O novo modelo das três linhas do IIA e os deveres dos administradores

Comecemos pelo fato

Deixe-me começar pelo fato, porque ele é recente e ainda pouco comentado por aqui. Na primeira quinzena de julho de 2026, o IIA - Institute of Internal Auditors publicou o Statement of Position "Assurance and Advice in Support of Effective Governance - Three Lines Model", aposentando o Position Paper de 2020. Não é revisão cosmética: é a atualização do modelo de governança mais difundido do mundo corporativo, aquele que organiza quem opera, quem monitora e quem audita dentro de uma organização.

Proponho o seguinte percurso, o mesmo que uso quando treino equipes sobre o Tema. Primeiro, recapitulamos a trilha histórica que trouxe o modelo até aqui, porque as datas contam a história quase sozinhas. Depois, organizamos os conceitos que a versão de 2026 consolida, sempre com a fonte primária na mão. Por fim, respondemos à pergunta que interessa a quem lê este portal: O que isso muda para quem administra, aconselha ou fiscaliza uma companhia no Brasil?

A trilha: De 1992 a 2026

Toda boa história de governança começa com uma pergunta simples. A de 1992 foi esta: Quem vigia a gestão? Dois documentos a formularam quase ao mesmo tempo: O Relatório Cadbury, no Reino Unido, e o framework de controles internos do COSO, nos EUA. Guarde a pergunta, porque tudo o que vem depois é tentativa de respondê-la.

Em 2002, a resposta virou lei: A Sarbanes-Oxley transformou controles internos em obrigação com assinatura pessoal de executivos. Parecia resolvido. Então veio 2008, e a crise fez a pergunta mais desconfortável: de que adianta ter vigias, se eles não veem? Instituições com áreas de risco e auditoria inteiras, estruturadas e caras, falharam em identificar ou comunicar exposições que as levaram ao colapso.

Da fratura nasceu a codificação. Em 2010, a orientação conjunta ECIIA/FERMA sobre o artigo 41 da 8ª Diretiva europeia registrou, pela primeira vez em documento de referência, a expressão "três linhas de defesa". Em 2013, o IIA consolidou o desenho em position paper próprio: um modelo de segregação, cada função no seu lugar, cada lugar com a sua função. Em 2020, o IIA retirou a palavra "defesa" e reorganizou tudo em seis princípios, com papéis no lugar de departamentos e um aviso importante: Independência não se confunde com isolamento. A versão de 2026 é o capítulo que nos interessa agora e ele muda menos o desenho do que o destinatário.

O documento mudou de endereço

Aqui vai o primeiro detalhe que costumo destacar em treinamento, porque passa despercebido e diz muito. O próprio IIA registra que os Statements of Position não integram o International Professional Practices Framework (IPPF), o arcabouço profissional da auditoria interna, porque se destinam a uma audiência executiva, e não primariamente a auditores (IIA, Statement of Position, 2026, "About Statements of Position"). A introdução confirma os destinatários: membros de conselho, alta administração e chief audit executives (IIA, 2026, "Introduction"). Traduzindo: O modelo deixou de ensinar auditores a trabalhar e passou a ensinar conselhos a exigir.

Os princípios caíram de seis para cinco, e a redução é densificação, não corte. Em síntese: o conselho define propósito, apetite de risco e expectativas; a supervisão eficaz depende de informação confiável e equilibrada; conselho e alta administração estabelecem a responsabilização definindo papéis; fontes distintas de asseguração, incluída uma independente, dão ao conselho confiança de que os processos funcionam como pretendido; e os serviços de aconselhamento (advisory) complementam a asseguração com percepções e opções para a decisão informada (IIA, 2026, "Principles").

Quatro conceitos para levar da sala

Independência virou checklist. Quando pergunto às turmas o que é independência, recebo adjetivos. O documento responde com uma lista de condições verificáveis: reporte funcional ao conselho, com mandato de escalar sem restrição; autonomia sobre escopo, execução e conclusões; acesso irrestrito a ativos, informações, pessoas e sistemas. Com o registro expresso de que a independência fica comprometida quando o acesso à evidência é filtrado; controle sobre recursos próprios; e proteção contra retaliação (IIA, 2026, "Independence"). Independência, portanto, é a capacidade de dizer o que se viu, a quem importa, sem pedir licença a quem foi visto. E deixou de ser adjetivo de regimento para virar teste: cinco itens que qualquer comitê de auditoria pode percorrer, um a um, na próxima reunião.

