Auditoria Interna e Compliance

Introdução

A ascensão do compliance no Brasil não é fenômeno espontâneo, mas resposta normativa a compromissos internacionais assumidos pelo País, notadamente a Convenção da OCDE sobre o Combate da Corrupção de Funcionários Públicos Estrangeiros em Transações Comerciais Internacionais (promulgada pelo Decreto nº 3.678/2000), a Convenção Interamericana contra a Corrupção (Decreto nº 4.410/2002) e a Convenção das Nações Unidas contra a Corrupção, a Convenção de Mérida (Decreto nº 5.687/2006).

Nesse contexto, a auditoria interna e o compliance, embora frequentemente confundidos, desempenham funções distintas e complementares. O compliance atua na prevenção, na orientação e no monitoramento da conformidade com leis, regulamentos e políticas internas. A auditoria interna, por sua vez, é atividade independente e objetiva de avaliação e consultoria, destinada a agregar valor e melhorar as operações da organização, avaliando a eficácia dos processos de governança, de gerenciamento de riscos e de controles internos.

A compreensão adequada dessa distinção é indispensável ao operador do Direito, pois dela decorrem consequências relevantes em matéria de responsabilidade administrativa, civil, penal e regulatória.

Fundamentos constitucionais do controle interno

O controle interno possui matriz constitucional expressa. O art. 37, caput, da Constituição Federal consagra os princípios da legalidade, impessoalidade, moralidade, publicidade e eficiência, os quais orientam toda a Administração Pública e, por irradiação, a cultura de integridade das organizações que com ela se relacionam.

O art. 70 da Constituição estabelece que a fiscalização contábil, financeira, orçamentária, operacional e patrimonial da União e das entidades da administração direta e indireta será exercida pelo Congresso Nacional, mediante controle externo, e pelo sistema de controle interno de cada Poder. O art. 74, por seu turno, enumera as finalidades desse sistema, entre as quais avaliar o cumprimento das metas do plano plurianual, comprovar a legalidade e avaliar os resultados da gestão orçamentária, financeira e patrimonial, exercer o controle das operações de crédito e apoiar o controle externo. O § 1º do art. 74 impõe aos responsáveis pelo controle interno o dever de dar ciência ao Tribunal de Contas da União de qualquer irregularidade ou ilegalidade de que tenham conhecimento, sob pena de responsabilidade solidária.

No plano infraconstitucional, a Lei nº 10.180/2001 organizou os sistemas de planejamento, orçamento, administração financeira, contabilidade federal e controle interno do Poder Executivo Federal, e o Decreto nº 3.591/2000 dispôs sobre o Sistema de Controle Interno do Poder Executivo Federal. A Lei Complementar nº 101/2000 (Lei de Responsabilidade Fiscal) reforça o tema ao prever, nos arts. 54 e 59, o controle e a fiscalização do cumprimento de suas normas pelo sistema de controle interno.

Governança pública e gestão de riscos

O Decreto nº 9.203/2017 instituiu a política de governança da administração pública federal direta, autárquica e fundacional. Seu art. 3º elenca como princípios da governança pública a capacidade de resposta, a integridade, a confiabilidade, a melhoria regulatória, a prestação de contas e responsabilidade, e a transparência. O art. 17 determina que a alta administração das organizações implemente e mantenha mecanismos, instâncias e práticas de governança. O art. 19 estabelece que a alta administração deve estabelecer, manter, monitorar e aprimorar sistema de gestão de riscos e controles internos, com vistas à identificação, à avaliação, ao tratamento, ao monitoramento e à análise crítica de riscos que possam impactar a implementação da estratégia e a consecução dos objetivos da organização.

A Instrução Normativa Conjunta MP/CGU nº 01/2016 detalha esse arcabouço, dispondo sobre controles internos, gestão de riscos e governança no âmbito do Poder Executivo Federal. Referida norma adota o modelo das três linhas de defesa e define a auditoria interna como a terceira linha, responsável por fornecer avaliações e assessoramento independentes sobre a eficácia da gestão de riscos, dos controles internos e da governança.

