Desenhamos e implementamos o modelo das três linhas de defesa na sua organização: gestão operacional do risco, função de compliance e supervisão, e auditoria interna independente. Uma estrutura de governança corporativa que protege o valor da empresa e segue as melhores práticas do IIA.
Consulta gratuita
Respondemos em menos de 24 h
Do diagnóstico inicial à implementação e auditoria do modelo: uma estrutura de gestão de riscos adaptada à sua organização.
Definimos a estrutura de papéis e responsabilidades de cada linha: primeira linha (gestão operacional), segunda linha (compliance, controle de riscos, conformidade regulatória) e terceira linha (auditoria interna). Adaptado ao porte, ao setor e à complexidade da sua organização.
Revisamos seu modelo atual de três linhas: cobertura de riscos, independência da auditoria interna, eficácia dos controles, coordenação entre as linhas e alinhamento com os princípios do IIA 2020.
Desenho e implementação da função de compliance como segunda linha: políticas, procedimentos, supervisão de riscos, reporte à alta administração e coordenação com a primeira e a terceira linha.
Identificação, avaliação e priorização de riscos. Definição do apetite de risco aprovado pelo órgão de governança e alinhamento com as três linhas de defesa.
Nos sujeitos obrigados, a função de PLD/FT é uma segunda linha de defesa especializada: compliance officer, monitoramento, comunicação de operações suspeitas e diligência devida.
Para entidades reguladas (empresas de investimento, gestoras, instituições de pagamento), as três linhas de defesa são uma exigência supervisora: MiFID II, Solvência II, Basileia III e normas setoriais.
Instituição financeira, empresa industrial, startup regulada ou grupo multinacional: o modelo se adapta ao porte, ao setor e ao perfil de risco de cada organização.
“Em instituições financeiras, as três linhas de defesa são uma exigência regulatória. A primeira linha gerencia o risco operacional, a segunda inclui compliance, controle interno e gestão de riscos, e a terceira é a auditoria interna, com reporte direto ao comitê de auditoria.”
“Em empresas não financeiras, o modelo se adapta: a primeira linha são os responsáveis de cada área, a segunda pode ser um compliance officer único ou compartilhado com o jurídico e a área de riscos, e a terceira pode ser parcialmente terceirizada se não houver auditoria interna.”
“As fintechs devem implementar as três linhas desde o início. Com equipes pequenas, os papéis de primeira e segunda linha podem ser combinados, mas a independência da terceira linha é inegociável perante o regulador.”
“Em grupos multinacionais, as três linhas são replicadas em nível local e global. A coordenação entre a função de compliance corporativa e as unidades locais é fundamental para evitar lacunas de cobertura e sobreposições.”
Sem uma estrutura organizada de gestão de riscos, a organização fica exposta a lacunas de controle, sobreposições e falta de supervisão independente.
Lacunas na cobertura de riscos: sem papéis definidos, alguns riscos ficam sem dono. Ninguém identifica, avalia nem mitiga os riscos que caem entre as áreas funcionais.
Sobreposição de funções: sem coordenação entre as linhas, várias áreas podem estar controlando a mesma coisa enquanto outros riscos críticos ficam desassistidos. Ineficiência e falsa sensação de segurança.
Falta de independência na supervisão: se a auditoria interna estiver hierarquicamente subordinada à diretoria operacional, ela perde a objetividade necessária para questionar as decisões de gestão.
Para instituições financeiras, a implementação das três linhas de defesa é uma exigência regulatória explícita. Sua ausência ou deficiência pode resultar em requerimentos do supervisor e até em sanções.
O artigo 31 bis do Código Penal espanhol exige um modelo de organização e gestão com medidas de vigilância e controle. As três linhas de defesa são a estrutura natural para cumprir esse requisito.
Investidores, sócios, reguladores e clientes esperam uma governança corporativa sólida. As três linhas de defesa são o padrão internacional para demonstrar maturidade na gestão de riscos.
Desenhamos, revisamos ou auditamos seu modelo de três linhas de defesa: papéis, responsabilidades, coordenação entre as linhas, apetite de risco e alinhamento com o IIA 2020. Uma estrutura que protege e gera confiança.
O modelo das três linhas de defesa (3LoD) é uma estrutura de governança e gestão de riscos que organiza a empresa em três níveis de proteção: a primeira linha (gestão operacional, dona dos riscos), a segunda linha (funções de supervisão, compliance e controle de riscos) e a terceira linha (auditoria interna independente).
Foi popularizado pelo Instituto dos Auditores Internos (IIA) e atualizado em julho de 2020 com o “Modelo das Três Linhas”, que dá maior ênfase à criação de valor, à coordenação e ao alinhamento com os objetivos da organização.
