A revelação de 13 de novembro: adoção generalizada, aplicação ainda limitada
Um estudo sobre auditoria interna em Portugal, divulgado esta sexta-feira, 13 de novembro de 2026, às 06h38 UTC, expõe um contraste na utilização empresarial da inteligência artificial. Entre os responsáveis de auditoria interna inquiridos, 93,9% dizem que as suas funções já utilizam ferramentas de IA, mas 56,1% aplicam-nas a não mais de 15% das atividades. Os dados constam do estudo «Auditoria Interna 2026 | O Retrato da Profissão em Portugal», da Deloitte, apresentado pelo ECO/EContas. A notícia é a divulgação recente destes resultados, não um ciberataque nem uma nova obrigação legal imposta às empresas portuguesas.
A base estatística: oitenta e dois responsáveis, não todas as empresas
O levantamento reúne respostas de 82 diretores ou responsáveis de auditoria interna, maioritariamente ligados a organizações de grande dimensão, com volume de negócios superior a cem milhões de euros, em vários setores. As percentagens descrevem este universo de respondentes. Não representam automaticamente a totalidade de empresas portuguesas, microempresas, serviços públicos ou organizações sem função formal de auditoria. Também não permitem medir, sem mais, a qualidade real de cada auditoria. A definição do denominador é indispensável: quando uma manchete fala de «mais de metade das empresas», é necessário explicar que a amostra é composta por profissionais e entidades com características específicas.
IA usada para pesquisar e resumir, muito menos para investigar padrões complexos
Entre os responsáveis que afirmam usar inteligência artificial, 79,2% referem tarefas de pesquisa, síntese e apoio à revisão de informação. A proporção baixa para 45,5% em reporte e comunicação e para 42,9% em planeamento e avaliação de risco. Apenas 4,9% do conjunto de participantes dizem aplicar IA a mais de metade das atividades de auditoria interna. São indicadores de distribuição de tarefas, não provas de maior ou menor eficácia. Um uso limitado pode refletir prudência, investimento insuficiente ou adequação à natureza da função; a causa não deve ser atribuída sem cruzar as respostas com outros dados.
O obstáculo da competência tecnológica
O estudo identifica a falta de competências e capacidades como barreira, citada por 53,7% dos participantes. Quase metade das direções avaliadas, 46,3%, afirma não dispor de auditores com especialização em tecnologias de informação. A mesma percentagem de 53,7% não conta com profissionais com certificações CIA e/ou CISA, de acordo com a informação divulgada. Certificação formal e competência efetiva não são sinónimos absolutos: a ausência de uma credencial não demonstra incapacidade profissional. Contudo, a combinação de funções de controlo complexas e escassez de perfis técnicos é um sinal de exposição organizacional que merece avaliação.
Quarenta e três vírgula nove por cento sem plataforma integrada de apoio
Outro resultado indica que 43,9% das direções inquiridas não dispõem de um sistema informático de suporte às várias atividades de auditoria interna. Dentro desse grupo, 12,2% planeiam uma implementação no ano seguinte, segundo a descrição do estudo. A ausência de plataforma unificada não implica inexistência de controlos: podem ser utilizados sistemas setoriais, documentação auditável e procedimentos próprios. O risco surge quando a organização não consegue demonstrar rastreabilidade, consistência das verificações ou gestão de evidências, independentemente do software utilizado. Comprar uma aplicação também não prova que o sistema de controlo passou a ser eficaz.
Privacidade e segurança dos dados entram na análise
Preocupações relativas à privacidade e segurança dos dados foram apontadas por 52,4% dos participantes. É uma preocupação compatível com a natureza da auditoria, que pode envolver contratos, relatórios internos, operações financeiras, informação pessoal e avaliações de incidentes. O estudo não demonstra que alguma destas empresas tenha enviado dados confidenciais a uma ferramenta insegura ou sido vítima de fuga de informação. O risco deve ser formulado condicionalmente: uso sem regras adequadas de acesso, conservação e tratamento pode comprometer informação sensível. A resposta exige governação documentada, classificação de dados e revisão das condições do fornecedor.
Auditoria interna não é o mesmo que investigação criminal
Uma direção de auditoria interna procura avaliar processos, riscos e controlos da organização. Pode detetar sinais de irregularidade e recomendar averiguações, mas não substitui Polícia Judiciária, Ministério Público nem tribunais. Resultados de IA sobre pagamentos atípicos, fornecedores relacionados ou documentos incoerentes são indicadores a validar, não veredictos de fraude. A presença de uma anomalia estatística não prova intenção criminosa. Para imputar responsabilidade a uma pessoa é necessária prova contextualizada e respeito pelos procedimentos legais. Esta fronteira é particularmente importante quando ferramentas automatizadas produzem classificações difíceis de explicar.
