CTA 30 e não conformidade com leis e regulamentos: o que muda na prática da auditoria (NOCLAR)

CTA 30 do CFC orienta o auditor sobre não conformidade com leis e regulamentos (NOCLAR): NBC TA 250 e 240, respostas e deveres da governança.

Resumo

• O CTA 30(DOU de 1º/jul/2026) consolida a orientação do CFC sobre NOCLAR: como o auditor independente deve identificar, avaliar, responder e comunicar casos de não conformidade ou suspeita de não conformidade com leis e regulamentos.

• A base normativa não é nova:NBC TA 250 distingue leis com efeito direto nas demonstrações (tributárias, trabalhistas, societárias) de leis cujo descumprimento tem efeito indireto mas potencialmente relevante (regulatórias, ambientais, anticorrupção);NBC TA 240 cobre o subconjunto fraude.

• O auditor não é investigador nem autoridade— mas tem deveres escalonados: obter entendimento, avaliar o efeito nas demonstrações e no relatório, comunicar à governança e, em situações previstas em lei ou regulação, a autoridades externas.

• Para administradores e comitês de auditoria, o CTA 30 é um lembrete de mão dupla: a resposta da companhia a um achado de não conformidade — investigação interna, quantificação, provisão, divulgação — é tão observada quanto o achado em si.

O que a NBC TA 250 realmente exige — e o que não exige

A distinção central da norma é entre dois universos legais. No primeiro estão as leis e regulamentos com efeito direto na determinação de valores e divulgações relevantes — o auditor deve obter evidência apropriada e suficiente sobre a conformidade com elas, porque errar aqui é errar o número. No segundo estão as demais leis e regulamentos, cujo descumprimento não muda diretamente uma linha do balanço, mas pode ser fundamental para a operação continuar existindo: licenças, autorizações regulatórias, regras de conduta setoriais, legislação anticorrupção. Para esse universo, o dever do auditor é de alerta qualificado — indagar a administração e a governança, inspecionar correspondências com autoridades e permanecer atento, ao longo de toda a auditoria, a indícios de que algo foi descumprido.

O que a norma não faz é transformar o auditor em fiscal universal. A auditoria não é desenhada para detectar todo descumprimento legal — muitos não têm relação com a informação contábil e ficam fora do alcance de procedimentos sobre demonstrações. O CTA 30 reforça esse enquadramento, que protege as expectativas de todos os lados: nem a administração pode terceirizar seu compliance ao auditor, nem o usuário da demonstração deve ler a opinião limpa como atestado de legalidade integral da companhia.

O fluxo de resposta: do indício ao relatório

Quando o indício aparece — numa conciliação, numa ata, numa notificação regulatória, num canal de denúncias mencionado em entrevista —, a sequência esperada do auditor tem etapas definidas.

Primeiro,entender: natureza do ato, circunstâncias, envolvidos, período. Segundo,avaliar o efeito potencial nas demonstrações — multas, sanções, provisões (CPC 25), passivos contingentes, perda de licença com efeito em continuidade (NBC TA 570), e o efeito dominó sobre a confiabilidade de outras representações da administração. Terceiro,discutir com o nível apropriado— administração e, obrigatoriamente, com os responsáveis pela governança quando o assunto é relevante; se o indício envolve a própria alta administração, a conversa sobe de instância, não desce. Quarto,avaliar o relatório: distorção relevante não corrigida leva a opinião modificada; limitação imposta à obtenção de evidência leva a ressalva ou abstenção; em cenários extremos, a norma contempla a renúncia ao trabalho. Quinto — e é aqui que o tema ganhou densidade internacional na última década —,avaliar deveres de comunicação a terceiros: no Brasil, hipóteses previstas em lei ou regulação específica, como as comunicações do auditor a reguladores de mercados supervisionados em situações determinadas.

O CTA 30 organiza exatamente esse percurso, com ênfase em documentação: o que foi identificado, como foi avaliado, com quem foi discutido, o que a companhia fez e como isso afetou (ou não) a opinião. Em inspeção de qualidade e em eventual questionamento posterior, a diferença entre um auditor bem posicionado e um auditor exposto é a trilha documental desse fluxo.

A interseção com fraude — e com a governança da companhia

Nem toda não conformidade é fraude, mas toda fraude com efeito contábil é uma não conformidade. Quando o indício envolve intencionalidade — registro deliberadamente falso, ocultação, conluio —, a NBC TA 240 assume o comando: ceticismo reforçado, procedimentos com elemento de imprevisibilidade, reavaliação do risco em todas as áreas correlatas e nova leitura das representações já recebidas. Um achado de corrupção, por exemplo, raramente fica confinado à linha em que foi encontrado: ele contamina a avaliação de controles, a confiança nas explicações da administração e o risco atribuído a estimativas subjetivas.

