Quando o risco opera em rede: o papel da auditoria interna em interfaces da governança
A designação, pelos Estados Unidos, do Primeiro Comando da Capital (PCC) e do Comando Vermelho (CV) como organizações terroristas estrangeiras, em junho de 2026, recolocou o crime organizado no centro do debate público. Os efeitos jurídicos e econômicos dessa decisão ainda precisarão ser observados. Para a auditoria interna, porém, o aspecto mais relevante está em uma transformação anterior: o crime organizado já não pode ser compreendido simplesmente como um problema de segurança pública e persecução penal.
Organizações criminosas movimentam recursos, estabelecem relações com agentes da economia formal e podem utilizar empresas, contratos, ativos e estruturas legítimas para sustentar, ocultar ou expandir suas atividades. A Europol, ao analisar 821 das redes criminosas consideradas mais ameaçadoras da União Europeia, identificou que 86% utilizavam estruturas empresariais legais. O Anti-Corruption and Integrity Outlook 2026, da OCDE, também chama atenção para o uso da corrupção e de fragilidades de governança como meios de penetração na economia legal e nos serviços públicos.
No Brasil, a evolução da Estratégia Nacional de Combate à Corrupção e à Lavagem de Dinheiro (Enccla) revela ampliação semelhante. Criada inicialmente para enfrentar a lavagem de dinheiro, a Estratégia incorporou o combate à corrupção e, em 2026, incluiu entre seus eixos “Crime Organizado e Cadeias Produtivas”, alcançando setores econômicos, beneficiários finais, fluxos financeiros ilícitos e recuperação de ativos.
Esses movimentos ajudam a compreender por que o tema interessa à governança e à auditoria interna, pública e privada. Não porque caiba à auditoria investigar organizações criminosas ou assumir atribuições de inteligência e persecução penal. A questão é outra: quando estruturas legítimas podem ser utilizadas para viabilizar atividades ilícitas, a qualidade da governança, da gestão de riscos e dos controles passa a integrar a capacidade de prevenção e resposta das organizações.
Para as organizações, isso cria um desafio: partes de um mesmo risco podem aparecer em lugares distintos. Compliance pode deter uma informação, a área de compras outra, a ouvidoria identificar um sinal, a corregedoria apurar uma conduta, a prevenção a fraudes perceber um padrão e a segurança da informação detectar conexões relevantes. E isso se aplica também ao setor público.
A especialização dessas funções é necessária. Cada uma possui atribuições e responsabilidades próprias. O problema surge quando essa especialização produz fragmentação e pontos cegos. Não se trata de colocar uma função acima das demais ou fazer com que todas desempenhem o mesmo papel. Trata-se de criar condições para que atuem em sintonia, preservando seus mandatos e compartilhando, quando necessário e permitido, informações relevantes para a compreensão dos riscos.
O Three Lines Model, do The Institute of Internal Auditors (IIA), sustenta essa lógica ao reconhecer papéis distintos e complementares na governança e na gestão de riscos. Para a auditoria interna, a questão não é coordenar ou dirigir as demais funções, mas avaliar se o arranjo funciona. Existem lacunas ou sobreposições? Alertas chegam a quem precisa decidir? Informações relevantes permanecem isoladas? Riscos integrados não exigem funções indistintas, mas funções coordenadas.
De forma didática, essa perspectiva de atuação pode ser traduzida em três lentes úteis para a auditoria interna:
Seguir o dinheiro
Significa compreender se a organização dispõe de mecanismos proporcionais aos riscos para identificar, monitorar e responder a fluxos financeiros atípicos, estruturas utilizadas para ocultar recursos e questões relacionadas ao beneficiário final. As Recomendações do Financial Action Task Force (FATF) colocam a abordagem baseada em riscos e a transparência sobre beneficiários finais entre os elementos relevantes para a prevenção da lavagem de dinheiro.
