A administração de um risco cabe, com razão, à área que convive com ele no cotidiano da operação, princípio que a literatura de controles internos reconhece há décadas como atribuição natural da primeira linha. Rareia, contudo, resposta clara a uma pergunta que sustenta a arquitetura inteira do modelo das três linhas: quem confirma, de forma independente, que o controle produz o efeito pretendido, quando a mesma mão o desenha e depois o avalia?

O modelo das três linhas é a estrutura de governança que separa quem administra o risco (primeira linha), quem o supervisiona tecnicamente (segunda linha) e quem o audita com independência plena (terceira linha) e sua eficácia depende de que essas funções não se confundam sem que o órgão de governança saiba.

A administração de um risco cabe, com razão, à área que convive com ele no cotidiano da operação, princípio que a literatura de controles internos reconhece há décadas como atribuição natural da primeira linha. Rareia, contudo, resposta clara a uma pergunta que sustenta a arquitetura inteira do modelo das três linhas: quem confirma, de forma independente, que o controle produz o efeito pretendido, quando a mesma mão o desenha e depois o avalia?

O Instituto de Auditores Internos (IIA) trata da separação entre administrar e verificar risco sob o nome de modelo das três linhas. Em julho de 2026, o instituto publicou Assurance and Advice in Support of Effective Governance: Three Lines Model, na forma de Statement of Position, categoria de pronunciamento reservada aos temas de maior peso institucional para a entidade. A atualização confirma o argumento central deste artigo: a convergência entre quem administra e quem verifica risco deixou de figurar como anomalia a ser eliminada e passou a figurar como escolha organizacional legítima, condicionada à declaração formal ao órgão de governança e ao registro de salvaguarda específica.

O que caracteriza o modelo das três linhas

O modelo origina-se do documento de 2013 do IIA, The Three Lines of Defense in Effective Risk Management and Control, revisado em 2020 sob o título The Three Lines Model: An Update of the Three Lines of Defense, ocasião em que o termo “defesa” saiu da nomenclatura. A estrutura distribui a responsabilidade sobre risco em três camadas: a primeira linha, ocupada por quem administra o risco no curso normal da operação; a segunda linha, encarregada de supervisionar e desafiar tecnicamente as práticas da primeira, com grau próprio de independência funcional; a terceira linha, exercida pela auditoria interna, com independência plena em relação às duas camadas anteriores.

A versão de 2026 substitui formalmente o position paper de 2020 e recoloca o órgão de governança como público prioritário do texto. Independência permanece como conceito central, sustentada por elementos objetivos: linha de reporte funcional ao conselho, autonomia sobre escopo e planejamento das avaliações, acesso irrestrito à informação, controle sobre recursos próprios, proteção contra retaliação. O documento esclarece um ponto pouco discutido na literatura de compliance nacional: independência não equivale a isolamento, e a coordenação entre as três linhas figura como condição de eficácia do modelo, não como concessão à falta de estrutura organizacional.

O que a atualização de 2026 muda na prática

O documento dedica seção específica, intitulada Safeguards to Maintain Clarity and Objectivity, a dois cenários distintos de sobreposição entre linhas. No primeiro, a própria função de auditoria interna assume atividade típica de segunda linha, hipótese que o texto qualifica como ameaça direta de autorrevisão, sujeita a justificativa documentada, divulgação plena ao conselho e garantia de que outra parte independente preste assurance sobre a área durante a sobreposição. No segundo, o Chief Audit Executive apenas supervisiona uma função de segunda linha que permanece organizacionalmente separada da auditoria interna, cenário de menor gravidade, para o qual bastam separação clara de responsabilidades, alocação documentada de atribuições, revisão periódica independente e aprovação do conselho sobre a ampliação de escopo.

O texto nomeia com precisão o risco que a convergência não declarada carrega: “self-review threats can arise if the same person or function” projeta, executa e depois avalia o próprio trabalho. Como parâmetro objetivo de mitigação, pouco comum nesse tipo de pronunciamento institucional, o documento propõe intervalo mínimo de doze meses entre a responsabilidade sobre determinado processo e a prestação de assurance sobre o mesmo processo, prazo que o próprio IIA considera tipicamente suficiente para preservar a objetividade do avaliador.

O que COSO e COBIT já diziam sobre segregação de funções

A exigência de segregar quem executa de quem avalia não nasce com a atualização de 2026, nem é exclusividade do IIA. O COSO, na estrutura conhecida como Internal Control Integrated Framework, de 2013, trata segregação de funções incompatíveis como um dos tipos de atividade de controle previstos no Princípio 10, e prevê expressamente a hipótese de a segregação plena não ser viável: nesse caso, cabe à administração desenvolver controles alternativos, lógica que converge com a exigência de salvaguarda declarada trazida pelo IIA. O COBIT, da ISACA, adota abordagem complementar ao distinguir, na própria arquitetura de domínios, governança (o domínio Evaluate, Direct and Monitor, de responsabilidade do órgão de governança) de gestão (os domínios executados pela administração), reforçando, sob ângulo de governança de tecnologia, a mesma fronteira entre quem decide e supervisiona e quem executa.

