A segregação de funções significa dividir responsabilidades importantes entre duas ou mais pessoas para evitar erros, fraude ou abuso. É algo que vemos em todo o lado, desde operações militares a empresas tecnológicas, porque exigir que várias pessoas concluam ações críticas torna tudo mais seguro e preciso.
Para as empresas tecnológicas, esta abordagem é essencial para proteger ativos, dados sensíveis e operações contra ameaças internas e externas. Eis como funciona a segregação de funções e por que razão deve preocupar-se com ela.
O que é a segregação de funções?
A segregação de funções (SoD) é um controlo interno que garante que pelo menos duas pessoas são conjuntamente responsáveis por uma determinada tarefa. É normalmente implementada atribuindo a duas ou mais pessoas a responsabilidade por diferentes componentes de uma tarefa específica.
Por exemplo, um CFO pode decidir delegar a contabilidade salarial ao Colaborador A, mas fazer com que o Colaborador B aprove formalmente o processamento efetivo dos pagamentos.
A ideia é ajudar a reduzir o risco de fraude e erro humano, garantindo que nenhuma entidade individual tem controlo total sobre qualquer processo importante. A segregação de funções também é designada por separação de funções — os termos podem ser utilizados indistintamente.
De um modo geral, existem quatro funções principais ou tipos de atividades que devem, idealmente, ser segregados. Isto significa que nenhuma entidade individual deve ser responsável por todas estas quatro atividades; num cenário ideal, cada uma deve ser tratada de forma independente. Estas categorias são:
Autorização ou aprovação (AUT)
A pessoa que autoriza uma transação, encomenda ou ação interna significativa e/ou a pessoa que aprova essa ação.
Custódia de ativos (CUS)
A pessoa responsável pela manutenção de ativos, como inventário ou um cheque físico de um cliente.
Have an account? Log In
Registo de transações (REC)
A pessoa que regista transações num sistema de contabilidade ou noutro registo interno.
Reconciliação/controlo/verificação (VER)
A pessoa que reconcilia os registos da conta bancária, os níveis de inventário físico, etc.
Os protocolos de SoD são relevantes em toda a empresa, mas as aplicações mais significativas encontram-se na gestão de riscos e na contabilidade. Estes protocolos aplicam-se igualmente a um contexto empresarial, a uma organização sem fins lucrativos ou a uma agência governamental.
Apresentamos abaixo alguns exemplos de segregação de funções.
Gestão de riscos
As equipas de gestão de riscos podem segregar funções através de:
- Fazer com que várias partes interessadas aprovem formalmente quaisquer alterações importantes de TI, atualizações do website, etc.
- Garantir que são implementados processos de revisão interna (que envolvam várias partes interessadas) antes da publicação de quaisquer demonstrações financeiras (para garantir a conformidade com os regulamentos SOX)
- Garantir que as comunicações internas sensíveis e os segredos comerciais são monitorizados e restringidos aos funcionários com a autorização adequada
- Fazer com que os responsáveis pela segurança de TI partilhem a responsabilidade pela definição de controlos de acesso baseados em funções
Contabilidade
Alguns exemplos de segregação de funções pelas equipas de contabilidade são:
- Ter funcionários distintos a tratar da contabilidade salarial e do processamento salarial
- Atribuir a um funcionário a manutenção dos registos de inventário e a outro a posse física e o processamento desse inventário
- Fazer com que um funcionário aprove formalmente a receção de bens físicos e outro processe o pagamento desses bens
Outras funções
A segregação de funções também pode aplicar-se durante o processo de contratação (para evitar o nepotismo), durante o processo de despedimento ou dispensa (para evitar sabotagem ou outro comportamento malicioso) e em vários outros contextos de recursos humanos.
Por que razão vale a pena o esforço
A principal desvantagem da SoD — e a razão pela qual algumas empresas optam por não a implementar — é o facto de tender a criar estrangulamentos em determinados processos. Por definição, a SoD separa tarefas que, teoricamente, poderiam ser executadas por uma só pessoa, o que pode criar aquilo que poderia ser visto como ineficiências.
Mas poupar nos protocolos de SoD pode ter consequências devastadoras.
Em primeiro lugar, abre a porta à fraude nos pagamentos, à apropriação indevida de fundos e ao roubo. Se uma única pessoa for responsável por efetuar encomendas, receber encomendas, aprovar pagamentos e reconciliar registos, a oportunidade para atividades ilícitas torna-se demasiado acessível.
A possibilidade de fraude interna pode parecer distante, mas constitui uma ameaça muito real para a maioria das empresas. Um relatório de 2022 da Association of Certified Fraud Examiners concluiu que, a nível mundial, as organizações perdem anualmente 5% das receitas devido a fraude — e a fraude cometida por colaboradores era simultaneamente a mais comum e a mais dispendiosa.
Em segundo lugar, aumenta a probabilidade de o erro humano afetar a sua empresa. Se não tiver uma segunda pessoa a rever processos internos importantes, as probabilidades de não detetar erros aumentam drasticamente.
Em terceiro lugar, torna os controlos internos menos eficazes. Ao permitir decisões e ações unilaterais, aumenta a probabilidade de uma única pessoa causar o caos na sua empresa, intencionalmente ou não.
Melhores práticas de SoD
As melhores práticas para a segregação de funções serão diferentes consoante a dimensão da empresa. As empresas mais pequenas poderão ter de abdicar de alguns protocolos de SoD simplesmente devido ao menor tamanho das suas equipas.
Dito isto, existem algumas orientações gerais para as melhores práticas, incluindo:
Implementar a SoD a vários níveis: Dependendo da dimensão da empresa, as organizações poderão querer implementar a SoD não só a nível individual, mas também a nível departamental e a nível da empresa ou filial. Por exemplo, os investimentos realizados por uma filial poderão exigir a aprovação da empresa-mãe, ou um departamento de vendas poderá necessitar da aprovação do departamento de operações antes da aprovação final.
