Auditoria Governamental · FUNDATEC · 2026 | Questão sqc-qg691160

Modelo das Três Linhas de Defesa e Propriedade de Riscos Operacionais

Gabarito: letra C. A primeira linha de defesa é composta pelos gestores operacionais, que possuem propriedade direta sobre os riscos operacionais e implementam controles internos no dia a dia (conforme o modelo do IIA e COSO). O art. 169 da Lei 14.133/2021, ao definir as linhas de defesa nas contratações públicas, estabelece que a primeira linha é integrada por servidores e empregados públicos que atuam na estrutura de governança, reforçando esse entendimento.

A banca exige a correta associação entre o papel de cada linha e a propriedade dos riscos. O modelo clássico das três linhas de defesa (IIA) distribui as responsabilidades da seguinte forma:

1ª linha: gestão operacional – proprietária e gestora dos riscos, executa controles.
2ª linha: funções de supervisão de riscos e conformidade – monitora e assessora, mas não possui os riscos.
3ª linha: auditoria interna – avaliação independente, sem propriedade.

A questão descreve um risco operacional concreto (falta de glicosímetros) gerenciado pela equipe operacional da ESF, com controles de estoque e mitigação via fornecedores, sob supervisão tática. A propriedade direta é da 1ª linha.

Linha de Defesa	Função Principal	Propriedade sobre Riscos Operacionais	Exemplo no Contexto da ESF
1ª linha (Gestores Operacionais)	Executa atividades diárias e implementa controles internos	Direta – proprietária e gestora dos riscos	Equipe operacional gerencia estoque de glicosímetros e aciona fornecedores locais
2ª linha (Supervisão de Riscos e Conformidade)	Monitora riscos e conformidade, assessora a 1ª linha	Indireta – não possui os riscos, apenas supervisiona	Supervisão tática mencionada na questão, que acompanha sem ser proprietária
3ª linha (Auditoria Interna)	Avaliação independente da eficácia da gestão de riscos	Nenhuma – não possui nem gere riscos	Auditoria avalia se os controles de estoque são adequados, sem intervir na operação

Linhas de defesa (IIA): 1ª linha: gestão operacional (Proprietária do risco, Controles internos); 2ª linha: supervisão (Monitora riscos e conformidade, Não possui o risco); 3ª linha: auditoria interna (Avaliação independente, Sem propriedade)

Alternativa A — ❌ Incorreta

A governança define o apetite ao risco e as políticas, mas não é uma linha de defesa; é a estrutura que estabelece as diretrizes para as três linhas. Portanto, não possui propriedade direta sobre riscos operacionais.

Alternativa B — ❌ Incorreta

A linha externa (fiscalizatória) não faz parte do modelo das três linhas de defesa. O modelo considera apenas linhas internas (1ª, 2ª e 3ª). Órgãos externos como tribunais de contas exercem controle externo, mas não são linha de defesa.

Alternativa C — ✅ Correta ⟵ GABARITO

A 1ª linha de defesa é composta pelos gestores operacionais. No caso, a equipe da ESF executa as atividades diárias e gerencia os riscos diretamente, implementando controles internos (estoque, fornecedores). Possuem propriedade direta sobre esses riscos, conforme o modelo e a lei.

Art. 169Lei-14133

Art. 169 — "As contratações públicas deverão submeter-se a práticas contínuas e permanentes de gestão de riscos e de controle preventivo... I — primeira linha de defesa, integrada por servidores e empregados públicos, agentes de licitação e autoridades que atuam na estrutura de governança do órgão ou entidade."

A primeira linha é quem executa e controla os processos, sendo a proprietária natural dos riscos operacionais.

Alternativa D — ❌ Incorreta

A 2ª linha de defesa (ex.: compliance, gestão de riscos corporativos) monitora a conformidade legal e assessora a primeira linha, mas não possui propriedade direta sobre os riscos. Sua função é supervisionar e garantir que os controles estão adequados.

Alternativa E — ❌ Incorreta

A 3ª linha de defesa (auditoria interna) realiza avaliação independente e fornece assurance sobre a eficácia da gestão de riscos e controles. Não possui propriedade sobre os riscos; sua atuação é posterior e independente.

Conclusão: A propriedade direta sobre riscos operacionais é da 1ª linha de defesa, composta pelos gestores operacionais que implementam controles internos. Gabarito: letra C.