O The Institute of Internal Auditors, mais conhecido como IIA, publicou na semana passada uma atualização relevante do Modelo das Três Linhas de Defesa, agora apresentada como uma "Statement of Position", em que esta nova versão não apenas abandona a estrutura conceitual já conhecida, mas altera de maneira importante o seu centro de gravidade, em que o modelo deixa de ser tratado predominantemente como uma forma de classificar departamentos, e passa a ser apresentado como uma arquitetura de governança destinada a fornecer ao conselho informações confiáveis, equilibradas, coordenadas e suficientemente independentes para apoiar decisões, supervisão e criação sustentável de valor.
Observação = O IIA tirou oficialmente a palavra "defesa" do conceito das 3 linhas, mas pessoalmente eu continuo a usando, segundo a primeira versão original em que ela estava presente, pois acho que a palavra reforça bastante o conceito em si e sua proposta.
Essa mudança é mais profunda do que uma simples revisão de terminologia, pois este novo documento procura responder a uma realidade na qual riscos tecnológicos, cibernéticos, financeiros, regulatórios, geopolíticos, climáticos, comportamentais e relacionados à inteligência artificial se tornaram mais interdependentes e velozes.
Nesse ambiente já não basta perguntar se a empresa possui uma primeira, uma segunda e uma terceira linha formalmente identificadas, mas pergunta mais relevante agora passa a ser se o conselho está recebendo uma visão suficientemente completa, coerente e confiável sobre como os riscos estão sendo assumidos, gerenciados, monitorados e avaliados de forma independente?
A nova versão parte justamente desse problema. Conselhos e alta administração não podem conhecer todos os detalhes operacionais, mas precisam compreender se os processos de governança, gestão de riscos, conformidade e controles funcionam como deveriam, e ainda se as informações recebidas refletem a realidade, ou se existem lacunas de cobertura, e também se diferentes áreas estão repetindo os mesmos testes, e até se alguma função está avaliando controles ou decisões pelas quais ela própria foi anteriormente responsável.
O avanço do modelo portanto não está apenas na descrição das três linhas de defesa em si, mas está na conexão entre accountability, asseguração, aconselhamento, independência, coordenação, confiança e qualidade da informação entregue ao conselho.
A trajetória do modelo de 2013 a 2026:
Para entender a relevância da atualização, é necessário observar a evolução histórica do conceito.
A versão original de 2013 chamada de “Three Lines of Defense in Effective Risk Management and Control”, consolidou a estrutura que se tornou amplamente utilizada em instituições financeiras e em empresas reguladas. Naquele modelo a primeira linha era formada pela gestão operacional, responsável por possuir e administrar os riscos, enquanto que a segunda linha era composta por funções de gestão de riscos, conformidade e controle que supervisionavam e apoiavam a primeira linha, já a terceira linha era representada pela auditoria interna, responsável por fornecer asseguração independente. O conselho e a alta administração apareciam acima das linhas, enquanto auditores externos, reguladores e outros agentes externos apareciam fora da estrutura, por isto eu pessoalmente chamava da quarta linha da governança, e o regulador da quinta linha.
O mérito daquela versão estava na clareza da segregação de responsabilidades. Ela ajudava a responder perguntas fundamentais sobre quem é responsável pelo risco? Quem monitora? Quem avalia de maneira independente? Também alertava para a necessidade de coordenação, de modo que não houvesse riscos sem cobertura ou esforços duplicados.
Entretanto a expressão “linhas de defesa” segundo o IIA poderia induzir a uma interpretação excessivamente defensiva, estática e compartimentalizada, o que eu pessoalmente não acho. Mas o risco poderia ser percebido apenas como algo a ser evitado, quando na realidade toda estratégia envolve escolher quais riscos assumir, em que quantidade, sob quais controles e em troca de quais retornos.
Já a atualização de 2020 enfrentou essa limitação ao retirar a palavra “defesa” e adotar o nome de "Modelo das Três Linhas", em que o novo documento ampliou o foco da proteção contra perdas para a criação e proteção de valor, introduziu uma abordagem baseada em princípios e enfatizou que as linhas não deveriam ser entendidas necessariamente como departamentos, estruturas rígidas ou etapas sequenciais. Também fortaleceu conceitos como alinhamento, comunicação, cooperação e colaboração entre conselho, gestão, segunda linha e auditoria interna.
