Controle interno e gestão de riscos: matriz e três linhas

Risco é a possibilidade de um evento afetar o alcance dos objetivos da organização; controle interno é o conjunto de medidas, processos e rotinas que a própria organização adota para reduzir esses riscos e dar segurança razoável de que os objetivos serão atingidos. Gestão de riscos e controle interno andam juntos: primeiro se descobre o que pode dar errado e o tamanho do problema, depois se escolhe o que fazer. Este guia reúne os conceitos, o passo a passo de uma análise e os dispositivos oficiais cobrados em provas de gestão, sem repetir as atribuições dos órgãos de controle, tratadas em controladoria e controle interno (CGU e CGDF).

Conceitos-chave

Evento de risco, causa e consequência. Evento é o que pode acontecer; causa é o que o provoca; consequência é o efeito sobre o objetivo. Uma boa descrição liga os três: “devido a X (causa), pode ocorrer Y (evento), levando a Z (consequência)”.
Probabilidade e impacto. Chance de ocorrência e tamanho do efeito. O nível de risco é a combinação dos dois.
Risco inerente e residual. Inerente é o risco antes de qualquer controle; residual é o que sobra depois dos controles.
Apetite a risco. Quanto risco a organização aceita assumir para atingir seus objetivos; acima do apetite, é preciso tratar.
Controle preventivo, detectivo e corretivo. O preventivo evita que o evento ocorra (segregação de funções, alçadas, listas de verificação); o detectivo identifica depois que ocorreu (conciliações, auditorias); o corretivo reduz o dano e restabelece a situação.

Como a lei define a gestão de riscos

O art. 2º, IV, do Decreto 9.203/17 define gestão de riscos como processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos. O art. 17 manda a alta administração da administração federal direta, autárquica e fundacional estabelecer, manter, monitorar e aprimorar sistema de gestão de riscos e controles internos, com identificação, avaliação, tratamento, monitoramento e análise crítica, observando princípios como: aplicação sistemática, estruturada, oportuna e documentada; integração ao planejamento estratégico e aos processos e projetos; controles proporcionais aos riscos, considerada a relação custo-benefício; e uso dos resultados para a melhoria contínua. O art. 4º, VI, fala em controles internos fundamentados na gestão de risco, que privilegiarão ações de prevenção antes de processos sancionadores.

A mesma ideia de proporcionalidade aparece no art. 14 do Decreto-Lei 200/67: o trabalho administrativo será racionalizado mediante simplificação de processos e supressão de controles que se evidenciarem como puramente formais ou cujo custo seja evidentemente superior ao risco.

Na Constituição, o art. 74 determina que os Poderes Legislativo, Executivo e Judiciário mantenham, de forma integrada, sistema de controle interno para, entre outras finalidades, avaliar o cumprimento das metas do plano plurianual, comprovar a legalidade e avaliar resultados (eficácia e eficiência) da gestão e apoiar o controle externo (art. 74, I a IV). Seu § 1º obriga os responsáveis pelo controle interno que tomem conhecimento de irregularidade ou ilegalidade a dar ciência ao Tribunal de Contas da União, sob pena de responsabilidade solidária.

Três linhas de defesa nas contratações (art. 169 da Lei 14.133/21)

O art. 169 diz que as contratações públicas deverão submeter-se a práticas contínuas e permanentes de gestão de riscos e de controle preventivo, inclusive com tecnologia da informação, além de estarem subordinadas ao controle social e às seguintes linhas de defesa:

Linha	Quem integra
Primeira	Servidores e empregados públicos, agentes de licitação e autoridades que atuam na estrutura de governança do órgão ou entidade
Segunda	Unidades de assessoramento jurídico e de controle interno do próprio órgão ou entidade
Terceira	Órgão central de controle interno da Administração e tribunal de contas

A responsabilidade pela implementação, na forma de regulamento, é da alta administração, considerando custos e benefícios (§ 1º). Os órgãos de controle têm acesso irrestrito aos documentos e informações necessários, inclusive classificados (§ 2º). Quando os integrantes das linhas de defesa constatam simples impropriedade formal, adotam medidas de saneamento e mitigação, de preferência com aperfeiçoamento dos controles preventivos e capacitação; quando constatam irregularidade que configure dano, adotam providências para apuração das infrações, com segregação de funções e individualização das condutas, e remetem cópias ao Ministério Público competente (§ 3º). O art. 11, parágrafo único, reforça que a alta administração responde pela governança das contratações, com processos e estruturas de gestão de riscos e controles internos.

