Para iniciar um diagnóstico de riscos empresariais, reúna os documentos que mostram quem decide, quais regras a empresa adota e como elas são aplicadas. Uma política de compras e o histórico de aprovação de uma compra recente, por exemplo, ajudam a verificar se o controle previsto funciona na prática.

Quais documentos ajudam a entender a estrutura da empresa?

Comece pelos documentos que delimitam a atividade, a governança e a operação examinada. A lista pode ser ajustada se o diagnóstico estiver concentrado em um processo, como compras, contratos ou pagamentos.

• Governança. Contrato social ou estatuto vigente, atos de nomeação de administradores, procurações relevantes, organograma e regras de aprovação.
• Contratos e obrigações. Contratos representativos, aditivos, licenças e uma relação dos prazos e obrigações que podem afetar a continuidade da operação.
• Políticas e rotinas. Código de conduta, procedimentos do processo analisado, fluxos de aprovação e modelos de registro efetivamente usados pelas equipes.

Que registros mostram como os controles funcionam?

Selecione casos que permitam acompanhar uma decisão do início ao fim. Em uma compra, isso pode incluir solicitação, cotação, aprovação, pedido, comprovação da entrega e registro do pagamento. Inclua, quando existirem, operações rotineiras e exceções, como uma contratação urgente ou um aditivo que alterou o preço.

Compare a data da aprovação com a data da assinatura ou da execução. Identifique quem decidiu, qual regra estava em vigor e onde ficou registrado o motivo de eventual exceção. Uma amostra permite testar o processo examinado e explicitar os limites da análise. A CGU orienta que as políticas correspondam aos riscos mapeados e sejam aplicadas à rotina da empresa. Diretrizes de integridade da CGU.

Como organizar os documentos para a análise?

Para cada processo, indique o responsável, a versão e a data dos documentos. Registre as pendências e diga se a informação nunca foi registrada, está em outro sistema ou ainda precisa ser localizada. Isso ajuda a distinguir uma lacuna documental de uma falha de execução do controle.

Defina quem poderá acessar os arquivos e compartilhe somente os dados pessoais pertinentes ao escopo, de acordo com a finalidade e a base legal aplicável. Nas cópias de análise, avalie ocultar informações pessoais desnecessárias. LGPD, arts. 6º e 7º.

Veja o escopo e as entregas do serviço de Diagnóstico de Riscos Empresariais e Compliance.