Modus operandi

Fraude interna em instituição financeira: rápido demais e devagar demais dão no mesmo

Quem está dentro não arromba nada. E quem investiga tem dois jeitos de perder o caso: correr sem prova ou demorar e configurar perdão tácito.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 2 de março de 2027

Toda a arquitetura de antifraude olha para fora. Autenticação, detecção de dispositivo novo, análise de comportamento de acesso, limite por perfil. Tudo desenhado para reconhecer o estranho que tenta entrar.

Quem já está dentro não precisa de nada disso. O acesso dele é legítimo, o crachá funciona, o horário é comercial e o registro que ele gera é indistinguível do trabalho de terça-feira.

É por isso que fraude interna raramente é descoberta por sistema. Ela costuma aparecer por conciliação que não fecha, por cliente que reclama de algo que ninguém pediu, ou por acaso.

Detectar não é achar acesso estranho

Aqui está a diferença de método que muda tudo.

Contra o fraudador de fora, você procura o evento anômalo: o dispositivo novo, o IP de outro país, a madrugada. Contra o de dentro, nada disso existe. Todos os eventos são normais individualmente.

O que denuncia é padrão, e padrão só aparece quando se olha para o conjunto:

• Consulta a cadastro de cliente sem que exista atendimento, chamado ou operação correspondente naquele cliente
• Volume de acessos muito acima da média de quem faz a mesma função na mesma agência ou célula
• Concentração repetida num pequeno grupo de contas sem relação com a carteira daquela pessoa
• Operações sempre próximas ao limite da alçada, nunca acima, o que é a assinatura de quem conhece o gatilho da aprovação
• Ajustes, estornos e cancelamentos feitos pela mesma pessoa que lançou

O último é o mais revelador e o mais barato de verificar, porque é falha de segregação de funções e aparece direto no registro. Quem lança e quem corrige não deveriam ser a mesma pessoa, e quando são, o rastro do erro proposital some dentro da rotina.

Nada disso é conclusivo sozinho. Serve para escolher onde olhar, e esse é o trabalho.

O suspeito controla o sistema que produz a prova contra ele

Este é o ponto que separa fraude interna de qualquer outra, e ele tem consequência imediata.

Em muitos casos a pessoa investigada tem acesso, direto ou por colegas, aos sistemas de onde a prova vai sair. Log de aplicação, caixa de e-mail, arquivos em rede, às vezes a própria ferramenta de auditoria.

Três consequências práticas:

Preservar vem antes de perguntar. A conversa com o suspeito, a entrevista com o gestor, o pedido de explicação, tudo isso é aviso. Depois dele, o que ainda existia pode não existir mais.

Preservar não é olhar. Copiar para analisar sem registro de integridade produz material que a defesa vai contestar, e com razão. A cadeia de custódia aqui não é formalidade, é a diferença entre ter caso e não ter.

Quem preserva precisa estar fora do alcance do investigado. Se o time que guarda o log responde ao gestor que está sob suspeita, a preservação já nasce contestável.

A armadilha dupla, que é onde a empresa perde duas vezes

Agora a parte que quase ninguém escreve, e que é a razão de este texto existir.

Existe uma crença de que fraude interna se resolve com demissão rápida por justa causa e pronto. Não se resolve, e o erro tem duas formas opostas.

Rápido demais, sem prova. A Subseção II Especializada em Dissídios Individuais do Tribunal Superior do Trabalho manteve a reintegração de um caixa do Banco do Brasil dispensado em 2007 por improbidade, em caso envolvendo diferença de R$ 100 mil. A apuração interna concluiu que as explicações dele eram inconsistentes com as imagens do circuito interno, mas a justa causa não se sustentou por insuficiência de prova. O banco pretendia converter a dispensa em imotivada, sem reintegrar, e não conseguiu: afastada a justa causa, a reintegração foi a consequência.

O ato de improbidade está na alínea “a” do art. 482 da CLT e é falta gravíssima, que dispensa gradação de penalidade. Justamente por isso exige prova robusta. Acusação grave com prova frouxa não vira dispensa imotivada, vira reintegração.

Devagar demais, com perdão tácito. O outro lado do mesmo problema. A justa causa exige imediatidade, e demora injustificada na punição é lida como perdão tácito, ou seja, como se o empregador tivesse aceitado a conduta e não a considerado grave o bastante.

