Blog

 

Resumo

A publicação, pelo Institute of Internal Auditors (IIA), da atualização do Modelo das Três Linhas em 2026 representa uma evolução importante na forma de compreender a Governança Corporativa, preservando seus fundamentos e ampliando sua aplicabilidade prática. Este artigo analisa comparativamente as versões de 2020 e 2026, identificando as principais mudanças introduzidas pelo novo documento, com destaque para o fortalecimento da colaboração entre as funções de governança, do conceito de Advice (Aconselhamento), da Integrated Assurance (Avaliação Integrada) e da coordenação entre diferentes provedores de avaliação. Em seguida, demonstra que o novo Modelo das Três Linhas não substitui a ISO 31000 nem altera os princípios fundamentais da gestão de riscos, mas atua de forma complementar, organizando papéis e responsabilidades enquanto a norma estabelece os princípios, a estrutura e o processo para a gestão de riscos. Como principal contribuição, o artigo propõe uma arquitetura integrada de Governança e Gestão de Riscos, evidenciando como ambos os referenciais podem ser utilizados conjuntamente para estruturar sistemas de governança mais colaborativos, eficientes e orientados à criação e proteção de valor. Essa abordagem oferece uma visão estratégica para organizações que buscam fortalecer seus mecanismos de governança, reduzir sobreposições entre funções especializadas e aprimorar a qualidade das informações utilizadas na tomada de decisão.

Palavras-chave

Governança Corporativa; Modelo das Três Linhas; ISO 31000; Gestão de Riscos; Integrated Assurance; Auditoria Interna; Governança de Riscos; Governança Organizacional.

Abstract

The publication of the updated Three Lines Model by the Institute of Internal Auditors (IIA) in 2026 represents an important evolution in the understanding of Corporate Governance, preserving its core foundations while significantly expanding its practical applicability. This article presents a comparative analysis of the 2020 and 2026 versions of the model, identifying the principal changes introduced by the new document, particularly the strengthened emphasis on collaboration among governance functions, the concepts of Advice, Integrated Assurance, and enhanced coordination among different assurance providers. The study further demonstrates that the updated Three Lines Model neither replaces ISO 31000 nor modifies the fundamental principles of risk management. Instead, the two frameworks are complementary: the Three Lines Model defines governance roles and responsibilities, while ISO 31000 provides the principles, framework, and process for effective risk management. As its primary contribution, this article proposes an integrated Governance and Risk Management architecture, illustrating how both international frameworks can be jointly applied to design governance systems that are more collaborative, efficient, and focused on value creation and protection. This integrated perspective offers organizations a strategic approach for strengthening governance, reducing overlaps among specialized functions, and improving the quality of information available to support decision-making.

Keywords

Corporate Governance; Three Lines Model; ISO 31000; Risk Management; Integrated Assurance; Internal Audit; Risk Governance; Organizational Governance.

---

Nota Técnica

Ao longo deste artigo, sempre que forem utilizados termos originalmente publicados em inglês pelo The Institute of Internal Auditors (IIA), será apresentada, entre parênteses, uma tradução livre para o português. Essas traduções têm finalidade exclusivamente didática e buscam facilitar a compreensão dos conceitos, preservando o significado técnico empregado no documento original. Em alguns casos, optou-se por traduções funcionais em vez de literais, por representarem com maior fidelidade o contexto da Governança, da Gestão de Riscos, da Conformidade e da Auditoria Interna.

---

Principais mensagens deste artigo

 

• O Statement of Position (Declaração de Posicionamento) publicado pelo IIA em 2026 substitui oficialmente o Modelo das Três Linhas publicado em 2020, representando uma evolução importante na forma de compreender a Governança Corporativa.
• A atualização amplia significativamente a aplicabilidade do modelo, reforçando a colaboração entre as linhas, o conceito de Advice (Aconselhamento), a Integrated Assurance (Avaliação Integrada) e a coordenação entre as diversas funções de governança.
• A essência do modelo permanece preservada: a gestão continua responsável pelos riscos, a Auditoria Interna mantém sua independência e os papéis e responsabilidades permanecem claramente definidos.
• Não existe conflito entre o novo Modelo das Três Linhas e a ISO 31000. Ao contrário, ambos são referenciais complementares que, utilizados em conjunto, fortalecem a governança, a gestão de riscos, os controles internos e a tomada de decisão.
• Mais do que atualizar conceitos, o documento de 2026 aproxima o Modelo das Três Linhas da realidade das organizações, oferecendo orientações práticas para sua implementação e contribuindo para uma governança mais integrada, colaborativa e orientada à criação e proteção de valor.

---

1. Introdução — Uma evolução importante para a Governança Corporativa

Em junho de 2026, o The Institute of Internal Auditors (IIA) publicou o documento The Three Lines Model – Assurance and Advice in Support of Effective Governance (Modelo das Três Linhas – Avaliação Independente e Aconselhamento em Apoio à Governança Eficaz), substituindo oficialmente o Position Paper (Documento de Posicionamento) publicado em 2020.

Embora preserve a essência do modelo, a nova publicação representa muito mais do que uma simples revisão editorial. Trata-se de uma evolução conceitual e prática que amplia o papel do Modelo das Três Linhas como um referencial para fortalecer a governança organizacional, incentivar a colaboração entre funções, integrar diferentes mecanismos de avaliação e apoiar decisões mais bem fundamentadas.

Essa evolução também reflete uma mudança importante na forma de compreender a própria gestão de riscos. O modelo, originalmente conhecido como Modelo das Três Linhas de Defesa (2013), foi gradualmente reformulado pelo IIA a partir de 2020, abandonando deliberadamente a expressão “linhas de defesa”. A alteração não foi apenas terminológica. Ela representa uma mudança de perspectiva: a gestão de riscos deixou de ser vista exclusivamente como um mecanismo de proteção contra eventos adversos para ser compreendida como um processo de governança capaz de apoiar decisões, fortalecer a resiliência organizacional, preservar valor e, igualmente, identificar e capturar oportunidades.

Essa visão está plenamente alinhada com a evolução da própria ISO 31000, que desde sua edição de 2018 estabelece que a gestão de riscos tem como propósito criar e proteger valor, apoiando a tomada de decisões em todos os níveis da organização.

Outro aspecto que merece destaque é que a atualização de 2026 procura responder a uma demanda recorrente das organizações. Desde a publicação do modelo em 2020, muitas empresas compreenderam adequadamente os papéis da Primeira, Segunda e Terceira Linhas, mas ainda enfrentavam dificuldades para transformar esses conceitos em práticas de governança integradas ao dia a dia. O novo documento procura reduzir essa distância entre teoria e prática ao apresentar orientações mais objetivas sobre colaboração, coordenação, compartilhamento de informações e integração entre as diversas funções responsáveis pela gestão, supervisão e avaliação da organização.

Este artigo apresenta uma análise comparativa entre as versões de 2020 e 2026 do Modelo das Três Linhas, destacando suas principais evoluções, discutindo seus impactos práticos para as organizações e demonstrando sua compatibilidade com a ISO 31000. Ao final, será apresentada uma visão integrada desses dois importantes referenciais internacionais, evidenciando como eles podem ser utilizados de forma complementar para fortalecer a governança corporativa, aprimorar a gestão de riscos e apoiar uma tomada de decisão mais consistente, transparente e orientada à criação e proteção de valor.

The Three Lines Model – Assurance and Advice in Support of Effective Governance (Modelo das Três Linhas – Avaliação Independente e Aconselhamento em Apoio à Governança) - The Institute of Internal Auditors (IIA).

---

2. Relembrando o Modelo das Três Linhas

Antes de compreender as mudanças introduzidas pelo IIA em 2026, é importante revisitar os fundamentos do Modelo das Três Linhas e o papel desempenhado por cada uma das funções envolvidas na governança organizacional.

Embora seja frequentemente associado à Auditoria Interna, o Modelo das Três Linhas possui um escopo muito mais amplo. Seu objetivo é estabelecer uma arquitetura de governança capaz de definir, de forma clara, os papéis, responsabilidades e relacionamentos entre aqueles que administram a organização, aqueles que supervisionam sua atuação e aqueles que fornecem avaliações independentes sobre a eficácia da governança, da gestão de riscos e dos controles internos.

Na prática, o modelo busca responder a uma pergunta simples, porém essencial: Quem é responsável por executar, supervisionar, apoiar e avaliar a gestão dos riscos dentro da organização?

A resposta está distribuída entre cinco grupos de atores que, embora possuam responsabilidades distintas, devem atuar de forma coordenada e colaborativa para apoiar a tomada de decisão e contribuir para a criação e proteção de valor.

