Avaliação do risco de fraude no processo de Sourcing da Sonae MC

Avaliação do risco de fraude no processo de Sourcing da Sonae MC por Ana Filipa Bertão Vieira Neto Relatório de Mestrado em Economia Orientada por: Aurora A.C. Teixeira, Professora Associada da FEP Maria do Céu Ribeiro, Mestre em Contabilidade e Controlo de Gestão, CFE, FCPA Maria Júlia Santos, Diretora de Auditoria Interna da Sonae Cláudio Sérgio Ferreira, Coordenador de Auditoria Contínua da Sonae 2015 i Nota biográfica Ana Filipa Bertão Vieira Neto, nascida a 26 de setembro de 1992 em Coimbra (Sé Nova), residente em Ovar, no distrito de Aveiro. Concluiu o ensino secundário no curso de Ciências e Tecnologias, na Escola Secundária com 3.º Ciclo do Ensino Básico Júlio Dinis de Ovar com uma média de 15 valores, o que possibilitou o ingresso na licenciatura em Economia pela Universidade de Aveiro. Tendo dado inicio em setembro de 2010, concluiu, em junho de 2013, a licenciatura com uma média de 13 valores. Desde setembro de 2013, frequenta o mestrado em Economia na Faculdade de Economia da Universidade do Porto. Importa realçar que durante o percurso académico sempre se dedicou a atividades associativas, fazendo parte do Núcleo de Estudantes de Economia da Associação Académica da Universidade de Aveiro (entre outubro de 2010 e janeiro de 2013), sendo Responsável pela Secção de Informação e Comunicação durante dois anos. Relativamente ao percurso profissional, realizou, em 2013, um estágio de verão, com a duração de um mês e meio, na Caixa Geral de Depósitos ao abrigo do programa Academias de Verão. No verão de 2014, ao abrigo do Programa de Estágios de Jovens Estudantes do Ensino Superior nas Empresas (PEJENE) teve a oportunidade de trabalhar, durante dois meses, no Departamento Comercial da Smurfit Kappa – Celpack. Por último, realizou um estágio curricular na Sonae, na Direção de Auditoria e Gestão de Procedimentos, onde, durante quatro meses, teve como objetivo desenvolver o presente relatório. ii Agradecimentos À Professora Doutora Aurora Teixeira e à Dra. Maria do Céu Ribeiro, pelo rigor e dedicação com que me acompanharam nesta tão importante fase do meu percurso académico e profissional. Foram o meu principal suporte ao longo deste ano letivo, sempre com uma disponibilidade e complementaridade incomparáveis, fundamentais para o desenvolvimento desta investigação. À Dra. Júlia Santos e ao Dr. Cláudio Ferreira, pela orientação e acompanhamento prático nesta tão importante fase do meu percurso profissional. Foram essenciais para a aplicação da metodologia à Sonae, pela experiência profissional na organização em estudo e pela compreensão sobre o tecido empresarial. À minha família e amigos, pela motivação, compreensão e força com que sempre me acompanharam. Em especial à minha mãe e irmãos, pelas críticas constantes que me permitiram melhorar. A eles dedico este trabalho! iii Resumo Nenhuma organização está imune à fraude, mas bons métodos de avaliação do risco de fraude contribuem para a qualidade da auditoria e do ambiente de controlo interno da organização, melhorando os níveis de proteção de todas as entidades envolvidas. O presente relatório de estágio apresenta os resultados do programa de trabalhos, proposto no âmbito do desafio Call for Solutions da Sonae, que envolveu dois objetivos principais associados à gestão e avaliação do risco de fraude no processo de Sourcing da Sonae MC: 1) a construção de uma matriz de avaliação do risco de fraude no referido processo, que servirá de base para uma matriz de vulnerabilidade da Sonae a esquemas de fraude; e 2) a criação de uma checklist de verificação da eficácia dos controlos instituídos no processo de Sourcing, a ser utilizada, numa fase posterior, pela auditoria interna na revisão dos mesmos. Recorrendo a uma metodologia de investigação qualitativa, baseada na análise documental e na realização de inquéritos por entrevista, foi determinado o nível e tipo de fraude no processo de Sourcing da Sonae MC. A corrupção é o esquema de fraude com maior impacto no processo de Sourcing, nomeadamente o esquema de ‘Conflito de Interesses’ e de ‘Gratificações Ilegais’. As atividades de ‘seleção das melhores propostas’ e ‘aprovação das propostas escolhidas’ são as que carecem de maior atenção, de entre as seis existentes no processo, uma vez que apresentam níveis elevados de risco de fraude. Por fim, é difícil mensurar os danos de fraude, dados os custos ocultos e indiretos, mas ao promover uma cultura antifraude investe-se na ampliação dos controlos preventivos, o que resulta numa diminuição da probabilidade de incidentes de fraude. Os controlos instituídos, apesar de não estarem formalmente definidos para esse fim, mitigam o risco de fraude, podendo ser verificada a sua eficácia com a utilização da checklist construída. Palavras-Chave Avaliação do Risco de Fraude; Checklist de Fraude; Controlos; Fraude; Gestão de Risco de Fraude; Matriz de Avaliação de Riscos; Procedimentos; Risco de Fraude. Classificação JEL: D73, D81, F60, G32, M10 iv Abstract There is no organization immune to fraud, but good methods for fraud risk assessment may lead to a higher audit quality and the organization’s internal control environment which improves the protection levels of all the entities involved. This internship report provides the results obtained for the challenge Call for Solutions proposed by Sonae, and it had two main goals: the management, and evaluation of fraud risk of Sonae’s MC Sourcing process: 1) Develop a fraud risk evaluation matrix in the said process, as the basis for a vulnerability matrix to face fraud schemes; and 2) create a checklist to check the effectiveness of established controls in the Sourcing process, that will be used afterwards, by the internal audit team in order to review them. Using a qualitative research methodology, based on documentary analysis and interview’s survey, it has been found the level and type of fraud in Sonae’s MC Sourcing process. Corruption is the fraud scheme that has the biggest impact on the Sourcing process, particularly the 'Conflict of Interest' and 'Illegal Gratuities' schemes. The 'selection of the best proposals' activities and 'approval of chosen proposals’ activities are the ones where further attention is needed among the six existing in the process, since they have high levels of risk of fraud. Finally, it is difficult to measure the fraud damage, given the hidden and indirect costs, but encouraging anti-fraud culture means also invest in the expansion of preventive controls, resulting in a decreased likelihood of fraud incidents. Despite the established controls aren’t formally defined for this purpose, they mitigate the risk of fraud, and it’s effectiveness can be tested using the above mentioned checklist. Key-words Controls; Fraud; Fraud Checklist; Fraud Risk; Fraud Risk Assessment; Fraud Risk Management; Procedures; Risk Assessment Matrix. JEL Classification: D73, D81, F60, G32, M10 v Índice de conteúdos Nota biográfica ........................................................................................................................ i Agradecimentos ..................................................................................................................... ii Resumo ................................................................................................................................. iii Abstract .................................................................................................................................. iv Índice de conteúdos ................................................................................................................ v Índice de figuras ................................................................................................................... vii Índice de tabelas .................................................................................................................. viii Lista de abreviaturas/siglas ..................................................................................................... x 1. Introdução ....................................................................................................................... 1 2. Revisão bibliográfica ...................................................................................................... 4 2.1. Definição de fraude ............................................................................................. 4 2.2. Tipos de fraude .................................................................................................... 6 2.3. Determinantes da fraude ..................................................................................... 7 2.4. Procedimentos e processo de avaliação de riscos ............................................... 8 Etapa 1: Preparar a avaliação ............................................................................. 10 Etapa 2: Conduta da avaliação ........................................................................... 11 Etapa 3: Comunicação e resultados ................................................................... 13 Etapa 4: Monitorização e revisão ....................................................................... 13 3. Metodologia .................................................................................................................. 15 3.1. Ferramentas de avaliação do risco de fraude .................................................... 15 3.1.1. Matriz base ......................................................................................... 15 3.1.2. Matriz de exposição ao risco de fraude da Sonae ............................... 17 3.2. Conceção da avaliação do risco de fraude ........................................................ 18 vi 3.2.1. Análise documental ............................................................................ 18 3.2.2. Quantificação do nível de risco .......................................................... 19 3.2.3. Aferição qualitativa do nível de risco – descrição do inquérito aplicado ............................................................................................................ 21 3.3. Checklist ............................................................................................................ 28 4. Resultados empíricos .................................................................................................... 32 4.1. Probabilidade e impacto de possíveis esquemas de fraude no Sourcing .............. 32 4.2. Procedimentos e controlos internos ...................................................................... 37 4.3. Estimação do risco residual do processo de Sourcing .......................................... 40 4.4. Questões gerais e comentários .............................................................................. 44 4.5. Checklist ................................................................................................................ 45 5. Conclusão ...................................................................................................................... 47 5.1. Principais resultados ............................................................................................. 47 5.2. Limitações do estudo ............................................................................................ 49 5.3. Contribuições do estudo ........................................................................................ 50 5.4. Possíveis linhas de investigação futura ................................................................. 51 Referências ............................................................................................................................ 52 Anexos .................................................................................................................................. 58 Anexo I: Matriz de exposição ao risco de fraude da Sonae ......................................... 58 Anexo II: Inquérito ...................................................................................................... 59 Anexo III: Checklist de avaliação do grau de exposição do processo de Sourcing a esquemas de fraude ...................................................................................................... 69 Anexo IV: Matriz de avaliação de esquemas de fraude no processo de Sourcing ...... 82 Anexo V: MIL-STD 105E (ISO 2859-1:1999) ............................................................ 86 vii Índice de figuras Figura 1: Árvore da Fraude ................................................................................................ 