Comitê de auditoria: o que legitimamente se pode esperar

O comitê de auditoria nasceu, no arcabouço regulatório internacional que inspira a legislação societária brasileira e as normas da Comissão de Valores Mobiliários, para cumprir três funções interdependentes: assegurar a integridade das demonstrações financeiras antes de sua divulgação ao mercado, supervisionar a efetividade dos controles internos que sustentam essa integridade e garantir a independência efetiva, não apenas formal, das funções de auditoria interna e externa. Essas três funções pressupõem tempo, informação e disposição para o desconforto — três recursos escassos na maior parte dos colegiados brasileiros, em que o comitê de auditoria frequentemente herda o tempo residual de uma agenda de conselho já sobrecarregada por temas estratégicos e operacionais de curto prazo.

A confusão mais recorrente entre conselheiros menos experientes é tratar o comitê como instância de revisão contábil, dedicando a maior parte do tempo disponível à leitura de notas explicativas e à conferência de variações trimestrais de receita e margem. Esse exercício, embora tenha valor informativo, desloca a atenção do colegiado da pergunta que realmente protege a organização: os controles que produziram esses números são desenhados para prevenir e detectar erro material, e foram eles efetivamente testados, com evidência documental, no período coberto pelo relatório? Quando essa pergunta não é feita com regularidade, o comitê aprova números sem examinar o processo que os gerou — o que equivale, na prática, a delegar à gestão a própria supervisão que deveria exercer sobre ela.

A Instrução da Comissão de Valores Mobiliários que disciplina a matéria e o Código Brasileiro de Governança Corporativa, editado sob a coordenação do Instituto Brasileiro de Governança Corporativa, convergem ao recomendar que o comitê de auditoria tenha ao menos um membro com reconhecida experiência em contabilidade societária ou auditoria, disponibilidade documentada de tempo compatível com a complexidade da organização e independência em relação à administração executiva. Essas exigências, contudo, são condição necessária e não suficiente: um comitê tecnicamente qualificado e formalmente independente ainda pode operar de modo decorativo se a cultura do colegiado tolerar informação incompleta, apresentações preparadas exclusivamente pela área que está sendo supervisionada e ausência de contraponto técnico externo ao processo de auditoria.

Organizações com comitês de auditoria fracos compartilham um conjunto reconhecível de sintomas estruturais, ainda que raramente os nomeiem como tal. O primeiro é o reporte administrativo da auditoria interna ao diretor financeiro ou a outro executivo cuja área está sujeita a auditoria, arranjo que compromete a independência funcional da atividade e cria incentivo, ainda que implícito, para que apontamentos sensíveis sejam suavizados antes de chegar ao colegiado. A boa prática internacional, incorporada progressivamente ao ambiente regulatório brasileiro, estabelece reporte funcional direto ao comitê de auditoria, com o executivo responsável pela auditoria interna tendo acesso irrestrito e não filtrado ao presidente do comitê.

O segundo sinal é a aprovação do plano anual de auditoria sem discussão substantiva sobre a matriz de riscos que o fundamenta. Planos de auditoria que se repetem ano após ano, cobrindo os mesmos processos com a mesma profundidade, independentemente de mudanças no ambiente de negócio, na estrutura societária ou na exposição a riscos emergentes, revelam ausência de raciocínio de risco por trás da alocação de recursos de auditoria — um recurso sempre escasso que deveria ser direcionado para onde a probabilidade e o impacto de falha são maiores, e não para onde é historicamente mais confortável auditar.

O terceiro sinal, talvez o mais diagnóstico, é a ausência de sessão executiva regular, sem a presença da diretoria, com o auditor independente e com o responsável pela auditoria interna. É nessa sessão, e apenas nela, que profissionais de auditoria costumam relatar com franqueza divergências de julgamento contábil com a gestão, resistências encontradas durante os trabalhos e pressões indevidas sobre prazos ou escopo. Comitês que nunca convocam essa sessão, ou que a transformam em formalidade de cinco minutos ao final da reunião, abrem mão do único canal estruturado de captação de sinal independente sobre a qualidade real do ambiente de controle.

