Governança
Processos de governança
“Avalia a adequação das estruturas de governança, a prestação de contas ao órgão de governança e a cultura de integridade da organização.”
Auditoria interna: a terceira linha de assurance do compliance
Ajudamos você a estruturar e operar a função de auditoria interna como terceira linha do Modelo das Três Linhas: avaliação independente (assurance) sobre a governança, a gestão de riscos e o controle interno, com plano baseado em riscos, reporte ao comitê de auditoria e auditoria do sistema de compliance.
Consulta gratuita
Respondemos em menos de 24 h
- Princípios do Modelo do IIA
- 6 princípios
- Publicação do Modelo do IIA
- Julho de 2020
- Comitê de auditoria (LSC)
- Art. 529 quaterdecies
- Norma de sistema de compliance
- ISO 37301
Serviços
Como trabalhamos sua função de auditoria interna
Seis blocos para estruturar e operar a auditoria interna como terceira linha de assurance, do estatuto e do plano baseado em riscos até a auditoria do sistema de compliance e o acompanhamento das recomendações.
Função
Estruturação da função de auditoria interna
Definimos o estatuto, o mandato, a posição organizacional e a independência da auditoria interna como terceira linha dentro do Modelo das Três Linhas.
Saiba mais →
3ª linhaEstatutoIndependênciaIIA
Plano
Plano anual de auditoria baseado em riscos
Montamos o plano de auditoria a partir do mapa de riscos da organização, priorizando as áreas de maior exposição e alinhando-o aos objetivos.
Saiba mais →
Plano anualRiscosPriorização
Reporte
Independência e reporte ao comitê de auditoria
Garantimos o reporte funcional ao órgão de governança ou ao comitê de auditoria e o acesso irrestrito, pilares da independência.
Saiba mais →
ComitêReporte
Sistema
Auditoria do sistema de compliance
Realizamos a auditoria interna do sistema de gestão de compliance conforme a ISO 37301 e a UNE 19601, dentro da avaliação de desempenho.
Saiba mais →
ISO 37301UNE 19601
Penal
Verificação do modelo de prevenção de delitos
Verificamos de forma independente a eficácia do modelo de organização e gestão, apoiando sua revisão periódica.
Saiba mais →
Art. 31 bis CPModelo
Acompanhamento
Acompanhamento das recomendações
Implantamos o acompanhamento das recomendações e dos planos de ação e, quando cabível, coordenamos com as investigações internas.
Saiba mais →
RecomendaçõesAcompanhamento
O que abrange
O que a auditoria interna avalia
A terceira linha oferece avaliação independente (assurance) sobre a adequação e a eficácia dos processos de governança, gestão de riscos e controle, e agrega valor por meio de consultoria independente.
Riscos
Gestão de riscos
“Verifica se a gestão de riscos identifica, avalia e trata adequadamente as exposições da organização, com independência em relação à gestão.”
Controle
Controle interno
“Verifica o desenho e a eficácia operacional dos controles internos que mitigam os riscos relevantes do negócio.”
Compliance
Sistema de compliance
“Audita o sistema de gestão de compliance (ISO 37301 / UNE 19601) e a eficácia do modelo de prevenção de delitos.”
Por que importa
Por que a auditoria interna é essencial?
Sem uma terceira linha independente, o órgão de governança não tem uma avaliação objetiva sobre se os controles funcionam. Uma auditoria interna bem estruturada protege o conselho e reforça a credibilidade do compliance.
Sem 3ª linha, o conselho age às cegas: a auditoria interna oferece a avaliação independente que nem a gestão nem as funções de controle podem fazer sobre si mesmas.
Confundir a 2ª e a 3ª linha: compliance e gestão de riscos fazem parte da gestão; a auditoria interna deve permanecer independente para manter seu valor.
A independência se perde fácil: se a auditoria interna assume tarefas de gestão, deixa de poder avaliar de forma objetiva essas mesmas atividades.
Modelo das Três Linhas
6 princípios
O Modelo das Três Linhas do IIA (2020) se apoia em seis princípios e coloca a auditoria interna como terceira linha.
Art. 529 quaterdecies LSC
Sociedades listadas
Nas sociedades listadas em bolsa, o comitê de auditoria supervisiona a eficácia do controle interno, da auditoria interna e da gestão de riscos.
Recomendações
Com acompanhamento
Uma auditoria sem acompanhamento das recomendações perde valor: o ciclo se fecha verificando que as deficiências foram corrigidas.
Sua organização precisa de uma função de auditoria interna?
