RCVM 21: como estruturar o Relatório de Controles Internos? 

A base sólida de qualquer organização está na transparência e confiabilidade de suas informações, tanto financeiras quanto operacionais.   

Para Administradores Fiduciários e Gestoras de Recursos, o Relatório de Controles Internos previsto na Resolução CVM n° 21/21 não deve ser tratado como uma mera formalidade de calendário. 

O Diretor de Compliance deve elaborar e encaminhar o arquivo até o último dia útil de abril de cada ano. O documento deve ser enviado à alta administração da Gestora e aos membros dos Comitês internos aplicáveis. 

Relatório de Controles Internos

O Relatório consolida as ações realizadas ao longo do ano, registra eventuais deficiências identificadas, organiza os respectivos planos de ação e fornece à alta administração uma visão abrangente sobre a efetividade dos controles internos, bem como sobre o nível de aderência da instituição às exigências regulatórias. 

Na prática, esse relatório cumpre um papel importante. Quando bem elaborado, não apenas demonstra que a instituição monitora seus processos, mas também ajuda a priorizar riscos, acompanhar correções e fortalecer a tomada de decisão.  

Quando é genérico, incompleto ou produzido sem método, perde valor para a gestão e aumenta a exposição da casa a falhas de conformidade. 

Se você está encarregado(a) de apoiar o Diretor na elaboração do Relatório Anual de Controles Internos, este guia apresenta os principais pontos a serem considerados, de acordo com as diretrizes da CVM. 

Por que esse Relatório merece atenção estratégica? 

Embora constitua uma exigência regulatória, o relatório vai muito além do mero cumprimento formal da norma, e funciona como um importante instrumento de supervisão interna e de fortalecimento da maturidade da estrutura de compliance. 

Tal fato ocorre porque sua elaboração exige que a organização: 

• olhar para seus processos com mais profundidade; 

• identificar fragilidades;  

• revisar a aderência entre prática e procedimento; e  

• transformar achados em ações concretas.  

Em outras palavras, o relatório não deveria ser visto apenas como um documento final, mas como o resultado de um processo contínuo de monitoramento. 

O que a CVM espera ver, na prática? 

Além do conteúdo mínimo previsto na RCVM 21, a CVM já sinalizou que espera relatórios robustos e úteis para a administração.  

Ou seja, não é suficiente apenas afirmar que controles existem e que políticas estão implementadas.  

→ É fundamental demonstrar, de forma concisa e estruturada, quais elementos foram analisados, qual metodologia ou abordagem foi utilizada na análise, quais conclusões foram obtidas, quais medidas serão tomadas e quais evidências objetivas dão suporte a essas conclusões. 

Na prática, tudo isso exige planejamento.  

O relatório anual não deve nascer apenas em março ou abril, mas refletir o trabalho realizado ao longo de todo o ano-base, com testes, revisões, monitoramentos e registro de evidências compatíveis com o porte, a complexidade e os riscos da instituição. 

Também é importante que a análise seja proporcional à realidade da instituição. Uma estrutura mais enxuta não precisa reproduzir controles excessivos, mas deve demonstrar coerência entre sua operação, seus riscos e os controles adotados. 

Como estruturar o Relatório de Controles Internos? 

1. Uma forma eficiente de organizar o documento é começar pelo escopo do trabalho realizado no período.    Nessa abertura, vale indicar quais atividades, áreas, processos e obrigações regulatórias foram cobertos, além de contextualizar a atuação da instituição.

2. Na sequência, o ideal é apresentar a metodologia utilizada.   Esse trecho deve explicar, de forma objetiva, como os exames foram conduzidos, quais critérios orientaram a seleção dos temas revisados, se a avaliação foi por amostragem ou sobre o todo, quais fontes foram analisadas e como as evidências foram registradas.

3. Após essa etapa, o relatório passa a ganhar maior consistência quando os resultados são organizados por temas.   Em vez de reunir observações dispersas, torna-se mais adequado estruturar o conteúdo em seções como controles internos, governança, gestão de riscos, suitability, conflitos de interesses, segurança da informação, treinamentos obrigatórios, atualização de políticas e demais rotinas regulatórias aplicáveis à atividade exercida.

