Como mapear Controles Internos: passo a passo para criar uma matriz de riscos e controles

• Quais controles existem?
• Qual risco cada controle trata?
• Quem é responsável?
• Com que frequência o controle é executado?
• Qual evidência comprova sua execução?
• O controle foi testado?
• O controle é realmente eficaz?
• O que acontece quando o controle falha?

Quando essas informações estão espalhadas em planilhas, documentos e e-mails, a organização perde visibilidade e aumenta o esforço necessário para auditorias e avaliações de Compliance.

É por isso que o mapeamento de Controles Internos deve ir além de uma simples lista de controles.

O objetivo é construir uma estrutura que conecte:

Processo → Risco → Controle → Responsável → Evidência → Teste → Resultado → Plano de Ação

Neste guia, você vai aprender como mapear Controles Internos passo a passo e como transformar esse mapeamento em uma ferramenta de gestão.

O que é o mapeamento de Controles Internos?

O mapeamento de Controles Internos é o processo utilizado para identificar, documentar e relacionar os controles existentes aos riscos e processos da organização.

O objetivo é criar uma visão estruturada sobre como a empresa trata seus principais riscos.

Um mapeamento pode responder:

“Qual controle existe para reduzir determinado risco e como sabemos que ele está funcionando?”

Essa pergunta é essencial para auditoria, Compliance, gestão de riscos e governança.

Por que mapear os Controles Internos?

Sem um mapeamento estruturado, a empresa pode ter controles duplicados, controles insuficientes ou riscos que não possuem nenhum mecanismo adequado de tratamento.

O mapeamento ajuda a:

• Identificar riscos sem controles;
• Encontrar controles duplicados;
• Definir responsabilidades;
• Identificar controles críticos;
• Organizar evidências;
• Preparar auditorias;
• Melhorar processos;
• Fortalecer Compliance;
• Monitorar a efetividade dos controles;
• Priorizar planos de ação.

Mais do que documentar controles, o mapeamento permite identificar onde a organização está protegida e onde ainda existem lacunas.

O que é uma Matriz de Riscos e Controles?

A Matriz de Riscos e Controles é uma ferramenta utilizada para relacionar riscos identificados aos controles que existem para tratá-los.

Uma matriz básica pode conter:

Essa estrutura permite visualizar a relação entre os diferentes elementos do processo.

Como mapear Controles Internos passo a passo?

1. Liste os principais processos da organização

O primeiro passo é entender quais processos precisam ser avaliados.

Dependendo da organização, podem existir processos como:

• Financeiro;
• Compras;
• Vendas;
• Recursos Humanos;
• Tecnologia;
• Segurança da Informação;
• Gestão de fornecedores;
• Compliance;
• Jurídico;
• Operações;
• Proteção de dados.

O ideal é começar pelos processos mais relevantes para os objetivos estratégicos e pelos que possuem maior exposição a riscos.

2. Entenda como o processo funciona

Antes de identificar controles, é necessário compreender o processo.

Algumas perguntas podem ajudar:

• Como o processo começa?
• Quais são suas principais etapas?
• Quem participa?
• Quais sistemas são utilizados?
• Quais informações são geradas?
• Onde existem decisões?
• Onde podem ocorrer erros?
• Quais atividades são críticas?

Essa etapa pode envolver entrevistas com gestores, análise de procedimentos, documentos e observação das atividades.

3. Identifique os riscos do processo

Depois de entender o processo, identifique o que pode dar errado.

Um risco deve representar um evento que pode afetar os objetivos da organização.

Por exemplo:

Processo: contas a pagar.

Risco: pagamento realizado para fornecedor não autorizado.

Outro exemplo:

Processo: gestão de acessos.

Risco: colaborador mantém acesso a sistemas após desligamento.

A identificação deve considerar as características reais da operação.

4. Avalie os riscos

Depois de identificar os riscos, é necessário avaliar sua relevância.

Uma metodologia comum considera:

• Probabilidade;
• Impacto;
• Nível de risco.

O resultado pode ser classificado, por exemplo, como:

A metodologia deve ser definida pela própria organização de acordo com seu contexto e apetite de risco.

5. Identifique os controles existentes

Agora vem uma das etapas mais importantes.

Para cada risco identificado, pergunte:

“O que a empresa já faz para evitar ou detectar esse problema?”

Os controles podem ser:

• Políticas;
• Procedimentos;
• Aprovações;
• Validações;
• Segregação de funções;
• Conciliações;
• Revisões;
• Monitoramentos;
• Bloqueios sistêmicos;
• Auditorias.

O objetivo é mapear o que realmente acontece no processo, e não apenas o que está descrito em uma política.

