Controle Interno: A base da Certificação

Há RPPS que acreditam ter controle interno porque fazem conferência posterior. Mas conferir depois não substitui desenhar certo antes.

No setor privado, quando a operação cresce sem controles, o custo aparece em perda, retrabalho e risco. No RPPS, esse custo aparece também em benefício mal processado, base cadastral inconsistente, decisão de investimento pouco lastreada e exposição institucional.

O Manual do Pró-Gestão RPPS trata controles internos como o conjunto de políticas e procedimentos que aumenta a probabilidade de a organização atingir seus objetivos estratégicos, operacionais, de conformidade e de evidenciação. Também afirma que o controle interno deve ajudar a manter riscos em patamares aceitáveis, refletir adequadamente as operações e garantir procedimentos aderentes a padrões de ética, segurança e economia.

No caso dos RPPS, a dimensão 3.1 reúne seis frentes centrais: mapeamento, manualização, certificação dos dirigentes e colegiados, estrutura de controle interno, política de segurança da informação e gestão da base de dados cadastrais.

A tese aqui é objetiva: controle interno não é polícia do fim da fila; é arquitetura da rotina.

Tradução prática do requisito

O manual diz que o diagnóstico da organização deve partir do reconhecimento e mapeamento dos processos, e não apenas dos resultados. Isso muda tudo. Porque resultado bom com processo ruim é sorte; e sorte não certifica.

Erro clássico: o RPPS formaliza controles apenas nas áreas mais visíveis e deixa descobertas as interfaces entre benefício, arrecadação, folha, investimentos e base cadastral.

Padrão auditável:
processo mapeado + atividade manualizada + responsável definido + controle periódico + evidência preservada.

Na segurança da informação, o manual reforça que a informação é ativo essencial e deve ser protegida. Para níveis mais altos, chega a exigir servidor ou área de gestão da segurança da informação, ampla divulgação da política, ações de conscientização, classificação da informação e, no Nível IV, comitê e rotinas de recuperação de desastres.

Na base cadastral, a diretriz é igualmente concreta: a base deve ser construída com base no eSocial e mantida atualizada permanentemente. O manual ainda destaca dois procedimentos-chave: transmissão do eSocial e censo previdenciário.

Ferramenta: Trilha de evidências do controle interno

Monte uma trilha com seis itens:

1. Processo crítico

2. Risco principal

3. Controle preventivo

4. Evidência gerada

5. Responsável

6. Periodicidade de revisão

Isso tira o controle interno do campo abstrato e coloca a gestão na mesa.

Exemplo aplicado

Suponha um RPPS que faz prova de vida, mas não cruza dados de forma consistente, nem tem regra clara de atualização cadastral. Quando chega a avaliação atuarial, surgem distorções. Quando chega a auditoria, aparecem lacunas. Quando chega o segurado, cresce a desconfiança.

Agora mude o cenário: base atualizada, eSocial em dia, censo normatizado, política de segurança divulgada, controles revisados e relatórios periódicos. O ganho é silencioso, mas poderoso: menos ruído, menos risco, mais previsibilidade.

Peter Senge chamaria isso de organização que aprende. Drucker chamaria de gestão eficaz. No RPPS, eu chamaria de operação que para de depender de heroísmo.

Frase-martelo: sem trilha de evidência, controle interno vira intenção.

Como começar em 7 dias

1. Escolha os três processos com maior risco operacional.

2. Mapeie entrada, etapa, responsável e saída de cada um.

3. Identifique qual evidência hoje não existe.

4. Revise a política de segurança da informação.

5. Cheque eSocial, censo e atualização cadastral.