Revisado por Josi Bertuzzi, CEO da BGP
Auditoria interna e externa: o que são, diferenças, tipos e quando a empresa precisa
Auditoria interna e externa são dois tipos de verificação independente sobre os números e os controles de uma empresa. A interna é feita por quem está dentro da organização e avalia processos, riscos e controles o ano todo. A externa é feita por auditores independentes e dá uma opinião sobre se as demonstrações contábeis são confiáveis.
Qual é a diferença entre as duas auditorias e quando a lei exige a externa? A página responde, apresenta os tipos de auditoria e as Big Four, explica como o trabalho funciona na prática e traz um exemplo numérico de auditoria interna em uma PME, com os erros mais comuns e o destino do resultado.
O que é auditoria interna e o que ela faz?
A auditoria interna é uma atividade independente, dentro da própria empresa, que examina se os processos funcionam, se os riscos estão sob controle e se as informações usadas na gestão são confiáveis. Ela não executa a rotina: avalia quem executa. Seu cliente é a diretoria, ou o conselho, quando existe.
No dia a dia, o auditor interno revisa se os pagamentos têm aprovação, se as conciliações bancárias estão em dia, se o estoque físico bate com o registro e se as regras internas estão sendo seguidas. O trabalho segue um plano anual baseado em risco: as áreas mais sensíveis são visitadas com mais frequência.
Quem faz auditoria interna? Pode ser um profissional contratado, uma pequena equipe ou um auditor de outra área da casa. O ponto central é a independência: quem audita não pode auditar o próprio trabalho. A atividade é regulada, no Brasil, por normas do Conselho Federal de Contabilidade (NBC TI) e, no mundo, pelas normas do Institute of Internal Auditors (IIA).
A auditoria interna também é o braço de verificação dos controles internos: ela testa se as travas desenhadas (segregação de funções, alçadas de aprovação, conferências) funcionam de fato. Isso a conecta à governança corporativa, porque entrega ao dono e aos sócios uma visão independente do que acontece na operação.
O que é auditoria externa?
A auditoria externa, ou auditoria independente, é feita por uma empresa ou profissional sem vínculo com a organização auditada. O objetivo é emitir uma opinião, no relatório do auditor, sobre se as demonstrações contábeis representam adequadamente a posição patrimonial e o resultado da empresa, de acordo com as normas contábeis aplicáveis.
O auditor externo olha principalmente o balanço patrimonial, a DRE e as notas explicativas. Ele confere se os saldos existem, se estão completos, se foram avaliados pelos critérios corretos e se as práticas contábeis foram aplicadas de forma consistente. No Brasil, a referência são as normas do CFC para auditoria independente (NBC TA), alinhadas às normas internacionais, e as regras do IFRS e dos pronunciamentos do CPC.
O resultado é o relatório do auditor independente. Ele não garante que a empresa não tem erros nem fraudes: dá uma segurança razoável, não absoluta, de que as demonstrações não têm distorção relevante. É por isso que investidores, bancos e sócios dão peso a esse documento.
Qual a diferença entre auditoria interna e externa?
A principal diferença está em quem audita, para quem e com que objetivo. A interna ajuda a gestão a melhorar processos e controles de forma contínua. A externa dá uma opinião independente sobre as demonstrações, em geral uma vez por ano, para quem não está dentro da empresa. A tabela resume os pontos de contraste.
| Critério | Auditoria interna | Auditoria externa |
|---|---|---|
| Quem faz | Equipe ou profissional da empresa, ou contratado para a função | Auditor ou firma independente, sem vínculo com a empresa |
| Objetivo | Avaliar riscos, controles e processos para melhorar a gestão | Opinar sobre a confiabilidade das demonstrações contábeis |
| Para quem reporta | Diretoria, sócios ou conselho | Sócios, acionistas, bancos, investidores e reguladores |
| Frequência | Contínua, conforme o plano anual de auditoria | Em geral anual, com revisões intermediárias possíveis |
| Foco | Processos, conformidade, eficiência e fraude | Distorções relevantes nas demonstrações |
| Produto final | Relatórios com achados e plano de ação | Relatório do auditor independente com opinião |
| Normas no Brasil | NBC TI (CFC) | NBC TA (CFC) |
| Obrigatoriedade | Escolha da empresa (ou exigência de regulador ou contrato) | Exigida em casos previstos em lei; opcional nos demais |
As duas se complementam. Uma auditoria interna que funciona reduz o número de achados do auditor externo, porque os problemas já foram corrigidos antes. Já o auditor externo costuma se apoiar nos testes da interna para direcionar o seu próprio trabalho. A relação entre as duas é de cooperação, sem que uma substitua a outra.
Quais são os tipos de auditoria?