A régua dos doze meses. Ninguém avalia bem o próprio trabalho recente. Não por má-fé, por ponto cego. O documento enfrenta o problema com critério objetivo: A credibilidade da asseguração fica comprometida quando o revisor desenhou ou operou o processo, ou avalia decisões que ele próprio tomou; e um intervalo de pelo menos doze meses entre a responsabilidade pelo processo e a asseguração sobre ele é tipicamente suficiente para proteger a objetividade, reforçado pela distância estrutural em relação à hierarquia do dono do processo (IIA, 2026, "Assurance Engagements"). A lição que peço para anotar: quando o ex-gestor avalia o próprio legado antes do prazo, o relatório não informa; confirma.

Fadiga de asseguração. Você conhece essa organização: tudo é verificado três vezes, questionários se repetem, evidências são coletadas em triplicata e ninguém tem uma visão clara do conjunto. O documento dá nome oficial ao fenômeno, "assurance fatigue", e prescreve o antídoto: Coordenação e confiança criteriosa (reliance) entre provedores de asseguração, sob supervisão do conselho, para reduzir duplicações e otimizar a cobertura (IIA, 2026, "Coordination and Reliance Among the Three Lines"). Anote a régua prática: três relatórios sobre o mesmo risco e nenhum sobre o risco vizinho não é mais asseguração, é menos.

O mapa de asseguração. O glossário define o assurance map como documento de alto nível que identifica a cobertura de riscos pelos diversos provedores de asseguração, revelando lacunas e duplicações (IIA, 2026, Glossário). É um inventário de cobertura: Quem verifica o quê, com que frequência, com que profundidade e onde ninguém está olhando. Com ele, a pergunta executiva certa muda: deixa de ser "quantas auditorias fizemos?" e passa a ser "onde ninguém está olhando?".

O integrador e as sobreposições confessadas

Dois traços completam a arquitetura, e ambos merecem atenção de quem redige regimentos e estatutos. O primeiro: A auditoria interna é reafirmada como integradora da asseguração, a função que conecta as contribuições das demais linhas e entrega ao conselho a visão do sistema inteiro, com um direito expresso que costumo sublinhar em sala: O de não confiar no trabalho de outros provedores quando as expectativas de qualidade não forem atendidas (IIA, 2026, "The Internal Audit Function's Role as the Integrator of Assurance"). Confiança, no modelo, não é cortesia entre áreas; é juízo técnico revogável.

O segundo traço é a honestidade estrutural. O documento admite cenários de sobreposição que todos nós já vimos na prática: A função de auditoria executando atividades de segunda linha; o chief audit executive supervisionando uma função de conformidade e os cerca de salvaguardas: justificativa documentada, divulgação integral ao conselho, revisões independentes periódicas, aprovação do mandato pelo conselho. Mas registra ressalva expressa: tais arranjos não representam práticas preferenciais de adoção universal, e ambientes altamente regulados podem restringi-los ou proibi-los (IIA, 2026, "Implementation Scenarios"). Um documento que confessa as próprias zonas cinzentas com esse rigor oferece ao direito exatamente o que o direito sabe aproveitar: parâmetro.

Agora, o direito

Trago o caso que uso em sala, porque ele é deste mês. Imagine o conselho de uma trading brasileira de energia, nesta mesma quinzena de julho de 2026. A área de trade compliance reporta: "temos ferramenta de screening de sanções, com listas atualizadas diariamente". A auditoria interna, que testou a ferramenta, reporta outra coisa: "o screening não captura beneficiários finais de embarcações que trocaram de bandeira nos últimos noventa dias". A primeira frase é monitoramento gerencial. A segunda é asseguração independente. E a diferença entre elas, no cenário sancionatório que a crise no estreito de Ormuz reorganizou em que uma designação altera da noite para o dia o status de contrapartes, cargas e navios vale o acesso da companhia ao sistema financeiro internacional. A partir desse caso, quatro planos normativos se encaixam.

