Direito e gestão pública se encontram em locais variados, em diferentes intensidades e com múltiplos efeitos. O principal ponto de encontro ocorre na materialização de normas jurídicas, editadas sob diferentes roupagens com o intuito de conformar a gestão pública ao cumprimento de regras e aos efeitos de princípios.
Um exemplo longevo é o Decreto nº 9.203/2017, que dispõe sobre a política de governança da administração pública federal, trazendo conceitos e direcionamentos importantes que permanecem válidos e plenamente operantes. Essa interface entre Direito e gestão ocorre não somente por meio de instrumentos integrados ao ordenamento jurídico — tais como leis e decretos — como também por intermédio de normas técnicas, muitas vezes editadas por instituições internacionais com o intuito de conferir credibilidade e qualidade à gestão pública, por meio da observância de padrões, rotinas e procedimentos reconhecidos. Quando incorporados ou recebidos pelo ordenamento (por intermédio da adstrição à competência formal e material para edição), tais normas deixam seu perfil de soft law (instrumentos não impositivos, sendo consideradas normas apenas em sentido amplíssimo) para assumirem caráter obrigatório.
Diretrizes de governança
Exemplo importante para a gestão pública se encontra no modelo das três linhas (antigo modelo das três linhas de defesa), posicionamento público concebido em 2013, e revisado em 2020, pelo The Institute of Internal Auditors (IIA), com o intuito de estabelecer diretrizes de governança, gestão de riscos e controle. Em apertada síntese, o modelo propõe o estabelecimento de papeis e responsabilidades claras e segregadas com o intuito de aprimorar o gerenciamento de riscos, otimizar o controle e contribuir com a boa governança.
O modelo das três linhas chegou à administração pública brasileira, inicialmente, como uma recomendação ou referência de boa prática vinda do Tribunal de Contas da União, em 2020, na 3ª edição do Referencial Básico de Governança (RBG) [1]. Em 2021 foi inserido na legislação ordinária nacional, expressamente incorporado à Lei 14.133/2021 (Lei de Licitações e Contratos Administrativos). O artigo 169 determina que as contratações públicas se submetam a práticas contínuas e permanentes de gestão de riscos e de controle preventivo, estruturadas em três linhas de defesa.
A primeira é integrada por agentes públicos que exercem funções executivas essenciais no ciclo das contratações (incluindo, claro, as licitações) e também aqueles que atuam na estrutura de proteção à integridade. A segunda linha reúne as unidades de assessoramento jurídico e de controle interno do próprio órgão, ao passo que a terceira é composta pelo órgão central de controle interno da Administração e pelo Tribunal de Contas. Na visão de Luciano Ferraz e Fabrício Motta, “os modelos das três linhas referidos apresentam-se como diretrizes de governança e revelam uma configuração ideal, convindo sempre a quem pretende implantá-los avaliar adaptações e peculiaridades conforme as realidades de cada organização, em especial União, Estados, Distrito Federal, Municípios, autarquias e fundações estatais, que são as entidades subordinadas à Lei 14.133/2021” [2].
Contudo, como bem adverte Heloísa Godinho [3], a Lei de Licitações e Contratos Administrativos incorporou um modelo de três linhas desvirtuado de sua real natureza, destinada às atividades internas de controles, riscos e governança da gestão. A inclusão, na terceira linha, dos tribunais de contas, órgãos constitucionais de controle externo da administração pública, subverte o modelo e gera desdobramentos indesejáveis, como “a mitigação das garantias de autonomia funcional e independência da auditoria interna, ao ser colocada no nível gerencial, desligada parcialmente do nível estratégico da organização (alta administração)”, o “enfraquecimento do princípio da independência de instâncias entre a administração e o Tribunal de Contas, ao fundamentar a exigência do esgotamento da 1ª e 2ª linhas de defesa para acionamento do TC “, dentre outros.
SpaccaNovo modelo
Recentemente, em julho deste ano, o IIA publicou o Statement of Position “Assurance and Advice in Support of Effective Governance — Three Lines Model“, superando o position paper de 2020. O novo modelo contém mudanças importantes, quando comparado ao anterior, e provavelmente será também incorporado pela administração pública, em suas diferentes esferas. Algumas das principais novidades merecem nossa atenção.
