Controles internos: o que são, tipos, segregação de funções e prevenção de fraudes

Controles internos são o conjunto de regras, rotinas e verificações que uma empresa adota para proteger seu dinheiro e seus ativos, garantir que os números sejam confiáveis, reduzir erros e fraudes e assegurar que as operações sigam a lei e as políticas definidas pela gestão. Na PME, funcionam como o sistema de freios do financeiro.

Desvio com a conta fechada é um problema real em PME, e os controles existem para evitá-lo. O texto apresenta os tipos de controle, as fases do ciclo, a segregação de funções e a diferença para a auditoria, com um exemplo numérico de desvio e a rotina prática para colocar controles de pé, além de uma seção curta sobre o controle interno na administração pública.

O que são controles internos e para que servem?

Controle interno é tudo o que a empresa faz, de forma planejada e repetível, para que o resultado real se aproxime do que a gestão espera. Inclui políticas escritas, alçadas de aprovação, conferências, conciliações, acessos a sistemas e relatórios de acompanhamento. Não é um departamento: é uma camada de rotina que atravessa o financeiro, as compras, as vendas e o estoque.

A referência internacional mais conhecida é o COSO (Committee of Sponsoring Organizations of the Treadway Commission), que descreve o controle interno em cinco componentes: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação, e monitoramento. Em português simples: quem manda dá o exemplo, a empresa sabe onde pode errar, existem travas nos processos, a informação circula e alguém confere se as travas continuam funcionando.

O COSO descreve três objetivos para o controle interno:

• Operações: usar bem o dinheiro, o estoque e o tempo da equipe.
• Informação: ter números confiáveis, que sustentem o fechamento, o balanço e as decisões.
• Conformidade: cumprir leis, contratos e as regras internas.

Para a PME, o ganho prático é de três tipos. Primeiro, o dinheiro deixa de vazar por erro, retrabalho e desvio. Segundo, o dono confia no número que chega na reunião de resultado, porque o dado passou por conferência. Terceiro, a empresa fica pronta para crescer: quem busca crédito, investidor ou venda da empresa será examinado em uma due diligence, e controles frágeis derrubam o valor ou travam a negociação.

Controle interno não é desconfiança do time. É desenhar o processo para que ninguém precise ser santo nem herói. A mesma regra que impede um desvio impede também o erro honesto, como pagar o mesmo boleto duas vezes. Ele faz parte do que a controladoria empresarial organiza e é um dos pilares da gestão financeira empresarial.

Quais são os 3 tipos de controle?

A classificação mais usada divide os controles pelo momento em que agem em relação ao problema: antes, durante ou depois. Os três tipos são o preventivo, o detectivo e o corretivo, e uma PME precisa dos três, porque nenhuma trava é perfeita.

Tipo	Quando age	Objetivo	Exemplos no financeiro
Preventivo	Antes de o fato acontecer	Impedir o erro ou a fraude	Alçada de aprovação de pagamentos, senha individual no banco, cadastro de fornecedor com documento e conferência, limite de crédito para cliente
Detectivo	Durante ou logo depois	Descobrir rápido o que escapou	Conciliação bancária semanal, conferência de estoque por amostragem, relatório de exceções, análise de variações no orçamento
Corretivo	Depois de identificado o problema	Corrigir, recuperar e evitar repetição	Estorno e ajuste de lançamento, cobrança do valor, troca de senhas, revisão da regra que falhou, plano de ação com responsável e prazo

Alguns autores usam outra divisão para o mesmo raciocínio: controle prévio, concomitante e posterior, ou ainda controles manuais e automáticos. A lógica é a mesma. O erro mais comum nas PMEs é ter só controle corretivo: o problema aparece, todos se mobilizam e, passada a crise, nada muda no processo.

Os controles preventivos são os mais baratos por real protegido, porque evitam a perda. Os detectivos entram para pegar o que o preventivo não segura. Por isso a conciliação bancária é o controle detectivo mais importante do financeiro: ela compara o que o sistema diz com o que o banco diz e expõe qualquer diferença.

Quais são as 4 fases do controle?

As quatro fases do controle formam um ciclo que se repete a cada período. É o raciocínio clássico da administração aplicado ao dia a dia do financeiro.

