INTRODUÇÃO
O presente documento explicita os critérios aplicados na análise, por inteligência artificial, dos Planos de Prevenção de Riscos de Corrupção e Infrações Conexas (PPR) submetidos na plataforma do Regime Geral da Prevenção da Corrupção (RGPC). Tem como objetivo tornar claros o âmbito e os parâmetros desta análise, permitindo compreender os elementos verificados e a fundamentação dos resultados apresentados.
Os critérios organizam-se em duas dimensões distintas:
a) As recomendações de melhoria, orientadas para a clareza, organização e qualidade do PPR, e
b) A verificação da conformidade com os elementos legalmente exigíveis identificados neste documento como “obrigatórios”.
Esta distinção é essencial para evitar que oportunidades de aperfeiçoamento sejam confundidas com situações de incumprimento.
A análise privilegia o conteúdo e a possibilidade de identificar inequivocamente os elementos relevantes, admitindo designações, estruturas e formas de apresentação equivalentes, sem impor títulos literais ou uma organização documental rígida. A leitura dos resultados atende à informação efetivamente acessível no documento, à coerência entre os seus elementos e à distinção entre insuficiências de conteúdo e diferenças meramente formais.
VERIFICAÇÃO DA CONFORMIDADE COM O LEGALMENTE EXIGÍVEL
Identificação e Classificação de Riscos
Avalia se, na matriz de riscos, estão identificados, analisados e classificados riscos concretos de corrupção e infrações conexas, incluindo os que estão associados às funções de administração ou direção de topo.
Confirma se a matriz de risco abrange toda a organização e as suas atividades relevantes.
Verifica se existe a identificação de situações de risco de corrupção, ou infrações conexas, com relação inteligível à área, processo, atividade ou função.
Verifica especificamente os riscos associados ao exercício de funções dos titulares dos órgãos de administração e direção, sendo que as menções a áreas, funções ou unidades de assessoria, apoio, secretariado ou gabinete de direção são consideradas apenas nesse contexto e não como integrando as funções de administração ou direção de topo.
Considera insuficientes enunciados puramente abstratos, como “ocorrência de corrupção” ou “incumprimento das regras” ou ainda “conflitos de interesses”, quando não permitam perceber qual é a situação de exposição, em que atividade surge e como se pode concretizar.
Medidas Preventivas por Risco
Avalia a existência, especificidade e proporcionalidade das medidas preventivas e corretivas associadas a cada risco.
Confirma se cada situação de risco identificada dispõe de uma ou mais medidas preventivas ou corretivas.
Verifica a adequação direta da medida ao mecanismo concreto do risco, tendo em conta que medidas puramente declaratórias e sem ação operacional identificável, não são suficientes.
Nas situações de risco elevado ou máximo, exigem-se medidas mais exaustivas do que as previstas para riscos menos graves e verifica-se se a sua execução é priorizada, nomeadamente com previsão de prazo de implementação.
Atribuição da Probabilidade
Verifica se, na matriz de risco por área, unidade orgânica ou macroprocesso, foi atribuído um valor de probabilidade de ocorrência para cada situação de risco identificada, e se as classificações são coerentes com as definidas nas escalas de probabilidade de ocorrência.
Confirma a existência de atribuição de probabilidade para cada situação, expressa qualitativa ou numericamente.
Aceitam-se escalas qualitativas suficientemente identificáveis sem obrigar a tabela independente de definições.
Verifica se existe consistência interna das categorias e identifica os riscos com probabilidade omissa.
Atribuição do Impacto
Verifica se, na matriz de risco por área, unidade orgânica ou macroprocesso, foi atribuído um valor de impacto para cada situação de risco identificada, e se as classificações são coerentes com as definidas nas escalas de probabilidade de ocorrência.
Confirma a existência de atribuição de impacto para cada situação, expresso qualitativa ou numericamente.
Aceitam-se escalas qualitativas suficientemente identificáveis sem obrigar a tabela independente de definições.
Verifica se existe consistência interna das categorias e identifica os riscos com omissão do impacto.
Nível de Risco Atribuído
Verifica se, na matriz de risco por área, unidade orgânica ou macroprocesso, foi atribuído um valor de nível de risco para cada situação de risco identificada, e se as classificações são coerentes com as definidas nas escalas cruzadas de probabilidade e impacto.
Confirma se cada risco identificado apresenta uma classificação de risco ou graduação, seja em valor numérico, seja de forma qualitativa, como baixo, moderado, médio, alto, elevado, máximo, crítico ou terminologia equivalente.
Verifica a coerência entre as probabilidades, os impactos e as classificações atribuídas, sempre que a metodologia documental permitir a comparação.
Verifica se ao mesmo par de valores de probabilidade e impacto corresponde a mesma classificação, comparando separadamente risco inerente e risco residual, sendo que a classificação do risco residual pode diferir da classificação de risco inerente em função dos controlos.
A inclusão explícita das duas perspetivas é recomendada, mas não obrigatória.