Do lado da companhia, o espelho é imediato. A resposta esperada da governança a um achado NOCLAR — próprio ou trazido pelo auditor — inclui investigação independente com escopo adequado, quantificação de exposição, avaliação de provisão ou divulgação de contingência, remediação de controles e, quando aplicável, autorreporte a autoridades. Comitês de auditoria que tratam o tema como assunto jurídico exclusivamente, sem reflexo tempestivo nas demonstrações, criam para si o pior dos cenários: o ajuste forçado, na undécima hora, sob pressão do relatório do auditor.

Caso anonimizado

Em uma instituição supervisionada de médio porte, a equipe de auditoria identificou, durante procedimentos sobre despesas, pagamentos recorrentes a prestador de serviços sem contrato formal nem evidência de entrega. A administração classificou o apontamento como falha administrativa. A aplicação do fluxo da NBC TA 250 — entendimento das circunstâncias, avaliação de envolvidos e escalonamento à governança — levou o comitê de auditoria a contratar investigação independente, que identificou esquema de pagamentos irregulares com potencial enquadramento em legislação anticorrupção. O desfecho contábil envolveu provisão para sanções, divulgação de contingência e refazimento de controles de contratação; o desfecho de auditoria, ênfase e comunicação formal à governança devidamente documentada. O caso ilustra o ponto central do CTA 30: o auditor não conduziu a investigação — mas foi o gatilho qualificado dela, porque seguiu o protocolo em vez de aceitar a primeira explicação.

Como a MERC pode ajudar

A MERC é a primeira e única empresa de auditoria especializada no mercado financeiro brasileiro — precisamente o ambiente em que a densidade regulatória torna o NOCLAR um risco de primeira ordem. A MERC Audit & Advisory incorpora o protocolo das NBC TA 250 e 240, agora consolidado pelo CTA 30, à metodologia de auditoria e de asseguração em entidades supervisionadas por CVM, BCB e SUSEP. Para administrações e comitês de auditoria, a equipe apoia o desenho de fluxos de resposta a achados de não conformidade — da avaliação de relevância contábil à interação com o auditor independente —, além de diagnósticos de prontidão de compliance financeiro e da revisão de provisões e contingências associadas a temas regulatórios.

FAQ

O que é NOCLAR?

É a sigla internacional para non-compliance with laws and regulations— atos de não conformidade, intencionais ou não, com leis e regulamentos, cometidos pela entidade, pela governança, pela administração ou por pessoas que trabalham sob sua direção. No Brasil, o tema é tratado pela NBC TA 250 (auditoria), pela NBC TA 240 (fraude) e pelo Código de Ética profissional, com orientação consolidada agora no CTA 30.

O auditor é obrigado a detectar qualquer descumprimento de lei?

Não. A auditoria é desenhada para obter segurança razoável sobre as demonstrações contábeis. Para leis com efeito direto nos números, o auditor obtém evidência de conformidade; para as demais, mantém procedimentos de indagação e alerta. Descumprimentos sem relação com a informação contábil podem legitimamente escapar ao alcance da auditoria.

O que o auditor faz ao identificar um indício de não conformidade?

Obtém entendimento da natureza e das circunstâncias, avalia o efeito potencial nas demonstrações, discute com administração e governança no nível apropriado, considera a necessidade de aconselhamento legal, avalia o impacto na opinião e verifica se há dever legal ou regulatório de comunicação a autoridades.

Quando o auditor comunica autoridades externas?

Nas hipóteses previstas em lei ou regulação — por exemplo, comunicações devidas a reguladores de entidades supervisionadas em situações determinadas, como indícios que afetem a continuidade da entidade ou impliquem descumprimentos graves. O dever de sigilo profissional cede nas situações que a própria norma legal define.

Achado de não conformidade sempre gera opinião modificada?

Não. O efeito no relatório depende da relevância da distorção associada (provisão não registrada, divulgação omitida) e da suficiência da evidência obtida. Não conformidade adequadamente mensurada, registrada e divulgada pode conviver com opinião sem modificação; limitação de acesso à informação ou distorção relevante não corrigida, não.

O que muda para o comitê de auditoria com o CTA 30?

O comunicado eleva o padrão de diálogo: o comitê deve esperar do auditor questionamentos estruturados sobre conformidade e canais de denúncia, e o auditor deve esperar do comitê resposta tempestiva a achados — investigação com escopo adequado, quantificação e reflexo contábil. A documentação desse ciclo passa a ser peça central de ambos os lados.

Baixar PDF gratuito →