Agente de IA para auditoria interna

A auditoria perde tempo antes de começar a analisar

O plano pede uma amostra de operações. Os documentos estão em pastas diferentes. Parte das aprovações vive no sistema, parte chegou por e-mail e outra parte ficou registrada em conversa. A equipe solicita evidências, recebe arquivos com nomes genéricos, identifica versões conflitantes e volta às áreas para completar o material.

Quando o auditor finalmente consegue avaliar o controle, boa parte do prazo já foi consumida pela coleta e pela reconciliação. O trabalho técnico fica comprimido entre tarefas administrativas e cobranças.

Um agente de IA para auditoria interna pode reduzir esse custo de preparação. Ele organiza solicitações, localiza registros autorizados, verifica completude, relaciona evidências ao controle, prepara testes delimitados e acompanha respostas. Cada passo precisa preservar fonte, data, versão, responsável e transformação realizada.

Escopo, materialidade, julgamento profissional, conclusão do teste, classificação do achado e opinião de auditoria continuam sob autoridade dos profissionais responsáveis. A arquitetura serve para ampliar capacidade e consistência sem transformar uma síntese automática em evidência suficiente.

Onde um agente pode apoiar a auditoria interna

Preparar o planejamento

Antes do trabalho de campo, o agente reúne informações que ajudam o auditor a delimitar a revisão:

processo, unidade e período;
objetivos da auditoria;
riscos conhecidos;
políticas e procedimentos vigentes;
controles declarados;
responsáveis pelo processo;
sistemas envolvidos;
auditorias anteriores;
incidentes e exceções recentes;
planos de ação ainda abertos;
mudanças de processo, equipe ou tecnologia;
restrições de acesso e confidencialidade.

Esse material forma um pacote de planejamento. A prioridade dos riscos e a extensão dos testes dependem do auditor, da metodologia da empresa e das obrigações aplicáveis.

Coordenar pedidos de evidência

O agente pode transformar o programa de trabalho em solicitações claras. Cada pedido informa:

controle ou objetivo relacionado;
documento ou registro esperado;
período;
formato aceito;
responsável;
prazo;
canal de entrega;
restrição de acesso;
estado da solicitação;
motivo de eventual rejeição.

A cobrança ganha contexto. Em vez de pedir “os comprovantes do mês”, o fluxo indica quais transações, quais campos e qual relação com o teste. Evidências recebidas são identificadas e vinculadas ao pedido correto.

Verificar completude e integridade básica

Regras determinísticas podem conferir presença, formato, período, quantidade e identificadores. O agente ajuda a interpretar documentos, extrair campos e apontar divergências.

Uma verificação inicial pode identificar:

arquivo ausente;
período incorreto;
versão vencida;
página faltante;
registro sem aprovador;
assinatura ou aceite não localizado;
duplicidade;
documento ilegível;
transação fora da população;
diferença entre sistema e anexo;
evidência produzida depois do evento;
dado pessoal exposto sem necessidade.

Passar nessa conferência significa apenas que o material está pronto para análise. Ainda não comprova que o controle existe, funciona ou cobre o risco.

Preparar populações e amostras

O agente pode consolidar dados de uma população, aplicar filtros aprovados e preparar uma amostra conforme parâmetros definidos pelo auditor. A saída precisa mostrar:

fonte da população;
data da extração;
quantidade de registros;
filtros e exclusões;
duplicidades tratadas;
campos ausentes;
método de seleção;
tamanho da amostra;
itens selecionados;
exceções encontradas durante a preparação;
reconciliação com o total de origem.

A escolha do método e a suficiência da amostra são decisões de auditoria. Um modelo não deve improvisar critérios estatísticos nem excluir registros inconvenientes para produzir uma base limpa.

Apoiar testes de controles

Para controles objetivos, o agente pode preparar o teste e executar verificações reproduzíveis. Exemplos:

aprovação presente antes da execução;
valor dentro da alçada;
segregação entre solicitante e aprovador;
documento vigente na data do evento;
acesso compatível com a função;
conciliação realizada no prazo;
exceção acompanhada até resolução;
alteração registrada com identidade e horário;
transação vinculada a pedido, contrato ou chamado;
evidência de revisão periódica.

A IA ajuda a localizar e estruturar informação em texto, imagem e histórico. Comparações numéricas, datas, alçadas e regras de segregação devem permanecer em código ou consultas reproduzíveis sempre que possível.

Organizar achados para revisão

Quando um teste aponta exceção, o agente prepara uma ficha com:

critério esperado;
condição observada;
evidência;
população e itens afetados;
frequência conhecida;
causa informada ou hipótese a investigar;
consequência possível;
controle compensatório;
responsável pelo processo;
manifestação da área;
informação ainda ausente;
recomendação em rascunho;
revisor responsável.

O agente pode encontrar ocorrências parecidas e sugerir agrupamento. O auditor decide se os casos representam um achado comum, qual risco carregam e como devem ser comunicados.

Acompanhar planos de ação

Depois da conclusão aprovada, o agente mantém continuidade sobre:

ação acordada;
proprietário;
prazo;
marco intermediário;
evidência esperada;
dependências;
risco residual;
pedidos de prorrogação;
estado atual;
validação de implementação;
decisão de encerramento.

