Controles Internos e Integridade Operacional

BRIEFING ESTRATÉGICO SCHULTZ

Série Técnica em Arquitetura Empresarial

VOLUME V

Controles Internos e
Integridade Operacional

A estruturação de controles como mecanismo de proteção patrimonial, confiabilidade da informação e disciplina operacional em empresas em crescimento.

Marcelo Carpen Schultz

Contador • Advogado
CRC/PR 064.704 • OAB/PR 108.740

Versão — julho/2026

SCHULTZ CONTABILIDADE CORPORATIVA

Contabilidade corporativa, tributação estratégica e estrutura empresarial
para empresas que precisam crescer com organização.

NOTA EDITORIAL E RESPONSABILIDADE TÉCNICA

Este material integra a linha Briefing Estratégico Schultz — Série Técnica em Arquitetura Empresarial e tem por finalidade oferecer uma leitura técnica, normativa e empresarial sobre controles internos como mecanismo de proteção patrimonial, integridade operacional, confiabilidade da informação e disciplina de execução. O documento foi elaborado a partir do estudo técnico original da Schultz Contabilidade Corporativa, em versão editável, e foi reestruturado para adotar o padrão editorial da coleção, com início, desenvolvimento, conclusão decisória, base normativa, matriz de riscos, checklist de providências e modelo de atuação.

O conteúdo possui natureza informativa e técnico-institucional. Não substitui diagnóstico específico, parecer contábil, fiscal, societário, trabalhista ou jurídico, nem dispensa análise documental do caso concreto, sobretudo em situações que envolvam suspeita de fraude, desvio patrimonial, falhas de segregação de funções, perdas de estoque, inconsistências em documentos fiscais, fragilidades de alçadas, pagamentos indevidos, auditoria independente, litígios, investigações internas ou responsabilização de administradores.

SUMÁRIO EXECUTIVO

1. RESUMO EXECUTIVO E TESE CENTRAL

Controles internos não devem ser compreendidos como burocracia operacional, mas como estrutura mínima de proteção patrimonial, confiabilidade da informação e disciplina administrativa. Em empresas que cresceram sem processos formalizados, alçadas, segregação de funções, trilhas documentais, conciliações e monitoramento, a operação passa a depender de confiança pessoal, memória dos colaboradores, planilhas paralelas e conferências informais. Esse modelo pode funcionar em escala reduzida, mas se torna progressivamente insuficiente à medida que aumentam o volume de compras, vendas, pagamentos, recebimentos, estoques, contratos, colaboradores e obrigações fiscais.

O problema central não está apenas na existência de erros ou perdas isoladas. O problema está na ausência de um sistema que impeça, detecte, corrija e documente desvios relevantes antes que se convertam em perda financeira, autuação fiscal, litígio, fraude, confusão patrimonial, inconsistência contábil ou ruptura de confiança entre sócios e administradores. A empresa sem controles pode parecer ágil, mas frequentemente opera com exposição invisível, pois não sabe onde os riscos estão, quem é responsável por cada etapa, quais transações contornaram procedimentos e quais evidências sustentam as decisões operacionais.

1.1. DECISÃO EMPRESARIAL QUE ESTE ESTUDO APOIA

Este briefing apoia a decisão de estruturar, revisar ou implantar controles internos mínimos em empresas que já possuem operação relevante, mas ainda dependem de conferências informais, centralização excessiva no sócio, ausência de segregação de funções, controles manuais frágeis, inexistência de logs de auditoria, política de alçadas não documentada ou processos que não deixam evidência suficiente. O leitor deve sair deste estudo com compreensão suficiente para identificar processos críticos, mapear riscos, definir controles proporcionais, estabelecer responsáveis, documentar evidências e construir uma matriz de controles compatível com o porte e a complexidade da empresa.

2. CONTEXTO EMPRESARIAL: QUANDO A CONFIANÇA NÃO SUBSTITUI CONTROLE

Nas empresas brasileiras de pequeno e médio porte, a ausência de controles internos costuma ser justificada pela proximidade entre sócios, gestores e equipe. O argumento é recorrente: todos se conhecem, há confiança nas pessoas, o sócio acompanha tudo e a empresa não teria porte suficiente para uma estrutura formal de controle. Essa percepção, embora compreensível em estágios iniciais, torna-se inadequada quando a operação passa a movimentar valores relevantes, múltiplos fornecedores, grande número de clientes, folha de pagamento expressiva, estoque material ou obrigações acessórias fiscalmente rastreáveis.

