PCAOB: o que muda no §.10A da AS 1105

Até o fechamento do exercício fiscal de 2025, um extrato bancário em PDF anexado ao papel de trabalho do auditor valia como evidência quase por definição. O auditor conferia se o saldo batia com o razão da empresa e seguia adiante. De onde veio aquele PDF — se foi baixado do portal do banco pela própria empresa, se passou por um editor antes de virar anexo, se chegou direto do banco por um canal que o auditor nunca viu — raramente entrava no teste.

Isso mudou. Para exercícios fiscais iniciados em ou após 15 de dezembro de 2025, o parágrafo .10A da AS 1105 exige que o auditor faça duas coisas antes de aceitar qualquer informação eletrônica de origem externa que a empresa forneça: entender de onde ela vem e como a empresa a recebe, guarda e processa; e testar a própria informação, ou os controles que garantem que ela chegou íntegra.¹ Não é sugestão de boas práticas. É requisito de norma que rege auditorias de demonstrações financeiras de companhias listadas nos EUA — e, por extensão, de qualquer operação brasileira que entre no perímetro de uma auditoria PCAOB, direta ou como controlada de um grupo listado.

O que muda no parágrafo .10A

O texto da norma é curto e deliberadamente não prescritivo. Não diz quantas amostras testar, nem qual tecnologia usar. Diz que o auditor precisa (a) entender a origem da informação e o processo da empresa para recebê-la, mantê-la e processá-la, e (b) testar a informação em si ou os controles relevantes.¹ O staff do PCAOB descreve isso como teste em dois passos e é explícito ao dizer que ele é baseado em princípios e escalável — adaptável à tecnologia em uso, não amarrado a um checklist fixo.⁶

Na prática, isso desloca uma pergunta que já existia — “esse número está certo?” — para uma pergunta anterior: “esse número, do jeito que chegou até aqui, é confiável o suficiente para eu nem precisar perguntar se está certo?” A diferença parece sutil. Não é: a primeira pergunta é sobre o conteúdo; a segunda é sobre a cadeia que trouxe o conteúdo até a mesa do auditor.

A norma-base da AS 1105, anterior às emendas de 2024, já trazia uma hierarquia informal de confiabilidade: evidência de fonte externa costuma pesar mais que evidência gerada internamente; evidência obtida diretamente pelo auditor pesa mais que a fornecida pela empresa; documento original pesa mais que cópia.¹ O que faltava era um procedimento explícito para quando a evidência externa chegasse em formato eletrônico — que hoje é a norma, não a exceção. O §.10A não substitui essa hierarquia, a operacionaliza: diz, na prática, como um auditor confirma que um PDF baixado de um portal ainda carrega o peso de “evidência externa”, em vez de ter degradado, no caminho, para algo mais parecido com uma alegação da própria empresa.

Informação eletrônica externa

Dado que se origina fora da empresa auditada — banco, cartório, bureau de crédito, fornecedor, folha terceirizada — e chega ao auditor em formato eletrônico, seja direto do terceiro, seja via sistema da própria empresa.¹

O trade-off já aparece aqui, antes de qualquer implementação: o padrão não define o que é “testar os controles” com precisão suficiente para eliminar variação entre firmas de auditoria. Duas equipes podem testar a mesma integração bancária com profundidades completamente diferentes e as duas estarem tecnicamente em conformidade. Isso é bom para adaptação — a norma não trava a cada mudança de tecnologia — e ruim para previsibilidade — a empresa auditada não sabe de antemão quanto esforço vai ser cobrado dela até a equipe de campo decidir.

De onde veio essa exigência

O parágrafo .10A não nasceu isolado. Ele é parte de um pacote de emendas às normas AS 1105 (Evidência de Auditoria) e AS 2301 (Resposta do Auditor aos Riscos de Distorção Relevante), adotado pelo PCAOB em 12 de junho de 2024. O objetivo declarado do pacote era dar mais clareza sobre a responsabilidade do auditor ao usar análise assistida por tecnologia — a mesma tendência que levou auditorias a depender, ano após ano, de mais extração automatizada de dados de ERPs, reconciliações por script e dashboards de risco.³ A Comissão de Valores Mobiliários dos EUA (SEC) homologou o pacote ainda em 2024, formalizando-o como parte do corpo de normas que rege auditores de companhias abertas.⁴

Entre a aprovação e a aplicação prática, o PCAOB interpôs dois documentos de apoio. Em 18 de setembro de 2025, publicou uma declaração de política do board especificamente sobre como avaliar a confiabilidade de informação eletrônica externa fornecida pela empresa.⁵ Em 1º de outubro de 2025, o corpo técnico (Office of the Chief Auditor) divulgou orientação com exemplos ilustrativos de aplicação do §.10A — o tipo de documento que normalmente sinaliza que o regulador está antecipando dúvida de implementação em massa.⁶⁷

