29 jul. 2026 10 min leitura
O primeiro Requisito Temático obrigatório do Institute of Internal Auditors (IIA) entrou em vigor em fevereiro de 2026, com foco em cibersegurança. Nesse artigo, Felipe Duarte, James Durrant e Charley Wright explicam o que o requisito abrange, como ele se aplica e quais medidas práticas as funções de auditoria interna precisam adotar para atender às novas exigências.
O Requisito Temático de Cibersegurança faz parte de uma ampla reformulação do International Professional Practices Framework (IPPF) e é o primeiro a se tornar obrigatório. Em conjunto com as Normas Globais de Auditoria Interna, os requisitos temáticos estabelecem uma base mínima para a forma como áreas específicas de alto riscos devem ser avaliadas pelas funções de auditoria interna.
Outros requisitos temáticos já estão previstos, incluindo gestão de riscos de terceiros (a partir de setembro de 2026), comportamento organizacional (a partir de dezembro de 2026) e outros tópicos ao longo de 2027.
Essas expectativas formalizadas refletem o papel da cibersegurança como uma das principais preocupações de conselhos de administração e comitês de auditoria, especialmente após uma série de incidentes cibernéticos de grande repercussão no Reino Unido.
Por exemplo, os ataques sofridos por varejistas britânicos no início de 2025 resultaram em prateleiras vazias, indisponibilidade de vendas online e interrupções que duraram meses. Posteriormente, um ataque ao setor automotivo foi considerado o incidente cibernético com maior impacto financeiro já registrado no Reino Unido, interrompendo a produção e causando efeitos em toda a cadeia de suprimentos.
Em ambos os casos, as relações com terceiros parecem ter sido exploradas como ponto de entrada para os ataques, em linha com a constatação da Verizon de que 30% das violações de segurança registradas em 2024 envolveram terceiros, o dobro da taxa observada no ano anterior.
O Requisito Temático se aplica em três situações:
A amplitude dessa aplicabilidade é um aspecto importante dos novos requisitos. Os auditores internos não podem tratar o requisito como algo relevante apenas para auditorias específicas de cibersegurança ou tecnologia, já que ele pode se tornar aplicável a qualquer auditoria interna que envolva riscos relacionados à cibersegurança.
O julgamento profissional dos auditores deverá orientar quais partes dos requisitos temáticos são relevantes para cada trabalho. Dada a abrangência das exigências, nem todos os requisitos serão aplicáveis a todas as auditorias. É importante destacar que, sempre que algum requisito for excluído, deverá ser mantida uma justificativa documentada explicando essa decisão.
“A IA deve ser vista como um tema estratégico que demanda gestão de riscos, supervisão, responsabilidade e definição clara de papéis e controles. Mais do que implementar novas soluções tecnológicas, é fundamental garantir que seu uso ocorra de forma segura, ética e transparente", afirma Felipe Duarte, sócio de IT Risk na Grant Thornton.
Para a maioria das organizações, especialmente aquelas com planos de auditoria interna mais extensos, o atendimento aos requisitos temáticos poderá ser demonstrado por meio de várias auditorias aprofundadas. O IIA deixa claro que não há exigência de uma única revisão abrangente de cibersegurança capaz de cobrir toda a extensão dos requisitos. O Guia do Usuário do IIA inclui uma ferramenta opcional de documentação para ajudar as equipes a registrar essas decisões e demonstrar como estão assegurando a cobertura dos requisitos.
Todos os Requisitos Temáticos são estruturados em torno de três pilares, que se alinham às normas do IIA da seguinte forma:
As três partes finais do pilar de controles abrangem uma ampla gama de áreas técnicas, incluindo criptografia, gerenciamento de correções (patching), gestão de acessos, monitoramento, DevSecOps, segurança de redes e segurança das comunicações em endpoints. Essas seções finais condensam uma quantidade potencialmente enorme de trabalho de auditoria altamente técnico em requisitos bastante abrangentes.
É importante observar que o requisito tem como objetivo apenas estabelecer uma linha de base mínima para auditorias de cibersegurança. Para organizações que consideram seu risco cibernético elevado, espera-se que os auditores internos vão além das normas e avaliem áreas que não estão explicitamente contempladas no requisito.
À medida que a adoção da IA acelera, aumentam também os desafios relacionados à segurança, privacidade de dados, conformidade regulatória e riscos cibernéticos. A experiência prática das organizações demonstra que os benefícios da IA são potencializados quando acompanhados por uma estrutura robusta de governança, baseada em frameworks reconhecidos e boas práticas de mercado.
