CVM 244: sustentabilidade opcional, régua sobe

Em maio de 2026, a CVM revogou a obrigatoriedade que ela mesma tinha criado três anos antes: o relatório de informações financeiras relacionadas à sustentabilidade, que valeria a partir do exercício social de 2026, deixou de ser exigência direta.²³ Quatro meses depois, em 3 de setembro, a área técnica da própria CVM publicou o ofício que orienta os auditores independentes registrados na autarquia — e nele, para quem decidir divulgar esse mesmo relatório em 2026, o nível de verificação exigido subiu, não desceu.⁴ A mesma norma que tirou a obrigação de publicar elevou o padrão de quem publica. Isso não é contradição regulatória. É o mecanismo de um modelo específico — comply or explain — fazendo exatamente o que ele foi desenhado para fazer, e a maior parte da cobertura sobre a Resolução CVM 244 tratou apenas a primeira metade da história.

O recuo que não é bem um recuo

A Resolução CVM 193, de outubro de 2023, tinha um desenho simples: adoção voluntária dos padrões do International Sustainability Standards Board (IFRS S1 e S2, convergidos para as normas brasileiras por meio da Resolução CFC 1.710) nos exercícios de 2024 e 2025, e obrigatoriedade a partir do exercício iniciado em 1º de janeiro de 2026.¹⁸ Era o desenho típico de transição regulatória: um período de rodagem, depois a régua sobe para todo mundo ao mesmo tempo.

Esse desenho não sobreviveu. A Resolução CVM 244, aprovada em 27 de maio de 2026 e editada dois dias depois, revogou o artigo 2º e o inciso III do artigo 5º da Resolução 193 — exatamente os dispositivos que tornavam a divulgação obrigatória a partir de 2026.² No lugar da obrigatoriedade direta, entrou um modelo de responsabilização informacional: a companhia aberta pode optar por não divulgar o relatório, mas, a partir do exercício de 2027, precisa justificar publicamente essa escolha em comunicado ao mercado.²¹⁰ É o modelo que o mercado de capitais conhece como comply or explain, e que a CVM já usa em outras frentes de governança havia mais de uma década — a novidade é aplicá-lo a informação de sustentabilidade, e fazer isso depois de ter sinalizado, por três anos, que a rota seria obrigatoriedade plena.

O que essa linha do tempo esconde, se lida rápido, é que a obrigatoriedade não desapareceu — ela se deslocou. Antes, a obrigação recaía sobre o conteúdo: toda companhia aberta teria que produzir o relatório. Agora, a obrigação recai sobre a transparência da escolha: toda companhia aberta vai ter que declarar, publicamente, se divulga ou não, e por quê, a partir de 2027. Quem imagina que a Resolução 244 tirou o peso da sustentabilidade do radar do comitê de auditoria leu apenas a manchete.

O que a Resolução 244 revogou, exatamente

O texto da Resolução 244 é econômico: dois dispositivos caem, o resto da Resolução 193 permanece de pé.² Isso significa que a estrutura técnica inteira — os padrões CBPS 01 e 02, convergidos com IFRS S1 e S2, as definições de escopo do relatório, a exigência de asseguração por auditor independente registrado na CVM — continua valendo para quem decidir divulgar.¹⁷⁹ A CVM não desmontou o arcabouço ISSB no Brasil. Desmontou apenas a obrigação universal de usá-lo.

Comply or explain

Modelo regulatório em que a norma não obriga uma conduta específica, mas obriga a empresa a declarar publicamente se a adotou e, caso não tenha adotado, a justificar por quê. A CVM já aplica essa lógica a outras práticas de governança desde a década anterior; a novidade de 2026 é estendê-la à divulgação de informação de sustentabilidade.

Essa arquitetura tem uma consequência que a maior parte da cobertura jurídica sobre a Resolução 244 mencionou de passagem: comply or explain não é ausência de custo de conformidade, é troca de um custo por outro. Sob obrigatoriedade direta, o custo era produzir o relatório. Sob comply or explain, o custo é o julgamento — decidir se divulgar, e como justificar a decisão de não divulgar de um jeito que resista a pergunta de investidor, agência de rating ou área de compliance de um grande comprador que exige relatório de sustentabilidade como condição contratual. Empresas que fornecem para companhias europeias sujeitas à CSRD, ou para fundos que aplicam critérios de triagem ESG na composição de carteira, não ganham liberdade real de não divulgar — ganham a obrigação extra de explicar por escrito por que não o fazem, num documento que a contraparte comercial vai ler.

