Lei Sarbanes-Oxley: Mais segurança e compromisso

A Lei Sarbanes é aplicada às empresas norte americano. Segundo esta deve ser constantemente aprimorada os controles internos (o que abrange a contabilidade, as normas, a segregação de funções entre outras), a governança corporativa etc. Entre seus objetivos constam primordialmente a restauração da confiança e segurança das práticas contábeis e dos relatórios corporativos.

Introdução

Lei promulgada em 30 de Julho de 2002, regida pelo Senador Paul Sarbanes em parceria com o Deputado Michael Oxley, é considerada fato jurídico mais relevante para o mercado de capital norte americano desce a criação da SEC, Securities and Exchange Comission, (Instituição equivalente a CVM brasileira) em 1934. Entre outras informações:

Sancionada em julho de 2002 por George W. Bush, em reposta à avalanche de escândalos, fraudes e concordatas envolvendo grandes corporações, a Lei Sarbanes - Oxley provocou um impacto nunca visto sobre os mercados de capital norte - americanos e mundiais desde a legislação de 1933 e 1934, que criou a Securities and Exchange Comission - SEC, com amplos poderes para regular e policiar o mercado norte - americano de capitais. Por conta dos escândalos contábeis estampados nas manchetes de todo o mundo, os legisladores dos Estados Unidos, com rapidez extraordinária, programaram legislações que ampliaram os poderes da SEC, aumentando consideravelmente a responsabilidade da administração das empresas e introduzindo a regulamentação, pelo governo, da profissão de auditor [SOARES, 2005]¹.

A Sarbanes é uma lei que entrou em vigor para avaliar os controles para a manutenção da transparência após os eventos ocorridos com o gigante Enron. Os controles internos da época eram falhos e com esta lei passou a ser determinante para as organizações em linha por linha como deve ser efetuada e divulgada a demonstração contábil. Com a Sarbanes buscou-se recuperar a confiança dos investidores das chamadas sociedades anônimas. Existe basicamente para manter e avaliar as demonstrações contábeis para passar credibilidade dos dados aos interessados.

Destaca-se que a Sox apenas é obrigatória para as empresas de capital aberto e que negociam suas ações na Bolsa de Valores de Nova Iorque.

Os investidores das empresas nacionais retiram as informações por meio das demonstrações financeiras disponíveis e pela CVM, ao passo que nos Estados Unidos pela SEC. Essas organizações fiscalizadoras trazem de certa forma confiança aos investidores, como se fosse uma espécie de padrão de qualidade.

Com o objetivo de restaurar a confiança e segurança das práticas contábeis e relatórios corporativos, a lei reescreve as regras relativas à divulgação e a emissão de relatórios financeiros e aumentam a responsabilidade dos executivos. Visa com isso às seguintes metas:

• Transparência na divulgação das informações;
• Recuperar a confiança dos investidores;
• Minimizar possibilidade de fraudes contábeis; e
• Aumentar a integridade dos relatórios públicos divulgados.

E ainda privilegia o papel do Controle Interno, um processo executado pela Diretoria, pelo Conselho de Administração ou por outras pessoas da empresa que impulsionam o sucesso dos negócios em três categorias:

• Eficácia e eficiência das operações;
• Confiabilidade dos relatórios financeiros; e
• Cumprimento de leis e regulamentos aplicáveis.

Onde os Diretores Executivos e Financeiros são explicitamente responsáveis por estabelecer, avaliar e monitorar a eficácia dos controles internos sobre os relatórios financeiros e divulgações. Além de prever regras claras e penalidades severas aos Diretores Executivos e Financeiros e exige uma governança transparente e controles bem definidos, o que acarretará efeitos em toda a organização.

Nas empresas geralmente os diretores executivos e financeiros tem a função de gerenciar a organização. Pela Sarbanes ficam responsáveis por todas as informações divulgadas, em conjunto com os auditores independentes contratados pela corporação. Vale lembrar que em grandes sociedades anônimas há rodízios de diretores executivos e financeiros, com prazos médios de cinco anos para trocas, o que força toda uma reengenharia dos controles internos.

