Em boa parte das organizações, a primeira vez que a expressão segregação de funções aparece com peso é dentro de um relatório de auditoria, quase sempre acompanhada de uma ressalva. Alguém com acesso para cadastrar um fornecedor também consegue aprovar o pagamento a esse mesmo fornecedor, e o controle que deveria impedir essa concentração simplesmente não existia.
O problema raramente é má-fé. É a forma como os acessos foram concedidos ao longo do tempo, sob pressão de entregar, com perfis ampliados a cada nova demanda e quase nunca revisados depois. Quando o crescimento acelera, o desenho de quem pode fazer o quê deixa de acompanhar a realidade da operação, e a brecha se abre sem que ninguém perceba.
A segregação de funções é o princípio que impede que uma única pessoa controle todas as etapas de um processo sensível, do início ao fim. A lógica é antiga e vem do controle interno contábil, na qual quem registra uma transação não deveria ser quem a autoriza, e quem a autoriza não deveria ser quem a executa.
Transposta para o ambiente digital, essa ideia ganhou complexidade, porque os acessos hoje não estão em livros-razão, mas em sistemas integrados na qual um único perfil pode cruzar diversas fronteiras de responsabilidade sem deixar rastro evidente. O que era um cuidado de escrituração tornou-se um pilar de segurança da informação e de conformidade.
O ponto que costuma passar despercebido é que a segregação de funções não existe para satisfazer o auditor. Ela existe para reduzir a superfície de fraude, erro e abuso dentro de processos na qual o dinheiro, os dados e as decisões circulam. Tratá-la como exigência externa, uma caixa a marcar antes da próxima certificação, é o que faz com que tantas matrizes de controle nasçam desatualizadas. A pergunta que importa não é se a empresa tem uma política de SoD documentada, e sim se essa política descreve o que de fato acontece quando um colaborador abre o sistema pela manhã.
Há também um efeito de escala que torna o tema mais urgente conforme a organização amadurece. Quanto mais sistemas integrados, mais usuários e mais perfis de acesso uma empresa acumula, mais difícil se torna enxergar a olho nu as combinações perigosas, porque elas deixam de estar contidas em um único sistema e passam a se formar pela soma de acessos concedidos em ambientes diferentes. Um colaborador pode ter, isoladamente, permissões inofensivas em três sistemas distintos que, combinadas, lhe dão controle completo sobre um processo financeiro. Esse tipo de conflito transversal escapa de qualquer revisão manual e só se torna visível quando a segregação de funções é tratada como uma disciplina contínua, ancorada em ferramentas e critérios que cruzam o ambiente como um todo.
Como desenhar uma matriz de segregação de funções que acompanha a operação
A construção de uma matriz de segregação de funções começa por um mapeamento honesto dos processos críticos, aqueles na qual a combinação indevida de acessos gera risco material. Compras, contas a pagar, folha de pagamento, concessão de crédito e administração de sistemas são os pontos clássicos, mas cada setor tem os seus. O exercício consiste em identificar quais pares de atividades não podem coexistir nas mãos de uma mesma pessoa, e então traduzir essa incompatibilidade em regras concretas de acesso. É um trabalho que mistura conhecimento de negócio com conhecimento técnico, porque a incompatibilidade só faz sentido quando ancorada no fluxo real de aprovação.
O erro mais comum nessa etapa é montar a matriz como um documento estático, validado uma vez e arquivado. Processos mudam, sistemas são substituídos, áreas se reorganizam, e a matriz que descrevia a empresa de um ano atrás passa a descrever uma organização que não existe mais. Uma matriz de SoD útil é viva, revisada em ciclos definidos e, idealmente, conectada à própria gestão de identidades e acessos, de modo que a tentativa de conceder uma combinação proibida seja sinalizada no momento em que acontece, e não meses depois, quando o estrago já se consolidou.
Há ainda a questão dos conflitos que não podem ser eliminados. Em equipes pequenas, separar todas as funções é simplesmente inviável, porque não há pessoas suficientes para distribuir as responsabilidades. Nesses casos, a segregação pura cede lugar aos controles compensatórios, na qual a impossibilidade de separar é mitigada por revisões independentes, trilhas de auditoria robustas e aprovações em camadas. Reconhecer essa limitação e documentá-la com transparência é mais maduro do que fingir uma separação que a estrutura não sustenta. A maior parte das organizações de médio porte vive exatamente nessa zona intermediária, na qual o desenho ideal precisa ser negociado com a realidade dos recursos disponíveis.
