Auditoria
Auditoria interna — estruturar in-house ou terceirizar? Guia completo
27 de maio de 2026
A decisão entre estruturar uma auditoria interna própria ou terceirizar a função é uma das mais relevantes em governança corporativa hoje no Brasil, especialmente para empresas em crescimento que estão saindo do estágio de startup e entrando em fase de profissionalização. Há respostas certas para perfis diferentes de empresa, e a escolha errada custa caro — tanto em dinheiro quanto em qualidade da segunda linha de defesa.
Resumo
Auditoria interna in-house faz sentido a partir de certa escala (geralmente acima de R$ 500 milhões de receita) e em setores altamente regulados.
Terceirização (full outsourcing) é mais eficiente para empresas em fase inicial de estruturação ou com escopo limitado.
Co-sourcing combina equipe interna pequena com auditores externos especialistas e tem sido o modelo mais adotado em fintechs e empresas em crescimento.
O custo total real de uma estrutura própria vai além do salário do auditor — inclui CAPEX em metodologia, ferramentas, treinamentos IIA e supervisão.
O que é auditoria interna e por que ela importa
A auditoria interna é a terceira linha de defesa no modelo de governança consagrado pelo IIA (Institute of Internal Auditors). Sua função é fornecer avaliação independente e objetiva à alta administração e ao conselho sobre a eficácia dos processos de gerenciamento de risco, controle e governança. Diferentemente da auditoria externa, que se preocupa primariamente com a confiabilidade das demonstrações financeiras, a auditoria interna tem escopo amplo: processos operacionais, conformidade regulatória, segurança da informação, eficiência, fraude, integridade de dados.
No Brasil, a função ganhou tração regulatória nos últimos anos. O Banco Central exige auditoria interna estruturada para instituições financeiras viaResolução CMN 4.879, com escopo mínimo definido. A CVM exige comitês de auditoria com supervisão sobre auditoria interna em companhias abertas. Em fintechs reguladas como SCDs e instituições de pagamento, a função é mandatória — e o regulador olha com cuidado se ela é efetiva ou meramente formal.
Empresas que ainda não têm exigência regulatória costumam descobrir a necessidade da auditoria interna em um de três momentos: quando preparam uma rodada de captação relevante, quando recebem uma proposta de M&A, ou após um incidente de fraude. Em todos os casos, descobrir a necessidade nesses momentos é tarde — a função leva tempo para amadurecer. Nossa equipe deauditoria internafrequentemente é chamada justamente para acelerar essa maturação.
Modelos disponíveis — comparativo direto
Existem essencialmente três modelos para a função de auditoria interna, e cada um atende a um perfil de empresa diferente.
Critério | In-house (estrutura própria) | Outsourcing (terceirização total) | Co-sourcing (modelo híbrido) |
|---|---|---|---|
Custo anual típico (Brasil, médio porte) | R$ 1,2 mi a R$ 3 mi | R$ 300 mil a R$ 800 mil | R$ 600 mil a R$ 1,5 mi |
Profundidade do conhecimento do negócio | Alta | Baixa a média | Média a alta |
Acesso a especialistas (TI, fraude, dados) | Limitado ao perfil contratado | Amplo, mas pontual | Amplo, sob demanda |
Velocidade de implementação | 6 a 12 meses | 30 a 60 dias | 60 a 120 dias |
Continuidade e memória institucional | Alta | Baixa | Média a alta |
Independência percebida | Boa, se reportar ao conselho | Excelente | Excelente |
Flexibilidade de escopo | Baixa (recursos fixos) | Alta | Alta |
Aderência a IIA / IPPF | Depende do CAE contratado | Garantida pela firma | Garantida pela firma |
Risco de turnover | Alto (mercado caro) | Inexistente | Baixo |
Indicado para | Bancos médios e grandes, grupos com várias unidades | Empresas em primeira estruturação, médio porte | Fintechs em crescimento, SCDs, empresas pré-IPO |
A escolha entre os modelos raramente é binária. Empresas que começam com outsourcing puro frequentemente evoluem para co-sourcing após dois ou três ciclos anuais, conforme contratam um líder interno (CAE — Chief Audit Executive) e mantêm a firma externa como provedora de braços especializados. Para empresas que ainda não conseguem suportar o custo de um CAE sênior, recomendamos começar pelo outsourcing puro com plano de transição definido — abordagem que costuma ser desenhada em conjunto com nossa frente derevisão de controles internos e governança.