O risco de falsos positivos em fraude e branqueamento
Sistemas analíticos podem assinalar operações incomuns, mas a avaliação depende de dados de origem, padrões de negócio e interpretação humana. Um volume elevado de alertas irrelevantes pode sobrecarregar equipas e tornar mais difícil identificar situações sérias. Inversamente, regras mal concebidas podem deixar passar anomalias. Não há neste estudo uma comparação de taxas de deteção de fraude antes e depois da introdução de IA, pelo que seria incorreto afirmar que a tecnologia já reduziu a criminalidade financeira em percentagem determinada. Uma auditoria exigente necessita de métricas testadas, revisão de erros e documentação da decisão final.
O precedente histórico de sistemas bancários insuficientemente acompanhados
A cobertura sobre o antigo Banif mostrou, a partir de documentos e testemunhos descritos por terceiros, como problemas na qualidade dos alertas e nos recursos humanos de compliance podem coexistir. O presente levantamento da Deloitte não investiga o Banif nem demonstra ligação entre participantes e esse caso. A comparação é conceptual: a eficácia de qualquer sistema depende da capacidade das pessoas para interpretar sinais, verificar informação e exercer controlo independente. Ferramentas mais modernas não eliminam o risco de uma cultura organizacional que valorize a rapidez comercial em detrimento da fiscalização. Cada instituição atual deve ser avaliada com evidência própria.
Contrainteligência empresarial: o perímetro inclui fornecedores de IA
Organizações que contratam serviços externos precisam de compreender a circulação de informação e as responsabilidades de segurança de quem presta esses serviços. Isso não significa que empresas estrangeiras de IA sejam agentes de espionagem ou que exista uma operação adversária comprovada em Portugal. Significa que a diligência sobre fornecedores deve considerar proteção contratual, localização de processamento quando relevante, acessos autorizados e mecanismos de resposta a incidentes. Num contexto de contrainteligência defensiva, a ausência de inventário dos dados partilhados pode tornar difícil avaliar exposição. O levantamento aponta inquietações sobre privacidade, não uma intrusão identificada.
Os limites da automatização de avaliações profissionais
A auditoria interna combina revisão documental, testes de controlos, observação de processos e julgamento profissional. Uma ferramenta de IA pode auxiliar na síntese de volumes elevados de informação, mas pode produzir respostas inexatas, omitir contexto ou inferir relações que não existem. É por isso relevante manter verificações de proveniência, documentação de fontes e responsabilidade humana identificável pela conclusão. A adoção deve ocorrer por tarefa e risco, não por objetivo publicitário de substituir percentagens de trabalhadores. A qualidade da avaliação não pode ser medida apenas pelo número de consultas feitas a um modelo.
Regulação e responsabilidade em Portugal
O tratamento de informação pessoal e o uso de sistemas de IA podem mobilizar obrigações jurídicas diferentes consoante a finalidade, o setor e o tipo de dados. O Regulamento Geral sobre a Proteção de Dados continua a exigir fundamentos válidos, minimização e segurança no tratamento de dados pessoais. O enquadramento europeu de inteligência artificial acrescenta deveres proporcionais aos sistemas e usos abrangidos. O estudo da Deloitte não comprova incumprimentos das empresas entrevistadas. A análise jurídica de qualquer caso exige identificar o sistema concreto, a finalidade e a norma aplicável, evitando declarar ilegal a utilização genérica de ferramentas de assistência.
A tensão entre produtividade e confidencialidade
Relatórios de auditoria podem conter vulnerabilidades internas, dados de contratos ou conclusões preliminares sobre pessoas identificáveis. É possível obter ganhos de tempo ao organizar informação, mas a rapidez não justifica ultrapassar as regras de acesso e de partilha. A organização deve estabelecer quem pode usar que ferramentas, com que dados e sob quais condições de revisão. O texto não fornece procedimentos técnicos exploráveis para comprometer esses sistemas; concentra-se nos princípios de governança que permitem manter confiança, rastreabilidade e capacidade de corrigir erros durante a utilização de tecnologia.
Investimento insuficiente e decisões de gestão
Quase três em cada dez participantes, 29,3%, identificaram orçamento insuficiente como barreira; 20,7% mencionaram falta de acesso a ferramentas. Além disso, 43,9% apontaram a escassez de tempo para aprofundar conhecimento e aplicações. Estas respostas não demonstram que cada organização precise de comprar serviços mais caros. A decisão de investimento deve depender do risco material, da maturidade de processos e do retorno verificável. Uma empresa pode gastar muito em licenças e continuar sem profissionais capazes de interpretar resultados. O inverso também pode ocorrer quando a equipa utiliza soluções proporcionais e procedimentos sólidos.