6 Figura 2: Triângulo da Fraude ........................................................................................... 8 Figura 3: O processo de avaliação de risco ...................................................................... 10 Figura 4: Fases até ao output final ................................................................................... 15 Figura 5: Atividades do processo de Sourcing da Sonae MC .......................................... 17 Figura 6: Fluxo do inquérito ao processo de Sourcing .................................................... 25 Figura 7: Fluxo das atividades do processo de Sourcing ................................................. 25 viii Índice de tabelas Tabela 1: Definição de fraude ............................................................................................ 5 Tabela 2: Matriz de avaliação do risco de fraude no processo de Sourcing e determinação do risco residual ........................................................................................ 16 Tabela 3: Sustentação teórica das colunas selecionadas na matriz de avaliação do risco de fraude .......................................................................................................................... 16 Tabela 4: Matriz de exposição ao risco de fraude da Sonae ............................................ 18 Tabela 5: Matriz do nível do risco de fraude ................................................................... 20 Tabela 6: Plano de estruturação do inquérito ................................................................... 22 Tabela 7: Quadro de pré-testes e de validações ao inquérito ........................................... 27 Tabela 8: Quadro das entrevistas realizadas .................................................................... 28 Tabela 9: “Na sua opinião classifique a probabilidade de ocorrência dos diferentes esquemas de fraude no processo Sourcing, sendo 1 a situação de ‘Probabilidade muito reduzida de ocorrência’ e 5 a de ‘Probabilidade muito elevada de ocorrência’” ......... 32 Tabela 10: “Na sua opinião classifique a probabilidade de ocorrência de uma fraude nas seguintes atividades do processo, segundo a sua sensibilidade ou segundo a avaliação existente, sendo 1 a situação de ‘Probabilidade muito reduzida de ocorrência’ e 5 a de ‘Probabilidade muito elevada de ocorrência’” ............................. 34 Tabela 11: “Supondo um cenário de fraude, na sua opinião classifique qual seria o maior impacto (em valor) possível nas seguintes atividades, sendo 1 a situação de ‘Probabilidade muito reduzida de ocorrência’ e 5 a de ‘Probabilidade muito elevada de ocorrência’” .................................................................................................................... 36 Tabela 12: Nível de risco de fraude intrínseco no processo de Sourcing ........................ 37 Tabela 13: Procedimentos e controlos internos existentes no processo de Sourcing ...... 38 Tabela 14: “Tendo em consideração os controlos existentes, classifique a probabilidade residual de ocorrência de uma fraude nas atividades de Sourcing” .............................. 41 5 Tabela 1: Definição de fraude Autor Definição utilizada Dimensão chave Wells (2007) Fraude pode incluir qualquer crime para obtenção de lucro, utilizando como principal modus operandus o logro. “Lograr” implica impor uma ideia ou crença falsa que provoque ignorância, perplexidade ou impotência. Intencionalidade, danos e benefícios para o infrator. Levi e Burrows (2008) Fraude é a obtenção de vantagem financeira ou uma ação que causa perdas por engano implícito ou explícito, ou seja, é o mecanismo através do qual o infrator ganha vantagem ou provoca perda ilegal. Ball (2009) A fraude é uma transgressão mais grave do que a negligência, porque requer intencionalidade, definida vagamente como delito intencional. Intencionalidade. Byrd, Powell e Smith (2013) A questão da "intenção" é a questão central para determinar se a ação imprópria foi de facto "fraude", ou se foi apenas um erro ou ato de ignorância. Erickson, Hanlon e Maydew (2006) Fraude e erros diferem na medida em que os erros não refletem necessariamente a intenção de enganar, ao passo que a fraude, por definição, envolve a intenção de enganar. Lennox, Lisowsky e Pittman (2013) Segundo a SAS Nº 99, considera a definição de fraude como ato fraudulento deliberado encontrado nas demonstrações financeiras. No Código Penal português não há muito desenvolvimento sobre o tema da fraude, sendo o termo apenas utilizado na noção de uso corrente. Em alguma legislação a noção de fraude está unicamente associada à fraude fiscal, nomeadamente no artigo 103º e 104º da Lei n.º 15/2001, de 05 de Junho (Regime Geral das Infrações Tributárias), o que leva falhas de comunicação devido à limitação da definição. Por esses motivos, deve haver o cuidado de definir de forma adequada a terminologia, abrangendo todos os métodos de fraude possíveis. A falta de clareza no que toca às regras, normas ou critérios de fraude facilita situações de fraude, podendo os infratores aproveitar-se dessas lacunas/omissões da legislação (Marques, 1997). Importa também referir que a fraude pode não estar diretamente ligada com a ilegalidade; antes, pode ser considerada como uma violação das boas práticas e da ética (Bussmann e Werle, 2006). 6 2.2. Tipos de fraude Diversos critérios são utilizados para classificar os tipos de fraude, designadamente segundo o local, o lesado, de quem pratica ou a natureza das consequências imediatas (Pimenta, 2009). No caso de uma empresa, nomeadamente a Sonae relativamente à qual este relatório incide, podemos definir o local onde ocorre a fraude como a Empresa; o lesado, ou quem pratica o ato de fraude, pode ser considerado todos os stakeholders (acionistas, colaboradores, clientes, fornecedores e, mesmo, a comunidade em geral). Sendo a Sonae MC uma empresa especializada no retalho alimentar, o tipo de fraude relevante a analisar, em termos de natureza das consequências imediatas, é o da fraude económica. Esta pode ser segmentada em fraude ocupacional e organizacional. Estes dois tipos apresentam os mesmos esquemas de fraude – corrupção, apropriação indevida de ativos e manipulação financeira - que podem ser apresentados através da Árvore da Fraude (cf. Figura 1). Figura 1: Árvore da Fraude Fonte: Adaptado de ACFE (2007). Apropriação indevida de ativos Corrupção Manipulação financeira Gratificações ilegais Extorsão económica Suborno Conflito de interesses Furto Ativos/receitas subavaliados Ativos/receitas sobreavaliados Utilização indevida Sonegação Desembolsos fraudulentos Passivos/gastos sobreavaliados Passivos/gastos subavaliados 7 A fraude ocupacional e a fraude organizacional distinguem-se pelos objetivos com que as ações são feitas. Assim, estamos na presença de fraude ocupacional quando os funcionários de uma organização cometem uma fraude resultando prejuízos para essa mesma organização (ACFE, 2007). Relativamente à fraude organizacional, Santos (2001) afirma ser um tipo de fraude cometida por funcionários de uma organização com o intuito de favorecimento da mesma. No global, e de acordo com a Árvore da Fraude (cf. Figura 1), a fraude económica inclui a corrupção, a apropriação indevida de ativos e a manipulação financeira. Neste contexto, Wells (2013) define corrupção como uma ação feita com o intuito de fornecer uma vantagem incompatível com as funções legais e os direitos do indivíduo, criando um benefício pessoal em detrimento da organização. No que respeita à apropriação indevida de ativos, Albrecht el al. (1995) consideram-no como o ato de roubar ou desviar recursos de uma organização, com o intuito de beneficiar diretamente os infratores. Relativamente à manipulação financeira, Ball (2009) considera que pode diferir em termos de gravidade económica, jurídica e ética, mas que em todos os casos danifica a qualidade dos relatórios financeiros, enfraquecendo a sua eficiência. 2.3. Determinantes da fraude Cressey (1953) desenvolveu o modelo explicativo do Triângulo da Fraude que tem servido de referência na investigação aos determinantes da fraude. Segundo este autor os infratores têm três coisas em comum: (1) um problema financeiro que não é passível de ser compartilhado (‘pressão’), (2) a consciência de que esse problema pode ser resolvido secretamente através de uma fraude (‘oportunidade’) e (3) a justificação da sua conduta (‘racionalização’). Assim, o Triângulo da Fraude (cf. Figura 2) justifica a motivação para incidentes de fraude, sendo composto pela ‘pressão’, ‘oportunidade’ e ‘racionalização’. Esta teoria da fraude é utilizada por vários autores, nomeadamente Albrecht et al. (1995) e Loebbecke et al. (1989), no âmbito de exercícios de auditoria interna. 8 Figura 2: Triângulo da Fraude Fonte: Cressey (1953). O Triângulo da Fraude, como apresentado, é fundamental para melhorar a compreensão das motivações do infrator e melhorar a capacidade da organização para prevenir, impedir, testar, investigar e corrigir incidentes de fraude (Dorminey et al., 2012). 2.4. Procedimentos e processo de avaliação de riscos Desenvolvendo a definição de fraude e os seus determinantes, vamos passar a analisar os procedimentos adequados para combater a fraude para que seja possível construir uma matriz de avaliação de risco de fraude, bem como estabelecer a respetiva quantificação de forma adequada. Existem normas de gestão de risco, estandardizadas internacionalmente, nomeadamente a ISO 31000:2009 e a ISO/IEC 31010:2009, mas nada está referido especificamente quanto ao risco de fraude. Foram revistas outras normas, específicas para o risco de segurança da informação, como a NIST SP800-30, OCTAVE e CRAMM. Estas últimas, apesar de serem específicas de um tema que não fraude, constituem um guião adequado para a gestão de riscos uma vez que apresentam exemplos de aplicação práticos da metodologia de avaliação de risco, sendo passível, após a sequência de etapas, de adaptação ao caso do risco de fraude. Segundo as normas internacionais, para a prática profissional de auditoria interna do IIA, a auditoria interna deve determinar se os processos de gestão de risco de fraude são eficazes. O IIA foca isso nos seus pontos 2120.A2 e 2210.A2, dizendo no primeiro ponto que “a atividade de auditoria interna deve avaliar o potencial de ocorrência de fraude e como a organização gere o risco de fraude” e no segundo que “os auditores internos devem considerar a probabilidade de erros significativos, fraudes, não Oportunidade Pressão Racionalização Fraude 9 conformidades e outras exposições ao desenvolver os objetivos do trabalho”. Importa também focar o ponto 1210.A3 do IIA que diz respeito ao nível de conhecimento que é esperado de um auditor interno, apesar de deverem possuir conhecimento suficiente para avaliar o risco de fraude e a maneira como este é gerido pela organização não se espera que possuam a especialização de detetar e investigar fraudes. Vários autores (e.g., Davis e Pesch, 2013) reforçam esta perspetiva, considerando que os auditores internos devem ser os responsáveis pela avaliação da eficácia dos processos de gestão do risco de fraude, pela verificação da efetividade dos controlos existentes e pelo desenvolvimento de estratégias para a mitigação de incidentes de fraude, defendendo, por isso, que a eficiência dos auditores internos reduz efetivamente as perdas associadas a fraude (Loebbecke et al., 1989; Shibano, 1990; Norman et al., 2010). Norman et al. (2010) argumentam ainda que as responsabilidades crescentes dos auditores internos em assuntos de fraude tornam fundamental que tenham experiência para entender claramente as diretrizes e os procedimentos envolvidos. Norman et al. (2010) estabelecem que sem linhas de comunicação apropriadas o negócio não pode ser realizado de forma eficaz e eficiente e que a independência da função de auditoria interna e a sua objetividade são postas em causa. Ou seja, os auditores internos podem enfrentar o problema de conflitos de interesses ao fazer o reporte à gestão (Berman, 2006; Balkaran, 2007). As avaliações ao processo de gestão de risco de fraude podem representar para os auditores internos pressões significativas por parte da gestão, uma vez que os auditores internos, a certo ponto, devem avaliar a probabilidade de ocorrência de fraude entre os membros da administração (responsáveis pelo controle de avaliações e promoções dos auditores internos) (Norman et al., 2010). É difícil determinar a intencionalidade de uma ação (Jamal et al., 1995) uma vez que os incidentes de fraude raramente se presenciam e é ambígua a sua confirmação (Albrecht, 1995). Para reverter a situação e aumentar a probabilidade de deteção, Knapp e Knapp (2001) analisaram o efeito de realizar as avaliações de risco de fraude separadamente das restantes avaliações de risco. Os resultados apurados por estes autores indicam que a avaliação de risco de fraude é mais eficaz quando é feita em separado, recomendando, por isso, que não deve estar incorporada na avaliação de risco global. 