A régua que sobe quando a obrigação desce

O ponto que a maior parte da cobertura sobre a Resolução 244 deixou de conectar ao Ofício Circular Anual publicado em setembro é este: o nível de verificação exigido do auditor não caiu junto com a obrigatoriedade — subiu. Para informações relativas a exercícios sociais anteriores a 2026, valia a asseguração limitada. Para informações de exercícios iniciados em ou após 1º de janeiro de 2026 que a companhia decida divulgar, a CVM esclarece que a exigência passa a ser de asseguração razoável.⁴ A norma técnica por trás dessa distinção é internacional e não nasceu com a Resolução 193: é a ISAE 3000 (Revised), do International Auditing and Assurance Standards Board, que define os dois níveis de verificação que um auditor pode entregar sobre informação que não é demonstração financeira histórica.⁶

Asseguração limitada

Nível de verificação em que o auditor realiza procedimentos analíticos e entrevistas, mas não testes substantivos completos. A conclusão do auditor é redigida em forma negativa — “nada chegou ao nosso conhecimento que nos faça acreditar que as informações contêm distorção relevante” — porque o volume de evidência coletado é menor do que o exigido para uma opinião positiva.⁶

Asseguração razoável

Nível de verificação equivalente, em rigor, ao de uma auditoria de demonstrações financeiras: testes substantivos, avaliação de controles internos sobre o processo que gera a informação, e evidência suficiente para que o auditor emita uma opinião positiva — “em nossa opinião, as informações estão apresentadas, em todos os aspectos relevantes, de acordo com o critério aplicável”. Exige volume de evidência e de horas de trabalho substancialmente maior que a asseguração limitada.⁶

A diferença entre os dois níveis não é apenas de redação do parecer — é de arquitetura de evidência. Asseguração limitada aceita que o auditor confie, em boa medida, em explicação da administração e em procedimento analítico (comparar o número reportado com uma expectativa, sem testar a origem dele item a item). Asseguração razoável exige que o auditor trate o dado de sustentabilidade do mesmo jeito que trata uma conta do balanço: rastreando a origem, testando o controle interno que produziu o número, buscando evidência independente sempre que possível. Isso é, na prática, o mesmo tipo de trabalho que uma auditoria financeira já faz sobre receita ou estoque — só que aplicado a emissão de carbono, consumo de água ou dado de força de trabalho, informação que a maior parte das controladorias brasileiras nunca tratou com o mesmo rigor de controle interno que trata uma conta contábil.

O que muda entre os dois níveis de asseguração (ISAE 3000)

Dimensão	Asseguração limitada	Asseguração razoável
Volume de evidência	Suficiente para reduzir o risco a um nível aceitável, porém moderado	Suficiente para reduzir o risco a um nível baixo, equivalente ao de auditoria financeira
Tipo de procedimento	Procedimentos analíticos e entrevistas com a administração	Testes substantivos, inspeção de documentos-fonte, teste de controles internos
Forma da conclusão	Negativa — nada chegou ao conhecimento do auditor	Positiva — opinião de que a informação está correta em todos os aspectos relevantes
Dependência de controle interno da empresa	Baixa — o auditor não precisa validar o processo que gerou o dado	Alta — o auditor precisa entender e testar o processo, não só o resultado
Horas de trabalho, em relação à auditoria financeira já contratada	Fração pequena, geralmente um adicional sobre o escopo já orçado	Adicional substancialmente maior, por exigir teste de controle e evidência direta

Esse salto de exigência tem uma lógica que não é arbitrária: se a divulgação virou voluntária, o único jeito de manter a informação crível para quem lê — investidor, financiador, comprador que exige relatório ESG do fornecedor — é elevar a barra de verificação de quem escolhe divulgar. Sob obrigatoriedade universal, um nível de verificação mais frouxo era aceitável porque todo mundo estava no mesmo barco e o comparativo entre empresas já existia por definição. Sob adesão voluntária, a informação de quem divulga precisa carregar mais peso probatório, porque ela concorre, na cabeça de quem lê, com a ausência de informação de quem optou por não divulgar — e o mercado não tem como distinguir “não divulgo porque não tenho nada a esconder e o custo não compensa” de “não divulgo porque o número seria ruim” sem um sinal de credibilidade mais forte do lado de quem divulga.

Quanto isso custa, em horas e em reais

A conta, feita sobre essas duas premissas: 180 horas a mais sob asseguração limitada, contra 504 horas a mais sob asseguração razoável — uma diferença de 324 horas, ou uma razão de 2,8 vezes mais esforço entre um nível e outro. A uma tarifa média de R$ 380 por hora de auditoria — premissa igualmente contestável, que varia por porte de firma e complexidade da operação —, o custo adicional direto sobe de R$ 68.400 sob asseguração limitada para R$ 191.520 sob asseguração razoável. A diferença entre os dois cenários, R$ 123.120, é o preço concreto da régua que subiu — não do relatório em si, que a companhia já produziria de qualquer forma se optasse por divulgar, mas do salto de nível de verificação que a Resolução 244 e o Ofício Circular de setembro impuseram sobre quem decidir divulgar a partir do exercício de 2026.

