Governança corporativa · auditoria interna, externa e o papel do comitê
Toda organização enfrenta um problema de origem: quem administra a empresa é também quem prepara a informação usada para julgar o próprio desempenho. Esse conflito de interesses está na raiz da maioria das crises corporativas. O comitê de auditoria é uma das respostas mais importantes que a governança encontrou para esse problema.
Por que ele é necessário
O comitê de auditoria é um órgão de assessoramento do conselho de administração, formado majoritariamente, idealmente na totalidade, por membros independentes. Sua função é dar ao conselho uma leitura crível e não capturada sobre três frentes: a integridade das demonstrações financeiras, a eficácia dos controles internos e a robustez da gestão de riscos.
Em muitos lugares ele deixou de ser boa prática e virou exigência. Nos Estados Unidos, a Lei Sarbanes-Oxley (2002) surgiu como resposta direta aos escândalos Enron e WorldCom e tornou obrigatório o comitê de auditoria independente. No Brasil, ele é exigido para instituições financeiras pelo Conselho Monetário Nacional e requerido das companhias listadas no Novo Mercado da B3, que podem adotá-lo na forma de Comitê de Auditoria Estatutário (CAE), conforme previsto pela CVM.
Qual o papel na governança
Na prática, o comitê supervisiona, não executa. Suas atribuições típicas são: acompanhar o processo de elaboração das demonstrações financeiras e as escolhas contábeis relevantes; avaliar a eficácia dos controles internos e da gestão de riscos; recomendar a contratação, a remuneração e a eventual substituição do auditor externo independente, zelando por sua independência; supervisionar a auditoria interna, aprovando seu plano anual. Em marcos como a Sarbanes-Oxley, cabe ainda ao comitê estabelecer os procedimentos de recebimento e tratamento de denúncias contábeis, atribuição que o IBGC associa, de forma mais ampla, ao conselho, seus comitês ou à diretoria.
É útil enxergá-lo dentro do Modelo das Três Linhas do IIA. A primeira linha é a própria gestão operacional, dona dos riscos e dos controles. A segunda são funções como compliance, gestão de riscos e controles internos, que monitoram. A terceira é a auditoria interna, que fornece avaliação independente. Sobre todas paira a supervisão do conselho, exercida pelo comitê de auditoria. Ele é a ponte que traduz achados técnicos em decisões de governança.
Relação com a auditoria interna e a auditoria externa
A auditoria interna é uma função permanente da organização, mas, para preservar sua independência, deve reportar-se funcionalmente ao comitê de auditoria, e não à diretoria que ela audita. O comitê aprova seu plano baseado em risco, avalia seu desempenho e discute seus achados.
A auditoria externa independente é contratada de fora e tem como missão principal opinar se as demonstrações financeiras representam adequadamente a posição da empresa. Aqui o comitê é decisivo para proteger a independência do auditor: recomenda sua contratação, aprova (ou barra) serviços adicionais que possam comprometer a imparcialidade, acompanha a rotação e discute com ele, reservadamente, quaisquer divergências com a administração.
As duas auditorias se complementam. A externa tende a apoiar-se no trabalho da interna quando este é confiável, e o comitê é o ponto de coordenação entre ambas. Um detalhe de cultura faz toda a diferença: as sessões reservadas (executive sessions) do comitê com o auditor interno e com o externo, sem a presença da diretoria, são justamente o que permite que problemas incômodos venham à tona.
Quando funciona bem
O comitê é eficaz quando seus membros são de fato independentes e tecnicamente competentes, com pelo menos um “especialista financeiro” capaz de entender estimativas contábeis complexas. Funciona quando tem acesso irrestrito à informação, orçamento próprio e autoridade para contratar assessoria externa. Funciona quando se reúne com frequência, mantém as sessões reservadas e exerce ceticismo profissional, fazendo as perguntas difíceis em vez de tratar a reunião como formalidade. Estrutura importa, mas cultura importa igual.
Quando falha: lições aprendidas
Quando o comitê falha, quase sempre é por independência apenas formal, competência insuficiente, dependência excessiva da própria administração para obter informação ou a postura de simplesmente “carimbar” o que a diretoria apresenta. Os grandes escândalos ilustram cada um desses pontos.
Enron (EUA, 2001). A empresa escondeu dívidas e perdas por meio de entidades de propósito específico. Havia comitê de auditoria e conselho, mas a supervisão foi inoperante: incentivos executivos desalinhados, conflitos de interesse com o auditor Arthur Andersen, que prestava consultoria milionária e chegou a destruir documentos, e um comitê que não questionou o que precisava questionar. A ação despencou de cerca de US$ 40 para menos de US$ 1 e a empresa quebrou. A resposta foi a Sarbanes-Oxley.
