O Modelo das Três Linhas explica quem faz o quê na gestão de riscos e controles de uma organização: a gestão que opera e controla, as funções que apoiam e monitoram, e a auditoria interna que avalia com independência. Foi publicado pelo Institute of Internal Auditors (IIA) em 2020, como atualização do antigo modelo das três linhas de defesa. Para a prefeitura, ajuda a responder uma pergunta frequente: o controle interno é responsável por tudo que dá errado? Este texto mostra que não, e explica como dividir os papéis.
O que é e de onde vem
O modelo anterior, conhecido como três linhas de defesa, foi adotado pelo IIA em 2013. A revisão de 2020 manteve a ideia central e fez ajustes: retirou a palavra defesa, para não passar a ideia de que controle é só evitar riscos, introduziu o conceito de órgão de governança e destacou que o propósito é criar e proteger valor. O modelo é baseado em princípios e se concentra em papéis, não em estruturas organizacionais.
O órgão de governança, em geral o conselho e seus comitês, é o ponto de responsabilização final: define direção, delega autoridade e recursos à gestão e supervisiona. A gestão reúne a primeira linha, que opera e gerencia riscos no dia a dia, e a segunda, que oferece apoio especializado, como monitoramento, orientação e conformidade. A auditoria interna, terceira linha, fornece avaliação independente e objetiva sobre governança, gestão de riscos e controles, e se reporta ao órgão de governança.
Um dos pontos mais citados do documento é que a gestão, e não a auditoria interna, é responsável por gerir riscos. Outro é que independência não é isolamento: a auditoria deve colaborar com as demais linhas sem perder a objetividade.
Por que serve ao setor público
Na administração pública, a expressão controle costuma ser lida como tarefa de uma unidade específica. O modelo corrige isso: o secretário que conduz um serviço é o primeiro responsável por seus riscos e controles. A unidade de controle interno apoia e avalia, mas não executa a gestão.
O modelo também ajuda a localizar lacunas. Se não há segunda linha, a primeira fica sem apoio; se a auditoria atua como parte da gestão, perde independência; se não há órgão de governança claro, falta quem cobre resultados. Em prefeituras, em que as estruturas são menores, as linhas podem se concentrar em poucas pessoas, e o modelo pede cuidado para preservar a independência da avaliação.
Como aplicar na prefeitura, passo a passo
- Mapeie quem faz o quê hoje. Liste as unidades que gerenciam riscos, apoiam, monitoram ou auditam, mesmo informalmente.
- Identifique a primeira linha. Secretarias e áreas que entregam serviços e executam os processos. Cada uma deve conhecer seus riscos e controles.
- Defina a segunda linha. Quem orienta e monitora, como planejamento, orçamento, compras e integridade, sem executar a gestão.
- Assegure a terceira linha. A avaliação independente cabe à unidade de controle interno ou auditoria, vinculada à autoridade que governa, conforme a estrutura local.
- Esclareça o órgão de governança. Defina quem supervisiona e recebe os relatórios: prefeito, comitê de governança ou outro colegiado.
- Registre papéis e fluxos. Documente atribuições e canais de comunicação em ato do órgão, conforme a legislação local.
- Revise periodicamente. Ajuste a divisão de papéis quando a estrutura mudar. Preserve a independência da avaliação.
Modelo para preencher
Use a ficha abaixo como ponto de partida. Adapte à legislação e à realidade do seu órgão.
| Linha ou papel | Quem exerce na prefeitura | Responsabilidade principal | Como se comunica | Lacuna identificada |
|---|---|---|---|---|
| Órgão de governança | ||||
| 1ª linha: gestão operacional | ||||
| 2ª linha: apoio e monitoramento | ||||
| 3ª linha: avaliação independente | ||||
| Auditorias externas e outros órgãos de controle |
Exemplo prático
Exemplo hipotético. Em um município de pequeno porte, a unidade de controle interno ajuda secretarias a preencher formulários, revisa processos de compra antes da homologação e depois audita os mesmos processos. Com o modelo, a equipe percebe que a mesma unidade está atuando como segunda e terceira linhas, o que compromete a independência da avaliação.
A solução foi atribuir a orientação preventiva à área de compras e a um comitê de governança, e preservar o controle interno para a avaliação posterior e a recomendação. Os papéis foram descritos em um normativo interno, e o relatório de auditoria passou a ser encaminhado à autoridade máxima.
Erros comuns
- Achar que o controle interno gere os riscos. A responsabilidade é da gestão. O controle apoia e avalia.
- Misturar segunda e terceira linhas. Quem orienta e quem avalia deve ser distinguível, para preservar a independência.
- Esquecer o órgão de governança. Sem quem cobre e receba relatórios, as linhas trabalham no vazio.
- Copiar o organograma de grandes empresas. O modelo é de papéis e princípios. Adapte à estrutura do município.
- Isolar a auditoria. Independência não é isolamento. A colaboração é parte do modelo.
Perguntas frequentes
Quem publicou o modelo?
O Institute of Internal Auditors, em 2020, como atualização do modelo das três linhas de defesa de 2013.
Por que a palavra defesa saiu?
Para evitar a ideia de que controle é apenas defender a organização, e destacar o papel na criação e proteção de valor.
Em municípios pequenos é possível separar as linhas?
Nem sempre. O modelo admite que linhas se combinem em alguns contextos, mas pede atenção à independência da avaliação.
O modelo é obrigatório?
É uma referência. As obrigações de controle interno vêm da legislação aplicável ao seu ente, que deve ser consultada.