2.1. Conselho de Administração e Alta Governança

No topo do modelo encontra-se o Conselho de Administração; ou o órgão máximo de governança equivalente, conforme a estrutura de cada organização.

Seu papel não é administrar os riscos diretamente, mas estabelecer a direção estratégica, definir expectativas, supervisionar a atuação da Alta Administração e assegurar que existam mecanismos eficazes de governança, gestão de riscos, controles internos e avaliação independente.

É para o Conselho que convergem as informações produzidas pelas diferentes linhas do modelo, permitindo uma visão abrangente sobre o desempenho organizacional, os riscos relevantes e a efetividade dos mecanismos de governança.

2.2. Primeira Linha

A Primeira Linha é composta pelas áreas responsáveis pela execução das atividades da organização.

São os gestores e equipes operacionais que tomam decisões diariamente, executam processos, administram recursos, implementam controles e respondem diretamente pelos riscos decorrentes de suas atividades.

Em outras palavras, a Primeira Linha é a proprietária dos riscos sob sua responsabilidade operacional. Cabe a ela identificar, analisar, avaliar, tratar, monitorar e comunicar esses riscos como parte integrante da gestão cotidiana.

A gestão de riscos, portanto, não constitui uma atividade paralela à operação. Ela faz parte do próprio processo de gestão.

2.3. Segunda Linha

A Segunda Linha reúne as funções especializadas que apoiam, orientam, monitoram e desafiam construtivamente a atuação da Primeira Linha.

Normalmente integram essa linha áreas como Gestão de Riscos, Compliance (Conformidade), Controles Internos, Segurança da Informação, Segurança Corporativa, Qualidade, Saúde, Segurança e Meio Ambiente (SSMA), Privacidade, Continuidade de Negócios, entre outras funções de suporte à governança.

Embora não executem diretamente as atividades operacionais, essas funções desenvolvem metodologias, estabelecem políticas, acompanham indicadores, monitoram a aderência aos requisitos organizacionais e fornecem aconselhamento técnico às áreas responsáveis pela gestão dos riscos.

É importante destacar que a Segunda Linha não substitui a responsabilidade da gestão operacional. Seu papel é fortalecer a capacidade da organização para gerenciar riscos de forma consistente e alinhada às diretrizes estabelecidas pela governança.

2.4. Terceira Linha

A Terceira Linha é representada pela Auditoria Interna, responsável por fornecer Assurance (Avaliação Independente) sobre a adequação e a eficácia da governança, da gestão de riscos e dos controles internos.

Sua atuação deve permanecer objetiva, imparcial e independente das atividades que avalia, permitindo oferecer ao Conselho e à Alta Administração uma opinião confiável sobre a efetividade dos processos organizacionais.

Além da realização de avaliações independentes, o documento publicado pelo IIA em 2026 reforça que a Auditoria Interna também pode desempenhar atividades de Advice (Aconselhamento), desde que sejam preservadas sua objetividade, independência e as salvaguardas necessárias para evitar conflitos de interesse ou participação na gestão dos riscos.

2.5. Prestadores Externos de Assurance (Avaliação Independente)

O modelo também reconhece a importância dos prestadores externos de Assurance (Avaliação Independente), como auditorias independentes, organismos certificadores, órgãos reguladores, entidades fiscalizadoras e consultorias especializadas contratadas para avaliações específicas.

Embora não integrem formalmente a estrutura da organização, essas entidades produzem informações relevantes para a governança, complementando as avaliações realizadas internamente e contribuindo para ampliar a confiança sobre a efetividade dos processos organizacionais.

2.6. Muito além de uma divisão organizacional

Um dos aspectos mais importantes do Modelo das Três Linhas é compreender que ele não descreve necessariamente departamentos ou estruturas organizacionais.

Seu propósito é definir papéis e responsabilidades, que podem estar distribuídos de diferentes formas conforme o porte, a complexidade e o contexto de cada organização.

Em empresas menores, por exemplo, uma mesma pessoa pode desempenhar mais de um papel, desde que sejam preservadas as salvaguardas relacionadas à independência e aos conflitos de interesse. Em organizações de maior porte, essas responsabilidades normalmente são distribuídas entre áreas especializadas.

Assim, o Modelo das Três Linhas deve ser compreendido como um referencial de governança flexível, capaz de orientar diferentes estruturas organizacionais sem impor um modelo único de organização.

Figura 1 – Estrutura conceitual do Modelo das Três Linhas.

---

3. A evolução do Modelo das Três Linhas: principais mudanças entre 2020 e 2026

Quando o IIA publicou o Modelo das Três Linhas em 2020, apresentou ao mercado uma importante evolução em relação ao antigo conceito das “Três Linhas de Defesa”. A proposta deixou de enfatizar exclusivamente a proteção da organização contra eventos adversos e passou a destacar a importância da governança, da geração de valor e da atuação coordenada entre as diferentes funções organizacionais.

Seis anos depois, a publicação do documento The Three Lines Model – Assurance and Advice in Support of Effective Governance (Modelo das Três Linhas – Avaliação Independente e Aconselhamento em Apoio à Governança Eficaz) representa um novo passo nessa evolução.

É importante destacar que o documento de 2026 não altera a arquitetura fundamental do modelo. A Primeira Linha continua responsável pela gestão dos riscos, a Segunda Linha mantém seu papel de orientação e monitoramento, a Terceira Linha permanece exercendo sua função de avaliação independente e a Governança continua responsável pela supervisão da organização.

As mudanças concentram-se principalmente na forma como essas funções se relacionam, compartilham informações e colaboram entre si para apoiar uma governança mais integrada, eficiente e orientada à tomada de decisão.

Mais do que redefinir responsabilidades, a atualização procura responder a uma pergunta prática enfrentada por inúmeras organizações: Como fazer com que diferentes funções de governança trabalhem de forma coordenada, evitando sobreposições, lacunas e desperdício de esforços?

A resposta apresentada pelo novo documento pode ser resumida em uma palavra: integração.

Ao longo dos últimos anos, muitas organizações amadureceram significativamente suas estruturas de Governança, Gestão de Riscos, Compliance (Conformidade), Controles Internos, Segurança da Informação, Qualidade, Sustentabilidade e Auditoria Interna. Em diversos casos, entretanto, esse crescimento ocorreu de forma independente, levando diferentes áreas a produzir avaliações semelhantes, solicitar evidências repetidas às áreas operacionais e elaborar relatórios distintos sobre temas muitas vezes relacionados.

Esse cenário resulta em aumento do esforço administrativo, duplicidade de avaliações, mensagens eventualmente conflitantes para a Alta Administração e uma utilização pouco eficiente dos recursos disponíveis.

O documento de 2026 reconhece explicitamente essa realidade e propõe uma evolução importante: fortalecer a coordenação entre as diferentes funções de governança, preservando suas responsabilidades específicas, mas estimulando uma atuação mais integrada, colaborativa e baseada no compartilhamento de informações.

Essa mudança de perspectiva aproxima o Modelo das Três Linhas das necessidades atuais das organizações, nas quais a complexidade dos riscos exige cada vez mais uma atuação coordenada entre especialistas de diferentes áreas, sem comprometer a independência, a objetividade e a responsabilidade individual de cada função.

Nos próximos tópicos serão analisadas as principais evoluções introduzidas pelo IIA, demonstrando como elas ampliam a aplicabilidade do modelo e contribuem para uma governança mais eficaz.

3.1 O modelo deixou de enfatizar apenas papéis e passou a fortalecer a colaboração

A principal evolução introduzida pelo documento publicado pelo IIA em 2026 não está relacionada à criação de novas linhas, à redefinição de responsabilidades ou à alteração da estrutura do modelo. Sua contribuição mais relevante está no fortalecimento da interação entre as funções de governança.

A versão de 2020 cumpriu um papel fundamental ao esclarecer as responsabilidades da Governança, da Primeira Linha, da Segunda Linha e da Terceira Linha. Em um contexto no qual ainda era comum a sobreposição de atribuições — ou mesmo a ausência de clareza sobre quem era responsável por determinadas atividades —, a definição explícita dos papéis representou um avanço significativo para a maturidade da Governança Corporativa.

Entretanto, à medida que as organizações amadureceram seus processos de Gestão de Riscos, Compliance (Conformidade), Controles Internos, Segurança da Informação, Sustentabilidade, Privacidade, Qualidade e Auditoria Interna, tornou-se evidente que a simples definição de responsabilidades não era suficiente para garantir uma governança eficaz.