Como estruturar uma função in-house do zero
Decidir por estrutura própria implica investimento e disciplina. Os passos a seguir resumem o que vimos funcionar em projetos reais de empresas brasileiras.
Passo 1 — Definir o estatuto e o reporte.O documento mais importante é o estatuto da auditoria interna, que define propósito, autoridade, responsabilidade e independência. O reporte funcional precisa ser ao conselho ou comitê de auditoria, com reporte administrativo ao CEO — nunca o contrário. Sem isso, a função não terá independência real.
Passo 2 — Contratar o CAE.O Chief Audit Executive (ou superintendente de auditoria interna) é a contratação mais crítica. Perfil esperado: 10 a 15 anos de experiência, certificação CIA do IIA, conhecimento do setor de atuação da empresa. Salário de mercado em São Paulo para 2026: entre R$ 35 mil e R$ 70 mil mensais, dependendo do porte da empresa, mais bônus e benefícios. Para perfis com menor senioridade, vale considerar trazer um especialista externo como mentor.
Passo 3 — Construir a metodologia.Adoção do IPPF (International Professional Practices Framework) do IIA, manual de auditoria, templates de papéis de trabalho, política de avaliação de risco. Muitas empresas economizam aqui adotando metodologia de uma firma externa via assinatura ou contratando consultoria pontual para implantação.
Passo 4 — Dimensionar a equipe.Regra prática: 1 auditor para cada R$ 200-400 milhões de receita em empresas não financeiras, e 1 para cada R$ 100-200 milhões em instituições financeiras. Composição típica: 1 CAE, 1 gerente, 2-3 seniors, 1-2 plenos, 1 estagiário. Incluir competência em TI/dados — hoje é praticamente obrigatória.
Passo 5 — Plano anual baseado em risco.A função precisa entregar um plano anual aprovado pelo conselho, com universo auditável mapeado, matriz de risco e cronograma. Este é o produto que diferencia auditoria interna efetiva de "polícia interna" reativa. Em projetos onde detectamos lacunas relevantes, complementamos com umdiagnóstico e adequação regulatóriapara fechar a base mínima exigida pelo regulador.
Quando terceirizar faz mais sentido
A terceirização da auditoria interna deixou de ser visto como solução de segunda categoria. Para empresas com receita entre R$ 100 e R$ 800 milhões, ou em setores pouco regulados, o outsourcing oferece vantagens objetivas: custo previsível, acesso a uma equipe multidisciplinar (TI, dados, fraude, contabilidade) sem precisar contratar especialistas dedicados, e zero risco de turnover na função.
O ponto crítico é a escolha da firma. Não é qualquer empresa de auditoria externa que faz bem auditoria interna — são produtos diferentes, com metodologias diferentes, e independência diferente. A norma brasileira (NBC TA 220 e regulamentação CVM) restringe o que uma firma de auditoria externa pode oferecer ao mesmo cliente, então auditoria externa e interna geralmente precisam vir de firmas distintas em companhias abertas.
Outro elemento subestimado é o nível de envolvimento do cliente. Mesmo na terceirização total, alguém na empresa precisa ser o ponto focal da função — geralmente o CFO, controller ou o comitê de auditoria. Sem esse interlocutor, os relatórios da firma externa viram letra morta. Já vimos isso destruir o ROI do investimento em projetos onde a empresa tratava o auditor externo como "consultor que entrega PDF". Esse risco também aparece com frequência emdemonstrações financeiras com erros estruturaisque poderiam ter sido evitados com supervisão ativa.
