IA na auditoria interna é o uso de modelos de linguagem, análise de dados e automação pelo próprio time de auditoria para planejar trabalhos, testar controles, ler documentos e redigir relatórios — sempre com o julgamento do auditor como decisão final. É o outro lado do tema auditoria de IA, que trata de auditar os sistemas de IA da empresa. Este artigo é para o CAE, o diretor de compliance e o C-level que patrocina a auditoria e precisa decidir onde a IA entra no trabalho de quem fiscaliza — e quais controles evitam que a ferramenta comprometa a independência que dá valor à terceira linha.
Por que o tema chegou à agenda da auditoria
A auditoria interna está sob pressão para cobrir mais risco com o mesmo time, e a IA aparece como alavanca óbvia. O dado de contexto mais recente é a 4ª Pesquisa de Maturidade da Auditoria Interna, feita pela KPMG com apoio do IIA Brasil entre novembro de 2025 e março de 2026. Segundo a cobertura da TI Inside, 45% das organizações não usam nenhum software de GRC e 38% ainda não implementaram auditoria contínua; 28% das áreas estão no nível de maturidade "fraco" e 20% no "avançado".
O recorte é importante: a matéria não traz números sobre adoção de IA. O que ela mostra é a base sobre a qual a IA chegaria. Quem ainda não tem auditoria contínua nem plataforma de GRC dificilmente extrai valor de um copiloto sobre processos que ainda são manuais. A ordem lógica é dados e processo primeiro, IA depois.
Há também um sinal de percepção. Um estudo da UFRJ, publicado em 2020 com 52 auditores internos brasileiros, concluiu que os profissionais viam a IA como possível aliada, mas rejeitavam seu uso em questões estratégicas de auditoria e declaravam conhecimento ainda básico. A amostra é pequena e anterior à IA generativa, então vale como indício de cultura, não como retrato atual. O padrão (valorizar a ferramenta, desconfiar do papel dela nas decisões) segue coerente com o que a boa prática recomenda.
Onde a IA ajuda o auditor (e onde não deve ir)
A regra de bolso: IA é boa em tarefas de leitura, triagem, rascunho e comparação em volume; o auditor continua sendo responsável por conclusão, evidência e opinião.
| Etapa do trabalho | Uso razoável da IA | O que continua com o auditor |
|---|---|---|
| Planejamento | Resumir relatórios anteriores, normas e notícias de risco do setor | Definir o escopo e a priorização por risco |
| Entendimento do processo | Ler políticas, fluxogramas e contratos e propor perguntas para a entrevista | Conduzir a entrevista e validar o que é de fato praticado |
| Testes de controle | Comparar população completa contra regras (duplicidades, quebra de segregação de funções, exceções) | Definir o critério do teste e avaliar as exceções |
| Análise documental | Extrair cláusulas, datas e valores de grandes lotes de documentos | Conferir amostra da extração contra o original |
| Relatório | Rascunhar a estrutura e melhorar a clareza do texto | Conclusão, classificação da gravidade e recomendação |
| Acompanhamento | Monitorar prazos e status dos planos de ação | Avaliar se o plano de ação resolve a causa raiz |
Três usos ficam fora da zona segura sem controles adicionais: emitir opinião de auditoria automaticamente, enviar evidência confidencial para uma ferramenta pública e usar a saída do modelo como evidência sem verificar a fonte.
Auditoria contínua é o caso de uso mais maduro
Antes da IA generativa, a auditoria contínua já usava analytics sobre 100% da população de transações. A IA amplia o alcance: lê dados não estruturados (e-mails, contratos, chamados) e prioriza alertas por risco. O ganho é cobertura. O custo é ruído: um modelo que gera alertas demais cria o mesmo problema de uma regra mal calibrada. Meça a taxa de alertas que viram achados antes de ampliar o escopo.
Redação e síntese: ganho real, risco real
Resumir entrevistas e padronizar a linguagem do relatório economiza horas. O risco é a alucinação: um fato plausível, mas inexistente, que entra no relatório com a assinatura da auditoria. O controle simples é exigir que todo número, data e citação no relatório tenha referência rastreável ao papel de trabalho.
O que a CGU já orienta no setor público
O setor público federal tem a diretriz mais explícita sobre o tema. Segundo a cobertura da OKAI, a CGU publicou em setembro de 2025 a Portaria nº 3.313/2025, que aprova a Deliberação nº 03/2025 da Comissão de Coordenação de Controle Interno e fixa diretrizes para o uso de IA pelas unidades de auditoria interna governamental. O texto responsabiliza o auditor por conduta ética e diligência profissional e pede capacitação contínua para o uso seguro das ferramentas. A mensagem pública do Secretário Federal de Controle Interno foi que o julgamento profissional deve ser complementado pela IA, não substituído.
Ressalva: não consultamos o texto integral das diretrizes, apenas a cobertura sobre ele. A norma vale para a auditoria governamental, não para empresas privadas — mas é um ponto de partida sólido para qualquer política interna, porque resume o que um regulador espera: responsabilidade humana, ética e treinamento.