Na versão de 2020 ficou mais claro que a primeira e a segunda linhas fazem parte da gestão, embora exerçam papéis diferentes, em que a primeira linha permanece responsável pela execução, pela entrega de produtos e serviços e pela gestão cotidiana dos riscos. A segunda linha oferece conhecimento especializado, apoio, monitoramento e questionamento. A auditoria interna como terceira linha, preserva sua independência em relação às responsabilidades gerenciais e fornece asseguração e aconselhamento objetivos ao conselho e à administração.
A versão de 2020 também já afirmava que independência não significa isolamento. Auditoria interna, gestão e funções especializadas precisariam interagir regularmente para que o trabalho fosse relevante, não duplicasse esforços e cobrisse adequadamente os riscos. Portanto, colaboração não é uma invenção da revisão de 2026, em que o que esta nova versão faz agora é aprofundar, estruturar e transformar essa colaboração em uma lógica mais explícita de coordenação, dependência responsável e asseguração integrada.
A atualização de 2026 representa assim um terceiro estágio de maturidade, em que em 2013 o foco principal estava na segregação das responsabilidades, enquanto que em 2020 o modelo foi reposicionado em torno da governança, do alcance dos objetivos e da criação de valor, já em 2026 o IIA avança para a qualidade do sistema de informações, asseguração e aconselhamento que sustenta a supervisão do conselho.
O conselho passa a ser o "público central" do modelo:
Uma das mudanças mais significativas da nova versão é a definição do conselho como "público primário".
O documento continua sendo extremamente relevante para executivos de riscos, conformidade, controles internos e auditoria interna, mas a sua linguagem e estrutura foram redesenhadas para responder às necessidades de quem exerce a responsabilidade final de supervisão. O conselho estabelece o propósito, o apetite a risco e as expectativas da empresa, supervisiona a execução dos objetivos estratégicos e precisa determinar se a arquitetura de governança oferece informações suficientemente confiáveis para o exercício dessa função.
Essa alteração reposiciona o Modelo das Três Linhas de Defesa, em que deixa de ser apenas uma ferramenta utilizada por profissionais de riscos e auditoria para explicar suas atribuições e passa a ser uma ferramenta de desenho e avaliação da governança pelo próprio conselho.
A pergunta deixa de ser somente “a quem essa área se reporta?” e passa a incluir questões mais substantivas sobre se o conselho sabe quem é responsável por cada risco material? A segunda linha possui autoridade, competência e acesso suficientes para questionar a primeira linha? A auditoria interna consegue definir livremente seu escopo e comunicar questões sensíveis sem interferência? As diferentes fontes de asseguração utilizam critérios compatíveis? Existem riscos relevantes que não são avaliados por nenhuma função? As áreas estão produzindo relatórios diferentes sobre a mesma realidade? O conselho consegue distinguir informações gerenciais, monitoramentos da segunda linha e asseguração independente da terceira linha?
Essas perguntas traduzem o verdadeiro sentido de accountability, em que já não basta distribuir tarefas, mas é preciso deixar claro quem responde pelas decisões, quem acompanha seu funcionamento, quem pode contestá-las e quem oferece uma avaliação independente sobre a eficácia do sistema.
Dos seis princípios de 2020 para cinco princípios orientados à decisão:
A versão de 2020 organizava o modelo em seis princípios relacionados à governança, ao papel do órgão de governança, aos papéis da gestão, à terceira linha, à independência da auditoria interna e à criação e proteção de valor.
A nova versão utiliza cinco princípios com uma orientação mais diretamente ligada ao conselho e à confiabilidade da supervisão, em que eles estabelecem que o conselho define propósito, apetite a risco e expectativas, e que a supervisão depende de informações confiáveis e equilibradas, e que conselho e alta administração criam accountability por meio da definição de papéis e responsabilidades; que diferentes fontes de asseguração, incluindo uma fonte independente, aumentam a confiança sobre o funcionamento da governança e dos controles, e que os serviços de aconselhamento complementam a asseguração ao oferecer perspectivas e alternativas para melhoria e tomada de decisão.
