PORTARIA Nº 3.113, DE 19 DE SETEMBRO DE 2025 (parte 2 de 2)

ANEXO ÚNICO
Deliberação CCCI nº 03/2025: Uso de Inteligência Artificial (IA) pelas Unidades
de Auditoria Interna Governamental (UAIG)
A Comissão de Coordenação de Controle Interno, no uso das competências
conferidas pelo art. 23 da Lei nº 10.180, de 6 de fevereiro de 2001, e pelo art. 3º do
Regimento Interno, aprovado pela Portaria CGU nº 1.028, de 22 de abril de 2015,
Considerando:
a) a necessidade de promover maior eficiência na atividade de auditoria interna
governamental, por meio da incorporação de tecnologias emergentes que permitam
ganhos de escala e precisão nas análises;
b) o potencial das ferramentas de inteligência artificial para automatizar
processos repetitivos, identificar padrões complexos em grandes volumes de dados e
apoiar a tomada de decisão baseada em evidências;
c) a Portaria Normativa CGU nº 38, de 16 de dezembro de 2022, a qual define,
no art. 24, como uma das competências da Secretaria Federal de Controle Interno "XXIV -
prospectar soluções tecnológicas, identificar oportunidades de melhoria e propor
inovações para os processos de trabalho de auditoria interna governamental";
d) a Deliberação nº 02/2024 da Comissão de Coordenação de Controle Interno
(CCCI), aprovada pela Portaria CGU nº 2.821, de 29 de agosto de 2024, a qual define que
"(...) as UAIG deverão desenvolver conhecimentos e habilidades e fomentar o uso de
tecnologias de inteligência artificial no desempenho dos serviços de auditoria,
considerando o contexto e as especificidades de cada organização";
e) o Referencial Técnico da Atividade de Auditoria Interna Governamental do
Poder Executivo federal, aprovado pela Instrução Normativa SFC nº 3, de 9 de junho de
2017, no que se refere a requisitos éticos:
56. O auditor deve manter sigilo e agir com cuidado em relação a dados e
informações obtidos em decorrência do exercício de suas funções. Ao longo da execução
dos trabalhos, o sigilo deve ser mantido mesmo que as informações não estejam
diretamente relacionadas ao escopo do trabalho.
f) o Referencial Técnico da Atividade de Auditoria Interna Governamental do
Poder Executivo federal, aprovado pela Instrução Normativa SFC nº 3, de 9 de junho de
2017, no que se refere a proficiência:
62. Os auditores internos governamentais devem possuir conhecimentos
suficientes sobre os principais riscos de fraude, sobre riscos e controles de tecnologia da
informação e sobre as técnicas de auditoria baseadas em tecnologias disponíveis para a
execução dos trabalhos a eles designados.
g) o Referencial Técnico da Atividade de Auditoria Interna Governamental do
Poder Executivo federal, aprovado pela Instrução Normativa SFC nº 3, de 9 de junho de
2017, no que se refere ao zelo profissional:
65. O zelo profissional se refere à atitude esperada do auditor interno
governamental na condução dos trabalhos e nos resultados obtidos. O auditor deve deter
as habilidades necessárias e adotar o cuidado esperado de um profissional prudente e
competente, mantendo postura de ceticismo profissional; agir com atenção; demonstrar
diligência e responsabilidade no desempenho das tarefas a ele atribuídas, de modo a
reduzir ao mínimo a possibilidade de erros; e buscar atuar de maneira precipuamente
preventiva.
h) o Referencial Técnico da Atividade de Auditoria Interna Governamental do
Poder Executivo federal, aprovado pela Instrução Normativa SFC nº 3, de 9 de junho de
2017, no que se refere a Documentação das Informações:
150. Devem ser documentadas em papéis de trabalho as análises realizadas e
as evidências produzidas ou coletadas pelos auditores internos governamentais em
decorrência dos exames. As evidências devem estar organizadas e referenciadas
apropriadamente e constituir informações suficientes, confiáveis, fidedignas, relevantes e
úteis, de modo a suportar as conclusões expressas na comunicação dos resultados dos
trabalhos;
i) o Referencial Técnico da Atividade de Auditoria Interna Governamental do
Poder Executivo federal, aprovado pela Instrução Normativa SFC nº 3, de 9 de junho de
2017, no que se refere à supervisão dos trabalhos:
156. O Responsável pela UAIG tem a responsabilidade geral pela supervisão dos
trabalhos, a qual poderá ser delegada, sem prejuízo de sua responsabilidade, (...).
Resolve:
O uso de tecnologias de IA pelas UAIG, em seus trabalhos de auditoria, deverá
observar as seguintes diretrizes:
a) As UAIG devem considerar o uso estratégico e responsável de tecnologias
baseadas em Inteligência Artificial, com o objetivo de ampliar a capacidade de análise, de
detecção de riscos e de apoio à tomada de decisão;
b) A utilização de tecnologias de IA deve ser pautada pelos princípios, diretrizes
e requisitos fundamentais para a prática profissional da atividade de auditoria interna
governamental, assegurando que a tecnologia seja usada de forma transparente e
responsável;
c) A adoção de soluções de IA deve considerar a viabilidade e os riscos para os
trabalhos de auditoria;
d) Toda utilização de IA cujos resultados sejam utilizados nos produtos
elaborados pela UAIG deve ser explicitamente identificada nos papéis de trabalho;
e) Cabe ao auditor a revisão crítica de todos os dados e informações obtidas a
partir de ferramentas de IA, assegurando que estejam em conformidade com os aspectos
legais e éticos, que estejam livres de preconceitos, desigualdades e representações
inadequadas e que observem as normas de direitos autorais e propriedade intelectual;
f) O auditor deve ser capaz de explicar, justificar e assumir a responsabilidade
pelos resultados obtidos e utilizados a partir de ferramentas de IA;
g) A responsabilidade final pelo uso adequado das soluções de IA é do Chefe de
Auditoria Interna, que deve assegurar que sua utilização não substitua o julgamento
profissional do auditor, mas sim o complemente, fortalecendo a função de controle e a
agregação de valor;
h) O auditor é responsável pelas informações inseridas em ferramentas de IA,
como informações sensíveis, pessoais bem como outras informações protegidas por
quaisquer hipóteses legais de sigilo, respeitando os princípios e os requisitos da Lei Geral
de Proteção de Dados Pessoais (Lei nº 13.709/2018), e o § 3o, artigo 25 da Lei
10.180/2001, inclusive quanto ao tratamento minimamente necessário, à anonimização e à
avaliação de impacto à privacidade, quando cabível;
i) Ao optarem pela utilização de tecnologias de IA, as UAIG devem previamente
definir suas próprias regras, observando as especificidades da organização, políticas
internas de segurança da informação e estabelecendo diretrizes para desenvolvimento,
utilização responsável e governança dessas soluções;
j) A UAIG deve buscar a capacitação contínua de seus servidores para o uso
ético, seguro e eficiente dessas ferramentas.