Controles internos básicos para uma empresa que cresce

Chega um e-mail de um fornecedor avisando que mudou de conta bancária. A mesma pessoa que lança as compras atualiza o dado, prepara o pagamento e o aprova porque o gerente está viajando. Um mês depois, o fornecedor reclama que nunca recebeu o dinheiro. Ninguém dentro da empresa agiu de má-fé, mas não havia nenhum ponto em que outra pessoa precisasse conferir.

Quando a empresa era pequena, o dono via tudo. Com o crescimento, isso deixa de ser possível e são necessários controles internos: regras simples que fazem com que um erro ou um abuso exija a participação de mais de uma pessoa e deixe rastro. Este guia cobre os controles mínimos e como aplicá-los, mesmo que você trabalhe com planilhas.

Segregação de funções

O princípio é que nenhuma pessoa controle sozinha um processo do começo ao fim. Em quase todo fluxo de dinheiro há quatro funções que vale separar:

Função	Compras e pagamentos	Vendas e recebimentos
Registrar	Criar o pedido de compra	Emitir a fatura
Aprovar	Autorizar a compra ou o pagamento	Autorizar descontos ou crédito
Custodiar	Executar a transferência	Receber o dinheiro ou o depósito
Conciliar	Conferir o extrato com os pagamentos	Conferir recebimentos com as faturas

Se uma mesma pessoa registra e custodia, ou aprova e concilia o próprio trabalho, ela pode errar e também esconder o erro.

E se a equipe for pequena? Nem sempre há quatro pessoas. Nesse caso, use controles compensatórios: o dono revisa toda semana o extrato bancário completo, mudanças nos dados bancários de fornecedores são confirmadas por telefone com um contato já conhecido, ou o contador externo revisa uma amostra de pagamentos todo mês.

Níveis de aprovação por valor

Nem toda compra merece a mesma revisão. Uma tabela de níveis evita que o gerente assine tudo e que ninguém assine o que importa. Um exemplo com valores hipotéticos:

Valor da compra	Quem aprova
Até Bs 5.000	Chefe da área
De Bs 5.001 a Bs 30.000	Chefe da área e gerente administrativo
Acima de Bs 30.000	Gerente geral

Os valores são definidos pela sua empresa conforme o tamanho e o risco. O importante é que estejam escritos e que todos os conheçam.

O problema do fracionamento. Suponha que o limite do chefe de área seja Bs 5.000 e, na mesma semana, aparecem três compras do mesmo fornecedor de Bs 4.800, Bs 4.900 e Bs 4.700. Juntas somam Bs 14.400, que deveriam ter passado pelo gerente administrativo. Para detectar:

1. Agrupe as compras por fornecedor e por semana.
2. Some os valores de cada grupo.
3. Marque os grupos cuja soma ultrapassa um nível de aprovação, mesmo que nenhuma compra individual ultrapasse.
4. Revise os marcados com quem aprovou cada compra.

Um indicador útil é o percentual de compras que ficam entre 90% e 100% do limite do seu nível. Se ele é alto e está subindo, alguém pode estar ajustando valores para não escalar.

Matriz de permissões

A segregação fica real quando vira permissões concretas. Uma matriz cruza papéis com ações:

Ação	Compras	Tesouraria	Contabilidade	Diretoria
Criar pedido de compra	Sim	Não	Não	Não
Aprovar pedido de compra	Não	Não	Não	Sim
Alterar dados bancários de fornecedores	Não	Não	Sim	Não
Executar pagamentos	Não	Sim	Não	Não
Conciliar bancos	Não	Não	Sim	Não

Monte a matriz por papel, não por pessoa. Quando alguém muda de cargo, você troca o papel e não precisa lembrar de permissões avulsas. E confira se nenhuma linha combina funções incompatíveis da tabela anterior.

Registro de alterações

Há dados cuja alteração deveria sempre deixar registro de quem, quando, valor anterior e valor novo:

• Dados bancários de fornecedores e funcionários.
• Preços de venda e listas de preços.
• Limites de crédito de clientes.
• Valores de documentos já aprovados.
• Usuários, papéis e permissões.

Se você trabalha com planilhas, pelo menos guarde versões datadas e proteja com senha as planilhas mestras. O essencial é que o registro não possa ser editado pela mesma pessoa que faz as alterações.

Documentação de suporte

Todo pagamento deveria poder ser rastreado até a origem. Em compras, o controle clássico é o cruzamento de três documentos: pedido de compra aprovado, nota de recebimento e fatura do fornecedor. Se quantidade ou preço não batem entre os três, o pagamento fica retido até ser esclarecido.

Indicador: percentual de pagamentos com suporte completo = pagamentos do mês com os três documentos ÷ total de pagamentos do mês × 100. Suponha que em um mês você fez 200 pagamentos e 170 tinham pedido, recebimento e fatura: 170 ÷ 200 × 100 = 85%. Os 15% restantes são a sua lista de revisão.

Os prazos de guarda de faturas e documentos contábeis são definidos pela norma vigente; confirme-os com o seu contador antes de definir sua política de arquivo.

Revisão periódica de acessos

As permissões se acumulam: alguém cobre as férias de um colega, recebe um acesso extra e ninguém o retira. Uma revisão periódica, por exemplo trimestral, corrige isso:

1. Extraia a lista de usuários ativos com seus papéis.
2. Cruze a lista com o quadro atual de pessoal e desative quem já não trabalha na empresa.
3. Envie a cada gestor a lista da sua equipe para que confirme se cada papel está correto.
4. Remova as permissões temporárias vencidas.
5. Registre a revisão, com a data e quem a aprovou.

Indicador: contas de ex-funcionários ativas no momento da revisão. A meta é zero.

Erros comuns

• Usuários compartilhados. Se cinco pessoas usam “caixa1”, o registro não serve para nada.
• Exceções permanentes. “Só desta vez eu aprovo” vira regra.
• Esconder em vez de restringir. Esconder uma opção do menu não impede que alguém chegue a ela por outro caminho; o que protege é a permissão.
• Controles que ninguém revisa. Um registro que ninguém olha só ajuda depois do problema.
• Copiar a matriz de outra empresa. Os riscos dependem dos seus processos e do seu tamanho.

Checklist

• As quatro funções (registrar, aprovar, custodiar, conciliar) estão separadas ou têm um controle compensatório.
• Existe uma tabela escrita de níveis de aprovação por valor.
• O fracionamento de compras é revisado pelo menos uma vez por mês.
• Existe uma matriz de permissões por papel, sem combinações incompatíveis.
• Alterações em dados bancários, preços e permissões ficam registradas.
• Todo pagamento tem pedido, recebimento e fatura.
• Os acessos são revisados com uma frequência definida e a revisão fica documentada.
• Cada usuário é pessoal e intransferível.

Levar para um sistema

Esses controles funcionam em planilhas quando há disciplina. Quando o volume cresce, um ERP como o MKA pode aplicar permissões granulares por papel, validadas no servidor, e registrar cada alteração de dados em uma trilha encadeada por hash cuja integridade você pode verificar (ver auditoria e segurança).