15 dez 2025

A raiz mais antiga da AS 1105 remonta à codificação de normas do PCAOB de 2015, quando o board reorganizou o corpo herdado de normas de auditoria sob a nomenclatura AS que existe hoje. Até 2024, o texto tratava evidência de forma genérica — hierarquia de confiabilidade, suficiência, relevância — sem endereçar de modo específico o cenário em que a maior parte da evidência hoje chega: arquivo eletrônico, gerado por sistema, muitas vezes sem contraparte em papel. As emendas de 2024 não reescreveram a norma inteira; inseriram parágrafos pontuais — entre eles o .10A — para cobrir esse ponto cego sem alterar a estrutura geral que os auditores já conheciam.¹³

Uma companhia de capital de ano-calendário (exercício fiscal encerrado em 31 de dezembro) que fechou 2025 no dia 31 de dezembro ainda operou sob a regra antiga durante o ano inteiro. O primeiro ciclo de auditoria realmente sujeito ao §.10A é o de 2026, sendo executado agora. Isso importa para o momento deste artigo: não é uma norma distante em fase de consulta pública, como o perfil de infraestrutura crítica que o NIST começou a desenhar em abril — é uma norma em aplicação real, e a primeira rodada de auditorias sob ela ainda está sendo conduzida.

O que conta — e o que não conta — como “informação eletrônica externa”

O ponto mais fácil de errar na leitura do §.10A é achar que ele cobre qualquer dado eletrônico que a empresa entrega ao auditor. Não cobre. O texto é específico: informação que se origina fora da empresa e chega em formato eletrônico.¹ Um relatório gerado inteiramente dentro do ERP da própria empresa — uma consolidação, um razão auxiliar, um relatório de estoque — não é “informação externa” só por ser eletrônico. Ele continua sob o guarda-chuva mais amplo de AS 1105 e sob o teste de controles gerais de TI que já existia antes das emendas de 2024.

Onde a linha fica interessante é no meio do caminho: um extrato bancário que a empresa baixa do portal do banco e anexa ao processo de conciliação é informação externa, mesmo que o arquivo em si tenha passado pelo sistema interno antes de chegar ao auditor. A origem — o banco — não muda porque o dado atravessou um sistema da empresa no caminho. É justamente esse trecho do caminho, entre a origem externa e a entrega ao auditor, que o §.10A pede para examinar.

A conta acima (12 de 40, 30%) é aritmética simples sobre um cenário hipotético, apresentado como hipótese — não é benchmark de nenhuma empresa real. O ponto que ela ilustra é real: o §.10A não pede para testar toda integração eletrônica da empresa, pede para mapear quais delas efetivamente desembocam em número reportado, e é aí que o esforço de auditoria deveria se concentrar.

Existe uma zona cinzenta que a orientação do staff não fecha por completo: dado hospedado por um provedor terceiro, mas operado como extensão do próprio sistema da empresa — uma folha de pagamento em SaaS, por exemplo, em que a empresa insere os dados e o provedor só processa e devolve. A origem do número bruto (quantas horas um funcionário trabalhou, qual o salário-base) é interna; o processamento (cálculo de encargos, geração de holerite) é externo.

Nesses casos, a leitura mais defensável é olhar para qual etapa concentra o risco de distorção: se o risco está no processamento — a fórmula de cálculo de encargos, por exemplo —, o dado de saída se torna, para efeito prático, informação de origem externa, porque a empresa não controla a lógica que produziu o número. Se o risco está no dado de entrada — horas lançadas errado —, o problema é interno e cai fora do escopo específico do §.10A, mesmo que o número final tenha passado por um sistema de terceiro no meio do caminho.

Uma segunda zona cinzenta, mais comum em grupos brasileiros com estrutura societária complexa, é o dado que vem de uma parte relacionada — a controladora enviando taxa de câmbio usada para consolidar uma controlada, ou uma coligada informando o saldo de uma conta corrente intercompany. Formalmente, esse dado atravessa a fronteira da empresa auditada: vem de fora do CNPJ que está sendo auditado. Mas ele não carrega a independência que dá à evidência externa seu peso na hierarquia de confiabilidade de AS 1105 — porque quem gerou o número, a parte relacionada, tem o mesmo interesse econômico que a empresa auditada em como aquele número aparece no balanço consolidado.¹

A orientação do staff não fecha esse caso com uma regra específica, mas o princípio geral da hierarquia de evidência aponta o caminho: dado de parte relacionada é tecnicamente externo, mas deveria ser tratado com o ceticismo que a norma reserva para evidência sem independência, não com o alívio que o §.10A concede a extrato de banco ou confirmação de cartório. Na prática, isso significa que mapear canal e controle de acesso — os dois primeiros passos do teste do §.10A — não basta quando a fonte é parte relacionada; o auditor ainda precisa buscar confirmação de um terceiro genuinamente independente, o que o texto do parágrafo não torna explícito e a empresa não deveria presumir dispensado.