Na prática, diversas funções passaram a atuar sobre os mesmos processos, frequentemente coletando informações semelhantes, realizando avaliações paralelas e produzindo relatórios independentes destinados aos mesmos gestores e órgãos de governança. Embora cada uma dessas atividades possuísse objetivos legítimos e competências específicas, a ausência de coordenação frequentemente resultava em retrabalho, aumento dos custos operacionais, fadiga das áreas avaliadas e dificuldade para consolidar uma visão integrada dos riscos organizacionais.

É justamente nesse contexto que a atualização de 2026 amplia o alcance do Modelo das Três Linhas.

Sem modificar a essência do modelo, o novo documento reforça que a efetividade da governança depende não apenas da correta distribuição de responsabilidades, mas também da capacidade das diferentes funções atuarem de forma coordenada, compartilhando informações, alinhando objetivos e contribuindo conjuntamente para uma compreensão mais ampla dos riscos e do desempenho organizacional.

Essa evolução representa uma mudança de perspectiva importante. O foco deixa de estar concentrado apenas na pergunta: “Quem é responsável por cada atividade?” e passa também a responder uma segunda questão igualmente relevante: “Como essas funções devem interagir para produzir uma governança mais eficaz?”.

Essa mudança aproxima o Modelo das Três Linhas da realidade das organizações contemporâneas, onde a complexidade dos riscos exige uma atuação multidisciplinar. Questões como transformação digital, cibersegurança, inteligência artificial, privacidade, sustentabilidade, continuidade de negócios e conformidade regulatória dificilmente podem ser tratadas de forma isolada por uma única área da organização.

A colaboração entre as linhas passa, portanto, a ser entendida como um elemento essencial para a criação de uma visão integrada da organização, preservando a autonomia e as responsabilidades específicas de cada função, mas estimulando o compartilhamento de conhecimentos, informações e avaliações sempre que isso contribuir para decisões mais bem fundamentadas.

Mais do que separar funções, o Modelo das Três Linhas evolui para incentivar a construção de uma governança integrada, na qual diferentes competências atuam de forma complementar para fortalecer a capacidade da organização de alcançar seus objetivos, responder às incertezas e criar valor de maneira sustentável.

Figura 2 – Evolução do foco do Modelo das Três Linhas (2020–2026)

3.2 O fortalecimento do Advice (Aconselhamento)

Desde a publicação do Modelo das Três Linhas em 2020, a função da Auditoria Interna sempre esteve fortemente associada à prestação de Assurance (Avaliação Independente), ou seja, à realização de avaliações objetivas e independentes sobre a eficácia da governança, da gestão de riscos e dos controles internos. Essa continua sendo sua principal responsabilidade e permanece como um dos pilares do modelo.

Entretanto, o documento publicado em 2026 amplia essa visão ao reconhecer, de forma muito mais explícita, que a Auditoria Interna também pode contribuir para a governança por meio de atividades de Advice (Aconselhamento).

Essa evolução não representa uma ampliação de autoridade nem uma transferência de responsabilidades para a Auditoria Interna. O objetivo é reconhecer que o conhecimento acumulado pelos auditores, decorrente de sua visão abrangente da organização, pode gerar contribuições relevantes para o aperfeiçoamento dos processos de governança, gestão de riscos e controles internos.

Na prática, isso significa que a Auditoria Interna pode compartilhar conhecimentos, apresentar recomendações, discutir boas práticas, apoiar reflexões estratégicas e contribuir tecnicamente para o fortalecimento da organização, desde que essa atuação não comprometa sua independência nem a transforme em participante das decisões de gestão. Esse ponto merece especial atenção.

O documento de 2026 deixa claro que Advice (Aconselhamento) não significa administrar riscos, aprovar controles, decidir sobre tratamentos ou assumir responsabilidades típicas da gestão. Essas atribuições continuam pertencendo à Primeira Linha e, quando aplicável, às funções especializadas da Segunda Linha. Em outras palavras, a Auditoria Interna pode contribuir com conhecimento, experiência e visão sistêmica, mas a decisão continua sendo responsabilidade da gestão. Essa distinção é fundamental para preservar a objetividade da Auditoria Interna.

Caso participe diretamente da definição, implementação ou aprovação das medidas que posteriormente serão objeto de avaliação, sua independência poderá ficar comprometida, reduzindo a confiabilidade das futuras atividades de Assurance (Avaliação Independente).

O fortalecimento do Advice (Aconselhamento) também reflete uma evolução natural da própria Governança Corporativa. Em ambientes organizacionais cada vez mais complexos, espera-se que as funções de governança contribuam não apenas identificando fragilidades, mas também compartilhando conhecimentos capazes de melhorar processos, fortalecer controles e apoiar decisões mais consistentes. Essa atuação consultiva, entretanto, deve sempre respeitar limites claramente definidos.

O valor do Advice (Aconselhamento) não está em substituir a gestão, mas em ampliar sua capacidade de decisão por meio de análises independentes, recomendações qualificadas e compartilhamento de boas práticas observadas ao longo das atividades de avaliação.

Assim, o documento de 2026 preserva a essência do papel da Auditoria Interna, ao mesmo tempo em que reconhece sua capacidade de agregar valor para além das avaliações formais, reforçando sua contribuição para uma governança mais madura, preventiva e orientada à melhoria contínua.

Em síntese, a atualização de 2026 reafirma que a independência da Auditoria Interna não limita sua capacidade de contribuir para a organização. Pelo contrário, quando exercido dentro de limites éticos e técnicos claramente definidos, o Advice (Aconselhamento) amplia o valor estratégico da função sem comprometer sua objetividade ou sua credibilidade.

Figura 3 – Distinção entre Assurance (Avaliação Independente) e Advice (Aconselhamento).

3.3 O fortalecimento do  Integrated Assurance (Avaliação Integrada)

Entre todas as evoluções introduzidas pelo documento publicado pelo IIA em 2026, talvez nenhuma tenha potencial de produzir impactos tão significativos na Governança Corporativa quanto o fortalecimento do conceito de Integrated Assurance (Avaliação Integrada).

Embora a necessidade de coordenação entre diferentes funções de governança já estivesse presente, ainda que de forma implícita, na versão de 2020, a atualização de 2026 transforma esse princípio em um dos pilares centrais do modelo.

Essa evolução parte de uma constatação bastante conhecida pelas organizações.

À medida que as estruturas de Governança amadurecem, aumenta também o número de funções responsáveis por realizar avaliações sobre os processos organizacionais. Auditoria Interna, Gestão de Riscos, Compliance (Conformidade), Controles Internos, Segurança da Informação, Privacidade, Qualidade, Sustentabilidade, Saúde e Segurança Ocupacional, entre outras áreas, frequentemente necessitam analisar processos semelhantes, solicitar evidências, entrevistar gestores e emitir recomendações.

Quando essas atividades são conduzidas de forma independente e sem coordenação, surgem consequências conhecidas pela maioria das organizações:

1. duplicidade de solicitações às áreas operacionais;
2. repetição de testes e avaliações;
3. múltiplos relatórios sobre temas semelhantes;
4. aumento da carga administrativa sobre os gestores;
5. desperdício de recursos humanos e financeiros;
6. diferentes interpretações sobre um mesmo risco;
7. dificuldade para a Alta Administração consolidar uma visão única da organização.

O conceito de Integrated Assurance (Avaliação Integrada) procura justamente enfrentar esse desafio. Seu objetivo não é unificar departamentos, eliminar especializações ou concentrar todas as avaliações em uma única função. A proposta é muito mais abrangente e estratégica.

Consiste em promover uma atuação coordenada entre os diversos provedores de Assurance (Avaliação Independente), permitindo que informações, evidências, resultados e conhecimentos sejam compartilhados sempre que apropriado, reduzindo redundâncias e aumentando a qualidade das informações disponibilizadas à Governança.

Essa integração possibilita que diferentes avaliações deixem de ser percebidas como iniciativas isoladas e passem a compor uma visão sistêmica da organização.

Sob essa perspectiva, cada função continua preservando sua finalidade específica, suas competências técnicas e sua independência. A Auditoria Interna continua realizando avaliações independentes; a Gestão de Riscos continua apoiando a identificação, análise e monitoramento dos riscos; o Compliance continua supervisionando requisitos legais e regulatórios; e as demais funções permanecem desempenhando suas atribuições especializadas.

O que muda é a forma como essas funções passam a compartilhar informações, coordenar atividades e utilizar conhecimentos produzidos por outras áreas para ampliar a eficiência do sistema de governança como um todo.

