Risco de IA para o CFO: o que vai para o conselho

O erro do modelo é o menor dos problemas. O risco de IA para o CFO é o CFO assinar, sob a Lei Sarbanes-Oxley, a certificação de um controle interno que depende de um sistema de IA generativa que a empresa nunca inventariou nem testou como controle formal². O risco financeiro é literal: multa, reapresentação de balanço ou um apontamento do comitê de auditoria que chega sem aviso, porque ninguém sabia que a IA já decidia ali.

O ponto de partida é sempre o mesmo: ninguém sabe, com precisão, quantos sistemas de IA generativa já decidem alguma coisa dentro da área financeira, do fechamento ao crédito. Antes de pedir orçamento ou escrever qualquer política, eu levantaria esse retrato primeiro; o Gap Analysis gratuito devolve esse raio-x cláusula por cláusula em menos de uma hora e mostra onde a exposição financeira de IA sem controle já é maior do que a diretoria imagina. Só depois desse retrato o orçamento de governança de IA do próximo trimestre vira decisão informada, não chute.

Por que o risco de IA virou pauta do CFO, não só do CIO

Durante anos, todo risco ligado a tecnologia caía automaticamente no colo do CIO. Risco de IA quebrou essa divisão. O levantamento mais recente da Deloitte, com 200 CFOs de empresas norte-americanas com faturamento acima de US$ 1 bilhão, mostra o motivo: quase um em cada cinco desses CFOs (19%) já diz ter a maior responsabilidade pela governança de IA na própria empresa, mais do que qualquer outra função isolada⁴. Equilibrar a pressão para usar IA rápido com o risco que ela carrega é o maior desafio citado, por 59% deles, acima de qualquer outro ponto da pesquisa⁴.

Eu leio esse número como sintoma, não como anomalia. A IA generativa entrou primeiro pelo braço mais rápido de adotar, geralmente marketing ou atendimento, mas o uso que preocupa o CFO é outro: previsão de fluxo de caixa, triagem de crédito, conciliação automática, redação de nota fiscal e de parecer contábil. Cada um desses usos toca, direta ou indiretamente, um controle interno que o CFO já certifica pessoalmente todo trimestre, sob risco pessoal, não só reputacional². Incerteza sobre custo e transparência da IA é o ponto interno mais citado pelos próprios CFOs, por 46% deles; fora da empresa, o risco mais citado é litígio por uso de conteúdo protegido, por 43%⁴.

O efeito colateral de empurrar risco de IA para o CFO é real: ele passa a aprovar ou travar ferramenta que o time de dados já testou e quer usar amanhã. Travar demais custa velocidade num mercado que não espera; aprovar sem critério custa a próxima auditoria encontrar o buraco. O critério que eu uso para separar os dois casos é simples: ferramenta que só produz rascunho, resumo ou busca interna anda rápido; ferramenta que decide, aprova, nega ou calcula algo que vira número de balanço passa pelo comitê de risco antes de qualquer piloto virar produção.

Quem no conselho responde pelo risco de IA?

Hoje, formalmente, costuma ser ninguém sozinho, e é esse vácuo que preocupa auditor e CFO ao mesmo tempo. A Lei Sarbanes-Oxley já resolve uma parte da pergunta para empresa listada nos EUA, ou com obrigação equivalente: o CEO e o CFO assinam pessoalmente, a cada relatório trimestral e anual, a certificação de que avaliaram o controle interno e identificaram qualquer fraqueza material². Se um desses controles depende de um sistema de IA sem inventário, sem teste e sem dono, a assinatura do CFO vira uma aposta, não uma certificação.

A ISO 42001 ataca o mesmo vácuo por outro ângulo. Ela exige que a empresa nomeie, por escrito, quem responde por cada papel dentro do sistema de gestão de IA, não só pelo risco do modelo, mas pela decisão de usar IA num processo determinado¹. Eu recomendo tratar o comitê de risco como dono formal da governança de IA, com o CFO dentro dele por causa do impacto financeiro e o jurídico por causa da exposição regulatória. Comitê sem CFO dentro tende a tratar custo de IA como item de TI, não como item de controle interno, e é exatamente essa troca de categoria que depois aparece como surpresa no balanço.

Esse mesmo comitê, sem CFO dentro, costuma aprovar ferramenta de IA pelo critério errado: performance e custo de licença, não impacto sobre controle certificado. Eu já vi esse padrão se repetir fora do contexto de IA, em auditoria de SOX, antes de a sigla “IA” aparecer em qualquer pauta de comitê: quem aprova sistema sem medir o controle que ele toca descobre o problema tarde, geralmente na auditoria externa, não na reunião interna onde ainda seria barato corrigir.