Teste de detalhes

Procedimento pelo qual o auditor examina itens individuais de uma população — uma transação, um saldo, um documento — em vez de confiar exclusivamente em controles. A emenda de 2024 realocou a descrição desse conceito do texto de AS 1105 para o novo parágrafo .48 de AS 2301, deixando explícito que investigar um item identificado por análise assistida por tecnologia também conta como resposta a risco.²³

A cadeia de custódia, camada por camada

O §.10A não fala em “cadeia de custódia” — esse é vocabulário de perícia, não de auditoria financeira. Mas o mecanismo que ele exige é exatamente esse: rastrear um dado desde a origem até o momento em que vira evidência, e poder demonstrar que nada relevante mudou nesse trajeto sem registro.

Cada camada tem um jeito diferente de falhar. Na fonte externa, o risco é o terceiro mudar o dado depois de enviado — um banco que reprocessa um extrato, um fornecedor que reemite uma nota. No canal de transmissão, o risco é a perda de garantia de integridade: um e-mail com anexo não prova, por si, que o anexo é o que o remetente enviou. No sistema interno, o risco clássico é a planilha editável — um arquivo que qualquer pessoa com acesso pode alterar sem deixar rastro de quem mudou o quê. No controle de acesso, o risco é a ausência de log, ou um log que existe mas que também pode ser editado, o que o torna inútil como prova.

Essa arquitetura de camadas não é conceito novo — é a estrutura clássica de controle interno aplicada a um caso específico. A fonte externa e o canal de transmissão correspondem ao componente de avaliação de risco: a empresa precisa reconhecer que um dado de fora carrega um risco diferente de um dado gerado internamente. O sistema interno e o controle de acesso correspondem a atividades de controle. O log corresponde a informação e comunicação — o registro que permite que alguém, além de quem operou o sistema no momento, reconstrua o que aconteceu. E a entrega ao auditor, no fim da cadeia, é onde o componente de monitoramento é testado de fato: alguém de fora da operação consegue verificar, sem depender da palavra de quem processou o dado.¹² O §.10A não inventa um sexto componente de controle interno. Torna testável, num ponto específico, um componente que a estrutura de controle interno consolidada em 2013 já descrevia em termos gerais.

Cadeia de custódia da evidência

Registro contínuo de quem teve acesso a um dado, quando, e o que fez com ele, desde a origem até o uso final. Sem esse registro, não é possível provar que um dado não foi alterado no caminho — só presumir.

WORM

Write Once, Read Many — formato de armazenamento que permite gravar um dado uma única vez e, depois disso, impede sobrescrita ou exclusão pelo período de retenção definido. É o requisito histórico da SEC para registros eletrônicos de corretoras sob a Regra 17a-4; desde 2022, a mesma regra aceita como alternativa um sistema de trilha de auditoria que permita reconstituir qualquer registro modificado ou apagado.⁹

A analogia com 17a-4 não é forçada: é o mesmo problema em outro canto da regulação financeira dos EUA. A SEC passou 25 anos exigindo WORM puro para corretoras — a Regra 17a-4(f) é de 1997 — e, em 2022, aceitou que uma trilha de auditoria robusta — que prova o que mudou, quando e por quem — resolve o mesmo objetivo sem exigir hardware específico.⁹ O PCAOB, ao escrever o §.10A de forma “baseada em princípios”, está deixando a mesma porta aberta: não importa se a empresa usa WORM literal ou uma trilha de auditoria equivalente, importa se ela consegue provar que o dado não foi alterado sem registro entre a origem e a entrega.

O NIST já havia formalizado, ainda em 2006, o que uma infraestrutura de log precisa garantir para sustentar esse tipo de prova: retenção por tempo suficiente, proteção contra alteração e capacidade de correlacionar eventos entre sistemas diferentes.¹¹ Duas décadas depois, essa é literalmente a lista de verificação que sustenta a segunda perna do §.10A — só que agora com consequência direta sobre o parecer de auditoria, não apenas sobre a postura de segurança da informação.

Controle geral de TI (ITGC)

Controles que não são específicos de um processo de negócio, mas que sustentam a confiabilidade de todos os sistemas que processam informação financeira — gestão de acesso, gestão de mudança, operações de backup e continuidade. É a camada que, historicamente, a auditoria financeira já testava; o §.10A não a substitui, apenas aponta um recorte dela (dado de origem externa) para teste explícito e documentado.

O trade-off: padrão flexível, teste inconsistente

Esse mesmo mês em que o §.10A completa seu primeiro ciclo real de aplicação, o PCAOB também finalizou uma reforma separada — QC 1000, sobre o sistema de controle de qualidade das próprias firmas de auditoria, com efetividade prevista para 15 de dezembro.⁸ São normas de naturezas diferentes: QC 1000 regula a firma de auditoria por dentro; o §.10A regula o que a firma aceita como prova vinda da empresa auditada. Mas as duas nascem do mesmo diagnóstico regulatório — inconsistência de execução entre engajamentos — e a combinação das duas é o que deveria, com o tempo, reduzir a variação de rigor entre auditores que hoje é o maior ponto fraco do desenho “baseado em princípios”.