1. Estabelecer padrões: definir o que é o esperado. Exemplo: todo pagamento acima de R$ 5.000 exige duas aprovações; a diferença na conciliação tolerada é zero; a margem bruta mínima é a do orçamento.
2. Medir o desempenho: coletar o que de fato aconteceu, no fechamento do mês ou em rotinas semanais.
3. Comparar com o padrão: apontar os desvios, como o realizado contra o orçado ou o saldo do sistema contra o do banco.
4. Agir sobre o desvio: corrigir a causa, e não só o sintoma, e registrar a decisão com responsável e prazo.

A terceira fase depende de um padrão numérico. Sem orçamento não há contra o que comparar, e o relatório vira apenas um histórico. Para acompanhar o desvio com disciplina, use poucos KPIs financeiros, com meta e limite de alerta, em vez de dezenas de números sem dono.

Segregação de funções: a regra que mais evita desvio

Segregação de funções é separar, entre pessoas diferentes, as tarefas que, juntas, permitem esconder um erro ou uma fraude. A regra de ouro: quem autoriza, quem executa, quem registra e quem confere não deve ser a mesma pessoa. Quando uma só pessoa cadastra o fornecedor, aprova a compra, paga e concilia, ela controla a própria fiscalização.

A tabela abaixo mostra as combinações que uma PME deve evitar e a alternativa quando o time é pequeno.

Quem não deve acumular	Risco que surge	Alternativa em time pequeno
Cadastrar fornecedor e aprovar pagamento	Fornecedor fictício recebendo pagamentos	Sócio ou gestor revisa todo cadastro novo e o relatório de fornecedores alterados
Aprovar o pagamento e liberar no banco	Pagamento sem autorização real	Duas senhas ou duas aprovações no internet banking, em perfis distintos
Receber do cliente e lançar a baixa	Dinheiro desviado com baixa de título sem entrada no caixa	Recebimento só pelo banco, com baixa automática por arquivo de retorno
Fazer a conciliação e movimentar o caixa	Diferença escondida por quem opera o dinheiro	Conciliação feita ou revisada por alguém que não paga nem recebe
Controlar o estoque e fazer o inventário	Divergência ajustada sem que ninguém perceba	Inventário com contagem por outra pessoa e relatório de ajustes para o sócio
Misturar o dinheiro do sócio com o da empresa	Retirada sem registro, que distorce o resultado	Pró-labore e distribuição de lucros fixados e pagos por rotina, sem saques avulsos

A última linha da tabela é o controle mais ignorado nas empresas familiares. Retirada sem registro quebra a confiabilidade da DRE e do caixa de uma vez. Veja como organizar isso em como separar finanças pessoais e empresariais e em pró-labore e distribuição de lucros.

Quando não é possível separar funções por falta de gente, a saída é o controle compensatório: se a mesma pessoa executa e registra, outra pessoa, geralmente o sócio, revisa de forma independente e periódica. Quem monta a estrutura do time encontra apoio em departamento financeiro, que mostra as funções de cada área.

Controle interno e auditoria interna: qual a diferença?

O controle interno é a rotina que protege o processo. A auditoria interna é a atividade independente que verifica se essa rotina existe, se está desenhada de forma adequada e se funciona. O controle é feito por quem opera, e a auditoria avalia o controle com independência. Quem executa a tarefa não deve ser o mesmo que a audita.

O modelo das três linhas, publicado pelo Institute of Internal Auditors (IIA) em 2020, organiza a ideia assim:

• 1ª linha: a gestão e as equipes operacionais, que são donas dos riscos e executam os controles no dia a dia.
• 2ª linha: funções que apoiam e monitoram a primeira, como controladoria, finanças, compliance e gestão de riscos.
• 3ª linha: a auditoria interna, que avalia com independência as duas anteriores e reporta ao conselho ou aos sócios.

Na PME, é raro ter as três linhas separadas. Em geral, a operação faz o controle, o sócio ou um responsável financeiro revisa e, de tempos em tempos, alguém de fora olha o conjunto. A diferença entre os papéis, e quando vale a pena ter cada um, está em auditoria interna e externa.

Controle interno também se liga à gestão de riscos financeiros: primeiro a empresa identifica o que pode dar errado e o tamanho do estrago, depois desenha o controle para os riscos que importam. Controlar tudo com o mesmo rigor é caro e paralisa o negócio. Já a governança corporativa é a moldura maior, que define quem decide, quem fiscaliza e como se presta contas, e dentro dela o controle interno é a parte que opera no dia a dia.

