A Dra. Helena Marques, sócia responsável pela qualidade na Marques & Associados, SROC (28 ROC, 6 mandatos EIP), prepara a primeira avaliação anual do sistema de gestão da qualidade ao abrigo da ISQM 1. Ao rever os objetivos de qualidade, descobre que o processo de aceitação de clientes nunca documentou riscos de qualidade próprios — limitou-se a copiar o antigo manual ISQC 1. Antes de assinar a declaração de eficácia do sistema, a Dra. Marques deve decidir: pode considerar o sistema eficaz se um componente inteiro (avaliação do risco) não foi reconcebido de raiz — e que conclusão obriga a ISQM 1 a comunicar?
A ISQM 1 (International Standard on Quality Management) substituiu a ISQC 1 e está em vigor para os sistemas de gestão da qualidade desde 15 de dezembro de 2022. Não é uma atualização: é uma mudança de paradigma de uma lógica de políticas-e-procedimentos para uma lógica baseada no risco. A SROC define objetivos de qualidade, identifica os seus próprios riscos de qualidade e desenha respostas adaptadas. Os oito componentes são: (1) processo de avaliação do risco da SROC, (2) governação e liderança, (3) requisitos éticos relevantes, (4) aceitação e continuação de clientes, (5) execução da missão, (6) recursos, (7) informação e comunicação, (8) processo de monitorização e correção.
Riscos de qualidade na ISQM 1
Um risco de qualidade é um risco que tem uma possibilidade razoável de ocorrer e de afetar adversamente o cumprimento de um ou mais objetivos de qualidade. A SROC deve identificá-los considerando a natureza e as circunstâncias da firma e das suas missões. O ciclo é incontornável: objetivos de qualidade (alguns fixados pela norma) → riscos de qualidade próprios da firma → respostas concebidas para os mitigar. Reaproveitar um manual ISQC 1 antigo, sem identificar riscos próprios, não satisfaz a ISQM 1 e é uma constatação típica das inspeções de controlo de qualidade.
A ISQM 2 regula a designação, elegibilidade e desempenho do revisor de controlo de qualidade da missão (Engagement Quality Reviewer, EQR). A revisão de controlo de qualidade da missão é obrigatória para auditorias de entidades cotadas e para outras missões em que a firma determine que é uma resposta adequada a um risco de qualidade. O EQR deve ter competência e autoridade suficientes e respeitar um período de salvaguarda (cooling-off) de dois anos antes de poder assumir o papel de sócio responsável pela mesma missão. A revisão não pode estar concluída antes de o EQR avaliar os juízos significativos e as conclusões da equipa.
| Norma | Âmbito | Responsável | Marco temporal |
|---|---|---|---|
| ISQM 1 | Sistema de gestão da qualidade da firma | Pessoa com responsabilidade última (sócio-gerente) | Avaliação anual de eficácia |
| ISQM 2 | Revisão de controlo de qualidade da missão | EQR designado | Antes da data do relatório de auditoria |
| ISA 220 (revista) | Gestão da qualidade ao nível da missão | Sócio responsável pela missão | Durante toda a missão |
| RJSA / CMVM | Supervisão pública e inspeções | CMVM (autoridade competente) | Inspeções periódicas de controlo de qualidade |
ISA 220 revista — gestão da qualidade ao nível da missão
A ISA 220 revista (em vigor desde 15-12-2022, em articulação com as ISQM) reforça a responsabilidade do sócio da missão pela gestão e obtenção da qualidade. Exige a aplicação de ceticismo profissional, a direção e supervisão da equipa, a avaliação dos recursos atribuídos pela firma e a documentação dos juízos significativos. O sócio da missão deve concluir que o SGQ da firma apoia adequadamente a missão; caso contrário, comunica à firma e adota respostas adicionais.
⚠️Reutilizar o manual ISQC 1 sem identificar riscos de qualidade próprios
→ A ISQM 1 exige um ciclo objetivos → riscos → respostas concebido à medida da firma. Um manual herdado da ISQC 1, sem a identificação documentada dos riscos de qualidade próprios e das respostas correspondentes, deixa o componente de avaliação do risco vazio. É a constatação mais frequente nas primeiras inspeções pós-ISQM.
⚠️Designar um EQR sem respeitar o cooling-off de dois anos da ISQM 2
→ A ISQM 2 impõe que o EQR não tenha sido sócio responsável pela mesma missão nos dois anos anteriores. Designar como EQR o anterior sócio da missão compromete a objetividade da revisão e viola a norma; numa auditoria de entidade cotada é uma falha grave de qualidade.
⚠️Concluir a revisão de controlo de qualidade depois da data do relatório
→ A ISQM 2 exige que a revisão de controlo de qualidade esteja concluída antes da data do relatório de auditoria. Datar o relatório antes de o EQR ter avaliado os juízos significativos invalida a própria função da revisão e expõe a firma a sanção em sede de inspeção.
A Marques & Associados, SROC, fatura cerca de 3,2 M€ por ano e mantém 6 mandatos de EIP, incluindo o Banco Atlântico do Tejo, SA (entidade cotada fictícia). Ao implementar a ISQM 1, a firma definiu 14 objetivos de qualidade e identificou 41 riscos de qualidade próprios. O maior bloco de respostas concentrou-se no processo de avaliação do risco e na monitorização — precisamente os componentes que o antigo manual ISQC 1 não cobria de forma autónoma. A avaliação anual de eficácia foi assinada pela sócia-gerente, com responsabilidade última pelo SGQ.
| Componente ISQM 1 | Objetivos de qualidade | Riscos identificados | Respostas desenhadas |
|---|---|---|---|
| Avaliação do risco | 3 | 11 | 9 |
| Aceitação/continuação | 2 | 7 | 6 |
| Execução da missão | 3 | 9 | 8 |
| Recursos | 2 | 6 | 5 |
| Monitorização e correção | 2 | 8 | 7 |
O processo de monitorização e correção é o que distingue uma implementação madura da ISQM 1. A firma deve realizar inspeções internas de missões concluídas, identificar deficiências, avaliar a sua gravidade e causa-raiz e implementar ações corretivas com prazos. As deficiências graves ou recorrentes obrigam a rever os próprios riscos de qualidade — fechando o ciclo. Numa SROC com mandatos EIP, este componente é também o mais escrutinado pelas inspeções de controlo de qualidade da CMVM.
A articulação entre a ISQM 1 (sistema da firma) e a ISA 220 revista (qualidade da missão) é bidirecional. O sócio da missão apoia-se no SGQ da firma para obter recursos, ferramentas e suporte ético; em contrapartida, comunica à firma quando o sistema não apoia adequadamente uma missão concreta. Esta comunicação alimenta o processo de monitorização. A documentação destes juízos é essencial: uma inspeção que não encontre vestígios da avaliação do sócio sobre a suficiência dos recursos conclui pela insuficiência de evidência.
Especialista em gestão da qualidade da auditoria — ISQM 1, ISQM 2 e ISA 220 revista
Perguntas sugeridas
Uma SROC reaproveitou o seu antigo manual ISQC 1 sem identificar riscos de qualidade próprios. O que estabelece a ISQM 1?
Resposta correta : A ISQM 1 exige um SGQ baseado no risco, com riscos de qualidade próprios identificados e respostas desenhadas — reaproveitar o manual antigo não basta
A ISQM 1 é uma mudança de paradigma, de processo para risco. O ciclo objetivos → riscos próprios → respostas tem de ser concebido de raiz. Um manual ISQC 1 alargado não cumpre os requisitos e gera tipicamente uma constatação significativa no componente de avaliação do risco em sede de inspeção da CMVM.