No âmbito da atividade de auditoria interna governamental, a Instrução Normativa SFC/CGU nº 3/2017 aprovou o Referencial Técnico da Atividade de Auditoria Interna Governamental do Poder Executivo Federal, e a Instrução Normativa SFC/CGU nº 8/2017 aprovou o Manual de Orientações Técnicas da Atividade de Auditoria Interna Governamental. Tais normativos cuidam de aspectos como independência, objetividade, proficiência e devido zelo profissional, planejamento baseado em riscos e programa de garantia e melhoria da qualidade.

O Decreto nº 11.529/2023 instituiu o Sistema de Integridade Pública do Poder Executivo Federal (SIPEF), consolidando a integridade como política de Estado e reforçando a atuação coordenada das unidades de integridade, ouvidoria, corregedoria e auditoria interna.

A Lei Anticorrupção e o programa de integridade

A Lei nº 12.846/2013 inaugurou no Brasil a responsabilização administrativa e civil objetiva de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira. O art. 1º, parágrafo único, estende a aplicação da lei às sociedades empresárias e simples, personificadas ou não, independentemente da forma de organização ou modelo societário adotado, bem como a fundações, associações de entidades ou pessoas, e sociedades estrangeiras que tenham sede, filial ou representação no território brasileiro.

O art. 2º prevê a responsabilidade objetiva da pessoa jurídica, e o art. 3º assegura que ela não exclui a responsabilidade individual de dirigentes, administradores e demais autores, coautores ou partícipes. O art. 5º tipifica os atos lesivos, entre os quais prometer, oferecer ou dar vantagem indevida a agente público, financiar ou subvencionar a prática dos atos ilícitos previstos na lei, utilizar-se de interposta pessoa para ocultar ou dissimular interesses ou a identidade dos beneficiários dos atos praticados, e fraudar licitações e contratos.

As sanções administrativas, previstas no art. 6º, compreendem multa de 0,1% a 20% do faturamento bruto do último exercício anterior ao da instauração do processo administrativo, excluídos os tributos, nunca inferior à vantagem auferida quando for possível sua estimação, e a publicação extraordinária da decisão condenatória. No plano judicial, o art. 19 autoriza o perdimento de bens, a suspensão ou interdição parcial das atividades, a dissolução compulsória da pessoa jurídica e a proibição de receber incentivos, subsídios, subvenções, doações ou empréstimos de órgãos públicos pelo prazo de um a cinco anos.

O ponto de maior relevância para o tema deste artigo encontra-se no art. 7º, inciso VIII, que determina seja levada em consideração, na aplicação das sanções, a existência de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades e a aplicação efetiva de códigos de ética e de conduta no âmbito da pessoa jurídica. Do ponto de vista jurídico, a auditoria figura expressamente, portanto, como elemento de dosimetria da sanção.

O Decreto nº 11.129/2022, que regulamentou a Lei nº 12.846/2013 e revogou o Decreto nº 8.420/2015, define, em seu art. 56, o programa de integridade como o conjunto de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades e de aplicação efetiva de códigos de ética e de conduta, políticas e diretrizes com objetivo de prevenir, detectar e sanar desvios, fraudes, irregularidades e atos ilícitos praticados contra a administração pública, nacional ou estrangeira. O art. 57 enumera os parâmetros de avaliação do programa, dentre os quais se destacam o comprometimento da alta direção, os padrões de conduta e políticas de integridade aplicáveis a todos os empregados e administradores, o treinamento periódico, a análise periódica de riscos, os registros contábeis que reflitam de forma completa e precisa as transações, os controles internos que assegurem a confiabilidade de relatórios e demonstrações financeiras, os procedimentos específicos para prevenir fraudes e ilícitos em licitações e contratos, a independência, a estrutura e a autoridade da instância responsável pelo programa, os canais de denúncia, as medidas disciplinares, a diligência apropriada para contratação e supervisão de terceiros, a verificação em fusões, aquisições e reestruturações societárias, e o monitoramento contínuo do programa visando ao seu aperfeiçoamento.