É razoável esperar — embora o PCAOB não tenha, até este ciclo, publicado achado de inspeção específico sobre o §.10A, já que o primeiro ano de aplicação plena ainda está em curso — que a variação de profundidade de teste entre firmas apareça nos próximos relatórios de inspeção do board como tema recorrente, do mesmo jeito que aconteceu com outras normas baseadas em princípio nos anos seguintes à adoção. Até lá, a melhor defesa de uma empresa auditada não é adivinhar o padrão que seu auditor vai aplicar, é deixar a cadeia de custódia documentada bem o suficiente para que qualquer padrão razoável de teste a aprove sem retrabalho.

A objeção mais comum de quem paga a conta é direta: se o padrão não define profundidade mínima de teste, o que garante que o esforço adicional cobrado da empresa auditada compra redução de risco real, e não apenas mais horas faturadas sob uma norma nova? A resposta não é confortável, mas é honesta: nada garante isso, caso a caso. O que empurra na direção certa, na média, é o mecanismo de incentivo por trás da norma — a inspeção do PCAOB sobre o trabalho do próprio auditor. Uma firma que testa superficialmente e documenta mal corre o risco de ter aquele engajamento específico revisado num ciclo de inspeção do board, com achado publicado e reputação exposta; essa é a pressão que, historicamente, move o comportamento de firmas de auditoria mais do que o texto literal da norma.

O limite dessa resposta é que a inspeção do PCAOB é amostral — cobre uma fração dos engajamentos de cada firma a cada ano — e o §.10A é recente demais para já ter gerado achado publicado que sirva de termômetro. Até que a primeira rodada de inspeções específicas sobre o §.10A saia, a empresa auditada não tem como verificar de fora se o esforço cobrado dela está calibrado ou inflado.

A defesa prática, para quem não quer depender de confiar no auditor, é a mesma sugerida acima: documentar a cadeia de custódia bem o suficiente para que o teste — seja qual for a profundidade que o auditor escolher aplicar — encontre evidência pronta em vez de precisar reconstruí-la em campo, o que reduz horas faturadas independentemente de qual leitura da norma prevalecer no engajamento.

O gargalo que aparece depois de resolver o problema de origem do dado não é hipotético — já foi documentado. Em um dos primeiros pilotos de auditoria contínua registrados na literatura acadêmica, pesquisadores da Rutgers implementaram monitoramento contínuo de controles de processo de negócio na Siemens e descobriram que o obstáculo real não era captar o dado automaticamente, mas manter a definição dos controles testados estável o suficiente para que a comparação ano a ano continuasse significando algo.¹⁰ Automatizar a coleta de evidência resolve um problema de esforço; não resolve o problema de a empresa mudar processo, sistema ou fornecedor no meio do caminho e a base de comparação virar outra coisa sem ninguém formalizar a mudança. É o mesmo gargalo, vinte anos depois: o §.10A força melhor rastreabilidade de origem, mas rastreabilidade não é o mesmo que estabilidade de definição.

Quanto esforço isso pede, e de quem

O §.10A não vem com orçamento de horas anexado, mas o esforço de atendê-lo não se distribui igual entre integrações. Uma forma prática de priorizar é cruzar dois eixos: quanto a integração pesa no relatório financeiro (impacto) e quanto trabalho falta para deixar a cadeia de custódia demonstrável (esforço).

A leitura útil dessa matriz não é “resolver tudo”, é decidir onde o primeiro ciclo de auditoria sob a norma nova vai gastar tempo. O quadrante de esforço alto e impacto alto — extrato bancário via portal, que ainda alimenta conta relevante — é onde vale investir em mudança de processo real: trocar exportação manual por confirmação eletrônica direta, se o banco oferecer, ou formalizar o controle de acesso ao arquivo entre download e uso. O quadrante de esforço alto e impacto baixo é onde a resposta racional costuma ser aceitar mais teste de detalhes pontual em vez de redesenhar processo — o custo de mudar a arquitetura não se paga pelo tamanho da conta que ela alimenta.

Para dar peso concreto a essa priorização, vale rodar a conta sobre o cenário hipotético das 12 integrações relevantes apresentado antes. Suponha, como premissa de trabalho, que dessas 12, quatro já operam com confirmação eletrônica direta do banco ou fornecedor (quadrante si — 1 hora adicional cada, só para formalizar o teste), seis chegam por extrato exportado manualmente de portal (quadrante sd — 6 horas adicionais cada, para mapear canal, testar controle de acesso e rodar teste de detalhe extra) e duas vêm de planilha de consolidação alimentando conta pequena (quadrante id — 3 horas adicionais cada, teste pontual sem redesenho de processo).

A soma: 4×1 + 6×6 + 2×3 = 46 horas adicionais de auditoria só para atender ao §.10A neste ciclo. A uma tarifa média de R$ 450 por hora de auditoria — premissa igualmente contestável, que varia por porte de firma e complexidade —, isso equivale a R$ 20.700 de custo adicional direto, sem contar o tempo interno da empresa para levantar e organizar a documentação que o auditor vai pedir.

