Plano anual de auditoria baseado em risco: o que pedem a CMN 4.879 e o IIA

O plano anual é a peça que mais concentra a atenção de quem revisa a auditoria interna: o conselho que aprova, o comitê de auditoria que acompanha, o supervisor que inspeciona e o avaliador externo de qualidade. Para instituições autorizadas pelo Banco Central, duas referências definem o que se espera dele.

• A Resolução CMN nº 4.879/2020 diz o que o plano precisa conter, quem aprova e por quanto tempo guardar.
• As Normas Globais de Auditoria Interna do IIA, publicadas em janeiro de 2024 e vigentes desde 9 de janeiro de 2025, dizem como montar o plano e o que fazer quando ele muda.

A própria 4.879 manda o regulamento da auditoria exigir "reconhecidos padrões de auditoria interna" (art. 16, VII) e aceita as normas do IIA Brasil no que não conflitarem com as do CMN e do BCB (art. 22). Na prática, as duas se completam.

Antes de tudo: a norma vale para a sua instituição?

A 4.879 se aplica às instituições autorizadas a funcionar pelo Banco Central (art. 1º), com exceções que mudaram recentemente:

• administradoras de consórcio e instituições de pagamento estão fora;
• desde 1º de março de 2024, pela Resolução CMN 5.117/2024, também ficaram fora as corretoras de títulos e valores mobiliários, as distribuidoras e as corretoras de câmbio;
• cooperativas de crédito do segmento S5 integrantes de sistemas de dois ou três níveis também estão fora.

Outro ponto que costuma confundir: a 4.879 revogou a Resolução 4.588/2017 (art. 27). Os controles internos, que antes estavam na Resolução 2.554/1998, hoje estão na Resolução CMN 4.968/2021.

O que o plano precisa conter

O art. 19, I, pede um "plano anual de auditoria interna, baseado na avaliação de riscos de auditoria", com quatro elementos mínimos. Ao lado de cada um, o que a Norma 9.4 do IIA acrescenta:

• Processos no escopo. A Norma 9.4 pede que o plano considere expressamente tecnologia da informação, fraude, programas de compliance e ética e outras áreas de alto risco. Na 4.879, o escopo mínimo está nos arts. 12 e 13: controles internos, gerenciamento de riscos e governança, sistemas de informações gerenciais, conformidade, salvaguarda de ativos e a estrutura de gerenciamento de riscos e de capital.
• Classificação por nível de risco. A Norma 9.4 exige que a avaliação de riscos que sustenta o plano seja documentada, informada pelo conselho e pela alta administração e refeita ao menos uma vez por ano.
• Proposta de cronograma. O IIA admite atualizar o plano a cada seis meses, por trimestre ou até mensalmente em ambientes que mudam rápido. O plano é dinâmico por definição.
• Alocação dos recursos disponíveis. A Norma 8.2 pede que o chefe de auditoria avalie se os recursos bastam para o plano e, se não bastarem, informe o conselho do impacto. O conselho discute a suficiência dos recursos ao menos uma vez por ano.

Além disso, o planejamento segue as diretrizes do conselho de administração (art. 17), e cada trabalho tem plano específico, papéis de trabalho e relato (art. 19, II).

Passo a passo para montar o plano

1. Atualize o universo auditável

Liste áreas, processos, produtos, sistemas e funções terceirizadas. A 4.879 inclui no escopo todas as funções da instituição, inclusive as terceirizadas e, na instituição líder, as do conglomerado (art. 11).

2. Faça a sua própria avaliação de riscos

O ponto de partida pode ser a matriz de riscos da segunda linha, mas a auditoria valida esses riscos de forma independente. É isso que o art. 2º chama de avaliação "independente, autônoma e imparcial". Registre a escala, os critérios e quem participou: a Norma 9.4 lista as notas de entrevistas entre as evidências de conformidade.

3. Mapeie quem mais dá asseguração

Compliance, gestão de riscos, segurança da informação e o auditor independente já olham parte do universo. A Norma 9.5 pede coordenação com esses provedores e permite confiar no trabalho deles, desde que a base dessa confiança fique documentada. A 4.879 pede que o regulamento preveja a coordenação com o auditor independente (art. 16, VIII).

4. Confronte cobertura com capacidade

Some as horas disponíveis da equipe e compare com o que o risco pede. As considerações de implementação do IIA sugerem duas práticas simples:

• reservar um percentual de horas para trabalhos não previstos;
• manter uma lista dos próximos trabalhos que entrariam se houvesse recursos.

Se uma área de alto risco ficar de fora, a Norma 9.4 exige comunicar ao conselho a justificativa. Esse registro protege a auditoria e dá ao conselho a decisão sobre aceitar o risco ou ampliar os recursos.

5. Leve para aprovação

O plano anual é aprovado pelo conselho de administração e pelo comitê de auditoria, quando constituído (art. 19, parágrafo único). Sem conselho, a atribuição é da diretoria (art. 23), e essas competências são indelegáveis (art. 24).

Quando o plano muda no meio do ciclo

Aqui está uma lacuna pouco comentada: a 4.879 não trata da revisão do plano durante o ano. O mais próximo é o art. 20, III, que obriga o conselho a informar a auditoria, em tempo hábil, sobre mudanças materiais na estratégia, nas políticas e nos processos de gestão de riscos.

As Normas Globais preenchem esse espaço:

• o plano e as alterações significativas precisam ser aprovados pelo conselho (Norma 9.4);
• os critérios do que é alteração significativa são acordados com o conselho antes, por exemplo cancelar ou adiar um trabalho numa área de risco relevante;
• quando a urgência chega antes da próxima reunião, o conselho é informado imediatamente e a aprovação formal vem assim que possível.

Uma boa forma de amarrar isso é escrever os critérios de alteração significativa no próprio regulamento da auditoria, que a 4.879 já exige aprovado pelo conselho e pelo comitê (arts. 15 e 16).

Cada versão aprovada do plano precisa continuar disponível depois da revisão. A versão anterior é a prova do que o conselho aprovou naquele momento.

Como evidenciar a aprovação

Na revisão, a pergunta costuma ser direta: mostre o que foi aprovado, quando, por quem e com base em quê. Guarde:

• a ata do conselho e a do comitê de auditoria que aprovaram o plano;
• a versão aprovada do plano, preservada sem edição posterior;
• um retrato da avaliação de riscos que fundamentou o plano, na data da aprovação;
• a lista de distribuição do plano, que o IIA cita entre as evidências;
• o registro de cada alteração: o que mudou, por quê e quem aprovou.

A 4.879 exige manter o regulamento e os documentos do art. 19 à disposição do Banco Central por no mínimo cinco anos (art. 25).

Checklist do plano anual

• Universo auditável atualizado, incluindo terceirizados e conglomerado.
• Avaliação de riscos própria, documentada e refeita ao menos uma vez por ano.
• Escopo mínimo dos arts. 12 e 13 coberto, com TI, fraude e compliance considerados.
• Mapa de asseguração com a base de confiança em outros provedores registrada.
• Capacidade comparada com a cobertura, com reserva de horas e lista de próximos trabalhos.
• Áreas de alto risco fora do plano justificadas ao conselho.
• Aprovação do conselho e do comitê em ata, com a versão aprovada preservada.
• Critérios de alteração significativa acordados e escritos no regulamento.
• Documentos guardados por pelo menos cinco anos.