A diferença é sutil mas importante, pois os princípios anteriores explicavam principalmente sobre como a governança deveria ser estruturada, em quanto que agora estes novos princípios enfatizam sobre o que o conselho precisa receber dessa estrutura para exercer adequadamente sua função.
Essa mudança aproxima o modelo de uma abordagem de decisão, em que a governança deixa de ser avaliada apenas pela existência formal de comitês, políticas, áreas e linhas de reporte, e agora passa a ser avaliada pela capacidade de produzir informações confiáveis, estimular questionamento qualificado, identificar fragilidades e apoiar decisões tempestivas.
O valor específico de cada linha:
Diria de que outra inovação importante é a descrição mais detalhada da contribuição de valor, das forças, das limitações e do grau de objetividade de cada linha.
A nova versão reconhece que nenhuma linha consegue maximizar simultaneamente proximidade operacional, especialização e independência, em que cada uma das linhas possui vantagens e limitações próprias.
A primeira linha está mais próxima das operações, dos clientes, dos sistemas, das transações e dos fatores que determinam o desempenho. Por isso possui conhecimento detalhado e percepção quase em tempo real sobre riscos, incidentes e falhas. Pode reagir rapidamente e alterar processos. Ao mesmo tempo sua objetividade é naturalmente limitada, porque ela própria projeta, executa e responde pelos processos e controles avaliados. Essa ausência de independência não representa uma deficiência, mas é uma característica inerente ao seu papel.
A segunda linha possui maior especialização e algum distanciamento em relação às operações. Funções de gestão de riscos, conformidade, segurança da informação, risco de modelos, qualidade, controles internos, privacidade e PLD podem oferecer orientação técnica, estabelecer metodologias, monitorar exposições, realizar revisões temáticas e desafiar decisões da primeira linha. A segunda linha entretanto continua fazendo parte da gestão e não possui o mesmo grau de independência da auditoria interna.
A terceira linha representada pela função de auditoria interna, oferece o maior grau de independência e objetividade dentro da empresa. Sua posição permite uma avaliação transversal de como governança, gestão de riscos, conformidade e controles funcionam em conjunto. Sua limitação é possuir menor proximidade cotidiana com as operações e realizar uma cobertura baseada em riscos, normalmente periódica. Por essa razão nem todos os processos são examinados continuamente.
Essa análise é particularmente útil para os conselhos porque evita a falsa expectativa de que todas as informações recebidas possuam o mesmo grau de independência. Um relatório elaborado pela primeira linha pode ser detalhado e tempestivo, mas não é independente. Um monitoramento da segunda linha pode conter questionamento técnico relevante, mas ainda integra a gestão. A auditoria interna oferece maior objetividade, mas sua cobertura será seletiva, priorizada e periódica.
A qualidade da governança surge da combinação inteligente dessas perspectivas, e não da tentativa de transformar todas as funções em auditoria.
Asseguração e aconselhamento deixam de ser tratados como atividades exclusivas da auditoria interna:
A nova versão desenvolve com maior profundidade a distinção entre asseguração e aconselhamento.
Em que a asseguração é a atividade destinada a aumentar o grau de confiança dos interessados sobre a adequação e a eficácia dos processos de governança, gestão de riscos, conformidade e controles, enquanto que o aconselhamento por sua vez oferece informações, perspectivas, possibilidades e recomendações sem assumir responsabilidades gerenciais ou fornecer uma conclusão formal de asseguração.
O novo documento reconhece que ambas as contribuições podem estar presentes nas três linhas, embora sua natureza, profundidade e credibilidade variem conforme a proximidade com as operações, o conhecimento técnico e o grau de independência.
A primeira linha pode realizar autoavaliações de controles, certificações gerenciais, reconciliações, supervisão cotidiana e análises de desempenho. Essas atividades produzem algum nível de confiança, mas são conduzidas por quem opera os processos.