6. Defina o objetivo de cada controle

Todo controle deve possuir uma finalidade clara.

Por exemplo:

Controle: aprovação independente de pagamentos.

Objetivo: reduzir o risco de pagamentos indevidos ou não autorizados.

Essa relação ajuda a verificar se o controle realmente trata o risco identificado.

7. Classifique o tipo de controle

Os controles podem ser classificados de diferentes maneiras.

Uma classificação simples é:

Também pode ser útil identificar se o controle é:

• Manual;
• Automatizado;
• Híbrido.

8. Defina o responsável pelo controle

Um controle precisa possuir um responsável claramente definido.

Isso evita situações em que todos acreditam que outra pessoa deveria executar determinada atividade.

O mapeamento pode identificar:

• Responsável pela execução;
• Responsável pela supervisão;
• Área responsável;
• Responsável pelo monitoramento.

Controle sem responsabilidade definida é um controle vulnerável.

9. Defina a frequência

Também é necessário registrar com que frequência o controle é executado.

Exemplos:

• Por transação;
• Diariamente;
• Semanalmente;
• Mensalmente;
• Trimestralmente;
• Anualmente;
• Quando necessário.

A frequência deve ser adequada ao risco tratado.

10. Defina a evidência

Uma pergunta fundamental é:

“Como a empresa consegue provar que esse controle foi executado?”

Essa prova é a evidência.

Exemplos:

• Relatórios;
• Logs;
• Registros de aprovação;
• Checklists;
• Documentos;
• Tickets;
• Relatórios de sistema;
• Atas;
• Comprovantes.

A existência da evidência aumenta a capacidade da empresa de demonstrar que o controle realmente foi executado.

11. Avalie a efetividade do controle

Depois de mapear o controle, é necessário avaliar se ele funciona.

Um controle pode ser:

• Eficaz;
• Parcialmente eficaz;
• Ineficaz;
• Não executado;
• Não testado.

Essa avaliação pode ser realizada por meio de testes.

12. Teste os controles

O teste verifica se o controle foi executado conforme definido.

Uma estrutura básica pode envolver:

1. Definir o controle;
2. Definir o período;
3. Selecionar uma amostra;
4. Coletar evidências;
5. Verificar a execução;
6. Registrar exceções;
7. Concluir sobre a efetividade.

Os critérios e métodos de teste devem ser definidos conforme a natureza do controle e o risco relacionado.

13. Identifique lacunas de controle

Durante o mapeamento, podem aparecer situações como:

• Risco sem controle;
• Controle sem evidência;
• Controle duplicado;
• Controle executado de maneira inconsistente;
• Controle inadequado ao risco;
• Controle sem responsável;
• Controle sem monitoramento.

Essas lacunas representam oportunidades de melhoria.

14. Crie planos de ação

Quando uma deficiência é identificada, a organização pode criar um plano de ação.

Um plano de ação deve estabelecer:

• O que será feito;
• Quem será responsável;
• Quando será concluído;
• Qual é a prioridade;
• Qual evidência comprovará a conclusão.

Assim, o processo deixa de ser apenas um diagnóstico.

O mapeamento passa a gerar melhorias concretas.

15. Reavalie os controles periodicamente

Controles precisam acompanhar as mudanças da organização.

Um processo pode mudar por causa de:

• Novos sistemas;
• Novas regulamentações;
• Alterações organizacionais;
• Novos fornecedores;
• Novos produtos;
• Expansão internacional;
• Incidentes;
• Resultados de auditorias.

Quando o processo muda, o risco pode mudar.

E quando o risco muda, os controles também podem precisar ser revisados.

Modelo de Matriz de Controles Internos

Uma matriz pode ser estruturada da seguinte maneira:

Checklist para mapear Controles Internos

Como saber se o mapeamento de Controles Internos está completo?

Um bom mapeamento não é necessariamente aquele que possui a maior quantidade de controles.

O objetivo é garantir que os principais riscos da organização estejam adequadamente tratados.

Algumas perguntas ajudam a avaliar a qualidade do mapeamento:

• Todos os riscos relevantes possuem controles?
• Os controles estão relacionados aos riscos corretos?
• Existem responsáveis definidos?
• Existe evidência de execução?
• Os controles são testados?
• As deficiências geram planos de ação?
• Os planos de ação são acompanhados?
• Os controles são reavaliados?

Se várias dessas perguntas não possuem resposta, provavelmente existe espaço para amadurecer a estrutura.

Como mapear Controles Internos em uma empresa que utiliza planilhas?

Planilhas podem ser úteis como ponto de partida para organizar um inventário de controles.

