12. O inimigo de dentro

O buraco de dois bilhões e meio

Em novembro de 2010, o Brasil acordou com uma notícia que parecia de outro país. O Grupo Silvio Santos, dono de um dos bancos médios mais conhecidos do varejo financeiro, o PanAmericano, anunciou que precisaria de um aporte de 2,5 bilhões de reais para restabelecer o equilíbrio patrimonial da instituição. O dinheiro viria de um empréstimo do Fundo Garantidor de Créditos, o FGC, a caixa de seguro dos bancos. O motivo declarado eram "inconsistências contábeis". A expressão é a que a imprensa registrou, e é um dos eufemismos mais caros da história financeira brasileira.

O detalhe que dava à notícia sua dimensão de escândalo era o calendário. Menos de um ano antes, em dezembro de 2009, a Caixa Econômica Federal, por meio de uma subsidiária, havia pago 739 milhões de reais por 35,54% do capital do banco. O comprador era um banco público, com seus analistas, seus advogados e seu processo de avaliação. O PanAmericano tinha auditoria externa e balanços publicados. Tinha, aos olhos de todos, números. Segundo a cobertura da época, a descoberta das inconsistências partiu do Banco Central, e não de quem comprava, de quem auditava ou de quem dirigia.

Em seguida vieram as demissões dos executivos, a entrada de novos administradores e, em 31 de janeiro de 2011, a venda do controle ao BTG Pactual. O Grupo Silvio Santos vendeu 51% das ações ordinárias e cerca de 22% das preferenciais por 450 milhões de reais, e o comprador assumiu o passivo acumulado. O banco continuou existindo. Os acionistas, os clientes e o FGC passaram os anos seguintes às voltas com a conta.

A Justiça demorou. O Ministério Público Federal denunciou, em agosto de 2012, 14 ex-diretores e três ex-funcionários, 17 pessoas ao todo, e a denúncia foi recebida em setembro daquele ano. A sentença de primeira instância só saiu em 7 de fevereiro de 2018, mais de sete anos depois do anúncio, na 6ª Vara Federal Criminal de São Paulo. Sete réus foram condenados por crimes contra o sistema financeiro nacional, com penas que iam de dois a doze anos e meio de reclusão, e dez foram absolvidos. A acusação sustentava que, entre 2007 e 2010, a contabilidade do banco foi falsificada de modo a inflar o resultado em pelo menos 3,8 bilhões de reais, e que os acusados receberam mais de 100 milhões de reais em bônus e pagamentos irregulares.

Convém registrar o estado em que deixo esse caso, porque a presunção de inocência exige data. Segundo as reportagens a que tive acesso, a sentença de 2018 era recorrível, e a defesa de pelo menos um dos condenados anunciou que recorreria. Não localizei o resultado dos recursos principais; localizei apenas, em reportagem do Estadão de 4 de março de 2021, a informação de que o tribunal declarou prescrito o processo de um ex-diretor de Cartões e manteve a absolvição dele. Os condenados em primeira instância devem ser tratados como tais, e não como autores definitivamente condenados, até que a informação seja atualizada.

O que importa para este capítulo é o formato do caso. Não houve hacker, nem golpista de fora, nem ligação falsa. Segundo a acusação, os números que enganaram um banco público, uma firma de auditoria e um fundo garantidor saíram de dentro, da diretoria, de gente que tinha acesso e legitimidade para assinar o balanço. O inimigo, aqui, era a casa. E a casa, como todas, só enxergou depois que alguém de fora olhou.

O que você vai levar deste capítulo

A fraude interna acontece quando pressão, oportunidade e justificativa se encontram numa pessoa de confiança. O triângulo de Cressey é um modelo útil, não um detector, e só a oportunidade está sob controle direto da empresa.

A pesquisa da ACFE, a maior base pública de casos de fraude ocupacional, mostra um padrão estável: a fraude dura cerca de um ano antes de ser descoberta, a maior parte é descoberta por denúncia, e pequenas empresas perdem mais por falta de controle simples.

A fraude mais cara não é a do funcionário, é a do dono ou do executivo. Quem pode mudar as regras não é parado por elas.

O controle que funciona é estrutural: separar quem decide, quem executa e quem confere; ter um canal de denúncia que chegue a alguém independente; olhar os números de surpresa; e tirar a pessoa do posto de vez em quando. Confiança continua sendo a base de uma empresa, mas confiança sem verificação é só aposta.

Quem comete fraude dentro de casa: o triângulo de Cressey

Donald Cressey foi um sociólogo americano que, nos anos 1950, entrevistou pessoas presas por desvio de dinheiro em organizações onde trabalhavam. Publicou o resultado em 1953, num livro cujo título é uma boa síntese do tema: Other People's Money, o dinheiro dos outros. A pergunta dele era simples e desconfortável: o que leva alguém que tinha a confiança do patrão a traí-la? A resposta, que a literatura posterior resumiu no que chamamos de triângulo da fraude, tem três pontas que precisam coincidir.