A Portaria CGU nº 909/2015, que dispôs sobre a avaliação de programas de integridade de pessoas jurídicas, consolidou a lógica de que o programa deve ser concreto e efetivo, não bastando a mera existência documental de políticas. Já a Portaria CGU nº 1.089/2018, com as alterações da Portaria CGU nº 57/2019, estabeleceu orientações para que os órgãos e as entidades da administração pública federal adotem procedimentos para a estruturação, a execução e o monitoramento de seus programas de integridade.

O acordo de leniência, disciplinado nos arts. 16 e 17 da Lei nº 12.846/2013, também ilustra o ponto: sua celebração exige, entre outros requisitos, a cooperação plena e permanente da pessoa jurídica, e usualmente envolve, como obrigação, a implementação ou o aprimoramento do programa de integridade, sob monitoramento posterior. Nessa fase, a auditoria interna, bem como eventuais monitores independentes, assume papel central na verificação do cumprimento das obrigações pactuadas.

Lei das Estatais: compliance e auditoria como imperativos legais

A Lei nº 13.303/2016, regulamentada pelo Decreto nº 8.945/2016, transformou compliance e auditoria interna em obrigações legais para empresas públicas, sociedades de economia mista e suas subsidiárias. O art. 6º determina a observância de regras de governança corporativa, de transparência e de estruturas, práticas de gestão de riscos e de controle interno. O art. 9º impõe a adoção de regras de estruturas e práticas de gestão de riscos e controle interno, área responsável pela verificação de cumprimento de obrigações e de gestão de riscos, auditoria interna e comitê de auditoria estatutário. O mesmo dispositivo exige a elaboração e divulgação de código de conduta e integridade, que disponha sobre princípios, valores e missão da empresa, orientações sobre a prevenção de conflito de interesses e vedação de atos de corrupção e fraude, instâncias internas responsáveis pela atualização e aplicação do código, canal de denúncias, mecanismos de proteção que impeçam retaliação a denunciantes, sanções aplicáveis em caso de violação e previsão de treinamento periódico.

O art. 24 disciplina o comitê de auditoria estatutário, órgão auxiliar do Conselho de Administração, ao qual compete, entre outras atribuições, opinar sobre a contratação e destituição de auditor independente, supervisionar as atividades dos auditores independentes, da área de controles internos e da área de elaboração das demonstrações financeiras, e monitorar a qualidade e a integridade dos mecanismos de controle interno. O art. 9º, § 3º, assegura à auditoria interna e à área de conformidade acesso direto ao Conselho de Administração, nas situações em que se suspeite do envolvimento do diretor-presidente em irregularidades ou quando este deixar de adotar as providências necessárias.

Nova Lei de Licitações e Contratos Administrativos

A Lei nº 14.133/2021 incorporou de modo inédito o compliance ao regime das contratações públicas. Seu art. 11, parágrafo único, atribui à alta administração do órgão ou entidade a responsabilidade pela governança das contratações, devendo implementar processos e estruturas, inclusive de gestão de riscos e controles internos, para avaliar, direcionar e monitorar os processos licitatórios e os respectivos contratos, com o objetivo de promover um ambiente íntegro e confiável.

O art. 25, § 4º, exige que, nas contratações de obras, serviços e fornecimentos de grande vulto, o edital preveja a obrigatoriedade de implantação de programa de integridade pelo licitante vencedor, no prazo de seis meses contados da celebração do contrato, conforme regulamento. O art. 156, § 1º, inciso V, determina que, na aplicação das sanções, seja considerada a implantação ou o aperfeiçoamento de programa de integridade, conforme normas e orientações dos órgãos de controle. O art. 163, parágrafo único, condiciona a reabilitação do licitante ou contratado, nos casos de sanções graves, à implantação ou ao aperfeiçoamento de programa de integridade. O art. 60, inciso IV, elege como critério de desempate o desenvolvimento pelo licitante de programa de integridade, conforme orientações dos órgãos de controle.