Se você está começando do zero ou quer reforçar uma função existente, ajudamos a estruturá-la, garantir sua independência e montar um plano de auditoria baseado em riscos que dê ao conselho uma avaliação real.
Perguntas frequentes
Auditoria interna: dúvidas frequentes
O que é a auditoria interna?
É uma função independente e objetiva de avaliação (assurance) e consultoria que avalia a adequação e a eficácia dos processos de governança, gestão de riscos e controle interno, e agrega valor à organização.
O que é o Modelo das Três Linhas e onde ela se encaixa?
É o marco do IIA (2020) que organiza os papéis: a primeira linha gere, a segunda linha controla e apoia (compliance, riscos) e a terceira linha é a auditoria interna, que oferece avaliação independente.
Em que ela se diferencia da 2ª linha?
As funções de 2ª linha (compliance, gestão de riscos) fazem parte da gestão. A auditoria interna se distingue por sua independência em relação à gestão, o que lhe permite avaliar de forma objetiva.
Em que ela se diferencia da auditoria das contas?
A auditoria das contas (externa) emite uma opinião sobre as demonstrações financeiras e é realizada por um auditor externo independente. A auditoria interna é uma função da própria organização que abrange governança, riscos e controle, não só a parte financeira.
A quem a auditoria interna se reporta?
Funcionalmente, ao órgão de governança ou ao comitê de auditoria; administrativamente, à alta administração. Esse reporte e o acesso irrestrito a pessoas, dados e recursos protegem sua independência.
Ela é obrigatória?
Nas sociedades listadas e nas entidades de interesse público, o comitê de auditoria deve supervisionar a auditoria interna (art. 529 quaterdecies LSC). Em geral, é uma recomendação de boa governança, e nos sistemas de compliance certificáveis (ISO 37301 / UNE 19601) a auditoria interna do sistema é obrigatória.
Quais normas a regem?
As Normas Internacionais para a Prática Profissional de Auditoria Interna do IIA e o Modelo das Três Linhas, complementados pelo Código de Bom Governo da CNMV para sociedades listadas.
É possível terceirizá-la?
Sim. A função pode ser terceirizada total ou parcialmente (co-sourcing ou outsourcing) a um terceiro qualificado, mantendo a independência e o reporte ao órgão de governança.
As pessoas também perguntam
DEA, plano baseado em riscos e assurance
O que é o DEA ou diretor de auditoria interna?
É o diretor executivo de auditoria (equivalente ao Chief Audit Executive, CAE), responsável pela função. Ele lidera a auditoria interna, propõe o plano e se reporta ao órgão de governança ou ao comitê de auditoria.
O que é um plano de auditoria baseado em riscos?
É o plano que prioriza os trabalhos de auditoria conforme o nível de risco de cada área ou processo, alinhado ao mapa de riscos e aos objetivos da organização.
A auditoria interna presta serviços de “assurance” e de “consultoria”?
Sim. Ela presta serviços de assurance (avaliação objetiva para emitir uma opinião) e de consultoria ou assessoria (apoio para melhorar processos), sempre preservando sua independência.
Como se relacionam a auditoria interna e o mapa de riscos?
O mapa de riscos alimenta o plano de auditoria: as áreas de maior exposição são auditadas com mais frequência e profundidade. A auditoria, por sua vez, avalia se a gestão de riscos funciona.
As sociedades não listadas precisam tê-la?
Em geral, não, mas é muito recomendável: ela dá assurance ao órgão de administração e reforça o sistema de compliance, especialmente em organizações com riscos relevantes.
Qual é a relação com o modelo de prevenção de delitos?
A auditoria interna pode verificar de forma independente a eficácia do modelo de organização e gestão (art. 31 bis do Código Penal espanhol), apoiando sua revisão periódica e sua credibilidade perante terceiros.
O Modelo das Três Linhas
Primeira, segunda e terceira linha: comparativo
Entender onde cada função se encaixa evita duplicidades e áreas sem cobertura. Ajudamos você a posicionar a auditoria interna e a delimitá-la em relação às demais linhas.
O que define o escopo do projeto
Estruturar e operar a auditoria interna depende do porte da organização, do seu perfil de risco e de a função ser interna ou terceirizada.
- Função
- Estatuto, independência e posição organizacional.
- Plano
- Plano anual baseado no mapa de riscos.
- Execução
- Número e complexidade dos trabalhos de auditoria.
- Modelo
- Interna, co-sourcing ou terceirização.
Como trabalhamos a função
Partimos do estatuto e da independência, montamos o plano baseado em riscos e deixamos implantados o ciclo de trabalho e o acompanhamento.
