Contratar auditoria para dar conta de duas frentes ao mesmo tempo parece, à primeira vista, uma forma de simplificar a gestão e reduzir fornecedores. Mas quando se trata de auditoria externa e interna na mesma empresa, a decisão deixa de ser apenas operacional e passa a envolver independência, risco de conflito e regras que variam conforme o perfil da entidade. Este texto ajuda o gestor a entender o que está em jogo e a avaliar o próprio caso com critério.
A pergunta central: a mesma empresa pode auditar interna e externamente?
A resposta direta é: em regra, não. Quando a mesma firma de auditoria executa, para o mesmo cliente, os trabalhos de auditoria interna e de auditoria externa independente, instala-se um conflito estrutural de independência que as normas brasileiras e internacionais tratam como incompatível com a emissão de opinião sobre demonstrações contábeis. A vedação não decorre de mero formalismo: ela protege a credibilidade do parecer que terceiros — investidores, credores, reguladores e o mercado — utilizarão para tomar decisões.
Há, contudo, nuances importantes. A proibição absoluta atinge principalmente a auditoria das demonstrações financeiras destinadas a fins regulatórios ou de mercado. Em empresas fechadas de pequeno porte, sem obrigação legal de auditoria independente, a contratação de um mesmo prestador para atividades de auditoria interna e revisão contábil pode não ser formalmente vedada por norma específica — mas continua sendo desaconselhada pelas boas práticas de governança, justamente pelo risco de autorevisão que será detalhado adiante.
Portanto, a pergunta correta não é apenas “pode ou não pode”, mas “em que contexto, para qual finalidade e sob qual regramento”. A resposta varia conforme o tipo de entidade, o destinatário do relatório e a existência de obrigação legal de auditoria independente. É essa segmentação que permite ao gestor decidir com segurança, sem subestimar riscos nem criar custos desnecessários.
Por que auditoria interna e externa não são a mesma coisa
Antes de avaliar a acumulação, é preciso compreender que as duas funções nascem de necessidades distintas, operam com metodologias distintas e prestam contas a destinatários distintos. Confundi-las é o primeiro passo para decisões equivocadas de contratação. A auditoria interna é uma atividade de avaliação e consultoria dentro da própria organização; a auditoria externa é um exame independente realizado por profissional ou firma sem vínculo com a entidade auditada.
Objetivo, escopo e destinatário de cada função
A auditoria interna avalia a eficácia dos controles internos, dos processos de gestão de riscos e da governança corporativa. Seu escopo é definido pela administração ou pelo comitê de auditoria e pode abranger desde conformidade operacional até investigações de fraude, eficiência de processos e aderência a políticas internas. O destinatário primário é a própria gestão da empresa, que utiliza os achados para corrigir falhas e melhorar o ambiente de controle.
A auditoria externa, por sua vez, tem como objeto central as demonstrações contábeis e a conformidade dessas demonstrações com o marco contábil aplicável. Seu escopo é determinado pelas normas de auditoria e pelo regulador competente, não pela conveniência da administração. O destinatário é externo: acionistas, conselho de administração, credores, órgãos reguladores e o público em geral. A opinião emitida precisa ser útil a quem não participa da gestão — e é exatamente essa característica que torna a independência inegociável.
Essa diferença de destinatário explica por que um relatório de auditoria interna não substitui, para nenhum efeito legal ou regulatório, o parecer de auditor independente. São produtos distintos, com graus distintos de responsabilidade e consequências jurídicas distintas para quem os emite.
Quem contrata, quem responde e a quem se reporta
A auditoria interna é contratada pela própria organização e, em estruturas maduras de governança, reporta-se funcionalmente ao comitê de auditoria ou diretamente ao conselho de administração, com vínculo administrativo à alta gestão. O auditor interno pode ser empregado da companhia ou prestador terceirizado — o que importa é que sua atuação ocorre dentro da esfera de interesse da entidade, ainda que com independência funcional em relação às áreas auditadas.
A auditoria externa é contratada formalmente pela assembleia de acionistas, pelo conselho de administração ou por exigência legal ou regulatória, mas responde a um interesse que transcende o contratante direto. O auditor independente se reporta aos acionistas e ao público, e sua responsabilidade civil e disciplinar é apurada perante órgãos como a CVM, o Banco Central e os conselhos profissionais. Essa assimetria de reporte é o fundamento prático da incompatibilidade de acumulação: quem presta contas à gestão não pode, ao mesmo tempo, atestar a fidedignidade das informações que a própria gestão produziu para terceiros.