A confiança é elemento cultural importante, mas não substitui processo. Controles internos não existem para presumir má-fé; existem para reduzir erro, proteger colaboradores honestos, preservar evidências, limitar oportunidades de desvio, impedir que falhas individuais comprometam o patrimônio e permitir que a administração acompanhe a operação sem depender de acesso direto a cada transação. Uma organização madura não controla porque desconfia de todos; controla porque compreende que risco operacional, erro humano, pressão comercial, improviso sistêmico e ausência de registro produzem perdas mesmo em ambientes de boa-fé.

A fragilidade normalmente aparece por sintomas indiretos: pagamentos sem documentação suficiente, fornecedores cadastrados sem validação, compras aprovadas verbalmente, descontos comerciais sem alçada, recebíveis vencidos sem régua de cobrança, divergências de estoque sem investigação, horas extras sem autorização formal, alterações cadastrais sem log, conciliações realizadas por quem executa a transação e relatórios gerenciais que não permitem rastrear a origem dos números. Quando esses sintomas aparecem em conjunto, a empresa não possui apenas problemas operacionais; possui ausência de arquitetura de controle.

3. BASE NORMATIVA, CONTÁBIL, FISCAL, SOCIETÁRIA E DE GOVERNANÇA APLICÁVEL

Os controles internos possuem natureza administrativa e operacional, mas sua relevância ultrapassa a gestão interna. Eles sustentam a confiabilidade das demonstrações financeiras, a integridade dos registros contábeis, a consistência das obrigações fiscais, a proteção patrimonial, a responsabilidade de administradores e a capacidade de auditoria. Por essa razão, sua análise deve considerar normas contábeis, legislação societária, obrigações digitais, práticas de auditoria, frameworks de controle e mecanismos de gestão de riscos.

3.1. COSO, CONTROLE INTERNO E GARANTIA RAZOÁVEL

O framework COSO define controle interno como um processo conduzido pela administração, pela governança e pelas pessoas da entidade, desenhado para fornecer garantia razoável quanto à eficácia e eficiência das operações, confiabilidade dos relatórios e conformidade com leis e regulamentos. A expressão garantia razoável é decisiva: controles internos não eliminam risco, não impedem todo erro e não substituem julgamento profissional; eles reduzem a probabilidade e o impacto de falhas relevantes por meio de ambiente de controle, avaliação de riscos, atividades de controle, informação, comunicação e monitoramento.

3.2. CPC, NBC, ITG 2000 E CONFIABILIDADE DA INFORMAÇÃO

A qualidade da informação contábil depende de registros completos, verificáveis, tempestivos e suportados por evidência documental. O CPC 00, ao tratar da utilidade da informação financeira, reforça características como relevância, representação fidedigna, comparabilidade, verificabilidade, tempestividade e compreensibilidade. A ITG 2000 e as Normas Brasileiras de Contabilidade, por sua vez, exigem escrituração formal, íntegra e apoiada em documentação hábil. Controles internos são o mecanismo operacional que protege essas características na origem, antes que o erro chegue à contabilidade.

3.3. SPED, DOCUMENTOS FISCAIS DIGITAIS E RASTREABILIDADE

No ambiente fiscal brasileiro, a ausência de controles internos produz reflexos diretos em obrigações digitais. NF-e, NFS-e, ECD, ECF, EFD-Contribuições, EFD-Reinf, DCTFWeb, eSocial e demais declarações formam um ecossistema de dados cruzáveis. A empresa que não controla cadastro, documento fiscal, retenção, classificação contábil, centro de custo, competência, autorização e pagamento apenas transfere inconsistências operacionais para ambiente fiscal rastreável.

3.4. CÓDIGO CIVIL, LEI DAS S.A. E RESPONSABILIDADE DE ADMINISTRADORES

A proteção patrimonial e a responsabilidade de administradores dependem de evidências de diligência, documentação e segregação mínima entre patrimônio social, decisões de gestão e atos pessoais dos sócios. Controles internos reduzem risco de confusão patrimonial, favorecimento indevido, pagamentos sem causa, contratos não autorizados e deliberações sem suporte. Em sociedades limitadas que adotam aplicação supletiva da Lei das S.A. ou em estruturas com maior complexidade societária, a disciplina de controles reforça a governança e a capacidade de prestação de contas.