Seções críticas

Seções críticas são as seções que mais cobram responsabilidades por parte das empresas norte-americanas. A saber, são a de número 302 e 404, respectivamente, sobre a certificação dos relatórios e dos controles internos:

Seção 302 – Certificação dos Relatórios Financeiros

Determina que os Diretores Executivos e Financeiros devam declarar pessoalmente que são responsáveis pelos controles e procedimentos de divulgação e em cada arquivo trimestral deve conter a certificação de que eles executaram a avaliação do desenho e da eficácia desses controles. Resumindo:

• Revisão dos relatórios trimestrais e anuais e garantia que os relatórios representem fielmente a situação financeira da empresa;
• Responsabilidade por divulgar controles e procedimentos; e
• Avaliação da efetividade de controles e procedimentos de divulgação.

Seção 404 – Controles Internos

Determina uma avaliação anual dos controles e procedimentos internos para a emissão dos relatórios financeiros. Além disso, o auditor independente da empresa deve emitir um relatório distinto que ateste a asserção da administração sobre a eficácia dos controles internos e dos procedimentos executados para a emissão dos relatórios financeiros.

Qualquer mudança substancial nas condições financeiras ou operacionais da empresa dever ser informadas em tempo real, ou seja, de modo rápido e atualizado, conforme solicitado pela SEC (em vigor) e ainda deve adotar regra afim de que as empresas incluam em seus relatórios disposições referentes à divulgação de operações não contabilizadas e com empresas não consolidadas. Dentro dessa seção três grupos desempenharão um papel importante:

• O conselho de Administração que supervisiona o compromisso com a tarefa;
• Diretor Executivo e Diretores Financeiros que reconhecem a responsabilidade de assegurar o cumprimento das regras e transmitir as informações à alta administração e aos funcionários; e
• O Comitê Diretor de Trabalho que supervisiona e coordena as atividades relativas às Leis Sarbanes-Oxley em toda a organização.

Para melhor execução do trabalho e atingir os objetivos da Lei, o COSO (Comitê das Organizações Patrocinadoras) estabeleceu uma estrutura para Controle Interno em cinco componentes inter-relacionados:

• Ambiente de Controle: o alicerce de todos os outros elementos dos controles internos, que inclui valores éticos e a competência dos funcionários da empresa (fundamentado nas pessoas);
• Avaliação de riscos: a identificação e análise de riscos pertinentes que podem impedir o alcance dos objetivos do negócio (ciência dos riscos e como gerenciá-los);
• Atividades de Controle: tarefas específicas para atenuar cada um dos riscos identificados anteriormente (políticas e procedimentos que direcionam as diretrizes gerenciais);
• Informação e comunicação: vias de informação que partem da administração para os funcionários e vice-versa (permitir gerenciamento e direcionar as responsabilidades); e
• Monitoramento: avaliação e a apreciação dos controles internos (acompanhamento e correções).

Disponibilização de tecnologias para atingir os resultados Para facilitar e auxiliar o desenvolvimento do trabalho é importante que a empresa utilize-se de recursos tecnológicos.

Existem inúmeras ferramentas que podem auxiliar no desenvolvimento de um programa de controles internos, documentação de controles, análise e correção de falhas nos controles, aperfeiçoamento de divulgações, gerenciamento de riscos, documentação de revisões e assinaturas e fornecimento de relatórios administrativos aperfeiçoados. As ferramentas não devem ser encaradas como uma solução fácil para um problema difícil, todas precisam de algum tipo de adaptação para operar de maneira eficaz e objetivam completar o trabalho.

Destaca-se que com relação à divulgação de dados há manobras contábeis capazes de tornar um prejuízo em lucro, permitidas por lei. São exemplos as provisões, tais como os adiantamentos, todos esclarecidos em notas explicativas. E da mesma forma, é possível a diminuição do lucro com provisões. Aqui se citam as ações trabalhistas de valores perdidos. O antigo ativo diferido era outra forma de afetar os resultados, passando de prejuízo para lucro. Por exemplo, uma empresa que constrói um novo maquinário teria apenas despesas, que com o diferido entrariam como ativo. No entanto, todas essas alterações permitidas pela lei não tem efeitos para o pagamento de impostos no regime de lucro real, apenas para maquiar os dados durante o pedido de empréstimos e financiamentos.