Os três tipos mais citados na prática, inclusive na classificação usada pelos tribunais de contas, são a auditoria financeira, a de conformidade e a operacional. Uma mesma empresa pode combinar mais de um tipo no mesmo ano. A tabela mostra o que cada um examina.
| Tipo | O que examina | Exemplo em uma PME |
|---|---|---|
| Auditoria financeira (contábil) | Se as demonstrações contábeis estão corretas e livres de distorção relevante | Conferir saldos de caixa, clientes, estoque e fornecedores no fechamento do ano |
| Auditoria de conformidade | Se a empresa cumpre leis, contratos e políticas internas | Verificar se os pagamentos seguem a política de alçadas e se os tributos foram recolhidos |
| Auditoria operacional | Eficiência, eficácia e economia dos processos | Medir quanto tempo leva do pedido à cobrança e onde há retrabalho |
| Auditoria fiscal e tributária | Apuração e recolhimento de impostos | Revisar créditos tributários e enquadramento no regime tributário |
| Auditoria de sistemas | Segurança, acessos e integridade dos dados | Ver quem pode alterar o cadastro de fornecedores no ERP |
Auditoria governamental
Auditoria governamental é a que se aplica ao setor público. No Brasil, o controle externo é exercido pelo Congresso Nacional com o auxílio do Tribunal de Contas da União (TCU), e cada ente tem o seu controle interno, como a CGU no âmbito federal, conforme os artigos 70 a 74 da Constituição Federal. Os manuais do TCU, como o de auditoria operacional, são referência para quem estuda o tema, mas não se aplicam a uma empresa privada.
Outras áreas que usam o termo
Existem auditorias em saúde (como a de contas hospitalares e a de enfermagem) e a auditoria interna da qualidade, usada em sistemas de gestão como o da ISO 9001, que prevê auditorias internas periódicas. Em todas, a lógica é a mesma: comparar o que acontece com um critério definido e relatar as diferenças. Aqui, o foco é a auditoria financeira e de controles da empresa privada.
Uma modalidade que ganha espaço em empresas que crescem é a revisão do próprio negócio. O post sobre a auditoria de modelo de negócios mostra como olhar para a rentabilidade e para as escolhas estratégicas, e não só para a conformidade dos lançamentos.
Quais são as Big Four da auditoria?
As Big Four, ou "quatro grandes", são as quatro maiores redes globais de auditoria e consultoria: Deloitte, PwC (PricewaterhouseCoopers), EY (Ernst & Young) e KPMG. Elas auditam a maior parte das grandes companhias abertas do mundo e também prestam serviços de consultoria, impostos e transações.
Para uma PME, a pergunta útil não é "qual Big Four contratar", e sim se vale o custo de uma firma desse porte. Para empresas de médio porte, existem firmas de auditoria nacionais e regionais, registradas no CFC e, quando for o caso, na CVM. O que importa é que o auditor seja independente, tenha registro e experiência no seu setor.
Um detalhe relevante: o auditor externo de uma empresa não deve ser também quem faz a contabilidade ou o controle dela, para preservar a independência. Quem prepara os números e quem os audita precisam ser diferentes. Por isso a relação com o controller e o contador é de trabalho paralelo, sem sobreposição.
Quando a empresa é obrigada a fazer auditoria externa?
A auditoria independente é obrigatória por lei para as companhias abertas, conforme o artigo 177, parágrafo 3º, da Lei 6.404/76 (Lei das S.A.), com auditor registrado na CVM. A Lei 11.638/07, no artigo 3º, estendeu a obrigação às sociedades de grande porte, mesmo que não sejam S.A.: aquelas com ativo total superior a R$ 240 milhões ou receita bruta anual superior a R$ 300 milhões no exercício anterior.
Isso significa que a maioria das PMEs não é obrigada por lei. Mesmo assim, a auditoria externa aparece por outros motivos:
- Exigência de banco ou investidor: contratos de crédito maiores e rodadas de captação costumam pedir demonstrações auditadas.
- Entrada de sócio ou venda da empresa: em processos de due diligence e de fusões e aquisições, números auditados reduzem a negociação sobre o valor.
- Exigência setorial: alguns segmentos regulados têm regras próprias de auditoria.
- Governança de grupo familiar: sócios que não participam do dia a dia pedem uma opinião independente sobre os números. Em estruturas como a holding, isso é comum.
Para a auditoria interna, não há obrigação geral para a PME. Ela se torna necessária quando o volume de operações, o número de filiais ou o risco de desvio superam a capacidade do dono de conferir tudo pessoalmente.
Como funciona uma auditoria, passo a passo?
Os passos são parecidos nas duas auditorias, com mudanças de foco. O fluxo típico é este:
- Planejamento: definir escopo, período, áreas e os riscos mais relevantes. Na externa, o auditor entende o negócio e o ambiente de controles.
