programa de Compliance deve estar
prestadores de serviços. subordinado, conforme o caso, ao
● Disseminação da cultura de Conselho de Administração ou à
avaliação de riscos e da aplicação de Diretoria da companhia, devendo dispor
um sistema de controles internos por da independência necessária para o
todos os níveis, juntamente com as exercício de suas atribuições.
demais áreas de Controles Internos, As exigências relacionadas ao
de modo a prevenir e detectar a Compliance e à Governança Corporativa
podem variar conforme o tipo Compliance nas políticas,

societário adotado pela companhia, procedimentos e processos
o tamanho de sua estrutura e a existentes.
complexidade de suas operações, c) Fornecer ou organizar apoio
segundo legislação aplicável. contínuo de treinamento para os
empregados, para assegurar que
De acordo com a ISO 19600 (sistema todos os empregados relevantes
de gestão de Compliance), convém sejam treinados regularmente.
que, trabalhando em conjunto com a d) Promover inclusão da
direção, a função de Compliance seja responsabilidade de Compliance em
responsável por: descrições de cargos e processos
de gestão de desempenho de
a) Identificar as obrigações empregados.
de Compliance com o apoio e) Definir um sistema de relatórios
de recursos pertinentes e de Compliance e documentação
traduzir essas obrigações em vigor.
em políticas, procedimentos e f) Desenvolver e implementar
processos acionáveis. processos para a gestão da
b) Integrar obrigações de informação, como reclamações e/ou
retroalimentação por meio de linhas a organização desenvolverá em relação

diretas, um sistema de comunicação aos temas de Compliance.
de irregularidades e de outros
mecanismos de execução. No Brasil, o programa deve também
g) Estabelecer indicadores de prever mecanismos e procedimentos
desempenho de Compliance e internos para disseminar a cultura de
monitorar e medir o desempenho Compliance e vincular as questões
em Compliance. inerentes à integridade trazidas pela
h) Analisar o desempenho para ”Lei Anticorrupção”.
identificar a necessidade de ações
corretivas. As ações para o cumprimento do
i) Identificar riscos de Compliance Programa de Compliance devem
e gestão desses riscos relativos envolver toda a estrutura da companhia,
a terceiros, como fornecedores, contando com o apoio das estruturas de
agentes, distribuidores, consultores Compliance e demais áreas de Controles
e contratados. Internos da organização, e devem ser
j) Assegurar que o sistema de continuamente aprimoradas, à medida
gestão de Compliance seja que se identifiquem oportunidades de
analisado criticamente em intervalos melhorias.
planejados.
k) Assegurar que haja acesso O Programa deve:
a aconselhamento profissional
adequado no estabelecimento, ● Incentivar a cultura de Compliance
implementação e manutenção do e levar em consideração a missão,
sistema de gestão de Compliance. os valores e o Código de Ética da
l) Fornecer aos empregados acesso organização.
a recursos sobre os procedimentos e ● Demonstrar as estruturas e
referência de Compliance. mecanismos de controle adotados

m) Fornecer aconselhamento objetivo pela organização para assegurar
para a organização sobre assuntos a integridade e aderência às leis e
relacionados ao Compliance. regulamentos aplicáveis aos seus
negócios.
● Demonstrar as ações que visam
4.2 Focos de um assegurar a conformidade dos

Programa de procedimentos adotados diante das
Compliance exigências externas e normativos
internos.
Um Programa de Compliance pode ● Abranger toda a companhia e
ser entendido como a formalização considerar, na sua composição, as

e abrangência, pela alta direção da avaliações de riscos, as políticas
companhia, das ações e atividades que e procedimentos aprovados,
o programa de treinamento e aperfeiçoar seu programa de integridade,