É inegável que a Inteligência Artificial apresenta um potencial significativo para aprimorar serviços, otimizar atividades internas, aumentar a eficiência dos projetos, expandir a capacidade analítica e gerar ainda mais valor para clientes e organizações. Ao mesmo tempo em que amplia as possibilidades de inovação, a tecnologia também traz novos desafios relacionados à gestão de riscos, conformidade e segurança da informação.
Na experiência de Duarte, o investimento consistente no desenvolvimento e na adoção interna de soluções de IA, sustentado por uma governança estruturada, controles robustos e frameworks reconhecidos pelo mercado, tem demonstrado na prática os benefícios e os desafios dessa tecnologia. “Essa experiência acumulada fortalece nossa capacidade de apoiar organizações em diferentes níveis de maturidade na construção de modelos de governança que impulsionem a inovação sem comprometer a segurança e a conformidade”, comenta o especialista.
De fato, o debate atual não gira mais em torno da adoção ou não da Inteligência Artificial. Assumir riscos faz parte do processo, desde que sejam adequadamente gerenciados. O verdadeiro desafio está em garantir que essa adoção ocorra com responsabilidade, segurança e governança adequadas, permitindo capturar os benefícios da inovação sem expor as organizações a riscos desnecessários ou sem o devido gerenciamento e controle.
A implementação dos requisitos do IIA pode fortalecer a postura de cibersegurança da organização e proporcionar à alta administração maior segurança em relação aos controles existentes. No entanto, existem algumas armadilhas importantes que devem ser evitadas para garantir que esse trabalho agregue valor em toda a empresa.
A orientação do IIA sobre os requisitos temáticos menciona especificamente a importância de evitar tratar a cibersegurança como um exercício periódico de simples verificação de itens. No entanto, existe o risco real de que as equipes de auditoria interna interpretem dessa forma os requisitos extensos e detalhados. A cibersegurança é uma área de risco contínua e em constante evolução, e a expectativa do IIA é que as funções de auditoria interna também continuem evoluindo suas abordagens para acompanhar esse cenário.
Como qualquer pessoa que já tenha vivenciado incidentes reais de cibersegurança sabe, o tratamento das ameaças e a resposta a esses incidentes acontecem em alta velocidade, e as informações podem se tornar obsoletas rapidamente. O cenário cibernético mais amplo também evolui quase diariamente, com o surgimento contínuo de novas ameaças e vetores de ataque. As funções de auditoria precisarão acompanhar esse ritmo em sua interação com as equipes de cibersegurança, garantindo que os trabalhos de auditoria sejam realizados no momento adequado e abordem os riscos efetivamente presentes para o negócio.
Quando existem dependências significativas de terceiros ou de serviços em nuvem, os controles dos fornecedores devem ser incluídos explicitamente no escopo das auditorias, e não excluídos. A orientação do IIA faz referência específica à revisão dos relatórios Service Organization Controls (SOC) fornecidos por terceiros. Além disso, o futuro Requisito Temático sobre gestão de riscos de terceiros aumentará ainda mais o foco sobre a administração desses riscos.
Para que as equipes de auditoria interna atendam ao Requisito Temático de Cibersegurança, será necessário concentrar esforços em quatro áreas principais:
A introdução dos Requisitos Temáticos, começando pela cibersegurança, representa uma mudança na forma como o IIA define as obrigações das organizações em relação à auditoria interna. A asseguração sobre os riscos mais relevantes para os negócios deixará de depender exclusivamente do julgamento de cada equipe e será cada vez mais orientada por esses padrões obrigatórios.
Ao avaliar os Requisitos Temáticos, algumas funções de auditoria interna poderão concluir que já atendem ou até superam as exigências estabelecidas, especialmente aquelas mais maduras e que realizam avaliações regulares dos riscos de cibersegurança.
Nesses casos, talvez não sejam necessárias ações adicionais. Para outras organizações, porém, a adoção desses requisitos representará uma evolução significativa na abrangência e profundidade da cobertura dos riscos cibernéticos.
Deseja fortalecer a governança de dados do seu negócio e preparar uma base segura para operações mais eficientes e decisões mais confiáveis? Nossos especialistas estão à disposição para apoiar na avaliação, diagnóstico e evolução das práticas internas.
Entenda como fortalecer governança, controles e asseguração para preparar dados de sustentabilidade para auditorias, reguladores e investidores.
Descubra como terceirização, IA e modernização estão transformando a criação de valor em M&A, acelerando integrações, capturando sinergias e impulsionando resultados pós-transação.
Receita Federal divulga orientações sobre o Adicional da CSLL, esclarecendo regras, impactos tributários e procedimentos para empresas se adequarem às novas exigências fiscais.