Parmalat (Itália, 2003). O grupo alimentício ocultou um rombo de cerca de €14 bilhões, sustentado por um documento forjado que atestava bilhões em uma conta bancária que não existia. Foi a maior falência europeia da época e escancarou a fragilidade dos controles e da supervisão sobre uma gestão centralizada no controlador.
Banco Panamericano (Brasil, 2010). Irregularidades contábeis da ordem de bilhões de reais, entre elas carteiras de crédito vendidas que continuavam registradas no ativo, só vieram à tona por uma inspeção do Banco Central, revelando falhas de controles internos e de supervisão que as instâncias de governança não capturaram antes.
Americanas (Brasil, 2023). A companhia reconheceu inconsistências contábeis que chegaram a mais de R$ 25 bilhões, atribuídas pela própria investigação interna à diretoria anterior. Mesmo listada no Novo Mercado da B3 e com comitê de auditoria formado só por independentes, houve fragilidades de supervisão, prestação de contas e gestão de riscos, e a auditoria externa não identificou o problema a tempo. A B3 puniu 22 administradores, conselheiros e membros do comitê por descumprimento das regras do Novo Mercado. O caso reforça uma lição: independência formal não substitui supervisão efetiva, e mandatos renovados indefinidamente podem enfraquecer o órgão.
O fio comum é claro: nesses casos o comitê existia no papel, mas não exerceu, de fato, sua função de supervisão.
Quatro auditorias que costumam ser confundidas
Vale separar bem quatro tipos de auditoria que aparecem juntos, mas têm objeto, referencial e horizonte distintos.
A auditoria contábil (ou financeira) responde à pergunta “os números estão certos?”. Seu objeto são os registros, saldos e divulgações; seu referencial são as normas contábeis (IFRS/CPC) e de auditoria (ISA/NBC TA); seu produto é uma opinião. É retrospectiva e voltada à confiabilidade da informação publicada, campo por excelência do auditor externo independente.
A auditoria de compliance (conformidade) responde a “estamos seguindo as regras?”. O referencial não é a contabilidade, mas leis, regulamentos, normas setoriais, políticas internas e contratos: LGPD, legislação anticorrupção, exigências de reguladores. Verifica aderência e expõe risco legal e regulatório; o julgamento tende a ser binário (conforme ou não conforme) dentro de cada requisito.
A auditoria de riscos responde a “o que pode dar errado e estamos protegidos?”. É a mais ampla e prospectiva: avalia se os riscos relevantes (estratégicos, operacionais, financeiros, tecnológicos, reputacionais) estão identificados e se os controles são bem desenhados e operam de forma eficaz, tomando como referência frameworks de gestão de riscos como o COSO ERM e a ISO 31000, e seguindo as normas de auditoria aplicáveis (IIA/IPPF ou ISO 19011).
A auditoria de sistemas de gestão responde a “o sistema de gestão está implementado, é eficaz e atende à norma de referência?”. Avalia sistemas de gestão da qualidade (ISO 9001), de compliance (ISO 37301), antissuborno (ISO 37001), ambiental (ISO 14001), de riscos, de segurança da informação (ISO 27001), entre outros. O que a distingue é o referencial metodológico: a ISO 19011 – Diretrizes para auditoria de sistemas de gestão, que orienta como gerir o programa de auditoria, conduzir as auditorias e avaliar a competência de quem audita. Pode ser de primeira parte (interna), de segunda parte (em fornecedores) ou de terceira parte (certificação). É justamente o tipo de auditoria que sustenta os selos de certificação que o mercado reconhece.
Em uma frase: a contábil pergunta se os números estão certos, a de compliance se estamos seguindo as regras, a de riscos o que pode dar errado, e a de sistemas de gestão se o sistema funciona e está conforme a norma. Elas se sobrepõem: uma falha de compliance é também um risco, e um risco mal controlado pode virar erro contábil, mas não se confundem.
A confusão entre os tipos e os dois fundamentos inegociáveis
Na prática, é muito comum as empresas confundirem esses tipos de auditoria: tratam uma auditoria de certificação como se cobrisse riscos financeiros, esperam que a auditoria contábil ateste conformidade regulatória, ou acham que ter um sistema de gestão certificado dispensa a avaliação de riscos. Cada auditoria tem um foco e um escopo próprios, e nenhuma cobre sozinha o que as outras cobrem.