- Avaliação de riscos e controles: identificar onde um erro ou desvio seria mais provável e quais travas existem para impedi-lo.
- Execução dos testes: aplicar os procedimentos de auditoria sobre uma amostra ou sobre a população inteira.
- Avaliação dos achados: classificar o que foi encontrado por impacto e por causa.
- Relatório: na interna, um relatório com recomendações; na externa, o relatório do auditor independente com a opinião.
- Plano de ação e acompanhamento: o gestor responde com prazo e responsável, e a auditoria volta para checar se foi corrigido.
Quais são os procedimentos de auditoria?
Os procedimentos são as técnicas usadas para obter evidência. Os principais, descritos nas normas de auditoria, são: inspeção de documentos e ativos, observação de um processo em andamento, confirmação externa (por exemplo, pedir ao banco ou ao cliente que confirme um saldo), recálculo, reexecução de um controle, procedimentos analíticos (comparar números entre períodos e esperar uma relação coerente) e indagação junto aos responsáveis.
Que opiniões o auditor externo pode dar?
O relatório pode ter quatro tipos de opinião, previstos nas normas do CFC:
| Opinião | Significado |
|---|---|
| Sem ressalva (opinião limpa) | As demonstrações estão adequadas em todos os aspectos relevantes |
| Com ressalva | Há um problema relevante, mas restrito a um ponto específico |
| Adversa | As demonstrações têm distorções relevantes e generalizadas |
| Abstenção de opinião | O auditor não conseguiu obter evidência suficiente para opinar |
Quando o relatório vem com ressalva, o dono precisa ler a seção que explica o motivo, e não apenas a conclusão. Ela costuma apontar para uma falha de controle ou de registro que dá para corrigir.
Exemplo prático de auditoria interna em uma PME
Imagine uma distribuidora de autopeças que fatura R$ 3 milhões por mês e faz cerca de 480 pagamentos a fornecedores e despesas no mês, num total de R$ 2.400.000. O dono pede uma auditoria interna do ciclo de contas a pagar. O auditor define uma amostra de 60 pagamentos, que somam R$ 300.000 (12,5% da quantidade e 12,5% do valor).
Ele confere, para cada pagamento, se havia nota fiscal, aprovação de dois níveis e se o valor pago bate com o combinado. O resultado da amostra:
| Achado | Quantidade | Valor (R$) |
|---|---|---|
| Pagamento sem a segunda aprovação | 3 | 21.000 |
| Pagamento em duplicidade | 1 | 4.800 |
| Fornecedor pago sem nota fiscal ou contrato | 1 | 7.500 |
| Total de exceções | 5 | 33.300 |
Os cálculos: 21.000 + 4.800 + 7.500 = R$ 33.300. A taxa de exceção por quantidade é 5 ÷ 60 = 8,3%. Por valor, 33.300 ÷ 300.000 = 11,1%.
Fórmula: taxa de exceção = itens com falha ÷ itens testados
Como a amostra representa 12,5% do total, uma extrapolação grosseira indica algo como 40 pagamentos com falha no mês (480 × 8,3%) e cerca de R$ 266 mil em valores envolvidos (33.300 × 8). É só uma ordem de grandeza: amostra não é prova, mas mostra que o problema é maior do que um caso isolado.
O que fazer com isso: recuperar o pagamento duplicado de R$ 4.800 com o fornecedor, bloquear no sistema o pagamento sem a segunda aprovação, exigir nota ou contrato para qualquer fornecedor novo e repetir o teste dois meses depois para ver se a taxa caiu. O relatório vira plano de ação, com responsável e prazo.
Como a auditoria funciona na rotina de uma PME
Na PME, a auditoria raramente é um departamento. Ela funciona como uma rotina de verificação cruzada, com ou sem auditor formal. O passo a passo prático é este:
- Feche o mês antes de qualquer verificação. Sem fechamento mensal, o auditor testa números que ainda vão mudar. O balancete de verificação é o ponto de partida: se ele não fecha, nada fecha.
- Mantenha o plano de contas organizado. Lançamento na conta errada é a principal fonte de ajustes na auditoria externa.
- Guarde a evidência. Nota fiscal, contrato, extrato e comprovante de pagamento precisam estar fáceis de achar. O livro diário e o livro razão mostram o caminho de cada lançamento.
- Separe quem lança, quem aprova e quem paga. É a segregação de funções, e a maioria dos desvios acontece quando uma só pessoa faz as três coisas.
- Selecione um ciclo por trimestre. Contas a pagar, estoque, vendas e folha: um por vez, com amostra e relatório curto.
- Acompanhe o plano de ação. Achado sem prazo e sem responsável se repete no ano seguinte.