A segunda linha pode realizar monitoramento contínuo, testes temáticos, revisões de conformidade, validações técnicas, análises de tendências e verificações direcionadas. Essas atividades podem oferecer asseguração relevante, especialmente sobre temas especializados, embora a função ainda faça parte da gestão.
A auditoria interna fornece asseguração independente e objetiva sobre o sistema como um todo, inclusive sobre a qualidade das atividades realizadas pela primeira e pela segunda linhas.
O avanço conceitual está em reconhecer que a empresa possui um ecossistema de asseguração e aconselhamento, e não apenas uma função de auditoria isolada. O conselho deve compreender a procedência, a qualidade, o alcance e as limitações de cada informação antes de decidir quanto pode confiar nela.
A nova abordagem também reforça que o aconselhamento não reduz a independência por natureza. A auditoria interna pode aconselhar a administração, participar de discussões sobre desenho de processos, compartilhar conhecimentos e oferecer perspectivas. Contudo, não deve assumir decisões gerenciais, escolher alternativas em nome da administração nem se tornar responsável pela execução de controles.
O limite não está em participar da discussão, mas o limite está sim em assumir a decisão ou a responsabilidade que posteriormente deverá ser avaliada.
Independência deixa de ser um conceito abstrato e passa a ser uma condição verificável:
Embora a independência já fosse relevante nas versões anteriores, o documento desta nova versão de 2026 oferece uma descrição muito mais operacional de seus componentes.
A independência passa a ser associada diretamente às linhas de reporte, autoridade de escalonamento, autonomia sobre escopo e planejamento, acesso irrestrito a pessoas e informações, controle sobre recursos e proteção contra retaliação ou influência indevida.
Essa explicitação é relevante porque muitas empresas afirmam possuir uma auditoria interna independente apenas porque o executivo-chefe de auditoria participa das reuniões do comitê de auditoria. Isso, isoladamente, não garante independência.
A função precisa ter liberdade para definir o que será examinado, como os trabalhos serão conduzidos e quais conclusões serão apresentadas. Precisa acessar sistemas, documentos, instalações, prestadores e profissionais sem filtros impostos pela gestão. Precisa contar com orçamento, pessoas e competências adequados. Precisa comunicar limitações de recursos ao conselho. E precisa ter proteção institucional para relatar temas sensíveis.
A atualização conserva a mensagem de que independência não significa isolamento, já presente em 2020, mas a desenvolve de forma mais prática, em que a auditoria interna pode colaborar, coordenar, aconselhar e utilizar trabalhos de outras áreas. A independência é comprometida quando ela assume responsabilidades gerenciais, sofre interferência, avalia suas próprias decisões ou deixa de comunicar ameaças à objetividade, e não simplesmente quando conversa ou trabalha em conjunto com outras funções.
O intervalo de doze meses e o risco de autorrevisão:
Uma novidade especialmente prática é a referência a um período de pelo menos doze meses entre a responsabilidade por um processo ou decisão e a realização de asseguração sobre essa mesma atividade.
O documento afirma que esse intervalo é em geral suficiente para proteger a objetividade do avaliador, especialmente quando acompanhado por distância estrutural em relação à hierarquia responsável pelo processo.
Essa indicação não deve ser interpretada como uma regra automática ou como um salvo-conduto universal. O simples transcurso de doze meses não elimina necessariamente uma ameaça relevante à objetividade. A materialidade da decisão anterior, a influência ainda exercida pelo profissional, a complexidade do processo e a percepção dos interessados precisam ser avaliadas.
Mesmo assim, a inclusão desse parâmetro é importante porque transforma uma preocupação conceitual em um critério mais concreto para planejamento de equipes, movimentações internas e designação de responsáveis por trabalhos de auditoria.
Considere um profissional transferido da área de risco de crédito para a auditoria interna. Caso ele tenha sido responsável pela aprovação de uma metodologia de provisão, não seria adequado designá-lo imediatamente para liderar a avaliação independente daquela mesma metodologia. A empresa deve observar o período de afastamento, a influência residual e a necessidade de uma revisão conduzida por profissionais sem participação anterior.
