Auditoria independente e comitê de auditoria de instituições financeiras

A ideia que organiza o assunto

Auditar um banco é, no plano técnico, auditar como se audita qualquer empresa: planejar, avaliar risco, obter evidência, documentar, opinar. Essa parte é das Normas Brasileiras de Contabilidade — as NBC TA, editadas pelo Conselho Federal de Contabilidade — e não muda porque o cliente é instituição financeira.

O que muda é para quem o auditor trabalha.

Na empresa comum, o auditor independente serve aos usuários das demonstrações contábeis: sócios, credores, mercado. Numa instituição autorizada a funcionar pelo Banco Central, ele serve a esses usuários e ao supervisor. O BACEN não tem equipe para examinar todos os livros de todas as instituições todo ano, e por isso terceiriza parte do exame: a auditoria independente é um insumo da supervisão prudencial. Quem paga o auditor, porém, continua sendo o auditado.

Toda a regulação do CMN sobre o assunto é a resposta a esse conflito. A Resolução CMN 4.910/2021 não ensina a auditar — ela cerca o auditor de salvaguardas para que ele não seja capturado por quem o remunera, e cria dentro da própria instituição um órgão que zela por isso. Daí saem, todas pelo mesmo motivo, as quatro coisas que o BACEN cobra e que uma prova de contabilidade geral não cobraria:

rotatividade obrigatória — para que a relação não amadureça em cumplicidade;
vedação a prestar outros serviços ao auditado — para que o auditor não examine o próprio trabalho nem dependa de outra receita do cliente;
comitê de auditoria estatutário — um interlocutor interno que não é a diretoria auditada;
dever de comunicar ao BACEN irregularidades e fraudes — porque o destinatário final do achado não é só o acionista.

Guarde a pergunta que resolve quase todo item: isto é regra de como auditar (NBC, CFC) ou de quem pode auditar um banco e a quem ele deve contar (Resolução CMN, BACEN)? Os dois planos convivem, e a banca cobra cada um com uma cara diferente.

O alcance deste tópico, que é decisão do projeto e não acidente. Ele abriga deliberadamente a doutrina geral da auditoria independente — NBC TA e NBC PA, do planejamento à opinião, passando por risco, evidência, documentação, materialidade, eventos subsequentes, ética e gestão da qualidade. A razão está na primeira frase desta seção: auditar uma instituição financeira é auditar sob NBC TA. Não há um corpo técnico bancário paralelo; a Resolução CMN 4.910/2021 se sobrepõe às NBC, não as substitui. Um item sobre suficiência de evidência ou sobre arquivo corrente × permanente decide exatamente do mesmo modo numa auditoria de banco, e por isso pertence aqui. O que fica de fora é a auditoria governamental — controle externo, TCU, auditoria do setor público como disciplina própria —, que responde a outra moldura normativa e a outro destinatário.

Por que se usa (e o que custa)

Delegar o exame a um auditor privado sai barato para o supervisor e é tecnicamente melhor do que a alternativa: a firma conhece o negócio, está lá o ano inteiro e responde profissionalmente pelo que assina. O supervisor compra cobertura contábil que jamais conseguiria produzir com servidores próprios.

O preço é o conflito de interesse, e ele é estrutural — não se resolve com boa vontade. Cada salvaguarda tem um custo próprio: a rotatividade joga fora o conhecimento acumulado justamente quando a equipe passa a entender a carteira, e os primeiros anos de um novo auditor são os de menor eficácia; a vedação a outros serviços encarece a consultoria e a própria auditoria; o comitê de auditoria é custo fixo de governança, e é por isso que ele não é exigido de toda instituição, mas apenas das de maior porte e relevância.

Reconhecer esse desenho vale ponto: quando o item propuser uma flexibilização qualquer, pergunte se ela devolve o auditor à órbita de quem o paga. Se devolver, a norma não a admite.