Controle interno e externo na administração pública

Muitas buscas por "controle interno" vêm de quem trabalha ou estuda o setor público, e o sentido muda um pouco. Na administração pública, o controle interno é exercido pelo próprio poder, dentro da estrutura de cada órgão, e o controle externo é feito por um órgão de fora, como os tribunais de contas, com apoio do Legislativo. A Constituição Federal trata dos dois: o controle externo no art. 70 e seguintes, e o sistema de controle interno no art. 74.

A lógica conversa com a das empresas: o controle interno público verifica se a execução do orçamento, os contratos e os gastos seguem a lei e atingem as metas. O externo julga as contas e fiscaliza de fora. O conceito de sistema de controle interno, com a unidade central e os controladores de cada área, tem regras próprias por esfera (federal, estadual e municipal). Se a sua dúvida é de concurso ou de prefeitura, consulte a lei e a norma do tribunal de contas do seu ente. Este guia foca o controle interno da empresa privada.

Como funcionam os controles internos na rotina de uma PME

Controle bom é o que cabe na rotina. Uma PME não precisa de manual de 200 páginas: precisa de poucas travas nos pontos onde o dinheiro entra e sai, com dono e frequência definidos. O caminho prático segue estes passos:

1. Mapeie onde o dinheiro passa. Liste os processos de compra, pagamento, venda, recebimento, estoque, folha e retirada dos sócios. Desenhe quem faz cada etapa.
2. Escolha os riscos que doem. Pergunte, em cada processo, o que pode dar errado e quanto custaria. Comece pelos maiores valores.
3. Defina alçadas. Escreva quem pode aprovar o quê e até que valor. Pagamentos acima de um limite pedem segunda aprovação.
4. Separe as funções. Aplique a tabela de segregação e, onde não for possível, defina o controle compensatório.
5. Padronize a informação. Um plano de contas claro e centros de custo bem definidos garantem que o mesmo gasto seja lançado do mesmo jeito sempre.
6. Automatize onde der. Perfis de acesso e fluxos de aprovação no ERP financeiro, e baixa automática dos recebimentos, tiram a decisão do improviso.
7. Crie a rotina de conferência. Semanal: conciliação bancária e revisão dos pagamentos fora do padrão. Mensal: fechamento, análise de variações e reunião de resultado.
8. Documente e revise. Registre as regras em uma página por processo e revise a cada semestre ou quando o sistema ou a equipe mudar.

Controles essenciais por área

• Caixa e bancos: uma conta para cada finalidade, senhas pessoais, conciliação semanal e extrato conferido por quem não movimenta. A tesouraria concentra boa parte desses controles.
• Contas a pagar: pagamento só com documento, ordem de compra ou contrato e aprovação registrada. Rotina completa em contas a pagar e a receber.
• Contas a receber e crédito: limite de crédito por cliente e regra de liberação, conforme a política de crédito, e acompanhamento do atraso pela taxa de inadimplência.
• Estoque: inventário periódico, controle de entrada e saída e acompanhamento do giro de estoque. Queda sem explicação no giro ou perda recorrente pede investigação.
• Patrimônio: plaqueta e cadastro dos bens, conforme o controle do ativo imobilizado.
• Rotina geral: o conjunto fica mais simples dentro de um controle financeiro empresarial com rotina definida.

Erros comuns que se veem no dia a dia

• Uma única pessoa com todas as senhas do banco, e o sócio sem acesso de consulta.
• Cadastro de fornecedor alterado, como mudança de conta bancária, sem confirmação por telefone ou documento.
• Conciliação feita só no fim do trimestre, quando a diferença já não se explica.
• Retiradas de sócios pagas como despesa da empresa, sem registro como distribuição.
• Regra escrita que ninguém segue, ou regra que só existe na cabeça de uma pessoa.
• Controle excessivo em despesa pequena e nenhum controle nos pagamentos grandes.
• Descobrir um problema, corrigir o lançamento e não mudar a causa.

