Asseguração, controles e auditoria interna

Terceirização de auditoria interna

Terceirizar a execução não terceiriza a responsabilidade: o contrato precisa dizer quem conclui, quem assina e quem responde ao regulador.

Modelo em que a função de auditoria interna é executada por firma externa, em terceirização total ou em co-sourcing com um líder interno. Atende empresa em primeira estruturação, fintech em crescimento, sociedade de crédito direto e companhia em preparação para abertura de capital. A vantagem objetiva é acesso a equipe multidisciplinar em tecnologia, dados, fraude e regulatório, sem custo fixo e sem risco de rotatividade na função.

Duas condições decidem se o modelo resiste ao exame. A primeira é contratual: a Resolução CMN 4.879 define, no artigo 6º, as responsabilidades no modelo terceirizado ou híbrido, e o contrato precisa explicitar quem responde pela conclusão e perante o supervisor. A segunda é de independência: em companhia aberta e instituição financeira, auditoria interna e independente normalmente vêm de firmas distintas. Sem ponto focal interno, o relatório externo vira letra morta.

A operação começa pelo plano anual baseado em risco submetido ao conselho ou ao comitê, e não pela agenda da firma. Cada ciclo aplica teste de desenho dos controles-chave e teste de efetividade operacional em amostra, com papéis de trabalho auditáveis e evidência retida. Encerrado o ciclo, a recomendação recebe responsável e prazo, e o acompanhamento entre ciclos é o que impede que o mesmo achado retorne no ano seguinte.

O que examinamos

• Contrato: responsabilização, acesso à informação e independência da firma
• Plano anual aprovado pelo conselho ou pelo comitê de auditoria
• Ponto focal interno designado para a interlocução com a firma
• Teste de desenho e de efetividade operacional por ciclo auditado
• Papéis de trabalho com trilha que permita reexecução por terceiro
• Follow-up das recomendações entre ciclos, com status e evidência

Norma aplicável

Resolução CMN 4.879, artigo 6º, NBC TA 220 e IPPF do IIA.

Entregável

Função em operação com plano anual, relatórios por ciclo, matriz de responsabilidades contratuais e acompanhamento das recomendações.