A definição dos controles compensatórios, contudo, exige o mesmo rigor que a separação ideal exigiria, sob pena de virar apenas uma justificativa para a ausência de controle. Quando uma empresa decide que uma pessoa acumulará funções incompatíveis porque não há alternativa, essa decisão precisa vir acompanhada de uma compensação real e verificável, uma revisão periódica feita por alguém de fora do processo, um registro que permita reconstruir o que foi feito, um limite que reduza o impacto de um eventual desvio. O que distingue um controle compensatório legítimo de uma desculpa é a possibilidade de demonstrar, diante de um questionamento, que a combinação de acessos foi conscientemente assumida e ativamente vigiada, e não simplesmente tolerada por conveniência.
Conflitos de acesso na prática e o custo de ignorá-los
Um conflito de acesso costuma ser silencioso até o dia em que não é mais. Enquanto nada acontece, a concentração de permissões parece eficiente: uma pessoa resolve, decide e executa sem depender de terceiros, e a operação flui mais rápido. O problema é que essa mesma fluidez é o que permite que um pagamento indevido siga sem barreira, que um dado sensível seja exportado sem registro, ou que um erro de digitação se transforme em prejuízo sem que ninguém tenha a chance de interceptá-lo. O controle que parecia burocracia se revela, no incidente, a única coisa que teria evitado a perda.
O custo de ignorar a segregação de funções não se mede apenas em fraudes consumadas, que são a manifestação mais visível. Ele aparece também na dificuldade de investigar o que deu errado, porque sem separação de responsabilidades não há como reconstruir a cadeia de decisões com clareza. Aparece na exposição regulatória, na qual a ausência de controles adequados sobre dados pessoais ou transações financeiras pode caracterizar negligência diante das normas aplicáveis. E aparece na confiança, porque clientes e parceiros que dependem da integridade dos processos de uma empresa não toleram bem a descoberta de que essa integridade dependia da boa vontade de uma única pessoa.
Setores que lidam com grande volume de transações financeiras ou com dados pessoais em escala sentem esse custo de forma mais aguda, porque neles a combinação indevida de acessos tem consequência imediata e mensurável. Mas seria um equívoco imaginar que o tema pertence apenas a bancos ou a grandes operadoras. Qualquer organização que tenha processos na qual autorizar, executar e registrar se concentram convive com o mesmo risco latente, ainda que em proporção diferente. A diferença entre as empresas não está em ter ou não ter conflitos de acesso, e sim em saber ou não que os tem.
Existe ainda um custo mais sutil, que se acumula muito antes de qualquer incidente: o da própria opacidade. Em uma operação na qual uma única pessoa concentra etapas que deveriam ser separadas, a organização perde a capacidade de saber, com segurança, o que está acontecendo dentro de seus próprios processos. As decisões passam a depender da palavra de quem detém o controle, e a liderança fica sem instrumentos para verificar de forma independente se tudo corre como deveria. Essa cegueira parcial não aparece em nenhum relatório de perdas, mas corrói a qualidade da gestão, porque uma empresa que não consegue enxergar seus processos com clareza também não consegue melhorá-los nem confiar plenamente nos números que eles produzem.
Segregação de funções como base de governança e conformidade
Quando bem implementada, a segregação de funções deixa de ser um item isolado de segurança e passa a sustentar uma estrutura maior de governança. Ela alimenta a gestão de riscos com informação concreta sobre a qual a operação está vulnerável, oferece à conformidade evidência de que os controles existem e funcionam, e dá à liderança a tranquilidade de saber que nenhum processo crítico repousa inteiramente sobre um único indivíduo. Não é exagero dizer que a qualidade da SoD de uma empresa é um indicador da maturidade do seu controle interno como um todo.
Essa conexão com a governança é o que diferencia uma abordagem reativa de uma abordagem estratégica. A empresa que trata segregação de funções como tarefa pontual, executada às pressas antes de uma certificação, colhe um documento que envelhece no dia seguinte. A empresa que a integra à sua estrutura de identidades, à sua política de acessos e aos seus ciclos de revisão de risco constrói um controle que se mantém vivo e que gera valor continuamente, reduzindo a probabilidade de incidentes e encurtando o tempo de resposta quando algo escapa. A diferença de esforço entre as duas abordagens é menor do que parece; a diferença de resultado é enorme.
Resta a pergunta que cabe a quem decide. Se um colaborador de confiança deixasse a empresa amanhã, e com ele toda a memória informal de quem aprova o quê, os controles documentados seriam suficientes para sustentar a operação sem abrir brechas? A resposta a essa pergunta diz mais sobre a saúde da governança de uma organização do que qualquer relatório de auditoria, e é justamente nela que vale concentrar atenção antes que o próximo ciclo de crescimento volte a esticar os acessos além do que o desenho consegue suportar.