Essa conta muda de forma não linear conforme o porte da operação, e é aí que a priorização por matriz encontra seu limite — ela assume que o custo por integração é constante, o que só vale dentro de uma mesma faixa de porte. O próximo bloco detalha por quê.

Essa lógica de priorização tem um limite que vale declarar: ela pressupõe que a empresa já sabe, linha por linha, quais integrações alimentam quais contas — o primeiro item do checklist mais abaixo. Empresas que nunca mapearam essa relação não têm como aplicar a matriz até fazer esse levantamento primeiro. Nesse sentido, a matriz de priorização é o segundo passo, não o primeiro; o primeiro é descobrir que o mapa nem existe.

O que muda por porte de operação

O cálculo acima — 46 horas para 12 integrações, 3,83 horas em média por integração — vale para uma operação de porte médio. Ele não escala de forma linear para cima nem para baixo, porque o que determina o custo por integração não é o número de integrações, é se a empresa já tem infraestrutura de log reaproveitável entre uma integração e outra.

Uma empresa pequena, com três integrações relevantes e nenhum sistema de log corporativo pré-existente, tende a pagar mais por integração — nesta estimativa, 8 horas cada, porque cada teste começa do zero, sem processo ou ferramenta reaproveitável de uma integração para a próxima.

Uma operação grande, com 30 integrações relevantes mas já operando um sistema de gestão de log centralizado (SIEM) que cobre a maior parte delas, tende a pagar menos por integração depois das primeiras — 6 horas para as cinco primeiras, enquanto a metodologia de teste é validada, caindo para 2 horas nas 25 seguintes, porque a infraestrutura de evidência já está construída e só precisa ser replicada. O total: 80 horas para 30 integrações, ou 2,67 horas por integração — menos que as 3,83 da operação média e bem menos que as 8 da pequena. Se a operação grande escalasse linearmente a partir da média das 12 integrações (46 horas ÷ 12 × 30), o total seria 115 horas; a diferença de 35 horas — R$ 15.750, na mesma tarifa de R$ 450 — é o valor concreto que a economia de escala de infraestrutura de log compra.

O cálculo mostra o efeito de escala sobre horas de teste, mas o porte da empresa auditada muda mais do que a conta de horas — muda quem faz o trabalho de preparação e com que margem de erro. Empresas pequenas e médias, tipicamente sem função de auditoria interna dedicada, costumam enfrentar o §.10A com a mesma pessoa que já acumula controladoria, TI e relacionamento com o auditor externo — o que significa que o levantamento de canal, log e controle de acesso compete por tempo com o fechamento mensal, não é atividade isolada com orçamento próprio.

O risco prático não é técnico, é de sequenciamento: a empresa só descobre que uma integração não tem log suficiente quando o auditor já está em campo pedindo evidência, e nesse ponto não há tempo de corrigir o processo antes do parecer sair — só de aceitar mais teste de detalhe, que é mais caro e mais lento do que ter o controle desenhado com antecedência.

Empresas maiores, com função de auditoria interna e comitê de auditoria estatutário ativo, têm a vantagem inversa: conseguem antecipar o levantamento antes do auditor externo pedir, porque já têm gente cuja função é justamente essa. A desvantagem é volume — uma operação com 30 ou 40 integrações relevantes tem mais superfície para mapear, e erro de escopo, deixar uma integração relevante fora do mapeamento, é mais fácil de acontecer quanto maior a lista.

Há ainda uma diferença ligada a quem audita. Firmas Big Four, que concentram a maior parte dos engajamentos de emissores acelerados grandes, tendem a ter metodologia proprietária já adaptada ao §.10A — ferramentas internas de mapeamento de integração, templates de teste — porque o custo de desenvolver isso se dilui em centenas de engajamentos. Firmas regionais ou de segundo nível, mais comuns em emissores menores e não acelerados, frequentemente aplicam o mesmo princípio da norma com metodologia mais artesanal — o que não é necessariamente pior tecnicamente, mas costuma significar mais idas e vindas com a empresa auditada até a evidência ficar no formato que o time de campo aceita, porque não existe um processo padronizado testado em dezenas de clientes anteriores.

Isso não é vantagem automática do porte grande. A mesma escala que reduz custo marginal de teste, quando a infraestrutura de log é boa, amplifica o custo quando não é: uma empresa grande que ainda depende de planilha e e-mail para boa parte de suas 30 integrações paga a conta dos dois lados — mais integrações para testar e nenhuma economia de escala para compensar.

Manutenção do controle nos 12 meses seguintes

Levantar a cadeia de custódia uma vez, para o primeiro ciclo de auditoria sob o §.10A, resolve o problema desse ciclo. Não resolve o problema de forma permanente, porque a maior parte das variáveis de que o teste depende muda ao longo do ano sem aviso.

