Pesquisa da KPMG com apoio do IIA Brasil aponta melhora na governança, enquanto ferramentas de GRC, monitoramento contínuo e capacitação permanecem desiguais.
O aumento das fraudes corporativas, dos ataques cibernéticos e das exigências regulatórias está levando as empresas brasileiras a ampliar o papel da auditoria interna. Antes concentrada na verificação de controles e conformidade, a função passa a apoiar decisões e acompanhar riscos com impacto sobre a estratégia dos negócios.
Essa evolução, entretanto, não ocorre de maneira uniforme. A quarta edição da Pesquisa de Maturidade da Auditoria Interna, produzida pela KPMG com apoio do Instituto dos Auditores Internos do Brasil, mostra avanços na governança e nas práticas de qualidade, mas identifica limitações no uso de tecnologia, auditoria contínua e qualificação profissional.
O estudo foi realizado entre novembro de 2025 e março de 2026 e registrou o maior número de participantes da série histórica. A região Sudeste concentrou 57% das empresas da amostra, enquanto o setor de serviços financeiros representou 20% dos respondentes. Os recortes devem ser considerados na interpretação dos resultados. KPMG
Normas e avaliações ganham espaço
De acordo com o levantamento, 46% das áreas de auditoria interna afirmaram cumprir as normas internacionais da profissão e ter passado por avaliação externa de qualidade. Na edição anterior, essa proporção era de 35%.
A avaliação externa procura verificar se as atividades, os processos e a atuação da auditoria estão alinhados aos padrões profissionais. O crescimento do indicador sugere maior formalização e preocupação com a qualidade da função.
Esse avanço, porém, não significa que todas as organizações tenham alcançado o mesmo nível de maturidade. Entre as participantes, 28% foram classificadas no estágio “Fraco”. Outros 22% ficaram no nível “Integrado” e 20% no “Avançado”.
Nos níveis mais elevados, a auditoria tende a participar de forma mais próxima da gestão de riscos e do processo de tomada de decisão. Já nos estágios iniciais, a atuação costuma ser mais reativa, baseada em avaliações periódicas e com menor integração aos dados corporativos.
A presença simultânea de empresas nos extremos mostra que a evolução da auditoria interna ocorre em velocidades distintas, de acordo com porte, orçamento, governança e acesso a informações.
Softwares de GRC ainda têm adoção limitada
A tecnologia aparece como uma das principais lacunas. A pesquisa aponta que 45% das organizações não utilizam software de Governança, Riscos e Compliance, conhecido pela sigla GRC, para apoiar a auditoria.
Essas plataformas podem centralizar riscos, controles, evidências, planos de ação e resultados de testes. Também ajudam a reduzir atividades manuais e a criar um histórico acessível para auditores, gestores e conselhos.
A ausência de um software especializado, isoladamente, não significa que a auditoria seja ineficiente. Empresas podem utilizar ferramentas próprias, sistemas corporativos ou outras soluções para organizar o trabalho. Da mesma forma, a aquisição de uma plataforma de GRC não garante maior maturidade se processos e responsabilidades não estiverem definidos.
O valor da tecnologia depende da integração aos sistemas de negócio, da qualidade dos dados e da capacidade dos profissionais de interpretar as informações produzidas.
Auditoria contínua permanece distante
Outro dado mostra que 38% das organizações ainda não implementaram processos de auditoria contínua. A abordagem utiliza dados e regras automatizadas para acompanhar transações, controles e possíveis desvios com maior frequência.
Em vez de analisar uma amostra meses depois de uma operação, a auditoria contínua pode emitir alertas próximos ao momento em que o evento ocorre. Isso pode ser útil para identificar pagamentos duplicados, acessos indevidos, alterações cadastrais suspeitas e transações fora dos padrões estabelecidos.
A implementação, porém, exige acesso confiável aos sistemas, integração de bases, definição de critérios e profissionais preparados para tratar os alertas. Sem essas condições, a automação pode gerar excesso de notificações e ampliar o trabalho manual.
Além disso, monitoramento contínuo não deve ser confundido com substituição do julgamento profissional. Os sistemas ajudam a localizar anomalias, mas cabe ao auditor avaliar contexto, materialidade e possíveis explicações.
Capacitação ainda desafia as equipes
A pesquisa também aponta melhora na estrutura de desenvolvimento profissional. O percentual de empresas sem um plano formal de capacitação para auditores caiu de 42% para 27%.
Apesar da evolução, 71% das organizações informaram não possuir profissionais com a certificação internacional Certified Internal Auditor, a CIA. A credencial é uma referência da profissão, mas sua ausência não significa, por si só, que a equipe não esteja qualificada. Experiência, formação acadêmica e outras certificações também compõem a capacidade técnica.
O resultado sinaliza, no entanto, espaço para ampliar a especialização. Além de conhecimentos tradicionais de auditoria e controles, as equipes precisam desenvolver competências em análise de dados, segurança cibernética, inteligência artificial, privacidade e riscos digitais.
Tecnologia e formação precisam avançar em conjunto. Ferramentas sofisticadas, quando utilizadas por profissionais sem preparação, tendem a produzir automações limitadas. Equipes capacitadas, mas sem acesso a dados e infraestrutura, permanecem dependentes de processos manuais.
Recomendações recebem respostas mais rápidas
A capacidade das empresas de executar os planos de ação também apresentou melhora. Segundo o estudo, 44% das organizações conseguem implementar recomendações da auditoria em até 30 dias.
O prazo reduzido pode indicar maior envolvimento das áreas auditadas e da alta administração. A velocidade, porém, deve ser analisada em relação à complexidade do problema. Recomendações estruturais podem exigir mudanças de sistemas, processos ou contratos que não são concluídas em poucas semanas.
Outro indicador mostra que 55% das empresas ainda não consideram a implementação das recomendações na avaliação de desempenho dos executivos. Na interpretação do estudo, essa ausência pode limitar a responsabilização das lideranças pelas correções acordadas.
“Quando falamos em maturidade da auditoria interna, não estamos falando apenas de processos ou conformidade. Estamos falando da capacidade de ajudar a empresa a tomar melhores decisões, antecipar riscos e responder mais rapidamente às mudanças do mercado”, afirma Paulo Roberto Gomes, diretor-geral do IIA Brasil.
Evolução depende de integração
Para avançar, as organizações precisam conectar a auditoria às áreas de tecnologia, riscos, compliance e estratégia. A independência da função deve ser preservada, mas isso não impede o compartilhamento controlado de dados e uma compreensão mais ampla dos processos.
O investimento também precisa considerar prioridades. Antes de adquirir uma plataforma ou aplicar inteligência artificial, a empresa deve avaliar a qualidade de suas bases, os riscos mais relevantes e os controles que podem ser monitorados de maneira contínua.
Os dados da pesquisa mostram uma auditoria interna brasileira em transição. Parte das empresas já atua de maneira integrada e orientada por riscos, enquanto outra ainda depende de abordagens tradicionais. A diferença não será determinada apenas pela tecnologia disponível, mas pela capacidade de combinar ferramentas, profissionais qualificados e apoio efetivo da liderança.