- Estatuto, mandato e independência da função.
- Plano anual de auditoria baseado em riscos.
- Execução, relatório e acompanhamento das recomendações.
| Função | 1ª linha | 2ª linha | 3ª linha (auditoria interna) | Auditoria externa |
|---|---|---|---|---|
| Papel | Gestão e assunção de riscos | Controle e conformidade | Avaliação independente (assurance) | Opinião sobre as contas |
| Independência em relação à gestão | Não | Parcial | Sim | Sim (externa) |
| Reporta-se a | Gestão | Gestão | Órgão de governança / comitê | Assembleia geral / comitê de auditoria |
| Exemplo | Operações do negócio | Compliance, gestão de riscos | Função de auditoria interna | Auditor independente (de contas) |
| Marco de referência | Procedimentos internos | Políticas de controle | Normas do IIA / Três Linhas | Normas de auditoria das contas |
Quadro orientativo baseado no Modelo das Três Linhas do IIA (2020). O escopo concreto de cada função depende da estrutura e do perfil de risco de cada organização.
Guia operacional
Como implantar a função de auditoria interna: guia prático
Uma auditoria interna útil não se improvisa: ela precisa de um estatuto que garanta sua independência, um plano baseado em riscos, uma execução metódica e um acompanhamento que feche o ciclo, verificando que as deficiências são corrigidas.
Defina a função
O estatuto fixa o propósito, a autoridade e a responsabilidade da auditoria interna, sua independência e seu reporte ao órgão de governança ou ao comitê de auditoria.
Planeje e execute
O plano anual é montado sobre o mapa de riscos. Os trabalhos são executados com uma abordagem sistemática e disciplinada e terminam em relatórios com observações claras.
Informe e acompanhe
As observações são comunicadas à gestão e ao órgão de governança, e as recomendações são acompanhadas até que se verifique sua implementação.
Checklist da função de auditoria interna em 10 passos
- Estatuto: aprovar o estatuto de auditoria interna e seu mandato.
- Independência: definir o reporte ao órgão de governança ou ao comitê de auditoria.
- Recursos: prover meios, competências e acesso irrestrito.
- Riscos: partir do mapa de riscos da organização.
- Plano: elaborar o plano anual de auditoria baseado em riscos.
- Programa: desenhar o programa de cada trabalho (objetivos e escopo).
- Execução: obter evidência suficiente e documentar o trabalho.
- Relatório: emitir conclusões, observações e recomendações.
- Acompanhamento: verificar a implementação das recomendações.
- Melhoria: avaliar e melhorar a qualidade da própria função.
Se você quer estruturar ou reforçar sua função, veja nossa área de compliance corporativo ou o mapa de riscos.
A auditoria interna na prática
Do plano ao acompanhamento das recomendações
A função de auditoria interna se apoia em quatro peças: planejar com base no risco, executar o trabalho, informar a governança e acompanhar as recomendações. Aqui está o painel visual de como isso funciona na prática.
1) PlanejarPlanejar: com base no risco
O plano anual prioriza áreas e processos conforme o nível de risco, alinhado ao mapa de riscos e aos objetivos.
- Mapa de riscos
- Plano anual
- Priorização
2) ExecutarExecutar: evidência e rigor
Cada trabalho define objetivos e escopo, obtém evidência suficiente e documenta os achados com uma abordagem sistemática.
- Programa de trabalho
- Evidência
- Papéis de trabalho
3) InformarInformar: à governança
As observações e recomendações são comunicadas à gestão e ao órgão de governança para promover a melhoria contínua.
- Observações
- Recomendações
- Reporte ao comitê
4) AcompanharAcompanhar: fechar o ciclo
O valor da auditoria se concretiza quando se verifica que as recomendações foram implementadas e que as deficiências foram corrigidas. O acompanhamento fecha o ciclo e alimenta a melhoria contínua.
Dica: um registro de recomendações com responsável, prazo e status evita que os achados se percam de um exercício para outro.
Decisão rápidaMapa prático: interna ou externa?
Organização com função própria
Auditoria interna própria, com reporte ao comitê.
Recursos limitados
Co-sourcing ou terceirização a um terceiro qualificado.
Sistema de compliance
Auditoria interna do sistema (ISO 37301 / UNE 19601).
Playbook de auditoria interna
A função de auditoria interna, fase a fase
Estatuto
Aprovar o mandato, a independência e o reporte da função.
Estatuto de auditoria interna aprovado.
Planejamento
Montar o plano anual a partir do mapa de riscos.
Plano anual baseado em riscos.