O art. 169 institui as três linhas de defesa para as contratações públicas: a primeira, integrada por servidores e empregados públicos, agentes de licitação e autoridades que atuam na estrutura de governança do órgão ou entidade; a segunda, pelas unidades de assessoramento jurídico e de controle interno do próprio órgão ou entidade; e a terceira, pelo órgão central de controle interno da Administração e pelo tribunal de contas. Trata-se do reconhecimento legislativo expresso da auditoria e do controle como camada independente de verificação. O mesmo dispositivo determina que os órgãos de controle adotem, na fiscalização, critérios de oportunidade, materialidade, relevância e risco, bem como a análise do custo-benefício do controle.

Setor privado, mercado de capitais e instituições financeiras

No setor privado, o dever de diligência dos administradores decorre dos arts. 153 a 155 da Lei nº 6.404/1976 (Lei das Sociedades por Ações) e do art. 1.011 do Código Civil, que impõem ao administrador o cuidado e a diligência que todo homem ativo e probo costuma empregar na administração de seus próprios negócios. A doutrina da business judgment rule e o dever de vigilância (duty to monitor), de influência norte-americana, fundamentam a exigência de que o administrador implemente sistemas razoáveis de controle e informação. A Comissão de Valores Mobiliários, por meio da Resolução CVM nº 80/2022, exige que companhias abertas divulguem, no Formulário de Referência, informações sobre gerenciamento de riscos, controles internos e integridade. O Código Brasileiro de Governança Corporativa, em modelo de pratique ou explique, recomenda a existência de auditoria interna e de comitê de auditoria.

Nas instituições financeiras, a Resolução CMN nº 4.595/2017 dispõe sobre a política de conformidade (compliance), e a Resolução CMN nº 4.968/2021 estabelece normas sobre o sistema de controles internos, atribuindo à auditoria interna a avaliação de sua efetividade. A Circular BCB nº 3.978/2020 disciplina a política, os procedimentos e os controles internos para prevenção da lavagem de dinheiro e do financiamento do terrorismo, em consonância com a Lei nº 9.613/1998, com as alterações da Lei nº 12.683/2012.

No plano concorrencial, a Lei nº 12.529/2011 e o Guia de Programas de Compliance do Conselho Administrativo de Defesa Econômica (CADE) apontam que a existência de programa efetivo pode ser considerada na dosimetria das penas e na negociação de acordos de leniência e termos de compromisso de cessação.

Normas e padrões técnicos internacionais

A ABNT NBR ISO 37301:2021, que substituiu a ISO 19600:2014, especifica os requisitos e fornece diretrizes para estabelecer, desenvolver, implementar, avaliar, manter e melhorar um sistema de gestão de compliance. A ISO 37001:2016 trata dos sistemas de gestão antissuborno, e a ISO 37002:2021, das diretrizes para sistemas de gestão de denúncias (whistleblowing). A ISO 31000:2018 fornece as diretrizes de gestão de riscos, e a ISO 19011:2018 orienta a auditoria de sistemas de gestão.

O Committee of Sponsoring Organizations of the Treadway Commission (COSO) editou o Internal Control: Integrated Framework (2013), estruturado em cinco componentes (ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação, e atividades de monitoramento) e dezessete princípios, e o Enterprise Risk Management: Integrating with Strategy and Performance (2017).

