O Modelo das Três Linhas do IIA aplicado à EFPC

Em 2020, o Instituto dos Auditores Internos (IIA) revisou o modelo que ficou conhecido durante anos como “três linhas de defesa”. A nova versão tirou a palavra “defesa” do nome por uma razão precisa: gestão de risco não é só defender a entidade contra ameaças. É também viabilizar que ela persiga oportunidades dentro do apetite definido. O modelo passou a se chamar simplesmente “Modelo das Três Linhas”.

A mudança parece semântica. Não é. Defesa pressupõe perímetro. Linha pressupõe cadeia de responsabilidade. E cadeia de responsabilidade é o que faltava em muitas EFPCs.

A primeira linha é formada pelas áreas operacionais, aquelas que executam os processos diretamente vinculados ao cumprimento dos objetivos da entidade. Investimentos, benefícios, cadastro, financeiro. São essas áreas que tomam decisões no dia a dia que geram, modificam ou eliminam risco. A primeira linha é a que mais perto está do risco e, por isso, a primeira responsável por gerenciá-lo. Quando a primeira linha trata gestão de risco como problema da segunda linha, o modelo desmonta antes de começar.

A segunda linha é composta por funções especializadas que apoiam, monitoram e desafiam a primeira. Em uma EFPC, isso geralmente envolve a área de gestão de riscos, compliance, segurança da informação e controles internos. Essas funções desenham metodologias, definem políticas, monitoram indicadores e oferecem para a primeira linha as ferramentas que permitem gerenciar risco com critério. A segunda linha não substitui a primeira. Reforça e questiona.

A terceira linha é a auditoria interna. Sua função é dar garantia independente sobre a eficácia da governança, da gestão de riscos e dos controles internos. Para que essa garantia tenha valor, a auditoria precisa ser organizacionalmente independente da gestão executiva, com reporte ao Conselho Deliberativo (ou ao Comitê de Auditoria, quando existe). Auditoria interna que reporta operacionalmente para quem ela audita não é terceira linha. É extensão da segunda.

Acima das três linhas está a alta administração: Conselho Deliberativo e Diretoria Executiva. O Conselho define apetite, aprova políticas e supervisiona a eficácia do sistema. A Diretoria responde pela execução. Esses dois papéis também precisam estar claramente separados, especialmente em EFPCs em que conselheiros patrocinadores ou participantes acumulam vínculos com a operação.

Há ainda os provedores externos de garantia: auditoria independente, atuário externo, órgão regulador. O modelo do IIA reconhece esses agentes como fontes adicionais de garantia, mas sublinha que eles não substituem a auditoria interna. Cumprem função complementar.

Onde o modelo trava em EFPCs

O primeiro ponto comum de falha é a sobreposição entre segunda e terceira linhas. Quando a área de riscos da entidade está vinculada à diretoria que ela própria deveria monitorar, ou quando a auditoria interna assume tarefas operacionais de controle, o que era para ser camada de garantia vira mais uma instância de execução.

O segundo é a ausência de uma primeira linha consciente. É comum que gestores operacionais relatem que “gestão de risco não é minha área”. Esse discurso é sintoma de que a entidade ainda não comunicou de forma efetiva que a primeira linha é a primeira responsável pelo risco no seu próprio processo.

O terceiro é a fragilidade do canal de comunicação entre a terceira linha e o Conselho. Auditoria que se reporta à Diretoria Executiva, ou que tem seus relatórios filtrados antes de chegar ao colegiado, perde a essência da independência.

Aplicar o modelo das três linhas em uma EFPC não exige reestruturação radical. Exige clareza sobre quem faz o quê, e disciplina para manter cada linha no seu papel.

Esta é a sexta publicação da série sobre Gestão de Riscos em EFPCs. Na próxima semana: por que matriz de risco e mapa de calor viraram teatro em muitas entidades, e o que é preciso para tirar essas ferramentas do papel.