Interconexão por APIs, uso estratégico de dados, inteligência artificial e tokenização exigem controles contínuos sobre segurança, resiliência e conformidade
A transformação digital deixou de significar apenas a substituição de documentos físicos por processos eletrônicos. A nova arquitetura do sistema financeiro combina APIs, plataformas digitais, dados estruturados, computação em nuvem e inteligência artificial, alterando a forma como produtos são desenvolvidos, decisões são tomadas e operações são monitoradas.
Nesse cenário, o auditor precisa avaliar como sistemas, dados, modelos de inteligência artificial e fornecedores se conectam ao longo da operação. Entre os pontos de atenção estão a qualidade dos dados, a rastreabilidade das informações, o versionamento de aplicações e a definição clara de responsabilidades.
Esses temas foram debatidos na Comissão de Auditoria de setembro, que reuniu referências e experiências de mercado sobre boas práticas e tendências que impactam a atuação da auditoria diante de um sistema financeiro cada vez mais conectado, automatizado e dependente de tecnologia. As discussões se desenvolveram a partir da apresentação de Renata Lemes, diretora de Auditoria da Audit Intelligence, e de Fernando Correa, CEO da securityfirst.
Boas práticas: o que a auditoria deve observar
Um dos principais pontos é a capacidade de incorporar novas tecnologias sem comprometer a segurança e a continuidade das operações. A auditoria deve verificar se novos produtos, sistemas e parceiros podem ser integrados à arquitetura existente sem exigir mudanças estruturais que aumentem riscos ou vulnerabilidades.
Também é importante avaliar a resiliência dos sistemas. Entre as boas práticas discutidas está a realização de testes de carga que devem considerar processos críticos, como integração de clientes, liquidação, Pix e crédito, simulando cenários de duas, cinco ou até dez vezes o volume atual. O planejamento deve contemplar períodos de pico, identificação de gargalos e um mapa das interdependências entre processos, sistemas, APIs externas e fornecedores.
Na segurança, ganham importância práticas como Zero Trust, segurança incorporada ao desenvolvimento, testes contínuos e avaliação da cadeia de fornecedores. O inventário de ativos e o monitoramento de servidores são controles fundamentais para ampliar a visibilidade sobre o ambiente tecnológico. Nesse contexto, o SOC (Security Operations Center) em regime 24 horas por dia, sete dias por semana, pode integrar tecnologia, processos e governança para acelerar a identificação e o tratamento de incidentes.
A governança também precisa acompanhar a inovação desde as etapas iniciais. Cabe avaliar se existem critérios para transformar pilotos em produtos, se as responsabilidades estão claramente definidas, incluindo a participação da alta administração nas decisões relevantes. A atualização do Instituto dos Auditores Internos sobre o modelo das três linhas também reforça a importância de a auditoria aproveitar os trabalhos realizados pelas primeira e segunda linhas, preservando sua independência.
Tendências: o que a auditoria precisa acompanhar
Além dos controles já aplicáveis, a evolução tecnológica cria novos riscos e exige que a auditoria acompanhe tecnologias que podem alterar a forma de desenvolver, operar e supervisionar serviços financeiros.
A apresentação debatida na Comissão utilizou referências do Gartner para abordar agentes autônomos, decisões baseadas em simulação e vibe coding, modelo que permite desenvolver aplicações com menor participação de especialistas em programação. Embora essas tecnologias avancem rapidamente, a expectativa em torno delas ainda supera os resultados observados em diversas aplicações.
Por isso, o uso de inteligência artificial na análise de dados e nos processos de decisão exige atenção a aspectos como controle de acesso, qualidade e origem das informações processadas, supervisão humana, rastreabilidade e registro das decisões. A auditoria precisa avaliar não apenas se o modelo funciona, mas também se existem controles adequados para compreender, monitorar e questionar seus resultados.
A tokenização é outra frente que merece acompanhamento. Os materiais apresentados apontaram um mercado estimado em US$ 37 bilhões para ativos reais tokenizados em meados de 2026, com crescimento acumulado de 589% desde o início de 2025 até junho deste ano. Estudos atribuídos a Citi e Binance indicam potencial de expansão para centenas de bilhões de dólares até o fim da década e trilhões até 2030. Por se tratar de projeções, os números estão sujeitos a revisão, mas ajudam a dimensionar a velocidade de evolução desse mercado.
Da avaliação de processos à avaliação da arquitetura
A combinação dessas mudanças amplia o papel da auditoria. Em vez de avaliar apenas o resultado de um processo, o auditor passa a precisar compreender como a solução foi concebida, quais tecnologias e fornecedores estão envolvidos, como os dados circulam, quais controles foram incorporados e como o ambiente será monitorado ao longo do tempo.
Nesse novo cenário, a atuação da auditoria contribui para antecipar riscos, testar a capacidade de resposta da instituição e verificar se a inovação permanece alinhada à estratégia, à segurança e à conformidade.
O desafio é acompanhar a velocidade da transformação tecnológica sem perder de vista os fundamentos da auditoria: independência, avaliação de riscos, controles, governança e sustentabilidade das operações.
