Gabriel de Magalhães, Jornal SOL
Os Auditores Internos acedem frequentemente a dados, registos e demais informação sensível, incluindo informação confidencial, proprietária ou pessoalmente identificável
A confidencialidade assume-se como um pressuposto essencial da atuação ética e profissional dos auditores internos, constituindo uma condição indispensável para preservar a confiança, a integridade e a credibilidade da função. Nas Normas Globais de Auditoria Interna, este princípio integra o Domínio II — Ética e Profissionalismo, que estabelece os referenciais de conduta aplicáveis aos profissionais e às entidades envolvidas na realização de trabalhos de auditoria interna.
As Normas Globais de Auditoria Interna (GIAS) foram publicadas pelo Institute of Internal Auditors (IIA) em janeiro de 2024, tendo entrado em vigor um ano após a sua publicação. Este referencial visa orientar a prática profissional da auditoria interna a nível internacional, proporcionando uma base normativa comum para a avaliação, consolidação e melhoria contínua da qualidade da Função de Auditoria Interna nas organizações.
As GIAS integram o renovado Enquadramento Internacional de Práticas Profissionais do IIA, substituindo o modelo anteriormente vigente desde 2017. Este enquadramento compreende, além das normas, os Requisitos Temáticos e as Orientações Globais, os quais densificam e complementam a sua aplicação no exercício profissional da auditoria interna.
O conceito de confidencialidade encontra-se expressamente previsto no Domínio II — Ética e Profissionalismo, domínio que define o quadro de expectativas comportamentais aplicável aos auditores internos profissionais e a quaisquer entidades que prestem serviços de auditoria interna, incluindo em modelos de co-sourcing ou outsourcing.
Neste Domínio, assume particular relevância o Princípio 5 — Manter Confidencialidade, segundo o qual os auditores internos devem utilizar e proteger a informação de modo adequado. Tal princípio parte do reconhecimento de que, no exercício das suas responsabilidades, estes profissionais acedem frequentemente a dados, registos e demais informação sensível, incluindo informação confidencial, proprietária ou pessoalmente identificável. Essa informação pode assumir suporte físico ou digital e decorrer de comunicações orais, formais ou informais.
Consequentemente, os auditores internos devem respeitar o valor e a titularidade da informação recebida, utilizá-la exclusivamente para fins profissionais legítimos e protegê-la contra acessos, utilizações ou divulgações não autorizadas, tanto no plano interno como externo.
O Princípio 5 é operacionalizado, designadamente, através das seguintes normas:
- Norma 5.1 — Uso da Informação: determina que os auditores internos devem observar as políticas, os procedimentos, as leis e os regulamentos aplicáveis à utilização da informação. A informação obtida no exercício da auditoria interna não deve ser utilizada em benefício próprio, nem de forma incompatível ou prejudicial aos objetivos legítimos e éticos da organização.
- Norma 5.2 — Proteção da Informação: estabelece que os auditores internos devem conhecer as suas responsabilidades relativas à proteção da informação e demonstrar respeito pela confidencialidade, privacidade e propriedade das informações adquiridas no âmbito da prestação de serviços de auditoria interna ou de relações profissionais conexas. A norma exige igualmente o cumprimento das leis, regulamentos, políticas e procedimentos relativos à confidencialidade, privacidade e segurança da informação aplicáveis à organização e à Função de Auditoria Interna. Entre os aspetos de especial relevância incluem-se: (i) a custódia, retenção e eliminação de registos de trabalhos de auditoria interna; (ii) a disponibilização desses registos a partes internas e externas; e (iii) o manuseamento, acesso ou cópia de informação confidencial quando esta deixe de ser necessária. Acresce que os auditores internos não devem divulgar informação confidencial a partes não autorizadas, salvo quando exista obrigação legal ou profissional nesse sentido. Devem ainda gerir o risco de exposição ou divulgação inadvertida de informação, competindo ao diretor executivo de auditoria assegurar que a Função de Auditoria Interna e todos os que a apoiam observam requisitos equivalentes de proteção.
Embora o Princípio 5 concentre as normas diretamente associadas à confidencialidade, a matéria é também transversal a outros domínios, princípios e normas das GIAS. A sua relevância torna-se particularmente evidente em contextos de auditoria interna que envolvam análise forense, nos quais a gestão rigorosa da informação assume especial criticidade.
Para além das GIAS, importa atender ao quadro legal nacional e internacional, bem como aos requisitos emanados de autoridades reguladoras, de supervisão e de inspeção, sejam estas nacionais ou supranacionais. Tais requisitos podem incidir sobre a Função de Auditoria Interna, sobre os auditores internos individualmente considerados e sobre entidades externas que assegurem serviços de auditoria interna.