Seguir as relações
Significa ampliar o olhar para fornecedores, parceiros, intermediários e outros terceiros. Estruturas societárias, subcontratações, beneficiários finais e vínculos entre agentes podem modificar o perfil de risco ao longo de uma relação. O tema ganhou ainda mais relevância com o Third-Party Topical Requirement, emitido pelo IIA em 2025 e vigente a partir de setembro de 2026, que estabelece requisitos para trabalhos de assurance relacionados à governança, à gestão de riscos e aos controles sobre terceiros.
Seguir as vulnerabilidades
Significa procurar os espaços em que o sistema pode falhar mesmo quando cada controle, isoladamente, parece adequado. A fragilidade pode estar na informação que não circula, em sistemas que não se comunicam, em responsabilidades mal definidas ou em sinais dispersos entre diferentes áreas. No setor público, essas interfaces podem ultrapassar uma organização e envolver políticas públicas, regulação, supervisão, contratações e coordenação entre instituições.
Essa abordagem exige cuidado. Integração não significa circulação indiscriminada de informações. Sigilo, proteção de dados, confidencialidade, segurança da informação e devido processo estabelecem limites que precisam ser respeitados. A questão de governança é saber se, dentro desses limites, a informação relevante chega de forma segura e tempestiva a quem precisa conhecê-la.
Também não significa incorporar automaticamente uma “agenda antimáfia” ao planejamento de toda auditoria. A relevância do tema depende do contexto, da exposição da organização, de seus setores de atuação, de suas relações com terceiros e dos riscos associados às atividades ou políticas avaliadas. Sua inclusão no universo auditável deve decorrer da avaliação de riscos, e não apenas da importância social do fenômeno.
O desafio colocado pelo crime organizado é também um desafio de capacidade institucional. Normas e controles são necessários, mas sua existência formal não garante uma resposta efetiva. A OECD, em seu Anti-Corruption and Integrity Outlook 2026, chama atenção para a distância que pode existir entre regras de integridade e sua implementação.
Para a auditoria interna, isso reforça uma mudança de perspectiva: não basta perguntar se cada controle existe ou se cada função desempenha isoladamente sua atribuição. É necessário avaliar se o conjunto é capaz de reconhecer sinais relevantes, conectar informações e responder aos riscos, e essa é a atividade central da auditoria interna, pública e privada.
A contribuição da auditoria não está em assumir responsabilidades de outras áreas nem em transformar-se em instância de investigação criminal. Está em preservar sua independência e, a partir dela, avaliar a qualidade da governança, dos controles e das interfaces que permitem que diferentes atores cumpram suas responsabilidades de forma articulada, e se utilizar estrategicamente de sua transversalidade.
Diante de riscos que operam em rede, a pergunta central talvez seja esta: o sistema consegue perceber, conectar e responder àquilo que nenhum de seus componentes conseguiria enxergar sozinho?
ESTADOS UNIDOS. Department of State. Foreign terrorist organization designation of Primeiro Comando da Capital and Comando Vermelho (Public Notice 13030). Federal Register, Washington, DC, 5 jun. 2026.
EUROPOL. Decoding the EU’s most threatening criminal networks. Haia: Europol, 2024.
EUROPOL. Leveraging legitimacy: how the EU’s most threatening criminal networks abuse legal business structures. Luxemburgo: Publications Office of the European Union, 2024b. DOI: https://doi.org/10.2813/7731594.
OECD. Anti-corruption and integrity outlook 2026: harnessing the integrity advantage. Paris: OECD Publishing, 2026. DOI: https://doi.org/10.1787/16708b78-en.
THE INSTITUTE OF INTERNAL AUDITORS. Third-party topical requirement. [S. l.]: The Institute of Internal Auditors, 2025.
THE INSTITUTE OF INTERNAL AUDITORS. Three lines model: assurance and advice in support of effective governance. [S. l.]: The Institute of Internal Auditors, 2026.