Auditoria interna diante do risco em rede: integrar controles e fluxos

A designação, em junho de 2026, de organizações criminosas como atores terroristas por autoridades estrangeiras reacende a discussão sobre como o crime organizado se relaciona com a economia formal. Para a auditoria interna, a conclusão prática é clara: não cabe à função transformar‑se em polícia, mas sim avaliar se a governança, os controles e os mecanismos de gestão de risco permitem identificar e responder a riscos que se manifestam em rede, atravessando áreas e instituições.

Contexto

A literatura internacional e iniciativas multilaterais vêm destacando que estruturas legítimas frequentemente são utilizadas para ocultar ou viabilizar atividades ilícitas. Relatórios de agências europeias e organismos internacionais apontam que grande parte das redes criminosas emprega empresas e instrumentos formais para lavagem de ativos e penetração em cadeias produtivas. No Brasil, a Estratégia Nacional de Combate à Corrupção e à Lavagem de Dinheiro (Enccla) ampliou seu escopo para abarcar "Crime Organizado e Cadeias Produtivas", evidenciando a necessidade de olhar além da persecução penal e da segurança pública.

No plano normativo e de boas práticas, predominam duas tendências que moldam a atuação da auditoria: a adoção de uma abordagem baseada em riscos, consagrada pelas Recomendações do Financial Action Task Force (FATF), e a difusão do modelo de governança que distingue papéis de atuação — como expresso no Three Lines Model do The Institute of Internal Auditors (IIA). Essas referências incentivam especialização, sem que ela resulte em fragmentação inoperante.

A controvérsia importa porque, quando sinais de risco ficam dispersos entre compliance, compras, ouvidoria, corregedoria, prevenção a fraudes e segurança da informação, o resultado prático é a existência de pontos cegos. A auditoria interna é chamada a mapear esses pontos e a avaliar se as interfaces funcionam para transformar sinais isolados em informação decisória.

O que foi decidido

Não se trata de uma decisão judicial, mas de uma tese operacional: a auditoria interna deve assumir a avaliação da efetividade das interfaces de governança frente a riscos que operam em rede. Em termos práticos, a função deve:

• examinar se há mecanismos proporcionais para identificar fluxos financeiros atípicos, estruturas societárias utilizadas para ocultação e transparência de beneficiários finais;
• verificar como a organização monitora terceiros (fornecedores, parceiros e intermediários) e se os controles de terceiros são capazes de detectar vínculos ou estruturas que elevem o risco;
• identificar vulnerabilidades de desenho e de circulação de informação — sistemas que não se integram, responsabilidades mal definidas ou sinais dispersos entre áreas.

A auditoria não passa a coordenar as demais funções, segundo o argumento do Three Lines Model; seu papel é questionar a suficiência do arranjo: existem lacunas, sobreposições ou isolamento informacional que impedem a visão consolidada de riscos?

Base normativa e precedentes

• Art. 37, CF/88 — Princípios da administração pública (legalidade, impessoalidade, moralidade, publicidade e eficiência) que orientam a governança no setor público.
• Lei 9.613/1998 (Lei de Lavagem de Dinheiro) — Relevância das obrigações de prevenção à lavagem de dinheiro e das medidas de controle sobre operações suspeitas.
• LGPD — Lei 13.709/2018 — Limites e requisitos aplicáveis ao tratamento de dados pessoais ao compartilhar informações entre áreas para fins de prevenção e investigação interna.
• Recomendações do FATF — Abordagem baseada em risco e exigência de transparência sobre beneficiários finais como elementos centrais na prevenção de lavagem de dinheiro.
• Three Lines Model (IIA) — Estrutura de governança que define papéis distintos para gestão, supervisão e função de auditoria interna, enfatizando coordenação e clareza de mandatos.
• Anti-Corruption and Integrity Outlook (OCDE) — Perspectiva sobre como corrupção e fragilidades de governança promovem a infiltração de atores ilícitos na economia formal.

Além dessas referências, a jurisprudência consolidada em tribunais administrativos e judiciais reforça a necessidade de evidências robustas para responsabilização e o respeito ao devido processo quando medidas de investigação interna resultam em sanções.

Impacto prático

• Para auditores internos: maior ênfase em trabalhos que integrem informação transversal (financeira, contratações, segurança da informação e compliance) e na realização de avaliações de terceiros robustas.
• Para conselhos e comitês de auditoria: necessidade de receber relatórios sobre lacunas de interface e de promover remediações que envolvam múltiplas áreas sem usurpar competências.
• Para compliance e áreas de risco: pressão por modelos de due diligence sobre fornecedores e beneficiários finais que incorporem inteligência financeira e indicadores de estrutura societária.
• Para o setor público: reforço do dever de articular políticas públicas, regulação e mecanismos de supervisão que reduzam pontos cegos entre órgãos; implicações para contratações e licitações quando fornecedores apresentem perfis de risco.
• Para advogados e consultores: demanda por aconselhamento que concilie compartilhamento necessário de informações com os limites impostos pela LGPD, segredo funcional e garantias processuais.

O que observar

• Integração com limites: qualquer modelo de compartilhamento precisa ser compatível com a LGPD, com normas de sigilo profissional e com o devido processo. Projetos de integração devem prever bases legais para tratamento e fluxo de dados.
• Metodologia de avaliação: a auditoria deve documentar critérios de materialidade e proporcionalidade ao avaliar controles sobre terceiros e fluxos financeiros atípicos.
• Capacitação e tecnologia: identificar necessidades de ferramentas analíticas e de interoperabilidade entre sistemas que permitam "seguir o dinheiro" e "seguir as relações" sem violar normas.
• Riscos de atribuição: evitar que a auditoria seja pressionada a desempenhar papel investigatório indevido; seu mandato é avaliativo e de assurance, não persecutório.
• Próximos passos regulatórios e de práticas: acompanhar atualizações das recomendações do FATF, requisitos do IIA (incluindo o Third-Party Topical Requirement) e eventuais medidas normativas nacionais que formalizem obrigações de due diligence sobre beneficiários finais.

Em síntese, a auditoria interna deve evoluir de uma postura setorial para uma capacidade de avaliação sistêmica das interfaces de governança. O desafio técnico é conciliar especialização com mecanismos de coordenação, salvaguardando direitos e limites legais, mas garantindo que sinais dispersos sobre riscos sejam transformados em informação útil para decisão.