O Institute of Internal Auditors (IIA) publicou, em 2020, o Modelo das Três Linhas, que substituiu o modelo das Três Linhas de Defesa de 2013. Segundo o modelo atualizado, a gestão (primeira e segunda linhas) responde pela realização dos objetivos organizacionais e pelo gerenciamento de riscos, enquanto a auditoria interna presta assessoria e avaliação independentes e objetivas sobre a adequação e a eficácia da governança e do gerenciamento de riscos. As Normas Globais de Auditoria Interna (Global Internal Audit Standards), publicadas em 2024 e aplicáveis a partir de janeiro de 2025, substituíram a Estrutura Internacional de Práticas Profissionais (IPPF). No plano contábil, o Conselho Federal de Contabilidade disciplina a matéria pela NBC TI 01 (Resolução CFC nº 986/2003).

Em âmbito estrangeiro, merecem menção, por seus efeitos extraterritoriais sobre empresas brasileiras, o Foreign Corrupt Practices Act (FCPA, 1977), o UK Bribery Act (2010), que prevê a defesa das adequate procedures, a Lei Sarbanes-Oxley (2002), cujas seções 302 e 404 impõem certificação e avaliação dos controles internos sobre relatórios financeiros, e a Lei francesa Sapin II (2016).

Auditoria interna e compliance: distinção funcional e independência

A distinção entre as duas funções repousa no modelo das três linhas. A primeira linha, constituída pelos gestores operacionais, é a responsável direta pelos riscos e controles. A segunda linha, em que se situa o compliance, estabelece políticas, orienta, monitora e reporta sobre o cumprimento normativo, mas não executa a operação. A terceira linha, a auditoria interna, avalia de forma independente tanto a primeira quanto a segunda linha, incluindo a própria eficácia do programa de compliance.

Daí decorrem três consequências jurídicas importantes. A primeira é que a auditoria interna não deve acumular funções de gestão ou de implementação do compliance, sob pena de comprometer a objetividade e a independência, requisitos expressos nas normas técnicas. A segunda é que a autonomia do compliance, exigida pelo art. 57 do Decreto nº 11.129/2022, e a independência da auditoria interna, assegurada pelo reporte funcional ao Conselho ou ao comitê de auditoria, são condições de credibilidade do programa perante as autoridades. A terceira é que o relatório de auditoria constitui elemento probatório relevante: pode demonstrar a diligência da organização, mas também, se ignorado, evidenciar ciência prévia de irregularidades (willful blindness), agravando a responsabilidade dos administradores.

Responsabilidade dos administradores e dos auditores

A responsabilidade da pessoa jurídica pela Lei nº 12.846/2013 não exclui a responsabilização individual. No campo penal, os administradores e demais agentes podem responder, conforme o caso, por corrupção ativa (art. 333 do Código Penal), corrupção passiva (art. 317), lavagem de dinheiro (Lei nº 9.613/1998), crimes em licitações e contratos (arts. 337-E e seguintes do Código Penal, inseridos pela Lei nº 14.133/2021), organização criminosa (Lei nº 12.850/2013) e crimes contra o sistema financeiro nacional (Lei nº 7.492/1986).

No campo da improbidade administrativa, a Lei nº 8.429/1992, profundamente alterada pela Lei nº 14.230/2021, passou a exigir dolo para a configuração dos atos de improbidade, afastando a modalidade culposa. Tal alteração impacta a avaliação de condutas omissivas de gestores, mas não elimina a relevância de demonstrar que a organização dispunha de sistemas de controle e auditoria aptos a prevenir e detectar desvios. A Lei nº 12.813/2013 trata do conflito de interesses no exercício de cargo ou emprego do Poder Executivo Federal, sendo objeto frequente de verificação pelas unidades de integridade e auditoria.

No âmbito civil e societário, o art. 50 do Código Civil, com a redação dada pela Lei nº 13.874/2019 (Lei da Liberdade Econômica), disciplina a desconsideração da personalidade jurídica. Em relação aos auditores independentes, aplicam-se os deveres previstos na Lei nº 6.385/1976 e nas normas da CVM, bem como a responsabilidade civil por danos causados a terceiros, na forma dos arts. 186 e 927 do Código Civil.