A primeira é a pressão, ou, na formulação original, um problema financeiro que a pessoa considera impossível de compartilhar. O que importa é o "não compartilhável": uma dívida de jogo, um vício, um padrão de vida que não cabe no salário, uma doença na família que o plano não cobre, a vergonha de contar ao cônjuge que está falido. Não é a necessidade em si, é o fato de a pessoa sentir que não pode pedir ajuda. A segunda é a oportunidade: o acesso ao dinheiro ou ao registro, combinado com a percepção de que ninguém vai notar. É a ponta que a empresa controla. A terceira é a racionalização: a história que a pessoa conta a si mesma para continuar se vendo como honesta. "É um empréstimo, vou devolver." "A empresa me deve, nunca fui promovido." "Todo mundo faz." "Ninguém sai prejudicado, o dono tem de sobra."

Cressey não usou a expressão "triângulo da fraude" em vida, a figura foi composta depois pelos que sistematizaram a sua teoria, e o triângulo é hoje um instrumento de ensino e não uma lei científica. A crítica comum é justa: ele nasceu de entrevistas com pessoas já condenadas, o que cria um viés, porque ouve quem foi pego e quem estava disposto a falar, e as três pontas são difíceis de medir antes do fato. Ninguém consegue saber, olhando para um funcionário, qual é o problema que ele não compartilha, nem a história que conta a si mesmo.

Disso decorre a conclusão prática mais importante deste capítulo. A empresa não controla a pressão, que vive na vida privada de cada um, nem a racionalização, que vive na cabeça. Pode, no máximo, atenuá-las, com salários decentes, tratamento justo e uma cultura em que pedir ajuda não é humilhação. A ponta sobre a qual ela tem comando é a oportunidade. Toda a engenharia de controle interno, a segregação de funções, a conciliação, a auditoria, a rotatividade, é um modo de retirar a oportunidade ou de torná-la tão arriscada que a conta do fraudador deixe de fechar. É por isso que as pessoas honestas também devem se submeter aos controles: não é uma suspeita contra elas, é uma retirada da tentação para o dia em que a pressão chegar.

Há ainda um outro ponto, contraintuitivo, que a pesquisa mostra. O fraudador típico não parece um criminoso. A grande maioria dos autores nos dados da ACFE não tinha antecedentes de crimes de fraude conhecidos pela empresa na época do ato. São pessoas que passaram em entrevista, tinham referências e eram queridas. A pesquisa mais recente diz, sobre antecedentes, que a checagem criminal sozinha não teria evitado a maioria dos casos analisados. A verificação de passado tem valor, mas é pouco para tranquilizar quem pensa que escolher bem o funcionário é a defesa.

O que a pesquisa mostra: os números da ACFE

A ACFE, sigla de Association of Certified Fraud Examiners, é uma associação de peritos em fraude baseada nos Estados Unidos, que desde 1996 publica o Report to the Nations (Relatório às Nações) sobre o que chama de fraude ocupacional: o uso do cargo para enriquecimento próprio, por meio do uso ou do desvio deliberado dos recursos da organização. A base de dados são casos reais investigados por peritos certificados, que respondem a um questionário depois de encerrados. Existem duas edições recentes, a de 2024 e a de 2026, e vou usar as duas, porque o plano editorial pediu a de 2024 e a de 2026 já está publicada. Em outubro de 2026, a de 2026 é a mais atual.

Antes dos números, três advertências, porque é isso que distingue o perito do repetidor de estatísticas. Primeira: a amostra não é aleatória. Reúne casos que foram descobertos, investigados por um perito certificado e reportados voluntariamente, o que exclui as fraudes que nunca foram descobertas e as que a empresa tratou em silêncio. Segunda: a maior parte dos casos vem dos Estados Unidos e de países com tradição de auditoria; o recorte brasileiro é pequeno e não permite generalizar. Terceira: a mediana não é o valor típico de qualquer fraude, é o valor do meio dos casos da amostra, e uma média pode ser enormemente maior, puxada por casos gigantescos.

Feitas as ressalvas, os números. A edição de 2024 analisou 1.921 casos de 138 países, com perdas totais de mais de 3,1 bilhões de dólares. A mediana de perda por caso foi de 145 mil dólares, e a média, de 1,7 milhão. A edição de 2026 analisou 2.402 casos de 143 países e territórios, com perdas totais de mais de 3,4 bilhões, mediana de 104 mil dólares e média de 1,457 milhão. Nas duas edições, os peritos certificados estimam que as organizações perdem cerca de 5% da receita por ano com fraude. Esse 5% é uma estimativa de opinião de profissionais, repetida há muitos anos, e não uma medição, e deve ser lido como ordem de grandeza.

Uma pequena tabela resume o que se repete nas duas edições:

	ACFE 2024	ACFE 2026
Casos analisados	1.921	2.402
Mediana de perda	US$ 145 mil	US$ 104 mil
Duração típica até a descoberta	12 meses	12 meses
Descobertas por denúncia	43%	43%
Esquemas de apropriação de ativos (parcela dos casos)	89%	90%

O resultado sobre duração é o mais incômodo. Uma fraude típica dura doze meses antes de ser descoberta. A pessoa desvia, a empresa não vê, e o desvio continua. Quanto mais longa a fraude, maior a perda; em média, o prejuízo cresce com o tempo, porque quem não é pego tende a repetir e a aumentar. A relação com o tempo de casa também é curiosa: a edição de 2026 mostra que as perdas crescem com o tempo de empresa do autor, e que quem tinha mais de dez anos de casa causou a maior mediana, 200 mil dólares. Mas a maioria dos casos é cometida por quem trabalha há menos de cinco anos. O funcionário antigo é raro e caro. O novo é comum e mais barato.