Como ler o número para decidir

O controle gera sinais, e o dono precisa saber o que fazer com cada um:

• Diferença na conciliação: qualquer valor sem explicação em até cinco dias úteis deve ser tratado como alerta. Investigue a origem antes do fechamento.
• Despesa fora do orçamento: compare o realizado com o orçado por centro de custo. Variação grande sem justificativa pede conversa com o responsável.
• Pagamentos acima da alçada ou sem documento: se a lista cresce mês a mês, o controle está sendo contornado e a regra precisa ser revista ou reforçada.
• Margem que cai sem causa aparente: verifique descontos, devoluções, perdas de estoque e custo lançado em conta errada no relatório gerencial.
• Estoque físico diferente do sistema: acima de uma tolerância definida, recontagem e análise das movimentações do período.

Exemplo prático: o desvio de R$ 57.600 numa distribuidora

Imagine uma distribuidora de autopeças fictícia que fatura R$ 1,2 milhão por mês e opera com margem líquida de 6%. O lucro mensal é de R$ 72.000 (R$ 1.200.000 × 6%), ou R$ 864.000 por ano.

No setor financeiro trabalha uma única pessoa, que cadastra os fornecedores, lança as contas, solicita os pagamentos e faz a conciliação. Ela cadastra um fornecedor fictício de "serviços de embalagem" e passa a lançar uma fatura de R$ 4.800 por mês, valor abaixo do limite em que o sócio costuma olhar. Ninguém concilia o extrato com os documentos, e o desvio dura 12 meses.

Item	Sem controle	Com controle
Desvio mensal	R$ 4.800	R$ 4.800
Meses até descobrir	12	1 (conciliação semanal e relatório de fornecedores novos)
Perda total	12 × R$ 4.800 = R$ 57.600	1 × R$ 4.800 = R$ 4.800
Perda evitada	R$ 0	R$ 57.600 − R$ 4.800 = R$ 52.800
Perda sobre o lucro anual	R$ 57.600 ÷ R$ 864.000 = 6,7%	R$ 4.800 ÷ R$ 864.000 = 0,6%

Fórmula: faturamento necessário para repor a perda = valor perdido ÷ margem líquida.

Para recuperar R$ 57.600 de lucro com margem de 6%, a empresa precisaria vender R$ 960.000 a mais (R$ 57.600 ÷ 0,06). Isso equivale a 80% de um mês inteiro de vendas (R$ 960.000 ÷ R$ 1.200.000) só para voltar ao ponto em que estava, e por isso a conta do controle é simples: vale mais impedir a perda do que vender mais para cobri-la.

Quais controles teriam pegado o caso? Quatro, todos baratos:

• Segregação: quem cadastra o fornecedor não aprova o pagamento.
• Preventivo: cadastro novo só com CNPJ validado e aprovação do sócio.
• Detectivo: relatório mensal de fornecedores novos e de pagamentos recorrentes sem contrato.
• Corretivo: bloqueio do cadastro, apuração, mudança de senhas e revisão da alçada.

O exemplo é fictício e simplificado, mas a lição vale para qualquer PME: o desvio quase nunca é grande de uma vez. Ele é pequeno, recorrente e fica abaixo do radar.

Fraude e desvio de dinheiro: sinais de alerta e como se proteger

Fraude é o ato intencional de enganar para obter vantagem indevida; desvio de dinheiro é uma de suas formas, quando o recurso da empresa vai parar no bolso de alguém. O criminologista Donald Cressey descreveu o chamado triângulo da fraude, que explica quando ela acontece: pressão (uma necessidade financeira), oportunidade (um controle frouxo) e racionalização (a justificativa que a pessoa dá a si mesma). A empresa quase não consegue mexer na pressão nem na racionalização, mas controla a oportunidade, e é aí que os controles internos agem.

Sinais de alerta no financeiro

• Funcionário que nunca tira férias ou não deixa ninguém tocar na sua rotina.
• Resistência a mostrar extratos, a mudar processos ou a ter revisão.
• Pagamentos sempre logo abaixo do limite de alçada.
• Fornecedores sem site, sem endereço claro ou com dados bancários de pessoa física.
• Estilo de vida incompatível com o salário, sem explicação plausível.
• Diferenças pequenas e recorrentes que sempre "se acertam no mês seguinte".
• Notas, recibos ou contratos que não aparecem quando solicitados.

Como se proteger, em ordem de prioridade

1. Separe as funções e use dupla aprovação nos pagamentos.
2. Faça a conciliação bancária toda semana, e não só no fechamento.
3. Dê ao sócio acesso de consulta a todas as contas.
4. Revise cadastros novos e alterações de dados bancários.
5. Exija revezamento ou férias reais em funções sensíveis.
6. Crie um canal para o time relatar suspeitas sem medo.
7. Se houver indício, preserve os registros, não confronte de improviso e procure orientação jurídica antes de agir.