Como funciona

O plano técnico: as NBC TA

Evidência. O auditor não certifica, opina — e opina com base em evidência suficiente e apropriada. São duas medidas diferentes e é o par mais cobrado do tópico: suficiência é a medida da quantidade; adequação é a medida da qualidade, e depende da relevância e da confiabilidade da informação. Quanto maior o risco, mais evidência; quanto pior a evidência, mais evidência ainda.

Cada procedimento tem uma limitação característica. A observação só vale para o instante observado, e a própria presença do auditor altera o comportamento de quem executa. A indagação isolada não sustenta conclusão. A confirmação externa depende da resposta de um terceiro. Por isso os procedimentos se combinam.

Documentação × evidência. Não são a mesma coisa, e a banca vive dessa confusão. Evidência é a informação que fundamenta a conclusão; documentação são os papéis de trabalho, o registro dos procedimentos aplicados, das evidências obtidas e das conclusões alcançadas. O padrão de suficiência da documentação é externo: um auditor experiente, sem ligação anterior com o trabalho, tem de entender por ela o que foi feito. E ela não é seletiva — a norma manda registrar também a informação inconsistente com a conclusão final e como o auditor a tratou.

Os papéis são propriedade do auditor (na prática, da firma), que responde pela guarda e pelo sigilo. Dividem-se em corrente — o que se refere ao período auditado — e permanente — o que é perene e serve a vários exercícios. Depois da data do relatório, a montagem do arquivo final é processo administrativo: organiza-se, referencia-se, descarta-se o superado, mas não se executa procedimento novo nem se produz conclusão nova.

Opinião. A opinião é não modificada quando as demonstrações contábeis estão, em todos os aspectos relevantes, de acordo com a estrutura de relatório financeiro aplicável. As modificadas decorrem de dois eixos: a natureza do problema (distorção × impossibilidade de obter evidência) e a sua penetração (relevante × relevante e generalizada).

O relatório tem seções em ordem fixa, e a ordem cai: Opinião vem primeiro, Base para opinião logo depois — é nela que o auditor declara que a evidência obtida é suficiente e apropriada e que é independente —, e então incerteza relevante quanto à continuidade operacional, principais assuntos de auditoria e as responsabilidades da administração e do auditor. Na seção de responsabilidades está a frase que o candidato precisa reconhecer: segurança razoável é nível alto, não absoluto, de segurança.

Ceticismo profissional é exigido do começo ao fim: mente questionadora, avaliação crítica da evidência, atenção a condições indicativas de distorção. Não é presumir desonestidade; é não aceitar a evidência pela aparência. E, por ser julgamento humano, está sujeito a vieses conscientes e inconscientes.

Trabalho de terceiros. O auditor pode usar o trabalho da auditoria interna — depois de avaliar sua objetividade, competência e abordagem sistemática — e pode recorrer a especialista quando o objeto exigir conhecimento fora da contabilidade. Nos dois casos a responsabilidade pela opinião continua integralmente dele.

Asseguração é o gênero; auditoria é a espécie. Todo trabalho de asseguração tem no mínimo três partes: o auditor, o responsável pelo objeto e os usuários previstos — e é isso que o separa da consultoria, onde há só duas. A asseguração razoável reduz o risco a nível aceitavelmente baixo e conclui de forma positiva; a limitada admite risco maior e conclui de forma negativa (nada chegou ao conhecimento do auditor).

O plano regulatório: a Resolução CMN 4.910/2021

Quem pode auditar. Instituição autorizada pelo BACEN só pode ser auditada por auditor independente registrado na CVM e aprovado em exame de qualificação técnica. A auditoria independente é obrigatória para todas as instituições autorizadas — isso não depende de porte.

Rotatividade. O auditor independente deve ser substituído depois de cinco exercícios sociais consecutivos, e só pode ser recontratado depois de três anos. A instituição que mantém comitê de auditoria pode, em lugar de trocar a firma, trocar o responsável técnico e a equipe de direção do trabalho — o comitê funciona como salvaguarda equivalente. É a única flexibilização da regra, e existe porque há um órgão interno fiscalizando o auditor.