O resultado sobre a forma de descoberta é o mais útil: 43% das fraudes foram descobertas por denúncia, quase três vezes mais do que o segundo método mais comum. Mais da metade das denúncias veio de funcionários, e quase um terço, de fornecedores e clientes. Na edição de 2026, a primeira fonte são os funcionários, com 55% das denúncias, e as outras são clientes (21%) e fornecedores (11%). Isso significa que o melhor detector de fraude interna não é um software, é um colega que viu e tem para onde contar. E as denúncias por e-mail e por formulário na internet já superam as de telefone.

A pesquisa aponta uma lacuna que importa muito ao leitor brasileiro dono de pequena empresa. Em 2026, 85% das organizações maiores tinham um canal de denúncia estabelecido, contra apenas um quarto das menores. Ou seja, justamente onde as perdas medianas são mais altas, as pequenas empresas, o detector mais eficaz quase não existe.

Sobre quem comete: os esquemas de apropriação de ativos, desvio de dinheiro, bens ou pagamentos, são a esmagadora maioria (cerca de 90% dos casos), mas são os menos caros por caso (mediana de cerca de 100 mil dólares na edição de 2026). A fraude em demonstrações financeiras, que é a manipulação dos números para enganar investidores, credores e auditores, aparece em apenas 6% dos casos, mas tem a mediana mais alta, de cerca de 1 milhão de dólares. A corrupção, que envolve propina, conflito de interesses e favorecimento, aparece em 45% dos casos, com mediana de 150 mil dólares. Os totais passam de 100% porque um mesmo caso pode envolver mais de um tipo. O esquema de cobrança, o pagamento a fornecedores fictícios ou com faturas infladas, está entre os mais comuns, em cerca de um quinto dos casos.

Quem tem poder causa mais dano. Na edição de 2026, a mediana das fraudes cometidas por donos e executivos foi de 475 mil dólares, contra 50 mil das cometidas por funcionários comuns, uma razão superior a nove vezes. Fraudes com três ou mais envolvidos tiveram mediana de 324 mil, contra 55 mil das de uma só pessoa, quase seis vezes. A colusão derrota os controles que dependem de que duas pessoas independentes se confiram.

Sobre sinais: 84% dos autores exibiram pelo menos um sinal de comportamento de alerta, e mais da metade mostrou vários. O mais comum, em quase 40% dos casos (39% na edição de 2026), foi viver acima dos meios conhecidos de renda. Em seguida vêm dificuldades financeiras (29%), proximidade incomum com fornecedor ou cliente (17%), e resistência a dividir tarefas (12%). A recusa em tirar férias aparece em apenas 5%, bem menos do que a sabedoria popular sugere. E 16% dos autores não exibiram nenhum sinal. Ou seja, o sinal comportamental ajuda, mas sua ausência não tranquiliza.

Sobre controles: a presença de controles antifraude está associada a perdas menores e a descoberta mais rápida. A pesquisa destaca auditorias surpresa, revisão da gerência e análise proativa de dados. Mais da metade das fraudes ocorreu por falta de controles internos ou por seu contorno. Depois de descoberta a fraude, cerca de 80% das organizações modificaram seus controles.

Sobre o desfecho: em 68% dos casos o autor foi demitido, e em 54% o caso foi encaminhado à polícia. Dos encaminhados, 72% resultaram em condenação. Entre as organizações que não encaminharam, 51% citaram disciplina interna como motivo, e 35% citaram o medo de publicidade negativa. Esse último número é um dos mais reveladores de todo o relatório, porque mostra o mecanismo de subnotificação: a empresa vítima, que já perdeu o dinheiro, evita a denúncia para não perder reputação. O fraudador demitido e não denunciado procura o próximo emprego com uma ficha limpa.

O caso: Banco PanAmericano, a fraude que veio do topo

O PanAmericano, como já contei na abertura, é o caso brasileiro mais conhecido de fraude contábil bancária dos últimos anos. O que vale analisar aqui é o desenho do problema, sem se afirmar nada além do que consta no processo.

A anatomia

A acusação do Ministério Público Federal descreve uma falsificação sistemática, ao longo de 2007 a 2010, que inflava o resultado do banco em pelo menos 3,8 bilhões de reais. Segundo a cobertura da época, o mecanismo envolvia o tratamento contábil de carteiras de crédito que haviam sido repassadas a outras instituições mas continuavam a aparecer como ativos. Esse ponto eu não reconferi em fonte primária nesta edição e o trato como relato de imprensa. O princípio, de qualquer modo, é o da fraude de demonstrações financeiras: quem controla o registro pode fazer a realidade parecer melhor do que é, e o que o torna possível é o poder de quem assina os números combinado à dificuldade de quem os confere.

Dois fatores explicam como isso durou. O primeiro é que a fraude de demonstrações é cometida, em regra, pela cúpula, que escolhe e supervisiona os controles. Quem desenha a conferência é quem poderia ser conferido. O segundo é que a conferência externa, a auditoria independente, trabalha com amostras e com documentos que a própria empresa fornece, e não tem a missão de achar fraudes ocultas por quem sabe como funciona a auditoria. Não afirmo que a auditoria do PanAmericano falhou por esse ou aquele motivo, porque não li os autos; digo apenas que o desfecho mostra que o alerta não partiu dela.

