Auditoria de banco digital: quando e como contratar

A auditoria de banco digital é exigida conforme a licença: banco, instituição de pagamento ou SA de grande porte. Veja quando contratar e o que inclui.

A auditoria de banco digital é a auditoria independente das demonstrações financeiras e dos controles de uma instituição que oferece serviços bancários por canais digitais, sem agência física. O termo "banco digital" reúne modelos com licenças bem diferentes: há quem opere com licença bancária plena concedida pelo Banco Central, há quem funcione como instituição de pagamento, e há quem seja sociedade de crédito direto. A licença define o regime de auditoria, e é por isso que a primeira pergunta de quem vai contratar não é "quanto custa", mas "sob qual enquadramento eu estou". Este artigo responde ao que importa para a decisão de compra: quando a auditoria é obrigatória, o que ela inclui, quanto tempo leva, o que faz o custo variar e como escolher o auditor.

Antes de detalhar cada ponto, vale situar o serviço. A auditoria independente de um banco digital examina se as demonstrações refletem com fidelidade o patrimônio e o resultado, com atenção especial à carteira de crédito e suas provisões, à segregação de recursos de clientes, à receita de intermediação e de tarifas, e aos controles de tecnologia e de prevenção à lavagem de dinheiro que sustentam uma operação inteiramente digital. Como o enquadramento mais adequado depende da licença e do porte de cada instituição, o caminho para tratar do escopo do seu caso é o contato.

O ponto de partida é entender que a auditoria não é uma escolha de marketing, e sim uma consequência do modelo regulatório em que o banco digital opera. Um mesmo aplicativo que o cliente vê como "banco" pode ser, por trás, um banco múltiplo, uma instituição de pagamento ou uma financeira, e cada um desses desenhos aciona uma base normativa diferente para a obrigação de auditar.

Quando a auditoria é obrigatória e quem exige

A obrigação de auditar as demonstrações de um banco digital nasce de fontes distintas, que convém separar. A primeira é regulatória e depende da licença. Se a instituição tem licença bancária, isto é, opera como banco comercial, banco múltiplo ou banco de investimento, ela está plenamente sujeita ao arcabouço do Banco Central: elabora demonstrações no padrão contábil das instituições reguladas, é auditada por auditor independente registrado na Comissão de Valores Mobiliários e, conforme o porte e o segmento prudencial, precisa constituir comitê de auditoria e observar rodízio do responsável técnico pela auditoria. Se o "banco digital" é, na verdade, uma instituição de pagamento ou uma sociedade de crédito direto, a auditoria também é exigida pela regulação do Banco Central aplicável a cada tipo, com o escopo ajustado à atividade.

A segunda fonte é societária. Um banco digital constituído como sociedade anônima de grande porte, com receita bruta anual superior a R$ 300 milhões ou ativo total acima de R$ 240 milhões, está sujeito à auditoria independente das demonstrações por força da Lei nº 11.638, de 2007, mesmo que ainda não tenha alcançado a licença bancária plena. A terceira fonte é contratual e de mercado. Parceiros bancários, arranjos de pagamento e provedores de infraestrutura passaram a exigir demonstrações auditadas como condição de integração; investidores de rodadas de captação pedem o mesmo; e a própria captação via emissão de dívida ou a preparação para uma eventual abertura de capital tornam a auditoria um pré-requisito. Na prática, um banco digital em crescimento costuma encontrar a auditoria como condição de confiança antes mesmo de a obrigação formal incidir.

O que o trabalho inclui na prática

A auditoria de um banco digital combina o exame padrão de demonstrações com procedimentos específicos de uma operação intensiva em tecnologia e em crédito. No núcleo comum estão o teste das contas patrimoniais e de resultado, a avaliação dos controles internos relevantes, a análise das estimativas contábeis e a verificação das divulgações. O que dá identidade ao trabalho é o conjunto de temas próprios de quem faz banco por meio de aplicativo.

A carteira de crédito costuma ser o ponto de maior atenção. O auditor examina a concessão, a classificação e, sobretudo, a provisão para perdas esperadas, área de julgamento elevado e de forte dependência de modelos e dados. Em seguida vêm a segregação e a guarda dos recursos de clientes, a integridade e o reconhecimento das receitas de intermediação e de tarifas, e a conciliação dos fluxos com arranjos de pagamento e infraestruturas de liquidação. Como toda a operação roda sobre sistemas, os controles gerais de tecnologia, a segurança da informação e a proteção de dados entram no escopo com peso maior do que em um negócio tradicional. Fecham o conjunto os controles de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, essenciais em uma instituição que abre contas e movimenta recursos a distância.