Governança do uso: os controles mínimos
Uma auditoria que usa IA precisa ser capaz de auditar o próprio uso. Seis controles formam o piso:
- Inventário de ferramentas aprovadas. Lista de quais ferramentas o time pode usar, para quais tipos de dado, registrada no inventário de sistemas de IA.
- Classificação de dados. Evidência com dados pessoais ou sigilo comercial só entra em ambiente corporativo com contrato e retenção definidos — ver LGPD e IA generativa.
- Supervisão humana documentada. O papel de trabalho registra o que a IA produziu e quem revisou, na lógica de human-in-the-loop.
- Verificação de fonte. Toda conclusão apoiada em saída de IA é conferida contra o documento original.
- Registro de prompts relevantes. Quando a IA influencia um achado, o prompt e a versão do modelo ficam arquivados como parte da evidência.
- Revisão periódica de qualidade. Uma amostra dos trabalhos que usaram IA passa por revisão independente, como qualquer outro controle de qualidade da auditoria.
E a independência?
Se a mesma ferramenta de IA está embutida no processo auditado e no trabalho do auditor, há risco de dependência. No modelo de três linhas, a auditoria interna fornece avaliação independente à governança; usar o mesmo fornecedor ou o mesmo agente que a primeira linha opera exige avaliar se isso cria conflito. Pergunte: o auditor consegue reproduzir o teste sem a ferramenta? Se a resposta for não, a independência técnica está em risco.
Como começar: um roteiro de 90 dias
- Dias 1–30 — Política e piloto restrito. Defina ferramentas aprovadas e proíba dados sensíveis em ferramentas públicas. Escolha um caso de baixo risco (resumo de políticas, rascunho de relatório).
- Dias 31–60 — Teste com medição. Rode o caso em dois trabalhos reais. Registre horas economizadas, erros encontrados na revisão e satisfação do time.
- Dias 61–90 — Decisão e capacitação. Com os números em mãos, decida o que escalar, o que parar e quais controles faltaram. Treine o time inteiro, não só os entusiastas.
O mesmo método vale para qualquer área: piloto pequeno, medição honesta, decisão sobre dados. É o que a Jetpacks aplica no Flight Plan, com diagnóstico, plano por área, capacitação e acompanhamento de métricas de adoção.
Capacitação: o auditor precisa entender o que está usando
O ponto em comum entre o estudo da UFRJ e a diretriz da CGU é o conhecimento. Um auditor que não entende limitações de modelos (alucinação, viés, dependência do contexto) não consegue revisar a saída com critério. A capacitação mínima cobre: como o modelo erra, como escrever instruções com contexto, como verificar fontes e o que não pode ser inserido na ferramenta. É a mesma lógica do guia de capacitação em IA para colaboradores, com exemplos do trabalho de auditoria.
FAQ
A IA pode substituir o auditor interno?
Não. A IA acelera leitura, triagem e rascunho, mas a opinião de auditoria exige julgamento, ceticismo profissional e responsabilidade, que são humanos. A diretriz da CGU para o setor público segue essa linha: o julgamento profissional é complementado, não substituído.
Quais tarefas da auditoria interna a IA já faz bem?
Resumir documentos longos, extrair informações de contratos, comparar populações completas contra regras de teste e rascunhar relatórios. Em todas, a saída precisa ser conferida contra a fonte.
É seguro inserir evidência de auditoria em ferramentas de IA?
Só em ambiente corporativo aprovado, com contrato que defina retenção e uso dos dados e com classificação prévia da informação. Dados pessoais e sigilo comercial exigem atenção da LGPD e da política interna.
Como auditar o próprio uso de IA pelo time de auditoria?
Mantenha inventário de ferramentas, registro de revisões humanas, arquivo de prompts relevantes e revisão de qualidade por amostragem. A auditoria precisa ser capaz de demonstrar como chegou a cada conclusão.
A IA afeta a independência da auditoria?
Pode afetar se a auditoria depender das mesmas ferramentas e fornecedores da área auditada ou se não conseguir reproduzir os testes sem a ferramenta. Avalie o risco ao desenhar a política.
Por onde começar se a auditoria ainda não tem auditoria contínua?
Pelo básico: dados acessíveis e processos de teste repetíveis. Segundo a pesquisa IIA Brasil/KPMG, 38% das organizações ainda não implementaram auditoria contínua; a IA rende mais sobre uma base de dados organizada.
Conclusão: IA a serviço do julgamento, não no lugar dele
A decisão para o C-level é onde a IA aumenta a cobertura da auditoria sem diminuir a confiança no resultado. O caminho é: política de uso e dados, piloto medido, supervisão humana documentada e capacitação do time. A auditoria que adota IA com controle ganha escala; a que adota sem controle cria um novo risco dentro da própria terceira linha. Para mapear onde sua empresa está e quais áreas devem começar, agende o diagnóstico gratuito da Jetpacks — uma conversa de 30 a 45 minutos. Para ver a base do tema, comece pelo pilar de governança de IA na prática.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.