Plano societário. O art. 153 da lei 6.404/1976 exige do administrador o cuidado e a diligência do homem ativo e probo; o art. 158 responsabiliza-o civilmente pelos prejuízos causados com culpa ou dolo, ou com violação da lei e do estatuto. A lógica da business judgment rule, incorporada pela prática decisória brasileira como critério de avaliação da conduta do administrador, protege a decisão informada não a cegueira confortável. E decisão informada pressupõe informação de qualidade verificável: Exatamente o que o Statement de 2026 ensina a verificar.

Plano de integridade. A lei 12.846/13 manda considerar, na dosimetria das sanções, a existência de mecanismos internos de integridade, auditoria e incentivo à denúncia (art. 7º, VIII); o decreto 11.129/22 detalha os parâmetros de avaliação do programa, entre eles o comprometimento da alta direção, incluídos os conselhos, a independência e a autoridade da instância interna responsável e o monitoramento contínuo (art. 57). Repare na convergência: O Estado brasileiro já pergunta, na dosimetria, o que o IIA pergunta na doutrina, a sua estrutura de asseguração era real ou decorativa?

Plano de mercado. Para as companhias abertas, a resolução CVM 80/22 mantém o Informe sobre o Código Brasileiro de Governança Corporativa, no regime "pratique ou explique": a estruturação da auditoria interna, do gerenciamento de riscos e da conformidade é objeto de divulgação ao mercado ou de explicação pública da sua ausência. O desenho das linhas, portanto, já não é assunto interno; é declaração ao mercado.

Plano transnacional. O regime sancionatório norte-americano alcança a companhia brasileira por vias que dispensam presença nos EUA: A jurisdição que acompanha o dólar, as sanções secundárias, as designações que contaminam cadeias inteiras de contrapartes. Nesse plano, a asseguração independente sobre trade compliance deixa de ser boa prática e vira condição de acesso ao sistema financeiro, ao seguro, ao frete.

A costura dos quatro planos é a conclusão que peço para levar deste texto: a responsabilidade do administrador é doméstica, arts. 153 e 158, mas o risco que ele precisa supervisionar é, em parte relevante, transnacional. O que conecta as duas pontas é a qualidade da asseguração que chega ao conselho. E o Statement de 2026, ao decompor a independência em condições verificáveis e fixar réguas objetivas, entrega o metro dessa qualidade.

A ressalva de rigor, obrigatória: O Statement não é norma. É parâmetro de melhor prática, apto, nessa condição, a informar o conteúdo concreto do standard de conduta exigível do administrador diligente. Nem mais, nem menos. Mas a consequência dessa modéstia normativa não é modesta: O conselho que não distingue monitoramento gerencial de asseguração independente não tem apenas fragilidade de gestão; tem fragilidade de defesa jurídica porque, chamado a demonstrar que decidiu informado, não conseguirá provar que a informação em que confiou merecia confiança.

Para encerrar

A pergunta de 1992 "quem vigia a gestão?" amadureceu por trinta anos e chegou a 2026 com outra formulação, dirigida a cada conselheiro individualmente: A sua organização consegue demonstrar, com documentos, que a informação em que o conselho confia merece confiança? Há alguém, com independência verificável, testando o que a gestão reporta e o silêncio sobre um risco é ausência de risco ou ausência de verificação?

Trinta anos de modelo para chegar a uma pergunta que cabe numa linha. É assim que as boas perguntas terminam: na mesa de quem decide.

________

THE INSTITUTE OF INTERNAL AUDITORS. Assurance and Advice in Support of Effective Governance - Three Lines Model. Statement of Position. Lake Mary: The IIA, 2026.

THE INSTITUTE OF INTERNAL AUDITORS. The IIA's Three Lines Model: An update of the Three Lines of Defense. Position Paper. Lake Mary: The IIA, 2020.

THE INSTITUTE OF INTERNAL AUDITORS. The Three Lines of Defense in Effective Risk Management and Control. Position Paper. Altamonte Springs: The IIA, 2013.

ECIIA; FERMA. Guidance on the 8th EU Company Law Directive, article 41. Bruxelas: ECIIA/FERMA, 2010.

BRASIL. Lei nº 6.404, de 15 de dezembro de 1976 (arts. 153 e 158). Lei nº 12.846, de 1º de agosto de 2013 (art. 7º, VIII). Decreto nº 11.129, de 11 de julho de 2022 (art. 57).

COMISSÃO DE VALORES MOBILIÁRIOS. Resolução CVM nº 80, de 29 de março de 2022 (Informe sobre o Código Brasileiro de Governança Corporativa).