Coordenação, dependência responsável e asseguração integrada:
Talvez o maior avanço estrutural da atualização seja a incorporação explícita dos conceitos de coordenação, dependência responsável e asseguração integrada.
A versão de 2013 já alertava para lacunas e duplicações, enquanto que a versão de 2020 reforçou alinhamento, comunicação e colaboração, mas agora a nova versão avança ao explicar como as diferentes fontes de asseguração podem coordenar planos, compartilhar informações sobre riscos, alinhar metodologias e, quando apropriado, utilizar os trabalhos umas das outras.
A dependência responsável significa que uma função pode considerar e utilizar o trabalho realizado por outra, desde que avalie previamente sua competência, metodologia, qualidade, objetividade, escopo e documentação, em que não se trata de confiar automaticamente, mas se trata de decidir com critérios sobre quando e em que extensão um trabalho existente pode reduzir a necessidade de novos testes.
Essa abordagem pode diminuir duplicações, reduzir a chamada fadiga de asseguração, direcionar recursos para riscos sem cobertura e oferecer ao conselho uma visão mais coerente do ambiente de controle.
O documento menciona instrumentos como mapas de asseguração, taxonomias compartilhadas de riscos, relatórios alinhados e discussões coordenadas de planejamento. Esses instrumentos permitem identificar quais riscos estão sendo acompanhados pela gestão, testados pela segunda linha, auditados pela terceira linha ou examinados por provedores externos.
Um mapa de asseguração bem construído pode demonstrar, por exemplo, que risco cibernético é monitorado continuamente pela área de segurança, revisado trimestralmente pela segunda linha, avaliado anualmente pela auditoria interna e submetido periodicamente a testes externos. Também pode revelar que riscos relacionados a dados de treinamento de modelos de inteligência artificial, dependência de fornecedores ou continuidade de processos críticos não possuem cobertura suficiente.
A asseguração integrada não significa fundir as funções nem retirar suas identidades, mas significa coordenar contribuições distintas para formar uma visão mais completa.
A auditoria interna como integradora da asseguração:
O documento de 2026 atribui à auditoria interna uma posição particularmente relevante como integradora da asseguração.
Essa atribuição decorre de sua visão transversal da empresa, de seu acesso ao conselho e de sua independência em relação à tomada de decisões operacionais. A auditoria interna pode considerar informações e trabalhos produzidos pela primeira linha, pela segunda linha e por provedores externos, avaliar sua qualidade e conectar essas contribuições em uma visão sistêmica.
Isso não significa que a auditoria interna deve se tornar proprietária do processo de gestão de riscos, do mapa de controles ou das atividades da segunda linha. Seu papel é facilitar a coordenação, avaliar a suficiência das fontes de asseguração e ajudar o conselho a entender se o sistema funciona de forma coerente.
A auditoria interna também mantém o direito de não confiar no trabalho de outra função quando os critérios de qualidade, objetividade ou documentação não forem atendidos. Esse ponto é essencial. Asseguração integrada não pode ser utilizada como justificativa para reduzir testes sem uma avaliação adequada da qualidade do trabalho no qual se pretende confiar.
A função integradora, portanto, exige maturidade metodológica. A auditoria interna deve estabelecer critérios de dependência, avaliar competências, conhecer as metodologias das demais funções, identificar diferenças de escopo e registrar as razões para utilizar ou não determinado trabalho.
As sobreposições entre segunda e terceira linhas passam a ser tratadas com realismo
As estruturas reais raramente reproduzem perfeitamente um organograma teórico. Empresas menores podem não possuir funções separadas. Grupos complexos podem distribuir responsabilidades entre subsidiárias e estruturas corporativas. Restrições de recursos podem levar um mesmo executivo a supervisionar mais de uma função.
A atualização reconhece essa realidade e declara que a sobreposição de responsabilidades não é por si só necessariamente inadequada. O problema surge quando ela não é transparente, não possui justificativa, gera autorrevisão ou reduz a capacidade do conselho de compreender quem é responsável por cada atividade.
O documento diferencia dois cenários.