10 Neste contexto, várias normas internacionais (e.g., NIST SP800-30, 2012; ISO 31000, 2009; ISO/IEC 31010, 2009) recomendam que o processo de avaliação de riscos envolva quatro etapas fundamentais: preparar a avaliação, conduta da avaliação, comunicação e resultados e monitorização e revisão (cf. Figura 3). Figura 3: O processo de avaliação de risco Fonte: Adaptado do NIST SP800-30 (2012), da ISO 31000 (2009) e da ISO/IEC 31010 (2009). Etapa 1: Preparar a avaliação A literatura sugere que quando os auditores não têm a capacidade de estudar adequadamente o ambiente organizacional em que atuam não tem capacidade para detetar fraudes (Erickson et al., 2000). Assim, esta constatação reforça a importância da pesquisa, considerando o espaço de ação completo disponível para os auditores. Asare e Wright (2010) reforçam esta ideia afirmando que o benefício da avaliação de risco de fraude está diretamente correlacionado com a investigação do meio. Nesta etapa devem ser definidos o âmbito, as fontes de informação utilizadas para recolher informação e as metodologias utilizadas (NIST SP800-30, 2012). Iyer e Etapa 1: Preparar a avaliação Etapa 2: Conduta da avaliação Etapa 3: Comunicação e resultados Etapa 4: Monitorização e revisão Estabelecimento do contexto Identificação do risco Análise do risco Avaliação do risco Tratamento do risco 11 Samociuk (2013), considerando que é necessário reunir algumas informações prévias para realizar o processo de avaliação corretamente, sugerem alguns documentos que devem ser revistos antes de iniciar a avaliação, como por exemplo estratégias de negócio, histórico de prejuízos, relatórios de auditorias, códigos de ética e de conduta, organogramas, fluxogramas de operações, entre outros. Etapa 2: Conduta da avaliação Esta etapa de avaliação de riscos requer uma grande sensibilidade para o tema em análise, devendo todos os dados ser analisados de forma sistemática, para que os resultados sejam coerentes. É a etapa mais importante de todo o processo uma vez que todas as etapas seguintes são influenciadas por os resultados daqui conseguidos. É segmentada em cinco passos: estabelecimento do contexto, identificação do risco, análise do risco, avaliação do risco e tratamento do risco. Para o estabelecimento do contexto, importa identificar os objetivos, as estratégias, o âmbito e os parâmetros onde será aplicado o processo da gestão de risco. Este ponto é importante para justificar todos os recursos utilizados na implementação, devendo ser apropriada à organização e aos riscos que estão a ser analisados (ISO/IEC 31010, 2009; ISO 31000, 2009). Relativamente à identificação do risco, devem estar reconhecidas as fontes de risco e as áreas de impacto, bem como as respetivas causas e potenciais consequências. Assim, deverá ser criada uma listagem abrangente de todos os riscos, sendo essencial uma análise crítica e dispor de informação atualizada uma vez que a negligência neste passo implica que determinados riscos não sejam incluídos nas análises posteriores (ISO/IEC 31010, 2009; ISO 31000, 2009; NIST SP800-30, 2012). Considerando a fase de análise do risco devemos compreender os riscos, de modo a facilitar a avaliação e o tratamento dos mesmos, entendendo que estratégias melhor se adequam a determinados tipos e níveis de risco. Uma análise completa deverá incluir as fontes de risco, as consequências (positivas e negativas) e os controlos existentes, bem como a sua eficácia (ISO/IEC 31010, 2009; ISO 31000, 2009; NIST SP800-30, 2012). 12 De notar que várias normas internacionais indicam que a análise do risco pode ser feita com diferentes variáveis, dependendo do risco ou da finalidade da análise. No que toca à avaliação do risco esta deve ter por base os dados obtidos através da análise de risco, sendo fundamental para a priorização de riscos e para apoiar a tomada de decisões sobre tratamentos a efetuar (ISO/IEC 31010, 2009; ISO 31000, 2009). De notar que as decisões devem ser tomadas de acordo com a legislação em vigor e com as normas internacionais e os requisitos existentes. Importa também referir que nem todos os riscos devem ser tratados; assim, nesta fase, são também definidos os riscos que não necessitam de intervenção, dependendo essa análise da propensão ao risco da organização (NIST SP800-30, 2012). A propensão ao risco está relacionada com a análise custo/benefício feita ao investimento em mitigar o risco, uma vez que a determinada altura o investimento necessário pode deixar de compensar os benefícios retirados na prevenção do risco. 3 No que respeita ao tratamento do risco, este implica um processo cíclico de apreciação de um tratamento, verificando-se se os níveis de risco residual são toleráveis - em caso negativo, gerar um novo tratamento de risco e voltar a analisar a eficácia desse novo tratamento (ISO/IEC 31010, 2009; ISSO 31000, 2009). Na análise do nível de risco residual volta a ser necessário observar a relação entre os custos necessários com a implementação do tratamento e os benefícios daí resultantes, tendo sempre em consideração a legislação e as normas e requisitos internacionais. Neste ponto de tratamento do risco, Christ (2013) argumenta que controlos internos demasiado formais podem levar os colaboradores a incorrer em comportamentos disfuncionais. Tais reações ocorrem uma vez que os colaboradores interpretam os controlos como um sinal de desconfiança, deixando de se sentir motivados para a função que desempenham na organização. A diminuição da motivação leva, consequentemente, a uma diminuição do esforço e, em alguns casos, até mesmo à realização de atividades 3 Como a avaliação do risco é o objetivo do presente relatório, no terceiro capítulo é apresentada a metodologia concreta utilizada para efetuar a avaliação. 13 fraudulentas. Assim sendo, os controlos devem ser impostos cuidadosamente para não induzir o comportamento dos colaboradores através de crenças erradas (Christ, 2013). Etapa 3: Comunicação e resultados A comunicação é primordial durante todas as etapas do processo de gestão de risco, devendo existir desde o início um plano para essas mesmas comunicações (ISO/IEC 31010, 2009). A sua importância está relacionada com a troca de opiniões entre as partes interessadas, que variam consoante os seus valores, necessidades, pressupostos ou preocupações (ISO 31000, 2009; NIST SP800-30, 2012). Neste ponto a ISO 31000 (2009) foca também a importância da troca de informação ser verdadeira, pertinente e precisa, respeitando sempre os aspetos de confidencialidade. Para além de poderem ser intervenientes dolosos em casos de fraude, os colaboradores da organização podem ser desde logo os responsáveis-chave pela sua prevenção e deteção, devendo ser convidados a participar na realização deste processo de avaliação (Iyer e Samociuk, 2013). Líderes de equipa, chefes de seção, supervisores, gerentes de linha e gestores seniores são alguns exemplos dados por Iyer e Samociuk (2013) de indivíduos que poderiam trazer valor acrescentado à avaliação e a quem os resultados deveriam ser apresentados. Etapa 4: Monitorização e revisão Documentos referentes ao risco de fraude devem ser revistos e atualizados regularmente (Jeffrey e Zimbelman, 2004) na medida em que os mercados estão em constante mutação e são cada vez mais competitivos e uma ligeira alteração pode aumentar drasticamente as motivações para a fraude. Neste contexto, Iyer e Samociuk (2013) consideram ser necessário instruir os colaboradores a serem mais cautelosos nas suas rotinas laborais para que não sejam um elemento facilitador de um infrator. A monitorização e revisão devem estar planeadas inicialmente, definindo a periocidade com que devem ser feitas e as responsabilidades; os resultados deverão ser reportados adequadamente para que possam ser utilizados em outras análises (ISO/IEC 31010, 2009; ISO 31000, 2009; NIST SP800-30, 2012). 14 É importante notar que não existe um modelo de avaliação de risco ‘ideal’, único. Diferentes organizações exigem diferentes metodologias que se adaptem à análise de risco pretendida (Nicola e McCallister, 2006). 21 Dependendo da forma como é determinado o escalão de probabilidade podemos chegar ao nível de risco intrínseco ou residual, sendo que no primeiro não são tidos em consideração os controlos existentes na empresa. 3.2.3. Aferição qualitativa do nível de risco – descrição do inquérito aplicado Para a determinação do nível de risco da matriz de avaliação do risco de fraude no processo de Sourcing, ou seja, a sua probabilidade e impacto, foram usados métodos qualitativos, recorrendo-se, adicionalmente à análise documental da Sonae MC, à utilização de um inquérito por entrevista junto de alguns colaboradores. Importância do inquérito A investigação qualitativa centra-se na compreensão dos problemas, analisando os comportamentos, as atitudes ou os valores, não existindo preocupação com a dimensão da amostra nem com a generalização dos resultados, e não se colocando o problema da validade ou da fiabilidade dos instrumentos. Este método de investigação tem a limitação de gerar problemas de objetividade que podem resultar da pouca experiência, da falta de conhecimentos ou da falta de sensibilidade do investigador (Sousa e Baptista, 2011). Estas limitações, no entanto, podem ser ultrapassadas pela interação entre o investigador e os colaboradores experientes da empresa em estudo. Relativamente ao inquérito, é uma técnica de observação não participante que se apoia numa sequência de perguntas ou interrogações escritas que se dirige a um conjunto de indivíduos, os inquiridos, que podem envolver as suas opiniões, ou várias informações factuais sobre eles próprios ou sobre o seu meio para recolha de dados qualitativos. O inquérito pode ser realizado através de questionário ou entrevista, distinguindo-se o questionário da entrevista pela exclusão, no primeiro caso, de interação direta entre o investigador e o inquirido (Sousa e Baptista, 2011). Hill (2012) e Iarossi (2006) identificaram um conjunto de pressupostos que tem orientado os procedimentos envolvidos nos inquéritos, sendo principalmente o facto de os inquiridos deterem a informação que o investigador precisa e as respostas de diferentes inquiridos a determinadas perguntas poderem ser validamente comparadas entre si. 22 Para uma maior interação com os colaboradores, optou-se pela realização do inquérito por entrevista. Desta forma, é possível obter informações mais detalhadas, existindo mais flexibilidade na aplicação do inquérito e possibilidade de comprovação e esclarecimento de questões. A implementação do inquérito por entrevista aumenta também a taxa de resposta e reduz as dificuldades encontradas pela falta de experiência do investigador. Foi definido um plano de estruturação do inquérito, conforme sugerido por alguns autores, que consta da Tabela 6. Tabela 6: Plano de estruturação do inquérito Estrutura do inquérito Autor Introdução Magalhães (1998) Formulação do problema / Área geral de investigação Magalhães (1998), Sousa e Baptista (2011) Definição dos objetivos Magalhães (1998), Sousa e Baptista (2011) Revisão bibliográfica Sousa e Baptista (2011) Hipóteses de investigação e métodos para analisar os dados Magalhães (1998), Sousa e Baptista (2011) Secções do inquérito Magalhães (1998) Perguntas do inquérito Magalhães (1998) Definição da amostra Sousa e Baptista (2011) Pré-teste Sousa e Baptista (2011) Conclusão Magalhães (1998) Na construção das questões é de elevada importância a linguagem e o tom das mesmas uma vez que estas são o vínculo de uma interação indireta entre o investigador e o inquirido, devendo ser escritas com clareza, coerência e neutralidade (Sousa e Baptista, 2011). Foi desenvolvido um inquérito do tipo misto, envolvendo questões de resposta aberta, de resposta fechada e de resposta semifechada. As questões de resposta aberta permitem uma maior profundidade, apesar de conduzirem a dificuldades de interpretação e de resumo das mesmas. No que toca às questões de resposta fechada estas facilitam o 23 tratamento e análise de dados e exigem menos tempo de preenchimento, tendo o inconveniente de poderem induzir o inquirido em questões que este não saberia responder (Sousa e Baptista, 2011). Relativamente às respostas semifechadas, estas são similares às respostas fechadas com a diferença que permitem ao inquirido acrescentar outras opções de resposta ou comentários (Sousa e Baptista, 2011). Relativamente às questões em escala, no inquérito foram utilizadas escalas de medida nominais e ordinais. As escalas nominais são utilizadas num conjunto de perguntas onde as respostas são qualitativamente diferentes e mutuamente exclusivas. Por sua vez, as escalas ordinais são utilizadas para casos onde seja necessário estabelecer uma relação entre todas as opções (Magalhães, 1998). A escala ordinal utilizada foi a escala tipo Likert, que se baseia em cinco posições que captam a opinião do individuo através da opção que varia entre ‘Discordo totalmente’ (1) e ‘Concordo totalmente’ (5). Foi também considerada a opção ‘Não sei’ (NS)/‘Não se aplica’ (NA). Adicionalmente, foram introduzidas perguntas mais gerais no sentido de obter um enquadramento do inquirido e perguntas mais específicas para chegar a resultados mais concretos (Magalhães, 1998). As questões encontram-se estruturadas e padronizadas de forma a permitir a comparação, nomeadamente nas questões relacionadas com a quantificação da probabilidade e do impacto. As questões devem ser ordenadas de tal forma que uma questão não influencie a resposta às questões subsequentes. Os inquéritos são padronizados para poder assegurar a confiança, generalidade e a validade, sendo que cada inquirido deverá ser apresentado com as mesmas questões e na mesma ordem que os restantes (Sousa e Baptista, 2011). Como o layout e a dimensão do inquérito estão diretamente correlacionados com a percentagem de respostas obtidas, é necessário ter clareza (tanto nas perguntas como na aparência) e uma dimensão tolerável para obter o maior número de respostas possível (Magalhães, 1998). 