Três linhas, uma pergunta: quem decide quando o risco aparece
Em 2020, o IIA reescreveu o modelo que quase toda área de controle no Brasil usava e tirou do nome a palavra “defesa”. Não foi cosmética. A palavra vinha produzindo organogramas em que todo mundo se protegia e ninguém decidia.
O que mudou de fato
O modelo antigo, de 2013, descrevia três linhas de defesa contra o risco. O de 2020 descreve três grupos de papéis a serviço de um mesmo objetivo: criar e proteger valor. A diferença aparece na primeira reunião de crise. No modelo de defesa, a pergunta é “de quem é a culpa”. No modelo de papéis, é “quem decide, com base em quê, e quem avalia depois”.
Primeira linha: quem entrega é quem gerencia
A área que opera o processo é a dona do risco. Isso não é retórica: significa que o gestor comercial responde pelo risco de crédito da carteira que ele monta, e o gestor de TI responde pela indisponibilidade do sistema que ele sustenta. Quando compliance “assume” o risco da área, o desenho já nasceu errado — e a área aprende que basta avisar para se eximir.
Segunda linha: apoio com dentes
Riscos, compliance, jurídico e segurança da informação existem para dar método, ferramentas e desafio técnico à primeira linha. O ponto delicado é que a segunda linha frequentemente também opera controles: roda a due diligence de terceiros, administra o canal de denúncias, aprova exceções. Isso é legítimo. O que não é legítimo é a mesma equipe depois avaliar, como se fosse independente, a qualidade daquilo que ela mesma executou.
Terceira linha: independência é de reporte
A auditoria interna não se torna independente por olhar de longe. Ela é independente porque reporta ao conselho ou ao comitê de auditoria, tem orçamento e plano aprovados ali, e não responde funcionalmente a quem audita. Auditoria interna que reporta ao CFO e audita o fechamento contábil é um arranjo que se explica mal em qualquer investigação.
Em organizações menores, onde não existe auditoria interna, a saída não é fingir que a segunda linha faz esse papel. É contratar avaliação independente pontual, deixar claro no estatuto quem exerce a função e registrar a limitação — a proporcionalidade é aceita; a confusão de papéis, não.
Onde o modelo costuma quebrar no Brasil
- Comitê sem informação: o conselho recebe o relatório pronto, sem acesso ao dado bruto nem à opinião divergente da auditoria.
- Compliance sem acesso: a área não participa do comitê de investimentos nem das decisões comerciais relevantes, e descobre o problema no pós-fato.
- Sobreposição silenciosa: três áreas pedem a mesma evidência à operação em planilhas diferentes, e a operação passa a preencher por obrigação, sem qualidade.
- Terceira linha capturada: auditoria interna com metas atreladas a resultados operacionais que ela deveria avaliar.
Um teste de dez minutos
Pegue o último incidente relevante da sua organização — uma multa, um vazamento, uma fraude, um contrato mal aprovado — e responda por escrito:
- Quem era o dono do risco antes do evento, nominalmente?
- Que controle deveria ter funcionado e quem o operava?
- Quem avaliou esse controle pela última vez, quando, e o que registrou?
- O conselho soube do risco antes do evento? Por qual canal?
Se alguma resposta exigir interpretação, o problema não é a matriz de riscos. É o desenho de papéis.