Marcar uma tarefa como concluída não prova que o risco foi tratado. O encerramento precisa de evidência e revisão conforme a metodologia da auditoria.

Evidência, explicação e prova cumprem funções diferentes

A facilidade de gerar resumos cria um risco específico: confundir texto coerente com sustentação suficiente.

Evidência de origem

É o registro produzido pelo processo ou sistema: transação, aprovação, log, documento, configuração, chamado, gravação autorizada ou confirmação do destino.

Transformação

É o trabalho feito sobre a origem: extração, classificação, comparação, soma, agrupamento, tradução ou resumo. Toda transformação precisa ser identificável e, quando relevante, reproduzível.

Explicação

É a interpretação preparada para o auditor: por que o caso pode representar uma exceção, quais fatos se relacionam e que informação falta.

Conclusão

É o julgamento profissional sobre desenho, operação, risco, materialidade e comunicação. A conclusão deve apontar para evidências e critérios, sem depender de uma narrativa produzida pelo agente como fonte única.

O artigo sobre IA com artefatos auditáveis detalha como preservar origem, critérios, revisão e destino em cada execução.

A arquitetura mínima para o fluxo

Mapa de controles

Cada controle precisa ter um registro estável:

identificador;
processo e risco relacionado;
objetivo;
descrição;
frequência;
responsável;
executor;
aprovador ou revisor;
sistema e fonte;
evidência esperada;
população;
regra de teste;
exceções previstas;
data de vigência;
versão.

Sem esse mapa, o agente pode coletar muitos documentos e continuar sem saber o que deveria comprovar.

Fontes de autoridade

Defina onde cada estado é confirmado:

| Objeto | Fonte de autoridade possível | |---|---| | Política vigente | repositório oficial de documentos | | Transação | ERP ou sistema operacional | | Aprovação | workflow, assinatura ou log autorizado | | Identidade e acesso | diretório e sistema de gestão de acessos | | População do teste | consulta versionada ou extração controlada | | Evidência entregue | repositório da auditoria | | Achado aprovado | sistema de auditoria | | Plano de ação | workflow oficial com proprietário e prazo | | Encerramento | registro de revisão da auditoria |

Quando as fontes divergem, o agente registra o conflito. Escolher silenciosamente a versão mais conveniente compromete a trilha.

Ambiente e acesso

O agente deve usar identidade própria, acesso mínimo e separação por trabalho. Documentos de uma auditoria não podem aparecer em outra apenas por similaridade semântica.

Defina permissões distintas para:

ler o programa de trabalho;
consultar fontes autorizadas;
solicitar evidência;
armazenar cópia no repositório correto;
extrair e classificar;
executar teste aprovado;
preparar exceção;
abrir rascunho de achado;
enviar comunicação externa à auditoria;
alterar conclusão;
aceitar plano de ação;
encerrar achado.

Os primeiros níveis ampliam preparação. Comunicação formal, conclusão e encerramento pedem revisão e autoridade explícitas.

Registro por execução

Cada tarefa relevante preserva:

usuário ou rotina que iniciou;
escopo da auditoria;
entrada;
fontes consultadas;
versões;
ferramentas e consultas usadas;
filtros aplicados;
saída;
alterações humanas;
decisão final;
gravação no sistema de destino;
erro, repetição ou escalonamento;
data e horário.

Essa trilha ajuda a revisar o trabalho do agente e a própria execução da auditoria. O guia sobre monitoramento de agentes de IA em produção mostra indicadores para falhas, correções e comportamento operacional.

Um fluxo prático para testar um controle

1. Confirmar escopo

O agente recebe controle, período, unidade, população, procedimento de teste, campos obrigatórios e responsável pela revisão.

2. Obter a população

A extração usa uma consulta ou exportação identificada. O sistema registra horário, origem, quantidade e parâmetros.

3. Reconciliar

Totais, período e identificadores são comparados com a fonte. Diferenças bloqueiam o avanço ou seguem como limitação visível.

4. Selecionar itens

A amostra segue o método definido. Itens de risco, seleção aleatória e cobertura temporal permanecem identificados separadamente.

5. Coletar evidências

O agente localiza ou solicita os registros correspondentes. Cada arquivo recebe vínculo com item, controle e pedido.

6. Aplicar verificações

Regras checam datas, alçadas, identidade, campos e sequência. A IA extrai informação não estruturada e aponta trechos relevantes.

7. Preparar exceções

Casos fora do critério recebem evidência, regra, impacto conhecido, dado ausente e explicação da área quando disponível.

8. Revisar

O auditor confirma suficiência, investiga causas, avalia controles compensatórios e decide a conclusão.

9. Registrar

O resultado aprovado entra no sistema de auditoria. Itens pendentes continuam abertos com responsável e prazo.