Execução
Realizar os trabalhos, obter evidência e documentar os achados.
Programas e papéis de trabalho.
Relatório
Comunicar observações e recomendações à governança.
Relatórios de auditoria.
Monitoramento
Verificar a implementação das recomendações.
Registro de acompanhamento das recomendações.
Erros frequentes na auditoria interna
Identifique-os antes que tirem valor da função.
- A auditoria interna assumir tarefas de gestão e perder a independência.
- Planejar sem partir do mapa de riscos da organização.
- Confundir a 2ª linha (compliance, riscos) com a 3ª linha.
- Reportar-se à gestão em vez do órgão de governança ou do comitê.
- Emitir recomendações sem um acompanhamento que feche o ciclo.
Glossário prático
Conceitos-chave da auditoria interna
Se você vai estruturar ou reforçar sua função de auditoria interna, estes termos aparecem no Modelo das Três Linhas e nas normas do IIA. Entendê-los ajuda a construir uma função sólida.
Auditoria internaBase
Função de auditoria interna
Atividade independente e objetiva de avaliação (assurance) e consultoria sobre governança, gestão de riscos e controle.
Terceira linha do modelo.
3 LinhasMarco
Modelo das Três Linhas
Marco do IIA (2020) que organiza os papéis de governança, gestão e assurance em torno de seis princípios.
Atualiza as “três linhas de defesa”.
3ª linhaPapel
Terceira linha
Papel de avaliação independente (assurance) que cabe à auditoria interna, separada das responsabilidades da gestão.
Independência em relação à gestão.
DEAPapel
Diretor executivo de auditoria
Responsável pela função de auditoria interna; propõe o plano e se reporta ao órgão de governança ou ao comitê.
Lidera a 3ª linha.
AssuranceServiço
Assurance e consultoria
A auditoria interna presta serviços de assurance (opinião objetiva) e de consultoria (apoio à melhoria).
Assurance + advisory.
EstatutoMandato
Estatuto de auditoria
Documento que fixa o propósito, a autoridade, a responsabilidade e a independência da função.
Aprovado pela governança.
PlanoRiscos
Plano baseado em riscos
Plano anual que prioriza os trabalhos de auditoria conforme o risco de cada área ou processo.
Alimentado pelo mapa de riscos.
ComitêGovernança
Comitê de auditoria
Comissão do conselho que, nas sociedades listadas, supervisiona o controle interno, a auditoria interna e a gestão de riscos.
Art. 529 quaterdecies LSC.
IndependênciaPrincípio
Independência
Ausência de interferências e reporte ao órgão de governança; é essencial para a objetividade, a autoridade e a credibilidade.
Protege o valor da função.
Contato
Agendar uma ligação
Conte-nos como está sua função de auditoria interna e ajudaremos você a estruturá-la, garantir sua independência e montar um plano de auditoria baseado em riscos.
Marco da auditoria interna: Modelo das Três Linhas, Normas do IIA e comitê de auditoria
A auditoria interna é uma função independente e objetiva de avaliação (assurance) e consultoria que avalia a adequação e a eficácia dos processos de governança, gestão de riscos e controle de uma organização. Seu marco de referência internacional são as Normas do Instituto de Auditores Internos (IIA) e o Modelo das Três Linhas.
O Modelo das Três Linhas
Em julho de 2020, o IIA publicou o Modelo das Três Linhas como atualização do antigo modelo das “três linhas de defesa”, apoiado em seis princípios. A primeira linha gere e assume riscos; a segunda linha oferece controle e conformidade (compliance, gestão de riscos); e a terceira linha é a auditoria interna, que oferece avaliação independente e objetiva e informa o órgão de governança e a gestão para promover a melhoria contínua.
Independência e comitê de auditoria
A independência da auditoria interna em relação às responsabilidades da gestão é fundamental para sua objetividade, autoridade e credibilidade, e é protegida pelo reporte ao órgão de governança e pelo acesso irrestrito a pessoas, dados e recursos. Nas sociedades listadas, o artigo 529 quaterdecies da Lei de Sociedades de Capital atribui ao comitê de auditoria a supervisão da eficácia do controle interno, da auditoria interna e dos sistemas de gestão de riscos, critério desenvolvido pelo Guia Técnico 3/2017 da CNMV.
Auditoria interna e compliance
Nos sistemas de gestão de compliance, a auditoria interna do sistema é uma peça obrigatória da avaliação de desempenho conforme as normas ISO 37301 e UNE 19601, e pode verificar de forma independente a eficácia do modelo de organização e gestão para os fins do artigo 31 bis do Código Penal espanhol.