qualificação de funcionários, as considerando cinco pilares:
ações de comunicação, os controles
internos, os canais de denúncias e as 1º Comprometimento e apoio da
auditorias realizadas. alta direção – O apoio da alta direção
● Instituir ações de prevenção, da empresa é condição indispensável
detecção, remediação e resposta e permanente para o fomento de uma
contra atos lesivos praticados em cultura ética e de respeito às leis e
desfavor da sociedade. para a aplicação efetiva do
Programa de Integridade.
A Lei Anticorrupção, regulamentada
pelo Decreto nº 8.420/15, reconhece 2º Instância responsável pelo
a importância dos programas de Programa de Integridade – Qualquer
Compliance e considera atenuante para que seja a instância responsável,
aplicação de multas a existência de ela deve ser dotada de autonomia,
mecanismos e procedimentos internos independência, imparcialidade, recursos
de integridade, auditoria e incentivo à materiais, humanos e financeiros para o
denúncia de irregularidades e aplicação pleno funcionamento, com possibilidade
efetiva de Códigos de Ética e de Conduta. de acesso direto, quando necessário, ao
Situação que, sem dúvida, constitui mais alto corpo decisório da empresa.
importante incentivo para as empresas
estruturarem programas de Compliance. 3º Análise de perfil e riscos – A
empresa deve conhecer seus processos
Em complementação, o artigo 42 do e sua estrutura organizacional,
Decreto nº 8.420/15 elenca os critérios identificar seu Programa de Integridade
pelos quais o programa de integridade — visão geral da área de atuação e
será avaliado quanto a sua existência principais parceiros de negócio —,
e aplicação, o que traz parâmetros seu nível de interação com o setor
importantes a serem considerados público — nacional ou estrangeiro — e,
pelas empresas. consequentemente, avaliar os riscos de
se ver envolvida em atos lesivos.
Atenta à relevância do tema, a
Controladoria Geral da União (atual 4º Estruturação das regras e
Ministério da Transparência, Fiscalização instrumentos – Com base no
e Controladoria-Geral da União) publicou conhecimento do perfil e riscos da
seu “Programa de Integridade – Diretrizes empresa, deve-se elaborar ou atualizar
para Empresas Privadas”1 , com o objetivo o Código de Ética ou de Conduta e as
de auxiliar as empresas a construir ou regras, políticas e procedimentos de
1. https://www.cgu.gov.br/Publicacoes/etica-e-integridade/arquivos/programa-de-integridade-diretrizes-
para-empresas-privadas.pdf
prevenção de irregularidades; desenvolver deficiências encontradas em qualquer

mecanismos de detecção ou reportes área possam realimentar continuamente
de irregularidades (alertas ou ”bandeiras seu aperfeiçoamento e atualização. É
vermelhas”; canais de denúncia; preciso garantir também que o Programa
mecanismos de proteção ao denunciante); de Integridade seja parte da rotina da
definir medidas disciplinares para casos empresa e que atue de maneira integrada
de violação e medidas de remediação. com outras áreas correlacionadas,
Para uma ampla e efetiva divulgação tais como: recursos humanos, jurídica,
do Programa de Integridade, deve-se auditoria interna e contábil-financeira.
também elaborar plano de comunicação
e treinamento com estratégias específicas Além dos parâmetros brasileiros sobre
para os diversos públicos da empresa, Programa de Compliance, há outras
inclusive prestadores terceirizados. diretrizes internacionais que orientam
sobre o que se deve observar na
5º Estratégias de monitoramento proposta de criação e manutenção
contínuo – É necessário definir de tal programa, como: OCDE; U.S.
procedimentos de verificação da Federal Sentencing Guidelines; FCPA
aplicabilidade do Programa de Ressource Guide; The Bribery Act 2010
Integridade a operação da empresa (UKBA): Verification of Anti-corruption
e criar mecanismos para que as Compliance Programs.
4.2.1 Prevenção à lavagem

de dinheiro
Nos termos do art. 9º da Lei 9.613/98

(crimes de “lavagem” ou ocultação de
bens, direitos e valores, entre outros), as
sociedades seguradoras, dentre outras
categorias de empresas, são compelidas a
compartilhar com o poder público a tarefa
de prevenir a ocorrência dos crimes de
lavagem de dinheiro. Assim, são obrigadas
a identificar seus clientes, manter registro
das transações e informar aos órgãos
competentes transações suspeitas.
Há, ainda, regulamento aplicável ao

mercado segurador que dispõe sobre
c. Procedimentos e manutenção de
registro.
d. Criação de manuais e
comunicação de operações.
e. Treinamento.
f. Programa anual de auditoria
interna.
g. Manutenção do cadastro.
h. Dispensa do cumprimento de
itens pelo diretor responsável,
mediante expressa justificativa
baseada em estudo de risco.
i. Comunicação de operações
com indícios.
4.2.2 Prevenção contra