Porém, conforme a quantidade de processos aumenta, surgem desafios relacionados a:

• Controle de versões;
• Atualização de informações;
• Responsabilidades;
• Prazos;
• Evidências;
• Testes;
• Histórico;
• Indicadores.

Uma planilha pode dizer que um controle existe.

Mas ela nem sempre consegue mostrar de maneira integrada:

qual é o risco, quem executou, qual evidência foi apresentada, quando foi testado, qual foi o resultado e qual ação está sendo tomada.

É justamente nessa etapa que a tecnologia pode aumentar significativamente a maturidade do processo.

Como a tecnologia ajuda no mapeamento de Controles Internos?

Uma plataforma GRC permite centralizar o ciclo de vida dos controles.

Em vez de trabalhar com informações desconectadas, a organização pode estruturar:

Processo → Risco → Controle → Responsável → Evidência → Teste → Resultado → Plano de Ação

Essa estrutura facilita:

• Rastreabilidade;
• Monitoramento;
• Auditorias;
• Gestão de evidências;
• Acompanhamento de planos de ação;
• Indicadores;
• Tomada de decisão.

Como a Triskle ajuda no mapeamento de Controles Internos?

A Triskle GRC permite centralizar riscos, controles, evidências, auditorias, não conformidades e planos de ação em um único ambiente.

Na prática, sua organização pode utilizar a plataforma para:

• Mapear riscos e controles;
• Relacionar controles aos riscos;
• Definir responsáveis;
• Organizar evidências;
• Monitorar controles;
• Registrar testes;
• Identificar não conformidades;
• Criar planos de ação;
• Acompanhar prazos;
• Gerar indicadores;
• Apresentar informações em um Dashboard Executivo.

Isso permite que o mapeamento deixe de ser apenas uma planilha e se transforme em um processo contínuo de gestão e monitoramento.

Perguntas frequentes sobre mapeamento de Controles Internos

O que é mapeamento de Controles Internos?

É o processo de identificar, documentar e relacionar os controles existentes aos processos e riscos da organização.

Como fazer uma matriz de Controles Internos?

Comece identificando os processos, depois mapeie os riscos, controles, responsáveis, frequência, evidências e critérios de teste. Por fim, avalie a efetividade e registre eventuais planos de ação.

Qual a diferença entre matriz de riscos e matriz de controles?

A matriz de riscos concentra-se na identificação e avaliação dos riscos, enquanto a matriz de controles relaciona os mecanismos utilizados para tratar esses riscos. Na prática, as duas estruturas podem ser integradas em uma única matriz.

Quem deve mapear os Controles Internos?

O processo normalmente envolve as áreas responsáveis pelos processos, com participação ou apoio de funções como Riscos, Compliance, Controles Internos e Auditoria, conforme o modelo de governança da organização.

Todo risco precisa ter um controle?

Os riscos relevantes precisam ser avaliados e tratados de acordo com o apetite de risco da organização. Isso não significa necessariamente que todo risco terá um controle específico, mas a decisão de aceitar, reduzir, transferir ou evitar o risco deve ser consciente e documentada.

Como testar um Controle Interno?

O teste deve verificar se o controle foi executado conforme definido e se existem evidências suficientes para comprovar sua execução. O método depende da natureza do controle e do risco relacionado.

Como identificar falhas nos Controles Internos?

As falhas podem ser identificadas por meio de testes, auditorias, incidentes, não conformidades, indicadores e monitoramentos.

Planilhas são suficientes para controlar os Controles Internos?

Planilhas podem funcionar em estruturas pequenas, mas podem apresentar limitações quando o volume de riscos, controles, evidências, responsáveis e planos de ação cresce. Uma plataforma GRC pode centralizar e automatizar o acompanhamento.

Mapear Controles Internos é muito mais do que criar uma tabela com procedimentos.

O objetivo é construir uma visão clara sobre como a organização identifica, trata e monitora seus riscos.

Um bom mapeamento conecta:

Processo → Risco → Controle → Responsável → Evidência → Teste → Resultado → Ação

Essa conexão aumenta a capacidade da empresa de identificar lacunas, preparar-se para auditorias, demonstrar conformidade e melhorar continuamente seus processos.

O maior ganho acontece quando o mapeamento deixa de ser um documento estático e passa a ser atualizado e monitorado continuamente.

Controle interno não deve existir apenas no papel. Deve ser executado, evidenciado, testado e melhorado.

Para organizações que ainda controlam essa estrutura em planilhas, a centralização em uma plataforma GRC pode representar um avanço importante de maturidade.

SOLICITE UMA DEMONSTRAÇÃO →