24 Desenvolvimento do inquérito Foi feito no inquérito um texto introdutório onde foi mencionado o objetivo do estudo e o âmbito da sua realização, o tempo médio para completar o inquérito e a garantia de confidencialidade. Na parte final do inquérito foi incluído espaço para os inquiridos adicionarem comentários e sugestões, e para fornecerem o seu contacto de correio eletrónico em caso de interesse nos resultados em estudo, antes dos agradecimentos pela colaboração. Estes dois pontos, de introdução e conclusão, esclarecem os inquiridos sobre os objetivos de investigação e sobre a importância do estudo, motivando a responder pela perceção de que as suas opiniões são fundamentais para o desenrolar da pesquisa (Malhotra, 2009). Entre os dois pontos abordados no parágrafo anterior, foi construído um inquérito com 18 questões (cf. Anexo II), 11 delas de resposta obrigatória, divididas em seis secções. O inquérito está inteiramente ligado com o objetivo do trabalho, sendo aproximadamente 83% do inquérito (15 questões) necessário para o preenchimento de algumas colunas da matriz de avaliação de fraude do processo de Sourcing. Os restantes 17% são necessários para perceber a sensibilidade dos colaboradores da Sonae ao tema, nomeadamente em relação a medidas de prevenção à fraude como os canais de denúncia e as formações sobre o tema. As seis secções - esquemas de fraude, probabilidade, impacto, procedimentos e controlos existentes, eficácia dos controlos e geral (cf. Figura 4) – foram estruturadas para dar uma sequência lógica ao inquérito, de forma a facilitar o raciocínio para a avaliação do risco de fraude. 25 Figura 6: Fluxo do inquérito ao processo de Sourcing Fonte: Elaboração própria. Foi incluído no inquérito um fluxo das atividades do processo de Sourcing, para que todos os inquiridos tivessem conhecimento das mesmas (cf. Figura 5). Figura 7: Fluxo das atividades do processo de Sourcing Fonte: Elaboração própria. 1•Esquemas de fraude 2•Probabilidade 3•Impacto 4 •Procedimentos e controlos existentes 5•Eficácia dos controlos 6•Geral Requisitos e Procurement •Requisitos para a seleção de fornecedores •Procurement de fornecedores Propostas •Pedidos de propostas de fornecedores Análise •Análises e avaliações feitas aos fornecedores Contratação •Contratação do fornecedor •Assinatura do contrato pela Sonae e seu arquivo Aprovação •Aprovação da melhor proposta de fornecedor Seleção •Análise das propostas dos fornecedores •Seleção da melhor proposta de fornecedor 26 Seleção dos inquiridos A simulação ao processo de Sourcing foi concretizada auscultando a perceção de todos os técnicos de auditoria e técnicos de procedimentos, bem como diretores de ambas as áreas que tiveram envolvimento direto no processo em análise. Assim, os inquiridos incluem 18 colaboradores da Sonae que correspondem aos intervenientes nas auditorias ao processo de Sourcing e aos procedimentos criados para o mesmo. Pré-teste ao inquérito Vários autores referem a importância da realização de pré-testes ao inquérito, o que foi tido em consideração (Magalhães, 1998; Sousa e Baptista, 2011). Foram avaliados durante o pré-teste os seguintes parâmetros (Hill, 2012; Iarossi, 2006; Sousa e Batista, 2011): i. Compreensão do objetivo do inquérito; ii. Compreensão de todas as questões (clareza de redação e confortabilidade em responder às questões); iii. Todas as alternativas possíveis eram cobertas pela lista de opções para as questões fechadas; iv. As opções de resposta eram compatíveis com a experiência dos inquiridos no tema; v. Os itens exigiam reflexão muito longa por parte dos inquiridos antes de responder; vi. Extensão do inquérito. Foi efetuado um pré-teste ao inquérito junto de dois técnicos de auditoria da Direção de Auditoria e Gestão de Procedimentos da Sonae indicados pela empresa (cf. Tabela 7). Os elementos selecionados não pertencem ao conjunto dos 18 inquiridos atrás mencionados pois não intervêm diretamente nas auditorias ou procedimentos do processo de Sourcing, não obstante possuem experiência sobre esse mesmo processo. Deste pré-teste decorreram alterações ao inquérito inicial, nomeadamente no que toca à ordenação das questões e à melhoria de algumas questões para evitar interpretações 27 enviesadas. Tal permitiu reduzir a duração prevista da entrevista de 20 para 15 minutos. Os técnicos inquiridos concordaram com a estrutura base, considerando que o inquérito era acessível e de fácil interpretação e não sendo referidas quaisquer questões importantes que tenham sido negligenciadas/omitidas. Aprovação do inquérito Após a introdução das alterações resultantes do pré-teste, o inquérito foi submetido para validação por parte de todos os diretores da DAGP (de auditoria, de procedimentos, de segurança alimentar e de segurança de informação) e os dois coordenadores (de auditoria contínua e de processo e cumprimento), tendo o mesmo sido aprovado sem reparos adicionais. Posteriormente, foi dado a validar ao Chief Audit Executive (CAE) da Sonae (cf. Tabela 7). Tabela 7: Quadro de pré-testes e de validações ao inquérito Cargo Data Duração Pré-teste 1 Técnico de auditoria 23/10/2014 30 minutos Pré-teste 2 Técnico de procedimentos 27/10/2014 40 minutos Aprovação 1 Coordenador de auditoria contínua 29/10/2014 90 minutos Aprovação 2 Coordenadora de processo e cumprimento 30/10/2014 60 minutos Aprovação 3 Diretora de auditoria 06/11/2014 60 minutos Aprovação 4 Diretor de auditoria aos sistemas de informação 12/11/2014 45 minutos Aprovação 5 Diretora de auditoria em segurança alimentar 17/11/2014 45 minutos Aprovação 6 Diretora de procedimentos 17/11/2014 40 minutos Aprovação 7 CAE 05/12/2014 90 minutos Inquérito por entrevista Após aprovado, o inquérito foi realizado por entrevista a 15 colaboradores da Sonae (cf. Tabela 8) de um universo de 18. A justificação pela não realização da totalidade das entrevistas prendeu-se com o facto de dois colaboradores estarem afetos aos escritórios 28 de Lisboa, sendo impossível, em tempo útil, a deslocação da investigadora ao local, e o terceiro colaborador estar de baixa médica. Tabela 8: Quadro das entrevistas realizadas Cargo Data Duração Entrevista 1 Técnico de auditoria 10/12/2014 30 minutos Entrevista 2 Técnico de auditoria 11/12/2014 30 minutos Entrevista 3 Técnico de auditoria 11/12/2014 30 minutos Entrevista 4 Técnico de procedimentos 12/12/2014 45 minutos Entrevista 5 Técnico de procedimentos 12/12/2014 35 minutos Entrevista 6 Coordenador de auditoria contínua 15/12/2014 45 minutos Entrevista 7 Coordenadora de processo e cumprimento 15/12/2014 40 minutos Entrevista 8 Técnico de auditoria 15/12/2014 40 minutos Entrevista 9 Técnico de auditoria 16/12/2014 30 minutos Entrevista 10 Técnico de auditoria 16/12/2014 60 minutos Entrevista 11 Diretor de auditoria em segurança alimentar 16/12/2014 30 minutos Entrevista 12 Técnico de procedimentos 17/12/2014 40 minutos Entrevista 13 Técnico de auditoria 17/12/2014 30 minutos Entrevista 14 Diretor de procedimentos 19/12/2014 35 minutos Entrevista 15 Diretor de auditoria 24/12/2014 45 minutos 3.3. Checklist Foi revista a checklist de auditoria interna para o processo de Sourcing da Sonae MC, de modo a averiguar se a mesma tem em consideração os testes aos procedimentos de controlo que previnam e detetem incidentes de fraude nesse mesmo processo. Uma vez que a mesma não abrangia todos os controlos que mitigam os esquemas de fraude no processo de Sourcing foi considerado oportuno elaborar uma nova checklist de auditoria específica para esse efeito. Numa fase posterior, a checklist construída será 29 relevante para o preenchimento da coluna referente à eficácia dos controlos da matriz de avaliação do risco de fraude no processo de Sourcing. Importância da checklist Wilk e Zimbelman (2004) sugerem que checklists são elementos que estruturam uma auditoria e que conduzem a benefícios significativos na qualidade das auditorias nas empresas. O objetivo principal das checklists é o de facilitar as avaliações aos controlos internos, incluindo uma série de questões com o intuito de verificar lacunas identificadas de esquemas de fraudes anteriores. As principais vantagens de ter uma estrutura padronizada são o de permitir observar um padrão de riscos sugestivos de fraude e de libertar recursos cognitivos para a revisão do programa de auditoria e não para a criação de um novo, permitindo uma deteção atempada de incidentes de fraude (Asare e Wright, 2010). É importante contudo ter em conta as desvantagens da utilização deste método de verificação da eficácia dos controlos instituídos. Vários autores consideram que a utilização de checklists para esse fim produz resultados disfuncionais (Asare e Wright, 2010; Boritz e Timoshenko, 2014; Hogan et al., 2008; Jamal, 2008; Pincus, 1989; Seow, 2009) que inibem a capacidade de pensamento estratégico e a sensibilidade do auditor a casos de fraude, que são fundamentais para prevenir e detetar incidentes (Pincus, 1989; Asare e Wright, 2004; Wilk e Zimbelman, 2004; Hogan et al., 2008;). Boritz e Timoshenko (2014) sugerem que se as checklists forem incompletas, muito longas, incluírem conteúdos inapropriados ou forem aplicadas de forma inadequada, podem implicar resultados incompatíveis com a realidade da empresa. Sugerem, no entanto, que melhorias no design e nos métodos de aplicação podem suprimir esses problemas. A categorização das checklists foi analisada por vários autores, tendo sido concluído que a existência de segmentações dentro das checklists torna a verificação da eficácia dos controlos instituídos mais rigorosa uma vez que aumenta a precisão dos auditores (Pincus, 1989; Zimbelman, 1997; Asare e Wright, 2010). 30 Vários autores sugerem que a incorporação do Triângulo da Fraude (Cressey, 1953), que estabelece que a fraude resulta da interação de três fatores – pressão, oportunidade e racionalização –, na elaboração de uma checklist a pode tornar mais eficaz (Albrecht et al., 1995; Loebbecke et al., 1989; Wilk e Zimbelman, 2004). Tal é reforçado pela SAS 99 (2002) que categoriza os sinais de fraude usando esse modelo explicativo. Existem outros fatores que melhoram a eficácia dos resultados obtidos numa auditoria, como as auditorias inesperadas. Wilk e Zimbelman (2004) referem que a incidência de erros involuntários não é afetada por auditorias previstas mas que a fraude, pelo seu carácter de intencionalidade, consegue ocultar a sua ocorrência (Fellingham e Newman, 1985; Niescgwietz et al., 2000). Os auditores devem também ser incentivados a proceder a atualizações frequentes das checklist e de todos os restantes documentos relativos à fraude, dadas as constantes variações da motivação de cada indivíduo a cometer fraude (Wilk e Zimbelman, 2004). Desenvolvimento da checklist O desenvolvimento da checklist de verificação da eficácia dos controlos instituídos no processo de Sourcing tem como intuito de melhorar o desempenho da auditoria interna da Sonae no âmbito da prevenção e deteção de incidentes de fraude. De acordo com o exposto, foi decidido categorizar a checklist de acordo com o Triângulo da Fraude de Cerssey (1953) e com os esquemas de fraude da Árvore da Fraude (cf. Anexo III), de modo a facilitar a interpretação dos resultados por parte dos auditores internos da Sonae. Para construir a checklist foram observados os procedimentos e os controlos instituídos no processo de Sourcing da Sona MC e foram definidos quais os que mitigavam o risco de fraude, apesar de não estarem formalizados para essa finalidade. Amostra e materialidade Para a construção da checklist de vulnerabilidade do processo de Sourcing a esquemas de fraude tornou-se relevante definir a amostra a analisar, bem como o limite de materialidade. 