O caso mais comum é o fornecedor trocar de canal sem avisar com antecedência suficiente — um banco que migra de exportação manual para open banking, um bureau de crédito que descontinua um formato de arquivo e passa a exigir integração via webhook. Cada mudança dessas reabre a pergunta que o auditor já tinha fechado no ciclo anterior: o canal mudou, então o mapeamento de canal, controle de acesso e log documentado no ciclo passado não descreve mais o processo real. Se ninguém dentro da empresa tem a responsabilidade explícita de atualizar esse mapeamento quando o canal muda, o auditor do ciclo seguinte encontra uma cadeia de custódia desatualizada — o que, na prática, equivale a não ter cadeia de custódia nenhuma para aquela integração, porque o documento existente não corresponde ao processo em uso.

O segundo ponto de ruptura é integração nova. Uma empresa que contrata um novo fornecedor de folha, abre conta em um banco adicional ou adota um novo bureau de crédito no meio do ano fiscal cria uma integração que não estava no mapeamento original — e, sem processo formal de inclusão, ela só aparece para o time de auditoria quando alguém, em campo, pergunta de onde veio um número que não bate com o que foi testado no ciclo anterior. O ponto de controle mais barato para isso não é auditoria, é compras: toda contratação de fornecedor que vai alimentar dado financeiro deveria disparar, automaticamente, a entrada dele no inventário de integrações — o mesmo inventário que o checklist mais abaixo pede para levantar da primeira vez.

O terceiro ponto, mais difícil de prevenir com processo, é rotatividade de pessoal. A pessoa que sabe, de memória, que a conciliação bancária de determinada filial ainda depende de PDF baixado manualmente — porque a integração automática prometida pelo banco nunca saiu do papel — costuma ser a mesma pessoa que faz a conciliação, não alguém com título de compliance. Quando essa pessoa sai da empresa, o conhecimento tácito sai junto, e o ciclo de auditoria seguinte descobre a lacuna do zero, sem aviso.

A defesa contra os três pontos de ruptura não é sofisticada: manter o inventário de integrações como documento vivo, de propriedade formal de um cargo, revisado em cadência fixa, não apenas quando o auditor externo pede. Uma cadência trimestral de revisão — confirmar que cada integração relevante ainda usa o canal documentado, que o controle de acesso não mudou e que nenhuma integração nova ficou de fora — custa uma fração das 46 horas calculadas acima para o levantamento completo, porque atualiza incrementalmente em vez de reconstruir do zero a cada ciclo de auditoria. É a diferença entre manter um mapa atualizado e redesenhar o mapa inteiro toda vez que alguém pergunta onde fica alguma coisa.

O que isso significa para quem não é auditado pelo PCAOB

A maioria das empresas brasileiras de médio porte não está sob jurisdição do PCAOB. Auditoria independente de companhia aberta no Brasil segue a Resolução CVM 80, que atribui ao comitê de auditoria estatutário competência sobre controles internos e sobre a contratação do auditor independente, mas segue trilha normativa própria, não o corpo de normas do PCAOB.¹³ Três situações, porém, trazem o §.10A para dentro do perímetro brasileiro, direta ou por analogia:

Primeira: subsidiárias brasileiras de grupos listados nos EUA entram no escopo de consolidação da matriz, e os papéis de trabalho levantados aqui alimentam uma auditoria regida pelo PCAOB — mesmo que o auditor local não seja PCAOB-registrado, ele frequentemente trabalha como componente auditor sob instrução de quem é.

Segunda: empresas brasileiras em processo de IPO cross-border, ou que carregam dívida registrada nos EUA (bonds 144A, por exemplo), entram no mesmo perímetro pela via do registro de valores mobiliários, não da listagem em bolsa.

Terceira — e essa é a que vale para quem não tem nenhuma exposição direta aos EUA: o mecanismo do §.10A é bom o suficiente para copiar independentemente da jurisdição. A pergunta “esse dado eletrônico, que veio de fora, chegou até aqui sem alteração não registrada?” não é uma pergunta específica de norma americana. É uma pergunta que qualquer comitê de auditoria brasileiro deveria estar fazendo sobre extrato bancário, confirmação de fornecedor ou dado de bureau de crédito que alimenta uma linha do balanço — com ou sem PCAOB no meio.

A Resolução CVM 80 não é norma de evidência de auditoria — não dita o que conta como prova confiável, esse é papel das normas técnicas de auditoria adotadas por convergência com as normas internacionais. O que a Resolução CVM 80 faz é outra coisa: define a competência do comitê de auditoria estatutário, incluindo conhecimento de controles internos e procedimentos de contabilidade societária, e a atribuição de opinar sobre a contratação do auditor independente.¹³ Isso cria uma trilha de responsabilidade diferente da americana: nos Estados Unidos, o §.10A instrui diretamente o auditor sobre o que testar; no Brasil, uma exigência equivalente — se um comitê de auditoria decidir cobrar de forma consistente — nasceria de dentro da própria empresa, por decisão do comitê, não de imposição direta do órgão regulador sobre o trabalho técnico do auditor.