No primeiro, a própria função de auditoria interna executa atividades de segunda linha. Nesse caso, há uma ameaça direta de autorrevisão, pois a função pode posteriormente ser chamada a avaliar o trabalho que executou. O arranjo deve ser justificado, documentado, aprovado pelo conselho, periodicamente reavaliado e acompanhado por asseguração independente realizada por outra parte, interna ou externa.
No segundo cenário, o executivo-chefe de auditoria supervisiona uma função de segunda linha que permanece estruturalmente separada da auditoria interna. A situação não é automaticamente proibida, mas exige separação clara entre as equipes, documentação de responsabilidades, aprovação do conselho, avaliações independentes das áreas sob responsabilidade compartilhada e comunicação contínua de ameaças reais ou percebidas à objetividade.
O princípio é que não se deve permitir que uma mesma pessoa ou função desenhe, opere, monitore e depois ateste de forma independente a eficácia do mesmo processo.
Em setores altamente regulados, determinados arranjos podem ser restritos ou proibidos por normas específicas. O modelo não substitui requisitos legais ou prudenciais. Sua flexibilidade deve ser aplicada dentro dos limites regulatórios de cada setor e país.
O conselho precisa aprovar e supervisionar responsabilidades ampliadas do executivo de auditoria
A nova versão reforça que qualquer ampliação significativa das responsabilidades do executivo-chefe de auditoria deve ser aprovada pelo conselho.
Isso inclui situações em que ele assume supervisão sobre conformidade, gestão de riscos, investigações, controles internos ou outras atividades que possam gerar conflitos com a futura atuação da auditoria.
A aprovação não deve ser meramente formal, mas o conselho precisa compreender por que o arranjo é necessário, quais riscos cria, por quanto tempo permanecerá, quem fornecerá asseguração independente sobre a atividade e como eventuais ameaças à objetividade serão comunicadas.
O estatuto da auditoria interna deve registrar claramente essas responsabilidades. O plano de auditoria precisa identificar áreas nas quais a função não pode fornecer asseguração independente. O conselho deve exigir revisões periódicas para verificar se a justificativa original ainda permanece válida.
Uma responsabilidade temporária não deve se transformar silenciosamente em uma estrutura permanente sem reavaliação.
A terceirização não transfere accountability
Outro esclarecimento importante é que a terceirizar uma atividade não altera sua posição no Modelo das Três Linhas nem transfere a responsabilidade da empresa.
Um prestador externo contratado pela gestão para executar um controle continua atuando no contexto da primeira linha. Uma consultoria contratada pela área de riscos para realizar validações ou monitoramentos pode estar apoiando a segunda linha. Uma empresa independente contratada pelo conselho para fornecer asseguração pode atuar como provedor externo.
A classificação não depende do nome do prestador nem do fato de ele ser externo. Depende de quem o contrata, quem define seu escopo, a quem ele se reporta, quem toma as decisões e qual finalidade o trabalho atende.
O conselho continua responsável por assegurar que as atividades terceirizadas sejam eficazes, adequadamente direcionadas e suficientemente independentes quando a independência for necessária.
Essa orientação é particularmente relevante em ambientes nos quais validações de modelos, testes de cibersegurança, investigações, avaliações de conformidade e trabalhos especializados são frequentemente terceirizados. A contratação de uma consultoria renomada não transforma automaticamente o trabalho em asseguração independente.
Um exemplo prático no Banco Antenna
Considere o Banco Antenna implementando um novo modelo de inteligência artificial para concessão de crédito.
A área de negócios e a equipe de tecnologia como primeira linha, são responsáveis pela finalidade do modelo, qualidade operacional dos dados, critérios de decisão, controles de acesso, tratamento de exceções, monitoramento de desempenho e correção de falhas. A responsabilidade pelo risco não pode ser transferida ao fornecedor da tecnologia.
As áreas de risco de modelos, risco de crédito, segurança da informação, privacidade e conformidade como segunda linha, estabelecem políticas, questionam premissas, realizam validações, monitoram desvios, avaliam vieses, verificam aderência ao apetite a risco e acompanham indicadores. Essas funções podem realizar revisões técnicas robustas, mas continuam integrando a gestão.