O quarto sinal é a ata que registra apenas ciência, sem qualificar o nível de questionamento exercido pelo colegiado. Atas que descrevem reuniões de horas de duração em três parágrafos genéricos não apenas empobrecem a memória institucional da organização como constituem, em cenário de litígio ou de investigação regulatória, evidência frágil da diligência exercida pelos membros do comitê — documento que deveria ser o primeiro registro de defesa da conduta dos conselheiros e que, mal redigido, se torna evidência da própria omissão que buscava evitar.

A legislação societária brasileira e as normas profissionais de auditoria exigem rotatividade periódica da firma ou do sócio responsável pelos trabalhos de auditoria externa, mecanismo desenhado para mitigar o risco de familiaridade excessiva entre auditor e cliente ao longo de mandatos muito longos. Cumprir esse requisito formal, contudo, não esgota a responsabilidade do comitê sobre a independência efetiva do auditor. Comitês maduros avaliam anualmente, de forma documentada, o volume e a natureza de serviços não relacionados a auditoria eventualmente prestados pela mesma firma ou por firmas a ela relacionadas, o histórico de qualidade dos trabalhos anteriores, os resultados de inspeções realizadas por órgãos reguladores profissionais e a percepção qualitativa, formada nas sessões executivas, sobre a disposição do auditor em manter posição técnica diante de pressão da diretoria.

A remuneração do auditor externo, tema frequentemente delegado à área financeira sem envolvimento direto do comitê, deveria ser objeto de aprovação e acompanhamento do colegiado, justamente porque negociações de honorários conduzidas exclusivamente pela gestão auditada criam, ainda que indiretamente, um vínculo econômico que pode influenciar a postura do auditor em situações de divergência de julgamento contábil. Boas práticas internacionais recomendam que o comitê aprove previamente qualquer serviço adicional relevante contratado do auditor externo, evitando a acumulação silenciosa de relações comerciais que, no agregado, comprometem a percepção pública e a realidade prática de independência.

Um componente frequentemente subestimado da supervisão da auditoria externa é a análise do relatório de comunicação com os responsáveis pela governança, documento técnico em que o auditor está obrigado a relatar ao comitê questões significativas identificadas durante os trabalhos, incluindo julgamentos contábeis críticos, dificuldades encontradas durante a auditoria e discordâncias relevantes com a administração. Comitês que recebem esse documento sem promover discussão qualificada sobre seu conteúdo desperdiçam a peça de informação mais rica e menos filtrada que a supervisão externa produz sobre a qualidade do processo contábil da organização.

A supervisão de controles internos frequentemente se limita, em comitês menos maduros, à revisão de uma matriz estática de controles-chave, atualizada anualmente e raramente questionada quanto à sua suficiência diante de mudanças relevantes no negócio. Controles desenhados para um modelo operacional que já não reflete a realidade da organização — por exemplo, após uma aquisição relevante, uma migração tecnológica significativa ou uma mudança expressiva no mix de canais de venda — deixam de proteger exatamente os processos que mais concentram risco no momento presente, ainda que continuem formalmente listados e testados em papel.

A distinção entre controle desenhado adequadamente e controle operando com efetividade é central e frequentemente negligenciada. Um controle pode estar corretamente descrito em manual, aprovado pela gestão e conhecido pelos responsáveis por sua execução, e ainda assim não operar de fato no dia a dia, seja por sobrecarga operacional, seja por ausência de consequência aplicada quando o controle é contornado. Testes de efetividade operacional, conduzidos pela auditoria interna com amostragem estatisticamente defensável e reportados ao comitê com indicação clara de exceções encontradas, são o único mecanismo confiável de verificar essa distinção — e sua ausência é um dos indicadores mais consistentes de comitê que supervisiona a forma, não a substância, do sistema de controles.

Deficiências de controle identificadas em ciclos anteriores e ainda não remediadas merecem atenção redobrada do comitê, especialmente quando se acumulam ano após ano sem prazo de conclusão cumprido. A prática de aceitar planos de ação recorrentemente adiados, sem questionar a capacidade real da organização de implementá-los, transforma o processo de remediação em ritual burocrático e sinaliza, tanto internamente quanto para auditores e reguladores externos, uma cultura de tolerância a risco que tende a se manifestar, mais cedo ou mais tarde, em falha material relevante.