Há uma exceção parcial a essa leitura, mais recente que o §.10A e fora do escopo de controles internos financeiros: a Resolução CVM 244, ao tornar voluntária a divulgação de dado de sustentabilidade, elevou diretamente — por ofício circular, não por iniciativa de comitê de auditoria — o padrão de evidência que o auditor independente registrado na CVM precisa aplicar a quem optar por divulgar. É a mesma lógica do §.10A, testar a origem do dado em vez de aceitar o número pronto, só que aplicada a emissão de carbono e indicador de força de trabalho em vez de extrato bancário, e imposta de cima para baixo em vez de nascer de decisão interna do comitê.

Essa diferença de desenho regulatório tem consequência prática: uma empresa brasileira sem exposição a auditoria PCAOB não vai receber, de fora, uma exigência equivalente ao §.10A tão cedo. Se quiser o mesmo padrão de rastreabilidade — e há razão de negócio para querer, independentemente de norma, porque reduz retrabalho em qualquer auditoria e serve de base para due diligence em operação de fusão e aquisição —, o comitê de auditoria ou a diretoria financeira precisa pedir isso por iniciativa própria. Norma de fora tende a chegar ao Brasil primeiro pela via indireta: exigência de investidor internacional, cláusula contratual de cliente estrangeiro, ou due diligence de fundo que já opera sob esse padrão em outras posições do portfólio — não por imposição direta do regulador local.

Nenhum item dessa lista exige comprar ferramenta nova. A maior parte é levantamento de processo — descobrir, para cada integração que alimenta o relatório financeiro, se alguém consegue responder às seis perguntas acima hoje, sem pesquisa. Nas operações que já passaram por isso, o padrão mais comum não é ausência total de controle, é controle que existe mas não está documentado de um jeito que alguém de fora consiga verificar sem entrevistar a pessoa certa. O §.10A não exige perfeição de arquitetura. Exige que a empresa consiga mostrar o caminho do dado, não apenas o dado no final dele. É esse mapeamento — canal, log, controle de acesso — que uma auditoria independente de sistemas críticos testa na prática, com ou sem PCAOB no perímetro.

O que o §.10A pede de cada tipo de evidência eletrônica externa

Tipo de evidência	Como costuma chegar	O que o auditor testa
Extrato bancário	Exportado manualmente do portal do banco em PDF	Se o PDF bate com confirmação independente do banco, e quem pôde editá-lo antes da entrega
Confirmação de terceiro	Enviada direto do banco ou fornecedor ao auditor, por canal próprio	A confiabilidade do canal em si — geralmente mais barato de testar, porque não passa pelo sistema da empresa
Dado via API	Integração direta entre o sistema do terceiro e o ERP da empresa	Os controles de acesso e integridade da integração, não o dado isolado
Planilha de consolidação	Editável, alimentada manualmente a partir de várias fontes	O processo humano por trás — quem lança, quem revisa, se há trilha de quem mudou o quê

A linha da confirmação de terceiro é a mais barata das quatro, e não por acaso: quando o dado nunca passa pelo sistema da empresa, boa parte da cadeia de custódia que o auditor teria que reconstruir simplesmente não existe como risco. É por isso que confirmações eletrônicas diretas — banco para auditor, sem intermediação da empresa — tendem a crescer como resposta de mercado ao §.10A: não porque sejam exigidas pela norma, mas porque encurtam a camada de custódia que precisa ser provada.

Isso também mostra o limite da norma. O §.10A não obriga ninguém a redesenhar processo de conciliação bancária. Ele só torna mais caro, em horas de auditoria, manter processos onde a origem do dado não pode ser demonstrada de forma direta. Para empresas com arquitetura de integração já madura — dado entrando por API, com log de acesso e política de retenção real — o efeito prático deve ser pequeno: o auditor testa os controles existentes e segue. Para quem ainda opera com planilha alimentada manualmente e PDF salvo em pasta compartilhada, o efeito é maior volume de teste de detalhes, porque não há controle para testar no lugar do dado.

O que fica sem resposta

O §.10A não resolve, e não tenta resolver, o problema de dado gerado inteiramente dentro da empresa por julgamento humano — uma provisão, uma estimativa contábil, uma reclassificação. Esse continua sendo o núcleo mais difícil de qualquer auditoria financeira, e nenhuma norma sobre confiabilidade de dado eletrônico externo muda isso. O parágrafo também não define, em nenhum lugar, um limiar mínimo de teste — o que significa que a variação de rigor entre firmas, mencionada acima, é uma característica permanente do desenho da norma, não um bug a ser corrigido em uma próxima emenda. Quem espera que o PCAOB feche essa lacuna com prescrição mais detalhada provavelmente vai esperar mais alguns anos: o histórico recente do board é de dar preferência a orientação interpretativa (policy statement, staff guidance) em vez de reabrir o texto da norma.