A auditoria interna, como terceira linha, avalia independentemente se o sistema de governança do modelo funciona de maneira adequada. Isso inclui verificar se as responsabilidades estão claras, se a validação da segunda linha é confiável, se os dados são controlados, se os limites são observados, se incidentes são escalados e se o conselho recebe informações suficientes para supervisão.
Caso a área de risco de modelos contrate uma consultoria externa para realizar a validação, o trabalho permanece vinculado à segunda linha, porque é dirigido por ela e atende a uma responsabilidade gerencial. A auditoria interna poderá utilizar parte desse trabalho, mas apenas depois de avaliar sua competência, escopo, método, documentação e objetividade.
Se o executivo-chefe de auditoria também supervisionar temporariamente a área de risco de modelos, a auditoria interna não deverá fornecer asseguração independente sobre aquela função durante o período de sobreposição. O conselho precisará aprovar o arranjo, definir salvaguardas e designar uma parte independente para realizar a avaliação.
O exemplo demonstra que o modelo não funciona por rótulos, mas funciona por responsabilidade, autoridade, independência e finalidade.
O que os conselhos e comitês devem rever:
A atualização exige mais do que mudar um desenho em uma apresentação institucional. Ela oferece uma oportunidade para revisar a arquitetura de governança de forma substantiva.
O conselho deve verificar se existe uma definição clara das responsabilidades da primeira, segunda e terceira linhas e se essa definição reflete a realidade, e não apenas documentos formais. Deve confirmar quem possui cada risco material, quem estabelece metodologias, quem monitora limites, quem desafia decisões e quem avalia independentemente a eficácia do sistema.
Os estatutos do comitê de auditoria, do comitê de riscos, da auditoria interna e das funções de segunda linha devem ser analisados em conjunto, mas é frequente que documentos isoladamente adequados produzam, quando combinados, sobreposições, lacunas ou ambiguidades.
Também deve ser elaborado ou atualizado um mapa de asseguração corporativo, vinculando riscos materiais, processos críticos, controles-chave e provedores de asseguração. Esse mapa deve mostrar a frequência da cobertura, a profundidade dos trabalhos, a independência de cada fonte, os critérios utilizados e as lacunas identificadas.
O conselho deve exigir critérios formais para que a auditoria interna possa confiar em trabalhos da segunda linha ou de prestadores externos. A dependência não pode ocorrer apenas porque um relatório existe. Precisa ser sustentada por avaliação de competência, objetividade, escopo, metodologia, evidências e documentação.
Responsabilidades duplas do executivo-chefe de auditoria devem ser explicitadas, justificadas e periodicamente revistas. Áreas nas quais exista ameaça de autorrevisão precisam ser avaliadas por uma parte independente.
A suficiência de recursos também precisa ser observada. Independência sem orçamento, competências ou acesso é apenas uma independência formal. Limitações materiais devem ser apresentadas ao conselho, juntamente com seus impactos sobre a cobertura de riscos.
Os relatórios ao conselho devem ser redesenhados para apresentar uma visão integrada, em que não basta receber dezenas de relatórios de risco, conformidade, controles e auditoria, mas é necessário compreender onde as fontes convergem, onde divergem, quais riscos permanecem sem cobertura e qual o grau de confiança associado a cada informação.
A principal mudança das linhas como fronteiras para as linhas como contribuições:
Diria de que um resumo mais importante da atualização está na mudança da ideia de fronteiras organizacionais para a ideia de contribuições complementares.
A separação continua necessária, em que a primeira linha não deixa de ser responsável pelos riscos, e que a segunda linha não deixa de monitorar, apoiar e desafiar, e que a auditoria interna não deixa de preservar independência e objetividade.
Mas a eficácia do modelo não pode ser medida apenas pela distância entre essas funções, mas deve ser medida pela capacidade de trabalharem de forma coordenada sem perderem suas identidades, de compartilharem informações sem diluírem responsabilidades e de oferecerem ao conselho uma visão confiável sobre o funcionamento da empresa.