- Auditoria interna: contratada pela gestão, reporta à gestão ou ao comitê
- Auditoria externa: contratada por acionistas ou exigência legal, reporta ao público
- Escopo interno: definido pela administração, flexível e contínuo
- Escopo externo: definido por norma e regulador, focado nas demonstrações
- Produto interno: recomendações de melhoria de controle
- Produto externo: opinião formal com fé pública e responsabilidade legal
Independência: o conceito que decide a resposta
A independência é o atributo que separa a auditoria de qualquer outro serviço de assessoria. Sem ela, a opinião do auditor perde valor probatório e utilidade social. No caso da acumulação de auditoria interna e externa, a independência é atacada em duas frentes: a objetiva, verificável por terceiros, e a subjetiva, que reside na capacidade de julgamento imparcial do profissional.
Independência de aparência e independência de fato
A independência de fato refere-se ao estado mental do auditor: a capacidade de conduzir o trabalho sem se deixar influenciar por interesses, vínculos ou pressões que comprometam o julgamento profissional. É uma condição interna, não diretamente observável por terceiros, mas essencial para a qualidade técnica do exame.
A independência de aparência é o que um terceiro bem informado, ponderando fatos e circunstâncias, concluiria sobre a imparcialidade do auditor. Mesmo que o profissional acredite sinceramente estar sendo imparcial, se as circunstâncias criam uma percepção razoável de comprometimento, a independência de aparência está violada. As normas de auditoria exigem ambas — e a acumulação de auditoria interna e externa compromete especialmente a segunda, porque o público não consegue distinguir onde termina o assessoramento à gestão e onde começa o exame crítico das demonstrações.
Na prática, a independência de aparência funciona como regra objetiva de prevenção: proíbe-se a relação não porque se presume má-fé do auditor, mas porque o sistema não pode depender da virtude individual para funcionar. A credibilidade do mercado de capitais exige que a independência seja estrutural, não apenas intencional.
Autorevisão: o risco que a acumulação cria
A ameaça de autorevisão ocorre quando o auditor precisa avaliar, como parte do trabalho de asseguração, algo que ele próprio — ou outra área da mesma firma — produziu, implementou ou recomendou anteriormente. Ao acumular auditoria interna e externa, a firma que ajudou a desenhar controles, sugeriu ajustes em processos ou validou saldos ao longo do ano teria de, ao final do exercício, emitir opinião independente sobre o resultado dessas mesmas atividades.
O problema não é apenas ético: é epistemológico. Ninguém avalia com o mesmo ceticismo profissional um trabalho do qual participou. A tendência, ainda que inconsciente, é validar decisões anteriores, minimizar achados que contradigam recomendações feitas e preservar a relação comercial. As normas de auditoria reconhecem essa ameaça como uma das cinco categorias fundamentais de risco à independência — ao lado de interesse próprio, defesa de interesse do cliente, familiaridade e intimidação — e exigem salvaguardas ou, quando a ameaça é significativa, a recusa do trabalho.
- Autorevisão: auditar o que a própria firma ajudou a produzir
- Interesse próprio: receio de perder receita com o cliente
- Defesa de interesse: o auditor vira advogado da posição do cliente
- Familiaridade: vínculo prolongado reduz o ceticismo profissional
- Intimidação: pressão da gestão sobre o auditor
O que dizem as normas e a regulamentação aplicável
A vedação à acumulação não é uma preferência doutrinária: está positivada em normas técnicas e em regulação setorial. Compreender a hierarquia dessas fontes ajuda o gestor a saber quando a proibição é absoluta, quando admite mitigação e quando depende de análise caso a caso.
Normas de auditoria e exigências de independência
As normas brasileiras de auditoria independente, convergentes com os padrões internacionais, estabelecem que o auditor deve ser independente da entidade auditada durante todo o período coberto pelas demonstrações e até a emissão do relatório. A prestação de serviços de auditoria interna para o mesmo cliente de auditoria externa é tratada como ameaça de autorevisão que, em circunstâncias normais, não admite salvaguarda suficiente — a única resposta compatível é a não prestação do serviço.
O código de ética profissional aplicável aos contadores que atuam como auditores independentes reforça a mesma lógica: serviços que impliquem assumir responsabilidades de gestão, ou que criem a necessidade de revisar o próprio trabalho, são incompatíveis com o encargo de auditoria externa. A norma não distingue o porte do cliente nesse ponto; a incompatibilidade decorre da natureza do serviço, não do tamanho da entidade.