Essa conta muda de forma relevante conforme o grau de maturidade do controle interno da companhia sobre o próprio dado de sustentabilidade. Uma empresa que já mede emissão de carbono, consumo de água e indicadores de força de trabalho com processo formal — planilha com fórmula auditável, fonte primária documentada, responsável designado — reduz o volume de teste substantivo que o auditor precisa aplicar sob asseguração razoável, porque parte do trabalho de coletar e organizar evidência já está feito. Uma empresa que hoje monta esse dado uma vez por ano, sob pressão de prazo, a partir de estimativa e planilha não auditável, paga a conta cheia das 504 horas — e corre o risco adicional de o auditor não conseguir emitir opinião sem ressalva, porque a evidência simplesmente não existe no nível de rigor que a asseguração razoável exige.

O ponto que a conta acima não captura, porque é qualitativo, é o custo de preparação interna — o tempo que a controladoria, a área de sustentabilidade ou quem quer que hoje monte esse relatório gasta organizando dado, fonte e documentação antes mesmo de o auditor começar o trabalho de campo. Esse custo não aparece na fatura da firma de auditoria, mas é real, e tende a ser maior, proporcionalmente, do que o custo equivalente em uma auditoria financeira tradicional — porque a maior parte das empresas brasileiras de porte médio nunca tratou dado de sustentabilidade com o mesmo grau de disciplina de controle interno que trata dado contábil.

O que muda por porte de operação

A conta de 180 horas contra 504 horas, feita acima, parte de uma premissa de porte médio — uma auditoria financeira-base de 1.800 horas. Ela não escala de forma linear para cima nem para baixo, porque o que determina o acréscimo de esforço não é o tamanho da operação, é quanto da infraestrutura de captação de dado de sustentabilidade já existe antes de o auditor chegar.

Uma companhia pequena, com auditoria financeira-base de 600 horas e nenhum processo formal de captação de dado de sustentabilidade, tende a pagar proporcionalmente mais: o acréscimo de asseguração razoável, nesses casos, costuma superar os 28% usados como premissa central acima, porque o auditor não encontra nenhum controle preexistente para testar — precisa reconstruir, com a empresa, o processo de captação do zero antes mesmo de poder auditá-lo. Um acréscimo de 40% sobre 600 horas equivale a 240 horas adicionais, a R$ 380 a hora, R$ 91.200 — uma fatia do orçamento de auditoria proporcionalmente maior do que a fatia paga por uma companhia grande.

Uma companhia grande, com auditoria financeira-base de 5.000 horas e um sistema de gestão de segurança da informação certificado sob ISO 27001 que já cobre parte da infraestrutura de controle de acesso e log sobre os sistemas internos, tende a pagar menos por hora de auditoria-base: o acréscimo de asseguração razoável, nesse cenário, pode ficar mais próximo de 18% a 20%, porque parte do trabalho de controle geral de TI que o auditor precisaria fazer do zero em uma empresa sem certificação já está coberta pelo escopo de certificação existente. A 19% sobre 5.000 horas, o acréscimo é de 950 horas — em valor absoluto, mais que o dobro do caso pequeno, mas proporcionalmente mais barato em relação ao orçamento total de auditoria.

2,8x

O efeito prático dessa diferença de porte não é apenas financeiro — é de sequenciamento de decisão. Companhias pequenas e médias, que tipicamente não têm área de sustentabilidade dedicada, tendem a descobrir o tamanho real do esforço só quando já decidiram divulgar e o auditor começa o trabalho de campo — o que é tarde para negociar prazo ou renegociar escopo. Companhias grandes, com estrutura de governança mais robusta, costumam ter mais capacidade de antecipar esse levantamento antes de comprometer a decisão de divulgar, porque já têm processo formal de diligência prévia para qualquer mudança relevante de escopo de auditoria.

Essa vantagem de porte tem um limite que vale declarar: certificação ISO 27001 ou maturidade de ITGC reduz o custo do controle de acesso e log sobre os sistemas que armazenam o dado de sustentabilidade, mas não substitui o trabalho específico de definir metodologia de cálculo para emissão de carbono, consumo de água ou indicador de força de trabalho — essa parte do esforço de asseguração razoável é específica do tema e não se beneficia de infraestrutura de segurança da informação já existente. Uma companhia grande com ISO 27001 madura ainda precisa construir, do zero, a metodologia de cálculo desses indicadores se nunca os produziu com rigor de auditoria antes — o que significa que o corte por porte descrito acima é uma tendência, não uma garantia.

