Em muitas empresas, especialmente nas pequenas e médias, é comum uma mesma pessoa acumular diferentes responsabilidades.
Ela cadastra o fornecedor.
Recebe o documento.
Lança a obrigação.
Prepara o pagamento.
Efetua a transferência.
Faz a baixa no sistema.
E, algumas vezes, ainda realiza a conciliação bancária.
À primeira vista, essa concentração pode parecer eficiente.
Menos pessoas envolvidas.Menos etapas.Mais agilidade.
Mas existe uma pergunta importante:
se houver um erro, uma fraude ou uma alteração indevida, quem perceberá?
É justamente nesse ponto que entra a segregação de funções.
Em resumo
O que é
Segregação de funções significa evitar, sempre que possível, que uma única pessoa concentre etapas incompatíveis de uma operação crítica.
Por que importa
Essa separação cria pontos independentes de verificação e pode reduzir a exposição da empresa a riscos como:
- erros;
- fraudes;
- pagamentos indevidos;
- alterações não autorizadas;
- acessos excessivos;
- manipulação de informações;
- uso inadequado de dados.
O que considerar agora
Identifique os processos em que uma mesma pessoa consegue criar, autorizar, executar, registrar e conferir uma operação sem revisão independente.
É nesses pontos que normalmente estão algumas das maiores vulnerabilidades.
O problema não é desconfiar das pessoas
Quando se fala em segregação de funções, é comum surgir uma interpretação equivocada:
“Se eu confio no meu funcionário, por que preciso desse controle?”
A questão não é essa.
Pessoas competentes e confiáveis também podem cometer erros.
Um pagamento pode ser duplicado.
Um dado bancário pode ser alterado incorretamente.
Um documento pode ser lançado com valor errado.
Um acesso pode permanecer ativo por mais tempo do que deveria.
E, naturalmente, também existem situações de fraude ou uso indevido de informações.
Controles internos existem justamente para que a organização não dependa exclusivamente da ausência de erros ou da boa intenção de uma única pessoa.
Confiança e controle não são opostos.
Empresas bem organizadas precisam dos dois.
O que significa segregar funções na prática?
Considere um pagamento a fornecedor.
Em uma estrutura mais protegida, as responsabilidades poderiam ser distribuídas da seguinte forma:
Cadastro ou alteração do fornecedor
↓
Recebimento e validação do documento
↓
Aprovação do pagamento
↓
Execução financeira
↓
Conciliação e conferência
O objetivo não é necessariamente colocar uma pessoa diferente em cada etapa.
É impedir que funções incompatíveis sejam concentradas sem algum mecanismo independente de revisão.
Em termos simples:
quem cria uma operação não deveria ter poder irrestrito para aprová-la, executá-la e conferir o próprio trabalho.
Onde está o risco da concentração?
Imagine que uma mesma pessoa consiga:
- cadastrar um fornecedor;
- alterar seus dados bancários;
- lançar uma obrigação;
- liberar o pagamento;
- efetuar a transferência;
- registrar a baixa;
- conciliar a conta bancária.
Caso ocorra uma irregularidade, essa pessoa pode ter condições de percorrer praticamente todo o processo sem depender de outra validação.
O problema não é afirmar que alguém fará isso.
O problema é perceber que:
o processo permitiria que isso acontecesse com pouca possibilidade de detecção.
Essa é uma distinção importante.
Governança não deve ser desenhada apenas para as pessoas que ocupam determinada função hoje.
Ela deve proteger a organização ao longo do tempo.
Fraude é apenas uma parte do problema
Segregação de funções costuma ser associada à prevenção de fraude.
Mas sua utilidade é mais ampla.
Erros
Uma revisão independente aumenta a possibilidade de identificar uma falha antes que ela produza efeitos maiores.
Pagamentos indevidos
Separar preparação, aprovação e execução reduz a concentração de controle sobre a saída de recursos.
Alterações não autorizadas
Responsabilidades e permissões bem definidas dificultam mudanças sem a devida validação.
Acessos excessivos
Nem toda pessoa precisa acessar todas as informações ou funcionalidades de um sistema.
Uso inadequado de informações
Quanto maior o número de pessoas com acesso desnecessário a informações sensíveis, maior a exposição da organização.
Falta de rastreabilidade
Contas individuais, responsabilidades definidas e registros de operação tornam mais fácil compreender quem fez o quê.
Onde a segregação merece mais atenção?
Alguns processos costumam concentrar riscos relevantes.
Pagamentos
Quem cadastra ou altera fornecedores não deveria controlar sozinho todo o processo de pagamento.
Compras
Solicitar, escolher fornecedor, aprovar e validar o recebimento são atividades que merecem pontos independentes de controle.
Recebimentos
Quem recebe valores não deveria necessariamente controlar sozinho registro, baixa e conciliação.
