Nos últimos anos, uma organização pública vem aumentando a compreensão e a eficácia da sua abordagem quanto a riscos. Ela tem delegado e coordenado as responsabilidades essenciais de gestão de riscos baseando-se na abordagem das Três Linhas de Defesa. Para tanto, um analista foi designado para ser parte integrante da auditoria interna, que corresponde à:
- A)terceira linha de defesa, pois atuará em uma função que tem propriedade de riscos;
Errada, porque a auditoria interna não tem propriedade dos riscos, ela apenas avalia de forma independente os controles e a gestão de riscos.
- B)terceira linha de defesa, pois atuará em uma função que fornece avaliações independentes;
Certa, porque a auditoria interna faz parte da terceira linha de defesa ao fornecer avaliações independentes e objetivas.
- C)segunda linha de defesa, pois atuará em uma função que supervisiona riscos;
Errada, porque a segunda linha supervisiona e apoia a gestão de riscos, mas não é o papel da auditoria interna.
- D)segunda linha de defesa, pois atuará em uma função que fornece avaliações independentes;
Errada, porque fornecer avaliações independentes é função típica da terceira linha, não da segunda.
- E)primeira linha de defesa, pois atuará em uma função que supervisiona riscos.
Errada, porque a primeira linha é formada por quem executa as atividades e assume os riscos operacionais do processo.
Gabarito: B
A lógica das Três Linhas de Defesa é bem simples: quem executa a atividade no dia a dia cuida dos riscos da própria rotina, quem acompanha e orienta fica na função de supervisão, e quem avalia tudo de forma independente entra para dar segurança ao sistema. É quase como numa equipe: um faz, outro acompanha, e outro confere se o conjunto está funcionando. Na primeira linha estão os gestores e servidores que operam os processos e assumem a gestão dos riscos ligados às suas atividades. Na segunda linha ficam as funções de apoio e monitoramento, como gestão de riscos, controle interno e compliance, que ajudam a estruturar e supervisionar os controles. Já a terceira linha é a auditoria interna, que não executa nem gerencia o risco do processo, mas oferece avaliações independentes e objetivas. É exatamente por isso que o gabarito é a letra B. A auditoria interna integra a terceira linha de defesa porque sua principal característica é fornecer avaliações independentes sobre a governança, os controles internos e a gestão de riscos. Esse é o desenho tradicional adotado na doutrina e alinhado ao modelo das Três Linhas do IIA. Em resumo: se a função é de avaliação independente, você está olhando para a terceira linha. Se a função é de supervisão e apoio ao gerenciamento de riscos, pense na segunda. Se a função é de execução e propriedade do risco, pense na primeira. O enunciado tentou vestir a auditoria interna com roupa de supervisão, mas ela continua sendo a fiscal crítica da casa.