Governança, controles internos e três linhas de defesa
A flexibilidade procedimental do regime próprio é legitimada pelos controles institucionais. Menos formalismo, mais transparência — e uma arquitetura que distribui o controle entre operação, supervisão e auditoria.
Ficha técnica do capítulo
Por que este capítulo existe
A flexibilidade procedimental do regime próprio da Fundação é legitimada pelos controles institucionais que a acompanham. O regime do Decreto nº 8.241/2014 é, em essência, um regime de agilidade com governança — não de menor controle, mas de outro tipo de controle: menos formalismo procedimental e mais transparência, segregação, registro e auditabilidade.
O capítulo cumpre função infraestrutural: estabelece a arquitetura institucional sem a qual a flexibilidade do regime próprio se converteria em vulnerabilidade.
O sistema se organiza em cinco eixos: (i) modelo das três linhas de defesa; (ii) controles internos (preventivos, detectivos, corretivos); (iii) estrutura de governança institucional; (iv) mecanismos de integridade; (v) articulação com o controle externo.
O modelo das três linhas de defesa
A Fundação adota como referência institucional o Three Lines Model (The IIA, 2020), que organiza a função de controle em três linhas funcionais distintas. As linhas operam de forma complementar, não substitutiva: cada linha tem função própria, e o sistema só funciona quando todas as três operam com efetividade.
Execução das contratações + controle primário integrado à operação. Cada ator executa e, simultaneamente, verifica seus próprios atos.
Monitoramento, gestão de riscos, definição de políticas e padrões, resolução do que excede a 1ª linha. Não substitui a auditoria — supervisão integrada à gestão.
Função organizacional independente: autonomia funcional, acesso irrestrito, canal direto com a alta administração. Não executa contratações nem participa de decisões operacionais.
Além das três linhas internas, opera o controle externo — TCU, CGU, órgãos dos financiadores, Ministério Público, órgãos das instituições apoiadas —, externamente posicionado em relação à estrutura institucional, mas operando sobre todo o sistema.
Três tipos de controle interno
O sistema opera com combinação dos três tipos: prevenção em primeiro lugar; detecção quando a prevenção falhar; correção quando a detecção apurar irregularidade.
- Autorização prévia conforme alçada
- Segregação de funções (4 eixos)
- Pesquisa de preços prévia
- Parecer jurídico nos casos exigidos
- Verificação orçamentária
- Modelos padronizados (TR, edital, contrato)
- Treinamento institucional
- Declaração de conflito de interesses
- Validações no sistema institucional
- Conferência amostral de pesquisas de preços
- Conferência de regularidade do contratado
- Reconciliação planejamento × execução
- Registro de ocorrências em fiscalização
- Trilha de auditoria do sistema
- Revisão periódica de processos
- Canal de denúncia institucional
- Monitoramento de concentração de fornecedores
- Anulação de ato institucionalmente reprovável
- Revisão de decisão por recurso
- Aplicação de glosa
- Aplicação de sanção
- Reequilíbrio econômico-financeiro
- Procedimento disciplinar interno
- Comunicação ao controle externo
A proporcionalidade dos controles ao valor, à complexidade e ao risco da contratação não autoriza a renúncia a controles essenciais em contratações de baixo valor.
Em uma seleção pública de R$ 380 mil para aquisição de equipamentos, o sistema de governança opera em camadas concêntricas:
Princípio dos quatro olhos e vedação à atuação isolada
Como reforço do controle preventivo de segregação de funções, a Fundação adota expressamente o princípio dos quatro olhos (four-eyes principle): atos relevantes do ciclo de contratação dependem da convergência de duas instâncias institucionais distintas, vedada a atuação isolada de um único agente em todas as fases críticas do processo.
As etapas de solicitação, condução do processo e aprovação da despesa são desempenhadas por unidades ou agentes distintos. Em nenhuma hipótese um mesmo agente concentrará a totalidade dessas três funções, sem prejuízo de outras segregações específicas previstas no Cap. 5.
Aplicações operacionais
- Assinaturas conjuntas em autorizações de pagamento acima das alçadas de baixo valor;
- Designação distinta de gestor e de fiscal de contrato, sempre que viável;
- Revisão obrigatória das pesquisas de preços de maior vulto por agente diferente do que a executou;
- Alçada superior para aprovação de exceções ao procedimento padrão.