Depende do setor e da jurisdição. Para instituições financeiras (bancos, empresas de investimento, gestoras, seguradoras), a implementação das três linhas é uma exigência regulatória, implícita ou explícita, decorrente da MiFID II, de Solvência II, de Basileia III e das orientações da EBA e da EIOPA.
Para empresas não financeiras, não é legalmente obrigatório, mas é o padrão de boas práticas em governança corporativa. Além disso, o artigo 31 bis do Código Penal espanhol exige um modelo de organização e gestão com medidas de vigilância e controle, que as três linhas de defesa atendem de forma natural.
Em julho de 2020, o IIA publicou o “Modelo das Três Linhas” (retirando “de defesa” do nome), com mudanças significativas em relação ao modelo de 2013:
A função de compliance fica na segunda linha de defesa. Seu papel é supervisionar a conformidade regulatória, assessorar a primeira linha sobre os riscos regulatórios, definir políticas e padrões, e reportar à alta administração e ao órgão de governança.
Em algumas organizações, o compliance pode coexistir com outras funções de segunda linha, como gestão de riscos, controle interno, segurança da informação ou prevenção à lavagem de dinheiro. O essencial é que cada função tenha um mandato claro e que não haja lacunas nem sobreposições.
Sim, com ressalvas. A primeira linha é inerentemente interna (é a gestão operacional). A segunda linha pode contar com o apoio de assessores externos, mas a responsabilidade continua sendo da administração. A terceira linha (auditoria interna) pode ser terceirizada total ou parcialmente, embora nas entidades reguladas se exija um mínimo de função interna.
Existe também uma “quarta linha” informal: auditores externos, reguladores e supervisores que fornecem uma avaliação adicional de fora da organização.
O artigo 31 bis do Código Penal espanhol estabelece que a pessoa jurídica pode ficar isenta de responsabilidade penal se dispuser de um modelo de organização e gestão que inclua medidas de vigilância e controle para prevenir crimes. As três linhas de defesa são a estrutura natural para atender a esse requisito.
A primeira linha implementa os controles operacionais, a segunda linha (compliance) supervisiona a conformidade e a prevenção penal, e a terceira linha (auditoria interna) verifica a eficácia do modelo. A norma UNE 19601, sobre sistemas de gestão de compliance penal, está alinhada com essa abordagem.
No modelo atualizado do IIA (2020), o órgão de governança (conselho de administração, comitê de auditoria) tem um papel explícito e central: estabelece os objetivos da organização, define o apetite de risco, delega responsabilidades à administração e supervisiona o funcionamento das três linhas.
O órgão de governança recebe relatórios das três linhas e, especialmente, da auditoria interna, que deve prestar contas diretamente a ele para garantir sua independência em relação à administração.
Um modelo de três linhas eficaz exige papéis claros, coordenação real entre as linhas e independência efetiva da auditoria interna.
As áreas de negócio são as primeiras a identificar e gerenciar os riscos. Devem implementar controles internos, executar planos de mitigação e reportar incidentes. Sem uma primeira linha eficaz, o modelo inteiro falha.
Compliance, gestão de riscos e controle interno supervisionam a primeira linha: definem políticas, monitoram a conformidade, questionam as decisões de risco e reportam à alta administração. São o guarda-chuva da organização.
A auditoria interna fornece avaliação independente e objetiva sobre a eficácia das duas primeiras linhas. Deve reportar ao órgão de governança (comitê de auditoria) e ser independente da diretoria operacional.
Se você precisa de ajuda com seu modelo de três linhas de defesa, conheça nossos serviços de compliance ou solicite uma consulta gratuita.
Um modelo de três linhas de defesa eficaz não é um organograma decorativo: é um sistema vivo de gestão de riscos, com papéis definidos, coordenação real e avaliação independente.
1ª linhaAs áreas de negócio são as donas dos riscos: elas os identificam, avaliam, controlam e mitigam em sua atividade diária.
2ª linhaFunções especializadas que supervisionam, assessoram e questionam a primeira linha. Definem políticas, monitoram a conformidade e reportam à administração.
3ª linhaFornece avaliação objetiva e independente sobre a eficácia da gestão de riscos e dos controles internos da primeira e da segunda linha.
GovernançaO conselho de administração ou o comitê de auditoria estabelece o apetite de risco, supervisiona as três linhas e recebe relatórios de todas elas. A coordenação entre as linhas evita lacunas e sobreposições.
Por setorExigência regulatória. Três linhas formais, com funções especializadas e reporte ao supervisor.
Adaptação ao porte. A 2ª linha pode ser compliance + jurídico. A 3ª linha pode ser terceirizada.
Papéis combinados na 1ª e na 2ª linha. 3ª linha terceirizada. Escala progressiva com o crescimento.
Identifica, avalia e gerencia os riscos próprios da sua atividade. Implementa controles e planos de mitigação.
Define estruturas de risco, políticas e padrões. Supervisiona e questiona a gestão de riscos da 1ª linha.