Há, porém, uma distinção relevante entre vedação normativa e recomendação de boa prática. A vedação normativa atinge a firma que emite relatório de auditoria independente sobre demonstrações contábeis. A recomendação de boa prática atinge qualquer arranjo em que a mesma firma acumule funções de avaliação interna e externa, ainda que sem obrigação legal de auditoria — caso em que a decisão cabe ao gestor, informado pelos riscos.
Regras específicas para companhias abertas e setores regulados
Para companhias abertas registradas na CVM, a restrição é reforçada por regulação própria que impede o auditor independente de prestar, ao mesmo cliente de auditoria, serviços que comprometam a independência ou configurem a perda de objetividade. A contratação de auditoria interna junto ao mesmo auditor independente está entre as situações tipicamente incompatíveis, pois transformaria o auditor em parte do sistema de controle que ele mesmo deve avaliar criticamente.
Setores regulados — instituições financeiras supervisionadas pelo Banco Central, operadoras de planos de saúde fiscalizadas pela ANS, entidades de previdência complementar sob a PREVIC — impõem exigências adicionais de independência e, em muitos casos, de registro específico do auditor junto ao regulador. Nesses ambientes, a separação entre auditoria interna e auditoria externa não é apenas recomendada: é condição para que o relatório do auditor independente seja aceito pelo órgão de supervisão. Para entender como funciona a contratação de auditor habilitado junto ao regulador bancário, vale consultar os critérios de auditoria independente habilitada.
No setor de saúde suplementar, a lógica é análoga: a auditoria atuarial e contábil exigida pela ANS deve ser conduzida por profissional ou firma sem vínculo com a gestão da operadora, e o acúmulo com funções de auditoria interna comprometeria a aceitação do trabalho. O mesmo raciocínio vale para fundos de pensão, onde a independência do auditor é verificada pela PREVIC como requisito de credenciamento e manutenção da habilitação.
Cenários em que a acumulação é vedada, restrita ou tolerada
A resposta à pergunta-título depende do ambiente regulatório e do destinatário do relatório. Organizar os cenários em três categorias — vedação, restrição e tolerância — permite ao gestor localizar rapidamente a situação da sua empresa e agir de acordo.
Empresas de capital aberto e entidades reguladas
Neste grupo, a acumulação é vedada. Companhias abertas, instituições financeiras, seguradoras, operadoras de saúde, entidades de previdência complementar e demais entes sujeitos a supervisão prudencial não podem contratar a mesma firma para auditoria interna e auditoria externa independente. A vedação decorre da combinação de normas de independência com regulação setorial específica, e sua violação pode gerar rejeição do relatório pelo regulador, sanções administrativas e responsabilização dos administradores.
Nesses ambientes, a segregação é estrutural: o comitê de auditoria, quando existente, supervisiona a contratação e a atuação de ambos os auditores, garantindo que não haja sobreposição de firmas nem vínculos que comprometam a objetividade. Para companhias abertas, o processo de contratação de auditoria já pressupõe essa separação como condição de validade.
Empresas fechadas, PMEs e organizações sem obrigação legal de auditoria
Para empresas limitadas de pequeno e médio porte, sem obrigação legal ou contratual de auditoria independente, não existe norma específica que proíba a mesma firma de prestar serviços de auditoria interna e de revisão contábil. A situação é de tolerância formal com restrição prática: juridicamente possível, tecnicamente desaconselhada.
O risco, nesse cenário, é menos regulatório e mais de qualidade da informação. Se a empresa pretende, no futuro, buscar crédito bancário, atrair investidores, participar de licitações ou ser adquirida, a existência de relatórios produzidos por firma que acumulava funções de auditoria interna reduzirá a credibilidade desses documentos perante terceiros. Um comprador em processo de due diligence questionará a independência de qualquer asseguração emitida nesse arranjo.
Há ainda uma subcategoria: organizações do terceiro setor, condomínios e associações que contratam “auditoria” sem obrigação legal. Nesses casos, o termo é frequentemente usado de forma imprecisa, e o serviço prestado se aproxima mais de uma revisão de controles ou conferência contábil. Ainda assim, a recomendação de separar quem avalia internamente de quem emite opinião para terceiros permanece válida, proporcionalmente ao risco e ao porte da entidade.
