Auditoria interna vs externa — 10 diferenças que você precisa conhecer

Auditoria interna vs externa: comparativo em 10 critérios — objetivos, escopo, independência, custo e quando contratar cada uma ou as duas.

Resumo

• Auditoria externa serve usuários externos (investidores, reguladores, bancos) e foca em demonstrações financeiras.

• Auditoria interna serve a alta administração e foca em processos, controles e governança.

• A independência da auditoria externa é regulada por normas (NBC PA 290); a auditoria interna é independente da gestão, mas faz parte da organização.

• As duas se complementam — não se substituem. Empresa que tem apenas uma tem cobertura parcial.

O que cada auditoria faz e para quem

A auditoria externa, também chamada de auditoria independente, é executada por firma contratada externamente para emitir parecer sobre as demonstrações financeiras. O usuário previsto desse parecer é externo à organização — acionistas minoritários, investidores potenciais, bancos credores, órgãos reguladores como CVM e Banco Central. A norma fundamental é a NBC TA (convergente com as ISAs internacionais), e a emissão de parecer só pode ser feita por contador registrado no CRC, com firma registrada na CVM quando o cliente é companhia aberta.

A auditoria interna, por outro lado, é executada por equipe própria ou terceirizada que reporta à alta administração e ao comitê de auditoria. Seu propósito é fornecer avaliação independente sobre eficácia de processos, controles, gerenciamento de risco e governança. O usuário previsto é interno — diretoria executiva, comitê de auditoria, conselho. A norma de referência é o IPPF doIIA - Institute of Internal Auditors, com adaptações brasileiras viaIIA Brasil.

A grande confusão começa porque ambas se chamam "auditoria" e ambas envolvem teste, documentação e relatório. A semelhança termina aí. Para uma comparação detalhada dos modelos de auditoria interna, recomendamos nosso artigo sobreauditoria interna — estruturar ou terceirizar.

Comparativo em 10 critérios

A tabela abaixo é a forma mais clara de visualizar as diferenças. Cada linha representa um critério distinto, e a leitura horizontal expõe por que as duas funções não se substituem.

Os custos acima são referência para empresas de médio porte no Brasil em 2026 e variam significativamente com setor, complexidade e exigência regulatória. Empresas listadas e instituições financeiras estão na faixa superior; empresas privadas em primeira auditoria, na inferior.

Vale destacar especificamente o critério de independência. A independência do auditor externo é regulada por norma específica (NBC PA 290 e suas atualizações), que define vedações concretas — não pode prestar serviços de contabilidade ao mesmo cliente, não pode ter participação financeira, não pode ter vínculo familiar com administradores chave. A independência do auditor interno é estrutural e funcional: ele responde ao comitê de auditoria ou conselho, não à gestão executiva. As duas formas de independência são reais, mas diferentes em natureza.

Quando contratar uma, outra ou ambas

A decisão depende do estágio da empresa, da regulação aplicável e do nível de governança desejado.

Empresas que devem ter auditoria externa.Companhias abertas (obrigatório CVM), instituições financeiras (obrigatório Banco Central), sociedades anônimas de capital fechado conforme Lei 6.404 (com porte relevante), empresas com financiamento bancário que exija parecer, empresas com investidor institucional, e empresas em preparação para venda ou IPO. O contrato daauditoria independenteprecisa ser feito com firma registrada na CVM quando a empresa for emissora de valores mobiliários, e com firma cadastrada no Banco Central quando for instituição financeira.

Empresas que devem ter auditoria interna.Instituições financeiras (obrigatório CMN 4.879), fintechs reguladas (SCDs, IPs, IFs), companhias abertas com comitê de auditoria estatutário, empresas com receita acima de R$ 300-500 milhões em setores não regulados, e empresas com operações complexas que exigem segunda linha de defesa robusta. A função pode ser interna, terceirizada ou em modelo de co-sourcing, conforme conveniente.

Empresas que devem ter ambas.Praticamente todas as empresas listadas, todas as instituições financeiras, e a maioria das empresas em fase pré-IPO ou que recebem investimento institucional. A complementaridade é evidente — a auditoria externa dá conforto ao mercado sobre os números; a auditoria interna dá conforto ao board sobre processos e riscos.

Empresas que podem ter só auditoria externa por enquanto.Empresas privadas de médio porte sem regulação específica, sem investidor institucional, com operação simples e em estágio inicial de profissionalização. Conforme crescem, vão precisando da segunda função.

Para empresas que estão começando a estruturar a função de auditoria externa pela primeira vez, vale ler nosso material sobre como saber sesua empresa está pronta para auditoria.