Uma empresa pode possuir três linhas formalmente estabelecidas, e ainda assim ter governança frágil, em que isso ocorre quando a primeira linha transfere a responsabilidade pelos riscos à área de riscos; quando a segunda linha se limita a consolidar informações sem desafiar decisões, e quando a auditoria interna trabalha isoladamente, ou quando diferentes funções testam os mesmos controles enquanto riscos relevantes permanecem sem cobertura, ou quando o conselho recebe grande volume de informação sem conseguir distinguir monitoramento gerencial de asseguração independente.
Da mesma forma uma empresa com estrutura menos complexa pode aplicar adequadamente o modelo se definir responsabilidades com clareza, preservar objetividade, implementar salvaguardas e assegurar que o conselho receba informações equilibradas.
O modelo é baseado em princípios porque estruturas diferentes podem alcançar resultados semelhantes.
Mas vejam de que esta flexibilidade entretanto não significa ausência de disciplina, em que quanto maior a sobreposição de papéis, maior deve ser a transparência. Quanto menor a separação estrutural, mais fortes devem ser as salvaguardas. Quanto maior a confiança depositada em outros provedores, mais robusta deve ser a avaliação da qualidade de seus trabalhos.
Uma arquitetura de confiança para uma realidade mais complexa:
Diria de que esta evolução do Modelo das Três Linhas acompanha a própria evolução da gestão de riscos.
Em que em 2013 a prioridade era impedir que responsabilidades críticas permanecessem sem proprietário ou se confundissem entre áreas, enquanto que em 2020 o modelo reconheceu que riscos não são apenas ameaças, mas elementos inseparáveis da criação de valor e da execução da estratégia. Já em 2026 o foco se desloca para a integração das diferentes perspectivas de asseguração e aconselhamento que sustentam a confiança do conselho nas informações recebidas.
A nova versão não enfraquece a independência da auditoria interna, pelo contrário procura protegê-la de forma mais realista, reconhecendo que independência não exige isolamento, mas exige limites claros, transparência, autoridade, recursos e salvaguardas contra autorrevisão.
Também não reduz a importância da segunda linha, mas reconhece seu valor especializado, sua capacidade de identificar padrões sistêmicos e riscos emergentes e sua contribuição para o questionamento qualificado da primeira linha.
E não retira a responsabilidade da primeira linha. Pois nenhuma metodologia, política, área de riscos, auditoria ou consultoria externa substitui a responsabilidade de quem decide, opera e assume riscos em nome da empresa.
O modelo atualizado mostra que governança eficaz não nasce da multiplicação de controles, relatórios ou departamentos, mas nasce da combinação entre responsabilidades claras, informações confiáveis, questionamento competente, independência protegida e coordenação inteligente.
As três linhas não devem funcionar como muralhas isoladas, mas devem formar uma arquitetura de confiança na qual cada parte conhece seu papel, compreende suas limitações e contribui para que o conselho consiga enxergar a empresa como ela realmente é, e seus resultados, suas vulnerabilidades, seus riscos emergentes e sua capacidade de responder às mudanças.
O verdadeiro sinal de maturidade não é poder apontar três caixas em um organograma, mas é sim demonstrar que os riscos são assumidos conscientemente, administrados por quem possui autoridade para agir, questionados por especialistas, avaliados de forma independente e comunicados ao conselho com clareza suficiente para sustentar decisões responsáveis.
Essa é a transformação central promovida pelo novo documento do IIA, em que o "Modelo das Três Linhas de Defesa" deixa de ser apenas um mapa de funções e se consolida como um sistema integrado de accountability, asseguração e aconselhamento a serviço da governança efetiva e da criação sustentável de valor.
Para melhor ilustrar estes conceitos e pontos acima, preparei uma apresentação didática, que pode acessar online no link abaixo. Caso queira que eu faça uma palestra assim para seu time na sua empresa, me procurem que tento ajudar.
https://gamma.app/docs/O-Novo-Modelo-das-Tres-Linhas-de-Defesa-do-IIA-f7m9jfjs99210rv
Podem acessar este novo documento original atualizado na versão 2026 (em inglês) em:
Registro consultado na Okai.