- Capital aberto e regulados: vedação absoluta, sem salvaguarda possível
- Fechadas com obrigação contratual de auditoria: restrição por cláusula e boa prática
- PMEs sem obrigação legal: tolerância formal, risco reputacional e de qualidade
- Terceiro setor e condomínios: ausência de norma, recomendação proporcional
Alternativas quando a acumulação não é possível
A impossibilidade de acumular funções não significa ausência de coordenação. Pelo contrário: as normas de auditoria incentivam a interação entre auditor interno e externo, desde que conduzida de forma a preservar a independência de ambos. A governança madura não tenta fundir os papéis; ela os articula.
Cooperação e coordenação entre auditorias distintas
A auditoria externa pode utilizar o trabalho da auditoria interna como insumo, desde que avalie a competência, a objetividade e a qualidade do trabalho realizado. Isso não configura acumulação: são firmas e equipes distintas, com responsabilidades distintas. A cooperação típica envolve compartilhamento de entendimento sobre riscos, alinhamento de cronogramas para evitar retrabalho e discussão de achados relevantes, sempre preservando a independência de julgamento do auditor externo.
Essa coordenação reduz custos e aumenta a cobertura de riscos, mas exige protocolos claros. O auditor externo não pode delegar à auditoria interna etapas que exijam julgamento profissional independente, nem aceitar sem avaliação crítica conclusões produzidas internamente. A norma de auditoria que trata do uso do trabalho de auditores internos estabelece critérios objetivos para essa avaliação.
Na prática, empresas que mantêm auditoria interna própria ou terceirizada com firma distinta da auditoria externa conseguem combinar profundidade de avaliação contínua com credibilidade de asseguração independente — sem violar qualquer regra de independência.
Modelo das Três Linhas e o papel do comitê de auditoria
O Modelo das Três Linhas, difundido pelo Instituto dos Auditores Internos, organiza a governança em três camadas: a primeira linha é a gestão operacional, dona dos riscos e dos controles do dia a dia; a segunda linha são as funções de supervisão e gestão de riscos, como compliance e controle interno; a terceira linha é a auditoria interna, que avalia de forma independente as duas primeiras. A auditoria externa situa-se fora desse modelo, como asseguração independente sobre as demonstrações e sobre a efetividade do próprio sistema de governança.
O comitê de auditoria, quando existente, é o órgão que articula essas camadas sem fundi-las. Cabe a ele supervisionar a contratação da auditoria externa, avaliar a independência do auditor, acompanhar o plano de auditoria interna e garantir que as duas funções operem com autonomia. Em companhias abertas, a existência e as atribuições do comitê de auditoria são disciplinadas por regulação específica, e sua atuação é o principal antídoto contra tentativas de concentrar funções incompatíveis em um único prestador.
- Primeira linha: gestão operacional, dona dos riscos
- Segunda linha: compliance e gestão de riscos
- Terceira linha: auditoria interna independente
- Auditoria externa: asseguração fora do modelo, para terceiros
- Comitê de auditoria: articula as linhas sem fundi-las
Riscos de manter as duas funções sob o mesmo prestador
Mesmo nos cenários em que a acumulação não é formalmente vedada, mantê-la sob o mesmo prestador gera riscos concretos que se materializam em prejuízo financeiro, perda de credibilidade e exposição legal. O primeiro risco é a perda de qualidade da asseguração: a firma que participou da construção dos controles tende a validá-los com menos ceticismo, reduzindo a probabilidade de identificar distorções relevantes nas demonstrações.
O segundo risco é reputacional. Terceiros — bancos, investidores, seguradoras, compradores — avaliam a confiabilidade dos relatórios pela independência de quem os emitiu. Um relatório assinado por firma que também prestava auditoria interna ao mesmo cliente carrega uma suspeita estrutural que nenhuma nota explicativa elimina. Em processos de due diligence contábil, essa suspeita costuma se converter em exigência de reauditoria, com custo e atraso para o vendedor.
O terceiro risco é regulatório e contratual. Se a empresa migrar para um ambiente com obrigação de auditoria independente — abertura de capital, ingresso em setor regulado, exigência de credor —, a estrutura anterior de acumulação se tornará um passivo. O histórico de relatórios emitidos sob conflito pode ser questionado, e a transição para um arranjo compatível exigirá refazer trabalhos e reconstruir trilhas de auditoria. A prevenção, nesse caso, é significativamente mais barata que a correção.