A decisão que o comitê de auditoria vai enfrentar

A pergunta prática que a Resolução 244 empurra para dentro de cada comitê de auditoria, ou para a diretoria financeira nas empresas que não têm comitê estatutário, não é mais “somos obrigados a divulgar?” — é “vale a pena divulgar, dado o novo custo de fazer isso direito?”. Essa decisão cruza dois eixos que raramente aparecem juntos na mesma conversa: a pressão externa para divulgar (investidor, comprador, financiador que exige o dado) e a maturidade interna do controle sobre a informação que seria divulgada.

O quadrante que concentra o maior risco de decisão apressada é o de pressão externa alta com controle interno imaturo — companhias que sentem a cobrança de um investidor internacional, de uma cláusula contratual de cliente europeu sujeito à CSRD, ou de um fundo com critério de triagem ESG, mas que nunca formalizaram o processo de captar e documentar o dado de sustentabilidade. Divulgar sob pressão, sem preparo, sob o padrão de asseguração razoável que vale a partir de 2026, é o cenário com maior probabilidade de o auditor não conseguir emitir opinião sem ressalva — o que, paradoxalmente, é pior para a credibilidade da empresa do que simplesmente não ter divulgado nada.

A leitura útil dessa matriz, como em qualquer ferramenta de priorização, não é forçar uma decisão binária imediata — é localizar em qual quadrante a empresa está hoje e dimensionar o investimento certo. Para quem está no quadrante de controle imaturo e pressão externa baixa, a decisão racional para 2026 não é divulgar nem é ignorar o tema: é usar o ano para construir o processo de captação de dado com o mesmo rigor de controle interno que uma auditoria financeira já exige de uma conta contábil, de forma que, quando a pressão externa chegar — e ela tende a chegar, dado o histórico de convergência regulatória internacional —, a empresa não precise fazer isso sob o relógio de um prazo apertado.

Duas rotas regulatórias, dois resultados

O recuo brasileiro ganha contorno mais nítido quando comparado ao que aconteceu, no mesmo período, do outro lado do equador. Em março de 2024, a SEC americana havia adotado sua própria regra de divulgação climática para companhias abertas — exigindo, entre outros pontos, divulgação de emissão de gases de efeito estufa de Escopo 1 e 2 para grandes emissores.¹² A regra nunca chegou a valer na prática: foi suspensa voluntariamente pela própria SEC semanas depois de adotada, a Comissão votou em março de 2025 para encerrar sua defesa judicial da norma, e em junho de 2026 publicou proposta formal de revogação integral, com prazo de comentário público até agosto de 2026.¹²

A diferença entre as duas rotas não é apenas de timing — é de arquitetura final. Os Estados Unidos, ao revogar a regra, não deixam nenhum arcabouço alternativo no lugar: revertem os emissores para a obrigação de divulgação baseada em princípios que já existia antes da regra de 2024, sem um padrão específico de sustentabilidade.¹² O Brasil, ao editar a Resolução 244, manteve de pé toda a estrutura técnica construída desde 2023 — os padrões CBPS convergidos com IFRS S1 e S2, a exigência de asseguração por auditor independente, a definição de escopo do relatório — e apenas trocou o mecanismo de adesão, de obrigatório para comply or explain.¹²⁷

ISSB e os padrões IFRS S1 e S2

O International Sustainability Standards Board é o órgão criado pela IFRS Foundation em 2021 para emitir padrões globais de divulgação de sustentabilidade. O IFRS S1 trata de requisitos gerais de divulgação de informação financeira relacionada à sustentabilidade; o IFRS S2, especificamente de divulgação relacionada ao clima. O Brasil foi, em outubro de 2023, o primeiro país a se comprometer formalmente a convergir sua norma nacional com esse padrão global.⁸

Essa diferença de desenho tem uma consequência direta para quem opera no Brasil, mas mantém relação comercial ou societária com jurisdições que seguem trilha diferente. Uma subsidiária brasileira de grupo europeu sujeito à CSRD (Corporate Sustainability Reporting Directive) continua tendo que produzir informação de sustentabilidade no padrão exigido pela matriz, independentemente de a CVM ter tornado a divulgação opcional no Brasil — a obrigação, nesse caso, nasce de fora, por consolidação de grupo, não da norma brasileira. Já uma empresa brasileira com operação nos Estados Unidos, ou que capta recurso via bond americano, não ganha nem perde muito com a revogação da regra da SEC, porque aquela regra nunca chegou a entrar em vigor de fato — o efeito prático, para quem já não estava se preparando para ela, é próximo de zero.