Na prática, uma organização que adota os princípios da Integrated Assurance (Avaliação Integrada) deixa de enxergar cada avaliação como um processo isolado e passa a administrar seu conjunto de avaliações como um verdadeiro sistema integrado de geração de confiança para a Governança. Essa abordagem produz benefícios que vão muito além da redução de custos operacionais.

Ao eliminar sobreposições e integrar diferentes perspectivas técnicas, a organização obtém uma visão mais consistente dos riscos, melhora a qualidade das decisões estratégicas, fortalece a confiabilidade das informações apresentadas ao Conselho e aumenta a capacidade de antecipar vulnerabilidades antes que elas se materializem.

Mais do que integrar relatórios, a Integrated Assurance (Avaliação Integrada) integra conhecimento. E, em ambientes organizacionais cada vez mais complexos, essa integração representa uma das maiores oportunidades para transformar informações dispersas em inteligência capaz de apoiar decisões mais rápidas, consistentes e alinhadas aos objetivos estratégicos da organização.

3.3.1. Reflexão técnica

Um aspecto merece especial atenção. É comum interpretar Integrated Assurance (Avaliação Integrada) como sinônimo de centralização das avaliações em uma única área, normalmente a Auditoria Interna. Essa interpretação não encontra respaldo no documento do IIA.

O conceito proposto em 2026 enfatiza a coordenação entre funções, e não a concentração de responsabilidades. Cada função continua responsável por suas competências específicas. O diferencial está na construção de mecanismos que favoreçam o compartilhamento de informações, o planejamento coordenado das avaliações e o aproveitamento dos conhecimentos produzidos pelas diferentes áreas, sempre respeitando suas atribuições, competências e níveis de independência.

Essa distinção é fundamental para compreender corretamente a evolução proposta pelo novo Modelo das Três Linhas.

Figura 4 – Evolução para o Integrated Assurance (Avaliação Integrada)

3.4 Independência não significa isolamento

Durante muitos anos, um dos maiores desafios enfrentados pelas organizações foi equilibrar dois objetivos aparentemente conflitantes. De um lado, preservar a independência das funções de governança, especialmente da Auditoria Interna. De outro, estimular a colaboração entre as diferentes áreas responsáveis pela gestão, supervisão e avaliação dos riscos organizacionais.

Em muitas organizações, esse equilíbrio acabou sendo interpretado de forma excessivamente restritiva. Na tentativa de preservar sua objetividade, algumas funções passaram a atuar quase de forma isolada, limitando o compartilhamento de informações, reduzindo oportunidades de colaboração e, em alguns casos, produzindo avaliações desconectadas da realidade vivenciada pelas demais áreas da organização.

O documento publicado pelo IIA em 2026 propõe uma visão mais madura sobre esse tema. Em nenhum momento ele relativiza a importância da independência. Ao contrário. A independência continua sendo apresentada como um requisito essencial para que determinadas funções, especialmente a Auditoria Interna, possam fornecer Assurance (Avaliação Independente) confiável à Governança.

O que muda é a compreensão de que preservar a independência não exige o isolamento das funções. Essa talvez seja uma das mensagens mais importantes de todo o documento. A colaboração institucional entre diferentes áreas não compromete, por si só, a objetividade de suas avaliações.

Compartilhar informações, coordenar cronogramas, discutir riscos emergentes, utilizar evidências produzidas por outras funções ou alinhar metodologias não significa abrir mão da autonomia técnica nem da responsabilidade individual de cada área. Pelo contrário. Quando realizada de forma estruturada, essa interação tende a fortalecer a qualidade das avaliações, ampliar a compreensão sobre os riscos organizacionais e reduzir inconsistências entre diferentes análises.

O próprio conceito de Integrated Assurance (Avaliação Integrada) depende dessa capacidade de cooperação. Sem comunicação entre as funções, torna-se praticamente impossível construir uma visão integrada da organização.

Entretanto, o documento também estabelece limites bastante claros. Colaboração não significa compartilhar responsabilidades decisórias. Cada função continua responsável pelas atividades que lhe são atribuídas. A Primeira Linha continua administrando os riscos. A Segunda Linha continua orientando, monitorando e apoiando. A Terceira Linha continua realizando avaliações independentes. A Governança continua supervisionando todo o sistema.

A interação ocorre no intercâmbio de informações, na coordenação das atividades e no aproveitamento do conhecimento produzido pelas diferentes funções, e não na transferência de responsabilidades entre elas. Essa distinção é especialmente relevante para a Auditoria Interna.

Embora possa participar de discussões estratégicas, compartilhar boas práticas, contribuir com seu conhecimento institucional e exercer atividades de Advice (Aconselhamento), ela não deve assumir responsabilidades próprias da gestão nem participar da tomada de decisões que posteriormente poderão ser objeto de sua avaliação independente.

Em outras palavras, a colaboração deve ampliar a qualidade da Governança, jamais comprometer a credibilidade das avaliações. Essa mudança de perspectiva representa uma evolução importante em relação às interpretações mais tradicionais do modelo. O foco deixa de estar na separação rígida entre funções e passa a privilegiar a construção de relações institucionais baseadas na confiança, na transparência e na complementaridade de competências. A independência permanece preservada. O isolamento, por sua vez, deixa de ser visto como uma condição necessária para garanti-la.

3.4.1. Reflexão técnica

Uma leitura cuidadosa do documento permite concluir que o verdadeiro desafio da Governança contemporânea não consiste em manter as funções separadas, mas em construir mecanismos que permitam sua interação contínua sem comprometer a autonomia técnica, a objetividade e a responsabilidade individual de cada uma delas.

Essa talvez seja uma das maiores contribuições conceituais da atualização de 2026.

A independência protege a credibilidade das avaliações. A colaboração amplia seu valor para a organização. A Governança eficaz depende da coexistência equilibrada desses dois princípios.

Figura 5 – Independência e colaboração: princípios complementares da Governança

3.5 Uma evolução orientada à aplicabilidade

Uma das mudanças mais perceptíveis na atualização publicada pelo IIA em 2026 não está necessariamente nos conceitos apresentados, mas na forma como eles são desenvolvidos ao longo do documento.

A versão de 2020 cumpriu um papel importante ao consolidar a evolução do antigo Modelo das Três Linhas de Defesa para o Modelo das Três Linhas, estabelecendo uma base conceitual clara sobre os papéis da Governança, da gestão e da Auditoria Interna.

Entretanto, muitos profissionais responsáveis pela implementação do modelo identificaram uma dificuldade comum: transformar seus princípios em práticas concretas de governança.

Questões como:

1. Como integrar diferentes funções de governança?
2. Como coordenar avaliações sem comprometer a independência?
3. Como aproveitar avaliações realizadas por outras áreas?
4. Como fortalecer o relacionamento entre as linhas?
5. Como evitar sobreposições de atividades?

Embora pudessem ser respondidas a partir dos princípios gerais do modelo, ainda exigiam elevado grau de interpretação por parte das organizações. O documento publicado em 2026 procura reduzir significativamente essa lacuna. Ao longo de sua estrutura, percebe-se um esforço deliberado para aproximar o Modelo das Três Linhas da realidade operacional das organizações.

Em vez de concentrar-se apenas na descrição dos papéis institucionais, o documento passa a explorar com maior profundidade a dinâmica de relacionamento entre as funções de governança, oferecendo orientações mais claras sobre coordenação, compartilhamento de informações, integração das avaliações e preservação das salvaguardas relacionadas à independência.

Essa mudança amplia significativamente a aplicabilidade do modelo. O leitor deixa de receber apenas uma definição conceitual sobre as responsabilidades de cada linha e passa a compreender como essas responsabilidades podem ser exercidas de forma integrada, colaborativa e alinhada aos objetivos organizacionais.

Outro aspecto que merece destaque é a abordagem mais equilibrada entre princípios e implementação. O documento evita apresentar soluções prescritivas ou estruturas organizacionais rígidas. Em vez disso, oferece diretrizes suficientemente flexíveis para que organizações de diferentes portes, setores e níveis de maturidade possam adaptar o Modelo das Três Linhas às suas características específicas.

Essa flexibilidade está plenamente alinhada à própria filosofia da ISO 31000, segundo a qual a gestão de riscos deve ser personalizada ao contexto de cada organização, respeitando seu ambiente interno, seu modelo de negócios, sua cultura e seus objetivos estratégicos.

Nesse sentido, a atualização de 2026 não deve ser interpretada como um conjunto de novas exigências para as organizações. Sua principal contribuição consiste em oferecer uma compreensão mais madura sobre como estruturar relações de governança capazes de produzir melhores decisões, maior eficiência na utilização dos recursos disponíveis e uma visão mais integrada dos riscos corporativos.