4. ARQUITETURA TÉCNICA DOS CONTROLES INTERNOS

A arquitetura técnica dos controles internos deve ser construída a partir dos processos críticos da empresa, não a partir de modelos abstratos. O primeiro passo é identificar onde há maior circulação de recursos, maior possibilidade de erro, maior exposição fiscal, maior impacto patrimonial e maior dependência de pessoas específicas. Em seguida, cada processo deve ser desdobrado em riscos, controles, responsáveis, frequência, evidência e forma de monitoramento.

4.1. AMBIENTE DE CONTROLE

O ambiente de controle representa a postura da liderança perante conformidade, responsabilidade, documentação e disciplina operacional. Quando sócios e administradores contornam alçadas, autorizam pagamentos verbalmente, aceitam exceções sem registro ou relativizam conciliações, a cultura real da empresa comunica que o controle é acessório. Em sentido inverso, quando a liderança exige evidência, respeita procedimentos e revisa exceções, os controles deixam de ser imposição formal e passam a compor o modo normal de operação.

4.2. AVALIAÇÃO DE RISCOS

A avaliação de riscos identifica eventos que podem comprometer patrimônio, resultado, conformidade, reputação ou continuidade operacional. Na prática, deve responder a perguntas objetivas: onde a empresa perde dinheiro; quais transações podem ser aprovadas sem revisão; quais cadastros podem ser alterados sem log; quais documentos fiscais podem ser emitidos incorretamente; quais pagamentos podem ser duplicados; quais estoques podem divergir do sistema; quais descontos podem destruir margem; quais obrigações trabalhistas ou fiscais podem ser apuradas com erro.

4.3. ATIVIDADES DE CONTROLE

Atividades de controle são políticas, procedimentos e mecanismos sistêmicos que reduzem risco a nível aceitável. Elas incluem alçadas de aprovação, segregação de funções, conferência física, conciliações, validações cadastrais, limites automáticos, bloqueios sistêmicos, dupla revisão, trilhas de auditoria, relatórios de exceção e inventários. O controle deve ser proporcional: controles excessivos paralisam a operação, enquanto controles insuficientes apenas formalizam vulnerabilidades.

4.4. INFORMAÇÃO, COMUNICAÇÃO E MONITORAMENTO

Um controle que não gera informação não permite gestão. Por isso, cada controle relevante deve deixar evidência: quem executou, quando executou, que documento suportou, qual exceção foi identificada, quem aprovou o desvio e qual providência foi adotada. O monitoramento transforma essa evidência em gestão, permitindo análise periódica de exceções, frequência de falhas, transações fora de alçada, pagamentos reprocessados, divergências de estoque, inadimplência, descontos, retrabalho e descumprimento de procedimentos.

5. MATRIZ DE CONTROLES POR PROCESSO

A matriz de controles é o instrumento que transforma intenção de controle em prática operacional. Ela deve partir dos processos que concentram maior risco e maior volume de recursos: compras, vendas, faturamento, contas a pagar, contas a receber, folha, estoque, fiscal, contratos e tecnologia. Cada processo deve ser examinado em termos de risco inerente, controle existente, lacuna, responsável, frequência e evidência.

6. SEGREGAÇÃO DE FUNÇÕES E CONTROLES COMPENSATÓRIOS

A segregação de funções é um dos fundamentos dos controles internos. O princípio é simples: a mesma pessoa não deve concentrar autorização, execução, registro e conferência de uma transação relevante. Quando um colaborador cadastra fornecedor, aprova compra, lança documento, executa pagamento e concilia banco, a empresa não possui controle efetivo; possui confiança concentrada em um único ponto de falha.

Em empresas de médio porte, a segregação absoluta nem sempre é viável por limitação de equipe. Nesses casos, a solução técnica não é abandonar o controle, mas instituir controles compensatórios: revisão gerencial periódica, dupla aprovação em transações relevantes, relatórios de exceção, conciliação por pessoa distinta, limite de alçada, bloqueio sistêmico, auditoria amostral e trilha documental obrigatória. O objetivo é impedir que a limitação de pessoal se converta em ausência integral de proteção.