O trade-off que fica claro na comparação: manter o arcabouço técnico e tornar a adesão voluntária, como fez o Brasil, preserva a opção de reverter para obrigatoriedade no futuro com custo de reimplementação baixo — a estrutura já existe, só precisa reativar o gatilho legal. Abandonar o arcabouço inteiro, como fizeram os Estados Unidos, é uma aposta mais definitiva: reconstruir um padrão de divulgação climática do zero, se um governo futuro decidir fazer isso, custaria bem mais do que reativar um comply or explain que já está em vigor.

A objeção óbvia: isso é desregulação, ou realocação de risco?

A leitura mais comum da Resolução 244 na imprensa foi a de recuo regulatório — a CVM cedendo à pressão de entidades empresariais que reclamavam do custo de conformidade num momento de aperto de crédito e câmbio volátil.⁹¹⁰ Essa leitura não está errada, mas é incompleta, porque trata a revogação como o fim da história em vez de como metade dela.

O contra-argumento mais forte a favor de “isso é desregulação real” é factual: a obrigação universal de produzir o relatório, que valeria para toda companhia aberta a partir de 2026, deixou de existir. Isso é uma redução líquida de custo de conformidade para qualquer companhia que não tivesse pressão externa relevante para divulgar — e é a maioria das companhias abertas brasileiras de porte médio, que não captam recurso no exterior nem têm cliente ou investidor exigindo relatório de sustentabilidade como condição contratual.

O contra-argumento mais forte a favor de “isso é realocação de risco, não desregulação” também é factual e já foi desenvolvido nas seções anteriores: a estrutura técnica inteira permanece de pé, convergida com a Resolução CFC 1.710 e as Normas Brasileiras de Contabilidade que ela criou — as NBC TDS, de divulgação, e as NBC TAS, de asseguração de divulgação de informação de sustentabilidade.⁵ Essas normas não foram revogadas; continuam sendo o critério técnico aplicável para quem decidir divulgar. O que a CVM fez foi mover a decisão de “toda companhia divulga” para “cada companhia decide, e quem divulgar é medido com rigor maior do que antes”. Chamar isso de desregulação simples ignora que o padrão técnico de verificação ficou mais caro para quem opta por participar — o oposto do que normalmente se espera de uma agenda de redução de custo regulatório.

A forma mais precisa de descrever a mudança, então, não é “a CVM abandonou a sustentabilidade” nem “nada mudou de fato” — é que a CVM trocou um mecanismo de universalização (obrigação direta, custo distribuído por norma) por um mecanismo de seleção (adesão voluntária, custo concentrado em quem participa, com barra de entrada mais alta).

Mecanismos de seleção tendem a produzir um efeito colateral previsível: eles filtram para dentro do grupo que divulga as empresas que já tinham razão de negócio para fazer isso de qualquer forma — pressão de investidor, exposição a mercado internacional, ambição de acessar capital mais barato — e filtram para fora as que só divulgariam por obrigação legal pura. Isso é bom para quem lê o relatório, porque reduz a proporção de divulgação feita apenas para cumprir tabela; é ruim para o objetivo original de política pública de ter comparabilidade universal de dado de sustentabilidade entre companhias abertas, que era o motivo declarado da Resolução 193 em 2023.¹

O que isso herda de SOX e ISO 27001

Para quem já convive com auditoria de controles internos sob a ótica de SOX — testando se o dado que alimenta uma conta contábil percorreu um caminho confiável, com controle de acesso e trilha de evidência — o mecanismo por trás da asseguração razoável de sustentabilidade não é conceitualmente novo. É a mesma pergunta que uma auditoria de controle interno financeiro já faz sobre uma conta do balanço, agora aplicada a um dado que, até pouco tempo atrás, vivia fora do perímetro de controle formal: quantas toneladas de CO2 a operação emitiu, quantos litros de água consumiu, qual o índice de rotatividade de força de trabalho. É o mesmo salto de exigência que o §.10A da norma de evidência de auditoria do PCAOB já impõe sobre dado financeiro de origem externa — testar a origem, não só aceitar o número pronto —, só que aplicado aqui a um dado que nunca teve dono contábil definido.

O paralelo com ISO 27001 aparece num ponto específico: a norma de segurança da informação já exige, há anos, que a empresa trate como ativo qualquer informação que sustente decisão relevante — o que inclui, hoje, dado de sustentabilidade usado para acessar crédito, atrair investimento ou cumprir cláusula contratual. Empresas que já mantêm um sistema de gestão de segurança da informação certificado tendem a ter vantagem estrutural na hora de atender à asseguração razoável, porque parte do trabalho de controle de acesso, log e versionamento sobre a planilha ou sistema que produz o dado de sustentabilidade já está coberta pelo escopo de certificação — mesmo que ninguém, até agora, tenha pensado nesse dado especificamente como objeto de controle sob a ISO 27001.