Mais do que ampliar o conteúdo técnico do Modelo das Três Linhas, o novo documento amplia sua capacidade de orientar sua implementação prática. Esse talvez seja um dos fatores que mais contribuirão para sua adoção nos próximos anos.

3.5.1. Reflexão técnica

Ao comparar as versões de 2020 e 2026, observa-se que a principal evolução não está na criação de novos conceitos, mas na ampliação do nível de maturidade do próprio modelo. A atualização desloca o foco da simples definição de responsabilidades para a construção de mecanismos capazes de transformar essas responsabilidades em práticas efetivas de governança.

Em outras palavras, o documento deixa de responder apenas “quem faz o quê” e passa a responder, com muito mais profundidade, “como essas funções podem atuar conjuntamente para fortalecer a governança organizacional”. Essa mudança de perspectiva representa, talvez, sua maior contribuição para as organizações.

Figura 6 – Evolução da maturidade do Modelo das Três Linhas

3.6 O que o novo Modelo das Três Linhas não mudou

Ao analisar uma atualização de qualquer referencial internacional, é natural que a atenção dos leitores se concentre nas mudanças introduzidas pelo novo documento. Entretanto, compreender aquilo que permaneceu inalterado é igualmente importante, especialmente quando se trata de um modelo amplamente utilizado como referência para a estruturação da Governança Corporativa.

A leitura comparativa entre as versões de 2020 e 2026 evidencia que o IIA optou deliberadamente por preservar a arquitetura conceitual do Modelo das Três Linhas. A atualização não substitui seus fundamentos nem redefine as responsabilidades essenciais das funções de governança. Ao contrário, o novo documento parte da premissa de que o modelo anterior estava conceitualmente consolidado e concentra seus esforços em ampliar sua maturidade, sua integração e sua aplicabilidade.

O primeiro aspecto que permanece inalterado diz respeito à responsabilidade pela gestão dos riscos. O documento continua reconhecendo que a administração dos riscos pertence à gestão, representada pela Primeira Linha. São os gestores e suas equipes que executam os processos organizacionais, implementam controles, administram recursos e respondem pelos riscos associados às atividades sob sua responsabilidade. A atualização de 2026 não transfere essa responsabilidade para a Segunda Linha, para a Auditoria Interna ou para qualquer outra função de governança. Essa permanência é particularmente relevante porque preserva um dos princípios fundamentais da boa governança: quem executa as atividades também deve responder pelos riscos inerentes às suas decisões.

Da mesma forma, a Segunda Linha mantém sua vocação de orientar, apoiar, monitorar e desafiar construtivamente a gestão, fornecendo metodologias, políticas, critérios, indicadores e conhecimentos especializados que fortaleçam a capacidade da organização de administrar seus riscos. Embora o novo documento amplie significativamente a colaboração entre as linhas e incentive uma atuação mais coordenada entre as diferentes funções de governança, em nenhum momento atribui à Segunda Linha a responsabilidade de gerir operacionalmente os riscos da organização. Sua missão continua sendo fortalecer a gestão, e não substituí-la.

A Terceira Linha também preserva sua essência. A Auditoria Interna continua sendo a função responsável por fornecer Assurance (Avaliação Independente) à Governança, emitindo avaliações objetivas sobre a eficácia da governança, da gestão de riscos e dos controles internos. Como discutido anteriormente, o documento de 2026 amplia o espaço destinado ao Advice (Aconselhamento), reconhecendo a capacidade da Auditoria Interna de agregar valor por meio do compartilhamento de conhecimentos e recomendações. Entretanto, essa ampliação não altera um princípio igualmente preservado: a independência permanece sendo condição indispensável para a credibilidade das avaliações realizadas pela Auditoria Interna.

Outro aspecto que permanece inalterado é a própria natureza do Modelo das Três Linhas. Assim como na versão de 2020, o documento de 2026 continua descrevendo um modelo baseado em papéis e responsabilidades, e não em departamentos ou estruturas organizacionais específicas. Isso significa que cada organização continua livre para distribuir essas funções de acordo com seu porte, seu contexto, seu modelo de negócios e seu nível de maturidade, desde que sejam preservados os princípios fundamentais relacionados à segregação de responsabilidades, à objetividade das avaliações e à adequada supervisão da governança.

Também permanece inalterado o papel da Governança como instância responsável por supervisionar a organização, estabelecer direcionamentos estratégicos, acompanhar o desempenho da gestão e assegurar que existam mecanismos eficazes de governança, gestão de riscos, controles internos e avaliação independente. Embora a atualização de 2026 fortaleça significativamente a integração das informações destinadas ao Conselho e estimule maior coordenação entre as diferentes funções de governança, ela não modifica sua responsabilidade pela supervisão da organização nem altera sua posição como principal destinatária das informações produzidas pelas diversas linhas.

Em síntese, a atualização publicada pelo IIA em 2026 não altera os fundamentos do Modelo das Três Linhas. Sua principal contribuição consiste em ampliar a maturidade das relações entre as funções de governança, fortalecendo a colaboração, o compartilhamento de informações e a coordenação entre diferentes provedores de Assurance (Avaliação Independente), sem modificar a essência das responsabilidades que estruturam o modelo desde sua publicação em 2020. Essa combinação entre continuidade e evolução talvez explique a solidez da atualização: em vez de substituir um referencial já consolidado, o documento procura torná-lo mais aderente aos desafios enfrentados pelas organizações contemporâneas, preservando os princípios que lhe conferiram reconhecimento internacional e ampliando sua capacidade de apoiar uma governança cada vez mais integrada, eficaz e orientada à criação e proteção de valor.

Quadro 1 – Síntese da evolução do Modelo das Três Linhas entre 2020 e 2026

---

4. Aplicando o Modelo das Três Linhas na prática

4.1 Da teoria para a prática

Até este ponto, a análise concentrou-se na evolução conceitual promovida pelo documento publicado pelo IIA em 2026. Observou-se que a atualização preserva os fundamentos do Modelo das Três Linhas, ao mesmo tempo em que fortalece a colaboração entre funções, amplia o papel do Advice (Aconselhamento), consolida o conceito de Integrated Assurance (Avaliação Integrada) e oferece orientações mais claras para sua implementação.

Entretanto, compreender os conceitos representa apenas a primeira etapa do processo. O verdadeiro desafio enfrentado pelas organizações consiste em transformar esses princípios em práticas efetivas de governança, respeitando suas características, seu porte, seu setor de atuação e seu nível de maturidade.

Um aspecto importante merece destaque desde o início deste capítulo. O Modelo das Três Linhas não foi concebido para redesenhar organogramas nem para impor uma estrutura organizacional padronizada. Sua finalidade é muito mais ampla. O modelo fornece uma arquitetura de governança baseada na definição de papéis, responsabilidades e relacionamentos, permitindo que diferentes organizações estruturem suas funções de maneira compatível com sua realidade, desde que preservem os princípios fundamentais estabelecidos pelo IIA.

Essa característica explica por que organizações pertencentes a setores distintos — como instituições financeiras, indústrias, empresas de tecnologia, hospitais, órgãos públicos ou companhias de infraestrutura — podem utilizar o mesmo modelo, ainda que possuam estruturas organizacionais completamente diferentes. O que permanece constante não é a forma como os departamentos estão organizados, mas a clareza sobre quem administra os riscos, quem fornece orientação especializada, quem realiza avaliações independentes e como essas funções interagem para apoiar a Governança.

Em outras palavras, implementar o Modelo das Três Linhas não significa criar novas áreas ou alterar a estrutura formal da organização. Significa assegurar que os papéis essenciais previstos pelo modelo estejam claramente definidos, sejam adequadamente compreendidos e atuem de maneira coordenada para fortalecer a tomada de decisão, a gestão dos riscos e a criação e proteção de valor.

Essa compreensão constitui o ponto de partida para uma implementação bem-sucedida e evita um dos equívocos mais frequentes observados nas organizações: confundir papéis de governança com departamentos organizacionais. É justamente esse aspecto que será discutido na próxima seção.

4.2 O primeiro erro: transformar as linhas em departamentos

Entre os equívocos mais recorrentes na implementação do Modelo das Três Linhas está a tentativa de convertê-lo em um organograma organizacional. Embora compreensível, essa interpretação acaba distorcendo a finalidade do modelo e pode produzir exatamente o efeito contrário ao pretendido pelo IIA: aumentar a burocracia, criar estruturas artificiais e dificultar a integração entre as funções de governança.