Erros comuns
- Tratar a auditoria como caça a culpados, o que faz o time esconder problemas em vez de reportá-los.
- Chegar à auditoria externa com conciliações atrasadas e provisões sem critério, o que gera ajustes de última hora.
- Deixar o dono aprovar tudo sozinho, sem registro, e achar que isso é controle.
- Confundir auditoria com contabilidade: a primeira confere, a segunda registra. E a contabilidade gerencial, que organiza os números para decidir, também não substitui a verificação independente.
- Fazer o teste uma vez, corrigir e nunca mais verificar se a correção se manteve.
Como ler o resultado para decidir
Olhe três coisas. Primeiro, a taxa de exceção: uma taxa que cai de um teste para outro mostra que o controle está funcionando; uma que sobe mostra que o processo se deteriorou. Segundo, a causa raiz dos achados: se a maioria vem de uma etapa (por exemplo, falta de aprovação), a correção é uma só. Terceiro, o valor envolvido: priorize o que tem maior impacto no caixa e no resultado, e não o que é mais fácil de arrumar.
Quando o indicador piora, a decisão do dono é reforçar o controle antes de contratar mais gente para conferir. Um bloqueio no sistema de pagamentos resolve mais do que uma pessoa a mais checando planilha. Esse é o tipo de leitura mensal que a Controladoria da BGP faz com a gestão. Os achados entram nos relatórios gerenciais e na reunião de resultado, ao lado da DRE gerencial e do fluxo de caixa, para que o risco apareça junto com os números do mês. A análise de risco mais ampla fica no guia de gestão de riscos financeiros.
Onde a BGP entra nesse tema
A BGP não é firma de auditoria: não emite relatório de auditoria nem substitui o auditor independente. O que a Controladoria faz é operar o ciclo financeiro mensal da empresa, com conciliação bancária e contábil, fluxo de caixa projetado, orçamento e controle de custos e margem, tudo no GO BI. Isso deixa os números organizados e rastreáveis, que é exatamente o que reduz o retrabalho quando chega um auditor, um banco ou um comprador.
Na prática, empresas que fecham o mês com conciliação em dia e plano de contas consistente chegam à auditoria externa com menos ajustes. E indicadores de exceção, como duplicidades e pagamentos fora da alçada, ficam mais visíveis num painel como o GO BI do que numa planilha conferida uma vez por ano. Para quem está estruturando a área, vale ler também sobre o departamento financeiro e sobre o que é controladoria empresarial como função.
Perguntas frequentes sobre auditoria interna e externa
O que é auditoria externa?
É a auditoria feita por um auditor ou firma independente, sem vínculo com a empresa. Ela verifica se as demonstrações contábeis estão livres de distorção relevante e termina com um relatório de opinião, usado por sócios, bancos, investidores e reguladores como garantia sobre a confiabilidade dos números.
Quais são os 3 tipos de auditoria?
Na classificação mais usada, os três tipos são a auditoria financeira (demonstrações contábeis), a de conformidade (cumprimento de leis, contratos e políticas) e a operacional (eficiência e eficácia dos processos). Há ainda as auditorias fiscal, de sistemas e de qualidade, conforme o foco da empresa.
O que faz a auditoria interna?
Avalia riscos, controles e processos da empresa de forma independente e contínua, conforme um plano anual. Ela testa se as regras internas funcionam, identifica falhas e desvios, recomenda correções e acompanha se o plano de ação foi cumprido. Reporta à diretoria, aos sócios ou ao conselho.
Quais são as 4 grandes auditorias?
A expressão se refere às Big Four, as quatro maiores redes globais de auditoria e consultoria: Deloitte, PwC, EY e KPMG. Não são quatro tipos de auditoria, e sim quatro firmas. Elas atendem principalmente grandes companhias, abertas e multinacionais.
Qual a diferença entre auditoria interna e externa?
A interna é feita por quem está na organização, tem foco em processos e controles e ajuda a gestão a melhorar. A externa é feita por auditor independente, tem foco nas demonstrações contábeis e dá uma opinião para quem está fora da empresa. As duas são complementares.
Toda empresa precisa de auditoria externa?
Não. A lei exige para companhias abertas (Lei 6.404/76) e para sociedades de grande porte (Lei 11.638/07: ativo acima de R$ 240 milhões ou receita bruta anual acima de R$ 300 milhões). PMEs costumam contratar quando um banco, investidor ou comprador pede demonstrações auditadas.
Auditoria interna e controladoria são a mesma coisa?
Não. A controladoria atua na gestão: organiza os números, projeta o caixa, acompanha o orçamento e lê os resultados com a diretoria. A auditoria interna verifica, de forma independente, se isso e os demais processos funcionam como deveriam. Quem executa não deve ser quem verifica.