O gargalo que aparece depois de resolver esse problema — assumindo que a empresa consiga levar o controle sobre dado de sustentabilidade ao mesmo nível de rigor do controle financeiro — não é técnico, é de responsabilidade organizacional. Dado financeiro tem dono claro: a controladoria responde por ele, e o comitê de auditoria tem competência formal sobre o assunto. Dado de sustentabilidade, na maior parte das empresas brasileiras de porte médio, não tem dono equivalente — às vezes fica com relações com investidores, às vezes com uma área de sustentabilidade recém-criada, às vezes espalhado entre operações, RH e jurídico, sem que ninguém tenha a responsabilidade formal de garantir que o número resista a teste de asseguração razoável. Enquanto essa lacuna de responsabilidade não for fechada, o investimento em controle técnico — por mais ISO 27001 ou ITGC que a empresa já tenha — não resolve o problema sozinho.

Quem decide não divulgar também decide algo

Existe uma leitura de que a Resolução 244 devolveu à empresa a opção de simplesmente não tratar do assunto. Essa leitura ignora o que acontece a partir de 2027: a companhia que optar por não divulgar vai precisar declarar essa escolha publicamente, em comunicado ao mercado, com justificativa.²¹⁰ Isso transforma “não fazer nada” em uma decisão ativa, sujeita ao mesmo escrutínio de investidor, analista e imprensa especializada que qualquer outra decisão relevante de governança recebe.

A justificativa exigida sob comply or explain não tem, até este momento, um padrão de conteúdo mínimo definido pela CVM — o que deixa a cada empresa, na prática, formular sua própria explicação. Isso cria um risco de reputação assimétrico: uma justificativa genérica (“a companhia optou por não divulgar por questões estratégicas”) tende a ser lida, por investidor sofisticado, como sinal de que a empresa não tem o dado organizado — o mesmo problema que a asseguração razoável tenta resolver do lado de quem divulga, só que pelo lado inverso.

Uma justificativa específica e defensável (“a companhia avaliou o custo da asseguração razoável frente ao porte da operação e decidiu priorizar a divulgação voluntária de indicadores operacionais equivalentes por outro canal”) exige que a empresa tenha, no mínimo, feito a análise de custo-benefício descrita nas seções anteriores — o que significa que mesmo quem decide não divulgar precisa passar pelo exercício de avaliar o que divulgaria, e por quanto, antes de justificar por que não vai fazer isso.

O caso de borda mais provável de aparecer na prática, segundo o padrão observado em outras normas de comply or explain no Brasil, é a empresa que divulga parcialmente — um relatório de sustentabilidade fora do escopo formal da Resolução 193, sem submissão a asseguração de auditor independente, como forma de sinalizar transparência sem incorrer no custo da asseguração razoável. Essa rota não está expressamente vedada, mas carrega um risco de comunicação: um relatório sem asseguração, publicado ao lado de um comunicado explicando por que a companhia optou por não seguir o padrão formal, pode ser lido por investidor mais atento como tentativa de aparência de conformidade sem o custo de verificação real — o oposto do efeito de credibilidade que a divulgação deveria produzir.

Como o controle se mantém depois do primeiro ciclo

Levantar o processo de captação de dado de sustentabilidade uma vez, para decidir se divulga ou não sob o novo padrão, resolve o problema do primeiro ciclo. Não resolve o problema de forma permanente, porque a maior parte das variáveis de que a asseguração razoável depende muda ao longo do ano sem aviso — o mesmo padrão de deterioração que qualquer controle interno financeiro enfrenta quando ninguém tem a responsabilidade explícita de mantê-lo atualizado.

O ponto de ruptura mais comum é a mudança de metodologia de cálculo sem documentação da mudança. Uma empresa que recalcula sua emissão de carbono usando um fator de conversão atualizado, ou que passa a incluir uma nova unidade operacional no perímetro de consolidação do indicador de força de trabalho, cria uma quebra de série histórica que o auditor do ciclo seguinte precisa entender antes de aceitar o número como comparável ao ano anterior. Se ninguém documentar a mudança de metodologia no momento em que ela acontece, o auditor do próximo ciclo encontra uma inconsistência que parece erro, mesmo quando é apenas uma atualização metodológica legítima.