O documento de 2026 é consistente ao apresentar o Modelo das Três Linhas como um referencial baseado em papéis, responsabilidades e relacionamentos, e não como uma estrutura organizacional padronizada. Em nenhum momento o IIA determina quais departamentos devem existir, como devem ser organizados ou quantas áreas cada organização deve possuir. Essa decisão continua pertencendo à própria organização, que deverá estruturá-la de acordo com seu porte, sua complexidade, seu ambiente regulatório e seus objetivos estratégicos.

Essa distinção é fundamental. Uma mesma área organizacional pode exercer predominantemente responsabilidades típicas da Primeira Linha, enquanto outra desempenha funções características da Segunda Linha. Em algumas organizações, determinadas atividades poderão estar concentradas em uma única unidade administrativa; em outras, poderão ser distribuídas entre diferentes departamentos ou até mesmo compartilhadas entre diversas equipes. O que caracteriza cada linha não é sua posição no organograma, mas a natureza das responsabilidades exercidas.

Essa flexibilidade explica por que o Modelo das Três Linhas pode ser aplicado com igual eficácia em organizações extremamente distintas. Uma multinacional com dezenas de áreas especializadas, uma empresa familiar, um órgão público ou uma startup podem adotar os mesmos princípios de governança, ainda que possuam estruturas administrativas completamente diferentes.

Da mesma forma, uma área não deixa de pertencer predominantemente à Segunda Linha apenas porque está subordinada hierarquicamente a uma diretoria operacional, assim como uma Auditoria Interna não passa a integrar a Primeira Linha pelo simples fato de estar posicionada em determinado nível do organograma. O que define sua posição no Modelo das Três Linhas continua sendo o papel efetivamente desempenhado e a responsabilidade que exerce no sistema de governança.

Essa interpretação também evita outro equívoco relativamente comum: acreditar que toda organização precisa criar uma área formal de Gestão de Riscos, Compliance (Conformidade) ou Controles Internos para atender ao modelo. Em muitas organizações de pequeno e médio porte, essas responsabilidades podem ser desempenhadas por equipes reduzidas ou mesmo por profissionais que acumulam diferentes funções, desde que sejam preservadas as salvaguardas necessárias para evitar conflitos de interesse e assegurar a objetividade das avaliações quando exigida.

Em outras palavras, o Modelo das Três Linhas não prescreve uma estrutura organizacional. Ele oferece uma arquitetura de governança suficientemente flexível para que diferentes organizações distribuam papéis e responsabilidades conforme sua realidade, preservando os princípios que garantem uma adequada segregação de funções, uma gestão efetiva dos riscos e uma supervisão independente da governança.

Essa flexibilidade talvez seja uma das razões pelas quais o modelo permaneceu atual mesmo diante das profundas transformações pelas quais as organizações passaram nos últimos anos. Novas áreas surgiram, outras ganharam relevância estratégica — como Segurança da Informação, Privacidade, Sustentabilidade, Inteligência Artificial e ESG —, mas todas podem ser incorporadas ao Modelo das Três Linhas sem que seja necessário alterar sua arquitetura conceitual. O modelo permanece estável justamente porque descreve responsabilidades, e não estruturas organizacionais.

4.2.1. Reflexão técnica

Uma implementação madura do Modelo das Três Linhas não começa pela reorganização do organograma da empresa. Ela começa pela identificação clara das responsabilidades existentes, pela definição de quem administra os riscos, de quem fornece orientação especializada, de quem realiza avaliações independentes e, principalmente, pela construção de mecanismos que permitam a coordenação entre essas funções.

Quando as organizações compreendem essa diferença, deixam de perguntar “em que departamento cada linha deve ficar?” e passam a responder uma questão muito mais relevante: “Como distribuir responsabilidades de forma que a governança funcione de maneira integrada, eficiente e alinhada aos objetivos da organização?”.

Essa mudança de perspectiva representa um dos maiores ganhos proporcionados pelo Modelo das Três Linhas e constitui um dos pilares para sua correta implementação.

4.3 O relacionamento entre as linhas e o papel da Alta Administração

Um dos aspectos mais relevantes do Modelo das Três Linhas, embora frequentemente negligenciado durante sua implementação, diz respeito ao relacionamento estabelecido entre as diferentes funções de governança. A leitura do documento publicado pelo IIA em 2026 evidencia que o modelo não foi concebido para criar relações hierárquicas entre as linhas, tampouco para estabelecer mecanismos de fiscalização interna entre elas. Seu propósito é estruturar responsabilidades distintas, porém complementares, que atuam de forma coordenada em apoio à Governança.

Essa distinção é fundamental para evitar interpretações equivocadas. A Primeira Linha não trabalha para a Segunda Linha, assim como a Segunda Linha não existe para fiscalizar permanentemente a atuação da Primeira. Da mesma forma, a Terceira Linha não administra, coordena ou supervisiona as atividades desempenhadas pela Segunda Linha. Cada uma dessas funções possui responsabilidades próprias, competências específicas e diferentes formas de agregar valor à organização.

O relacionamento entre elas deve ser compreendido sob a perspectiva da cooperação institucional e não da subordinação funcional. A Primeira Linha administra os riscos inerentes às suas atividades e implementa os controles necessários ao alcance dos objetivos organizacionais. A Segunda Linha fortalece essa capacidade por meio de metodologias, políticas, orientação especializada, monitoramento e apoio técnico. A Terceira Linha, por sua vez, fornece à Governança uma avaliação independente sobre a eficácia desse conjunto de mecanismos, preservando sua objetividade e sua autonomia técnica.

Sob essa perspectiva, todas as linhas convergem para um mesmo propósito: fortalecer a capacidade da organização de alcançar seus objetivos de forma sustentável, apoiando a tomada de decisões por meio de informações confiáveis, avaliações qualificadas e responsabilidades claramente definidas. O documento de 2026 reforça essa visão ao incentivar maior colaboração, compartilhamento de informações e coordenação entre as funções, sem que isso implique perda de independência ou transferência de responsabilidades.

Essa integração, entretanto, somente se torna possível quando existe liderança efetiva da Alta Administração e da Governança. Nenhum modelo de governança, por mais bem estruturado que seja, produz resultados satisfatórios quando implementado apenas por iniciativa das áreas técnicas. A coordenação entre funções, o planejamento integrado das avaliações, o compartilhamento de informações e a consolidação de uma visão única dos riscos dependem de uma orientação clara da liderança organizacional.

É justamente nesse ponto que reside um dos principais fatores de sucesso — ou de fracasso — da implementação do Modelo das Três Linhas. Quando a Alta Administração compreende seu papel e assume o compromisso de promover uma cultura de colaboração entre as diferentes funções de governança, cria-se um ambiente favorável à integração das linhas, ao fortalecimento da Integrated Assurance (Avaliação Integrada) e à produção de informações mais consistentes para apoio à tomada de decisão. Em contrapartida, quando esse patrocínio institucional não existe, é comum que cada área atue de forma isolada, utilizando metodologias próprias, realizando avaliações independentes sobre os mesmos processos e competindo, ainda que involuntariamente, pela atenção da organização.

Nessas circunstâncias, a organização deixa de usufruir dos principais benefícios propostos pelo documento de 2026. A colaboração torna-se limitada, o compartilhamento de informações diminui, a coordenação entre avaliações praticamente desaparece e a Governança passa a receber informações fragmentadas, produzidas sob perspectivas distintas e nem sempre convergentes.

Mais do que definir papéis, o Modelo das Três Linhas pressupõe liderança. Seu pleno funcionamento depende de uma Alta Administração comprometida com a integração das funções de governança, capaz de promover uma cultura baseada na confiança, na cooperação e na clareza de responsabilidades. Somente nesse ambiente é possível transformar a coexistência de diferentes funções especializadas em um sistema de governança verdadeiramente integrado, orientado à tomada de decisões e à criação e proteção de valor.

---

5. Onde começa a ISO 31000 e onde começa o Modelo das Três Linhas?

Desde a publicação do Modelo das Três Linhas em 2020, uma dúvida passou a surgir com frequência entre profissionais de Governança, Gestão de Riscos, Compliance (Conformidade) e Auditoria Interna: qual é a relação entre esse modelo e a ISO 31000? A atualização publicada pelo IIA em 2026, ao ampliar a aplicabilidade do Modelo das Três Linhas e fortalecer seu papel na governança organizacional, torna essa discussão ainda mais relevante.

Em parte, essa dúvida decorre do fato de que ambos os referenciais tratam da gestão das incertezas, da tomada de decisão e da criação de valor para as organizações. Entretanto, uma análise mais cuidadosa demonstra que eles abordam essas questões sob perspectivas diferentes e complementares. Não existe sobreposição conceitual significativa entre os documentos, tampouco conflito metodológico. Cada um responde a perguntas distintas dentro do sistema de governança organizacional.