Utilizar uma matriz de SoD: Uma matriz de segregação de funções é uma tabela simples que representa grupos de utilizadores e os respetivos procedimentos ou funções nos eixos X e Y. As funções adequadas são assinaladas com um visto, o que ajuda a identificar facilmente funções incompatíveis. Apresentamos abaixo um exemplo de uma matriz de SoD para uma função de processamento salarial.
| Procedimento | Grupo de utilizadores | Criar recibo de vencimento | Alterar remuneração | Alterar benefícios | Aprovar recibo de vencimento |
|---|---|---|---|---|---|
| ProcedimentoCriar recibo de vencimento | Grupo de utilizadoresA | Criar recibo de vencimento✓ | Alterar remuneração | Alterar benefícios | Aprovar recibo de vencimento |
| ProcedimentoAlterar remuneração | Grupo de utilizadoresB | Criar recibo de vencimento | Alterar remuneração✓ | Alterar benefícios✓ | Aprovar recibo de vencimento |
| ProcedimentoAlterar benefícios | Grupo de utilizadoresC | Criar recibo de vencimento | Alterar remuneração✓ | Alterar benefícios✓ | Aprovar recibo de vencimento |
| ProcedimentoAprovar recibo de vencimento | Grupo de utilizadoresD | Criar recibo de vencimento | Alterar remuneração | Alterar benefícios | Aprovar recibo de vencimento✓ |
Identificar cenários de risco: Alguns cenários de risco são óbvios, enquanto outros exigem uma investigação mais cuidadosa. A tabela abaixo apresenta cenários de risco comuns e a sobreposição de funções (lembrete: CUS = custódia, AUT = autorização, VER = verificação, REC = registo)
Realizar auditorias contínuas à SoD: A segregação de funções não é um processo pontual, mas antes uma orientação operacional contínua para toda a sua operação. A realização de auditorias regulares aos controlos internos, incluindo os modelos de SoD, é importante para o sucesso a longo prazo.
Registar — e penalizar — as violações da SoD: Ocorre uma violação da SoD quando uma pessoa abusa da sua função e do seu nível de acesso para contornar o protocolo de SoD (normalmente, trata-se de uma ação deliberada). Isto poderá constituir uma violação de uma política interna da empresa ou de um requisito regulamentar externo. Em qualquer caso, é fundamental que as violações da SoD sejam identificadas e registadas e que a pessoa responsável seja repreendida, se necessário.
Definir limiares mínimos para evitar burocracia: Esta não é necessariamente uma melhor prática, mas sim uma solução alternativa que algumas empresas mais pequenas optam por implementar. Para manter as operações diárias a funcionar sem problemas, algumas empresas optam por definir limiares mínimos (normalmente em termos monetários) para transações que podem ser processadas fora dos controlos de SoD padrão. Por exemplo, um gestor poderá autorizar os membros da equipa a aprovar e pagar despesas elegíveis inferiores a $500, sem aprovação externa. Este tipo de exceções de menor importância permite que as equipas se mantenham mais concentradas na visão global.
Utilize auditorias internas e externas: As auditorias de rotina são importantes para qualquer empresa. Embora muitas tarefas possam ser realizadas internamente com a ajuda de software de gestão de auditorias, também pode valer a pena recorrer a auditores e consultores externos. Um consultor experiente pode analisar detalhada e totalmente imparcialmente o funcionamento interno da estrutura organizacional, dos fluxos de trabalho e dos níveis de acesso dos colaboradores, para identificar vulnerabilidades que a sua equipa possa não ter detetado (ou, pior ainda, ter ocultado).
Ferramentas que ajudam a separar funções
Os procedimentos de segregação de funções podem ser apoiados por várias ferramentas, incluindo software e consultores/auditores externos.
More Articles
Ferramentas informáticas para SoD
Em alguns casos, o software empresarial inclui estruturas de SoD integradas, para ajudar as equipas a criar uma matriz de SoD, identificar potenciais conflitos e até monitorizar e registar violações.
O software de planeamento de recursos empresariais (ERP) de empresas como a Oracle, a Sage e a SAP inclui frequentemente funcionalidades integradas de segregação de funções. O software de gestão de riscos empresariais também pode ser útil para as equipas. Os conjuntos de funcionalidades variam consoante o fornecedor do software e até o nível do serviço subscrito, mas, de um modo geral, estas ferramentas podem beneficiar as equipas que procuram aplicar boas práticas de SoD.
Existem também soluções de software concebidas especificamente para a conformidade com a SoD, os controlos de acesso interno e a gestão das políticas internas de SoD.
Auditorias/Consultores de Segregação de Funções
Como mencionei, também pode ser aconselhável recorrer a auditores. Isto pode ser feito de forma independente ou como parte de uma auditoria interna mais abrangente.
Muitas empresas de auditoria oferecem serviços de auditoria de SoD. Os consultores especializados também podem prestar apoio na implementação inicial de uma estrutura de SoD.
SoD: um método comprovado de controlos e equilíbrios organizacionais
À semelhança dos vários ramos do governo, a segregação de funções destina-se a criar um sistema de controlos e equilíbrios. Se forem implementadas corretamente, as estruturas de SoD podem reduzir o risco de fraude, atos maliciosos, espionagem empresarial e simples erro humano.
Procura mais informações valiosas sobre finanças empresariais para empresas tecnológicas? O boletim informativo do The CFO Club fornece semanalmente informações valiosas de líderes financeiros, para líderes financeiros — gratuitamente. Subscreva hoje.