Fica também sem resposta clara o que acontece quando a origem externa do dado é, ela mesma, um sistema automatizado sem intervenção humana — cotação de mercado em tempo real, por exemplo, ou score de crédito calculado por modelo. Testar “o processo da empresa para receber, manter e processar” presume que existe processo humano para entender; quando a cadeia inteira é máquina falando com máquina, o objeto do teste muda de natureza, e nem a orientação do staff nem a declaração de política do board tratam esse caso em detalhe.⁵⁶ É provável que seja o próximo ponto cego a ganhar exemplo ilustrativo, pela mesma lógica que fez o §.10A nascer para cobrir o ponto cego anterior.

Glossário

Cadeia de custódia da evidência

Registro contínuo de quem teve acesso a um dado, quando, e o que fez com ele, desde a origem até o uso final. Sem esse registro, não é possível provar que um dado não foi alterado no caminho — só presumir.

Controle geral de TI (ITGC)

Controles que não são específicos de um processo de negócio, mas que sustentam a confiabilidade de todos os sistemas que processam informação financeira — gestão de acesso, gestão de mudança, operações de backup e continuidade. É a camada que, historicamente, a auditoria financeira já testava; o §.10A não a substitui, apenas aponta um recorte dela (dado de origem externa) para teste explícito e documentado.

Informação eletrônica externa

Dado que se origina fora da empresa auditada — banco, cartório, bureau de crédito, fornecedor, folha terceirizada — e chega ao auditor em formato eletrônico, seja direto do terceiro, seja via sistema da própria empresa.[^1]

Teste de detalhes

Procedimento pelo qual o auditor examina itens individuais de uma população — uma transação, um saldo, um documento — em vez de confiar exclusivamente em controles. A emenda de 2024 realocou a descrição desse conceito do texto de AS 1105 para o novo parágrafo .48 de AS 2301, deixando explícito que investigar um item identificado por análise assistida por tecnologia também conta como resposta a risco.[^2][^3]

WORM

Write Once, Read Many — formato de armazenamento que permite gravar um dado uma única vez e, depois disso, impede sobrescrita ou exclusão pelo período de retenção definido. É o requisito histórico da SEC para registros eletrônicos de corretoras sob a Regra 17a-4; desde 2022, a mesma regra aceita como alternativa um sistema de trilha de auditoria que permita reconstituir qualquer registro modificado ou apagado.[^9]

Referências

1. ↑ PCAOB. AS 1105: Audit Evidence. Public Company Accounting Oversight Board. 2024. consultar Acesso em 2026-09-11.
2. ↑ PCAOB. AS 2301: The Auditor's Responses to the Risks of Material Misstatement. Public Company Accounting Oversight Board. 2024. consultar Acesso em 2026-09-11.
3. ↑ PCAOB. PCAOB Updates Its Standards To Clarify Auditor Responsibilities When Using Technology-Assisted Analysis. Public Company Accounting Oversight Board. 2024. consultar Acesso em 2026-09-11.
4. ↑ U.S. Securities and Exchange Commission. Order Approving Proposed Rules on Amendments Related to Aspects of Designing and Performing Audit Procedures Involving Technology-Assisted Analysis. SEC Release No. 34-100430; File No. PCAOB-2024-03. 2024. consultar Acesso em 2026-09-11.
5. ↑ PCAOB. PCAOB Posts Board Policy Statement on Evaluating the Reliability of External Electronic Information Provided by the Company. Public Company Accounting Oversight Board. 2025. consultar Acesso em 2026-09-11.
6. ↑ PCAOB Office of the Chief Auditor. Staff Guidance: Examples of Evaluating the Reliability of External Information Provided by the Company in Electronic Form. Public Company Accounting Oversight Board. 2025. consultar Acesso em 2026-09-11.
7. ↑ Journal of Accountancy. PCAOB publishes guidance related to Audit Evidence amendments. Journal of Accountancy. 2025. consultar Acesso em 2026-09-11.
8. ↑ Journal of Accountancy. PCAOB finalizes simplified quality control amendments. Journal of Accountancy. 2026. consultar Acesso em 2026-09-11.
9. ↑ U.S. Securities and Exchange Commission. Electronic Recordkeeping Requirements for Broker-Dealers. SEC Release No. 34-96034. 2022. consultar Acesso em 2026-09-11.
10. ↑ M. Alles; G. Brennan; A. Kogan; M. A. Vasarhelyi. Continuous monitoring of business process controls: A pilot implementation of a continuous auditing system at Siemens. International Journal of Accounting Information Systems. 2006. consultar Acesso em 2026-09-11.
11. ↑ K. Kent; M. Souppaya. Guide to Computer Security Log Management. NIST Special Publication 800-92. 2006. consultar Acesso em 2026-09-11.
12. ↑ Committee of Sponsoring Organizations of the Treadway Commission (COSO). Internal Control. COSO — Internal Control-Integrated Framework. 2013. consultar Acesso em 2026-09-11.
13. ↑ Comissão de Valores Mobiliários. Resolução CVM 80 (texto consolidado). CVM. 2022. consultar Acesso em 2026-09-11.