Segundo a cobertura da época, quem descobriu foi o Banco Central, ao estranhar dados que não batiam. A lição é de método: a fraude de dentro tende a ser detectada por um olhar que não depende da hierarquia da casa e que compara com uma fonte externa. A discrepância com uma fonte independente é o instrumento do perito.

A defesa

Para uma empresa, a lição prática não é montar um banco, é adotar três hábitos. Primeiro, confirmar saldos e posições diretamente com terceiros, sem passar pelas mãos de quem tem interesse. Segundo, dar ao conselho, ao sócio minoritário ou ao comitê de auditoria acesso independente à informação, e não apenas relatórios preparados pela diretoria. Terceiro, desconfiar de resultados bons demais, estáveis demais ou crescentes demais em relação ao setor, e pedir que alguém de fora explique a diferença.

O caso: Wirecard, o dinheiro que nunca existiu

A Wirecard AG foi uma empresa alemã de meios de pagamento que chegou a figurar no índice das maiores companhias do país e se apresentava como uma estrela do setor financeiro digital. Em 2019, reportagens do Financial Times, assinadas por Dan McCrum, passaram a questionar a contabilidade da empresa, que reagiu com ações contra críticos e contra o jornal. Em junho de 2020, a auditora EY informou que não conseguia confirmar a existência de cerca de 1,9 bilhão de euros que deviam estar em contas de bancos nas Filipinas. Em 25 de junho de 2020, a Wirecard pediu falência. O presidente executivo, Markus Braun, renunciou e foi preso dias depois.

O estado do processo hoje, 30 de outubro de 2026, é o seguinte, segundo as reportagens que consegui consultar. O julgamento no Tribunal Regional de Munique I começou em 8 de dezembro de 2022 e se arrasta há quase quatro anos. Braun, que está em prisão preventiva desde 2020, é acusado, entre outras coisas, de fraude comercial em bando, e sempre negou os crimes. Sua tese, segundo a imprensa alemã, é que foi enganado por um grupo ao redor de Jan Marsalek e por um co-réu, Oliver Bellenhaus, que por sua vez o acusa. Em setembro e outubro de 2026, a imprensa alemã noticiava que a sentença estava próxima; a defesa pediu a suspensão do processo e o tribunal negou o pedido, em 8 de outubro de 2026; as alegações finais com os pedidos de pena estavam previstas para o fim de outubro ou para novembro, com datas divergentes entre as reportagens. Não encontrei notícia de sentença. Portanto, até onde sei, Markus Braun não foi condenado nem absolvido e deve ser tratado como acusado.

Marsalek, ex-diretor de operações, desapareceu quando a fraude estourou. É considerado foragido, procurado pela polícia alemã e incluído em alertas internacionais, e a imprensa o situa na Rússia, sem que eu tenha encontrado confirmação oficial do paradeiro. Houve condenações na Cingapura em janeiro de 2026, de dois homens por falsificação de contas relacionadas à Wirecard, dez anos e seis anos e meio, segundo o resumo que consultei. O presidente do órgão regulador alemão, a BaFin, deixou o cargo em janeiro de 2021, depois de ter qualificado o caso, segundo a cobertura, como um desastre completo.

A anatomia

O que a Wirecard acrescenta ao PanAmericano é a mecânica do dinheiro fictício verificável por terceiros. O 1,9 bilhão estaria, segundo os documentos da empresa, em bancos de fora da Alemanha, administrado por parceiros. Esses parceiros e esses bancos, ao que tudo indica, não eram o que pareciam, e as confirmações que os auditores receberam não eram confiáveis. O processo de auditoria depende de confirmações externas; quando o confirmador faz parte da fraude, ou quando os documentos dele são falsos, a verificação aparente vira a prova que enganou.

O caso também mostra o papel da reação ao crítico. A empresa tratava jornalistas e investidores céticos como inimigos, e parte do mercado e dos órgãos reguladores compartilhou dessa postura durante algum tempo. Quando a organização usa seus recursos para atacar quem pergunta, e não para responder, é um sinal de alerta para o perito. Este não é o caso de afirmar quem fez o quê, porque isso está em julgamento, mas o padrão de comportamento institucional é parte do que se analisa.

A defesa

Para uma empresa menor, a versão doméstica do caso é a conta bancária que só existe no relatório. A regra é simples: saldo se confirma no extrato do banco, obtido direto do banco, por quem não é o gestor do dinheiro. Em empresas de qualquer tamanho, o dono que tem acesso ao internet banking em modo de consulta e confere o saldo real uma vez por semana já cobre uma parte considerável do risco. Em empresas grandes, confirmações independentes e comitês de auditoria com poder real. E, para quem investe ou empresta dinheiro, a pergunta que o caso ensina é: se este ativo é tão grande, onde está, quem o guarda e quem já o viu de fato?

Barings e Enron, de passagem

Dois casos antigos aparecem em todo curso de fraude e valem a lembrança, pelo que cada um ilustra.