O segundo ponto de ruptura é rotatividade de pessoal em uma área que, na maior parte das empresas brasileiras de porte médio, ainda não tem função formal — sustentabilidade é frequentemente responsabilidade adicional de alguém em relações com investidores, jurídico ou RH, não um cargo dedicado com processo documentado de transição. Quando essa pessoa sai, o conhecimento tácito sobre de onde vem cada número, que planilha alimenta qual indicador e que premissa foi usada num cálculo específico costuma sair junto — e o ciclo de auditoria seguinte descobre a lacuna apenas quando pede a mesma evidência que o auditor do ano anterior já havia recebido.

O terceiro ponto, mais estrutural, é a entrada de nova exigência externa no meio do ano fiscal — um cliente relevante que passa a exigir relatório auditado como condição contratual, um investidor que adota critério de triagem ESG mais rígido depois que a companhia já havia decidido, no início do ano, não divulgar. Sem processo formal de revisão periódica da decisão de divulgar ou não, esse tipo de mudança de contexto só chega ao comitê de auditoria quando já é tarde para preparar a evidência dentro do prazo do exercício em curso.

A defesa contra os três pontos não exige estrutura sofisticada: manter um registro formal de metodologia — o critério exato usado para cada indicador, com data de qualquer alteração —, atribuir a responsabilidade pelo dado de sustentabilidade a um cargo específico, não a uma pessoa, e revisar em cadência fixa, ao menos semestral, se alguma pressão externa nova mudou o cálculo de custo-benefício da matriz de decisão apresentada acima. Isso custa uma fração do esforço de reconstruir a base de evidência do zero a cada ciclo — que é o que acontece, na prática, sempre que a responsabilidade pelo dado muda de mãos sem transição documentada.

O que fazer agora

Nenhum item dessa lista exige decisão imediata de divulgar. A maior parte é levantamento — descobrir, antes que a pressão externa ou o prazo de 2027 force a resposta, em que quadrante da matriz de decisão a empresa realmente está. O erro mais caro, observado em outras transições regulatórias parecidas, não é decidir errado entre divulgar e não divulgar — é chegar a 2027 sem ter feito o levantamento, e precisar decidir sob pressão de prazo, com informação incompleta sobre o próprio custo e a própria maturidade de controle.

O que fica sem resposta

A Resolução 244 e o Ofício Circular de setembro não resolvem, e não tentam resolver, a pergunta de quem vai auditar a asseguração razoável em escala. O Brasil tem um número limitado de firmas com prática consolidada de asseguração de sustentabilidade sob ISAE 3000 — a maior parte concentrada nas firmas Big Four e em algumas firmas de segundo nível com prática ESG dedicada.¹³ Se um número relevante de companhias abertas decidir divulgar voluntariamente sob o novo padrão, a capacidade instalada de asseguração razoável pode não acompanhar a demanda no curto prazo — o mesmo tipo de gargalo de capacidade que apareceu, em outros mercados, quando uma norma nova de asseguração entra em vigor antes de o mercado de prestadores de serviço se expandir para atendê-la.

Fica também sem resposta clara o que acontece com companhias que já haviam começado, sob a expectativa de obrigatoriedade a partir de 2026, a investir em controle interno sobre dado de sustentabilidade — e agora enfrentam a pergunta de se esse investimento continua justificado sob um regime voluntário.

A resposta mais defensável, dado o histórico de convergência regulatória internacional e a manutenção do arcabouço técnico completo pela CVM, é que sim: o comply or explain de 2027 e a pressão comercial crescente de contrapartes sujeitas a regimes mais rígidos tendem a tornar esse investimento necessário de qualquer forma, só que em um cronograma menos definido do que uma data legal fixa. Mas essa é uma leitura de tendência, não uma garantia — e é exatamente esse tipo de incerteza, sobre quando a pressão de fato se materializa, que separa quem usa o intervalo de 2026 para se preparar de quem trata a revogação da obrigatoriedade como sinal de que o assunto saiu da agenda.

Há ainda uma pergunta de fundo que nenhum dos textos analisados acima — nem a Resolução 244, nem o Ofício Circular de setembro, nem a cobertura jurídica sobre a mudança — responde de forma explícita: o que acontece se, daqui a dois ou três exercícios sociais, a proporção de companhias abertas que optam por divulgar cair abaixo de um patamar que a própria CVM considere insuficiente para os objetivos de comparabilidade que motivaram a Resolução 193 em 2023.