fraudes
As seguradoras devem manter

controles específicos para a prevenção,
detecção e resposta a fraudes.
4.2.3 Prevenção à corrupção
os controles internos específicos para A “Lei Anticorrupção”, que dispõe

a prevenção e combate dos crimes de sobre a responsabilização objetiva
lavagem ou ocultação de bens, direitos administrativa e civil de pessoas
e valores, ou que com eles possam jurídicas pela prática de atos contra
relacionar-se. O regulamento também a administração pública, nacional
dispõe sobre o acompanhamento das ou estrangeira, introduz importante
operações realizadas e as propostas de mudança ao estimular as empresas a
operações com pessoas politicamente adotarem programas de Compliance,
expostas, bem como a prevenção e podendo, em razão disso, atenuar as
coibição do financiamento ao terrorismo, possíveis sanções administrativas e/ou
que abrange aspectos como: judiciais. Seus principais dispositivos são:
a. Estabelecimento de relação de 1. Punição das pessoas jurídicas

negócios com pessoa politicamente por atos lesivos à administração
exposta. pública que atentem contra o
b. Adoção de política de prevenção patrimônio público, os princípios
à lavagem de dinheiro. da administração pública ou
A implantação de um os compromissos internacionais

assumidos pelo Brasil.
canal de denúncias é de
2. Responsabilidade objetiva dos
suma importância para atos praticados no interesse ou
as companhias, dado benefício da empresa.
3. Multas elevadas, com base no
que permite conhecer
faturamento anual.
e, se for o caso, apurar 4. Redução das penas para
desvios de conduta. empresas que tiverem programas
Anticorrupção e de Compliance.
5. Incentivos às empresas que
reportarem voluntariamente o
ato lesivo e cooperarem com as
investigações.
6. Acordos de Leniência: redução de
até 2/3 da multa administrativa.
4.3 Boas Práticas
As boas práticas de negócios fortalecem

um programa de Compliance eficiente e
eficaz. A seguir, exemplos de iniciativas
consideradas boas práticas.
4.3.1 Implantação de Canais

de Denúncias
A implantação de um canal de
denúncias é de suma importância para
as companhias, dado que permite
conhecer e, se for o caso, apurar desvios
de conduta.
Entre as vantagens de se manter um

canal ativo, pode-se apontar:
● Combate e prevenção a fraudes e a

más práticas.
● Difusão de imagem positiva da É importante que
organização perante o mercado e a
todos os empregados
sociedade.
● Segurança e transparência para que tenham obrigações
todas as partes interessadas. de Compliance
● Identificação, redução e
sejam competentes
administração dos riscos do negócio.
● Melhora do ambiente de trabalho, para desempenhá-las
aumentando a motivação de todos de forma eficaz.
os colaboradores.
● Fortalecimento dos sistemas de
Essa competência
monitoramento e controle. pode ser obtida de
● Maximização dos lucros por várias formas: por
intermédio da redução de
meio de educação,
custos indesejáveis e incorretos,
aumentando a eficiência da treinamento ou
gestão dos negócios por meio da experiência de trabalho.
colaboração de todos.
● Redução do passivo judicial.

● Auxílio no cumprimento de leis
e regulamentos.
4.3.2 Comunicação
Os planos de comunicação interna

e externa devem incluir:
a) O que comunicar.
b) Quando comunicar.
c) Para quem comunicar.
d) Como comunicar.
A comunicação interna deve assegurar

que a mensagem do Compliance
seja ouvida e compreendida por todos
os empregados.
A comunicação externa deve

abranger todas as partes interessadas
(conselhos de administração,
clientes, contratados, fornecedores e
investidores). Os métodos utilizados
podem ser sites, e-mails, imprensa,
relatórios, eventos, entre outros.
4.3.3 Treinamento
É importante que todos os empregados

que tenham obrigações de Compliance
sejam competentes para desempenhá-las
de forma eficaz. Essa competência pode
ser obtida de várias formas: por meio de
educação, treinamento ou experiência
de trabalho.
O programa de treinamento deve

assegurar que todos os empregados
tenham competência para executar
suas atividades. A ISO 19600 orienta
que a educação e o treinamento dos A ISO 19600 enfatiza que a extensão e o