Nick Leeson era um operador de derivativos do banco britânico Barings, baseado em Singapura. Em fevereiro de 1995, o banco foi declarado insolvente depois de prejuízos de cerca de 827 milhões de libras, aproximadamente o dobro de seu capital disponível para negociação. A raiz do problema é conhecida: Leeson acumulava as funções de chefe da mesa de operações e chefe da área que registrava e liquidava essas operações, o que lhe permitia esconder perdas em uma conta de erros. Ou seja, ele era o operador e o conferente. A pena foi de seis anos e meio de prisão em Singapura, em dezembro de 1995, depois de confessar dois crimes, entre eles falsificação de documentos, e ele foi solto em 1999. O banco, fundado em 1762, acabou comprado pelo grupo holandês ING por uma libra simbólica, segundo os relatos habituais do caso. O ensinamento é o mais antigo do controle interno: a mesma pessoa não pode fazer a operação e conferi-la. É a segregação de funções, na forma mais pura, e o Barings quebrou por não a ter.

A Enron, empresa de energia dos Estados Unidos, pediu falência em dezembro de 2001, depois que se descobriu que escondia dívidas e inflava resultados com estruturas contábeis complexas. Seu ex-presidente executivo, Jeffrey Skilling, foi condenado em 2006, e o presidente do conselho, Kenneth Lay, foi condenado no mesmo ano, mas morreu antes da sentença. A Enron aparece aqui só como lembrança da fraude de demonstrações financeiras que nasce no topo e do papel dos intermediários, auditoria, bancos e advogados, que não a barraram.

Desvio por funcionário de confiança em pequena empresa

A maioria das fraudes internas não é de bilhões. É a do administrativo que cuida de tudo há onze anos. O caso que se segue é ilustrativo, inventado, e as contas são feitas para fechar.

Cenário ilustrativo: a empresa de dedetização e a manutenção que não existia

Uma empresa de controle de pragas, com 22 funcionários, fatura R$ 4,8 milhões por ano e tem margem líquida de 5%, ou seja, lucro de R$ 240 mil. Quem cuida da parte administrativa e financeira é Marlene, 11 anos de casa, em quem o dono confia como em uma sócia. Marlene cadastra fornecedores, lança as notas, emite os pagamentos no internet banking e faz a conciliação. O dono assina quando está na empresa e, quando não está, deixa a senha com ela. Nunca houve motivo para suspeitar.

Num dado ano, passam a aparecer no sistema três notas mensais de uma firma de "manutenção de equipamentos", de R$ 1.400 cada, num total de R$ 4.200 por mês. Cada nota é pequena, abaixo do valor que o dono costuma olhar. A firma não existe de fato: o CNPJ é de uma empresa real, mas sem relação com o serviço, e a conta de destino é da própria Marlene, em nome de um parente. O desvio é de R$ 4.200 por mês, ou R$ 50.400 por ano.

A empresa gasta, em manutenção, R$ 60 mil por ano com fornecedores reais. Com o desvio, o gasto sobe para R$ 110.400, um aumento de 84%, sem que a empresa tenha comprado um único equipamento novo. O desvio de R$ 50.400 equivale a 21% do lucro anual de R$ 240 mil (50.400 dividido por 240.000). Em três anos, o dano acumula R$ 151.200, o que, nessa empresa, é mais de seis meses de lucro.

Como a fraude é descoberta? Não por um software. O contador externo, ao fechar o balanço do terceiro ano, nota que a linha de manutenção subiu 84% sem explicação e pergunta ao dono. O dono não sabia de nada e, por curiosidade, procura o fornecedor no cadastro de CNPJ: a firma existe, mas tem como atividade um ramo diferente. Soma-se a isso uma conversa de corredor, em que um técnico comenta que nunca viu ninguém fazer manutenção nenhuma naquela marca de equipamento. Este é o padrão da pesquisa da ACFE: a descoberta por um terceiro que olha e por um colega que fala.

Os controles que teriam evitado ou limitado o desvio custam pouco. O cadastro de fornecedores precisaria da aprovação do dono, com consulta da situação do CNPJ e confirmação da atividade, e o dono veria uma lista das contas de destino. Isso teria barrado a firma fictícia no primeiro mês. A conta bancária de destino repetida em diferentes pagamentos seria visível numa conferência de cinco minutos por mês. A conciliação seria feita por quem não paga, no caso o contador externo, com acesso de consulta direto ao banco. O dono receberia, todo mês, o relatório de despesas por fornecedor, ordenado por variação. E a empresa teria um canal de denúncia, um e-mail do contador ou um formulário que não passa por Marlene, para o técnico que desconfiou.

Quanto custaria tudo isso? Algumas horas de trabalho do contador, uma assinatura de ferramenta de banco com dupla aprovação e o tempo do dono. Um valor muito abaixo dos R$ 151.200 do prejuízo. O que não aparece na conta é o custo emocional e organizacional: a descoberta destrói uma relação de onze anos, o ambiente da empresa e a confiança de todos. É um dos argumentos mais fortes a favor de controles preventivos: eles protegem também a pessoa honesta, que poderia um dia ser tentada, e a relação, que não teria de ser rompida.

