Questão de Auditoria Governamental — Estrutura Conceitual de Análise de Risco (COSO) — FGV 2023

Modelo de gerenciamento de riscos: Três Linhas de Defesa

Gabarito: letra E. O enunciado descreve um modelo que, sem ser um referencial completo de gestão de riscos, estabelece claramente os papéis e responsabilidades de cada gestor, protegendo a organização por meio de uma estrutura de governança. Esse é exatamente o propósito do modelo Três Linhas de Defesa, difundido pelo IIA (Institute of Internal Auditors), que define: primeira linha (gestão operacional), segunda linha (funções de controle e conformidade) e terceira linha (auditoria interna).

A banca quer que o candidato identifique qual modelo prioriza a atribuição de papéis e responsabilidades, em vez de ser um guia completo de gerenciamento de riscos. As demais alternativas são modelos mais abrangentes ou focados em outros aspectos.

Alternativa A — ❌ Incorreta

O COSO-ERM de 2004 é um referencial completo de gerenciamento de riscos corporativos, com oito componentes inter-relacionados. Não se limita a definir papéis e responsabilidades; ao contrário, é um framework amplo que inclui definição de apetite a risco, identificação, avaliação, resposta etc. A questão destaca que o modelo adotado não é um referencial completo, o que exclui o COSO-ERM.

Alternativa B — ❌ Incorreta

O COSO/GRC de 2017 (atualização do modelo de governança, risco e compliance) também é um guia integrado, não um modelo simplificado de atribuição de responsabilidades. Ele busca alinhar governança, risco e compliance, mas não tem como foco primordial a clara definição dos papéis de cada gestor como linha de defesa.

Alternativa C — ❌ Incorreta

O EFQM Excellence Model é um modelo de excelência em gestão, baseado em critérios como liderança, pessoas, processos, resultados. Não é específico para gerenciamento de riscos nem para definição de responsabilidades de gestores no contexto de riscos. Seu foco é a melhoria contínua e a excelência organizacional.

Alternativa D — ❌ Incorreta

A ISO-IEC 31010:2009 é uma norma de apoio à ISO 31000, que apresenta técnicas para a apreciação de riscos (identificação, análise, avaliação). Não estabelece uma estrutura de governança com papéis e responsabilidades; é um catálogo de métodos, não um modelo de linhas de defesa.

Alternativa E — ✅ Correta ⟵ GABARITO

O modelo Três Linhas de Defesa é exatamente o que o enunciado descreve: não é um referencial completo de gestão de riscos (ao contrário do COSO), mas um modelo que organiza as responsabilidades em três níveis: a primeira linha (gestão operacional, responsável por identificar e gerenciar riscos no dia a dia), a segunda linha (funções de supervisão de riscos e conformidade) e a terceira linha (auditoria interna, que fornece avaliação independente). Esse modelo é amplamente utilizado no setor público para estabelecer governança e proteger a organização contra riscos.

Gabarito: letra E.