Vedações. O auditor não pode prestar à instituição auditada serviços que comprometam sua objetividade e independência — consultoria, avaliação de ativos, desenho de controles que ele próprio vai testar. É a ameaça de autorrevisão sendo cortada na origem, do mesmo modo que a rotatividade corta a de familiaridade.

Relatórios e comunicação. Além do relatório de auditoria, o auditor produz relatórios sobre a qualidade e adequação dos controles internos e sobre o descumprimento de dispositivos legais e regulamentares, mantidos à disposição do BACEN. E tem dever próprio de comunicar formalmente ao BACEN a ocorrência ou evidência de irregularidade que ponha em risco a continuidade da instituição, de fraude da administração de qualquer valor, de fraude relevante de empregados ou terceiros e de erro que resulte em incorreção relevante nas demonstrações. É essa comunicação que explica por que uma prova de banco central pergunta sobre auditor: aqui o auditor é canal de supervisão.

Comitê de auditoria. É órgão estatutário — criado pelo estatuto, não uma comissão da diretoria —, e não é exigido de toda instituição: a obrigação alcança as de maior porte e relevância, segundo critérios de patrimônio de referência, recursos de terceiros administrados, depósitos e enquadramento prudencial. Suas atribuições típicas:

recomendar a contratação e a substituição do auditor independente;
revisar as demonstrações contábeis antes da divulgação;
avaliar a efetividade das auditorias independente e interna e dos controles internos;
avaliar o cumprimento, pela administração, das recomendações dos auditores;
estabelecer e divulgar procedimentos para receber e tratar informações sobre descumprimento de dispositivos legais e normativos — o canal de denúncia, com sigilo garantido ao informante;
comunicar ao BACEN a ocorrência ou evidência de erro ou fraude;
elaborar relatório semestral, divulgado com as demonstrações contábeis.

Independência dos integrantes. Membro de comitê de auditoria não pode ser diretor ou empregado da instituição ou de ligadas — nem tê-lo sido no período imediatamente anterior —, não pode ser membro da equipe do auditor independente, não pode ser cônjuge ou parente próximo dessas pessoas e não pode receber da instituição outra remuneração além da do cargo. Pelo menos um integrante deve ter conhecimento comprovado de contabilidade e auditoria.

O que decide os itens

Os dois planos, lado a lado — a distinção que resolve mais itens que todas as outras:

	quem edita	o que diz	palavra que entrega
NBC TA / NBC PA / NBC TO	CFC	como se audita, o que é evidência, como se opina	evidência, papel de trabalho, ressalva, ceticismo
Resolução CMN 4.910/2021	CMN, fiscalizado pelo BACEN	quem pode auditar banco, por quanto tempo, a quem comunica	rotatividade, comitê estatutário, comunicar ao BACEN

Suficiência × adequação:

	mede	depende de
suficiência	quantidade da evidência	risco avaliado e qualidade da evidência
adequação	qualidade da evidência	relevância e confiabilidade

Documentação × evidência — evidência é o insumo; documentação é o registro do trabalho. Duas normas distintas, dois conceitos distintos: item que os iguala está errado.

Corrente × permanente — a palavra que entrega o par é perene. O que serve a mais de um exercício é permanente; o que se esgota no período auditado é corrente.

As opiniões:

	distorção relevante	impossibilidade de obter evidência
não generalizada	com ressalva	com ressalva
generalizada	adversa	abstenção

As cinco ameaças à independência e a salvaguarda de cada uma no plano do CMN:

ameaça	nasce de	salvaguarda
familiaridade	relação longa ou próxima com o auditado	rotatividade de 5 exercícios
autorrevisão	auditar o que a própria firma construiu	vedação a outros serviços
interesse próprio	dependência econômica do cliente	vedação a outros serviços; comitê recomenda a contratação
defesa de interesses	atuar como advogado do cliente	vedação a outros serviços
intimidação	pressão da administração auditada	comitê de auditoria como interlocutor e canal de denúncia

Auditoria independente × comitê de auditoria × auditoria interna:

	natureza	obrigatoriedade
auditoria independente	externa, contratada, registrada na CVM	todas as instituições autorizadas
comitê de auditoria	órgão estatutário da própria instituição	só as de maior porte e relevância
auditoria interna	estrutura interna, subordinada à governança	estrutura exigida, mas não substitui a independente

O que nunca se transfere — a responsabilidade pela opinião é do auditor independente, use ele o trabalho da auditoria interna, de especialista ou de outro auditor. Item que reparta essa responsabilidade está errado.