O que fazer ao descobrir

A reação da empresa ao descobrir, nesse cenário, tem tanto peso quanto o controle. A tentação é confrontar a pessoa na hora, demitir e contar para todo mundo. O melhor caminho é outro. Primeiro, preservar: copiar extratos, notas, e-mails e registros do sistema antes que algo seja apagado, sem que a pessoa perceba, e retirar o acesso dela aos sistemas apenas no momento combinado. Segundo, chamar um advogado e, se o caso for relevante, um perito contábil, antes de qualquer conversa. Terceiro, quantificar o dano com método, porque o valor determina as providências possíveis. Quarto, decidir com o advogado sobre a comunicação à polícia e sobre as medidas trabalhistas. A legislação trabalhista prevê a dispensa por justa causa em caso de ato de improbidade, e o enquadramento penal dos fatos (apropriação indébita, furto qualificado por abuso de confiança, estelionato ou outro) depende de como o desvio aconteceu. É uma análise para quem tem o processo na mão, e este livro não vai pretender fazê-la.

Quinto, e este ponto é frequentemente esquecido: evitar acusações públicas. Quem divulga a acusação antes da apuração, para a equipe, clientes ou redes sociais, corre o risco de responder por danos morais se errar, e de prejudicar o processo. A presunção de inocência não é só uma regra do Estado, é uma boa prática de gestão. Sexto, e por último, tratar a lição: refazer os controles, informar a equipe de forma sóbria e cuidar do ambiente.

Muitos donos não dão o passo da denúncia. A pesquisa da ACFE mostra as razões: o medo de publicidade e a preferência por resolver internamente. Cada empresa decide, mas convém saber que o silêncio tem custo. O fraudador não punido, em geral, arruma outro emprego, e o próximo dono vai receber uma carta de referência elogiosa.

Controles que funcionam sem transformar a empresa em delegacia

O desafio de qualquer sistema de controle interno é o equilíbrio. Controle demais paralisa e cria ressentimento; controle de menos convida a fraude. Um critério útil é o do custo do controle contra o dano evitado, tendo em mente que o dano mais caro não é o mais frequente.

A segregação de funções é o controle central. Quem inicia uma operação não a aprova, quem aprova não a executa, quem executa não a concilia. Em empresa muito pequena, o dono deve ser uma das pontas, e o contador externo, outra. Onde não for possível separar, é preciso compensar com revisão: o dono olha o relatório de pagamentos todo mês.

O canal de denúncia é o controle de maior retorno, dado que a maioria das fraudes é descoberta por denúncia. Precisa chegar a alguém que não seja o denunciado nem o chefe dele, aceitar o anonimato e ter prazo de resposta. Em pequena empresa, pode ser o contador externo, um advogado ou um serviço contratado. A garantia de que ninguém será retaliado é indispensável, e a falta dela mata o canal.

A conciliação por quem não movimenta é o segundo controle. Quem lança pagamentos não pode ser a única pessoa que compara o caixa com o extrato do banco. Quando um terceiro compara com o banco, a fraude tem de enganar duas fontes.

A auditoria surpresa é a mais subestimada. A pesquisa da ACFE associa-a a perdas menores e a descoberta mais rápida. O que torna a surpresa eficaz é que o fraudador não pode preparar o cenário. Uma visita sem aviso ao estoque, uma contagem de caixa em dia aleatório, uma revisão do cadastro de fornecedores, tudo isso custa pouco.

A rotatividade de tarefas e as férias obrigatórias, com a substituição real da pessoa por outra, funcionam porque muitos esquemas exigem presença constante para serem mantidos. A recusa de férias é um sinal menos frequente do que se pensa, segundo a pesquisa, mas a regra de ausentar-se e deixar outro assumir é um teste natural de qualquer processo.

A análise dos dados é cada vez mais barata. Fornecedores com a mesma conta bancária de funcionários, pagamentos logo abaixo do limite de aprovação, notas sequenciais de um mesmo fornecedor, pagamentos fora do horário, fornecedores sem histórico de contratação: tudo isso pode ser cruzado em uma planilha, e a pesquisa mostra que o monitoramento proativo de dados está associado a descoberta mais rápida.

A verificação de passado é útil, mas com expectativa realista. Confirmar referências e antecedentes elimina um risco, mas a esmagadora maioria dos autores nunca tinha sido pega antes. O que protege é o controle depois da contratação, e não só a escolha.

Por fim, a cultura. Uma empresa onde o dono dá o exemplo de se submeter aos controles, onde o erro reportado é bem recebido e onde os salários são justos não elimina a fraude, mas reduz a pressão e a racionalização que alimentam as outras duas pontas do triângulo. O funcionário que pode dizer "estou com um problema de dinheiro" sem medo de demissão é um funcionário menos propenso a resolver o problema sozinho do pior jeito.

Quando o inimigo é o dono, o sócio ou o executivo

A pesquisa mostra que o dano é maior quando o autor tem poder. Isso vale em todas as escalas. O sócio que retira dinheiro da empresa em nome de contas da família, o executivo que cria fornecedores e recebe de volta, o diretor que antecipa receitas para bater a meta e garantir o bônus: todos têm a capacidade de alterar o próprio controle.

