As novas Normas Globais de Auditoria Interna já estão em vigor, e boa parte das empresas brasileiras concentrou esforços em adaptar procedimentos, revisar manuais e preparar a área para avaliações independentes. Uma dúvida, no entanto, continua sem resposta clara: quando a auditoria interna leva um alerta a quem toma as decisões, ela é de fato ouvida? Mais do que comprovar que segue padrões internacionais, a auditoria interna precisa ter influência real sobre as decisões do conselho e da alta administração, e é justamente nesse ponto que muitas áreas ainda encontram dificuldade.
Publicadas em janeiro de 2024 pelo The Institute of Internal Auditors (IIA), as novas normas entraram em vigor em 9 de janeiro de 2025, substituindo a estrutura anterior, de 2017. A atualização ampliou o papel esperado da auditoria interna: além de avaliar riscos e controles, ela deve oferecer ao conselho e à gestão aconselhamento e uma leitura antecipada dos riscos que a organização enfrenta. As normas também dedicam um princípio inteiro à comunicação e determinam, na Norma 11.1, que o responsável pela auditoria interna desenvolva uma forma de construir relacionamento e confiança com as principais partes interessadas. Na prática, não basta que o relatório esteja tecnicamente correto: ele precisa ser compreendido e usado por quem decide.
Para Gabriel Buzzi, sócio da Baker Tilly Brasil nas práticas de GRC e ESG, a dificuldade de a auditoria interna ser ouvida raramente decorre de falta de visibilidade. Na maior parte dos casos, o problema está na distância entre o que a área entrega e o que a alta administração precisa decidir.
“O CEO não deixa de ouvir a auditoria interna porque desconhece o trabalho dela. Ele deixa de ouvir quando o relatório chega depois que a decisão já foi tomada, ou quando descreve com rigor o que aconteceu no ano anterior enquanto a pergunta dele é sobre o próximo trimestre. A auditoria interna perde espaço quando responde com precisão a perguntas que a diretoria não está fazendo”, afirma.
O especialista chama atenção para um ponto que costuma passar despercebido no debate sobre as novas normas. Elas estabelecem obrigações para os auditores internos, mas reconhecem que a eficácia da área depende de condições que só o conselho e a alta administração podem garantir, como acesso direto, recursos adequados e respaldo institucional. Por isso, esses pontos aparecem como “condições essenciais”, que o responsável pela auditoria interna deve discutir com quem governa a organização, e não como exigências que a norma consegue impor. “A norma consegue obrigar o auditor interno, mas não consegue obrigar o CEO a ouvi-lo. Essa escuta precisa ser conquistada, e ela se constrói com uma leitura de risco que ajude a decidir, não com o volume de apontamentos. Uma auditoria interna em plena conformidade com as normas, mas sem influência sobre as decisões, continua sendo vista pela diretoria como simples despesa obrigatória”, diz Buzzi.
Na avaliação dele, a confiança de quem decide se constrói em quatro frentes que as próprias normas já indicam, ainda que nem sempre recebam a mesma atenção que a documentação: um plano de auditoria conectado aos objetivos estratégicos da organização, relatórios escritos na linguagem do negócio, participação antes das decisões relevantes e uma independência que não se confunda com distanciamento. “Independência não significa distância. A auditoria interna que só aparece para apontar falhas é tolerada, enquanto a que ajuda a diretoria a enxergar antes o risco de um projeto, de um fornecedor ou de uma aquisição passa a ser chamada para a mesa antes da decisão. É nesse momento que a confiança deixa de ser imposta pelo organograma e passa a ser conquistada pelo trabalho”, completa.
Para conselhos e comitês de auditoria, a discussão vai além da eficiência interna da área. Uma auditoria interna que não é ouvida representa um risco de governança, porque alertas relevantes deixam de chegar, ou chegam tarde, a quem tem poder de decisão. Em um ambiente de riscos mais complexos e de cobrança crescente de reguladores e investidores, a capacidade de influenciar passa a ser tão importante quanto a capacidade de comprovar conformidade. Diante desse cenário, fica a pergunta: quantas auditorias internas de companhias brasileiras são chamadas antes das decisões, e não apenas depois dos problemas?