Canais de denúncia, proteção ao whistleblower e investigações internas

O canal de denúncias é pilar do programa de integridade e fonte primária de trabalhos de auditoria. A Lei nº 13.608/2018, com as alterações introduzidas pela Lei nº 13.964/2019 (Pacote Anticrime), dispõe sobre o serviço de recebimento de denúncias e prevê medidas de proteção ao informante, incluindo a preservação da identidade, a vedação de retaliação e a possibilidade de recompensa. A Lei nº 13.303/2016, como visto, exige canal de denúncias nas estatais.

Quanto às investigações internas, devem observar o devido processo legal em sentido material, o respeito às normas trabalhistas (incluindo os limites ao poder diretivo e a vedação de provas ilícitas), a Lei nº 13.709/2018 (LGPD) no tratamento de dados pessoais e a preservação da cadeia de custódia das evidências. A colaboração com as investigações constitui fator relevante na análise do programa e na dosimetria das sanções.

Compliance de dados pessoais e auditoria de privacidade

A Lei nº 13.709/2018 (LGPD) transferiu a lógica de compliance para o tratamento de dados pessoais. O art. 6º, inciso X, consagra o princípio da responsabilização e prestação de contas, que exige a demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais. O art. 37 impõe ao controlador e ao operador o dever de manter registro das operações de tratamento, o art. 38 permite que a Autoridade Nacional de Proteção de Dados (ANPD) determine a elaboração de relatório de impacto à proteção de dados pessoais, e o art. 41 institui o encarregado pelo tratamento de dados pessoais.

O art. 50 faculta aos controladores e operadores formular regras de boas práticas e de governança, incluindo programa de governança em privacidade, com mecanismos de supervisão internos e externos. O art. 52, § 1º, inclui entre os critérios de dosimetria das sanções administrativas a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, e a adoção de política de boas práticas e governança. A Resolução CD/ANPD nº 2/2022 regulamentou a aplicação da LGPD para agentes de tratamento de pequeno porte, e a Resolução CD/ANPD nº 4/2023 disciplinou a dosimetria e a aplicação de sanções administrativas. A auditoria interna tem, pois, campo próprio para verificar a aderência da organização à LGPD, aos relatórios de impacto e à gestão de incidentes de segurança.

Metodologia da auditoria de compliance

A auditoria de compliance deve observar as fases de planejamento baseado em riscos, execução, comunicação de resultados e monitoramento. No planejamento, definem-se o universo auditável, a matriz de riscos, o escopo, os critérios (leis, normas e políticas) e a alocação de recursos. Na execução, aplicam-se procedimentos como testes de aderência, testes substantivos, análise documental, entrevistas, análise de dados e verificação de amostras de transações de maior risco, como pagamentos a agentes públicos, doações, patrocínios, contratação de intermediários e representantes comerciais, e relacionamento com órgãos de fiscalização. Na comunicação, o relatório deve apresentar achados, causas, riscos e recomendações, com respeito ao contraditório prévio dos gestores. No monitoramento, acompanha-se a implementação dos planos de ação.

Os principais pontos de verificação em uma auditoria do programa de integridade são: o efetivo comprometimento da alta direção (tone at the top); a existência e a atualização do código de conduta; a análise de riscos de integridade; a diligência prévia em terceiros (due diligence); a gestão de brindes, hospitalidades e conflitos de interesses; os registros contábeis fidedignos; a adequação e o funcionamento dos canais de denúncia; a aplicação isonômica de medidas disciplinares; os treinamentos; e os indicadores de desempenho do programa.

Cumpre ressaltar o dever de sigilo profissional. Quando houver advogados internos ou externos envolvidos, aplicam-se o Estatuto da Advocacia (Lei nº 8.906/1994) e o Código de Ética e Disciplina da OAB, de modo que a investigação conduzida sob orientação jurídica pode, em tese, ser protegida pelo sigilo profissional, o que reclama cuidado na estruturação dos trabalhos e na delimitação dos papéis entre auditoria, compliance e assessoria jurídica.