A convergência entre três frameworks de origem distinta, auditoria interna, controles internos e governança de tecnologia, sobre a necessidade de segregar administração e verificação de risco sugere princípio estruturante da disciplina de governança, não preferência isolada de uma entidade profissional.

Uma crítica frequente, e onde ela perde força

Críticas ao modelo das três linhas, publicadas mesmo antes da atualização de 2026, apontam risco real: a aplicação rígida do modelo tende a produzir silos entre áreas, mentalidade de fiscalização mútua entre primeira e segunda linha, postura reativa da auditoria interna, presente somente depois que o dano já ocorreu. A crítica encontra maior fundamento na versão mais antiga do documento, de leitura mais rígida e menos adaptável às diferenças de porte e maturidade entre organizações.

A versão de 2026 responde à fragilidade apontada por deslocamento de ênfase. Coordenação e confiança mútua entre as três linhas passam a integrar os princípios centrais do texto, e a estrutura deixa de prescrever função fixa para se tornar arcabouço adaptável a porte, complexidade e maturidade de cada organização. O documento chega a admitir explicitamente que os papéis se sobreponham na prática, sob a condição de a sobreposição ser reconhecida e administrada de forma transparente.

Quando a convergência acontece sem ser declarada

Na prática de mercado, a convergência entre primeira e segunda linha raramente resulta de decisão deliberada. Resulta, com maior frequência, do crescimento da empresa em ritmo mais acelerado do que sua governança. A área que administra determinado risco assume também a tarefa de atestar que o controle correspondente funciona, decorrência da ausência de outra área disponível para exercer a verificação, não de escolha formal.

Registra-se, nesses casos, padrão recorrente: o órgão de governança segue supondo a existência de uma segunda camada de verificação independente que, na prática, jamais existiu de forma distinta da primeira. A suposição raramente é testada, porque nenhum evento cobra sua verificação até que um risco relevante se materialize sem aviso prévio.

Consequências para o conselho

O Código das Melhores Práticas de Governança Corporativa do IBGC, em sua 6ª edição, de 2023, atribui aos órgãos de fiscalização e controle, entre eles conselho fiscal, comitê de auditoria, auditoria interna e externa, o papel de assegurar verificação independente sobre a gestão, com ênfase na separação entre quem administra e quem avalia. Quando a separação de papéis não existe na prática, ainda que exista no organograma formal, o órgão de governança delibera sobre parâmetros de risco a partir de garantia que não se sustenta.

A consequência não permanece apenas no plano técnico. Decisões de apetite a risco, aprovação de limites de exposição e validação de planos de mitigação pressupõem que a informação recebida passou por checagem independente antes de chegar à mesa do conselho. Quando a checagem nunca ocorreu, a decisão do colegiado apoia-se em segurança presumida, distante da segurança verificada que o modelo das três linhas pretende assegurar.

Sinais de que a segunda linha não existe de fato

Alguns indicadores permitem identificar convergência não declarada entre primeira e segunda linha antes que um evento de risco a revele. O primeiro consiste na coincidência entre quem elabora o relatório de risco e quem assina sua validação final, sem segunda assinatura de área distinta. O segundo manifesta-se na ausência de qualquer registro, em ata ou documento de governança, sobre a existência de convergência entre funções e sobre as salvaguardas adotadas para mitigá-la. O terceiro aparece quando o órgão de governança nunca recebeu comunicação formal a respeito de quem, de fato, exerce a segunda linha em determinada área de risco.

A presença de qualquer um dos indicadores listados aponta, em geral, para lacuna de governança decorrente de crescimento não acompanhado por estrutura correspondente, raramente para má-fé ou negligência deliberada da área responsável.

FAQ — Perguntas frequentes sobre o modelo das três linhas

Conclusão

A atualização de 2026 do modelo das três linhas não dissolve, por si só, a convergência entre gestão e verificação de risco presente em grande parte das organizações em crescimento. Oferece critério objetivo, incluindo parâmetro de prazo mínimo entre funções e alinhamento com o que COSO e COBIT já preceituavam sob ângulos distintos, para diferenciar convergência declarada, sustentada por salvaguarda formal e conhecimento do órgão de governança, de convergência silenciosa, sustentada apenas pela ausência de alternativa organizacional.

Identificar em qual das duas situações uma organização se encontra depende de exame que raramente nasce de dentro da própria área avaliada, pela natureza circular da pergunta: pedir à mesma pessoa que administra e verifica um risco que audite a própria convergência reproduz o problema em exame. Empresas que buscam diagnóstico preciso sobre o próprio caso encontram, na leitura conduzida por especialistas externos à operação, via mais confiável do que a autoavaliação interna.

Este é o segundo artigo da série que percorre o caminho do dado, da operação até a mesa do conselho. O primeiro tratou de como a informação se degrada nesse trajeto.