7. CONTROLES PREVENTIVOS, DETECTIVOS E CORRETIVOS

Controles preventivos atuam antes do evento e buscam impedir que o erro ou o desvio ocorra. São exemplos alçadas de aprovação, bloqueios sistêmicos, validação cadastral, limites de crédito, segregação de funções e parametrização fiscal. Controles detectivos atuam depois do evento e buscam identificar falhas já ocorridas, como conciliações, inventários, relatórios de exceção, revisões gerenciais e auditorias internas. Controles corretivos, por sua vez, tratam a falha identificada e ajustam o processo para evitar recorrência.

O equilíbrio entre esses controles depende de impacto, probabilidade, custo de implementação e capacidade operacional da empresa. Riscos de alto impacto e baixa tolerância, como pagamentos sem aprovação, alteração de dados bancários de fornecedor, concessão de crédito relevante ou baixa de estoque material, exigem controles preventivos mais fortes. Riscos de maior volume e menor impacto individual podem ser tratados por controles detectivos e análise de exceções.

A eficácia do controle não depende apenas de sua existência formal, mas de sua execução consistente. Um controle previsto em política interna, mas não aplicado, cria falsa sensação de segurança e pode ser mais perigoso que a ausência declarada de controle, porque leva a administração a acreditar que determinado risco está mitigado quando, na prática, permanece aberto.

8. TECNOLOGIA, ERP, LOGS E TRILHAS DE AUDITORIA

A tecnologia amplia a capacidade de controle quando configurada com critério técnico. ERP, workflows, conciliação automática, logs de auditoria, controle de acesso por perfil, alertas de exceção e dashboards reduzem dependência manual e aumentam rastreabilidade. Contudo, tecnologia sem governança pode apenas acelerar erros: permissões excessivas, cadastros duplicados, ausência de bloqueios, parametrização fiscal inadequada e relatórios sem revisão transformam o sistema em repositório de inconsistências.

O controle de acesso baseado em perfil deve limitar cada usuário às funções necessárias ao seu papel. Logs de auditoria devem registrar inclusão, alteração e exclusão de informações relevantes, com usuário, data, horário e valores alterados. Workflows devem impedir avanço de pagamentos, compras, descontos ou cadastros sem aprovação da alçada correspondente. Alertas de exceção devem identificar transações fora de padrão, como pagamentos em horário incomum, alterações de fornecedores, descontos excessivos, créditos comerciais fora de política ou movimentações de estoque sem justificativa.

9. APLICABILIDADE PRÁTICA: ROI, PERDAS OPERACIONAIS E PROTEÇÃO PATRIMONIAL

A utilidade dos controles internos aparece quando a empresa consegue transformar risco operacional em número. Em muitos negócios, perdas relevantes permanecem diluídas em descontos comerciais, inadimplência, divergência de estoque, retrabalho, pagamentos duplicados, compras sem comparação, custos trabalhistas, inconsistências fiscais e despesas não classificadas. O controle permite identificar onde a perda ocorre, quanto custa, quem responde pelo processo e qual medida reduz sua recorrência.

Considere uma empresa comercial com faturamento anual de R$ 18 milhões, 65 colaboradores e operação concentrada em Curitiba. Antes da implementação de controles internos, as perdas operacionais anuais estimadas somavam R$ 600 mil, distribuídas entre diferenças de estoque não investigadas, inadimplência sem cobrança sistemática, descontos não autorizados, compras sem cotação comparativa e pagamentos duplicados. O programa de controles implantou segregação de funções no financeiro, política de crédito, alçadas de desconto, cotação obrigatória, inventário rotativo mensal e conciliação bancária diária.

Com investimento total de R$ 120 mil entre consultoria, adequação de ERP, treinamento e manutenção, as perdas foram reduzidas para R$ 95 mil em 12 meses, gerando economia líquida relevante e retorno mensurável. Mais importante que a economia isolada, a empresa passou a demonstrar controles perante sócios, bancos, auditores e gestores, criando base para crescimento com menor exposição operacional.