A primeira mudança relevante é que o documento mudou expressamente a destinação: se antes destinava-se para o controle interno avaliativo (auditoria), agora destina-se à toda a organização, em especial à alta administração (membros de conselho ou de Poder — no vocabulário da administração pública —, colegiados diretivos e controladores-gerais). Em outras palavras, o modelo passa a instruir os gestores a estabelecer diretrizes e exigir gestão de riscos, controles e governança. Isso vem ao encontro do que o TCU e os demais tribunais de contas já exigiam atualmente da alta administração (Acórdão nº 1270/2023 — TCU — Plenário).
A estrutura principiológica foi reorganizada, apoiando-se na construção de confiança, segurança e coordenação. Em síntese: a alta administração (primeira linha) é responsável por conceber e operar os processos que impulsionam o desempenho e gerenciam os riscos. A administração também pode estabelecer funções específicas (segunda linha) para revisar, apoiar, monitorar e/ou prestar assessoria em áreas de risco específicas. A função de auditoria interna (terceira linha) fornece segurança independente e objetiva sobre a adequação e a eficácia desses processos — incluindo os da segunda linha —, bem como suporte consultivo qualificado, quando apropriado.
A transformação da independência em um conjunto de condições verificáveis é outra inovação digna de nota. A independência deixa de ser um valor abstrato e passa a contar com uma lista objetiva de condições garantidoras, como o reporte funcional ao órgão máximo de governança; autonomia sobre o escopo, a execução e as conclusões do trabalho; acesso irrestrito a informações, dados, pessoas e sistemas. A proteção contra a retaliação é condição, não cortesia.
Outro ponto relevante é a fadiga de controle, problema que até o momento não era devidamente tratado. A fadiga de controle é o excesso de rotinas, de agentes e instâncias que comprometem a eficácia da ação de controle. O documento batiza esse fenômeno de assurance fatigue e prescreve como solução a coordenação e confiança criteriosa entre os diferentes agentes de controle, sob supervisão do órgão de governança, para reduzir duplicações e otimizar a cobertura de riscos. Esse cenário dialoga com a criação do mapa de asseguração, um documento de alto nível que identifica a cobertura de riscos pelos diversos provedores de controle de uma organização, revelando tanto lacunas quanto duplicações. Na administração pública, o mapa deve ser elaborado e depois instrumentalizado juridicamente, no uso do poder normativo, para conferir segurança e estabilidade ao exercício das competências.
Capacidade de adaptação
Enfim, o modelo das três linhas, agora revisado, leva em consideração que as organizações operam em um ambiente de crescente complexidade, mudanças rápidas e expectativas elevadas quanto à transparência e ao desempenho. É preciso que a alta administração assegure-se na confiabilidade das orientações e processos, que efetivamente subsidiem a tomada de decisões. A atualização esclarece como as atividades das três linhas, em toda a organização, apoiam, de forma conjunta, processos eficazes de governança, gestão de riscos e controle.
Essa abordagem baseada em princípios é adaptável a diferentes contextos organizacionais, mantendo um foco claro na responsabilidade, na independência e na coordenação.
O tema central da atualização é a importância da coordenação e da confiança mútua, alinhando-se as atividades de garantia e consultoria em toda a organização, reduzindo a duplicidade de esforços, suprindo lacunas e fornecendo à alta administração uma visão mais coerente e confiável sobre riscos e desempenho da organização.
O modelo das três linhas fornece boas orientações sobre como as organizações podem adaptar-se com arranjos diferenciados, de acordo com suas estruturas, e serem gerenciados por meio de responsabilidade clara, da transparência e de salvaguardas para preservar a objetividade e evitar riscos de autoavaliação.
Por fim, o modelo reafirma o papel singular da função de auditoria interna como integradora da segurança, oferecendo à organização e à alta administração uma perspectiva abrangente e sistêmica sobre a eficácia com que os processos de governança, gestão de riscos e controle operam em conjunto para apoiar os objetivos organizacionais.
[2] FERRAZ, Luciano ; MOTTA, Fabricio . Controle das contratações públicas. In: DI PIETRO, Maria Sylvia Zanella;. (Org.). Manual de licitações e contratos administrativos : Lei 14.133, de 1º de abril de 2021. 4ed.Rio de Janeiro: Forense, 2025, v. 1, p. 475-491.
[3] GODINHO, Heloísa. CONTROLE EXTERNO DAS LICITAÇÕES E A LEI Nº 14.133/2021. In: CARVALHO, Matheus; BELÉM, Bruno; TORRES, Ronny Charles Lopes de (coord.). Temas controversos da nova Lei de Licitações e Contratos. 2. ed. rev., atual. e ampl. São Paulo: JusPodivm, 2025.
O post O novo modelo das três linhas do IIA apareceu primeiro em Consultor Jurídico.