empregados sejam: nível de detalhes da avaliação do risco
de Compliance dependem da situação
a) Adaptados às obrigações e riscos de risco, do contexto, do porte e dos
de Compliance relacionados com objetivos da organização.
os papéis e responsabilidades do
empregado. 4.3.5 ISO 37001
b) Se for o caso, com base
na avaliação de lacunas no A norma ISO 37001, publicada em
conhecimento e competência dos outubro de 2016, surgiu após a
empregados. implementação de diversos normativos
c) Realizados por ocasião relativos à anticorrupção pelo mundo
da elaboração da missão da e seu objetivo é padronizar os Sistemas
companhia e permanentemente de Gestão Antissuborno, criando um
atualizados. modelo de integridade, transparência
d) Alinhados ao programa e conformidade para as organizações.
de treinamento corporativo
e incorporados em planos de Apesar de ainda não ter força de lei,
treinamentos anuais. é considerado como um mecanismo
e) Práticos e facilmente de boas práticas na implementação
compreensíveis pelos empregados. de medidas eficazes de prevenção à
f) Relevantes para o trabalho do dia corrupção com origem em uma renomada
a dia dos empregados e ilustrativos instituição global, reconhecendo a
da indústria, organização ou setor. participação de organizações da sociedade
g) Suficientemente flexíveis e, principalmente, de empresas,
para levar em consideração uma no combate a essa prática.
série de técnicas para satisfazer
às diferentes necessidades das
organizações e dos empregados. 4.4 Benefícios de
h) Avaliados quanto à eficácia. um Programa de
i) Atualizados conforme a Compliance
necessidade.
j) Registrados e retidos. A adoção de um Programa de
Compliance revela-se importante
4.3.4 Avaliações de Risco ferramenta de controle interno da gestão
dos negócios. É suporte fundamental
O risco de Compliance pode ser das boas práticas de Governança
caracterizado pela probabilidade de Corporativa e sua adoção demonstra o
ocorrência e pelas consequências do comprometimento da empresa com o
não cumprimento com as obrigações fortalecimento dos seus negócios em
de Compliance da organização. bases sólidas, éticas e sustentáveis.
Compliance, especialmente no que ● Aprimoramento do relacionamento

coopera com a boa Governança com o órgão regulador, permitindo
Corporativa, contribui para aumentar o aperfeiçoamento
o valor das sociedades e assegurar da regulamentação, maior clareza
sua perenidade, finalidades estas que e eficácia na aderência pelas
constituem a própria razão de ser dos sociedades e incremento da
princípios de governança. qualidade das decisões, que passam
a ser embasadas e protegidas
A importância da avaliação da do ponto de vista regulatório.
conformidade dos procedimentos – ● Melhoria na competitividade das
Compliance – nas sociedades está em sociedades que, ao atuarem em

assegurar, com razoável grau de certeza, ambientes em conformidade com
a aderência das práticas em uso às leis, os regulamentos e com as melhores
regulamentos, especificações técnicas, práticas, obtêm valorização de
políticas organizacionais, planos, sua marca e apresentam maior
instruções normativas, manuais, resistência a crises de mercado.
contratos etc. ● Melhoria da sensibilidade na
gestão a respeito de incertezas e

Os benefícios e o valor agregado das boas de qualquer indício de oportunidade
práticas de Compliance são representados ou ameaça a ser tratada.
em aspectos quantitativos e qualitativos.
Entre estes, se destacam: Vale ressaltar, por outro lado, que a não
adoção de um Programa de Compliance
● Redução de custos e de perdas eficiente pode trazer consequências
mediante a identificação de negativas à sociedade, tais como:
deficiências e a implementação de
correções com vistas a mitigar riscos ● Danos à marca e à imagem.
que interferem diretamente no ● Sanções administrativas e
resultado financeiro do negócio. pecuniárias a pessoas a ela
● Melhora da gestão do caixa da relacionada(s) ou a ela própria, como,
companhia: estudos referentes ao por exemplo, multas, impedimento
valor agregado pelo Compliance aos executivos de atuar no
indicam que para cada US$ 1.00 gasto mercado e cassação da licença de
em Compliance obtém-se economia funcionamento da empresa.
de US$ 5.00 porque se evitam custos ● Custos secundários como os
com processos judiciais, danos à de processos judiciais, tempo de