Certificação profissional e independência de auditoria
As credenciais CIA e CISA representam percursos profissionais distintos, orientados para auditoria interna e auditoria de sistemas de informação. A sua ausência numa direção não comprova falta de independência, mas a capacidade de avaliar tecnologia requer competências demonstráveis e formação contínua. A independência também pode ser prejudicada quando a pessoa que configura um processo é a única que valida o seu resultado. Um desenho adequado de funções procura separar execução, fiscalização e resposta a falhas. O estudo publicado não identifica entidades individuais com tal problema, pelo que não se deve imputá-lo a empresas concretas.
O que se pode e não se pode concluir dos 93,9%
Uma utilização declarada de IA por 93,9% das funções entrevistadas não significa adoção profunda, segura ou uniforme. É compatível com uso ocasional para resumir documentos e com práticas mais avançadas em segmentos limitados. Também não permite saber quais modelos, fornecedores ou ambientes de processamento são utilizados. Sem essa informação seria especulativo atribuir dependência a determinado país, empresa ou serviço. A percentagem revela familiaridade com a tecnologia na amostra, ao passo que os restantes indicadores sugerem limites de capacidade e integração.
Um teste de fiscalização aplicável a instituições críticas
A leitura dos resultados recomenda perguntas verificáveis a entidades públicas e privadas com responsabilidades sensíveis: existe inventário de ferramentas, classificação dos dados permitidos, responsável pela supervisão, mecanismos para corrigir resultados e documentação dos riscos? Essas perguntas não são prova de incumprimento nem denúncia de um organismo nacional. São critérios de avaliação que podem orientar auditorias legítimas, respeitando competências e confidencialidade. A resposta precisa de documentos e práticas observadas, não de declarações genéricas de que uma instituição é moderna ou dispõe de ‘inteligência artificial’.
O caso português no debate europeu sobre soberania tecnológica
Esta divulgação coincide com uma reunião europeia sobre inteligência artificial e autonomia tecnológica em Dublin. São acontecimentos distintos: o estudo descreve práticas de auditoria de participantes portugueses; a cimeira debate orientações políticas e dependências europeias. Não existe prova de que a reunião tenha sido convocada por causa deste levantamento ou de que as conclusões políticas respondam diretamente às percentagens da Deloitte. O paralelo reside no desafio de construir competências, infraestrutura e controlo de riscos, em vez de tratar o simples acesso a modelos como sinónimo de soberania.
As perguntas de investigação que permanecem abertas
O estudo divulgado não identifica a distribuição exata da amostra por setor, região e dimensão com detalhe suficiente para generalizações nacionais; também não apresenta taxas medidas de fraude detetada ou erros de IA corrigidos. Seria útil conhecer políticas de retenção de dados, modalidades de revisão e a existência de testes independentes das ferramentas, quando legalmente publicáveis. A redação não obteve os documentos de auditoria interna de cada organização nem dispõe de acesso a informação confidencial de clientes. Esses limites impedem nomes e acusações concretas, mas não retiram relevância à avaliação do risco.
Conclusão: o desafio é menos tecnológico do que institucional
Os dados conhecidos esta manhã indicam que a IA chegou à maioria das funções de auditoria incluídas num estudo de 82 responsáveis, mas ainda ocupa uma parcela limitada das suas atividades. Falta de competências, de ferramentas integradas e preocupações de privacidade representam desafios concretos. A capacidade de prevenir fraude e proteger informação exige profissionais, procedimentos e responsabilização, não apenas licenças. A investigação de fontes abertas permite identificar estes riscos e pedir explicações verificáveis, sem afirmar ataques, violações legais ou insuficiências em organizações individualizadas que o levantamento não documenta.
Metodologia e fontes
Os resultados foram divulgados pelo ECO/EContas em 13 de novembro de 2026 às 06h38 UTC, com base no estudo da Deloitte «Auditoria Interna 2026 | O Retrato da Profissão em Portugal»: https://eco.sapo.pt/2026/11/13/mais-de-metade-das-empresas-so-usa-ia-em-15-das-atividades-de-auditoria-interna/ . A amostra descrita tem 82 responsáveis de auditoria interna, sobretudo de empresas de maior dimensão. Os números devem ser atribuídos ao inquérito e não generalizados a todas as empresas portuguesas. As implicações de cibersegurança, governação e contrainteligência discutidas neste texto são uma análise própria de risco, não resultados de ataques ou de perícias documentados pela Deloitte.
