Por Eduardo Person Pardini, CICP, CCoAudExp (artigo escrito com ajuda da inteligência humana)
Neste mês de julho de 2026, o The IIA - The Institute of Internal Auditors publicou uma atualização do Modelo das Três Linhas, o qual costumo chamar de "três linhas de gestão". No meu entendimento, essa atualização não traz grandes novidades conceituais; entretanto, apresenta esclarecimentos importantes para um melhor entendimento e aplicação prática.
O modelo atualizado oferece uma abordagem baseada em princípios, esclarecendo como as diversas atividades de avaliação e aconselhamento apoiam coletivamente a governança eficaz, a gestão de riscos e a conformidade.
Em sua essência, o modelo continua distinguindo os papéis em três linhas organizacionais distintas, a meu ver, de forma mais clara agora, ao mesmo tempo em que destaca suas contribuições complementares para a governança, para a gestão de riscos e para o sistema de controles internos. A categorização desses papéis ficou assim:
- Primeira Linha (Gestão): A gestão detém e gerencia os riscos do dia a dia. Esta linha é responsável por projetar, implementar e operar processos e controles. A gestão de operações também supervisiona as atividades e realiza autoavaliações de controle.
- Segunda Linha (Funções de Suporte e Especializadas): Fornece suporte especializado, questionamento e monitoramento em áreas específicas. Esses papéis aprimoram os processos gerenciados pela primeira linha por meio de garantias direcionadas e orientações.
- Terceira Linha (Função de Auditoria Interna): Entrega uma avaliação independente e objetiva sobre a eficácia dos processos de governança, de gestão de riscos e dos sistemas de controle. Fornece uma perspectiva holística e sistêmica sem assumir responsabilidades de gestão. A terceira linha atua como a provedora final de avaliação interna, examinando como todas as partes do cenário de governança e riscos trabalham em conjunto.
O modelo atualizado enfatiza que os conselhos e a alta administração podem fortalecer sua supervisão aproveitando tanto a avaliação (assurance) quanto o aconselhamento (advice) em toda a organização, de modo que:
- A avaliação (Assurance) ajuda a confirmar se os processos de governança, gestão de riscos, conformidade e sistemas de controle são adequados e eficazes.
- O aconselhamento (Advise) ajuda a identificar problemas emergentes, áreas de melhoria e oportunidades para aumentar a eficiência, a eficácia e a resiliência.
Ambas as formas de geração de valor são entregues em todas as três linhas, mas sua natureza e profundidade variam com base na proximidade do papel com as operações, na expertise específica e no nível de independência.
A atualização mantém a independência da auditoria interna como um conceito fundamental para uma garantia crível. Essa independência é assegurada pela subordinação funcional ao conselho, o que promove autonomia sobre os objetivos e o escopo das avaliações, acesso irrestrito a informações e proteção contra influências indevidas.
No entanto, como tenho dito, o documento esclarece que a independência não deve ser interpretada como isolamento. Uma governança eficaz exige coordenação e transparência em todos os papéis para garantir que os insights não sejam fragmentados. Ao alinhar as atividades de avaliação e aconselhamento, incluindo aquelas de provedores externos, como auditores estatutários ou reguladores, as organizações conseguem reduzir duplicidades, preencher lacunas e fornecer ao conselho uma visão coerente dos riscos.
Um ponto muito positivo desta versão é a compreensão da realidade prática. Sabemos que a implementação desse modelo, muitas vezes, fica à mercê da complexidade organizacional, da estrutura de governança, de restrições de recursos ou da capacidade operacional limitada. Isso pode causar algumas sobreposições, como, por exemplo, o gestor de auditoria acumular responsabilidades típicas de segunda linha.
Nesses casos, uma vez que a independência pode ficar fragilizada, é necessário adotar contramedidas rigorosas (salvaguardas) para preservar a objetividade e a responsabilidade. Exemplos incluem: realizar revisões independentes periódicas nas áreas onde existem responsabilidades duplas, garantir a aprovação explícita do conselho para atribuições expandidas e comunicar a eles quaisquer riscos potenciais à objetividade.
O documento também deixa claro que é responsabilidade do conselho garantir que a organização mantenha um conjunto equilibrado e estruturado de capacidades de avaliação e aconselhamento.
Por fim, a figura que ilustra o Modelo das Três Linhas está muito mais clara, facilitando o seu correto entendimento e aplicação.
Vale a pena a leitura do material publicado pelo The IIA -The Institute of Internal Auditors referente à atualização do Modelo das Três Linhas.
Seja Feliz!
(17.07.2026)