Nesse cenário, o caminho mais provável, a julgar pelo padrão de outras normas brasileiras de comply or explain que perderam adesão ao longo do tempo, não é o retorno abrupto à obrigatoriedade direta — é um endurecimento gradual do próprio dever de explicar, com exigência de conteúdo mínimo na justificativa ou algum mecanismo de comparação pública entre companhias que divulgam e companhias que não divulgam. Até lá, a régua que subiu em setembro para quem decide divulgar é o sinal mais concreto disponível sobre a direção que a CVM está tomando: não menos rigor técnico, apenas rigor aplicado a um grupo menor e mais seletivo de companhias.

Glossário

Asseguração limitada

Nível de verificação em que o auditor realiza procedimentos analíticos e entrevistas, mas não testes substantivos completos. A conclusão do auditor é redigida em forma negativa — “nada chegou ao nosso conhecimento que nos faça acreditar que as informações contêm distorção relevante” — porque o volume de evidência coletado é menor do que o exigido para uma opinião positiva.[^6]

Asseguração razoável

Nível de verificação equivalente, em rigor, ao de uma auditoria de demonstrações financeiras: testes substantivos, avaliação de controles internos sobre o processo que gera a informação, e evidência suficiente para que o auditor emita uma opinião positiva — “em nossa opinião, as informações estão apresentadas, em todos os aspectos relevantes, de acordo com o critério aplicável”. Exige volume de evidência e de horas de trabalho substancialmente maior que a asseguração limitada.[^6]

Comply or explain

Modelo regulatório em que a norma não obriga uma conduta específica, mas obriga a empresa a declarar publicamente se a adotou e, caso não tenha adotado, a justificar por quê. A CVM já aplica essa lógica a outras práticas de governança desde a década anterior; a novidade de 2026 é estendê-la à divulgação de informação de sustentabilidade.

ISSB e os padrões IFRS S1 e S2

O International Sustainability Standards Board é o órgão criado pela IFRS Foundation em 2021 para emitir padrões globais de divulgação de sustentabilidade. O IFRS S1 trata de requisitos gerais de divulgação de informação financeira relacionada à sustentabilidade; o IFRS S2, especificamente de divulgação relacionada ao clima. O Brasil foi, em outubro de 2023, o primeiro país a se comprometer formalmente a convergir sua norma nacional com esse padrão global.[^8]

Referências

1. ↑ Comissão de Valores Mobiliários. Resolução CVM nº 193, de 20 de outubro de 2023 (texto consolidado). CVM. 2023. consultar Acesso em 2026-09-12.
2. ↑ Comissão de Valores Mobiliários. Resolução CVM nº 244, de 29 de maio de 2026. CVM. 2026. consultar Acesso em 2026-09-12.
3. ↑ Comissão de Valores Mobiliários. CVM altera Resolução 193 para revogar obrigatoriedade da divulgação de informações financeiras relacionadas à sustentabilidade. CVM — Notícias. 2026. consultar Acesso em 2026-09-12.
4. ↑ IBRACON. Área técnica da CVM divulga Ofício Circular Anual sobre atuação do auditor contábil independente. Instituto dos Auditores Independentes do Brasil. 2026. consultar Acesso em 2026-09-12.
5. ↑ Conselho Federal de Contabilidade. CFC publica resolução que prevê adoção das NBCs de preparação e asseguração de Relatórios de Sustentabilidade. CFC. 2023. consultar Acesso em 2026-09-12.
6. ↑ International Auditing and Assurance Standards Board. ISAE 3000 (Revised), Assurance Engagements Other than Audits or Reviews of Historical Financial Information. IAASB. 2013. consultar Acesso em 2026-09-12.
7. ↑ IFRS Foundation. Brazil IFRS Profile. IFRS Foundation — Sustainability Jurisdiction Profiles. 2024. consultar Acesso em 2026-09-12.
8. ↑ IFRS Foundation. Brazil adopts ISSB global baseline, as IFRS Foundation Trustees meet in Latin America. IFRS Foundation — News. 2023. consultar Acesso em 2026-09-12.
9. ↑ Mattos Filho. CVM revoga obrigatoriedade de relatório financeiro de sustentabilidade e de clima. Mattos Filho Advogados. 2026. consultar Acesso em 2026-09-12.
10. ↑ Migalhas. Resolução CVM 244/26: Do dever obrigatório ao dever de explicar. Migalhas. 2026. consultar Acesso em 2026-09-12.
11. ↑ Protiviti. [ATENÇÃO] Entenda as Resoluções CVM 193 e CFC 1.710. Protiviti Brasil. 2023. consultar Acesso em 2026-09-12.
12. ↑ U.S. Securities and Exchange Commission. Rescission of Climate-Related Disclosure Rules. Federal Register. 2026. consultar Acesso em 2026-09-12.
13. ↑ Grant Thornton Brasil. Resolução CVM 193. Grant Thornton — Insights. 2023. consultar Acesso em 2026-09-12.