Folha de pagamento
Cadastro de empregados, alterações salariais, processamento e liberação financeira merecem controles distintos.
Estoques
Movimentação física e alteração dos registros de estoque não deveriam ficar completamente sob o mesmo controle.
Contabilidade
Lançamentos, alterações relevantes e revisões precisam preservar rastreabilidade e possibilidade de conferência.
Sistemas e informações
Os acessos devem acompanhar as responsabilidades de cada função.
Uma pessoa não precisa ter permissão para realizar uma atividade apenas porque o sistema permite concedê-la.
Segregar responsabilidades também exige revisar acessos
Esse ponto merece atenção especial.
Uma empresa pode ter definido que:
uma pessoa compra;
outra paga;
outra confere.
Mas, se todas possuem perfil administrativo no sistema e conseguem alterar praticamente qualquer informação, a segregação pode existir apenas no organograma.
Por isso, existem duas perguntas diferentes:
Quem deveria fazer?
Essa é a definição de responsabilidade.
O que essa pessoa consegue fazer?
Essa é a definição de acesso.
As duas precisam conversar.
Um princípio útil é conceder a cada usuário apenas os acessos necessários para exercer suas responsabilidades.
Nem mais.
Nem por mais tempo do que o necessário.
Nossa leitura
A pergunta mais útil para a gestão não é:
“Confiamos nessa pessoa?”
A pergunta deveria ser:
“Se houver um erro, uma irregularidade ou um acesso indevido, nosso processo tem condições de perceber?”
Essa mudança de perspectiva leva a empresa para uma lógica mais madura de governança.
Pessoas mudam.
Gestores mudam.
Sistemas mudam.
A empresa cresce.
Valores movimentados aumentam.
E processos que pareciam adequados quando o negócio era pequeno podem se tornar vulneráveis à medida que a organização evolui.
Bons controles precisam crescer junto com a empresa.
E quando a equipe é pequena?
Essa é uma realidade importante.
Nem toda empresa possui pessoas suficientes para separar completamente todas as funções.
Mas a impossibilidade de atingir a segregação ideal não significa ausência total de controle.
Quando determinadas funções precisam permanecer concentradas, a empresa pode criar outras formas de revisão.
Por exemplo:
- dupla aprovação para pagamentos relevantes;
- revisão periódica das movimentações pelos sócios;
- conciliação bancária conferida por outra pessoa;
- confirmação independente para alteração de dados bancários;
- limites de alçada;
- alertas para movimentações atípicas;
- revisão periódica de usuários e permissões;
- análise posterior de operações consideradas críticas.
A pergunta deixa de ser:
“Temos pessoas suficientes para separar tudo?”
e passa a ser:
“Onde o risco é maior e qual controle podemos colocar nesse ponto?”
O objetivo não é criar burocracia.
É colocar controle onde ele realmente protege valor.
O que sua empresa deveria avaliar agora?
Algumas perguntas simples podem revelar concentrações importantes.
Uma mesma pessoa consegue cadastrar e pagar um fornecedor?
Quem altera dados bancários também consegue liberar pagamentos?
Quem processa a folha consegue alterar informações relevantes sem aprovação?
Quem movimenta estoque também pode ajustar livremente os registros?
Existem usuários compartilhados?
Ex-colaboradores continuam com acessos ativos?
Existem pessoas com perfil de administrador sem necessidade?
Quem executa uma operação também é a única pessoa que a confere?
Alterações críticas deixam rastros suficientes para revisão?
Se várias respostas causarem desconforto, talvez exista espaço para fortalecer os controles.
Por onde começar?
Não é necessário redesenhar toda a organização de uma vez.
Comece pelos processos que envolvem maior exposição:
dinheiro
dados sensíveis
folha de pagamento
estoque
cadastros críticos
informações contábeis
acessos a sistemas
autorizações relevantes
Para cada processo, faça um exercício simples:
Quem solicita?
↓
Quem executa?
↓
Quem aprova?
↓
Quem registra?
↓
Quem confere?
Depois, procure situações em que uma mesma pessoa aparece em praticamente todas as etapas.
Esses pontos merecem atenção.
Governança também é construir processos que protegem a empresa.
Segregação de funções não elimina fraudes.
Não elimina erros.
E não substitui outros controles.
Mas reduz a dependência de uma única pessoa e cria pontos de verificação que podem aumentar a capacidade da organização de prevenir ou detectar problemas.
O princípio é simples:
operações críticas não deveriam ficar inteiramente sob o controle de uma única pessoa sem alguma forma independente de revisão.
Empresas mais seguras não são aquelas que desconfiam mais das pessoas.
São aquelas que constroem processos nos quais:
confiança e controle trabalham juntos.
Na sua empresa, existem processos críticos que dependem excessivamente de uma única pessoa? Talvez esse seja um bom ponto para começar a fortalecer sua governança.