As empresas norte-americanas devem apresentar relatórios contábeis anuais e trimestrais. Por meio destes verifica-se os resultados a partir disto é possível saber se o controle interno está de acordo com as metas da empresa. Utiliza-se então a verificação e avaliação da eficácia dos controles existentes, o que abrange não apenas a opinião dos executivos acerca dos controles.

Entre os controles surgem questões referentes a forma de como a empresa é administrada. Por exemplo, como são responsabilizados pelas decisões tomadas os diretores administrativos e executivos, ou mesmo, como funciona o comitê de trabalho. A nova lei das sociedades anônimas exige essas respostas e ajustes por parte da auditoria interna. Diferentemente, a auditoria externa ao longo do primeiro ano, verifica os princípios, no segundo as estruturas e nos demais, efetua os estágios de verificação por meio de amostragens (diga-se de passagem, falho). O controle da auditoria interna apresenta-se com maior frequência, tendo a forma de departamento na organização.

A primeira auditoria a ser efetuada numa organização é sobre o controle interno e o trabalho do departamento de auditoria interna que a administra, uma vez que suas informações transmitem alta credibilidade e ajuda nos trabalhos externos no que tange a tempo e recursos.

Bando de dados

Programas de banco de dados e ferramentas patenteadas podem ser utilizados para documentar objetivos, processos e atividades de controle. Também podem ajudar a identificar falhas e rastrear ações para corrigir deficiências e ainda fornecer suporte para as atividades de auto-avaliação e monitoramento. Estão disponíveis para fornecer suporte ao programa de controles internos, ajudando as empresas a documentar seus processos, objetivos de controles e atividades existentes e ainda identificar falhas e traçar ações para corrigir essas deficiências. Ao adicionar uma camada de visualização no banco de dados dos controles, a administração pode rapidamente compreender os resultados da avaliação que auxiliará no preenchimento da certificação trimestral dos controles.

Ferramentas patenteadas

A Sarbanes cita também a utilização de sistemas informatizados para o melhor controle interno. Um sistema informatizado, no caso, por mais detalhado que seja ainda é falho para o controle interno, uma vez que para funcionar depende do chamado fator humano. Por exemplo, mesmo o sistema sendo excelente, não adianta se os colaboradores que alimentam o programa trocam suas senhas de acesso, permitindo que um funcionário que trabalha com o departamento de contas a pagar efetue atividades correlatas ao de contas a receber - contrariando o mandamento da segregação de funções.

Para auxiliar as organizações, muitas empresas de serviços profissionais oferecem ferramentas patenteadas com o desenvolvimento de um programa de controles internos. Sistemas rastreadores de riscos e controles são sistemas de autoavaliação e monitoramento baseados na web desenhados para atender as grandes corporações e companhias com operações mais complexas. Com frequência são ferramentas flexíveis e escalonáveis que ajudam as organizações a documentar, monitorar e periodicamente avaliar a eficácia da estrutura de controles internos e são desenhados para direcionar as necessidades das empresas, que englobam desde a avaliação inicial e o rastreamento de riscos até o suporte da certificação.

O departamento de tecnologia de informática é responsável por assegurar que todos dos sistemas de TI são confiáveis e seguros, onde um novo ERP ou qualquer mudança significativa em sistemas pode requerer uma nova auditoria, atestados e relatórios para atender a Lei. O TI deve trabalhar em sincronia com os auditores e consultores internos/ externos para identificar e corrigir falhas do sistema de TI que tenham impacto no controle interno. As mudanças em processos e plataforma de TI que ocorram para atender a conformidade da Lei devem ser documentadas.

Controle Interno

A definição de controles internos mais amplamente aceita foi desenvolvida pelo COSO:um processo, efetuado pelo Conselho de Administração, pela administração ou pessoas da empresa, visa fornecer segurança razoável quanto à possibilidade de atingir objetivos nas seguintes categorias:

• Eficácia e eficiência das operações;
• Confiabilidade dos relatórios financeiros;
• Proteção de Ativos;
• Cumprimento de leis e regulamentos aplicáveis.

Controles Internos e Procedimentos para a emissão de relatórios financeiros A SEC propôs definir controles internos e procedimentos para a emissão de relatórios financeiros como “controles relativos a preparação das demonstrações financeiras para fins externos que são apresentados de maneira apropriada e em conformidade com os princípios contábeis nacionais.

