O modelo de três linhas. O papel da auditoria interna na gestão de riscos.
QUESTÕES RESOLVIDAS E COMENTADAS
O MODELO DE TRÊS LINHAS
(quadrix 2024) O modelo de três linhas do The IIA (Institute of Internal Auditors) ajuda as organizações a identificar estruturas e processos que melhor auxiliam no atingimento dos objetivos e facilitam uma forte governança e gerenciamento de riscos, de forma a manter conformidade com as leis e os regulamentos. De acordo com o modelo, a terceira linha corresponde à atividade de auditoria interna. CERTO
De acordo com o modelo das Três Linhas do IIA (Institute of Internal Auditors), a estrutura é composta por:
1. Primeira linha – funções que gerenciam riscos diretamente (como operações e gestão de linha de frente);
2. Segunda linha – funções que supervisionam riscos (como compliance, controle interno e gestão de riscos);
3. Terceira linha – auditoria interna, que fornece avaliação e aconselhamento independentes e objetivos sobre a eficácia da governança, gestão de riscos e controles internos da organização.
O modelo também enfatiza o papel do conselho e da alta administração na governança e no alinhamento das atividades das três linhas. Ele foi atualizado em 2020 para reforçar a colaboração e a clareza de papéis, mantendo a independência da auditoria interna como um de seus princípios centrais.
(fgv 2023) Por diversos motivos, as organizações precisam de estruturas e processos eficazes para permitir o atingimento dos objetivos. Essas estruturas envolvem mecanismos de governança e gerenciamento de riscos, que são também abordados no modelo das Três Linhas 2020 do Institute of Internal Auditors (IIA). No contexto desse modelo, analise os itens a seguir.
Papel I fornecimento de assistência no gerenciamento de riscos
Papel II avaliação e assessoria independentes e objetivas sobre questões relativas ao atingimento dos objetivos
Papel III entrega de produtos e serviços aos clientes da organização, incluindo funções de apoio
São papéis de 1ª, 2ª e 3ª linha, respectivamente: III, I e II;
1ª linha: entrega de produtos e/ou serviços + funções de apoio
2ª linha: assistência no gerenciamento de riscos
3ª linha: avaliação e assessoria independentes e objetivas sobre a adequação e eficácia da governança e do gerenciamento de riscos
(consulpam 2026) Em uma organização pública, a auditoria interna identifica fragilidade na gestão de riscos, pois não há clareza sobre responsabilidades. Considerando o modelo de três linhas do IIA, o papel da auditoria interna é: Atuar como terceira linha de defesa, fornecendo avaliação independente sobre eficácia da governança, gestão de riscos e controles internos.
(fgv 2025) Segundo o Instituto dos Auditores Interno (IIA), o Modelo de Três Linhas ajuda as organizações a identificar estruturas e processos que melhor auxiliem no atingimento dos objetivos e facilitem uma forte governança e gerenciamento de riscos.
Sobre o Modelo de Três Linhas, assinale a afirmativa correta.
A) Os papéis de segunda linha incluem o gerenciamento de riscos e as atividades de avaliação e assessoria.
A segunda linha (ex.: compliance, gestão de riscos) faz monitoramento e aconselhamento, mas não é independente. A avaliação independente é papel exclusivo da terceira linha (auditoria interna).
B) Compete aos órgãos de governança estabelecer e manter estruturas e processos apropriados para o gerenciamento de operações e riscos.
A governança (ex.: Conselho de Administração) supervisiona estrategicamente, mas não implementa processos operacionais. Quem implementa é a primeira linha (gestão).
C) A auditoria interna deve se reportar ao órgão de governança, em especial quanto aos resultados das avaliações realizadas.
Papéis da primeira linha
Liderar e dirigir ações (incluindo gerenciamento de riscos) e aplicação de recursos para atingir os objetivos da organização.
Manter um diálogo contínuo com o órgão de governança e reportar: resultados planejados, reais e esperados, vinculados aos objetivos da organização; e riscos.
Estabelecer e manter estruturas e processos apropriados para o gerenciamento de operações e riscos (incluindo controle interno).
Garantir a conformidade com as expectativas legais, regulatórias e éticas
Papéis da segunda linha
Fornecer expertise complementar, apoio, monitoramento e questionamento quanto ao gerenciamento de riscos, incluindo: Desenvolvimento, implantação e melhoria contínua das práticas de gerenciamento de riscos (incluindo controle interno) nos níveis de processo, sistemas e entidade.
O atingimento dos objetivos de gerenciamento de riscos, como: conformidade com leis, regulamentos e comportamento ético aceitável; controle interno; segurança da informação e tecnologia; sustentabilidade; e avaliação da qualidade.
Fornecer análises e reportar sobre a adequação e eficácia do gerenciamento de riscos (incluindo controle interno).
