Aparência
Modelo das Três Linhas
Matéria: Governança, Riscos e Auditoria
Voltar ao índice da matéria.
Responsabilidades, não muralhas
O modelo do Institute of Internal Auditors (IIA) esclarece papéis entre órgão de governança, gestão e auditoria interna. A versão atual fala em “Três Linhas”, não “três linhas de defesa”, enfatizando criação e proteção de valor, colaboração e comunicação.
O órgão de governança responde perante stakeholders, define direção e supervisiona. A gestão executa e administra riscos. Auditoria interna fornece avaliação independente e objetiva.
Primeira linha
Papéis de primeira linha entregam produtos e serviços e gerenciam riscos no cotidiano. Em uma contratação, a unidade responsável seleciona o fornecedor, acompanha a entrega, executa os controles e corrige desvios. Essa responsabilidade não pode ser transferida para compliance ou auditoria apenas porque essas funções também examinam o processo.
Segunda linha
Funções como riscos, compliance, segurança e controles fornecem especialização, apoio, monitoramento e questionamento. Podem definir o método de avaliação de fornecedores, orientar a primeira linha e acompanhar exposições relevantes. Algumas possuem autoridade regulatória interna, mas continuam integrando a gestão e não alcançam a independência da auditoria.
Desenhar política ou consolidar risco cabe à segunda; aceitar exposição e executar resposta permanece com gestores competentes. Se a segunda operar o controle, deve ficar claro quem monitora e como conflitos serão tratados.
Terceira linha
Auditoria interna avalia governança, riscos e controles e reporta funcionalmente ao órgão de governança. Diante de um pagamento indevido, pode examinar o desenho do processo, as causas sistêmicas e a resposta da gestão, mas não deve executar a conciliação nem aprovar o pagamento que depois avaliará. Pode aconselhar sem tomar decisões ou assumir a propriedade do risco. Independência requer acesso, mandato, recursos e proteção contra interferência.
Provedores externos e coordenação
Auditores externos, reguladores e tribunais fornecem avaliações adicionais, mas não se tornam automaticamente uma “quarta linha” interna. Coordenação e assurance mapping reduzem lacunas e duplicação, respeitando mandatos.