Há ainda o risco de perda de objetividade da auditoria interna. Quando o prestador interno sabe que também emitirá opinião externa, há incentivo para calibrar os achados internos de modo a não criar inconsistências com o relatório futuro — exatamente o oposto do que se espera de uma auditoria interna corajosa e independente.
O que define o custo de estruturar auditoria interna e externa separadas
O custo de manter dois prestadores distintos não é uma simples soma de honorários; ele é determinado por um conjunto de variáveis que o gestor pode administrar. O primeiro fator é o escopo e a profundidade de cada trabalho: uma auditoria interna focada em processos críticos específicos custa menos que uma avaliação abrangente de todos os ciclos operacionais, e uma auditoria externa limitada às demonstrações anuais custa menos que uma com revisões intermediárias trimestrais.
O segundo fator é o grau de regulação do setor. Entidades sujeitas a supervisão do Banco Central, da ANS, da PREVIC ou da CVM enfrentam requisitos adicionais de escopo, prazo e qualificação do auditor, o que eleva o custo da auditoria externa independente. A estrutura de custos reflete essas exigências, que não podem ser eliminadas por negociação contratual.
O terceiro fator é a maturidade do ambiente de controles. Empresas com controles internos bem documentados e testados reduzem o tempo de trabalho do auditor externo, que pode confiar em parte na evidência produzida pela auditoria interna — desde que avalie sua qualidade. Investir em auditoria interna robusta, portanto, tende a reduzir o custo da auditoria externa, criando uma sinergia que dispensa a acumulação de funções.
- Escopo e profundidade de cada trabalho
- Grau de regulação do setor e exigências do regulador
- Maturidade dos controles internos e da documentação
- Frequência das revisões e número de unidades ou filiais
- Necessidade de especialistas (atuariais, tributários, de TI)
- Histórico de ajustes e ressalvas em exercícios anteriores
Como decidir no seu caso: roteiro prático de avaliação
A decisão sobre manter ou separar auditoria interna e externa deve seguir uma sequência lógica de verificação, começando pela obrigação legal e terminando na avaliação de riscos e custos. O primeiro passo é identificar se a empresa está sujeita a obrigação de auditoria independente por lei, por regulação setorial, por contrato ou por estatuto. Se a resposta for sim, a separação de prestadores é obrigatória, e a decisão está tomada.
O segundo passo é mapear o destinatário dos relatórios. Se as demonstrações serão usadas por bancos, investidores, compradores potenciais ou órgãos públicos, a independência do auditor externo é um ativo que precisa ser protegido — e a acumulação o destrói. Se os relatórios servem apenas à gestão interna, sem circulação externa, o risco é menor, mas ainda assim deve ser ponderado.
O terceiro passo é avaliar a trajetória futura da empresa. Planos de crescimento, captação de recursos, ingresso em mercados regulados ou venda da companhia tornam a estrutura de governança atual um fator de valuation. Estruturar desde já a separação evita custos de transição e questionamentos em due diligence. Para empresas que ainda não possuem auditoria interna formal, a contratação de auditoria de processos pode ser o ponto de partida para construir essa função com independência.
O quarto passo é comparar custos de conformidade com custos de não conformidade. O custo de manter dois prestadores distintos é previsível e administrável. O custo de ter relatórios desacreditados, refazer auditorias sob pressão de um comprador ou enfrentar sanção regulatória é incerto e potencialmente muito superior. A decisão racional, na maioria dos casos, favorece a separação desde o início.
- Verifique se há obrigação legal ou contratual de auditoria independente
- Identifique quem usará os relatórios e para quais decisões
- Projete a trajetória da empresa nos próximos três a cinco anos
- Compare o custo previsível da separação com o custo incerto da acumulação
- Formalize a contratação de prestadores distintos, com escopos claros
- Estabeleça canais de coordenação entre auditor interno e externo, sem subordinação
A resposta à pergunta central, portanto, é clara: a mesma empresa não deve — e, na maioria dos ambientes com obrigação de auditoria, não pode — acumular as funções de auditoria interna e externa para o mesmo cliente. A independência que sustenta a credibilidade do relatório externo é incompatível com a participação na construção dos controles internos. Onde a norma não veda expressamente, a boa governança recomenda a separação, e o roteiro prático permite ao gestor decidir com base em obrigação, destinatário, trajetória e risco — não em conveniência de curto prazo.