reputação e perda de produtividade. funcionários e executivos etc.
A importância da avaliação da conformidade dos

procedimentos – Compliance – nas sociedades está
em assegurar, com razoável grau de certeza, a
aderência das práticas em uso às leis, regulamentos,
especificações técnicas, políticas organizacionais,
planos, instruções normativas, manuais, contratos etc.
Conclusão
Capítulo 5
Governança, Risco e Compliance 380/08, e 445/12, precedendo o

são conceitos complementares que, desenho da Circular Susep nº 521/15,
tratados de forma combinada, agregam que trata da implantação da Estrutura
valor superior à mera existência de Gestão de Riscos. O apoio da alta
isolada das três práticas. No mercado administração é fundamental para a
de seguros, os componentes do GRC implantação das melhores práticas de
começaram a representar um marco GRC, conferindo robustez ao conjunto
regulatório elaborado pela Susep a de disciplinas para cumprir normas
partir da publicação da Circular Susep legais e regulamentares, políticas e
nº 249/04, que foi complementada diretrizes estabelecidas para o negócio
pelas Circulares Susep nºs 344/07, e para as atividades de uma empresa.
O apoio da alta
administração é
fundamental para
a implantação das
melhores práticas
de GRC, conferindo
robustez ao conjunto
de disciplinas para
cumprir normas legais
e regulamentares,
políticas e diretrizes
estabelecidas para
o negócio e para
as atividades de
uma empresa.
Glossário
Capítulo 6
Acordo de Basileia: Acordo ISO: International Organization for

estabelecido pelo Comitê de Supervisão Standardization (Organização
Bancária da Basileia, ligado ao Bank for Internacional de Normalização).
International Settlements, que trata de
ISO 31.000: Norma com princípios
exigências de capital para instituições
gerais de gestão de risco elaborada pela
financeiras. Existem três acordos de
International Organization for
Basileia: Basileia I (1988), Basileia II
Standardization.
(2004) e Basileia III (2010).
ISO 37.001: Norma com requisitos para
ANS: Agência Nacional
uma elaboração de um Sistema de
de Saúde Suplementar.
Gestão Antissuborno elaborada pela
COSO: Committee of Sponsoring International Organization for
Organizations of the Treadway Standardization.
Commission. O COSO é uma
OCDE: Organização para a Cooperação e
iniciativa do setor privado que
Desenvolvimento Econômico. É uma
estabeleceu um modelo comum
organização internacional, composta por
de controle interno, contra o qual
34 países e com sede em Paris, França. A
as empresas e organizações podem
OCDE tem por objetivo promover
avaliar os seus sistemas próprios
políticas que visem ao desenvolvimento
de controle, e está empenhado
econômico e ao bem-estar social de
em melhorar o desempenho
pessoas por todo o mundo.
e governança das organizações.
Solvência II: Diretrizes aprovadas, em
IBGC: Instituto Brasileiro de Governança
2007, pelo Parlamento Europeu que
Corporativa. O instituto é uma grande
visam estabelecer uma metodologia de
referência e um promovedor da
apuração da necessidade mínima de
discussão dos temas relacionados ao
capital mais sensível ao risco.
tema de Governança Corporativa;
SOX: Lei americana Sarbanes-Oxley
IIA: The Institute of Internal Auditors.
formulada, em 2002, como resposta a
Associação profissional internacional que
diversos casos de fraude corporativa, sendo
desenvolve a condição profissional de
o principal motivador o caso da Enron.
auditoria interna, além de disseminar o
conhecimento a respeito de riscos, Susep: Superintendência
controles, auditoria e governança. de Seguros Privados.
Nossa missão
é congregar as lideranças do setor segurador, elaborar
o planejamento estratégico do setor, colaborar para o
aperfeiçoamento da regulação, coordenar ações institucionais
e representar as associadas junto a autoridades e entidades
nacionais e internacionais.
O seguro
tem importante papel na economia
e na sociedade brasileira. Ele contribui
significativamente para o desenvolvimento
da infraestrutura, a geração de renda
e o acesso à Saúde Suplementar no País.
Promover
maior integração de todos os participantes
do mercado segurador: líderes pensando
juntos, empresas compartilhando
experiências, proximidade dos órgãos
reguladores, consumidores e sociedade
em geral, para a construção de uma agenda
que favoreça a expansão do seguro e seu
crescimento sustentável.
Autoria
– Comissão de Controles Internos da CNseg.

