Antes de contratar uma auditoria, o conselho de administração precisa responder a três coisas · quem audita, a partir de qual relação com a organização e qual será o uso do resultado. A ISO 19011 distingue auditorias de primeira, segunda e terceira parte. A metodologia pode ser semelhante; a autoridade e os destinatários da conclusão mudam.
Tipo I · Auditor de primeira parte
Quem a realiza · a própria organização ou alguém que atua em seu nome. Pode ser pessoal interno ou um profissional externo contratado para cumprir a função de auditoria interna.
O que pode fazer · revisar a conformidade operacional com padrões internos · detectar descumprimentos antes que se agravem · recomendar melhorias · funcionar como o mecanismo de aprendizagem do sistema.
O que não produz · um certificado de terceira parte. Seu relatório pode ser relevante para um regulador ou um cliente, mas mantém sua natureza interna e deve ser apresentado como tal.
Limitações estruturais · audita seus próprios pares · vê a informação que sua posição lhe permite ver · carrega o risco de autoconfirmação justamente nos problemas que a organização prefere silenciar.
Quando utilizá-lo · para avaliar o próprio sistema de gestão, investigar incidentes ou preparar decisões internas. Se uma norma exige auditoria interna, o programa deve atender a esse requisito e aos riscos do sistema.
Tipo II · Auditor de segunda parte
Quem é · profissional designado por uma parte interessada externa com relação contratual direta · cliente importante, matriz, fornecedor estratégico, mandante setorial.
O que pode fazer · verificar requisitos contratuais, avaliar o desempenho em relação a acordos de serviço, examinar a capacidade técnica antes de adjudicar ou exercer um direito de auditoria pactuado.
O que não pode fazer · emitir certificado oponível a partes alheias à relação bilateral. Sua autoridade termina onde termina o contrato que o legitima.
O dado desta década · a regulamentação de devida diligência obriga certos grandes grupos a identificar e gerir impactos em sua cadeia de atividades. A Diretiva (UE) 2026/470 restringiu o escopo e modificou o calendário. A norma não impõe que toda revisão adote a forma de auditoria de segunda parte; quando essa modalidade é utilizada, o mandato e o critério devem constar por escrito.
Tipo III · Auditor de terceira parte
Quem a realiza · uma organização auditora independente da relação de primeira ou segunda parte. Quando a auditoria integra um processo de certificação acreditada, atua uma equipe designada pelo organismo de certificação dentro de seu escopo de acreditação.
O que produz · constatações e uma recomendação dentro do processo. O certificado é emitido pelo organismo de certificação após uma revisão e uma decisão realizadas por pessoas que não participaram da auditoria.
O que não pode fazer · projetar ou implementar a solução que depois avaliará. Pode explicar o requisito e a constatação; não deve assumir a decisão de gestão do auditado. As ameaças à imparcialidade são avaliadas e documentadas conforme a relação concreta.
De onde vem sua força · da competência, do escopo, da imparcialidade e da separação entre auditoria e decisão. Essa cadeia tem um critério próprio nesta série · o Critério 12 a percorre elo por elo.
A condição de terceira parte é protegida em cada trabalho. Explicar o requisito não equivale a projetar a correção. A linha é cruzada quando o auditor toma decisões de implementação que depois deveria avaliar. Os verbos ajudam a enxergá-la · o auditor pergunta e conclui; a organização decide e executa.
A ferramenta e a assinatura
Uma plataforma de monitoramento, um agente que lê registros ou um copiloto que redige rascunhos não constituem uma parte. São ferramentas. Sua saída adquire sentido dentro do mandato, do critério e da revisão de quem assina. O painel observa; a responsabilidade continua com a parte que o utiliza.
O auditor de múltiplos papéis
O risco à imparcialidade aparece quando um profissional alterna trabalhos de natureza distinta sem revisar incompatibilidades. Pode atuar como auditor interno terceirizado, como auditor de um cliente e, em outro contexto, como auditor de certificação. Cada papel pode ser legítimo; a combinação exige avaliar relações anteriores, informações obtidas e ameaças de autorrevisão.
Cada papel pode ser legítimo. A mudança de papel obriga a avaliar relações anteriores, interesse próprio, familiaridade e outras ameaças à imparcialidade. A resposta depende do trabalho e do esquema aplicável: pode exigir declaração, revisão independente, restrição temporal ou recusa do trabalho. Nenhuma salvaguarda serve por si só para todos os casos.
O teste do critério
Quatro perguntas, cada uma com uma resposta esperada, antes de aceitar qualquer relatório de auditoria.
Pergunta um · quem encomendou a auditoria e para quem será emitido o resultado? Resposta esperada · consta no documento de contratação. A própria organização · primeira parte. Um cliente ou outra parte interessada · segunda. Uma organização auditora independente · terceira; se também houver certificação acreditada, devem ser identificados o organismo e seu escopo.
Pergunta dois · qual será o uso do resultado? Resposta esperada · a primeira parte subsidia decisões internas; a segunda responde a uma relação contratual ou de parte interessada; a terceira oferece independência. Somente um processo de certificação emite um certificado, com a cadeia desenvolvida pelo Critério 12.
Pergunta três · quais papéis anteriores este profissional teve em nossa organização? Resposta esperada · declaração de independência assinada e disponível para consulta, com papéis e datas. A resposta de memória, sem documento, é a primeira constatação da relação.
Pergunta quatro · quais ferramentas automatizadas alimentaram o relatório e quem assina suas saídas? Resposta esperada · as plataformas listadas como instrumentos da equipe, com um signatário humano identificável por constatação. O Critério 06 explica por que essa assinatura precisa existir.
O sistema é projetado para gerir a operação · a auditoria chega depois, para verificar o que já respira. O conselho de administração que domina os três tipos compra exatamente a declaração de que precisa e sabe, antes do incidente, até onde vai cada assinatura.