Passo a passo de uma análise

Estabelecer o contexto: objetivo do processo, atores, restrições.
Identificar riscos: oficinas com quem executa, histórico de falhas, achados de auditoria.
Analisar: estimar probabilidade e impacto (por exemplo, escala de 1 a 5).
Avaliar: comparar o nível com o apetite e priorizar.
Tratar: escolher a resposta: evitar (não realizar a atividade), mitigar (reduzir probabilidade ou impacto), compartilhar ou transferir (seguro, contrato) ou aceitar (assumir conscientemente).
Monitorar e comunicar durante todo o ciclo.

Exemplo resolvido: matriz de riscos

Escala de 1 a 5 para probabilidade (P) e impacto (I); nível = P multiplicado por I (de 1 a 25). Três riscos num processo de pagamento a fornecedores:

Risco	P	I	Nível
A: pagamento em duplicidade	4	3	12
B: fraude em documento por conluio	2	5	10
C: atraso de pagamento por falha de sistema	5	2	10

Ordem de prioridade: A (12), depois B e C (10 cada, empatados; desempate por critério definido, por exemplo, priorizar impacto maior, o que coloca B antes de C). Para A, o controle escolhido é uma verificação automática no sistema, que bloqueia números de documento repetidos (controle preventivo). Com ele, a probabilidade cai de 4 para 2, e o risco residual passa a 2 vezes 3, igual a 6. Redução do nível: 12 menos 6, igual a 6 pontos, ou 50% do valor original. Se o apetite do órgão aceita até nível 6, o risco A passa a estar dentro da tolerância. Veja que o controle foi proporcional: a verificação automática custa pouco diante do dano potencial.

Componentes do controle interno

Os cinco componentes clássicos do controle interno, desenvolvidos no modelo COSO (uma referência técnica privada, difundida em provas), são: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação e monitoramento. O ambiente de controle é a base: valores éticos, estrutura, atribuição de responsabilidades. A ISO 31000 é outra referência privada para o processo de gestão de riscos. Ambas não são lei; use-as como apoio conceitual conforme a bibliografia da banca.

Segregação de funções

Princípio fundamental: quem autoriza, quem executa, quem registra e quem confere não devem ser a mesma pessoa, para que um erro ou fraude exija mais de um agente. O art. 169, § 3º, II, da Lei 14.133/21 menciona expressamente a segregação de funções na apuração.

Erros comuns

Confundir controle interno (feito pela própria administração, art. 74 da CF/88) com controle externo (Legislativo com apoio do Tribunal de Contas); veja controle da administração.
Achar que quanto mais controles, melhor: o custo não pode superar o risco.
Confundir risco inerente com residual.
Dizer que a segunda linha de defesa é a auditoria externa; na lei de licitações é a assessoria jurídica e o controle interno do próprio órgão.
Esquecer que o art. 17 do Decreto 9.203/17 recai sobre a alta administração, não sobre o servidor de ponta.

Fontes e atualização

Lei 14.133/21, Planalto: arts. 11 (parágrafo único) e 169.
Decreto 9.203/17, Planalto: arts. 2º, IV, 4º, VI, e 17.
Decreto-Lei 200/67, Planalto: art. 14.
Constituição Federal, Planalto: art. 74.

Escalas de risco, tipos de resposta e modelos de referência (COSO, ISO 31000) são conteúdo técnico de manuais (orientação conceitual); os números do exemplo são didáticos. Os decretos tratam da esfera federal; para o DF, confira a norma distrital. Conferido nas fontes acima na data de publicação deste guia.

Próximos passos

Estude os deveres e as vedações éticas em Código de Ética do servidor federal (Decreto 1.171/94).
Veja a visão geral do controle em controle da administração: interno, externo e judicial.
Reveja o planejamento das compras em planejamento da contratação na Lei 14.133.