Casos que devem interromper a automação

O fluxo precisa parar ou escalar quando houver:

população sem reconciliação;
consulta ou filtro sem versão;
evidência sem origem;
documento alterado depois da coleta sem histórico;
período ou entidade incertos;
conflito entre sistema e documento;
acesso a informação fora do escopo;
dado pessoal desnecessário;
suspeita de fraude ou adulteração;
pessoa testando o próprio controle sem revisão prevista;
amostra incompleta;
exceção próxima do limite de materialidade;
metodologia não suportada pelo fluxo;
integração indisponível;
tentativa duplicada de gravação;
pedido para apagar ou substituir evidência;
conclusão que depende de interpretação jurídica, contábil ou técnica especializada.

O escalonamento precisa trazer o pacote do caso. Apenas informar “revisão necessária” devolve todo o trabalho de busca ao auditor.

Como testar antes de usar em uma auditoria real

Monte casos anonimizados e cenários controlados:

controle operando conforme esperado;
aprovação posterior ao evento;
valor acima da alçada;
aprovador sem autoridade;
documento vencido;
evidência ausente;
arquivo duplicado;
população incompleta;
consulta com filtro incorreto;
amostra fora do período;
evidência de outro processo;
conflito entre fontes;
exceção explicada por controle compensatório;
plano de ação concluído sem prova;
dado sensível fora do escopo;
tentativa de alterar evidência;
falha de integração durante o registro.

Para cada caso, defina resultado esperado, ação proibida, evidência mínima e pessoa que decide. Rode o agente em paralelo com o procedimento atual e registre correções.

O artigo sobre como avaliar agentes de IA ajuda a construir casos de teste e regressão antes de cada mudança de modelo, regra ou integração.

Métricas para acompanhar

Capacidade da auditoria

tempo gasto para solicitar e organizar evidências;
prazo entre solicitação e recebimento completo;
testes preparados por período;
horas de busca e reconciliação;
tempo do auditor em análise;
planos de ação vencidos;
idade dos achados abertos.

Qualidade do trabalho

evidências rejeitadas por insuficiência;
populações com divergência;
exceções confirmadas pelo auditor;
exceções relevantes não detectadas;
achados reclassificados;
conclusões alteradas na revisão;
planos encerrados e reabertos;
papéis de trabalho sem origem ou critério.

Qualidade do agente

extrações corrigidas;
documentos vinculados ao item errado;
falsos alertas;
casos escalados corretamente;
tentativas bloqueadas por permissão;
execuções sem confirmação do destino;
custo por teste ou evidência preparada;
tempo de revisão humana.

Velocidade precisa ser lida junto com suficiência e correção. Produzir mais testes com evidência fraca apenas acelera uma falsa sensação de cobertura.

Erros comuns

Usar o agente como auditor autônomo

Auditoria exige independência, metodologia e julgamento. O agente prepara trabalho, executa verificações delimitadas e apresenta evidências. A responsabilidade não migra para o modelo.

Aceitar resumo como papel de trabalho

Um resumo precisa apontar para origem, procedimento, resultado e revisão. Sem isso, ele é uma explicação conveniente e difícil de reexecutar.

Automatizar teste antes de reconciliar a população

Uma verificação perfeita sobre uma base incompleta produz conclusão errada com aparência de precisão.

Permitir que a área auditada controle a evidência final

A origem pode pertencer ao processo, mas coleta, preservação, alterações e revisão precisam seguir a governança da auditoria.

Medir quantidade de documentos processados

Volume informa carga técnica. O resultado aparece em redução de busca, maior cobertura útil, exceções encontradas no prazo e planos de ação realmente encerrados.

Misturar todas as auditorias na mesma memória

Similaridade entre documentos não autoriza compartilhamento. Escopo, confidencialidade e identidade devem limitar recuperação e histórico.

Checklist antes do piloto

O processo e o controle inicial estão delimitados?
Existe mapa com risco, objetivo, responsável e evidência esperada?
A população possui fonte e procedimento de reconciliação?
O método de seleção foi definido pelo auditor?
Cálculos e regras objetivas são reproduzíveis?
O agente preserva arquivo original, versão e transformação?
Evidência, explicação e conclusão aparecem separadas?
Acesso e memória respeitam o escopo da auditoria?
Achados permanecem em rascunho até revisão?
Planos de ação exigem prova antes do encerramento?
Casos críticos interrompem o fluxo?
Mudanças de regra ou modelo acionam regressão?
O sistema de destino confirma toda gravação?
Existe processo manual durante indisponibilidade?
Um profissional responde pelo desempenho do fluxo?

Auditoria ganha capacidade quando a evidência chega pronta para julgamento

Um agente de IA para auditoria interna pode reduzir o tempo gasto com coleta, conferência, reconciliação e acompanhamento. Ele transforma solicitações e registros dispersos em pacotes revisáveis, ligados a controles e critérios.

O piloto mais seguro começa com leitura, organização de evidências e testes objetivos. A autonomia cresce dentro de tarefas reproduzíveis, com acesso limitado e revisão proporcional ao risco.

O auditor preserva escopo, independência e conclusão. O agente sustenta a continuidade necessária para que fontes, exceções e planos de ação permaneçam visíveis. Essa divisão libera capacidade profissional sem enfraquecer o controle que a auditoria existe para avaliar.