Os controles que os atingem são os que não dependem deles. O conselho de administração ou consultivo com membros independentes e com acesso direto ao auditor. O comitê de auditoria. O sócio minoritário com direito a informação, que no Brasil a lei societária protege dentro de limites que o advogado deve explicar. A auditoria independente com acesso direto aos bancos e clientes. E os incentivos: um bônus ligado a uma única meta de resultado dá ao executivo uma razão para dobrar a contabilidade, e o desenho da remuneração é, em si, um controle.

Em empresa familiar, a conversa mais difícil é a de que o parente também precisa de conferência. Muita fraude de sócio ou de parente continua porque confrontá-lo parece uma ofensa à família. O custo de não fazê-lo é, quase sempre, maior.

Verdades desconfortáveis

A confiança não é um controle. Dizer "confio nela como numa irmã" é uma declaração afetiva, não uma proteção. A pesquisa mostra que a maioria dos fraudadores tem boa reputação, e que o tempo de casa aumenta o dano, porque aumenta o acesso e a confiança. A empresa que dispensa conferência pelo grau de confiança premia a lealdade com a oportunidade de traí-la.

O controle é visto como desconfiança, e é ao contrário. O sistema de dupla aprovação protege o funcionário honesto, porque o impede de ser acusado por um erro ou por um desvio de outro, e protege-o da tentação. As empresas em que o controle é aplicado a todos, inclusive ao dono, são as que menos criam ressentimento.

A maioria das empresas pequenas não tem canal de denúncia, e as pequenas são as que mais perdem. O fornecedor que percebeu algo estranho, o técnico que viu, o colega que desconfiou não têm a quem contar. A ausência do canal não elimina o conhecimento, só o impede de chegar a quem pode agir.

A justiça é lenta e o caso PanAmericano mostra isso: mais de sete anos até a primeira sentença, e um recurso principal cujo resultado eu não localizei. A empresa que espera recuperar o dinheiro pelos tribunais deve contar com anos. Isso não é argumento para não denunciar, é argumento para prevenir.

A fraude de colarinho branco é tratada com mais condescendência do que o roubo à mão armada, mesmo quando o dano é maior. Um desvio de milhões de uma empresa, que destrói empregos e poupanças, costuma gerar menos indignação do que um assalto. Esse viés ajuda a explicar por que as empresas hesitam em denunciar, e por que muitos casos terminam em acordo e demissão.

E, por fim, o desconforto do perito: depois de uma fraude interna, quase sempre aparece alguém que diz que "sempre desconfiou". Essa é a visão retrospectiva. Antes, o que havia era uma pessoa simpática e eficiente, e uma empresa que não tinha como saber. O que se pode e se deve cobrar de uma organização não é adivinhar, é ter um desenho em que a adivinhação não seja necessária.

Protocolo de defesa

Para a empresa (dono, financeiro, RH, conselho):

• Separe, por escrito, quem cadastra fornecedores, quem aprova pagamentos, quem libera no banco e quem concilia. Em empresa pequena, o dono e o contador externo são as pontas de fora.
• Dê ao dono acesso de consulta ao internet banking e peça que confira o saldo real e os pagamentos da semana, sem avisar ninguém.
• Exija a aprovação do dono ou de um segundo responsável para cadastro de fornecedor novo e para mudança de conta, com consulta do CNPJ e da atividade.
• Receba todo mês um relatório de despesas por fornecedor, ordenado pela variação em relação ao ano anterior, e pergunte por todo salto sem explicação.
• Cruze, uma vez por trimestre, os dados bancários de fornecedores com os de funcionários, sócios e parentes conhecidos.
• Faça a conciliação bancária por pessoa que não movimenta dinheiro, ou por terceiro com acesso direto ao extrato.
• Implante um canal de denúncia que não passe pelo financeiro nem pela chefia, com anonimato, prazo de resposta e proibição escrita de retaliação. Pequena empresa pode usar o contador, um advogado ou um serviço contratado.
• Faça auditorias surpresa de estoque, caixa e cadastro, em datas imprevisíveis.
• Exija férias reais e rodízio de tarefas sensíveis, com outra pessoa assumindo o posto durante a ausência.
• Desenhe a remuneração dos executivos de modo que uma única meta não incentive a distorção do resultado.
• Peça confirmações de saldo e de dívida diretamente aos bancos e aos grandes clientes e fornecedores, por canal não controlado por quem gere a conta.
• Guarde evidências ao descobrir um desvio, antes de qualquer conversa, e chame advogado e, se for o caso, perito contábil. Não acuse ninguém publicamente.
• Decida, com o advogado e sem pressa emocional, sobre a denúncia à polícia. Registre o motivo de cada decisão.
• Depois do episódio, refaça os controles e reporte o que mudou à equipe, sem expor o nome da pessoa.

Para quem trabalha na empresa:

• Se você vir algo estranho em pagamentos, cadastros ou números, e existe canal de denúncia, use-o. Descrever o que viu é diferente de acusar.
• Se você se vê numa pressão financeira que não consegue contar a ninguém, conte a alguém antes de tomar uma decisão que não possa desfazer. É o momento em que o triângulo fecha.
• Se você recebe um pedido para fazer algo fora do fluxo "só desta vez", registre e peça confirmação por escrito.