37 impacto superiores. Em contrapartida, a atividade de ‘Análise e avaliação aos fornecedores’ é a que apresenta níveis inferiores de impacto. Relativamente ao coeficiente de variação, a maioria das questões apresentadas sobre a probabilidade de ocorrência e o impacto de um incidente de fraude apresentam grande dispersão entre os inquiridos, isto é, não há opiniões muito homogéneas, uma vez que apresentam valores superiores a 0,30. Tabela 12: Nível de risco de fraude intrínseco no processo de Sourcing Esquemas de fraude Conflito de interesses Suborno Gratificações ilegais Extorsão económica Despesas fraudulentas Passivos/gastos sobreavaliados Atividades do processo de Sourcing Requisitos e Procurement de fornecedores 13.0 NA 9.1 NA NA NA Análise das propostas dos fornecedores 13.8 8.4 12.3 5.7 7.4 NA Análise e avaliação aos fornecedores 4.8 3.0 4.3 2.6 2.3 NA Seleção das melhores propostas 19.4 13.4 17.3 10.0 NA NA Aprovação das propostas escolhidas 16.8 11.6 14.7 8.2 NA NA Contratação dos fornecedores 11.6 7.3 9.6 5.7 NA 6.6 4.2. Procedimentos e controlos internos Uma vez que os procedimentos e controlos internos instituídos numa empresa podem mitigar o nível de risco de fraude, foi considerado apropriado questionar os inquiridos relativamente ao nível de eficácia dos mesmos no processo de Sourcing da Sonae MC (cf. Tabela 13). A Questão 4.1. (ver Inquérito em Anexo II) tinha o propósito de verificar qual a perceção dos inquiridos sobre os procedimentos existentes no processo de Sourcing da Sonae MC, incluindo o nível de extensão dos procedimentos existentes a todas as atividades do processo, do nível de conhecimento dos procedimentos existentes por todos os colaboradores e da sua aplicabilidade. No inquérito por entrevista existia também espaço, na Questão 4.2., para que os inquiridos definissem as atividades mais críticas em que consideravam que os 38 procedimentos deveriam ser criados ou revistos. Deste grupo de questões foi possível apurar que, em média, poucos são os inquiridos que concordam que os procedimentos existentes no processo de Sourcing sejam suficientes para descrever todas as atividades do mesmo. A média dos inquiridos julga que o conhecimento dos colaboradores intervenientes no processo sobre esses mesmos procedimentos existentes seja mediano, e que um nível considerável de colaboradores não aplica os procedimentos existentes na organização. Na Questão 4.3. estavam identificados três controlos para mitigar cada esquema de fraude e foi solicitado que os inquiridos classificassem os mesmos de acordo com a sua adequação ao combate dos esquemas de fraude associados. Desta forma, foi possível quantificar o grau de eficácia dos controlos associados a cada esquema de fraude, segundo a apreciação dos inquiridos. Tabela 13: Procedimentos e controlos internos existentes no processo de Sourcing Questão Méd Mín Máx CV Média (1-5) Média (1-100%) Concordo que os procedimentos aplicados ao processo de Sourcing são (1: ‘Discordo totalmente’ … 5: ‘Concordo totalmente’) Suficientes. 3.20 2 5 0.28 Conhecidos. 2.80 1 5 0.39 Aplicados. 2.22 1 3 0.36 Considero adequado os controlos associados a cada esquema de fraude no combate à mesma (1: ‘Discordo totalmente que os controles são adequados’ … 5: ‘Concordo totalmente…’) Conflito de interesses Cotação no mínimo por 3 fornecedores. 4.21 3 5 0.18 4.17 84.3 Aprovação dos fornecedores selecionados de acordo com a matriz de competências em vigor. 4.36 3 5 0.19 “(…) não devem intervir em processos de decisão que envolvam, direta ou indiretamente, organizações com as quais colaborem ou tenham colaborado ou pessoas com quem estejam ou tenham estado ligados por laços de parentesco ou amizade.” – Código de Ética e Conduta da Sonae. 3.93 2 5 0.26 Suborno “(…) acesso a informação privilegiada, a qualquer título, estão expressamente proibidos de a transmitir, de a utilizar ou de facilitar a sua utilização por terceiros em proveito próprio.” – Código de Ética e Conduta da Sonae. 4.00 2 5 0.25 4.31 86.2 “A Sonae condena quaisquer atos em que se ofereçam ou aceitem compensações ou 4.00 2 5 0.28 39 Questão Méd Mín Máx CV Média (1-5) Média (1-100%) benefícios que influenciem o comportamento alheio no sentido de obter vantagens para si ou para a empresa.” – Código de Ética e Conduta da Sonae. Segregação de funções entre a atividade de Seleção e a de Aprovação. 4.93 4 5 0.07 Gratificações ilegais “Os Colaboradores assumem o compromisso de atualizar os seus conhecimentos e competências, frequentando as oportunidades de formação colocadas à sua disposição e recomendadas pela empresa.” – Código de Ética e Conduta da Sonae. 3.93 1 5 0.33 3.93 78.6 “A Sonae não encoraja a prática de dádiva ou recebimento de brindes e ofertas comerciais.” – Código de Ética e Conduta da Sonae. 4.29 3 5 0.19 Controlo do superior hierárquico. 3.56 1 5 0.45 Extorsão económica “A extorsão consiste em constranger alguém empregando violência ou grave ameaça com a intenção de obter indevida vantagem económica, ou para obrigar a vítima a fazer, deixar de fazer ou tolerar que se faça algo.” – Sujeito a prisão, de 4 a 10 anos, e multa. Segundo o artigo 158º a 160º do Código do Direito Penal. 3.43 1 5 0.39 3.91 78.2 “A relação entre todos os Colaboradores e Órgãos Sociais deve pautar-se pelo respeito mútuo, lealdade, cooperação, honestidade e clareza de comunicação, na procura conjunta da excelência do resultado coletivo.” – Código de Ética e Conduta da Sonae. 3.93 2 5 0.27 “(…) a sua prática empresarial é transparente e equitativa, não sendo tolerada qualquer forma de abuso e suborno, corrupção ou branqueamento de capitais.” – Código de Ética e Conduta da Sonae. 4.36 3 5 0.19 Apropriação indevida de ativos Atividades devidamente documentadas e arquivadas. 4.21 2 5 0.22 4.34 86.8 Verificação regular das quantidades de ativos. 4.75 4 5 0.10 “(…) é vedado o uso dessa qualidade ou da sua posição hierárquica, bem como da imagem, do nome ou da marca Sonae, para proveito pessoal, dos seus familiares ou de quaisquer terceiros.” – Código de Ética e Conduta da Sonae. 4.07 3 5 0.20 40 Questão Méd Mín Máx CV Média (1-5) Média (1-100%) Manipulação financeira Rotatividade dos responsáveis pela negociação. 4.50 1 5 0.24 4.59 91.8 Controlo dos contratos / receitas comerciais (de contratos contabilizados fora do prazo efetivo de realização ou contratos fictícios). 4.64 4 5 0.11 Auditorias surpresa. 4.62 3 5 0.14 Concorda que os controlos internos aplicados ao processo de Sourcing são (1: ‘Discordo totalmente’ … 5: ‘Concordo totalmente’) Suficientes. 3.71 2 5 0.19 Eficazes. 3.25 2 5 0.29 Fonte: Questão 4 do inquérito realizado. Legenda: média, mínimo, máximo, coeficiente de variação, média por esquema de fraude (escala 1-5) e média por esquema de fraude (escala 1-100%). Para o cálculo das percentagens consideramos que o nível de resposta 5 correspondia à perceção de que o inquirido considerava que os controlos existentes combatem a fraude a 100%. Desta forma foi possível apurar que os inquiridos consideram que os procedimentos de controlos no processo de Sourcing da Sonae MC têm uma situação de elevada eficácia (78.2% e 91.8%). Apesar dos valores relativamente elevados da eficácia percecionada pelos inquiridos no combate aos esquemas de fraude pelos controlos internos, quando diretamente inquiridos sobre se considerariam que os controlos internos aplicados ao processo de Sourcing suficientes e eficazes (Questão 4.5.), os baixos valores médios obtidos, 3.71 e 3.25 (em 5), e as baixas dispersões revelam que há um grande grau de concordância entre os inquiridos sobre a relativa insuficiência e não muito elevada eficácia dos controlos internos existentes. 4.3. Estimação do risco residual do processo de Sourcing O Grupo Sonae considera que mais importante que o risco intrínseco a cada processo é o seu nível de risco residual, ou seja, o risco remanescente da implementação dos controlos da empresa. Como tal, foi considerado apropriado questionar os inquiridos acerca da probabilidade de ocorrência de um incidente dados os controlos internos instituídos. Tal permitiu (relacionando esta questão com a Questão 2 do questionário) estimar o risco residual de fraude no processo de Sourcing da Sonae MC (cf. Tabela 14). 41 Os inquiridos consideram que tendo em consideração os controlos internos instituídos no processo de Sourcing da Sonae MC, a atividade em que existe uma maior probabilidade de ocorrência de fraude continua a ser a de ‘Seleção das melhores propostas’ e a em que existe uma menor probabilidade a de ‘Análise e avaliação aos fornecedores’. Relativamente à ‘Aprovação das propostas escolhidas’, verificamos uma evolução considerável uma vez que já não se encontra como a segunda atividade mais provável de acontecer, em termos de probabilidade residual. Relativamente aos esquemas de fraude, apesar da diminuição dos níveis de probabilidade, não existem variações na sua ordenação. Os esquemas de ‘Conflito de Interesses’ e de ‘Gratificações Ilegais’ continuam a ser os que apresentam valores mais elevados de probabilidade residual. Na questão referente ao risco residual as respostas obtidas tiveram um grau de homogeneização reduzido, uma vez que apenas uma das alíneas apresenta valores inferiores a 0,30. Este resultado reflete divergências na sensibilidade de cada inquirido em relação à eficácia dos controlos instituídos no processo de Sourcing da Sonae MC. Tabela 14: “Tendo em consideração os controlos existentes, classifique a probabilidade residual de ocorrência de uma fraude nas atividades de Sourcing, sendo 1 a situação de ‘Probabilidade muito reduzida de ocorrência’ e 5 a de ‘Probabilidade muito elevada de ocorrência’” Esquemas de fraude Conflito de interesses Suborno Gratificações ilegais Extorsão económica Despesas fraudulentas Passivos/gastos sobreavaliados Atividades de Sourcing Requisitos e Procurement de fornecedores 3.13 (0.32) NA 3.00 (0.44) NA NA NA Análise das propostas dos fornecedores 3.20 (0.32) 2.67 (0.46) 3.07 (0.42) 2.33 (0.55) 1.93 (0.57) NA Análise e avaliação aos fornecedores 2.27 (0.49) 1.87 (0.45) 2.13 (0.43) 1.67 (0.54) 1.53 (0.59) NA Seleção das melhores propostas 3.53 (0.34) 3.07 (0.31) 3.47 (0.26) 2.67 (0.37) NA NA Aprovação das propostas escolhidas 2.87 (0.37) 2.40 (0.47) 2.73 (0.38) 2.07 (0.50) NA NA Contratação dos fornecedores 2.47 (0.46) 2.00 (0.53) 2.33 (0.45) 1.80 (0.60) NA 2.07 (0.43) Fonte: Questão 5 do inquérito realizado. Legenda: média (coeficiente de variação), sendo NA igual a “Não aplicável”. 