Como as duas trabalham juntas (e por que isso importa)

Em empresas com ambas as funções implementadas, a articulação entre auditoria interna e externa é fonte de eficiência. A auditoria externa pode aproveitar trabalho da auditoria interna em áreas onde esta tenha realizado testes de controle relevantes, conforme permitido pela NBC TA 610. Isso reduz duplicação de esforço e otimiza honorários externos.

A condição é que a auditoria interna tenha qualidade suficiente — competência, independência apropriada, abordagem sistemática. O auditor externo precisa avaliar e documentar essa qualidade antes de confiar no trabalho. Em empresas onde a função interna ainda está em construção, essa avaliação é etapa importante do planejamento da auditoria externa.

A outra dimensão da articulação é compartilhamento de informação. Auditoria interna identifica deficiências de controle ao longo do ano e endereça com a gestão. Auditoria externa, no fim do ciclo, encontra menos surpresas porque os controles foram avaliados continuamente. O resultado é parecer mais limpo, menos ajustes de auditoria e processo mais previsível. Empresas que vivem esse ciclo virtuoso costumam combinar auditoria comrevisão de controles internos e governançarecorrente.

A regulação no Brasil reconhece formalmente essa articulação. A Resolução CMN 4.879 exige que a auditoria interna de instituições financeiras tenha relacionamento estruturado com a auditoria externa, incluindo reuniões periódicas e compartilhamento de planos e relatórios. Para companhias abertas, o regulamento da CVM define que o comitê de auditoria seja o canal de articulação entre as duas funções.

Erros comuns na contratação

Achar que auditoria externa cobre o trabalho de auditoria interna.Não cobre. Auditoria externa testa controles na medida do necessário para opinar sobre as DFs — geralmente em um conjunto bem mais restrito do que aquilo que a auditoria interna deveria cobrir. Empresa que dispensa interna esperando que a externa supra fica com gaps relevantes.

Achar que auditoria interna substitui a externa.Também não substitui. Auditoria interna não tem (nem precisa ter) independência regulada para emitir parecer público sobre DFs. Acionistas, reguladores e bancos credores não aceitam parecer interno como substituto.

Contratar a mesma firma para as duas funções em empresa regulada.Conflito de independência. Em companhia aberta e instituição financeira, normalmente vedado. Em empresa privada, possível em algumas configurações, mas exige avaliação cuidadosa.

Tratar relatórios da auditoria interna como mera formalidade.Empresa que recebe relatório, agradece e arquiva sem follow-up estruturado de recomendações está pagando pela função sem capturar valor. Auditoria interna sem follow-up é gasto, não investimento — e emcontexto de vendao comprador vai descobrir isso e descontar.

Subestimar custo total da função interna.Como detalhamos em texto separado, o custo real de uma estrutura interna vai além do salário do auditor — inclui metodologia, ferramentas, treinamentoIBRACONe IIA, supervisão.

Como a MERC pode ajudar

A MERC oferece tantoauditoria independentequantoauditoria interna terceirizada. Embora não atuemos nas duas funções para um mesmo cliente em situações com restrição de independência, articulamos as duas frentes em empresas onde a auditoria externa é executada por outra firma. Atendemos fintechs, SCDs, instituições de pagamento, companhias abertas e empresas em crescimento. Conheça aMERC Audit & Advisorye fale com nossa equipe pelocanal de contato.

FAQ

Posso ter a mesma firma fazendo auditoria interna e externa?

Em empresa regulada (CVM ou BC), geralmente não. Em empresa privada não regulada, é possível com segregação rigorosa, mas avalie alternativas.

Auditoria interna pode emitir parecer sobre demonstrações financeiras?

Não. Apenas a auditoria externa independente pode emitir parecer formal para usuários externos.

A auditoria interna é obrigatória?

Para instituições financeiras (CMN 4.879) e companhias abertas com estatutos específicos, sim. Para outras empresas, é decisão de governança.

Posso terceirizar auditoria interna mantendo auditoria externa?

Sim, e é configuração comum. Apenas evite ter a mesma firma fazendo as duas em situações de restrição de independência.

Qual a frequência típica da auditoria externa?

Anual para a maioria, com revisões trimestrais (ITR) em companhias abertas. Algumas regulações pedem auditoria semestral.

Quem aprova o plano de auditoria interna?

Comitê de auditoria ou conselho de administração. A diretoria executiva é objeto da auditoria, não quem aprova seu plano.

A auditoria interna avalia o trabalho da auditoria externa?

Não diretamente. Mas o comitê de auditoria, com apoio da auditoria interna, supervisiona o relacionamento com a auditoria externa.

É possível ter auditoria externa sem ter auditoria interna?

Sim, e é o caso da maioria das empresas privadas brasileiras. As duas funções entram em momentos diferentes da maturidade da empresa.

Baixar PDF gratuito →