10. MATRIZ DE RISCOS DOS CONTROLES INTERNOS

A matriz de riscos permite transformar fragilidades operacionais em leitura priorizada. O objetivo não é criar uma lista extensa de falhas possíveis, mas identificar quais riscos possuem maior impacto patrimonial, fiscal, financeiro, operacional, trabalhista, societário e reputacional para a empresa.

11. CHECKLIST TÉCNICO SCHULTZ DE CONTROLES INTERNOS

O checklist a seguir não substitui diagnóstico específico, mas oferece uma base objetiva para avaliar se a empresa possui estrutura mínima de controles internos. A resposta negativa a múltiplos itens indica necessidade de revisão de processos, alçadas, sistemas, responsáveis, evidências e monitoramento.

1. Mapear os processos críticos da empresa: compras, vendas, faturamento, contas a pagar, contas a receber, folha, estoque, fiscal, contratos e tecnologia.

2. Identificar, para cada processo, os principais riscos de erro, fraude, perda, inconsistência fiscal, falha documental e exposição patrimonial.

3. Definir alçadas formais de aprovação por natureza da transação, valor, área e nível de risco.

4. Revisar a segregação de funções entre solicitação, aprovação, execução, registro, conferência e pagamento.

5. Implantar controles compensatórios quando a segregação completa não for viável em razão do porte da equipe.

6. Documentar políticas mínimas de compras, crédito, cobrança, descontos, pagamentos, estoque, folha, cadastros e alterações sistêmicas.

7. Configurar o ERP para refletir alçadas, perfis de acesso, bloqueios, workflows, logs e relatórios de exceção.

8. Instituir conciliação bancária, conciliação de recebíveis, inventário rotativo e revisão periódica de contas críticas.

9. Criar matriz de controles com risco, controle, responsável, frequência, evidência e forma de monitoramento.

10. Monitorar indicadores de controle, como transações fora de alçada, pagamentos reprocessados, divergências de estoque, inadimplência e exceções sistêmicas.

11. Treinar a equipe para executar controles sem paralisar a operação e comunicar a finalidade de proteção patrimonial e profissional.

12. Revisar periodicamente a efetividade dos controles e ajustar procedimentos conforme crescimento, mudança de sistema, alteração de equipe ou novo risco regulatório.

12. MODELO SCHULTZ DE ATUAÇÃO

A atuação da Schultz em controles internos parte de uma leitura integrada da empresa, combinando contabilidade, financeiro, fiscal, operação, contratos, sistemas, processos, pessoas e governança. O trabalho não se limita à criação de políticas formais; busca compreender onde a operação efetivamente gera risco, quais controles existem, quais são apenas formais, quais podem ser contornados e quais evidências sustentam a administração.

12.1. DIAGNÓSTICO DOS PROCESSOS CRÍTICOS

A primeira etapa consiste no levantamento de fluxos operacionais, documentos, sistemas, usuários, alçadas, relatórios, aprovações, cadastros, conciliações, controles existentes e histórico de perdas ou exceções. O objetivo é identificar onde a empresa movimenta recursos, assume obrigações, reconhece receitas, executa pagamentos, concede crédito, registra estoques e produz informação contábil ou fiscal.

12.2. MATRIZ DE RISCOS E CONTROLES

A segunda etapa organiza os achados em matriz de riscos e controles, vinculando cada fragilidade a um risco, um controle recomendado, um responsável, uma frequência, uma evidência e uma prioridade de implantação. Essa matriz evita soluções genéricas e permite que a empresa invista primeiro nos controles de maior impacto e menor custo relativo.

12.3. REDESENHO DE PROCESSOS E ALÇADAS

A terceira etapa redesenha processos, alçadas, segregação de funções, conferências, conciliações, fluxos de aprovação e relatórios de exceção. O objetivo é criar controles compatíveis com a capacidade operacional da empresa, sem impor burocracia desproporcional ou fragilidade excessiva.

12.4. PARAMETRIZAÇÃO, TREINAMENTO E EVIDÊNCIAS

A quarta etapa apoia a parametrização de sistemas, definição de perfis de acesso, criação de checklists, documentação de procedimentos e treinamento da equipe. Controles somente funcionam quando são compreendidos por quem os executa e quando deixam evidência verificável para revisão gerencial, auditoria, contabilidade e eventual defesa técnica.