Indicação de Áreas com Riscos
Verifica a identificação das áreas de atividade expostas a riscos de corrupção e infrações conexas, incluindo as atividades próprias da administração e direção.
Confirma se o PPR identifica as áreas de atividade, unidades ou processos associados às situações de risco.
Verifica a cobertura da organização e das atividades conforme demonstrado pelo PPR, incluindo administração, direção, áreas operacionais e de suporte quando existentes.
Não equipara as funções e áreas de assessoria, apoio, secretariado, gabinete de apoio ou estruturas semelhantes às funções específicas dos titulares dos órgãos de administração e direção.
Verifica se cada risco está associado até uma área ou processo identificável, mesmo que a matriz use nomenclatura diferente da estrutura orgânica.
Designação do Responsável pelo PPR
Verifica a designação do responsável geral pela execução, controlo e revisão do PPR.
Aceita a designação expressa de pessoa, cargo, departamento, serviço ou unidade orgânica que assuma inequivocamente a responsabilidade geral pela execução, controlo e revisão do PPR.
Não exige nome, nem contacto telefónico ou endereço eletrónico.
Aceita que o responsável designado seja simultaneamente o Responsável pelo Cumprimento Normativo, desde que a atribuição de responsabilidade geral ao PPR esteja explícita.
Não aceita menção isolada a RCN ou Responsável pelo Cumprimento Normativo sem ligação inequívoca às funções de execução, controlo e revisão do PPR.
RECOMENDAÇÕES DE MELHORIA
Missão, Visão e Valores
Identifica se a missão, a visão e os valores da entidade se encontram explícitos, quer em secções próprias, quer no texto introdutório ou de enquadramento.
Aceitam-se designações equivalentes quando permitam reconhecer claramente o propósito institucional, as ambições ou objetivos de futuro e os princípios orientadores da atuação da entidade.
Não são exigidos três títulos autónomos, desde que cada componente seja inequivocamente identificável.
Estrutura Orgânica da Entidade
Verifica a existência de organograma gráfico ou descrição textual da organização, incluindo unidades, dependências ou relações funcionais quando disponíveis.
Aceita-se uma descrição textual inequívoca das unidades orgânicas, sendo que a falta de uma imagem de organograma não constitui, por si só, falha.
Metodologia de Avaliação de Risco
Avalia a clareza da metodologia de avaliação do grau de risco, incluindo as escalas de probabilidade e impacto.
Verifica se o PPR identifica a metodologia de análise de risco adotada, incluindo, nomeadamente
- quem foi consultado e para que efeitos;
- a eventual adoção ou adaptação de pelo menos um referencial metodológico reconhecido, como FERMA, COSO, ISO 31000, ISO 37001 ou outro referencial expressamente identificado no documento;
- a eventual distinção entre risco inerente e risco residual.
Verifica se as escalas de probabilidade e de impacto (quando existentes) têm três ou mais níveis, e se os critérios de graduação são objetivos e não tautológicos.
Aceitam-se escalas qualitativas e equivalentes numéricos.
Verifica se existe uma matriz ou regra de combinação da Probabilidade com o Impacto e se é possível compreender a formação de classificações, incluindo as classificações elevadas ou críticas.
Não se exige a apresentação formal de escalas autónomas ou da matriz de cruzamento, nem fórmulas de multiplicação ou grelha de cores, embora seja recomendável
Matrizes de Risco por Unidade Orgânica ou Macroprocesso
Verifica a organização das matrizes de riscos por unidades orgânicas, áreas de atividade ou macroprocessos.
Aceitam-se matrizes independentes por unidade, matrizes por macroprocesso ou área ou uma única matriz consolidada com identificação clara das áreas e atividades, não se exigindo tabela separada por unidade, título específico por unidade ou ordem de colunas rígida.
Verifica se é possível associar cada risco a área, unidade ou processo.
Conformidade Estrutural
Avalia a legibilidade e organização do PPR e a presença de informações complementares, não criando requisitos de não conformidade.
Avalia a existência funcional de introdução, missão/visão/valores, estrutura orgânica, metodologia da análise do risco, responsabilidades pela execução, controlo e revisão e matrizes, sem exigir ordem rígida, títulos literais ou capítulos separados.
Verifica se é identificável a data de aprovação do PPR e quem é a pessoa, cargo ou órgão aprovador, incluindo referências em quadros de versões, despacho, assinatura ou rubrica quando efetivamente acessíveis.
Verifica se existem referências à previsão da elaboração dos instrumentos de controlo de execução, como o relatório anual a elaborar em abril do ano seguinte e relatório intercalar a elaborar em outubro quando existam riscos elevados ou máximos.
Verifica se o PPR menciona a revisão periódica, em regra a cada três anos, ou perante alterações relevantes das atribuições ou estrutura orgânica ou societária.
Verifica se existem indicações sobre a necessidade da publicidade do PPR e os respetivos relatórios aos trabalhadores, através da intranet e da página oficial na Internet quando existentes, e sobre as comunicações legalmente aplicáveis, pelo menos ao MENAC, nos prazos previstos.