Em coerência com o entendimento consolidado pelo TCU no Acórdão 2.731/2008-Plenário, aplicável às contratações da Fundação por força do controle finalístico do controle externo sobre os recursos públicos repassados, "a segregação de funções e responsabilidades" é condição estrutural para a fiscalização adequada das parcerias entre IFES e fundações de apoio. O descumprimento das regras de segregação é tratado conforme o Cap. 16.
Regime de parecer jurídico
O parecer jurídico opera como controle preventivo — sua função é prevenir irregularidades, não chancelar atos previamente decididos. É decisão jurídica fundamentada, não mero "carimbo".
| Parecer jurídico OBRIGATÓRIO em | Parecer jurídico DISPENSADO em |
|---|---|
|
|
O parecer pode apontar correções, indicar riscos e sugerir alternativas. Sua recomendação não vincula automaticamente a autoridade decisória, mas a recusa de seguir a recomendação deve ser fundamentada por escrito e registrada no processo. Em caso de divergência, a Auditoria Interna toma ciência, e o caso pode ser objeto de análise específica em diligência da terceira linha.
O parecer tem validade limitada no tempo: em caso de alteração significativa do contexto (mais de 90 dias, alteração da legislação, modificação do objeto), exige-se nova manifestação ou ratificação.
Gestão de riscos
A Fundação adota postura de gerência ativa do risco — não evitação total, mas gestão informada: identificar riscos relevantes em cada contratação, avaliar probabilidade e impacto, mitigar por controles proporcionais, monitorar a evolução, registrar as decisões, comunicar ao nível adequado.
| Grupo de risco | Exemplos típicos |
|---|---|
| Operacionais | Atraso na execução, desconformidade do objeto, falha de fornecedor, perda de prazo |
| Jurídicos | Apontamento por órgão de controle, anulação de ato, processo judicial, sanção a agente |
| Financeiros | Excesso sobre valor de mercado, pagamento indevido, glosa pelo financiador, perda de recursos |
| Reputacionais | Cobertura midiática negativa, perda de confiança institucional, dano à imagem |
A maioria dos riscos é multidimensional — uma mesma ocorrência pode envolver riscos de mais de um grupo. Para contratações de maior valor, complexidade ou criticidade, observam-se controles institucionais reforçados: autorização da Diretoria; parecer jurídico; revisão por instância superior; acompanhamento sistemático pela segunda linha; registro detalhado; eventual incorporação ao plano de auditoria da terceira linha.
Integridade e canal de denúncia
A Fundação opera programa de compliance como função institucional, articulado com o Código de Ética, a Política de Integridade, o canal de denúncia confidencial, o sistema de gestão de conflitos de interesses, o treinamento institucional periódico e o monitoramento de efetividade dos controles. O programa observa a Lei nº 12.846/2013 (Lei Anticorrupção) e seu regulamento, no que aplicável.
Canal institucional de denúncia e ouvidoria
O canal recebe denúncias sobre irregularidades em contratações; sobre conduta de agentes institucionais; sobre comportamentos de fornecedores; manifestações de fornecedores e participantes de certames; consultas sobre interpretação do Manual.
- Garantia de sigilo do denunciante, salvo nas hipóteses legais de quebra;
- Proteção do denunciante de boa-fé contra retaliação;
- Tratamento responsável — apuração proporcional, respeito ao contraditório do imputado, decisão fundamentada;
- Encaminhamento à Auditoria Interna para diligência, quando o caso o exija;
- Registro institucional de todas as denúncias recebidas e do tratamento dado.
O canal não substitui os meios formais de recurso administrativo nem a fiscalização sancionatória — opera em via paralela e complementar.
Articulação com o controle externo
O controle externo das contratações é exercido, conforme a fonte de recursos e a natureza da operação, por TCU, CGU, órgãos dos financiadores, Ministério Público e órgãos das instituições apoiadas. O controle externo é externamente posicionado — não integra as três linhas internas, mas opera sobre todo o sistema.
Em caso de apontamento, diligência ou determinação de órgão de controle externo: a manifestação institucional é coordenada pela alta administração; o setor jurídico atua em conjunto; a auditoria interna pode ser acionada para diligência paralela; a resposta é fundamentada no regime próprio, com argumentação técnica robusta — em especial diante de eventual tentativa de aplicação direta da Lei nº 14.133/2021.