A ISO 31000 é uma norma internacional voltada à gestão de riscos. Seu propósito é estabelecer princípios, uma estrutura (framework) e um processo que permitam às organizações identificar, analisar, avaliar, tratar e monitorar riscos de forma sistemática, integrada e alinhada aos seus objetivos. Seu foco está na forma como a gestão de riscos deve ser incorporada às atividades organizacionais e utilizada para apoiar decisões em todos os níveis da organização.

O Modelo das Três Linhas, por sua vez, não descreve como realizar a gestão de riscos. Seu propósito é definir como as responsabilidades relacionadas à governança, à gestão, ao apoio especializado e à avaliação independente devem ser distribuídas entre as diferentes funções organizacionais, assegurando que a gestão de riscos ocorra dentro de um ambiente de governança eficaz.

Essa distinção é essencial. Enquanto a ISO 31000 responde predominantemente à pergunta: Como a organização deve gerir seus riscos? O Modelo das Três Linhas responde: Quem participa desse processo, quais são suas responsabilidades e como essas funções devem interagir para fortalecer a Governança?

Essa diferença de enfoque explica por que ambos os referenciais podem ser implementados simultaneamente sem qualquer incompatibilidade. Na realidade, eles se complementam de maneira bastante natural.

A ISO 31000 fornece os princípios que orientam a gestão de riscos, estabelece a estrutura necessária para sua integração à organização e descreve o processo que transforma esses princípios em atividades práticas. O Modelo das Três Linhas, por sua vez, organiza os papéis institucionais necessários para que esse processo funcione de forma coordenada, transparente e confiável, definindo responsabilidades, preservando a independência das avaliações e fortalecendo os mecanismos de supervisão da Governança.

Sob essa perspectiva, seria incorreto interpretar o Modelo das Três Linhas como uma alternativa à ISO 31000. Da mesma forma, também seria equivocado imaginar que a ISO 31000 torna desnecessária a adoção do Modelo das Três Linhas. Os dois documentos possuem objetivos diferentes e atuam em níveis distintos da arquitetura de governança organizacional.

Uma analogia ajuda a compreender essa relação.

A ISO 31000 pode ser comparada ao método utilizado para conduzir a gestão de riscos: ela estabelece os princípios que orientam as decisões, a estrutura que sustenta sua implementação e o processo que disciplina sua execução. O Modelo das Três Linhas, por sua vez, define como as pessoas, funções e instâncias de governança se organizam para que esse método seja executado, supervisionado e continuamente aperfeiçoado.

Em outras palavras, um referencial organiza o processo; o outro organiza as responsabilidades.

Essa complementariedade torna-se ainda mais evidente quando observamos a evolução do documento publicado pelo IIA em 2026. Ao fortalecer conceitos como colaboração entre funções, Integrated Assurance (Avaliação Integrada) e Advice (Aconselhamento), o Modelo das Três Linhas amplia sua capacidade de apoiar organizações que já utilizam a ISO 31000 como referência para sua gestão de riscos. Em vez de criar novos processos ou substituir aqueles já estabelecidos pela norma, o modelo contribui para tornar esses processos mais bem coordenados, mais transparentes e mais eficazes do ponto de vista da governança.

Assim, a relação entre os dois referenciais não deve ser compreendida como uma escolha entre alternativas concorrentes, mas como a integração entre perspectivas complementares. A ISO 31000 fornece a metodologia para gerir riscos; o Modelo das Três Linhas fortalece a governança necessária para que essa metodologia seja executada com clareza de responsabilidades, adequada supervisão e mecanismos confiáveis de avaliação independente.

Ao analisarmos conjuntamente esses dois documentos internacionais, torna-se evidente que ambos convergem para um mesmo objetivo: apoiar organizações na tomada de decisões mais consistentes, fortalecendo sua capacidade de criar e proteger valor em um ambiente caracterizado por incertezas cada vez mais complexas.

Figura 8 - Arquitetura integrada entre Governança, Modelo das Três Linhas e ISO 31000.

---

6. Integrando o Modelo das Três Linhas à ISO 31000

A Figura 8 demonstra que o Modelo das Três Linhas e a ISO 31000 ocupam posições distintas, porém complementares, dentro da arquitetura de governança organizacional. Enquanto o modelo do IIA estabelece a distribuição de papéis e responsabilidades entre as diferentes funções de governança, a ISO 31000 fornece os princípios, a estrutura e o processo necessários para que a gestão de riscos seja conduzida de forma consistente e alinhada aos objetivos organizacionais.

Essa distinção permite compreender que a integração entre os dois referenciais ocorre de forma natural, sem sobreposição de funções ou duplicidade de responsabilidades. O Modelo das Três Linhas não substitui nenhuma etapa prevista pela ISO 31000, assim como a ISO 31000 não redefine os papéis institucionais estabelecidos pelo IIA. Cada referencial atua sobre uma dimensão específica da governança.

Na prática, essa integração pode ser compreendida observando-se o fluxo de decisões dentro da organização.

A Governança estabelece a direção estratégica, define expectativas, supervisiona o desempenho organizacional e assegura que existam mecanismos adequados de prestação de contas. Para que esse sistema funcione de maneira efetiva, torna-se necessário definir claramente quem será responsável por administrar os riscos, quem fornecerá orientação especializada, quem acompanhará a eficácia dos controles e quem realizará avaliações independentes. É exatamente essa organização de responsabilidades que o Modelo das Três Linhas proporciona.

Uma vez estabelecidos esses papéis, a ISO 31000 passa a fornecer o método pelo qual a gestão de riscos será realizada. Seus princípios orientam a cultura e a tomada de decisão; sua estrutura promove a integração da gestão de riscos aos processos organizacionais; e seu processo estabelece uma sequência lógica de atividades que compreende a comunicação e consulta, o estabelecimento do contexto, a identificação, a análise, a avaliação, o tratamento, o monitoramento e a melhoria contínua dos riscos.

Nesse cenário, cada Linha desempenha sua contribuição dentro do processo definido pela ISO 31000. A Primeira Linha identifica, avalia, trata e monitora os riscos relacionados às atividades sob sua responsabilidade. A Segunda Linha desenvolve metodologias, critérios, políticas, indicadores e mecanismos de monitoramento, apoiando tecnicamente a gestão e promovendo maior consistência na aplicação do processo. A Terceira Linha avalia, de forma independente, se todo esse sistema está funcionando conforme planejado, fornecendo à Governança informações confiáveis sobre sua eficácia.

Essa visão integrada também permite compreender com maior clareza o conceito de Integrated Assurance (Avaliação Integrada) introduzido e fortalecido pelo documento do IIA em 2026. Quando diferentes funções utilizam uma mesma metodologia de gestão de riscos, compartilham critérios, linguagem, informações e objetivos, torna-se possível coordenar avaliações, reduzir redundâncias, ampliar a qualidade das evidências e fornecer à Governança uma visão mais abrangente e consistente da organização. A Avaliação Integrada deixa, então, de ser apenas um mecanismo de coordenação entre áreas e passa a representar uma consequência natural de um sistema de governança estruturado sobre papéis bem definidos e um processo comum de gestão de riscos.

Essa complementaridade produz benefícios que vão além da eficiência operacional. Organizações que conseguem integrar adequadamente esses dois referenciais tendem a reduzir conflitos entre funções de governança, evitar retrabalho, racionalizar atividades de avaliação, aumentar a confiabilidade das informações utilizadas pela Alta Administração e fortalecer a capacidade institucional de responder às incertezas. Como consequência, a gestão de riscos deixa de ser percebida como um processo isolado e passa a atuar como um instrumento permanente de apoio à tomada de decisão e à criação e proteção de valor.

Sob essa perspectiva, o Modelo das Três Linhas e a ISO 31000 deixam de ser documentos independentes para compor uma arquitetura única de governança. Um define quem faz o quê; o outro estabelece como a gestão de riscos deve ser realizada. Quando implementados de forma integrada, ambos contribuem para fortalecer a capacidade da organização de alcançar seus objetivos com maior transparência, coordenação, responsabilidade e confiança.

Entretanto, talvez a maior contribuição dessa arquitetura integrada não esteja apenas na compatibilidade entre dois importantes referenciais internacionais, mas na possibilidade de utilizá-los como base para estruturar todo o sistema de governança de uma organização.