Controles e Procedimentos de Divulgação

Os controles e procedimentos de divulgação “são desenhados para assegurar que as informações que uma empresa precisa divulgar nos relatórios arquivados por ela são registradas, processadas, resumidas e reportadas dentro dos prazos estipulados pela SEC” e inclui tanto divulgações financeiras quanto as não financeiras. Exemplos de divulgação não financeira podem incluir itens como assinatura de um contrato significativo, melhorias em relação a propriedade intelectual, mudanças sindicais, encerramento de um relacionamento estratégico, processos judiciais etc. Uma deficiência dos controles internos indica uma falha no desenho, na implementação e/ou na eficácia operacional de uma atividade de controle, essas falhas podem afetar a capacidade da empresa para iniciar, registrar, processar, resumir e reportar dados financeiros e não financeiros precisos.

A implantação de controle interno eficaz é um processo de trabalho intensivo onde é necessário várias ações:

• Planejar o programa – é recomendável uma equipe de gerenciamento, onde em uma empresa pequena pode remanejar os funcionários existentes, já uma empresa de maior porte necessitará de pessoal em jornada integral e exclusiva;
• Avaliar o ambiente de controle – o ambiente de controle inclui elementos como integridade, valores éticos e competência; filosofia da administração e estilo operacional; delegação de autoridade e responsabilidades; e direção fornecida pelo Conselho de Administração. Uma avaliação cultural pode auxiliar a compreender a documentar o ambiente de controle já existente nas empresas.
• Definir o escopo – o objetivo do processo de definição do escopo é identificar os riscos da emissão de relatórios financeiros e na divulgação. Ele também permitirá que os esforços sejam priorizados e focalizados.
• Construir um repositório de controles – o arquivo de controles serve como um depósito para todas as informações e atividades relacionadas com os controles internos, contendo a documentação relativa aos objetivos de controle, ao desenho e à implementação, bem como os métodos utilizados para testar a eficiência operacional dessas atividades.
• Executar testes iniciais e contínuos – a eficácia operacional das atividades de controle deve ser avaliada por várias partes, incluindo as pessoas responsáveis pelos controles e a Equipe de Gerenciamento.
• Monitorar- a função da auditoria interna deve monitorar a eficácia de todo o programa de controles internos e da infra-estrutura. As empresas que não possuem AI, podem passar essa responsabilidade a Equipe de gerenciamento.

Uma forte estrutura de controle interno pode fornecer benefícios a empresa que superem o cumprimento da Lei Sox:

• Tomar melhores decisões operacionais e obter informações mais pontuais;
• Conquistar (ou reconquistar) a confiança dos investidores;
• Evitar a evasão de recursos;
• Cumprir leis e regulamentos aplicáveis;
• Obter vantagem competitiva através de operações dinâmicas.

Ao contrário as que não implantarem:

• Maior exposição a fraude;
• Penalidades impostas pela SEC;
• Publicidade desfavorável;
• Impacto negativo sobre o valor do acionista;
• Queixas ou outras ações judiciais impetradas por acionistas.

Exemplos de objetivos de controle na área de emissão de relatórios:

• Autorização – as transações são executadas conforme a autorização geral ou específica da administração.
• Registro – todas as transações autorizadas são registradas pelos valores corretos, no período correto e na conta apropriada, a fim de permitir a preparação das demonstrações financeiras de acordo com os princípios contábeis geralmente aceitos.
• Salvaguarda – a responsabilidade pela custódia física dos ativos é designada a pessoas específicas e independentes das funções de manutenção dos registros.
• Reconciliação – ativos registrados as comparados com ativos existentes em intervalos razoáveis e são tomadas ações apropriadas em relação a quaisquer diferenças verificadas.

Além os objetivos de controle das demonstrações financeiras, podemos citar:

• Processo de gerenciamento de Pedidos
• Processo de gerenciamento de compras Através de mapeamento das atividades das empresas.

1SOARES, Marcelo Marcondes. A auditoria independente frente aos escândalos contábeis norte-americanos. 60. f. TCC - Pontifícia Universidade Católica, São Paulo, 2005.