Considerações finais

O ordenamento jurídico brasileiro evoluiu de um modelo exclusivamente repressivo para um modelo de incentivo à autorregulação regulada, no qual a existência de um programa de integridade efetivo, avaliado por mecanismos independentes de auditoria, produz consequências jurídicas concretas: atenuação de sanções (Lei nº 12.846/2013, art. 7º, VIII; Lei nº 14.133/2021, art. 156, § 1º, V), condição para reabilitação (Lei nº 14.133/2021, art. 163, parágrafo único), requisito contratual (art. 25, § 4º), critério de desempate (art. 60, IV), obrigação estatutária (Lei nº 13.303/2016, arts. 9º, 24 e 25) e elemento de defesa dos administradores.

A auditoria interna, nesse arranjo, não é mero instrumento de fiscalização retrospectiva, mas peça estrutural da governança: assegura a veracidade do sistema, testa a eficácia dos controles e converte o compliance de promessa formal em prática verificável. Para o operador do Direito, impõe-se a tarefa de assessorar as organizações na estruturação de programas proporcionais ao seu porte e risco, na preservação da independência das funções, na documentação da diligência e na condução de investigações em conformidade com o devido processo legal, a legislação trabalhista e a proteção de dados.

Ressalte-se, por fim, que o tema é dinâmico. Normas infralegais, portarias e guias dos órgãos de controle são frequentemente atualizados, de modo que a aplicação prática deste estudo deve ser precedida da verificação da redação vigente de cada dispositivo citado.

Referências normativas

• Constituição da República Federativa do Brasil de 1988, arts. 37, 70 e 74.
• Lei nº 12.846/2013 (Lei Anticorrupção) e Decreto nº 11.129/2022.
• Lei nº 13.303/2016 (Lei das Estatais) e Decreto nº 8.945/2016.
• Lei nº 14.133/2021 (Nova Lei de Licitações e Contratos Administrativos).
• Lei nº 8.429/1992 (Improbidade Administrativa), com redação da Lei nº 14.230/2021.
• Lei nº 9.613/1998 (Lavagem de Dinheiro), com redação da Lei nº 12.683/2012.
• Lei nº 12.813/2013 (Conflito de Interesses); Lei nº 13.608/2018 (Informante), com redação da Lei nº 13.964/2019.
• Lei nº 13.709/2018 (LGPD); Resoluções CD/ANPD nº 2/2022 e nº 4/2023.
• Lei nº 6.404/1976; Lei nº 6.385/1976; Código Civil, arts. 50, 186, 927 e 1.011; Lei nº 12.529/2011; Lei nº 8.906/1994.
• Lei Complementar nº 101/2000, arts. 54 e 59; Lei nº 10.180/2001; Decreto nº 3.591/2000.
• Decreto nº 9.203/2017 (Política de Governança); Decreto nº 11.529/2023 (SIPEF).
• Instrução Normativa Conjunta MP/CGU nº 01/2016; Instruções Normativas SFC/CGU nº 3/2017 e nº 8/2017.
• Portarias CGU nº 909/2015, nº 1.089/2018 e nº 57/2019.
• Resoluções CMN nº 4.595/2017 e nº 4.968/2021; Circular BCB nº 3.978/2020; Resolução CVM nº 80/2022.
• Decretos nº 3.678/2000 (Convenção da OCDE), nº 4.410/2002 (Convenção Interamericana) e nº 5.687/2006 (Convenção de Mérida).
• ABNT NBR ISO 37301:2021; ISO 37001:2016; ISO 37002:2021; ISO 31000:2018; ISO 19011:2018; COSO ICIF (2013) e COSO ERM (2017); Modelo das Três Linhas do IIA (2020); Normas Globais de Auditoria Interna do IIA (2024); NBC TI 01 (Res. CFC nº 986/2003).

Nota: as citações normativas devem ser conferidas na redação vigente antes de uso em peças processuais, pareceres ou publicações, em razão de alterações legislativas e regulamentares posteriores.