Executa os controles desenhados para sua área. Realiza autoavaliações e reporta incidentes.
Desenha a estrutura de controle interno, monitora seu cumprimento e propõe melhorias à administração.
Cumpre as políticas e os procedimentos internos. Aplica os requisitos regulatórios em sua operação diária.
Interpreta as normas, define as obrigações, treina a 1ª linha e reporta ao regulador quando necessário.
Reporta incidentes e KRIs à 2ª linha e à gestão de sua área funcional.
Reporta a visão global dos riscos à alta administração e, se for o caso, ao órgão de governança.
Se você identificar algum destes sinais, o modelo precisa de revisão urgente.
Se você está desenhando ou revisando um modelo de três linhas de defesa, estes são os termos que precisa dominar.
Estrutura de governança que organiza a gestão de riscos em três níveis: gestão operacional, supervisão de compliance/riscos e auditoria interna independente. Padrão do IIA.
Organização internacional que estabelece normas e orientações para a auditoria interna. Autora do modelo das três linhas de defesa e de suas atualizações.
Nível de risco que a organização está disposta a assumir para alcançar seus objetivos. É definido pelo órgão de governança e gerenciado pela primeira linha dentro dos limites estabelecidos.
Área responsável por supervisionar o cumprimento das normas aplicáveis, das políticas internas e dos padrões éticos. Fica na segunda linha de defesa e reporta à alta administração.
Função que fornece avaliação objetiva e independente sobre a eficácia da gestão de riscos, do controle interno e da governança da organização. Reporta ao órgão de governança.
Estrutura de gestão integrada de riscos corporativos. A segunda linha pode incluir uma função de ERM que coordene a visão global dos riscos transversais da organização.
Norma espanhola de sistemas de gestão de compliance penal. Exige medidas de vigilância e controle (três linhas de defesa) para prevenir crimes e isentar a pessoa jurídica com base no art. 31 bis do Código Penal espanhol.
Indicadores-chave de risco que permitem monitorar a exposição da organização aos seus principais riscos. A primeira linha os gera, a segunda os supervisiona e a terceira os audita.
Embora não façam parte do modelo interno, os reguladores, supervisores e auditores externos atuam como uma quarta linha de avaliação para os stakeholders e para a sociedade em geral.
THREE LINES GOVERNANCE CONSOLE
A maturidade das três linhas de defesa é medida em três eixos: definição de papéis (estão claros?), coordenação (as linhas trabalham juntas?) e independência (a 3ª linha é realmente independente?). Este painel resume o nível de exigência conforme o setor.
A complexidade e a formalização das três linhas variam conforme a regulação aplicável ao setor.
Conte para nós sua situação e explicamos como podemos ajudar no desenho, na revisão ou na auditoria do seu modelo de três linhas de defesa.
O modelo das três linhas de defesa é uma estrutura de governança e gestão de riscos reconhecida internacionalmente. Sua origem está em uma declaração de posição conjunta da ECIIA e da FERMA em 2013, e ele foi formalizado e difundido globalmente pelo Instituto dos Auditores Internos (IIA). Em julho de 2020, o IIA publicou uma atualização significativa com o nome de “Modelo das Três Linhas”, eliminando a referência a “defesa” para refletir uma abordagem mais orientada à criação e proteção de valor.
A primeira linha de defesa é formada pelas áreas de negócio e pelas funções operacionais da organização. Elas são as donas dos riscos: identificam, avaliam, controlam e mitigam os riscos associados à sua atividade diária. Implementam os controles internos e executam os planos de mitigação. Sem uma primeira linha eficaz, o modelo inteiro perde sua base.
A segunda linha inclui funções especializadas como compliance, gestão de riscos corporativos (ERM), controle interno, segurança da informação, prevenção à lavagem de dinheiro e outras funções de supervisão. Sua missão é supervisionar, assessorar e questionar a primeira linha, definir políticas e padrões, e reportar à alta administração sobre a situação dos riscos e da conformidade regulatória.
A terceira linha é a auditoria interna, cuja característica definidora é a independência em relação à diretoria operacional. Ela fornece avaliação objetiva sobre a eficácia da gestão de riscos e dos controles internos das duas primeiras linhas. Deve reportar diretamente ao órgão de governança (conselho de administração ou comitê de auditoria) para garantir sua independência.
Na Espanha, o artigo 31 bis do Código Penal exige um modelo de organização e gestão com medidas de vigilância e controle para prevenir crimes. As três linhas de defesa são a estrutura natural para atender a esse requisito. A norma UNE 19601, sobre compliance penal, está alinhada com essa abordagem. Para instituições financeiras, a implementação das três linhas é uma exigência regulatória decorrente das normas setoriais (MiFID II, Solvência II, orientações da EBA) e da supervisão do Banco de España e da CNMV.