Sob essa perspectiva, a Governança deixa de ser compreendida como um conjunto de funções independentes e passa a ser concebida como um sistema integrado, no qual estratégia, gestão de riscos, controles internos, conformidade, auditoria e tomada de decisão operam de forma coordenada para alcançar objetivos comuns. A clareza proporcionada pelo Modelo das Três Linhas sobre papéis e responsabilidades, associada à abordagem sistemática da ISO 31000 para a gestão de riscos, oferece às organizações uma arquitetura suficientemente robusta para orientar tanto o desenho quanto o aprimoramento contínuo de seus modelos de governança.

Essa visão possui especial relevância em organizações que vêm ampliando suas estruturas de governança em resposta às crescentes exigências regulatórias, tecnológicas e de mercado. Nos últimos anos, diversas funções especializadas passaram a integrar esse ecossistema, como Gestão de Riscos, Compliance (Conformidade), Controles Internos, Segurança da Informação, Privacidade, Continuidade de Negócios, Sustentabilidade, Inteligência Artificial, ESG e outras áreas voltadas à gestão de temas específicos. Embora todas agreguem valor, sua expansão frequentemente ocorre de maneira independente, produzindo estruturas complexas, múltiplos fluxos de informação e, em alguns casos, sobreposição de atividades.

A arquitetura integrada apresentada neste artigo oferece uma alternativa para enfrentar esse desafio. Em vez de criar novos níveis hierárquicos ou concentrar responsabilidades em uma única função, ela permite organizar essas diferentes competências em torno de um modelo comum de governança. Cada função preserva sua finalidade, sua especialização técnica e sua autonomia, mas passa a atuar dentro de uma lógica compartilhada de objetivos, linguagem, critérios e mecanismos de coordenação.

Essa abordagem também favorece uma utilização mais eficiente dos recursos organizacionais. O compartilhamento de informações, o planejamento coordenado das avaliações, a harmonização de metodologias e o aproveitamento das evidências produzidas por diferentes funções reduzem redundâncias, aumentam a consistência das análises e ampliam a capacidade da Alta Administração e da Governança de compreender os riscos de maneira integrada. Como consequência, as decisões deixam de ser fundamentadas em informações fragmentadas e passam a refletir uma visão mais abrangente da realidade organizacional.

Outro aspecto igualmente importante é que essa arquitetura não depende de um modelo organizacional específico. Ela pode ser aplicada em organizações públicas ou privadas, de diferentes portes e setores econômicos, justamente porque está baseada em princípios de governança e não em estruturas administrativas predeterminadas. Cada organização poderá adaptar a distribuição das responsabilidades às suas características, preservando, entretanto, os fundamentos relacionados à segregação de funções, à independência das avaliações e à responsabilização da gestão pelos riscos sob sua responsabilidade.

Em última análise, essa integração representa uma evolução na forma de estruturar a Governança Corporativa. Em vez de tratar cada disciplina como um sistema independente, a organização passa a compreender que governança, gestão de riscos, controles internos, conformidade e auditoria constituem componentes de um mesmo sistema de gestão. O Modelo das Três Linhas fornece a arquitetura institucional; a ISO 31000 fornece o método para gerir riscos; e a atuação coordenada entre esses referenciais permite construir um ambiente mais transparente, resiliente e orientado à tomada de decisões que contribuam para a criação e proteção de valor.

Figura 9 - Integração fortalece governança, gestão de riscos, decisões estratégicas e criação sustentável de valor.

---

7. Reflexões finais: uma evolução da Governança, não uma substituição de modelos

A atualização do Modelo das Três Linhas publicada pelo Institute of Internal Auditors (IIA) em 2026 representa um importante avanço na forma como a governança organizacional é compreendida e aplicada. Entretanto, sua principal contribuição não está na criação de novos conceitos ou na substituição dos fundamentos estabelecidos nas versões anteriores, mas no amadurecimento de um modelo que já demonstrava sólida consistência conceitual.

Ao longo deste artigo, observou-se que a arquitetura do modelo permanece preservada. A Governança continua exercendo seu papel de supervisão e direcionamento; a Primeira Linha permanece responsável pela gestão dos riscos inerentes às operações; a Segunda Linha continua apoiando, orientando e monitorando a gestão; e a Terceira Linha mantém sua independência ao fornecer Assurance (Avaliação Independente) sobre a eficácia da governança, da gestão de riscos e dos controles internos.

O que efetivamente evoluiu foi a forma como essas funções passam a se relacionar.

O documento de 2026 reforça que uma governança eficaz depende menos da atuação isolada das funções e mais da qualidade da interação entre elas. Conceitos como colaboração, coordenação, compartilhamento de informações, Advice (Aconselhamento) e Integrated Assurance (Avaliação Integrada) deixam de ocupar um papel secundário e passam a constituir elementos centrais para o funcionamento do modelo. Em vez de ampliar estruturas ou criar novas responsabilidades, o IIA amplia a capacidade do Modelo das Três Linhas de responder às demandas de organizações cada vez mais complexas, dinâmicas e interdependentes.

Da mesma forma, este artigo demonstrou que essa evolução não altera a relação do modelo com a ISO 31000. Ao contrário, fortalece sua complementaridade. Enquanto a norma internacional continua oferecendo os princípios, a estrutura e o processo para a gestão de riscos, o Modelo das Três Linhas estabelece como as responsabilidades devem ser distribuídas e coordenadas para que essa gestão ocorra em um ambiente de governança eficaz. Um referencial não substitui o outro; ambos se integram e se fortalecem mutuamente.

Essa constatação possui implicações práticas importantes para organizações públicas e privadas. Em um cenário caracterizado por transformações tecnológicas aceleradas, maior complexidade regulatória, riscos emergentes e expectativas crescentes das partes interessadas, a simples existência de funções especializadas de Governança, Gestão de Riscos, Compliance (Conformidade), Controles Internos ou Auditoria Interna já não é suficiente. O verdadeiro diferencial passa a residir na capacidade dessas funções atuarem de maneira coordenada, compartilhando informações, evitando redundâncias, produzindo avaliações convergentes e oferecendo à Alta Administração uma visão integrada sobre os riscos e o desempenho organizacional.

Sob essa perspectiva, a atualização de 2026 representa também uma mudança de maturidade na própria concepção da governança corporativa. O foco deixa de estar apenas na adequada segregação de responsabilidades e passa a incorporar, de forma explícita, a necessidade de colaboração entre funções independentes. Trata-se de reconhecer que independência e cooperação não são conceitos antagônicos, mas características complementares de um sistema de governança eficaz.

Essa talvez seja a principal mensagem deixada pelo novo documento do IIA. A governança organizacional não produz valor pela simples coexistência de diferentes funções especializadas. Ela produz valor quando essas funções compreendem claramente seus papéis, preservam suas responsabilidades, respeitam sua independência e atuam de maneira coordenada em apoio à tomada de decisão.

Em última análise, o Modelo das Três Linhas de 2026 reafirma que governança e gestão de riscos não constituem disciplinas concorrentes, mas componentes inseparáveis de um mesmo sistema de gestão. A governança fornece direção, supervisão e prestação de contas; a gestão de riscos apoia decisões diante das incertezas; e o Modelo das Três Linhas estabelece a arquitetura institucional que integra essas capacidades em benefício da organização.

Mais do que uma revisão de conceitos, a atualização publicada pelo IIA convida as organizações a evoluírem sua forma de trabalhar. Não por meio da criação de novas estruturas, mas pelo fortalecimento da cooperação, da coordenação e da confiança entre as funções de governança. É nessa integração que reside sua maior contribuição e, possivelmente, uma das direções mais relevantes para a evolução da Governança Corporativa nos próximos anos.

“A ISO 31000 estabelece como gerir riscos. O Modelo das Três Linhas estabelece como organizar responsabilidades. Juntos, fortalecem a Governança e apoiam melhores decisões para criar e proteger valor.”

---

Anexo A – Referências Bibliográficas

1. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO 31000:2018 – Gestão de riscos — Diretrizes. Rio de Janeiro: ABNT, 2018.
2. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO 31010:2021 – Gestão de riscos — Técnicas para o processo de avaliação de riscos. Rio de Janeiro: ABNT, 2021.
3. INSTITUTE OF INTERNAL AUDITORS (IIA). The Three Lines Model: An update of the Three Lines of Defense. Lake Mary, FL: The Institute of Internal Auditors, 2020.
4. INSTITUTE OF INTERNAL AUDITORS (IIA). The Three Lines Model – Assurance and Advice in Support of Effective Governance. Lake Mary, FL: The Institute of Internal Auditors, 2026.
5. INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO 31000:2018 – Risk management — Guidelines. Geneva: ISO, 2018.
6. INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO 31010:2019 – Risk management — Risk assessment techniques. Geneva: ISO, 2019.