Papéis da terceira linha
A auditoria interna presta avaliação e assessoria independentes e objetivas sobre a adequação e eficácia da governança e do gerenciamento de riscos. Isso é feito através da aplicação competente de processos sistemáticos e disciplinados, expertise e conhecimentos. Ela reporta suas descobertas à gestão e ao órgão de governança para promover e facilitar a melhoria contínua. Ao fazê-lo, pode considerar a avaliação de outros prestadores internos e externos.
Auditoria interna
Mantém a prestação de contas primária perante o órgão de governança e a independência das responsabilidades da gestão.
Comunica avaliação e assessoria independentes e objetivas à gestão e ao órgão de governança sobre a adequação e eficácia da governança e do gerenciamento de riscos (incluindo controle interno), para apoiar o atingimento dos objetivos organizacionais e promover e facilitar a melhoria contínua.
Reporta ao órgão de governança prejuízos à independência e objetividade e implanta salvaguardas conforme necessário.
D) É função da governança estruturar os processos de controles internos.
Novamente, a governança não implementa controles internos. Isso é responsabilidade da primeira linha (gestão operacional).
E) Compete à primeira linha o desenvolvimento, a implantação e a melhoria contínua das práticas de gerenciamento de riscos nos níveis de processo, sistemas e entidade.
A primeira linha implementa controles, mas a melhoria contínua das práticas de gerenciamento de riscos é papel da segunda linha (ex.: área de riscos/compliance), que fornece expertise e suporte para otimizar esses processos. A primeira linha foca na execução operacional.
(iades 2025) O modelo das três linhas de defesa, amplamente utilizado na gestão de risco, estabelece papéis e responsabilidades para o gerenciamento eficaz de risco em uma organização. O modelo permite que o risco seja identificado, gerenciado e monitorado, e cada linha representa um nível diferente de controle e supervisão. Um benefício que decorre diretamente da aplicação do modelo é que as três linhas de defesa: estabelecem múltiplas camadas de defesa contra riscos, em que cada linha complementa as outras.
O princípio central do modelo: a existência de múltiplas camadas de defesa que se complementam, promovendo maior segurança e robustez no controle de riscos (referência: IIA – Position Paper: The Three Lines of Defense in Effective Risk Management and Control).
(instituto access 2026) O modelo das "Três Linhas" (anteriormente Três Linhas de Defesa) do Institute of Internal Auditors (IIA) é referência para a estruturação do gerenciamento de riscos e controle. Assinale a alternativa correta que identifica a responsabilidade da "Segunda Linha" na estrutura de governança.: A Segunda Linha presta apoio técnico e monitora a gestão de riscos e conformidade, acompanhando a atuação da Primeira Linha, sem exercer auditoria independente.
Primeira linha: Gestão operacional, responsável por identificar e gerenciar riscos em suas atividades diárias.
Segunda linha: Funções de gestão de riscos e conformidade, que auxiliam e monitoram a primeira linha.
Terceira linha: Auditoria interna, que fornece avaliações independentes sobre a eficácia das defesas e controles.
(cesgranrio 2023) O modelo das três linhas de defesa apresenta uma forma de estabelecer os papéis e responsabilidades essenciais de cada gestor dentro da organização para protegê-la dos riscos por meio de uma estrutura adequada de governança.
Nesse modelo, as linhas de defesa são, respectivamente,: execução; supervisão e monitoramento; avaliação
O modelo das três linhas de defesa foi difundido a partir da obra Declaração de posicionamento do IIA: as três linhas de defesa no gerenciamento eficaz de riscos e controles, publicada pelo Instituto dos Auditores Internos (IIA, 2013). De acordo com esse modelo, a primeira linha de defesa é a execução, a segunda linha de defesa é a supervisão e o monitoramento e a terceira é a avaliação.
(fgv 2025) Everaldo foi aprovado em um concurso para um órgão da Administração Pública federal para atuar na área de Auditoria Interna. Ao assumir o cargo, ele foi informado de que o órgão adota o Modelo das Três Linhas, uma estrutura voltada ao fortalecimento dos controles internos por meio de linhas de defesa, na qual as linhas, embora tenham responsabilidades distintas, devem atuar de forma coordenada entre si.
Diante desse cenário, e considerando as diretrizes do Modelo das Três Linhas, as atribuições que competem a Everaldo em sua função estão no âmbito da: terceira linha, prestando serviços de avaliação e assessoria independentes, a fim de verificar a efetividade dos controles e da governança organizacional;
(instituto consulplam 2026) Sobre a adaptação do novo Modelo das Três linhas 2020 do Institute of Internal Auditors-IIA em busca do alinhamento aos objetivos e às circunstâncias da organização em que o modelo será aplicado, assinale a afirmativa INCORRETA.
A) O órgão de governança pode estabelecer comitês para prestar supervisão adicional sobre aspectos de sua responsabilidade, como auditoria, riscos, finanças, planejamento e remuneração.
B) A forma como a organização está estruturada e como os papéis serão atribuídos aos colaboradores são atribuições exclusivas e privativas da gestão da organização, cabendo ao órgão de governança acatá-las.