42 Após a análise da Tabela 14 foi possível determinar o nível de risco de fraude residual no processo de Sourcing da Sonae MC (cf. Tabela 15). De forma generalizada, houve uma diminuição do risco de fraude, apesar de na maioria dos esquemas de fraude associados a cada uma das atividades o nível de risco não tenha descido de escalão. No que toca ao nível de risco de fraude residual, os esquemas de fraude mais críticos continuam a ser os de ‘Conflito de Interesses’ e de ‘Gratificações Ilegais’, mantendo-se também as atividades de ‘Seleção das melhores propostas’ e ‘Aprovação das propostas escolhidas’ as que carecem de maior atenção (cf. Tabela 15). Tabela 15: Nível de risco de fraude residual no processo de Sourcing Esquemas de fraude Conflito de interesses Suborno Gratificações ilegais Extorsão económica Despesas fraudulentas Passivos/gastos sobreavaliados Atividades do processo de Sourcing Requisitos e Procurement de fornecedores 10.0 NA 7.2 NA NA NA Análise das propostas dos fornecedores 10.7 6.6 9.4 5.0 4.8 NA Análise e avaliação aos fornecedores 4.1 2.8 3.7 2.2 2.3 NA Seleção das melhores propostas 15.3 11.3 13.9 8.0 NA NA Aprovação das propostas escolhidas 11.9 8.2 10.6 5.8 NA NA Contratação dos fornecedores 8.4 5.1 6.8 3.8 NA 5.2 De modo a avaliar a eficácia dos controlos internos instituídos no processo de Sourcing da Sonae MC foram analisadas as questões dois e cinco do inquérito realizado aos técnicos de auditoria e de procedimentos da DAGP, sendo construída a Tabela 16. Os valores apresentados sobre a eficácia dos controlos refletem a sensibilidade dos inquiridos, não tendo estes valores sido confirmados através de testes mais objetivos. Os valores percecionados sobre a eficácia dos controlos refletem uma situação desfavorável, uma vez que a ‘eficácia dos controlos’ tem valores relativamente baixos, compreendidos entre 4.4% e 35.7% (cf. Tabela 16). Os esquemas de fraude que apresentam níveis de eficácia superiores são os de ‘Conflito de Interesses’ e de 43 ‘Gratificações Ilegais’, por outro lado, o esquema de ‘Extorsão Económica’ é o que reflete menores níveis de eficácia dos controlos instituídos, em média. Tabela 16: Perceção sobre a eficácia dos controlos existentes no Sourcing Esquema de fraude Atividade PI PR Variação da prob. EC =Variação PI Conflito de Interesses Requisitos e Procurement de fornecedores 4.07 3.13 0.94 23.10% Análise das propostas dos fornecedores 4.13 3.20 0.93 22.52% Análise e avaliação aos fornecedores 2.67 2.27 0.40 14.98% Seleção das melhores propostas 4.47 3.53 0.94 21.03% Aprovação das propostas escolhidas 4.07 2.87 1.20 29.48% Contratação dos fornecedores 3.40 2.47 0.93 27.35% Suborno Análise das propostas dos fornecedores 3.40 2.67 0.73 21.47% Análise e avaliação aos fornecedores 2.07 1.87 0.20 9.66% Seleção das melhores propostas 3.67 3.07 0.60 16.35% Aprovação das propostas escolhidas 3.40 2.40 1.00 29.41% Contratação dos fornecedores 2.87 2.00 0.87 30.31% Gratificações Ilegais Requisitos e Procurement de fornecedores 3.80 3.00 0.80 21.05% Análise das propostas dos fornecedores 4.00 3.07 0.93 23.25% Análise e avaliação aos fornecedores 2.40 2.13 0.27 11.25% Seleção das melhores propostas 4.27 3.47 0.80 18.47% Aprovação das propostas escolhidas 3.80 2.73 1.07 28.16% Contratação dos fornecedores 3.27 2.33 0.94 28.75% Extorsão Económica Análise das propostas dos fornecedores 2.67 2.33 0.34 12.73% Análise e avaliação aos fornecedores 1.93 1.67 0.26 13.47% Seleção das melhores propostas 3.33 2.67 0.66 19.82% Aprovação das propostas escolhidas 2.93 2.07 0.86 29.35% Contratação dos fornecedores 2.67 1.80 0.87 32.58% Desembolsos Fraudulentos Análise das propostas dos fornecedores 3.00 1.93 1.07 35.67% Análise e avaliação aos fornecedores 1.60 1.53 0.07 4.38% Passivos/gastos sobreavaliados Contratação dos fornecedores 2.60 2.07 0.53 20.38% Legenda: probabilidade intrínseca, probabilidade residual, variação de probabilidade e eficácia dos controlos. 44 Após a análise dos resultados obtidos dos inquéritos os mesmos foram transpostos para a matriz de avaliação do risco de fraude. Na extrapolação dos dados para um nível global referente ao processo de Sourcing deve ser dada atenção ao facto de nem todos os esquemas de fraude serem aplicáveis a todas as atividades do processo, o que diminui o nível de risco de fraude desse esquema de fraude associado ao processo em análise. Assim, o resultado global associado ao processo deve ser calculado através da média aritmética e considerando todas as atividades do processo de Sourcing (cf. Tabela 17). Tabela 17: Nível de risco de fraude global no processo de Sourcing Esquemas de fraude Conflito de interesses Suborno Gratificações ilegais Extorsão económica Despesas fraudulentas Passivos/gastos sobreavaliados Nível de risco de fraude global 9.8 6.6 8.4 4.8 3.6 5.2 Apesar de não estar contemplado na Tabela 17, os níveis de risco de fraude globais referentes aos esquemas de fraude de ‘Desembolsos Fraudulentos’ e de ‘Passivos/gastos Sobreavaliados’ encontram-se sobreavaliados em relação aos restantes, por só se verificarem em duas e uma atividades do processo, respetivamente. Como se aplicam em poucas atividades do processo de Sourcing existe pouca discrepância de valores, o que resulta numa média relativamente elevada em relação aos restantes esquemas de fraude. O nível de risco de fraude global verificado nos dois esquemas de fraude referidos acaba por ser diluído, dada a pouca importância que detêm no processo de Sourcing da Sonae MC. 4.4. Questões gerais e comentários 7 O canal de denúncia existente na Sonae, sob responsabilidade da Provedoria, exige a identificação de quem faz a denúncia. Foi incluída uma questão sobre a implementação de um canal de denúncia anónima, ao qual 12 dos 15 inquiridos respondeu que seria preferível e que considera que o benefício das denúncias com fundamento iria suportar o número de denúncias falsas (cf. Tabela 18). 7 Esta seção é fundamentada pelos comentários e observações realizados pelos inquiridos durante as entrevistas. 45 Tabela 18: Questões gerais do inquérito Questão Sim Não Não Sabe Sim (1-100%) Não (1-100%) Relativamente ao canal de denúncia, considera que seria mais proveitoso se fosse anónimo? 12 3 0 80% 20% Fonte: Questão 6 do inquérito realizado. Em cada uma das áreas de negócio da Sonae existem regras e procedimentos que diferem entre si, mesmo quando se referem a processos idênticos, uma vez que estes podem ter especificidades decorrentes do modelo de negócio, o que acrescenta âmbito ao trabalho de auditoria. Auditores que analisem um mesmo processo de diferentes áreas de negócio podem eventualmente confundir os procedimentos ou ter lacunas nas interpretações dos resultados de auditoria. Durante as entrevistas foram referidas algumas áreas críticas em que os procedimentos deveriam ser criados ou revistos, como por exemplo, a seleção de fornecedores nas Direções Comerciais, as marcas próprias e o pricing. Foi também referido por alguns inquiridos que o método de divulgação dos procedimentos não era totalmente eficaz. O facto de existir uma dispersão elevada em algumas questões denota que não existiu conluio nas respostas e, como é um assunto sensível para as empresas, os seus colaboradores não percecionam as realidades da mesma maneira, dando credibilidade à análise realizada. 4.5. Checklist Após a análise da checklist existente na Sonae para a realização de auditorias de verificação da eficácia dos controlos instituídos no processo de Sourcing da Sonae MC, foi possível averiguar que a mesma não incluía alguns testes aos controlos específicos para mitigar incidentes de fraude, apesar de esses mesmos controlos estarem instituídos no processo, uma vez que o seu propósito não era o de analisar o nível de risco de fraude. Assim, foi considerado relevante construir uma checklist específica para avaliar as atuais perguntas existentes no programa de auditoria e introduzir novos temas sobre os referidos controlos. 46 O inquérito efetuado permitiu concluir que a maioria dos controlos instituídos na Sonae permite mitigar o vértice ‘Oportunidade’ do Triângulo da Fraude (Cressey, 1953) e os esquemas de fraude referentes à ‘Corrupção’ e ‘Apropriação Indevida de Ativos’. A mitigação dos vértices ‘Pressão’ e ‘Racionalização’ do Triângulo da Fraude (Cressey, 1953) encontram-se endereçados ao Código de Ética da empresa. O facto de os vértices atrás referidos estarem diretamente relacionados com motivações pessoais de um possível infrator dificulta o seu controlo. Por sua vez, a ‘Manipulação Financeira’ pode refletir-se apenas em alguns testes realizados ao nível dos contratos, das faturas e do acesso a informação no processo de Sourcing da Sonae MC. Tal é justificado pela probabilidade reduzida de acontecimento destes esquemas de fraude no referido processo. 53 Christ, M.H. (2013), “An experimental investigation of the interactions among intentions, reciprocity, and control”, Journal of Management Accounting Research, Vol. 25, Nº 1, pp. 169–197. CRAMM (2003), CCTA Risk Analysis and Management Method, 5ª edição, Reino Unido: CCTA. Cressey, D.R. (1953), Other People’s Money: A Study in the Social Psychology of Embezzlement, Glencoe: Free Press. Davis, J.S. e Pesch, H.L. (2013), “Fraud dynamics and controls in organizations”, Accounting, Organizations and Society, Vol. 38, Nº 6-7, pp. 469-483. Dorminey, J., Fleming, A., Kranacher, M. e Riley Jr., R.A. (2012), “The evolution of fraud theory”, Issues in Accounting Education, Vol. 27, Nº 2, pp. 555-579. Erickson, M, Mayhew, B. e Felix, W. (2000), “Why do audits fail? Evidence from Lincoln Savings and Loan”, Journal of Accounting Research, Vol. 38, pp. 165–94. Erickson, M., Hanlon, M. e Maydew, E.L. (2006), “Is there a link between executive equity incentives and accounting fraud?”, Journal of Accounting Research, Vol. 44, Nº 1, pp. 113-143. Everitt, B., Landau, S., Leese, M. e Stahl, D. (2010), Cluster analysis, 5ª edição, Chichester: Wiley. Fellingham, J.C. e Newman, D.P. (1985), “Strategic considerations in auditing”, The Accounting Review, Vol. 60, Nº 4, pp. 634-650. Hill, M.M. (2012), Investigação por Questionário, 2ª edição, Lisboa: Edições Sílabo. Hogan, C.E., Rezaee, Z., Riley, R.A. e Velury, U.K. (2008), “Financial statement fraud: Insights from the Academic Literature”, Auditing: A Journal of Practice and Theory, Vol. 27, Nº 2, pp. 231–252. Iarossi, G. (2006), The Power of Survey Design: A User's Guide for Managing Surveys, Interpreting Results, and Influencing Respondents, Washington, DC: The World Bank Publications. 54 ISO/IEC 31010 (2009), Risk Management: Risk Assessment Techniques, Ginebra: ISO e IEC. Iyer, N. e Samociuk, M. (2013) Riscos de Fraude: Um Breve Manual para Prevenir e Detetar Fraudes, traduzido por Sílvia Cobelo, São Paulo: Sicurezza. Jamal, K., Johnson, P. e Berryman, R. (1995), “Detecting framing effects in financial statements”, Contemporary Accountig Research, Vol. 12, pp. 85-105. Jamal, K. (2008), “Mandatory audit of financial reporting: A failed strategy for dealing with fraud”, Accounting Perspectives, Vol. 7, Nº 2, pp. 97–110. Jeffrey W.T. e Zimbelman, M.F. (2004), “Using game theory and strategic reasoning concepts to prevent and detect fraud”, Accounting Horizons, Vol. 18, Nº 3, pp. 173-184 Knapp, C.A. e Knapp, M.C. (2001), “The effects of experience and explicit fraud risk assessment in detecting fraud with analytical procedures”, Accounting, Organizations and Society, Vol. 26, Nº 1, pp. 25-37. KPMG Forensic (2014), Fraud Risk Management. Developing a Strategy for Preventiuon, Detection, and Response, Suiça: KPMG. Lennox, C., Lisowsky, P. e Pittman, J. (2013), “Tax aggressiveness and accounting fraud”, Journal of Accounting Research, Vol. 51, Nº 4, pp. 739-778. Levi, M. e Burrows, J. (2008), “Measuring the impact of fraud in the UK: A conceptual and empirical journey”, The British Journal of Criminology, Vol. 48, Nº 3, pp. 293-318. Loebbecke, J.K., Eining, M.M. e Willingham, J.J. (1989), “Auditors’ experience with material irregularities: Frequency, nature and detectability”, Auditing: A Journal of Practice and Theory, Vol. 9, Nº 2, pp. 1-28. Magalhães, M. (1998), “A construção de um questionário”, Dinâmia Working Paper #98/11, Outubro 1998. Maia, A.J. (2011), “O discurso social sobre o problema da corrupção em Portugal”,OBEGEF Working Papers nº7. 55 Malhotra, N.K. (2009), Marketing Research: An Applied Orientation, 6ª edição, Boston: Pearson. Marôco, J. (2007), Análise Estatística com utilização do SPSS, 3ª edição, Lisboa: Edições Sílabo. Marques, M. (1997) Auditoria e Gestão, Lisboa: Editorial Presença. Nicola, A. e McCallister, A. (2006), “Existing experiences of risk assessment”, European Journal on Criminal Policy and Research, Vol. 12, Nº 3-4, pp. 179-187. Nieschwietz, R.J., Schultz, J.J. e Zimbelman, M.F. (2000), “Empirical research on external auditors’ detection of financial statement fraud”, Journal of Accounting Literature, Vol. 19, pp. 190-246. NIST SP800-30 (2012), Guide for Conducting Risk Assessments, 2ª edição, Gaithersburg: NIST. Norman, C.S., Rose, A.M. e Rose, J.M. (2010), “Internal audit reporting lines, fraud risk decomposition, and assessments of fraud risk”, Accounting, Organizations and Society, Vol. 35, Nº 5, pp. 546-557. NP ISO 31000 (2012), Gestão do Risco: Princípios e Linhas de Orientação, Caparica: APQ. Pestana, M.H. e Gageiro, J.N. (2008), Análise de Dados para Ciências Sociais: A complementaridade do SPSS, 5ª edição, Lisboa: Edições Sílabo. Pimenta, C. (2009), “Esboço de quantificação da Fraude em Portugal”, OBEGEF Working Papers nº3. Pincus, K.V. (1989), “The efficacy of a red flags questionnaire for assessing the possibility of fraud”, Accounting, Organizations and Society, Vol. 14, Nº 1-2, pp. 153–163. PwC (2008), “Economic Crime: People, Culture and Controls”, Global Economic Crime Survey da PricewaterhouseCoopers, US: PwC. 56 Santos, C.M.C. (2001), O Crime de Colarinho Branco: Da Origem do Conceito e sua Relevância Criminológica à Questão da Desigualdade na Administração da Justiça Penal, Coimbra: Coimbra Editora. SAS 99 (2002), Statement on Auditing Standards No. 99: Consideration of Fraud in a Financial Statement Audit, US: Auditing Standards Board. Seow, J.L. (2009), “Cue usage in financial statement fraud risk assessments: Effects of technical knowledge and decision aid use”, Accounting and Finance, Vol. 49, Nº1, pp. 183–205. Shibano, T. (1990), “Assessing audit risk from errors and irregularities”, Journal of Accounting Research, Vol. 28, pp. 110-140. Sonae (2015), Sonae: Resultados do primeiro trimestre 2015, Maia: Sonae. Sousa, M.J e Baptista, C.S. (2011), Como Fazer Investigação, Dissertações, Teses e Relatórios, 2ª edição, Lisboa: Lidel. Sousa, O. (2012), Retail Fraud, Londres: https://www.youtube.com/watch?v=- wmqBQhp4uU Souza, J., Kantorski, L. e Luis, M. (2011), “Análise documental e observação participante na pesquisa em saúde mental”, Revista Baiana de Enfermagem, Vol. 25, Nº 2, pp. 221-228. Tixier, J., Dusserre, G., Salvio, O. e Gaston, D. (2002), “Review of sixty two risk analysis methodologies of industrial plants”, Journal of Loss Prevention in the Process Industries, Vol. 15, Nº 4, pp. 291-303. Wells, J.T. (2007) Corporate Fraud Handbook: Prevention and Detection, 2ª edição, New Jersey: John Wiley. Wells, J.T. (2013) Principles of Fraud Examination, 4ª edição, New Jersey: John Wiley. Wilks, T.J. e Zimbelman, M.F. (2004), “Using game theory and strategic reasoning concepts to prevent and detect fraud”, Accounting Horizons, Vol. 18, Nº 3, pp. 173-184. 