– Comissão de Gestão de Riscos da CNseg.
– Superintendência de Acompanhamento Técnico da CNseg.
Federações filiadas à CNseg
Rio de Janeiro Brasília

Rua Senador Dantas, 74 - 16 andar SCN Quadra 1 bl.C
Centro | CEP 20031-205 Brasília Trade Center, salas 1601 a 1612
Tel. 21 2510-7777 Brasília | CEP 70711-902
Tel. 61 3424-9337 | Fax 61 3328-1904
Projeto gráfico
P R O G R A M A
EDUCAÇÃO
EM SEGUROS
www.cnseg.org.br

CNseg OSgovernancarisco 140918 er-WEB

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

CNseg OSgovernancarisco 140918 er-WEB

Enviado por

Direitos autorais:

Formatos disponíveis

GOVERNANÇA, RISCO

1.1 GRC: Significado e motivação 3.1 Princípios da Gestão de Riscos

2.1 Definição de Governança

2.3 Integração entre as áreas –

2.4 Mecanismos de Governança

2.5 Linhas de defesa

2.6 Benefícios de se ter Governança

4.3.1 Canais de Denúncias

1.1 GRC: Significado outros efeitos, na celebração de acordos

A segunda letra da sigla GRC está o termo ter se popularizado no

cada qual em uma área de atuação e demandas individualizadas de

operacionais de uma companhia. 1.2 Referências

a Gestão de Riscos como fator no contexto do mercado segurador

a Circular Susep nº 380/08, e,

A promulgação desses diversos

consulta pública (nº 67), em junho

1.4 GRC: Desafios

entendimento do que é preciso para fundamental para a criação de um

1.4.2 Benefícios da integração

A aplicação de práticas de GRC

A crescente necessidade de leis, regulamentos e normas sobre governança, aliada

Há diversas definições para governança de empresas, governança corporativa

“Governança corporativa é o sistema pelo qual as empresas

Embora sejam várias as definições, agentes de governança, compreendendo

2.4 Integração entre

De acordo com o Instituto Brasileiro Uma gestão de riscos eficaz,

Outra consequência direta é o

A gestão da empresa se transforma

Uma gestão de riscos Já se viu que a governança corporativa

Mecanismos específicos: Conselho de Finanças, Remuneração, entre outros.

O Conselho de Mecanismos não específicos:

PRIMEIRA LINHA DE DEFESA

e responsabilidades essenciais a cada acordo com as metas e objetivos.

uma visão sobre as operações, ajudando procedimentos detalhados de controles.

iniciativas de Governança, Gestão de falhas de controle, processos

É responsável por facilitar e monitorar

● Auxiliar os proprietários dos riscos

tais como: a não conformidade com leis

administração e, em alguns setores

● Monitorar algumas conformidades ● Verificar se os procedimentos internos

É responsável por avaliar 2.7 Benefícios

● Reportar análises ao Conselho de Os principais objetivos gerados

o tratamento transparente e equânime de avaliação de desempenho e de

Importante ressaltar que a Governança e controles internos asseguram

ou em políticas institucionais, tampouco partes interessadas e os seus acionistas

● O aprimoramento do processo A excelência em Governança

equânime, que gera confiança e reflete Portanto, a organização deve analisar

3.1 Princípios da objetos do controle interno

Considerando definições presentes

estabelecidos princípios que permitem ferramentas para identificar, avaliar,

organizações. Tais princípios abordam a adequados, compatíveis com cada risco,

de controle interno. a que a companhia se encontra

e metodologias empregados para a operações financeiras da companhia

d) Riscos de Compliance: são os Devem ser estabelecidos processos

Muitas companhias possuem seus Modelos qualitativos podem ser

BAIXO Muito baixo Muito baixo Baixo Baixo Médio

Quanto à criticidade, pode-se estipular que: às operações (sem considerar os

Por meio da construção da matriz de

As matrizes e indicadores podem ser

para estimar os impactos financeiros o capital mínimo requerido pelos

A definição do tratamento a ser dado

Para mitigar os riscos, a companhia

As respostas a riscos classificam-se nas solvência, lucro, capacidade de