Em razão da natureza específica do regime das fundações de apoio, é frequente que órgãos de controle não familiarizados com o Decreto nº 8.241/2014 apliquem categorias da Administração direta. Em tais casos, a Fundação (i) explicita o regime próprio com argumentação técnica clara; (ii) invoca os fundamentos dos Cap. 1 e Cap. 2; (iii) referencia a jurisprudência consolidada do TCU sobre fundações de apoio; (iv) referencia, quando útil, o Acórdão 1.008/2025-TCU-Plenário (vide Cap. 1, art. 6º); (v) demonstra a observância dos controles internos previstos neste Manual.
A defesa institucional não é confrontação com o controle externo — é exercício legítimo de explicação do regime aplicável, em diálogo institucional respeitoso.
Texto normativo — três linhas de defesa
Art. 1º — O modelo institucional
A Fundação adota como referência institucional o modelo das três linhas de defesa (Three Lines Model), reconhecido internacionalmente para a estruturação de governança e controle. O modelo organiza a função de controle em três linhas funcionais distintas (primeira: operação; segunda: supervisão; terceira: auditoria), complementadas pelo controle externo. As três linhas operam de forma complementar, não substitutiva.
Art. 2º — Primeira linha — operação e controle primário
A primeira linha é constituída pelos setores que executam as contratações no dia a dia: sua responsabilidade combina a execução dos procedimentos previstos no Manual e o controle primário sobre seus próprios atos — verificações de conformidade integradas à operação. Cobre as etapas de identificação da demanda; elaboração do TR; verificação orçamentária; pesquisa de preços; enquadramento da modalidade; execução do procedimento; formalização contratual; fiscalização e gestão; recebimento e atesto; liquidação e pagamento. Cada ator conhece e aplica o Manual em sua área, registra seus atos no sistema institucional, comunica anormalidades e observa a segregação de funções (Cap. 5).
Art. 3º — Segunda linha — supervisão e gerência de riscos
A segunda linha é constituída pelas instâncias que supervisionam a operação, sem participar diretamente dela: monitoramento da execução pela primeira linha; identificação de riscos institucionais; definição de políticas, normativos internos, modelos e padrões; resolução de questões que excedem a competência da primeira linha; articulação com o programa de compliance e com a ouvidoria. Na Fundação, é exercida pela Diretoria Executiva, por comitês internos específicos, pelo programa de compliance e pelo setor jurídico no que se refere à supervisão jurídica.
Art. 4º — Terceira linha — auditoria interna independente
A terceira linha é constituída pela Auditoria Interna, função organizacional independente, com: autonomia funcional para definir seu escopo; acesso irrestrito a documentos, sistemas, processos e ao pessoal; canal direto com a alta administração. As funções: avaliar a efetividade dos controles da primeira e segunda linhas; realizar trabalhos periódicos por amostragem; realizar diligências específicas em casos de suspeita; emitir relatórios com recomendações e acompanhar implementação; comunicar-se com órgãos de controle externo quando cabível; manter sigilo profissional. A Auditoria Interna não executa contratações nem participa de decisões operacionais — sua independência é condição de sua efetividade.
Texto normativo — controles internos
Art. 5º — Tipologia dos controles
Os controles internos das contratações são classificados em preventivos (atuam antes do ato; previnem), detectivos (atuam após o ato; identificam) e corretivos (acionados após a detecção; reagem). O sistema institucional opera com combinação dos três tipos.
Art. 6º — Controles preventivos
São controles preventivos: autorização prévia; segregação de funções; pesquisa de preços prévia; parecer jurídico nos casos exigidos; verificação orçamentária; modelos institucionais padronizados; treinamento; declaração de conflito de interesses; vinculação dos atos a procedimentos previstos; sistema institucional com regras de validação. Os controles preventivos são integrados à operação e são, em regra, mais econômicos que os detectivos e corretivos.