57 Zimbelman, M. (1997), “The effects of SAS No. 82 on auditors’ attention to fraud risk factors and audit planning decisions”, Journal of Accounting Research, Vol. 35, Supplement, pp. 75–97. 58 Anexos Anexo I: Matriz de exposição ao risco de fraude da Sonae Esquema de Fraude Corrupção Apropriação indevida de ativos Manipulação Financeira Conflito de interesses Suborno Gratificações ilegais Extorsão económica Furto Desembolsos fraudulentos Sonegação Utilização indevida Ativos/receitas sobreavaliados Ativos/receitas subavaliados Passivos/gastos sobreavaliados Passivos/gastos subavaliados Processo Sourcing NA NA NA NA NA NA 59 Anexo II: Inquérito Guião de Entrevista para Avaliação do Risco de Fraude Processo Sourcing da Sonae MC Introdução Estou na Sonae a desenvolver uma metodologia de Avaliação do Risco de Fraude, ao abrigo do programa Call for Solutions, estando alocada à Direção de Auditoria e Gestão de Procedimentos. Sou aluna do Mestrado de Economia, da Faculdade de Economia da Universidade do Porto (FEP). Neste sentido, o seu contributo no preenchimento deste questionário para obtenção de dados é fundamental, uma vez que permite avaliar a probabilidade e o impacto de possíveis incidentes de fraude. A entrevista terá duração prevista de 20 minutos e durante o processo de análise todos os dados recolhidos serão tratados de forma confidencial, e serão utilizados apenas para análise estatística sem nunca referir os envolvidos. Agradeço a todos a colaboração, que será essencial para o meu percurso académico e profissional. Objetivo da Entrevista Esta entrevista tem como principal objetivo avaliar a sensibilidade à fraude no processo Sourcing, considerando fraude qualquer erro intencional que retira valor a uma organização. Para tal, é necessário assegurar os seguintes pontos: 1. Identificar e classificar os riscos de fraude em cada uma das atividades do Processo de Sourcing; 2. Tendo em conta os controlos internos existentes, percecionar a probabilidade de ocorrência de uma fraude bem-sucedida; 3. Imaginando o pior cenário, percecionar qual seria o impacto de um incidente de fraude. Fluxo da entrevista Introdução 1. Possíveis esquemas de fraude 2. Probabilidade 3. Impacto 4. Procedimentos e controlos existentes 5. Eficácia dos controlos 6. Geral Conclusão 60 Atividades do Processo Legenda CI - Conflito de interesses Su -Suborno GI - Gratificações ilegais EE - Extorsão económica F - Furto DF - Desembolsos fraudulentos So - Sonegação UI - Utilização indevida MFsobre - Ativos/passivos/receitas/gastos sobreavaliados MFsub - Ativos/passivos/receitas/gastos subavaliados Dados do Entrevistado Nome Cargo Local da entrevista Data Hora Requisitos e Procurement •Requisitos para a seleção de fornecedores •Procurement de fornecedores Propostas •Pedidos de propostas de fornecedores Análise •Análises e avaliações feitas aos fornecedores Contratação •Contratação do fornecedor •Assinatura do contrato pela Sonae e seu arquivo Aprovação •Aprovação da melhor proposta de fornecedor Seleção •Análise das propostas dos fornecedores •Seleção da melhor proposta de fornecedor 61 1. Possíveis Esquemas de Fraude De acordo com a árvore da fraude económica da ACFE (Association of Certified Fraud Examiners) existem três principais esquemas de fraude: Corrupção, Apropriação indevida de ativos e Manipulação financeira, que se podem segmentar como mostra na tabela a baixo. Tempo previsto de resposta 3 minutos Questão 1.1. Na sua opinião classifique a probabilidade de ocorrência dos diferentes esquemas de fraude no processo Sourcing. Legenda: Sendo 1 a situação de "Probabilidade muito reduzida de ocorrência" e 5 a de "Probabilidade muito elevada de ocorrência", e sendo NS "Não sabe" e NA "Não se aplica". 1 2 3 4 5 NS NA a) Conflito de interesses (favorecimento de uma das partes intervenientes no negócio) b) Suborno (pagamento para que alguém se desvie dos seus deveres profissionais) c) Gratificações ilegais (pagamento em forma de agradecimento por benefício em relação a terceiros) d) Extorsão económica (pressionar no sentido de alguém agir com determinado comportamento) e) Furto (apropriação indevida de ativos físicos da empresa) f) Desembolsos fraudulentos (apropriação de receitas através de despesas fraudulentas) g) Sonegação (ocultar ativos físicos de modo a, posteriormente, os retirar da empresa para beneficio próprio) h) Utilização indevida (danificar ativos da empresa, propositadamente, com o intuito de causar prejuízos) i) Ativos/receitas sobreavaliados (valores contabilísticos diferentes dos reais) j) Ativos/receitas subavaliados (valores contabilísticos diferentes dos reais) k) Passivos /gastos sobreavaliados (valores contabilísticos diferentes dos reais) l) Passivos /gastos subavaliados (valores contabilísticos diferentes dos reais) Questão 1.2. Considera que existem mais esquemas de fraude que possam surgir neste processo? Se sim, por favor, indique neste campo. _____________________________________________________________________________________ _____________________________________________________________________________________ _____________________________________________________________________________________ 62 2. Probabilidade Tempo previsto de resposta 3,5 minutos Questão 2.1. Tem conhecimento se foi realizada alguma avaliação à probabilidade de ocorrência de fraude neste processo? ⧠ Sim ⧠ Não ⧠ Não sabe Questão 2.1.1. Se respondeu “Sim” à questão anterior, na sua opinião surgiram melhorias recorrentes dessa avaliação. ⧠ Sim ⧠ Não ⧠ Não sabe Questão 2.2. Na sua opinião classifique a probabilidade de ocorrência de uma fraude nas seguintes atividades do processo, segundo a sua sensibilidade ou segundo a avaliação existente. Modo de resposta: Preencher cada um dos espaços com MB “Muito Baixa”, B “Baixa”, M “Média”, A “Alta” ou MA “Muito Alta”, podendo também optar por utilizar NS "Não sabe" ou NA "Não se aplica". Atividade a) CI b) Su c) GI d) EE e) F f) DF g) So h) UI i) A/R Sobre j) A/R Sub k) P/G Sobre l) P/G Sub i. Requisitos e Procurement de fornecedores ii. Análise das propostas dos fornecedores iii. Análise e avaliação aos fornecedores iv. Seleção das melhores propostas v. Aprovação das propostas escolhidas vi. Contratação dos fornecedores Questão 2.3 Considera mais alguma atividade relevante? Se sim, identifique-a(s) e classifique quanto à probabilidade de ocorrência. _____________________________________________________________________________________ _____________________________________________________________________________________ _____________________________________________________________________________________ 69 Anexo III: Checklist de avaliação do grau de exposição do processo de Sourcing a esquemas de fraude Checklist de Avaliação da Vulnerabilidade do processo de Sourcing a Esquemas de Fraude Nº relatório: Data da auditoria: Âmbito da auditoria: Parte I Ajuda de preenchimento da checklist: Atualmente, a fraude é um problema comum a todas as empresas e, dadas as suas características, impossível de eliminar. Contudo, é possível reduzir o nível de risco de fraude através de uma adequada prevenção e mitigação do risco de fraude. Com o intuito de perceber a sensibilidade da Sonae ao tema da fraude, construímos este inquérito que pretende analisar quais os pontos onde é possível implementar melhorias para a prevenção e mitigação da fraude. Na coluna destinada à “Conformidade”, deve ser registado o resultado da avaliação: se está conforme (Sim), não conforme (Não) ou se o inquirido não sabe (Não Sei). Caso seja identificada alguma recomendação, a mesma deve ser redigida no campo “Oportunidade de melhoria”. No campo “Evidências”, deve ser anotado o nº da nota/evidência registada que suporta a constatação de conformidade/não conformidade. Legenda:  O – Oportunidade  P – Pressão  R – Racionalização Notas: Após o inquérito, deve apoiar-se no documento anexo “Ajuda de análise de dados” para introduzir os dados no Excel e para que seja extraído o gráfico a inserir no relatório. 70 Questões Conformidade Evidências Código de Ética e Conduta P, R 1. Existe um Código de Ética e Conduta na Sonae?  SIM  NÃO  NÃO SABE P, R 2. Código de Ética e Conduta aborda diretamente a fraude?  SIM  NÃO  NÃO SABE P, R 3. O Código de Ética e Conduta é divulgado? 3.1. É entregue no acolhimento a novos colaboradores?  SIM  NÃO  NÃO SABE 3.2. Existem formações sobre o Código de Ética e Conduta?  SIM  NÃO  NÃO SABE 3.3. Está disponível na intranet?  SIM  NÃO  NÃO SABE P, R 4. A gestão de topo faz intervenções regulares sobre o tema fraude? (“Ton at the top”)  SIM  NÃO  NÃO SABE Colaboradores P, R 5. Os colaboradores estão sensibilizados para o tema fraude: 5.1. Existem formações regulares sobre fraude?  SIM  NÃO  NÃO SABE 5.2. As formações são direcionadas para cada uma das diferentes funções?  SIM  NÃO  NÃO SABE 5.3. As formações são de acesso a todos os colaboradores relevantes? (Como por exemplo responsáveis de área ou de equipa)  SIM  NÃO  NÃO SABE Recrutamento O 6. Nas entrevistas de recrutamento os RH têm em consideração o perfil de infratores: 6.1. Existe um perfil de infrator definido e documentado?  SIM  NÃO  NÃO SABE 6.2. Existe uma política definida e documentada para o perfil para o qual não contratam por motivo associados a fraude?  SIM  NÃO  NÃO SABE O 7. Nas entrevistas de recrutamento os RH têm em consideração o registo criminal: 7.1. Os RH requerem registo criminal antes de formalizar os processos de contratação?  SIM  NÃO  NÃO SABE 7.2. Em caso de cadastro, existe uma política definida e documentada para não contratam por esse motivo?  SIM  NÃO  NÃO SABE Processo da Gestão do Risco de Fraude P, O 8. Existe um processo/política de gestão de risco de fraude? 8.1. O processo/política está devidamente definido e documentado?  SIM  NÃO  NÃO SABE 8.2. O processo/política é divulgado através de formações?  SIM  NÃO  NÃO SABE 8.3. O processo/política está disponível na intranet?  SIM  NÃO  NÃO SABE O 9. Existe uma matriz de riscos de fraude para toda a Sonae?  SIM  NÃO  NÃO SABE O 10. Existe uma matriz de riscos de fraude específica por processo?  SIM  NÃO  NÃO SABE 71 O 11. Os riscos de fraude são avaliados e priorizados anualmente?  SIM  NÃO  NÃO SABE O 12. Cada um dos principais riscos de fraude tem identificados dois controlos internos para o seu combate?  SIM  NÃO  NÃO SABE O 13. A avaliação e os testes feitos aos dois principais controlos de cada risco é feita periodicamente: 13.1. Os resultados dos testes efetuados aos dois principais controlos de cada risco estão devidamente documentados?  SIM  NÃO  NÃO SABE O 14. Existem sistemas de alertas para os principais controlos de fraude?  SIM  NÃO  NÃO SABE Atividades de controlo O 15. Existe um descritivo de funções, que defina e faça uma delimitação de cada função?  SIM  NÃO  NÃO SABE O 16. A estrutura organizativa está formalmente definida?  SIM  NÃO  NÃO SABE Auditoria O 17. Existe a função de Auditoria Interna?  SIM  NÃO  NÃO SABE O 18. A Auditoria Interna reporta diretamente a um Órgão Independente?  SIM  NÃO  NÃO SABE O 19. Existe um processo sistematizado e documentado de análise de fraude numa auditoria?  SIM  NÃO  NÃO SABE O 20. É feito um acompanhamento dos principais findings de fraude?  SIM  NÃO  NÃO SABE O 21. Há auditorias feitas sem aviso prévio do auditado?  