O inventário de sistemas de IA generativa que todo CFO deveria exigir antes de orçar qualquer coisa

Eu já vi orçamento de governança de IA ser aprovado sem que ninguém soubesse quantos sistemas de IA generativa a empresa já usa. Isso inverte a ordem certa. O inventário de sistemas de IA generativa vem antes do orçamento, não depois, porque sem ele o CFO está precificando um risco que ele ainda não mediu. O artigo sobre inventário de sistemas de IA detalha como montar esse levantamento; para o financeiro especificamente, eu olharia primeiro para a área de setores regulados do financeiro, porque ali a ferramenta de produtividade instalada por um analista sozinho costuma pesar mais do que qualquer projeto formal de IA aprovado pela diretoria.

Premissa minha, sem fonte de mercado para sustentar o número: levantar esse inventário, por sistema, com dono, finalidade e classificação de risco, costuma consumir de 20 a 40 horas de trabalho qualificado numa área financeira de porte médio, com cinco a quinze sistemas de IA generativa em uso. Empresa que já tem comitê de risco rodando gasta menos tempo nessa etapa, porque parte do levantamento já existe dispersa em ata; empresa que nunca listou os próprios sistemas sente o peso inteiro desse número.

Depois desse inventário, boa parte do trabalho que falta é escrever política e registro de avaliação de impacto do zero. Os modelos de política e inventário de sistemas de IA existem para encurtar exatamente essa parte, sem substituir a decisão de quais sistemas o CFO classifica como risco alto dentro da própria operação financeira.

SOX, EU AI Act e o calendário regulatório que o CFO não pode ignorar

Toda empresa brasileira que vende para a União Europeia, ou que depende de um fornecedor de IA que vende lá, herda parte desse calendário dentro do próprio contrato, mesmo sem operação na Europa.

O Regulamento (EU) 2026/1744, de julho de 2026, não cancelou a obrigação de alto risco, só empurrou o prazo: de agosto de 2026 para dezembro de 2027 no caso de sistema autônomo, e para agosto de 2028 quando a IA está embutida em produto já regulado³. CFO que orça governança de IA como gasto de um ano só vai reorçar duas vezes sem necessidade, porque o calendário mudou de data, não de direção.

No controle interno certificado sob SOX, o problema real é a frequência de revisão, não o calendário europeu. SOX e controle de IA nas finanças convivem mal quando o modelo é retreinado todo mês e o controle é testado uma vez por ano: a avaliação de impacto que sustentava a certificação do trimestre passado pode já não descrever o sistema que opera hoje.

Eu trataria o calendário europeu como linha de base mínima, não como teto. Uma empresa financeira brasileira que decide esperar a lei brasileira definir a régua local antes de agir corre o risco de desenhar dois controles em sequência, um para atender cliente ou fornecedor europeu e outro depois para a regra nacional, em vez de um controle único que já nasce compatível com os dois horizontes regulatórios.

ISO 42001 para o CFO: o que a norma realmente resolve

A ISO 42001 para o CFO deixa de ser mais um certificado na parede e vira o esqueleto documental que faz a assinatura trimestral de SOX, ou qualquer certificação de controle interno equivalente fora dos EUA, parar de ser um ato de fé. A norma organiza o que precisa existir, política, inventário, avaliação de impacto, controle de dado e de fornecedor, nas mesmas cláusulas de sistema de gestão que qualquer auditor já reconhece de outras certificações¹.

Eu vi isso de perto numa auditoria de SOX que conduzi numa mineradora, aprovada pela Ernst & Young sem ressalvas: a redução de 90% no tempo de troubleshooting não veio de tecnologia nova, veio de rastreabilidade documentada, a mesma peça que falta hoje na maioria dos inventários de IA que eu examino. O mecanismo é idêntico: quando existe registro de quem decidiu, o que foi testado e quando, o auditor externo e o CFO param de depender da memória de alguém.

A lógica de melhoria contínua da norma, planejar, executar, verificar, agir, importa mais ao CFO do que a lista de controles em si¹. Controle de IA que nunca é revisado se comporta como controle interno nunca testado: existe no papel, mas ninguém sabe se ainda reflete a operação real. Eu cobraria do comitê de risco a mesma cadência de revisão que já existe para o controle financeiro tradicional, não uma cadência nova e mais frouxa só porque o assunto agora é IA.

Por onde eu começaria, se fosse o CFO

Eu começaria pelo inventário, antes de qualquer política bonita ou comitê novo, porque nenhuma das perguntas acima tem resposta sem saber quantos sistemas existem e quem é dono de cada um. Depois, eu classificaria risco por proximidade do controle certificado: sistema que toca fechamento, crédito ou nota fiscal entra primeiro na fila de avaliação de impacto, sistema de produtividade interna entra depois. Só então eu discutiria orçamento, porque orçar governança de IA sem saber o tamanho do parque é a mesma aposta que a SOX pede exatamente para evitar.

Se o seu comitê de auditoria perguntasse amanhã quantos sistemas de IA generativa decidem algo dentro do financeiro hoje, você teria a resposta com inventário na mão, ou com uma estimativa de memória?

Veja também