Se a fraude também ameaça a sobrevivência do caixa, combine as medidas com um plano de contingência financeira para decidir o que proteger primeiro.

O que faz um controlador interno e quem exerce esse papel na PME?

O controlador interno, também chamado de analista ou agente de controle interno, desenha, acompanha e testa os controles: mapeia processos, aponta riscos, verifica se as rotinas são cumpridas, relata as falhas e propõe melhorias. No setor público, o cargo costuma estar ligado a uma unidade de controle interno do órgão.

Na empresa privada, a função costuma ser exercida por quem responde pelo financeiro ou pela controladoria. O controller cuida do sistema de informação e dos controles, enquanto o contador cuida principalmente da escrituração e das obrigações fiscais. Entenda a diferença em controller e contador e em CEO, CFO e COO, para saber a quem cada responsabilidade cabe.

Para a PME que ainda não tem esse perfil, a regra é não deixar o controle depender de uma só pessoa. O sócio faz a revisão mínima, o time executa com segregação e, quando a empresa cresce, entra um responsável dedicado ou um time de controladoria.

Controles internos e a Controladoria da BGP

Na BGP, o controle interno do financeiro é parte do trabalho da Controladoria: o time opera o financeiro do cliente em ciclo mensal, com conciliação bancária e contábil, fluxo de caixa projetado, orçamento, controle de custos e margem, e acompanhamento dos números com a gestão, tudo visível no GO BI, que a Controladoria já inclui. Isso dá ao dono uma segunda leitura independente do dado antes de ele chegar à reunião de resultado.

A BGP trabalha com o sistema que a empresa já usa, e o onboarding começa pelo mapeamento dos fluxos financeiros, o mesmo ponto de partida de qualquer desenho de controle interno. Se você quer organizar essa estrutura, conheça a Controladoria da BGP. O painel que apoia o acompanhamento está descrito em dashboard financeiro.

Perguntas frequentes sobre controles internos

Quais são os 3 tipos de controle?

Os três tipos são o preventivo, o detectivo e o corretivo. O preventivo age antes do problema, como a alçada de aprovação. O detectivo descobre o que escapou, como a conciliação bancária. O corretivo conserta e evita repetição, como o ajuste do lançamento e a revisão da regra que falhou.

O que um controlador interno faz?

Ele mapeia os processos, identifica riscos, desenha e testa os controles, verifica se as rotinas são cumpridas e relata falhas com propostas de correção. Na empresa privada, o papel costuma ficar com o controller ou o responsável financeiro. No setor público, com a unidade de controle interno do órgão.

Quais são as 4 fases do controle?

São quatro: estabelecer padrões, medir o desempenho, comparar o realizado com o padrão e agir sobre os desvios. O ciclo se repete a cada período. No financeiro da PME, corresponde a definir regras e orçamento, fechar o mês, apontar as variações e corrigir as causas.

O controlador interno municipal precisa ser efetivo?

Depende da lei do município e da orientação do tribunal de contas do estado. Em muitos entes, a norma pede que o responsável pelo controle interno seja servidor de carreira, justamente para dar independência ao cargo. Confirme na lei municipal e na norma do tribunal de contas que fiscaliza a sua prefeitura.

Qual a diferença entre controle interno e auditoria interna?

Controle interno é a rotina que protege o processo e é executada por quem opera. A auditoria interna é a verificação independente de que essa rotina existe e funciona. Uma não substitui a outra: sem controle, não há o que auditar, e sem auditoria, ninguém sabe se o controle funciona.

O que é segregação de funções?

É separar entre pessoas diferentes as tarefas de autorizar, executar, registrar e conferir, para que ninguém controle a própria fiscalização. Se a empresa é pequena demais para separar tudo, o sócio revisa de forma independente e periódica, como controle compensatório.

Como evitar fraude e desvio de dinheiro na empresa?

Reduza a oportunidade: separe funções, exija dupla aprovação, concilie o banco toda semana, revise cadastros de fornecedores e dê ao sócio acesso de consulta às contas. Ao menor indício, preserve os registros e busque orientação jurídica antes de confrontar alguém.