4. Para cada tema analisado, o relatório deve evidenciar qual foi o exame realizado, qual conclusão foi alcançada, se houve deficiência identificada e, em caso positivo, qual recomendação foi proposta.   Sempre que possível, também é importante registrar área responsável e prazo para saneamento, para que o documento não se limite a apontar falhas, mas sirva como base de acompanhamento.

5. O relatório também deve recuperar o histórico do ano anterior. A sua organização traçou planos de ação para as deficiências mapeadas no relatório do ano-base de 2024. Assim, o relatório do ano seguinte deverá trazer a conclusão desse plano de ação, com todas as informações inerentes a ele – diagnóstico, indicadores avaliados, novos controles implementados, efetividade, método etc.

6. Por fim, o relatório deve apresentar a manifestação formal do diretor competente acerca das deficiências anteriormente identificadas, bem como das medidas adotadas ou planejadas para sua correção.  Esse pronunciamento final constitui elemento essencial da estrutura do documento.

Erros mais comuns na elaboração do Relatório 

Um dos erros mais frequentes é produzir um texto excessivamente descritivo e pouco analítico.  

Quando o relatório apenas afirma que processos existem ou que a instituição está em conformidade, sem indicar o racional e métricas por trás da conclusão, ele perde credibilidade e utilidade. 

Outro problema recorrente é a ausência de conexão entre achados e plano de ação. Identificar uma deficiência sem propor recomendação, responsável e prazo reduz muito o valor prático do relatório e dificulta o acompanhamento posterior. 

Também é comum haver falhas de escopo. Em alguns casos, o documento não reflete a realidade operacional da instituição.  

Em outros, deixa de abordar temas relevantes para a atividade exercida. Em ambos os cenários, o relatório enfraquece a demonstração de efetividade do programa de compliance. 

→ Há também um erro de processo que frequentemente compromete a qualidade do trabalho: deixar para organizar as evidências no final do ciclo e elaborar o relatório “de última hora”.  

Quando a organização passa a reunir informações muito próximo ao prazo de abril, aumenta significativamente o risco de lacunas, perda de evidências, análises superficiais e falta de conformidade. 

Como tornar o processo mais eficiente? 

A elaboração do relatório tende a ser mais segura quando a instituição mantém, ao longo do ano, uma rotina mínima de organização das evidências, registro de controles e testes, acompanhamento de pendências e atualização de planos de ação. 

Assim, reduz a dependência de reconstruir informações perto da entrega e torna o documento final mais consistente.  

Ademais, ao longo do ano de 2025, idealmente, a sua organização deu continuidade aos controles bem e cumpriu aos planos de ação definidos no relatório do ano-base anterior. 

Essa continuidade também facilita a visão histórica de achados, o acompanhamento de reincidências e a demonstração de evolução da estrutura de controles internos. 

Na prática, o maior desafio raramente está apenas em redigir o relatório. O ponto mais sensível costuma ser consolidar informações dispersas, manter rastreabilidade das evidências e transformar observações de compliance em ações efetivamente acompanháveis. 

Valor estratégico do Relatório  

O Relatório de Conformidade e Controles Internos deve ser encarado como um instrumento para decisões estratégicas, e não apenas como uma obrigação anual. Quando bem estruturado, ele ajuda a administração a entender riscos, acompanhar deficiências, priorizar correções e fortalecer a efetividade dos controles internos. 

Mais do que cumprir prazo, o valor do relatório está na sua capacidade de retratar a realidade da instituição, sustentar conclusões com evidências e transformar achados em decisões e melhorias concretas.  

Assim, protege a organização de riscos regulatórios, operacionais, reputacionais, dentre outros. 

Evidências e controles em um só lugar 

Se sua instituição precisa organizar evidências, acompanhar pendências e fortalecer o compliance ao longo do ano, o Compliasset pode ajudar. No sistema, controles e registros ficam estruturados e o relatório anual deixa de ser um esforço concentrado para refletir uma rotina de conformidade sólida. 

Nossos clientes ainda recebem gratuitamente, todos os anos, o Modelo de Relatório Anual de Controles Internos, originalmente desenvolvido pelo Dyskant Advogados e anualmente atualizado pelo time jurídico do Compliasset. 

Agende uma demonstração agora mesmo!