Art. 6º-A — Princípio dos quatro olhos e vedação à atuação isolada
Como reforço do controle preventivo de segregação de funções, a Fundação adota expressamente o princípio dos quatro olhos. As etapas de solicitação, condução do processo de compra e aprovação da despesa são desempenhadas por unidades ou agentes distintos. Em nenhuma hipótese um mesmo agente concentrará a totalidade dessas três funções, sem prejuízo de outras segregações específicas. Aplicações operacionais: assinaturas conjuntas em autorizações de pagamento acima das alçadas de baixo valor; designação distinta de gestor e fiscal de contrato; revisão obrigatória de pesquisas de preços de maior vulto por agente diferente; alçada superior para aprovação de exceções. O descumprimento é tratado conforme o Cap. 16.
Art. 7º — Controles detectivos
São controles detectivos: conferência amostral de pesquisas de preços; conferência de regularidade administrativa para pagamento; reconciliação entre planejamento e execução; registro de ocorrências em fiscalização; trilha de auditoria do sistema institucional; revisão periódica de processos selecionados; canal de denúncia; monitoramento de concentração de fornecimentos. Operam transversalmente em todas as linhas, não apenas na Auditoria Interna.
Art. 8º — Controles corretivos
São controles corretivos: anulação de ato institucionalmente reprovável; revisão de decisão por recurso; aplicação de glosa (Cap. 17); aplicação de sanção (Cap. 16); reequilíbrio econômico-financeiro (Cap. 18); abertura de procedimento disciplinar institucional; comunicação ao controle externo. São acionados após a detecção, com o objetivo de restaurar a regularidade ou compensar o dano.
Art. 9º — Proporcionalidade dos controles
Os controles internos observam proporcionalidade ao valor, à complexidade e ao risco. Contratações de baixo valor: controles preventivos simplificados, detectivos por amostragem, corretivos quando necessário. Contratações de maior valor ou complexidade: controles preventivos detalhados, detectivos sistemáticos, corretivos previstos contratualmente. A proporcionalidade não autoriza a renúncia a controles essenciais em contratações de baixo valor.
Texto normativo — estrutura institucional
Art. 10 — Atores institucionais
A estrutura organiza-se em torno de oito atores, detalhados no Cap. 5 e operacionalizados na Matriz RACI: CP (Coordenador do Projeto — 1ª linha técnica), AP (Analista de Projetos — 1ª linha orçamentária), SC (Setor de Compras — 1ª linha operacional), SL (Setor de Licitações — 1ª linha operacional + gestão), SJ (Setor Jurídico — 1ª + 2ª linha jurídica), SF (Setor Financeiro — 1ª linha financeira), DE (Diretoria Executiva — 2ª linha de autorização superior + supervisão), AI (Auditoria Interna — 3ª linha independente). A presença de cada ator é funcional, não exclusiva — alguns exercem funções mistas.
Art. 11 — Diretoria Executiva
A Diretoria Executiva é a instância de autoridade superior das contratações. Competências: autorização de contratações em alçada superior (limites no Cap. 5 e Anexo L); decisão em recurso administrativo contra ato de alçada inferior; aplicação de sanções graves (suspensão acima de 12 meses, descredenciamento); instituição de credenciamento em nova categoria; aprovação de TCF e de prorrogações; aprovação de alterações relevantes do Manual; aprovação das edições anuais das Declarações Institucionais; ordenação dos pagamentos; decisão fundamentada em casos de exceção ao Manual, com ciência da Auditoria Interna. A Diretoria pode delegar competências internamente, observado o regimento da Fundação.
Art. 12 — Programa de compliance institucional
A Fundação opera programa de compliance como função institucional, articulado com Código de Ética, Política de Integridade, canal de denúncia confidencial, sistema de gestão de conflitos de interesses, treinamento periódico, monitoramento da efetividade dos controles (2ª linha) e comunicação com a Auditoria Interna e a alta administração. A função pode ser órgão autônomo com responsável próprio (modelo de maior porte) ou função atribuída a setor existente (em estruturas menores), preservada a independência mínima em relação às áreas operacionais.
Art. 13 — Canal institucional de denúncia e ouvidoria
O canal recebe denúncias sobre irregularidades em contratações, conduta de agentes, comportamentos de fornecedores; manifestações; consultas. Observa: garantia de sigilo do denunciante, salvo hipóteses legais de quebra; proteção do denunciante de boa-fé contra retaliação; tratamento responsável; encaminhamento à Auditoria Interna; registro institucional. Opera em via paralela e complementar aos meios formais de recurso e à fiscalização sancionatória.
