A alternativa correta é a B.

De acordo com o Modelo de Três Linhas do IIA, a principal característica da Auditoria Interna é a sua independência e objetividade.

Para manter essa independência, o auditor não deve realizar atividades que são de competência da administração (como tomar decisões, implementar controles ou gerir riscos), pois isso criaria um conflito de interesses na hora de avaliar esses mesmos processos.

Por que as outras estão incorretas?

• A, C e E: Atribuem à auditoria funções de execução, gestão ou implementação, que são responsabilidades exclusivas da 1ª linha (gestão operacional) e 2ª linha (funções de apoio/riscos).
• D: O foco da auditoria é a melhoria dos processos e o fornecimento de avaliação/consultoria, e não uma função puramente punitiva.

Fonte: Gemini Google

O Modelo de Três Linhas

1ª LinhaGestores Operacionais (Chefes de setor, diretores)Execução e Controle: Implementa e executa os processos e controles no dia a dia.Dono do Risco: Ele corre o risco e deve contê-lo.

2ª LinhaFunções de Suporte (Compliance, Riscos, Jurídico, TI)Monitoramento e Orientação: Ajuda a 1ª linha a definir os controles e monitora se estão sendo seguidos.Apoio à Gestão: Facilita a gestão de riscos, mas não audita com independência total.

3ª LinhaAuditoria InternaAvaliação e Consultoria: Dá garantia (assurance) independente de que as outras duas linhas estão funcionando.Independência Total: Reporta-se à "Alta Administração" (Conselho) e não à diretoria executiva.

Gabarito: Letra B

O Modelo de Três Linhas, atualizado pelo Instituto dos Auditores Internos (IIA) em 2020 (antigamente chamado de Três Linhas de Defesa), é um dos assuntos mais quentes e recorrentes nas provas de Controle Interno e Auditoria Governamental.

O grande segredo para não errar questões sobre esse modelo é ter clareza sobre os limites de atuação de cada linha, especialmente o princípio da independência que rege a Auditoria Interna.

Vamos destrinchar cada alternativa para solidificar a revisão:

• A - Incorreta. A Auditoria Interna (3ª linha) nunca deve assumir responsabilidades de gestão operacional. Se o auditor toma decisões ou mitiga riscos diretamente, ele perde a sua independência e objetividade (pois acabaria auditando o próprio trabalho no futuro). O gerenciamento direto dos riscos é papel da 1ª linha (gestão).
• B - Correta (Gabarito). Essa é a definição clássica, exata e literal do papel da 3ª linha segundo o IIA. A Auditoria Interna existe para agregar valor por meio de atividades independentes e objetivas de avaliação (assurance) e consultoria, sempre sem assumir o papel ou as responsabilidades que pertencem à gestão.
• C - Incorreta. O estabelecimento de estratégias de risco e a implementação prática dos controles internos são deveres inalienáveis da gestão (1ª linha), que frequentemente conta com o apoio técnico e o monitoramento da 2ª linha (áreas de conformidade, controles internos, etc.). A 3ª linha apenas avalia se essa estrutura desenhada pela gestão está funcionando adequadamente.
• D - Incorreta. O foco da Auditoria Interna moderna não é policialesco, punitivo ou focado exclusivamente em descobrir fraudes e punir gestores. O objetivo é agregar valor, melhorar as operações da organização e ajudá-la a alcançar seus objetivos. A responsabilização e punição cabem a outras instâncias (como a alta administração ou corregedorias).
• E - Incorreta. Atuar na supervisão direta de compras ou aprovar etapas de RH é, na prática, colocar a "mão na massa" operacional. Isso configuraria cogestão (1ª linha), destruindo a independência estrutural exigida para o papel de auditor.

Ter o mapeamento claro de quem "executa" (1ª linha), quem "apoia e monitora" (2ª linha) e quem "avalia de forma independente" (3ª linha) é ponto garantido nessas provas. A repetição exaustiva constrói a nossa aprovação. Em tudo dai graças e foco no Diário Oficial!

Referência Bibliográfica:

THE INSTITUTE OF INTERNAL AUDITORS (IIA). O Modelo de Três Linhas do IIA 2020: Uma atualização das Três Linhas de Defesa. Lake Mary, FL: The IIA, 2020.