Números que caem


rotatividade do auditor independente	5 exercícios sociais consecutivos
recontratação do auditor substituído	só após 3 anos
comunicação de fraude ou irregularidade ao BACEN	3 dias úteis da identificação — dever do auditor e do comitê
composição mínima do comitê de auditoria	3 integrantes, ao menos 1 com conhecimento comprovado de contabilidade e auditoria
relatório do comitê de auditoria	semestral, divulgado com as demonstrações contábeis
relatórios do auditor à disposição do BACEN	5 anos
guarda da documentação de auditoria	no mínimo 5 anos da data do relatório
montagem do arquivo final	até 60 dias após a data do relatório
partes de um trabalho de asseguração	no mínimo 3

Como a CEBRASPE derruba você aqui

Esta seção ainda não foi medida: os itens deste tópico estão sendo explicados. Quando estiverem, as frequências reais aparecem aqui e o texto abaixo é reescrito contra elas.

Os itens que chegaram a este tópico no acervo dividem-se em maioria de Certos, numa proporção próxima de três para dois. Leia isso como piso: a banca nomeia o assunto no comando do grupo, e itens curtos carregam pouco do que o classificador usa para achá-los.

Duas coisas valem mais do que a contagem. A primeira é onde os itens estão. Agrupados pela norma que os decide, o peso está no bloco técnico das NBC TA e se concentra em quatro frentes, nesta ordem: planejamento, risco e materialidade (NBC TA 200, 240, 300, 315, 320, 330); evidência e os procedimentos que a produzem (NBC TA 500 e vizinhas, mais uso de auditoria interna e de especialista); documentação e papéis de trabalho (NBC TA 230), que continua sendo um bloco pesado; e relatório, opinião e eventos subsequentes (NBC TA 560, 570, 700, 705). Atrás vêm ética, independência e gestão da qualidade (NBC PA 01 e NBC PA 290) e a estrutura conceitual de asseguração.

A segunda é que o plano regulatório quase não apareceu. Do bloco da Resolução CMN 4.910/2021, o acervo mede um ponto só: as atribuições do comitê de auditoria de instituição financeira — avaliar o cumprimento das recomendações dos auditores e manter canal para informações sobre descumprimento de dispositivos legais —, num item Certo. Fora dele, nada: nenhum item cobra rotatividade da firma, vedação a prestar outros serviços ao auditado ou dever de comunicar ao BACEN. Isso diz menos sobre o que o BACEN cobra do que sobre a origem do acervo, e é razão para estudar o resto da Resolução CMN 4.910 apesar de o acervo praticamente não o medir — não por causa dele.

Uma advertência de leitura, pelo mesmo motivo registrado no alcance do tópico: os itens que o medem são, em enorme maioria, doutrina geral de auditoria independente, e é assim por decisão do projeto, não por falha de classificação. Eles valem integralmente para quem audita um banco. O que eles não medem é o recorte prudencial — e é exatamente por isso que ele aparece acima como julgamento, e não como frequência.

Inverter as duas metades de um par — metade dos itens errados. É o formato dominante e sempre o mesmo gesto: as duas descrições estão corretas, trocaram de nome. Corrente recebendo o conteúdo do permanente; os papéis de trabalho declarados não propriedade do auditor; o auditor da asseguração razoável obrigado a abster-se de reduzir o risco. Defesa mecânica: localize o par (corrente/permanente, suficiência/adequação, razoável/limitada, interna/ independente), escreva ao lado qual descrição pertence a qual, e só então leia o item.

