Terceirizar Auditoria Interna sem Perder o Controle: O Que Funciona na Prática

A decisão de terceirizar auditoria interna é, em muitas EFPCs, conduzida com a mesma lógica usada para terceirizar serviços operacionais: define-se escopo, custo, prazo e fornecedor, assina-se contrato, recebe-se relatório. O resultado, em parte significativa dos casos, é uma terceirização que cumpre o contrato e não cumpre a função.

Auditoria interna não é serviço operacional. É função de garantia. E para que essa função se mantenha íntegra quando exercida por terceiro, há quatro decisões que precisam estar tomadas antes da assinatura do contrato.

A primeira decisão é o modelo de governança da relação. A auditoria interna precisa reportar ao Conselho Deliberativo (ou ao Comitê de Auditoria, quando existe), e isso precisa ser inegociável também na configuração terceirizada. O contratado responde tecnicamente para o colegiado, não para a diretoria executiva. Quando essa linha é traçada com clareza desde o início, o contratado tem condição de exercer julgamento independente. Quando essa linha é negligenciada, o contratado tende a moldar o trabalho ao que a contratante imediata (a diretoria executiva) prefere ouvir.

A segunda decisão é o plano anual de auditoria baseado em risco. O plano não pode ser definido pelo contratado isoladamente, e também não pode ser ditado pela diretoria executiva. É construído a partir do mapa de riscos da entidade, com priorização baseada em apetite definido pelo Conselho. O contratado contribui com metodologia e benchmarking setorial. A entidade contribui com conhecimento dos riscos específicos. O Conselho aprova o plano antes da execução. Esse processo é o que garante que a auditoria vá olhar para o que importa, e não apenas para o que é mais fácil de auditar.

A terceira decisão é o critério de qualidade do trabalho. Contratos de terceirização que medem apenas entregáveis (relatórios, horas, atas) deixam de fora a essência da função. Indicadores adequados consideram a profundidade da análise, a clareza dos achados, a qualidade das recomendações, e principalmente, o efeito real sobre a redução de exposição. Auditoria que aponta achado e não acompanha o tratamento é auditoria que cumpriu metade do trabalho.

A quarta decisão é a interlocução com o Conselho. A periodicidade, o formato e a profundidade da apresentação dos resultados ao colegiado precisam estar definidos. Em entidades em que o contratado apresenta diretamente, o canal é direto e a independência é preservada. Em entidades em que a apresentação é intermediada pela diretoria executiva, há risco de filtro. O modelo direto é o recomendado para preservação da função.

Tomadas essas quatro decisões, a terceirização opera dentro de uma estrutura que protege a função. Mas há também três cuidados durante a operação.

O primeiro é a rotação de equipe técnica. Quando o mesmo profissional do contratado audita a mesma área da entidade por anos consecutivos, há erosão da independência. Não por má-fé, por proximidade. Rotação programada (a cada três anos, por exemplo) preserva a frescura do olhar.

O segundo é o acesso irrestrito. O contratado precisa ter acesso a sistemas, processos e pessoas sem necessidade de autorização caso a caso da diretoria executiva. Acesso negociado é acesso comprometido. Acesso restringido é fundamento para questionamento da Previc em fiscalização.

O terceiro é o acompanhamento dos planos de ação. Auditoria que aponta e não verifica se houve correção tem valor limitado. Em modelo terceirizado, o acompanhamento precisa ser parte do escopo, com cronograma definido e reporte ao Conselho. Sem isso, achados ficam pendentes ciclo após ciclo, e a auditoria perde efeito.

Uma observação adicional para EFPCs de menor porte: a terceirização é, em muitos casos, a configuração mais adequada. Manter equipe interna de auditoria com a especialização e a independência necessárias exige escala que nem toda entidade tem. Quando o modelo é bem desenhado, a terceirização entrega qualidade superior à que seria viável internamente. Quando o modelo é apressado, entrega o pior dos dois mundos: dependência externa sem garantia adicional.

A pergunta que precede toda decisão de terceirização não é quanto custa o serviço. É quanto vale a função. E a resposta, em qualquer EFPC séria sobre governança, é alta o suficiente para justificar o cuidado de definir as quatro decisões antes da assinatura.

Esta é a décima terceira publicação da série sobre Gestão de Riscos em EFPCs. Na próxima semana: a síntese da série, com o que Conselho, Diretoria e Auditoria precisam saber para sustentar uma gestão de riscos efetiva.