Muitos comitês de auditoria brasileiros tratam a supervisão do canal de denúncias como item de pauta anual, reduzido a um relatório numérico de quantidade de manifestações recebidas e encerradas. Essa abordagem ignora que o canal de denúncias é, entre todos os mecanismos de detecção de fraude reconhecidos pela literatura internacional de exame de fraudes corporativas, consistentemente o de maior efetividade — superando auditoria interna, auditoria externa e controles automatizados combinados na maior parte dos estudos setoriais disponíveis. Supervisionar superficialmente o instrumento mais eficaz de detecção de irregularidade é uma das inconsistências mais recorrentes na prática de governança corporativa brasileira.

Supervisão substantiva do canal implica que o comitê acompanhe não apenas o volume agregado de denúncias, mas sua distribuição por natureza, por área da organização e por nível hierárquico envolvido, a taxa de conclusão de investigações dentro de prazo razoável, a existência de retaliação relatada contra denunciantes e, especialmente, o desfecho de casos substanciados envolvendo integrantes da alta administração — categoria de caso em que o risco de abrandamento indevido é estruturalmente maior, dado o poder relativo das partes envolvidas na apuração.

A independência do processo investigativo em relação à área ou à pessoa investigada é elemento crítico frequentemente comprometido por arranjos organizacionais inadequados, em que a mesma estrutura responsável pela apuração reporta, na prática, à pessoa cujo comportamento está sendo examinado. Comitês de auditoria maduros exigem protocolo claro de escalonamento para casos envolvendo a alta direção, com possibilidade de contratação de investigador externo independente quando o conflito de interesse interno for evidente, e acompanham pessoalmente, sem intermediação da diretoria, o andamento desses casos até seu desfecho final.

Organizações que efetivamente elevam o padrão de funcionamento de seus comitês de auditoria compartilham práticas recorrentes, algumas delas ainda pouco disseminadas no ambiente corporativo brasileiro fora do universo das companhias listadas em segmentos de listagem mais exigentes da B3. A primeira é o calendário anual temático, em que cada reunião do ano tem foco declarado — riscos cibernéticos em um trimestre, riscos fiscais em outro, avaliação de estimativas contábeis críticas em um terceiro — evitando que a pauta se torne uma repetição genérica dos mesmos tópicos superficiais reunião após reunião.

A segunda prática é a reserva sistemática de tempo para sessão executiva em toda reunião, e não apenas em reuniões específicas do calendário, normalizando o hábito e reduzindo o desconforto que a convocação eventual dessa sessão costuma gerar quando não é prática regular. A terceira é o acompanhamento formal, com responsável nomeado e prazo, de todos os apontamentos relevantes de auditoria interna e externa, com relatório de status apresentado em toda reunião até o fechamento definitivo de cada item — prática simples, de baixo custo de implementação, e sistematicamente subutilizada.

A quarta prática, ainda incipiente na maior parte das organizações brasileiras fora do universo de companhias abertas, é a autoavaliação anual do próprio comitê, cobrindo adequação de composição, qualidade da informação recebida, tempo dedicado a cada tema e efetividade percebida da supervisão exercida. Comitês que se avaliam com o mesmo rigor com que avaliam a gestão tendem a identificar e corrigir suas próprias lacunas de funcionamento antes que elas se materializem em falha relevante — e essa disposição autocrítica é, em última análise, o diferencial mais confiável entre o comitê que protege a organização e o que apenas cumpre calendário regulatório.

A tendência regulatória, tanto no ambiente internacional quanto no brasileiro, aponta para exigência crescente de evidência documental de efetividade, e não apenas de existência formal, de comitês de auditoria. A incorporação de temas como risco cibernético, sustentabilidade e inteligência artificial ao escopo de supervisão financeira amplia a carga de responsabilidade sobre um órgão que, na maioria das organizações, ainda opera com tempo e recursos insuficientes diante da complexidade que passou a lhe ser atribuída.

Conselhos de administração que tratam essa ampliação de escopo como oportunidade de reforçar a qualificação técnica, a independência e o tempo dedicado ao comitê de auditoria tendem a converter uma exigência regulatória crescente em vantagem competitiva de proteção de valor. Os que a tratam como fardo burocrático adicional tendem a produzir exatamente o tipo de comitê decorativo que a própria evolução regulatória busca eliminar — com o agravante de que a distância entre aparência e substância se torna, a cada ciclo, mais difícil de ocultar diante de reguladores, investidores e do próprio mercado de trabalho executivo.