Controles e segurança ao dar acesso financeiro a terceiros

Princípios básicos de controle de acesso financeiro a terceiros

Quatro princípios sustentam qualquer política de acesso seguro a sistemas financeiros por terceiros, independentemente do porte da empresa:

1. Acesso mínimo necessário: o BPO acessa somente os módulos, contas e funcionalidades que precisa para executar o escopo contratado. Acesso a informações além do escopo — outras contas bancárias, módulos de outros departamentos, relatórios gerenciais não contratados — é negado por padrão.
2. Segregação de funções: quem lança não aprova, quem aprova não concilia. No contexto de BPO, isso significa: o operador do BPO lança pagamentos para aprovação, o responsável interno aprova, e o BPO (ou outro operador) faz a conciliação do que foi executado.
3. Usuário individual por operador: cada pessoa do BPO que acessa os sistemas da empresa deve ter sua própria credencial — nunca credencial compartilhada, nunca a mesma senha do gestor ou do analista interno. Usuário compartilhado torna o log inutilizável para rastreamento.
4. Log de operações rastreável: todas as operações do BPO nos sistemas devem ser registradas com data, hora e usuário. O log não precisa ser monitorado em tempo real — mas precisa existir e ser acessível para auditoria quando necessário.

Como configurar o acesso no internet banking

Os principais bancos brasileiros permitem criar usuários operadores com permissões distintas do titular da conta. A configuração correta para o BPO:

• Criar usuário específico para cada operador do BPO (nome individual, não "BPO empresa").
• Atribuir perfil de operador — permite lançar transferências e boletos para aprovação, mas não executar sem aprovação do titular ou do aprovador interno.
• Nunca atribuir perfil de aprovador ao BPO.
• Ativar notificações para o e-mail ou celular do responsável interno a cada operação lançada pelo BPO.
• Ao encerrar o contrato: desativar ou remover os usuários do BPO imediatamente — antes de comunicar o encerramento ao fornecedor.

A maioria dos bancos digitais e dos bancos tradicionais com plataforma de empresas tem essa funcionalidade. Se o banco usado não tiver, é um ponto de risco que precisa ser mitigado de outra forma — como aprovação por e-mail registrado ou outra ferramenta de controle.

Como configurar o acesso no ERP

No ERP, o acesso do BPO deve ser configurado em perfis com permissões específicas:

• Perfil de lançamento: permite inserir e editar registros (notas fiscais, lançamentos de contas a pagar e receber, conciliação). Não permite aprovar pagamentos nem alterar cadastro de fornecedores ou clientes.
• Perfil de consulta: para relatórios e visualização sem poder de edição. Pode ser concedido a analistas do BPO que precisam de contexto sem operar.
• O que não conceder ao BPO: perfil de administrador do sistema, acesso a módulos de outros departamentos (RH, estoque, compras) além do financeiro, permissão de exclusão de registros sem rastreabilidade.

A revisão de perfis de acesso do BPO no ERP deve acontecer ao menos uma vez por ano ou quando houver mudança de escopo contratual. Perfis concedidos para uma fase do onboarding e não revisados depois são um risco silencioso.

Alçadas de aprovação de pagamentos: quem aprova e com qual limite

A tabela de alçadas define quem pode aprovar cada tipo de pagamento dentro da empresa, em função do valor e do tipo de despesa. O BPO nunca aparece como aprovador — ele prepara e agenda; a aprovação é sempre de um responsável interno.

O que manter sempre sob controle interno

Independente do porte ou do modelo de BPO, cinco elementos nunca devem ser delegados ao fornecedor:

1. Senha de administrador de qualquer sistema financeiro da empresa.
2. Token ou acesso a aplicativos bancários pessoais de sócios.
3. Aprovação de qualquer pagamento — mesmo os de baixo valor — sem que exista alçada interna definida.
4. Acesso a certificados digitais da empresa (e-CNPJ, e-CPF de sócios).
5. Decisão sobre onde aplicar caixa excedente ou como cobrir deficit de caixa.

Protocolo de revogação de acesso ao encerrar o contrato

O encerramento do contrato com o BPO precisa incluir um protocolo de revogação de todos os acessos concedidos. A ordem correta:

1. Antes de comunicar formalmente o encerramento ao BPO: revogar os acessos ao internet banking de todos os usuários do fornecedor.
2. No mesmo dia: alterar as senhas de qualquer sistema compartilhado durante o contrato.
3. No ERP: desativar ou remover os perfis de acesso dos operadores do BPO.
4. Confirmar com o responsável do BPO que os dados da empresa foram deletados dos sistemas internos do fornecedor — conforme o previsto no DPA.
5. Guardar o log de operações do período de contrato para referência futura.

Revogar o acesso antes de comunicar o encerramento não é desconfiança — é procedimento padrão. Fornecedores sérios entendem e documentam isso no próprio contrato de saída.