A maioria das organizações enfrenta um dilema que persiste independentemente do tamanho ou setor: como garantir que um único indivíduo não possua poder absoluto sobre um processo crítico? Uma gestora de operações autoriza uma compra e também aprova o pagamento. Um analista entra com dados e gera o relatório que será apresentado à diretoria. Um funcionário acessa a senha mestra do sistema e pode modificar históricos. Quando essas funções se acumulam nas mesmas mãos, o risco não é apenas teórico, ele se materializa em fraudes, erros não detectados e decisões comprometidas. Segregação de funções, mais conhecida como SOD (Segregation of Duties), é a prática de distribuir responsabilidades de um processo entre pessoas diferentes, garantindo que nenhuma tenha controle total. Essa não é uma prática opcional para empresas que buscam excelência operacional e integridade financeira.
O impacto financeiro de não ter segregação de funções é mensurável e preocupante. Segundo o Report to the Nations 2024 da ACFE (Associação de Examinadores de Fraude Certificados), foram documentados mais de 1.900 casos de fraude em 138 países, com perdas estimadas em USD 3,1 bilhões. O que é revelador é que aproximadamente 50% dos casos poderiam ter sido prevenidos ou reduzidos através de controles internos adequados, sendo que 32% das perdas resultaram especificamente da ausência de controles internos e 19% do override de controles existentes. Organizações que implementam data analytics e monitoramento anti-fraude sofrem 50% menos perdas quando comparadas àquelas sem essas práticas. De acordo com a Pesquisa Global sobre Fraudes e Crimes Econômicos 2024 da PwC Brasil, os facilitadores mais comuns de comportamentos fraudulentos incluem falta de monitoramento contínuo, ausência de segregação de funções e excesso de confiança em processos informais e nas pessoas. Esses elementos combinados criam um ambiente onde falhas de controle passam despercebidas e comportamentos inadequados prosperam sem freios.
No contexto específico do Brasil, as perdas associadas a esses gaps de controle são ainda mais expressivas. De acordo com o Relatório de Integridade Global 2024 da EY, fraudes no sistema financeiro brasileiro atingiram R$ 71,4 bilhões em perdas acumuladas. Quando questionadas sobre fontes de risco, 47% das organizações identificam funcionários como a maior ameaça à integridade. Conforme o relatório Perfil Hotline 2023 da KPMG Brasil, foram documentados 256 casos registrados em canais de denúncia, envolvendo 669 fraudadores, sendo a falta de segregação de funções o facilitador principal de muitos desses incidentes. Mesmo em setores como varejo, segundo pesquisa de 2023 da ABRAPPE e KPMG, as perdas brasileiras chegaram a R$ 34,9 bilhões, com 84% delas relacionadas a falhas operacionais que poderiam ter sido detectadas através de controles adequados.
O que a segregação de funções exige na prática
Implementar segregação de funções não significa apenas distribuir tarefas arbitrariamente. Significa identificar quais etapas de um processo são mutuamente excludentes e garantir que pessoas diferentes as executem. Em um ciclo de compra, por exemplo, o requisitante que solicita um produto não deve ser o mesmo que autoriza a compra, que não deve ser o mesmo que confirma o recebimento e que não deve ser o mesmo que autoriza o pagamento. Cada função carrega um peso diferente na cadeia de decisão. A autorização é o ponto crítico, porque é ali que um executivo aprova o gasto. Se essa mesma pessoa requisita, aprova e paga, ela possui poder total sobre a transação. A segregação quebra esse ciclo. O Framework COSO (Committee of Sponsoring Organizations), que define as melhores práticas globais de controle interno, posiciona segregação de funções como uma atividade de controle obrigatória. Não é opcional. É fundacional.
A estrutura de segregação deve considerar três dimensões que frequentemente são negligenciadas. A primeira é o conhecimento: alguém que acumula muita responsabilidade sobre um processo torna-se único detentor daquele conhecimento, criando dependência e risco operacional. Se essa pessoa sai ou fica indisponível, o processo paralisa. A segunda dimensão é o acesso: sistemas precisam ser configurados para permitir que cada pessoa execute apenas suas funções específicas, não mais. Permissões genéricas ou que excedem o necessário abrem brechas. A terceira é a auditoria: se não há registros de quem fez o quê e quando, não há como rastrear desvios. Segregação de funções só funciona se for acompanhada de log de atividades e rastreabilidade.
Reguladores entendem a importância dessa prática e vêm incluindo-a em marcos legais e normativos. Para instituições financeiras, o Banco Central do Brasil exige segregação patrimonial obrigatória, impedindo que a mesma entidade gerencie seus próprios ativos e os custodie simultaneamente. Em matéria de conformidade corporativa, a Lei Sarbanes-Oxley (SOX), Section 404, que afeta empresas listadas e suas cadeias de suprimentos, posiciona segregação de funções entre os três principais problemas reportados por empresas brasileiras, conforme pesquisa de 2025 da Grant Thornton. O Instituto Brasileiro de Governança Corporativa (IBGC) inclui no Código das Melhores Práticas de Governança Corporativa a recomendação explícita de separação de funções em processos críticos. Esses não são requisitos sugestivos, são expectativas que stakeholders, auditores e órgãos reguladores aplicam quando avaliam a saúde de uma organização.