Trocar um termo pelo vizinho da mesma norma. A qualidade da evidência atribuída à suficiência; documentação e evidência apresentadas como “o mesmo conceito”. O resto da frase é impecável — no primeiro caso, relevância e confiabilidade estão certas e definem exatamente o outro termo. Quando duas normas distintas definem os dois conceitos, a equivalência é falsa: essa é a chave mais barata do tópico.

O absoluto que exclui a evidência contrária. Um único apenas derrubou o item que mandava incluir nos papéis “apenas as evidências que suportem a opinião do auditor”. Documentação seletiva é sempre errada, porque a finalidade do papel de trabalho é permitir revisar o julgamento — inclusive o que foi descartado.

Mas o absoluto não é tell de item errado aqui. Entre os quinze Certos há sempre, todos, pelo menos e nunca, e todos sobrevivem porque são da norma, não do redator: “não significa que auditoria executada segundo as normas irá sempre detectar distorção relevante” é o texto padronizado do relatório; “incluem, pelo menos, o auditor independente, o responsável pelo objeto e aqueles que farão uso de seu relatório” é a definição de asseguração. A pergunta continua sendo de quem é o absoluto, e não se há um.

Enunciar a limitação de um procedimento costuma ser Certo. Dois itens diferentes, de provas diferentes, disseram a mesma coisa sobre a observação — que ela vale só no momento observado e que ser observado altera o comportamento — e os dois são Certos. A banca erra ao promover um procedimento isolado a prova bastante, não ao reconhecer seu limite.

Promover uma consequência a finalidade principal. Formato discreto e fácil de aprovar por desatenção: os papéis servem para evidenciar que a auditoria foi planejada e executada conforme as normas; supervisão da equipe, revisão pelo sócio e defesa em processo futuro decorrem disso. Quando o item disser “a principal função é”, teste a hierarquia antes de concordar.

Erros clássicos

Achar que comitê de auditoria é obrigatório para toda instituição financeira. Não é — e essa é a distinção que o título do assunto esconde. A auditoria independente é obrigatória para todas as instituições autorizadas; o comitê só para as de maior porte e relevância. Item que universalize o comitê está errado; item que universalize a auditoria independente está certo.

Tratar o comitê de auditoria como comissão interna da diretoria. É órgão estatutário, com integrantes que não podem ser diretores nem empregados da instituição. A razão de ser dele é não pertencer à administração que ele fiscaliza — se pertencesse, não resolveria nada.

Confundir rotatividade do auditor com rotatividade do responsável técnico. A regra é substituir a firma após cinco exercícios. Trocar só o responsável técnico e a equipe de direção é a alternativa reservada a quem tem comitê de auditoria — e é exatamente por ter comitê que a instituição a merece.

Imaginar que o dever de comunicar ao BACEN cabe na relação de confiança com o cliente. Não cabe, e é esse o ponto: diante de fraude da administração ou de irregularidade que ameace a continuidade, o auditor comunica ao supervisor. O sigilo profissional não é oponível ao BACEN nessa hipótese.

Chamar a opinião do auditor de certificação. O auditor opina sobre demonstrações contábeis; a responsabilidade pela elaboração continua sendo da administração. Segurança razoável é nível alto de segurança, não garantia de que nenhuma distorção relevante escapou.

Dar ao auditado a propriedade dos papéis de trabalho. São do auditor, que responde pela guarda e pelo sigilo. O auditado não tem direito de acesso a eles como se fossem registros seus.

Reabrir a auditoria durante a montagem do arquivo final. Depois da data do relatório, a montagem é ato administrativo. Novo procedimento ou nova conclusão naquela fase exige documentar circunstâncias, razões, autor e data — e já não é montagem.

Supor que usar a auditoria interna alivia o auditor independente. Ele avalia antes se pode usá-la, decide a extensão do uso, e continua sozinho responsável pela opinião. O mesmo vale para o especialista: contratar agrônomo não transfere a conclusão sobre o ativo biológico.