Então a empresa fica entre correr e perder por falta de prova, ou apurar com calma e perder o direito de punir.

A saída, e ela é mais simples do que parece

O prazo da imediatidade não corre da data do fato. Corre do momento em que a empresa teve ciência inequívoca da conduta.

Isso muda tudo, e resolve o dilema. Apuração séria não viola imediatidade, desde que se consiga demonstrar quando a ciência inequívoca aconteceu e que, a partir dali, não houve demora injustificada.

A consequência prática é incômoda para quem gosta de investigar informalmente: a linha do tempo da própria investigação vira prova. Quando a suspeita surgiu, o que se sabia naquele momento, que passo foi dado em qual data, quando o quadro se fechou. Investigação sem registro de datas não consegue depois sustentar nem a prova do fato, nem a tempestividade da punição.

É o mesmo raciocínio de quesitos para perícia: o que não está registrado não existe para quem vai julgar.

Até onde vai o monitoramento

Terreno que gera mais insegurança do que deveria, e a jurisprudência trabalhista é razoavelmente clara em um ponto e cheia de nuance em outro.

O ponto claro. O e-mail corporativo é ferramenta de trabalho, e não correspondência pessoal. O empregado usa terminal e provedor da empresa, e a mensagem ali deveria ser de cunho profissional. A proteção constitucional de inviolabilidade alcança o e-mail pessoal, com provedor próprio, não o corporativo. Por isso o TST admite que a empresa monitore o e-mail de trabalho, e prova obtida assim não é ilícita para demonstrar justa causa.

A nuance, que é onde o caso se perde. Esse monitoramento deve ser moderado, geral, impessoal e não direcionado, entre outras razões para evitar assédio e discriminação.

Repare a tensão, porque ela é real: investigação de fraude interna é, por definição, direcionada. Ela mira uma pessoa. O que autoriza a vigilância genérica não autoriza automaticamente a devassa individual.

O que mantém a coisa de pé, na prática:

1. Política prévia, conhecida e assinada, dizendo que os recursos são de trabalho e sujeitos a monitoramento. Sem isso, a discussão começa perdida.
2. Proporcionalidade e delimitação. Recorte por período, por sistema e por escopo relacionado ao fato apurado. Não é autorização para ler cinco anos de caixa inteira.
3. Registro do que motivou olhar aquela pessoa. O sinal anterior à devassa é o que separa apuração de perseguição.
4. Distinguir corporativo de pessoal. Aplicativo de mensagem pessoal, mesmo em aparelho da empresa, é outro debate, e bem mais delicado.

Vale lembrar que dado de empregado é dado pessoal, então tratamento, retenção e acesso a esse material também respondem à Lei Geral de Proteção de Dados. Apuração mal desenhada cria um segundo problema para resolver depois do primeiro.

O que fazer nas primeiras horas

1. Defina quem conduz, e que essa pessoa não esteja na linha de reporte do investigado.
2. Preserve antes de qualquer entrevista: logs de aplicação e de autenticação, registros de acesso a cadastro, caixa corporativa, trilhas de aprovação e estorno.
3. Registre data, hora e responsável de cada passo. Essa linha do tempo é o que sustenta a imediatidade depois.
4. Não confronte cedo. A conversa é o aviso que dispara o apagamento.
5. Delimite o escopo por escrito antes de examinar, e guarde o motivo da delimitação.
6. Calcule o alcance. Fraude interna raramente é um evento só, e o segundo caso costuma aparecer quando se olha o padrão em vez do episódio.
7. Só então decida sobre a punição, com a prova fechada e a linha do tempo pronta.

Onde isso encosta em outros temas

Fraude interna se parece com o ataque via provedor de tecnologia num ponto e difere em outro. Nos dois, o acesso usado é legítimo e chega autenticado. A diferença é de quem é a credencial: lá é de um fornecedor com acesso contratado, aqui é de alguém do próprio quadro, com vínculo trabalhista e todo o regime jurídico que vem junto.

E quando o dinheiro sai, ele precisa ir para algum lugar. O destino costuma ser o mesmo das outras modalidades, o que leva à discussão de conta laranja e ao rastreio em cadeia.

A conclusão que fica é desconfortável e útil: em fraude interna, a qualidade da apuração decide mais do que a gravidade do fato. Empresa que investiga apressado troca um prejuízo por dois, e o segundo vem com sentença e juros.