Sinais de alerta

• Fornecedor com poucos documentos, endereço residencial, sem site e sem histórico, que recebe pagamentos recorrentes de valor logo abaixo do limite de aprovação.
• Conta de destino de fornecedor igual à de um funcionário, sócio ou parente.
• Despesa que cresce muito sem explicação operacional, como manutenção, consultoria ou serviços gerais.
• Uma única pessoa que cadastra, aprova, paga e concilia, e que ninguém substitui nem em férias.
• Funcionário que vive claramente acima do que a renda conhecida permite, ou que passa por dificuldade financeira evidente.
• Proximidade incomum com um fornecedor ou cliente específico, resistência a dividir tarefas ou a que outra pessoa veja os registros.
• Resultados bons demais, estáveis demais ou sempre exatamente na meta.
• Documentos que só existem em cópia, relatórios que não batem com o extrato do banco, confirmações que sempre chegam pelo mesmo intermediário.
• Reação defensiva e hostil a perguntas simples de conferência, ou ataques a quem as faz.
• Ausência de canal de denúncia, ou funcionários que dizem que "não adianta contar".

Exercícios

1. Faça a matriz de segregação da sua empresa: nas linhas, as funções (cadastrar fornecedor, aprovar pagamento, liberar no banco, conciliar, lançar contabilidade); nas colunas, as pessoas. Marque quem faz o quê. Entrega: a matriz e a lista de pessoas que acumulam duas ou mais funções incompatíveis, com uma proposta de controle compensatório para cada uma.

2. Pegue os últimos doze meses de despesas e ordene por fornecedor e por variação em relação ao ano anterior. Escolha os cinco maiores saltos e descubra, por conversa com os responsáveis, a explicação operacional. Entrega: a tabela e o relato de quais explicações vieram prontas e quais exigiram investigação.

3. Reproduza o cenário deste capítulo com os números da sua empresa. Escolha o seu faturamento e a sua margem, defina um desvio mensal de 1% do lucro anual e calcule em quantos meses ele teria de continuar para chegar a 25% do lucro. Entrega: a conta e um parágrafo sobre o que, na sua empresa, faria o desvio ser notado, e em quanto tempo.

4. Desenhe o canal de denúncia da sua empresa em uma página: quem recebe, por qual meio, com que prazo de resposta, como se protege o denunciante e quem decide o que fazer. Teste com uma pessoa de confiança. Entrega: a página e as objeções que apareceram.

5. Leia a seção de resultados do Report to the Nations mais recente da ACFE, em acfe.com, e compare dois números com a realidade da sua empresa: a proporção de empresas pequenas com canal de denúncia e a parcela das fraudes descobertas por denúncia. Entrega: um parágrafo com o que você mudaria na sua empresa por causa desses dois números.

Prompt de estudo

Vou descrever, sem nomes nem valores reais, como funcionam o cadastro de fornecedores, a aprovação de pagamentos e a conciliação bancária da minha empresa. Quero que você atue como um perito em controles internos: aponte, em nível de princípio, onde uma pessoa sozinha poderia desviar dinheiro sem ser percebida, qual das três pontas do triângulo da fraude cada controle ataca, e proponha medidas proporcionais ao tamanho da empresa. Não escreva instruções para cometer ou esconder fraude, e diga o que você não consegue saber sem ver o processo real.

Faça-me dez perguntas curtas sobre este capítulo: as três pontas do triângulo de Cressey, o que a ACFE diz sobre a duração e a descoberta das fraudes, por que a fraude do topo custa mais, o que o caso Barings ensina sobre segregação de funções e o que fazer ao descobrir um desvio. Depois de cada resposta minha, diga se acertei e o que faltou.

Fontes e leituras

• Association of Certified Fraud Examiners (ACFE), Occupational Fraud 2026: A Report to the Nations e Occupational Fraud 2024: A Report to the Nations, em acfe.com: números de casos, perdas, duração, formas de descoberta, perfil dos autores, controles e desfecho. Conferidos nos PDFs oficiais em 30 de outubro de 2026.
• Donald R. Cressey, Other People's Money: A Study in the Social Psychology of Embezzlement, 1953 (origem do triângulo da fraude; a expressão foi consolidada pela literatura posterior).
• Justiça Federal em São Paulo, 6ª Vara Federal Criminal, sentença de 7 de fevereiro de 2018 no caso Banco PanAmericano, conforme a cobertura da IstoÉ Dinheiro de 8 de fevereiro de 2018; denúncia do Ministério Público Federal de agosto de 2012; Wikipédia em português, verbete Banco PanAmericano, como ponte para os fatos de 2009 a 2021.
• TRF3, decisão de 19 de janeiro de 2021 sobre a prescrição da pretensão punitiva de Antônio Carlos Quintas Carletto; não resolve o resultado dos recursos dos demais réus.
• Cobertura da imprensa alemã sobre o julgamento de Markus Braun no Tribunal Regional de Munique I (dpa, via t-online, dezembro de 2025; e reportagens de setembro e outubro de 2026) e Wikipedia, verbete sobre o escândalo da Wirecard, como ponte para Singapura, BaFin e Financial Times.
• Dan McCrum, Money Men (2022), sobre a investigação do Financial Times sobre a Wirecard.
• Wikipedia, verbete Nick Leeson, para a falência do Barings e a sentença em Singapura.
• Código Penal, artigos 155, 168 e 171; Consolidação das Leis do Trabalho, artigo 482, nos textos compilados do Planalto e da CLT.