SIM  NÃO  NÃO SABE Canais de Denúncia P, O, R 22. Existe um fórum onde o tema fraude é abordado, de modo a promover melhorias nos controlos internos e na sua prevenção?  SIM  NÃO  NÃO SABE P, O, R 23. São feitos questionários anónimos aos colaboradores para identificar potenciais incidentes de fraude ou lacunas nos processos que podem gerar incidentes de fraude?  SIM  NÃO  NÃO SABE P, O 24. Existe o canal de denúncia do tipo hotline?  SIM  NÃO  NÃO SABE O, R 25. Existe o canal de denúncia do tipo plataforma online?  SIM  NÃO  NÃO SABE O, R 26. Os canais de denúncia são divulgados: 26.1. É entregue no acolhimento a novos colaboradores?  SIM  NÃO  NÃO SABE 26.2. Existem formações sobre os canais de denúncia?  SIM  NÃO  NÃO SABE 26.3. Está disponível na intranet?  SIM  NÃO  NÃO SABE O, R 27. Os canais de denúncia são de acesso a todos os colaboradores?  SIM  NÃO  NÃO SABE O, R 28. Os canais de denúncia são de acesso a terceiros (ex: fornecedores e clientes)?  SIM  NÃO  NÃO SABE O, R 29. O canal de denúncia funciona adequadamente: 29.1. Existe formação para os colaboradores que recebem e analisam as denúncias e os respetivos  SIM  NÃO  NÃO SABE 72 documentos? 29.2. Existem registos de todas as denúncias?  SIM  NÃO  NÃO SABE 29.3. O colaborador sente-se protegido com os canais de denúncia anónima existentes?  SIM  NÃO  NÃO SABE 29.4. Existe um processo/política de investigação após denúncia?  SIM  NÃO  NÃO SABE 29.5. Todas as denúncias são devidamente suportadas quanto às ações tomadas? (Há determinados conteúdos que deveriam ser confidenciais)  SIM  NÃO  NÃO SABE O, R 30. O canal de denúncia é anónimo?  SIM  NÃO  NÃO SABE Oportunidade de melhoria 73 Parte II Instruções de preenchimento: Esta lista de comprovação tem o objetivo de verificar a situação atual dos controlos da Sonae para o combate aos três grandes grupos de esquemas de fraude:  Corrupção;  Apropriação indevida de ativos;  Manipulação financeira. Na coluna destinada à “Conformidade”, o auditor deve registar o resultado da avaliação: se está conforme (Sim) ou não conforme (Não). Caso seja identificada alguma constatação relativa a uma recomendação, a mesma deve ser redigida no relatório de auditoria no campo “Oportunidade de melhoria”. No campo “Evidências”, o auditor deve anotar o nº da nota/evidência registada que suporta a constatação de conformidade/não conformidade. Legenda:  AIA – Apropriação Indevida de Ativos  C – Corrupção  DC – Diretor Comercial  DSA – Direção de Serviços Administrativos  DUN – Diretor da Unidade de Negócio  GC – Gestor Comercial  GS – Gestor de Stocks  GT – Guia de Transporte  MF – Manipulação Financeira  RCC – Receitas Comerciais Compras  RDC – Receitas Diversas Comerciais  GIA - Gestão de Identidades e Acessos Notas:  Esta checklist foi construída para aplicação ao processo Sourcing, devendo ser utilizada uma checklist para cada unidade de negócio;  Para aplicação a outros processos deve ser criada uma nova checklist;  Após o preenchimento da checklist, introduzir os dados no Excel para que seja extraído o gráfico a inserir no relatório final. 74 Questões Conformidade Teste Amostra Resultados Procedimentos C, AIA, MF 1. Existem procedimentos para os subprocessos do processo Sourcing?  SIM  NÃO Analisar todos os procedimentos para o processo Sourcing C, AIA, MF 2. Os procedimentos são conhecidos e aplicados pelos intervenientes do processo?  SIM  NÃO i. Repartir a população de intervenientes no processo Sourcing por função ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os intervenientes conhecem os procedimentos Fornecedores C, AIA 3. Existe para a Direção Comercial um Dossier do Fornecedor?  SIM  NÃO i. Repartir a população de Fornecedores por cada unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas Nota: Para a questão 1.11. referente à análise da idoneidade deve ser analisado o cadastro do sócio. 3.1. O Dossier do Fornecedor contém a informação financeira?  SIM  NÃO 3.2. O Dossier do Fornecedor contém os dados fiscais?  SIM  NÃO 3.3. O Dossier do Fornecedor contém o histórico de compras?  SIM  NÃO 3.4. O Dossier do Fornecedor contém o parecer fiscal/legal?  SIM  NÃO 3.5. O Dossier do Fornecedor contém o parecer financeiro?  SIM  NÃO 3.6. O Dossier do Fornecedor contém as procurações e autorizações?  SIM  NÃO 3.7. O Dossier do Fornecedor contém o histórico de negociações?  SIM  NÃO 3.8. O Dossier do Fornecedor contém as aprovações de entrada em linha?  SIM  NÃO 3.9. O Dossier do Fornecedor contém o NIB do Fornecedor?  SIM  NÃO 3.10. O Dossier do Fornecedor contém a descrição dos Sócios da empresa?  SIM  NÃO 75 3.11. O Dossier do Fornecedor contém uma classificação quanto à idoneidade do Fornecedor?  SIM  NÃO 3.12. O Dossier do Fornecedor contém uma análise sobre as relações existentes entre a empresa e algum Colaborador?  SIM  NÃO AIA 4. Os NIBs são confirmados por duas entidades?  Ambos  DSA  DUN AIA 5. Com que periocidade são pedidas confirmações dos NIBs?  < 6 meses  6 - 12 meses  > 12 meses Propostas C, AIA 6. As propostas dos Fornecedores são realizadas e analisadas adequadamente? i. Repartir a população de entrada em linha cada unidade de negócio, do último trimestre ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas Nota: Para a questão 4.5. deverá ser analisada a evolução da margem de rentabilidade. Para a questão 5.2. devem ser requisitadas as atas das reuniões de negociação, de modo a identificar o local de reunião. Para a questão 6 devem ter em consideração se em casos de serem realizadas por outros GCs que não os definidos existe justificação para tal ação. 6.1. São pedidas 3 propostas para produtos novos?  SIM  NÃO 6.2. Existem evidências dos critérios para a seleção das propostas?  SIM  NÃO 6.3. Existe evidência da aprovação da proposta?  SIM  NÃO 6.4. Para os produtos existentes são revistas propostas periodicamente?  < 6 meses  6 - 12 meses  > 12 meses 6.5. Para os produtos existentes é analisada a rentabilidade periodicamente?  < 6 meses  6 - 12 meses  > 12 meses AIA 7. As despesas de representação são aprovadas?  Ambos  DC  DUN 7.1. As negociações são realizadas nas instalações da Sonae?  SIM  NÃO  Instalações do Fornecedor 76 7.2. Quantas reuniões foram realizadas para a negociação de uma proposta?  < 3  3 - 6  > 6 C, AIA 8. Existem negociações realizadas por responsáveis que não os definidos?  SIM  NÃO  NÃO, com justificação Contratos C, AIA 9. Os contratos com os Fornecedores são confirmados? i. Repartir a população de contratos em vigor por cada unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas 9.1. Os contratos estão assinados pelos responsáveis definidos com poder representativos das duas empresas?  Ambos  GC  Fornecedor 9.2. As assinaturas são confirmadas de acordo com as definidas pela Sonae e no Dossier do Fornecedor?  SIM  NÃO 9.3. O arquivo (físico e em sistema) tem a sequência numérica correta?  SIM  NÃO 9.4. Em casos de anulação de contratos, existem evidências da autorização de anulação?  SIM  NÃO 9.5. O tempo de conservação de arquivo é de 10 anos?  SIM  NÃO 9.6. Os débitos ao fornecedor são validados?  SIM  NÃO C, AIA, MF 10. As alterações aos contratos estão devidamente documentadas? i. Repartir a população de contratos em vigor com registo de alteração por cada unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas 10.1. As alterações efetuadas estão devidamente assinadas pelos responsáveis definidos com poder representativos das duas empresas?  Ambos  GC  Fornecedor 10.2. Todas as alterações efetuadas são evidenciadas e validadas?  SIM  NÃO 77 10.3. Existem alterações que não são refletidas nos contratos?  SIM  NÃO C, AIA, MF 11. Os contratos de RDCs estão devidamente documentados? i. Repartir a população de contratos registados em RETEK por unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas 11.1. Existe controlo sobre as RC?  SIM  NÃO 11.2. Os contratos estão devidamente assinados pelos responsáveis definidos com poder representativos das duas empresas (GC e Fornecedor)?  Ambos  GC  Fornecedor 11.3. Existe evidência da validação pelo DUN?  SIM  NÃO 11.4. É feita uma comparação entre as receitas negociadas e as receitas debitadas?  SIM  NÃO 11.5. Existem receitas por debitar?  SIM  NÃO 11.6. O arquivo (físico e em sistema) tem a sequência numérica correta?  SIM  NÃO 11.7. O tempo de conservação de arquivo é de 10 anos?  SIM  NÃO C, AIA, MF 12. Existem quantias imediatamente inferiores aos valores em que é necessária aprovação superior: 12.1. De contratos de RCC?  SIM  NÃO 12.2. De contratos de RDC?  SIM  NÃO C, AIA, MF 13. Existem níveis de aprovação para a negociação: i. Repartir a população de contratos por cada unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra 13.1. Nos contratos de RCC?  SIM  NÃO 78 13.2. Nos contratos de RDC?  SIM  NÃO iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas Faturas AIA, MF 14. Existe controlo sobre a dupla faturação?  SIM  NÃO i. Repartir a população de débitos emitidos por cada unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para selecionar cada amostra iii. Verificar se os documentos selecionados se encontram em conformidade com as questões colocadas Nota: Na questão 14. a amostra deve referente à repartição da população de Fornecedores por cada unidade de negócio Na questão 15., porque questões de materialidade, só se consideram variações superiores a 4% (Audit Framework de Roger Adams) AIA, MF 15. Existe controlo orçamental pelo DUN e pelo GC?  GC  DUN  Ambos AIA, MF 16. São analisados os desvios entre o orçado e o realizado?  SIM  NÃO AIA, MF 17. Em casos de desvios, existem evidências das ações tomadas?  SIM  NÃO Acesso a informação AIA, MF 18. Os acessos informáticos a documentos de negociação e contratação são controlados?  SIM  NÃO i. Repartir a população de utilizadores com acesso ao RETEK por perfil de acesso em cada unidade de negócio ii. Utilizar a MIL-STD 105E (ISO 2859) – ver anexo – para verificar o número de cada amostra iii. Pedir à equipa de GIA e aos Gestores Aplicacionais os perfis da amostra nas ferramentas 18.1. Existe um perfil de acesso adequado a cada função?  SIM  NÃO 18.2. Os perfis de acesso têm em consideração os níveis de aprovação e de alteração de dados?  SIM  NÃO 85 Esquema de Fraude Atividades Risco associado Ins./Dir. Probabilidade Intrínseca Impacto Nível de Risco Controlo interno Eficácia dos controlos (%) Risco residual Controlo preventivo Controlo detetivo Seleção das melhores propostas A seleção de uma proposta que não seja a melhor do ponto de vista de maximização de eficiência, podendo resultar numa diminuição da margem para descontos promocionais (perdendo vantagem em relação à concorrência). 3,33 3,00 9,99 19,82% 8,01 Aprovação das propostas escolhidas Aprovação de uma proposta de fornecedor que não seja a que possibilita uma maior margem económica. 2,93 2,80 8,20 % de combate ao esquema de fraude 29,35% 5,80 Contratação dos fornecedores Contratação de um fornecedor que não seja o que possibilita uma maior margem económica. 2,67 2,13 5,69 78,20% 32,58% 3,83 GLOBAL - SOURCING 2,71 2,28 6,16 78,20% 21,59% 4,83 Apropriação Indevida de Ativos Desembolsos fraudulentos Análise das propostas dos fornecedores Utilizar as despesas necessárias com as deslocações aos fornecedores para pedidos de proposta e negociação para justificar despesas pessoais, diminuindo os recursos da empresa. DCB, DCA e DCF 3,00 2,47 7,41 * Atividades devidamente documentadas e arquivadas. * Aos Colaboradores e Órgãos Sociais é vedado o uso dessa qualidade ou da sua posição hierárquica, bem como da imagem, do nome ou da marca Sonae, para proveito pessoal, dos seus familiares ou de quaisquer terceiros.” – Código de Ética e Conduta da Sonae. * Verificação regular das quantidades de ativos. 35,67% 4,77 Auditoria aos fornecedores Utilizar as despesas necessárias com as deslocações aos fornecedores para realizar as auditorias para justificar despesas pessoais, diminuindo os recursos da empresa. 1,60 1,47 2,35 % de combate ao esquema de fraude 4,38% 2,25 86,80% GLOBAL - SOURCING 2,30 1,97 4,53 86,80% 20,03% 3,62 Manipulação financeira Passivos/gastos sobreavaliados Contratação dos fornecedores Despesas falsas levam a valores contabilísticos não correspondentes à realidade da empresa, o que pode influenciar negativamente as decisões da mesma. DCB, DCA e DCF 2,60 2,53 6,58 * Rotatividade dos responsáveis pela negociação. * Controlo dos contratos / receitas comerciais. (Ver se existem contratos contabilizados no prazo efetivo de realização, ou até mesmo contratos fictícios). * Auditorias surpresa. 20,38% 5,24 % de combate ao esquema de fraude 91,80% GLOBAL - SOURCING 2,60 2,53 6,58 91,80% 20,38% 5,24 86 Anexo V: MIL-STD 105E (ISO 2859-1:1999) 87