12.5. MONITORAMENTO E MELHORIA CONTÍNUA

A etapa final institui rotina de monitoramento, análise de exceções, revisão de indicadores, atualização de alçadas, auditoria amostral e melhoria contínua. Controles internos não são evento pontual; são disciplina recorrente, ajustada ao crescimento da empresa, à mudança de sistemas, à alteração de pessoas e ao surgimento de novos riscos.

13. CONCLUSÃO DECISÓRIA

Controles internos não devem ser compreendidos como obstáculo à operação, mas como condição mínima de integridade para empresas que cresceram e passaram a lidar com maior volume de recursos, pessoas, obrigações, documentos e decisões. A empresa que não controla seus processos perde capacidade de proteger patrimônio, validar informações, responsabilizar decisões, demonstrar diligência e sustentar crescimento com segurança.

A governança contábil produz informação, a organização financeira protege caixa, a controladoria transforma dados em decisão e os controles internos garantem que a operação que alimenta esses sistemas seja confiável. Sem controles, a empresa pode gerar relatórios sofisticados sobre bases vulneráveis; com controles, passa a operar com evidência, disciplina, rastreabilidade e prevenção.

O primeiro passo não é criar uma política extensa, nem multiplicar aprovações sem critério. O primeiro passo é mapear processos críticos, identificar riscos relevantes, definir controles proporcionais, estabelecer responsáveis, documentar evidências e monitorar exceções. A maturidade em controles internos não exige estrutura pesada; exige método, liderança, treinamento e disciplina de execução.

14. REFERÊNCIAS NORMATIVAS E TÉCNICAS ESSENCIAIS

• COSO Internal Control — Integrated Framework, especialmente ambiente de controle, avaliação de riscos, atividades de controle, informação, comunicação e monitoramento.

• COSO Enterprise Risk Management — Integrated Framework, como referência para avaliação integrada de riscos empresariais.

• Comitê de Pronunciamentos Contábeis — CPC 00 (R2), Estrutura Conceitual para Relatório Financeiro.

• Pronunciamentos Técnicos do CPC aplicáveis conforme o caso, especialmente CPC 25, CPC 26, CPC 27, CPC 47, CPC 48, CPC 06 e CPC PME.

• Conselho Federal de Contabilidade — Normas Brasileiras de Contabilidade, incluindo NBC TG 1000, NBC TG 1001, NBC TG 1002, ITG 2000 e normas profissionais aplicáveis.

• Normas Brasileiras de Auditoria — NBC TA, especialmente no que se refere ao entendimento da entidade, avaliação de riscos, controles relevantes, evidências e resposta aos riscos identificados.

• Sistema Público de Escrituração Digital — SPED, Escrituração Contábil Digital, Escrituração Contábil Fiscal, EFD-Contribuições, EFD-Reinf, DCTFWeb, eSocial, NF-e e NFS-e, conforme regime e operações da empresa.

• Código Civil brasileiro, especialmente dispositivos relativos à administração, responsabilidade patrimonial, escrituração, prestação de contas e proteção da personalidade jurídica.

• Lei nº 6.404/1976, quando aplicável por natureza societária, adoção voluntária ou aplicação supletiva em sociedades limitadas, especialmente em matéria de demonstrações, administração, deliberações e governança.

• Boas práticas de governança corporativa, gestão de riscos, compliance, segregação de funções, trilhas de auditoria, matriz de controles, alçadas e monitoramento de exceções.

Observação: a utilização específica de Soluções de Consulta COSIT, precedentes do CARF, decisões do STJ, do STF, dos TRFs ou dos Tribunais de Justiça deve ser feita conforme o caso concreto, especialmente quando o estudo for utilizado para sustentar posição fiscal, societária, trabalhista, contratual, administrativa ou litigiosa relacionada a controles, perdas, responsabilidade de administradores, glosa fiscal, prova contábil ou desconsideração da personalidade jurídica.

Marcelo Carpen Schultz

Contador • Advogado
CRC/PR 064.704 • OAB/PR 108.740

Versão — julho/2026

SCHULTZ CONTABILIDADE CORPORATIVA

Contabilidade corporativa, tributação estratégica e estrutura empresarial
para empresas que precisam crescer com organização.