Co-sourcing — o modelo que tem ganhado força
O co-sourcing é o modelo mais flexível e tem se tornado padrão entre fintechs em escala e empresas pré-IPO no Brasil. A estrutura típica: um CAE interno (e às vezes 1-2 auditores plenos), com uma firma externa contratada para fornecer recursos especializados sob demanda — testes de TI, análise forense, dados, regulatório específico, ou simplesmente capacidade adicional em períodos de pico.
As vantagens são evidentes: a empresa mantém memória institucional via CAE interno, mas evita o custo fixo de uma equipe grande. Em ciclos de auditoria curtos (1-2 meses por engajamento), pode mobilizar uma equipe de 4-6 pessoas sem precisar mantê-las contratadas o ano todo. Conhecimento de mercado e benchmarking também ficam mais acessíveis pela exposição contínua à firma externa.
A desvantagem está na governança contratual: é preciso ter clareza sobre quem responde pelo quê. Quem assina o relatório? Quem é responsável pela conclusão? Quem responde ao regulador em caso de questionamento? O contrato precisa ser explícito. Empresas reguladas pelo Banco Central precisam atender ao artigo 6º daResolução CMN 4.879, que define responsabilidades em modelo terceirizado ou híbrido.
Erros comuns e como evitá-los
O erro mais frequente é tratar auditoria interna como custo, não como investimento. Empresas que cortam o orçamento da função na primeira pressão por resultado descobrem o valor dela apenas quando enfrentam uma fraude, multa regulatória ou descoberta tardia em due diligence de M&A. Quando isso acontece em processo de venda, o problema vira destruidor devaluation.
O segundo erro é confundir auditoria interna com compliance ou controles. São funções complementares, mas distintas. Compliance estabelece e monitora; auditoria interna avalia se o que foi estabelecido funciona. Misturar as duas em uma única estrutura compromete a independência.
O terceiro erro é não atualizar o plano anual conforme o negócio muda. Auditoria interna que executa o mesmo plano por três anos consecutivos sem revisão não está fazendo seu trabalho — o universo de risco muda, e o plano precisa acompanhar.
Como a MERC pode ajudar
A MERC ofereceauditoria interna terceirizada e co-sourcingpara fintechs, SCDs, instituições de pagamento e empresas em crescimento. Trabalhamos com metodologia aderente ao IPPF do IIA, adaptada à realidade regulatória brasileira. Para empresas que querem estruturar função própria, oferecemos consultoria de implantação, recrutamento do CAE e mentoria nos primeiros ciclos. Conheça aMERC Audit & Advisorye entre emcontato.
FAQ
Auditoria interna terceirizada serve para empresa regulada pelo Banco Central?
Sim, desde que o contrato atenda aos requisitos da Resolução CMN 4.879, incluindo responsabilização, acesso e independência.
Qual o custo médio de uma auditoria interna terceirizada para uma SCD?
Entre R$ 250 mil e R$ 600 mil anuais, dependendo do porte, complexidade dos produtos e escopo do plano anual aprovado.
Posso ter o mesmo auditor externo fazendo auditoria interna?
Em empresa não regulada, sim — desde que os trabalhos sejam segregados. Em companhia aberta e instituição financeira, normalmente não, por restrições de independência.
Quanto tempo leva para implantar auditoria interna do zero?
6 a 12 meses para função in-house madura; 60 a 90 dias para começar a operar em modelo terceirizado.
Preciso ter comitê de auditoria para ter auditoria interna?
Não obrigatoriamente, mas a função funciona muito melhor com um comitê ou pelo menos um conselheiro independente como interlocutor.
O que diferencia auditoria interna boa de ruim?
Plano baseado em risco real, equipe competente, reporte direto ao conselho, follow-up rigoroso de recomendações e métricas de impacto — não apenas número de relatórios emitidos.
A função pode ser feita por um único profissional?
Para empresas pequenas, sim, especialmente se complementado por especialistas pontuais. Acima de certo porte, vira gargalo e perde efetividade.