Apesar das diferenças, todas precisam repousar sobre dois fundamentos. O primeiro é a competência dos auditores: só se deve auditar aquilo que se tem competência para auditar. O segundo é a imparcialidade: agir de forma justa, isenta e livre de conflito de interesse, tendo a independência como base da objetividade das conclusões. Não por acaso, esses dois pilares estão no coração dos princípios da ISO 19011 (integridade, apresentação justa, devido cuidado profissional, confidencialidade, independência, abordagem baseada em evidência e abordagem baseada em risco) e valem, na essência, para qualquer auditoria, seja contábil, de compliance, de riscos ou de sistemas de gestão.
É possível, e muitas vezes desejável, integrar auditorias (a própria ISO 19011 trata da auditoria combinada, quando dois ou mais sistemas de gestão são auditados juntos). Mas aqui mora um risco real: ao combinar escopos, o foco pode ficar tendencioso para um tipo em detrimento dos demais. A equipe “puxa” para o que domina e negligencia o resto. Uma auditoria integrada só é boa quando contempla todos os focos e escopos previstos, sem que um sufoque o outro.
Por isso a importância de uma área de auditoria interna independente. É ela que consegue enxergar o todo, integrar adequadamente os diferentes tipos de auditoria sem viés, garantir que competência e imparcialidade estejam presentes em cada frente e coordenar tanto as auditorias internas quanto as externas da empresa, inclusive as de certificação. Sem esse ponto de integração independente, a organização acumula auditorias que se sobrepõem em alguns pontos e deixam lacunas em outros.
Recomendações
Para quem constrói ou fortalece um comitê de auditoria, alguns pontos fazem a diferença entre um órgão eficaz e um órgão decorativo:
1. Independência real, não só formal. Composição majoritária ou totalmente independente, com atenção a mandatos que se renovam indefinidamente e corroem a isenção.
2. Competência técnica no comitê. Garantir ao menos um membro com sólida formação em contabilidade e finanças, capaz de desafiar estimativas e escolhas contábeis complexas.
3. Sessões reservadas periódicas com a auditoria interna e a externa, sem a presença da diretoria.
4. Auditoria interna com reporte funcional ao comitê, plano baseado em risco e recursos compatíveis.
5. Proteção ativa da independência do auditor externo, com política clara sobre serviços adicionais e rotação.
6. Ceticismo profissional como cultura: fazer as perguntas difíceis, exigir evidência e não se contentar com o que a administração apresenta.
7. Canal de denúncias robusto e confiável, supervisionado pelas instâncias de governança, com tratamento formal e retorno.
8. Integração do modelo das três linhas, para que compliance, riscos e auditoria conversem em vez de operar em silos.
Governança não se resume a ter os órgãos certos no organograma. Enron, Parmalat, Panamericano e Americanas tinham comitês e conselhos. O que faltou foi supervisão efetiva. O comitê de auditoria só cumpre seu papel quando independência, competência e ceticismo caminham juntos.
Referências
- IBGC. Código das Melhores Práticas de Governança Corporativa. 6ª edição. São Paulo: Instituto Brasileiro de Governança Corporativa, 2023. (Ver especialmente o Capítulo 5 — Órgãos de Fiscalização e Controle: auditoria independente, auditoria interna, gestão de riscos, controles internos e compliance.)
- The IIA. Modelo das Três Linhas do IIA (atualização de 2020 do modelo das Três Linhas de Defesa). The Institute of Internal Auditors.
- COSO. Enterprise Risk Management — Integrating with Strategy and Performance (COSO ERM, 2017).
- ISO 31000:2018 — Gestão de Riscos — Diretrizes.
- ISO 19011:2026 — Diretrizes para auditoria de sistemas de gestão (princípios de auditoria, gestão do programa de auditoria, condução das auditorias e avaliação da competência dos auditores; trata também da auditoria combinada/integrada).
- ISO 37301 (compliance), ISO 37001 (antissuborno), ISO 9001 (qualidade), ISO 14001 (ambiental) e ISO/IEC 27001 (segurança da informação).
- Estados Unidos. Sarbanes-Oxley Act of 2002, Seção 301 (independência dos membros do comitê de auditoria).
- CVM. Resolução CVM nº 23/2021 (Comitê de Auditoria Estatutário – CAE) e Resolução CVM nº 80/2022 (divulgação); Regulamento do Novo Mercado da B3.
- CMN. Resolução CMN nº 3.198/2004 (comitê de auditoria em instituições financeiras).
