Controles de pagamentos
Um usuário capaz de cadastrar um fornecedor, aprovar uma obrigação e liberar o pagamento concentra etapas sensíveis. A auditoria de segregação verifica as permissões efetivas e como elas foram utilizadas. Ter acesso representa uma exposição; demonstrar uso inadequado exige análise das operações.
Quando esse exame faz sentido
O trabalho é útil em equipes enxutas, reorganizações e concessão de perfis temporários. A revisão deve incluir o banco e os sistemas auxiliares: separar funções no ERP perde força se a mesma pessoa pode alterar o arquivo de remessa e autorizar o pagamento fora dele.
Roteiro de conferência
- Mapear funções críticas e critérios de incompatibilidade, contemplando cadastro, aprovação, geração de remessa e autorização bancária. Validar o desenho com os responsáveis pelo processo.
- Conciliar usuários ativos, perfis e procurações operacionais com a estrutura atual. Examinar acessos compartilhados, técnicos e emergenciais, identificando quem responde por cada utilização.
- Cruzar combinações de acesso com eventos reais e controles de revisão. Avaliar se a pessoa que revisa consegue identificar alterações e bloquear ou questionar pagamentos antes da conclusão.
Os procedimentos são um ponto de partida. A seleção dos registros, o período e a extensão dos testes são definidos conforme o objetivo e os riscos do trabalho.
Documentos para organizar
Matriz de funções; exportação de usuários e perfis; autorizações bancárias; logs de cadastro e aprovação; remessas; histórico de concessões; evidências de revisão de exceções.
Permissão, revisão e pagamento: teste as três etapas
Exercício inteiramente fictício. A base de acessos do período contém 18 usuários. Três podem alterar fornecedores e gerar remessas; um deles, U07, também possui permissão de assinatura bancária. Esses números descrevem acessos, não a quantidade de pagamentos irregulares nem um prejuízo comprovado.
A regra de controle admitida no exemplo exige revisão independente, antes da liberação, sobre o favorecido, a conta de destino, o valor e a versão efetivamente enviada. A execução também depende das autorizações bancárias previstas. Uma pessoa aparecer nas três etapas do cadastro de permissões não demonstra, sozinha, que poderia concluir o pagamento sem outra intervenção.
Selecionamos quatro ordens de R$ 10.000, preparadas por U07. Os horários, identidades, arquivos e extratos são dados simulados. O teste precisa seguir a remessa até o evento bancário e verificar a revisão da mesma versão; a aprovação de um arquivo anterior não deve ser aplicada automaticamente a um arquivo alterado.
No celular, deslize a tabela. Pelo teclado, use Tab para focar o quadro e as setas para consultar as colunas.
| Ordem | Banco e versão | Evidência de revisão | Conclusão delimitada |
|---|---|---|---|
| P01 — R$ 10.000,00 | Débito confirmado da remessa R01. | Revisor independente confere R01 antes da liberação; favorecido e valor coincidem. | O controle examinado é demonstrado nesta operação, nas premissas do exemplo. |
| P02 — R$ 10.000,00 | Débito confirmado de R02-v2. | A revisão apresentada cobre R02-v1; a conta de destino mudou na v2. Falta suporte da revisão da versão executada. | A aprovação da v1 não encerra a conferência da v2. Solicitar o suporte pertinente. |
| P03 — R$ 10.000,00 | Débito confirmado de R03. | Há duas assinaturas, mas o material ainda não permite vincular os identificadores a pessoas distintas. | Independência dos revisores ainda não demonstrada; preservar a pendência. |
| P04 — R$ 10.000,00 | Somente agendamento no corte; sem débito no extrato completo da janela examinada. | Ordem preparada, com execução ainda não confirmada. | Não somar esse valor aos pagamentos efetivados do recorte. |
Conferência dos universos: quatro ordens × R$ 10.000 = R$ 40.000 preparados. Três débitos confirmados × R$ 10.000 = R$ 30.000 efetivados no recorte. A ordem P04 de R$ 10.000 permanece fora desse total. R$ 40.000 de ordens selecionadas, R$ 30.000 de pagamentos e qualquer efeito de uma exceção são grandezas diferentes.
P02 e P03 têm pendências de evidência distintas. O quadro não demonstra fraude, desvio ou perda de R$ 20.000. Para P02, ainda é necessário examinar a versão executada e eventual nova aprovação. Para P03, o número de assinaturas não resolve a identidade de quem revisou. As providências e os documentos adicionais podem alterar a conclusão de cada item.
Quando uma revisão compensa a concentração de funções
Uma assinatura não basta para descrever o controle. O papel de trabalho deve indicar quem revisou, se tinha independência em relação à operação, o que estava disponível para conferência, qual versão foi examinada e se ainda era possível intervir antes da conclusão. Uma revisão feita depois pode ter outra função, mas não prova a execução de um controle preventivo anterior.
Se o processo permitir mudar o favorecido depois da aprovação, delimite como a mudança é detectada e submetida à revisão pertinente. No caso de P02, comparar somente valor e data deixaria de examinar o dado que mudou: a conta de destino. A auditoria precisa acompanhar os campos relevantes ao risco, não apenas a existência de um carimbo de aprovação.
Evidências para conferir configuração e uso
- Regra vigente: matriz de funções incompatíveis, alçadas, exceções e condições da revisão.
- Acesso efetivo: usuários, perfis, sistemas, autorizações bancárias, vigência e identificação de quem responde pelas credenciais.
- Operação: fornecedor e conta antes e depois da mudança, remessa e suas versões, registros de aprovação e evento bancário correspondente.
- Revisão: identidade do revisor, campos examinados, momento, suporte e capacidade de questionar ou bloquear a operação.
- Tratamento: providência, responsável, prazo e verificação posterior, sem substituir o registro do fato original.
A proposta define o período e a população. O desenho de acesso de um dia não comprova, sozinho, a configuração de todos os dias anteriores. Examine os registros de concessão e revogação relevantes. A mesma pessoa com identificadores diferentes e pessoas diferentes com nomes parecidos exigem vínculo documental, sem presumir identidade pela aparência do nome.
Conheça o escopo de auditoria interna e o exame mais amplo de auditoria financeira. Para comparar o achado com uma suspeita específica, veja auditoria forense; uma pendência de controle não se converte automaticamente em acusação.
O que a análise pode entregar
Pode ser entregue uma matriz de incompatibilidades, eventos examinados e medidas de redução do risco, como ajuste de acesso e revisão documentada. Controles compensatórios precisam ser executáveis pela equipe real.
Este recorte examina processos e registros. A emissão de opinião sobre demonstrações contábeis exige contratação e requisitos próprios.
Dúvida frequente
Uma empresa pequena precisa contratar outra pessoa para cada etapa?
A solução depende do risco e da estrutura. Quando a separação integral não for viável, podem ser avaliadas revisões independentes e limites, desde que haja evidência de execução e possibilidade efetiva de intervenção.
Continue a análise
Defina o trabalho com a Costa Nova
Para avaliar uma proposta, informe o período, os sistemas utilizados, o volume aproximado de operações e a questão que precisa ser esclarecida. Escopo, prazo e honorários dependem dessas informações e da documentação disponível.
Contato: contato@cnassociados.com.br
Referência de consulta: CFC — Normas de Auditoria Interna.
Exemplos ampliados em 9 de novembro de 2026. Organização editorial: Costa Nova Associados. Todos os dados, documentos, clientes, usuários e operações dos quadros são fictícios.