Uma boa prática e a definição de papéis e responsabilidades estão entre os passos a serem dados para a boa gestão de riscos nas organizações. O Tribunal de Contas da União (TCU) tem difundido a abordagem de linhas de defesa do IIA para o gerenciamento de riscos eficaz na administração pública.Como linhas de defesa ou instâncias desse modelo, podem-se considerar como relevantes:
Aduas linhas – a da alta administração, balizadora dos programas ou projetos de gestão de riscos e a da auditoria interna e externa.
Btrês linhas – conselhos consultivos de gestão de riscos, auditoria interna e externa e representantes da sociedade no setor ou atividade.
Cduas linhas – a de ação gerencial, responsável pela eficiência e busca de resultados, e a de auditoria, com o papel de avaliar o processo de gestão de riscos.
Dtrês linhas – a dos gestores, a de suporte técnico e de monitoramento de riscos relevantes, auditoria interna e comunicação para alta administração e governança.
Eduas linhas – a de responsabilização interna da Administração Pública e a do coletivo, com representantes da sociedade no setor ou atividade.
Revelar gabarito e comentário▾
GabaritoD — três linhas – a dos gestores, a de suporte técnico e de monitoramento de riscos relevantes, auditoria interna e comunicação para alta administração e governança.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Modelo das Três Linhas de Defesa (IIA) na Gestão de Riscos
Gabarito: letra D. A abordagem das três linhas de defesa do IIA (Institute of Internal Auditors), adotada pelo TCU, define que a primeira linha são os gestores operacionais (controle da gerência), a segunda linha são funções de suporte técnico e monitoramento de riscos (como compliance e riscos), e a terceira linha é a auditoria interna (avaliação independente). A alternativa D descreve exatamente essas três instâncias.
A banca cobra o conhecimento do modelo de três linhas de defesa, que é um marco para governança e gestão de riscos no setor público. A descrição do modelo pelo TCU, baseada no IIA, é clara:
Modelo de três linhas de defesa (IIA/TCU):
"O controle da gerência é a primeira linha de defesa no gerenciamento de riscos, as diversas funções de controle de riscos e supervisão de conformidade estabelecidas pela gerência são a segunda linha de defesa e a avaliação independente é a terceira."
A alternativa correta deve espelhar essa estrutura. Vejamos cada uma:
Linha de Defesa
Descrição no Modelo IIA/TCU
Função Principal
1ª Linha (Gestores)
Controle da gerência (gestores operacionais)
Gerenciar riscos e controles no dia a dia
2ª Linha (Suporte Técnico)
Funções de controle de riscos e supervisão de conformidade (ex.: compliance, riscos)
Monitorar e dar suporte técnico à gestão de riscos
3ª Linha (Auditoria Interna)
Avaliação independente
Avaliar a eficácia do processo de gestão de riscos e controles
11ª linha: Gestores operacionais
22ª linha: Suporte técnico e monitoramento
33ª linha: Auditoria interna
LEVEL · soulevel.com.br
Alternativa A — ❌ Incorreta
Afirma que o modelo tem "duas linhas – a da alta administração e a da auditoria interna e externa". Erro: o modelo é de três linhas (não duas), e a alta administração não é uma linha de defesa; ela é a instância de governança que supervisiona o sistema, mas as linhas são operacionais. A primeira linha são os gestores (não a alta administração), a segunda são funções de controle (não apenas auditoria externa) e a terceira é auditoria interna.
Alternativa B — ❌ Incorreta
Afirma "três linhas – conselhos consultivos de gestão de riscos, auditoria interna e externa e representantes da sociedade". Erro: as três linhas do modelo IIA são: gestores (1ª), funções de controle de riscos/conformidade (2ª) e auditoria interna (3ª). Conselhos consultivos e representantes da sociedade não são linhas de defesa, mas podem fazer parte da governança ou controle social. A auditoria externa também não é considerada uma linha de defesa nesse modelo (é uma instância externa).
Alternativa C — ❌ Incorreta
Afirma "duas linhas – a de ação gerencial e a de auditoria". Erro: o modelo tem três linhas, não duas. Além disso, a primeira linha é a gerência operacional (não "ação gerencial" genérica), e a terceira é auditoria interna, mas falta a segunda linha (suporte técnico e monitoramento de riscos). A descrição é incompleta e incorreta.
Alternativa D — ✅ Correta ⟵ GABARITO
Afirma "três linhas – a dos gestores, a de suporte técnico e de monitoramento de riscos relevantes, auditoria interna e comunicação para alta administração e governança". Isso corresponde exatamente ao modelo: 1ª linha: gestores (controle gerencial); 2ª linha: suporte técnico e monitoramento (controle de riscos e conformidade); 3ª linha: auditoria interna, que se comunica com a alta administração e a governança. Portanto, correta.
Alternativa E — ❌ Incorreta
Afirma "duas linhas – a de responsabilização interna da Administração Pública e a do coletivo, com representantes da sociedade". Erro: o modelo tem três linhas, e os representantes da sociedade não são uma linha de defesa. O modelo IIA é focado em controles internos e auditoria, não em responsabilização coletiva.
PEGA ESSA DICA!
Memorize as três linhas de defesa: (1) gestores que executam e controlam os processos; (2) áreas de suporte como compliance, riscos, controle interno; (3) auditoria interna, que avalia independentemente. O TCU adota esse modelo para a administração pública.