Prazo típico e o que o cliente precisa entregar

O prazo depende do porte e da maturidade dos controles, mas um trabalho anual costuma se organizar em duas fases: uma etapa de planejamento e avaliação de controles ao longo do exercício e uma etapa de exame das demonstrações após o fechamento. Para uma instituição de porte médio com controles organizados, é comum que o ciclo completo leve de alguns meses, considerando a fase intermediária e a fase final. Quanto mais cedo o auditor entra, menor o congestionamento no fechamento.

Do lado do cliente, a entrega que mais acelera o trabalho é a base documental organizada: demonstrações e balancetes, políticas contábeis, memórias de cálculo das provisões, extratos e conciliações das contas de clientes, relatórios dos sistemas de crédito e de pagamentos, documentação dos controles de tecnologia e dos controles de prevenção à lavagem de dinheiro, e as atas de governança. Uma instituição que mantém essa documentação em dia encurta o prazo e reduz o custo.

O que faz o custo variar

Não há preço único, e desconfiar de quem oferece um. O custo varia com o porte da instituição, medido por ativos, carteira de crédito e volume transacionado; com a complexidade do modelo, já que um banco digital com crédito próprio, cartão e conta exige mais do que um modelo mais simples; com a maturidade dos controles internos, pois controles frágeis aumentam a extensão dos testes; com a arquitetura de tecnologia e o grau de terceirização de sistemas; e com o enquadramento regulatório, que define o padrão contábil e o escopo. O critério honesto é este: o custo acompanha o esforço de horas técnicas necessário para sustentar a opinião com segurança, e esse esforço é maior quanto maiores o porte, a complexidade e a fragilidade dos controles.

Como escolher o auditor, com critério verificável

A escolha do auditor de um banco digital deve passar por critérios que se possam verificar. O primeiro é o registro: o auditor independente precisa estar registrado na Comissão de Valores Mobiliários e, para instituições reguladas, habilitado a atuar nesse universo. O segundo é a experiência específica no setor financeiro digital, com times que conheçam carteira de crédito, provisões, arranjos de pagamento e controles de tecnologia, e não apenas auditoria genérica. O terceiro é a capacidade de auditar ambientes intensivos em tecnologia, com especialistas em sistemas e em segurança da informação. O quarto é a independência efetiva, sem conflitos que contaminem a opinião. E o quinto é a solidez metodológica, com uma abordagem baseada em risco documentada e coerente com as normas de auditoria. Pedir referências no setor e entender como o auditor trata a provisão de crédito e os controles de tecnologia diz mais sobre a qualidade do trabalho do que qualquer promessa comercial.

O que acontece se não fizer

Deixar de auditar quando há obrigação tem consequências concretas. Para a instituição regulada, a ausência de demonstrações auditadas é descumprimento perante o Banco Central, com risco de sanção, restrição e desgaste no processo de supervisão. Para a sociedade de grande porte, é descumprimento da Lei nº 11.638. Além do plano formal, há o custo de mercado: parceiros bancários, arranjos de pagamento e investidores condicionam a relação à existência de auditoria, e a falta dela trava captações, integrações e a agenda de crescimento. Uma demonstração não auditada também fragiliza a governança interna, porque priva o conselho e os sócios de uma verificação independente sobre os números que embasam suas decisões.

Perguntas frequentes

Todo banco digital é obrigado a ter auditoria independente?

Depende do enquadramento. Se opera com licença bancária, como instituição de pagamento ou como sociedade de crédito direto, a auditoria é exigida pela regulação do Banco Central. Se é sociedade anônima de grande porte, é exigida pela Lei nº 11.638, mesmo sem licença bancária.

Qual a diferença entre auditar um banco digital com licença bancária e um que é instituição de pagamento?

O padrão contábil e o escopo mudam. O banco com licença plena segue o arcabouço das instituições reguladas, com exigências como comitê de auditoria conforme o porte. A instituição de pagamento segue o regime próprio da IP, com foco na segregação de recursos de clientes e nas contas de pagamento.

A auditoria examina os sistemas e a segurança da informação?

Sim. Como toda a operação de um banco digital roda sobre tecnologia, os controles gerais de TI, a segurança da informação e a proteção de dados entram no escopo com peso relevante, muitas vezes com apoio de especialistas.

Quanto tempo leva a auditoria de um banco digital?

Varia com o porte e a maturidade dos controles. Um ciclo anual costuma combinar uma fase intermediária ao longo do exercício e uma fase final após o fechamento, e a organização prévia da documentação reduz o prazo.

O que mais pesa no custo da auditoria?

Porte, complexidade do modelo, maturidade dos controles internos, arquitetura de tecnologia e enquadramento regulatório. O custo acompanha o esforço técnico necessário para sustentar a opinião, e não deve ser apresentado como número fechado antes de conhecer a operação.

Como começar a contratar?

O primeiro passo é mapear o enquadramento e o porte da instituição para definir o escopo correto. A partir daí, o auditor dimensiona o trabalho, o prazo e a base documental necessária. Para tratar do seu caso, o caminho é o contato com a MERC.