Kennisbank

O que uma control-matrix exatamente regista

Um conselho de administração a quem se pede que demonstre que está em control não pode limitar-se a afirmar que existe uma política. Deve existir uma estrutura que mostre, por obrigação, quem é responsável, que prova existe, e qual control garante que essa prova continua correta. Essa estrutura chama-se control-matrix. Não é uma forma de relatório nem um modelo que se preenche para um auditor; é a forma como uma organização se pode explicar a si própria o que acontece e porque isso é suficiente.

As três colunas que realmente importam

Uma control-matrix é mais do que uma lista de obrigações. Por obrigação constam, no mínimo, três elementos: quem é o responsável, qual é a prova de que essa obrigação foi cumprida, e qual control garante que essa prova permanece atual e correta. Sem responsável, uma obrigação não é tarefa de ninguém. Sem prova, uma obrigação é uma intenção. Sem control, a prova é uma fotografia num momento que envelhece assim que a organização muda. Quem é o responsável por uma obrigação num grupo com múltiplas entidades não é, por isso, um detalhe que se preenche mais tarde, mas a primeira coisa que deve estar definida antes de uma matriz significar alguma coisa.

O que conta como prova varia por obrigação e por país onde a obrigação se aplica. Uma norma europeia que no texto de base parece inequívoca é frequentemente aplicada de forma diferente na transposição nacional: outra forma de prova, outra frequência, outro órgão que deve validá-la. Uma matriz que não deixa espaço para isso parece completa e não o é. Para uma elaboração precisa do que conta como prova num caso concreto, o que conta como prova numa obrigação num grupo com múltiplas entidades é o ponto de partida, não esta página.

Por que razão a prova se dispersa

Num grupo com múltiplas entidades, múltiplos países ou múltiplos departamentos, a prova raramente surge num único local. A política está no departamento jurídico, a execução numa filial local, o relato no departamento financeiro, e a aprovação num conselho de administração que não acompanha o conjunto diariamente. Uma control-matrix que não mapeia isto esconde que a fragmentação é o verdadeiro risco. Não a ausência de política, mas a impossibilidade de encontrar de novo a prova de que a política foi também aplicada. Onde isso exatamente falha e porque ocorre mais em estruturas de grupo do que numa única entidade, está detalhado em onde a prova se dispersa num grupo com múltiplas entidades.

Uma matriz não resolve essa fragmentação reunindo tudo num único local — muitas vezes isso não é viável nem necessário. O que a matriz faz é indicar onde se encontra cada elemento de prova e quem pode apontar para lá no momento em que é solicitado. Esse é um objetivo diferente da centralização: trata-se de capacidade de localização, não de recolha.

Política não é o mesmo que prática

Um erro comum numa control-matrix é a prova consistir no próprio documento de política. Um documento de política demonstra que uma organização decidiu algo, não que isso acontece. Um auditor ou supervisor que aprofunde a análise quer saber como a política se traduz numa ação concreta e repetível: uma aprovação registada, um controlo executado, um desvio identificado e resolvido. Como essa distinção funciona na prática está explicado em como demonstrar que a política é também prática num grupo com múltiplas entidades. Uma control-matrix que não faz essa distinção dá uma falsa sensação de segurança: completa no papel, indefensável na prática.

Capacidade de localização como exigência, não como pormenor

O valor de uma control-matrix não depende de quão completa é no momento em que é elaborada, mas de quão bem resiste no momento em que alguém de fora a questiona. Isto significa que a prova não só deve existir, como também deve ser conservada de uma forma que um auditor sem conhecimento prévio da organização consiga seguir. Uma matriz que remete para prova que já ninguém consegue encontrar é, na prática, uma matriz vazia. O que é necessário em termos de conservação e estrutura está em como conservar a prova de modo a que um auditor a encontre num grupo com múltiplas entidades. Num grupo com múltiplas entidades, este é um ponto de atenção específico, porque a prova armazenada localmente raramente é automaticamente visível para quem presta contas ao nível do grupo. Mais sobre a construção da própria matriz nessa estrutura está em o que é uma control-matrix num grupo com múltiplas entidades.

Da matriz à execução

Uma control-matrix torna visível quem deve recolher, manter atualizada e conseguir mostrar cada prova. É trabalho que se repete: o mesmo controlo, a mesma recolha, a mesma verificação, uma e outra vez, muitas vezes em várias entidades e países em simultâneo. Assim que essa repetição se torna visível, surge a questão de que parte disso é uma tarefa que alguém tem de repetir sempre de novo, e que parte é suficientemente sistemática para ser organizada de outra forma. O scan de trabalho da FTE TO AI calcula, por tarefa, que parte desse trabalho pode ser assumida por IA, com base nas tarefas conforme já descritas numa control-matrix.