Por que muitas organizações ainda lutam com SOD
Apesar da clareza sobre importância, implementação de segregação de funções permanece como um dos gaps mais comuns em auditorias internas e externas. Existem razões estruturais para isso. A primeira é de escala: organizações menores frequentemente argumentam que têm poucas pessoas e que não é possível segregar funções sem duplicar esforços. Essa é uma crença perigosa. Mesmo em operações enxutas, é possível implementar segregação através de revisões, aprovações cruzadas ou confirmações antes de ações críticas. A função de autorização pode ser de alguém diferente do requisitante, mesmo que ambos estejam no mesmo departamento, desde que haja independência na decisão. A segunda razão é de processos informais: quando sistemas legados não suportam segregação adequada, muitas organizações compensam com processos manuais, e-mails, aprovações offline. Esses processos são frágeis, não deixam rastro claro, e frequentemente são ignorados sob pressão de prazos. A terceira razão é cultural: existe uma tendência de confiar em pessoas, especialmente naquelas com mais tempo de casa. Essa confiança é perigosa quando substitui controles. Controles não existem porque não confiamos nas pessoas, existem porque assumimos que qualquer pessoa, independentemente de intenção, está sujeita a erros, pressões e tentações.
A aceleração de decisões através de SOD bem implementado é um benefício secundário que frequentemente é ignorado. Quando processos são claros, com funções bem segregadas e monitoradas, as aprovações não dependem de uma única pessoa estar disponível. Uma decisão não fica travada porque o gerente está em férias ou reunião. Se há segregação entre requisição e aprovação, e o sistema está configurado para isso, qualquer aprovador autorizado pode dar prosseguimento. Transparência também acelera: quando há logs claros de quem fez o quê, auditorias internas são mais rápidas porque os dados já estão organizados. Quando um problema é identificado, a rastreabilidade permite que se identifique a causa raiz sem investigações longas.
Como estruturar segregação de funções em sua organização
O primeiro passo não é tecnologia, é mapeamento. Identifique seus processos críticos, aqueles que envolvem movimento de dinheiro, acesso a dados sensíveis ou decisões estratégicas. Para cada um, mapeie as etapas sequenciais. Compra, aprovação, recebimento, faturamento, pagamento. Acesso a dados, consulta, modificação, exclusão, exportação. Cada passo é uma função. Então determine quem pode fazer o quê. Em organizações menores, um requisitante não pode ser também o aprovador de seu próprio pedido. Um contador que registra uma transação não pode ser também o que concilia com o banco. Se você tem cinco pessoas no departamento, a segregação não desaparece, ela se adapta. Talvez três estejam em requisição, dois em aprovação. Ou talvez haja um revezamento de quem aprova o quê, desde que não haja aprovador aprovando sua própria requisição.
O segundo passo é tecnologia: escolha ou configure seus sistemas para reforçar essas regras. Sistemas bem estruturados não permitem que alguém salte uma etapa ou acumule funções não autorizadas. Fluxos de workflow são desenhados para garantir sequência. Permissões de acesso são configuradas no menor nível necessário, conhecido como princípio do menor privilégio. Se alguém precisa consultar, não recebe permissão para modificar. Se recebe permissão para modificar, há log de cada alteração com identificação do usuário e timestamp. Sistemas legados que não suportam segregação adequada podem ser compensados através de camadas de aprovação manual, desde que documentadas, rastreáveis e monitoradas.
O terceiro passo é monitoramento contínuo. Segregação de funções não é um projeto que termina quando é implementado. Precisa ser monitorada periodicamente. Há violações? Alguém recebeu permissões inadequadas? Um processo foi desviado? Auditorias internas devem revisar segregação regularmente, e dashboards de controle devem alertar quando exceções ocorrem. Quando há desvios, precisam ser investigados e justificados. Talvez haja uma razão legítima, como uma cobertura por ausência. Se for, essa exceção precisa ser temporária, documentada e autorizada em nível apropriado.
O que esperar após implementação
Organizações que implementam segregação de funções adequadamente relatam reduções significativas em fraudes não detectadas, menos retrabalho em auditorias externas, processos mais rápidos por não dependerem de um único aprovador, e maior conformidade com requisitos reguladores. O custo inicial, frequentemente percebido como implementação de permissões de sistemas e redesenho de processos, é rapidamente compensado pela redução de incidentes, pela velocidade de decisão e pela confiança dos stakeholders.
Qual é o nível de segregação de funções atualmente em seus processos críticos, e quais deles dependem ainda de uma única pessoa para múltiplas etapas?