A definição da estrutura organizacional e da atribuição de papéis não é exclusiva da gestão. O órgão de governança tem papel ativo na definição, aprovação e supervisão desses arranjos para assegurar alinhamento aos objetivos da organização e à adequada governança.
C) É possível que, na gestão da organização, surjam arranjos funcionais, arranjos hierárquicos e uma tendência crescente à especialização, quando as organizações aumentam em tamanho e em complexidade.
D) O órgão de governança depende de relatórios da gestão e de auditoria interna, a fim de exercer a supervisão e atingir os objetivos pelos quais é responsável perante os stakeholders (indivíduos e/ou organizações que têm interesse ou são afetados pelas ações da instituição).
(fgv 2023) O Modelo de Três Linhas foi desenvolvido pelo The Institute of Internal Auditors com o objetivo de ser uma referência para as organizações na identificação de estruturas e processos que melhor auxiliam no atingimento dos objetivos e facilitam uma forte governança e gerenciamento de riscos. Por ser aplicável a todas as organizações, entidades como a Controladoria-Geral da União têm incentivado a sua adoção. No Modelo de Três Linhas, a auditoria interna: presta avaliação independente sobre questões relativas ao atingimento dos objetivos;
O PAPEL DA AUDITORIA INTERNA NA GESTÃO DE RISCOS
(cespe/cebraspe 2023) O auditor interno em consultoria ou no gerenciamento de riscos deve limitar suas funções ao estabelecimento ou melhoria dos processos, devendo abster-se de cumprir o papel de gerenciador efetivo dos riscos da organização. CERTO
2120 – Gerenciamento de riscos
A atividade de auditoria interna deve avaliar a eficácia e contribuir para a melhoria dos processos de gerenciamento de riscos quanto à:
• Os objetivos da organização dão suporte e estão alinhados com a missão da organização;
• Os riscos significativos são identificados e avaliados;
• Respostas apropriadas aos riscos são selecionadas de forma a alinhar os riscos com o apetite de risco da organização; e
• Informações de riscos relevantes são capturadas e comunicadas de forma oportuna através da organização, permitindo que colaboradores, administração e conselho cumpram com suas responsabilidades.
2120.C3 – Os auditores internos devem abster-se de assumir qualquer responsabilidade da administração de efetivamente gerenciar os riscos.
(quadrix 2024) Com base na “Declaração de Posicionamento: O Papel da Auditoria Interna no Gerenciamento de Riscos Corporativos”, do The Institute of Internal Auditors, é correto afirmar que a auditoria interna deve assumir o papel de responsabilizar‑se pelo gerenciamento dos riscos. ERRADO
A Auditoria Interna atua como atividade de avaliação independente e consultiva, com o objetivo de agregar valor e melhorar as operações da organização. Segundo o IIA, seu papel é avaliar e fiscalizar a eficácia da gestão de riscos, mas não é responsável por gerenciar os riscos. O gerenciamento dos riscos é atribuição da administração da organização e dos gestores das áreas. A Auditoria Interna pode até fornecer recomendações e informações, mas não deve assumir a responsabilidade de gerir os riscos.
(instituto aocp 2022) Com base na “Declaração de Posicionamento: O Papel da Auditoria Interna no Gerenciamento de Riscos Corporativos”, do The Institute of Internal Auditors, assinale a alternativa correta.: O papel fundamental da auditoria interna é fornecer avaliação objetiva ao corpo diretivo da organização quanto à eficácia do gerenciamento de riscos.
A auditoria interna é uma atividade independente, de avaliação (assurance) e de consultoria. Seu papel fundamental em relação ao GRC é fornecer avaliação objetiva (objective assurance) ao conselho quanto à eficácia do gerenciamento de riscos. De fato, pesquisas têm mostrado que o conselho de diretores e auditores internos concordam que as duas formas mais importantes da auditoria interna prover valor à organização são fornecer avaliação objetiva (objective assurance) de que os maiores riscos do negócio são gerenciados adequadamente e fornecer a avaliação (assurance) de que a estrutura de gerenciamento de riscos e controle interno está operando eficazmente.
(instituto consulpam 2025) Com fulcro na ISO 31000:2018, sobre o papel do auditor interno no gerenciamento de riscos, marque V para as afirmativas verdadeiras e F para as falsas.
( ) A ISO 31000:2018 estabelece um processo linear para a gestão de riscos, sem variações.
( ) O auditor interno deve atuar como consultor, fornecendo subsídios para a gestão de riscos sem assumir responsabilidades gerenciais.
( ) A gestão de riscos, segundo a ISO 31000:2018, deve ser integrada à cultura organizacional e às práticas de governança.
( ) O auditor interno é responsável por tomar decisões estratégicas no gerenciamento de riscos corporativos.
A sequência está correta em: F, V, V, F.
1º é falsa pois o processo é iterativo e não linear. 2 e a 3º são verdadeiras já que o auditor assessora a gestão sem assumir papel gerencial e o gerenciamento deve ser integrado à governança. 4º é falsa porque decidir é função da alta administração.