Texto normativo — parecer jurídico
Art. 14 — Hipóteses de parecer jurídico obrigatório
O parecer jurídico do setor jurídico é obrigatório nas hipóteses listadas no Nível 2 (Maior detalhamento). O parecer opera como controle preventivo — sua função é prevenir irregularidades, não chancelar atos previamente decididos. Pode apontar correções, indicar riscos e sugerir alternativas. Sua recomendação não vincula automaticamente a autoridade decisória, mas a recusa de seguir a recomendação deve ser fundamentada por escrito e registrada no processo.
Art. 15 — Hipóteses de parecer jurídico dispensado
O parecer é dispensado nas hipóteses listadas no Nível 2. A dispensa não dispensa o controle jurídico residual: o setor jurídico pode ser consultado por dúvida pontual e pode instituir conferência amostral em contratações dispensadas, no exercício da segunda linha.
Art. 16 — Eficácia do parecer jurídico
O parecer é decisão jurídica fundamentada, não mero "carimbo"; é assinado por advogado(a) da Fundação ou contratado(a), com identificação; integra o processo institucional, com acesso para os atores envolvidos e para o controle interno e externo; tem validade limitada no tempo — em caso de alteração significativa do contexto (mais de 90 dias, alteração da legislação, modificação do objeto), exige nova manifestação ou ratificação. Em caso de divergência entre o parecer e a decisão final: a discordância é registrada; os motivos são fundamentados por escrito; a Auditoria Interna toma ciência; o caso pode ser objeto de análise específica em diligência da terceira linha.
Texto normativo — controle externo e indicadores
Art. 20 — Posicionamento institucional do controle externo
O controle externo é exercido, conforme a fonte de recursos e a natureza da operação, pelo TCU (recursos públicos federais), pela CGU (controle interno do Poder Executivo), pelos órgãos dos financiadores (relação convenente), pelo Ministério Público (hipóteses específicas) e pelos órgãos públicos das instituições apoiadas (relação de apoio). O controle externo é externamente posicionado em relação à Fundação — não integra suas três linhas internas, mas opera sobre todo o sistema.
Art. 21 — Articulação institucional com o controle externo
A Fundação observa: transparência quanto a documentos, processos e decisões; cooperação com diligências, pedidos de informação e auditorias; manutenção de trilha de auditoria completa; canal de comunicação definido institucionalmente; fundamentação técnica e jurídica das contratações.
Art. 22 — Defesa institucional do regime próprio
Em razão da natureza específica do regime das fundações de apoio, é frequente que órgãos de controle não familiarizados com o Decreto nº 8.241/2014 apliquem categorias da Administração direta. Em tais casos, a Fundação explicita o regime próprio com argumentação técnica clara; invoca os fundamentos dos Caps. 1 e 2; referencia a jurisprudência consolidada do TCU sobre fundações de apoio; referencia, quando útil, o Acórdão 1.008/2025-TCU-Plenário; demonstra a observância dos controles internos.
Art. 23 — Indicadores de governança
A Fundação monitora periodicamente: tempo médio de tramitação por modalidade; taxa de sucesso dos certames; proporção de contratações por modalidade; número e prazo médio de pareceres jurídicos; número de recursos administrativos e seu resultado; número de sanções aplicadas; número de denúncias recebidas e tratamento; resultado de auditorias periódicas; avaliação dos coordenadores; apontamentos do controle externo e sua resolução. Os indicadores são objeto de relatório institucional periódico submetido à Diretoria.
Art. 24 — Revisão periódica do sistema de governança
O sistema é submetido a revisão anual (avaliação de indicadores e ajustes operacionais), trienal (revisão estratégica do modelo) e extraordinária (evento institucional relevante). A revisão observa os princípios deste capítulo, os indicadores acumulados, as recomendações da auditoria interna, os apontamentos do controle externo e a evolução do estado da arte em governança de fundações de apoio.
Art. 27 — Cláusula geral
Em situação não expressamente prevista neste capítulo, observam-se: os princípios do Cap. 3, em especial os institucionais (governança, transparência, integridade); a hierarquia normativa do Cap. 2; a estrutura de competências do Cap. 5 e da Matriz RACI.
Mapa completo de remissões 9 capítulos · 2 anexos
- Anexo RACIMatriz de competências e responsabilidades
- Anexo GGlossário institucional