Matriz SoD: o que é, como montar e como auditar a segregação de funções

A matriz SoD organiza um princípio que nasceu de uma constatação simples: quando uma única pessoa controla todas as etapas de um processo, ela pode causar um dano relevante sem que ninguém perceba e sem precisar de cúmplice. 

Além disso, o princípio é antigo e a aplicação costuma ser parcial. A maioria das empresas aplica bem a segregação nos sistemas, separando perfis e permissões de acesso e deixa de aplicá-la exatamente onde o valor circula: no ciclo de contratos.

Os materiais disponíveis sobre o assunto tratam SoD quase exclusivamente como controle de acesso em sistemas corporativos. A leitura é correta, porém incompleta porque quem solicita, quem aprova e quem assina raramente entram na matriz.

Ao longo das seções seguintes, você encontra como montar a matriz, quais pares de funções conflitam, como aplicar o princípio ao ciclo de contratos e o que fazer quando a empresa é pequena demais para separar tudo.

Para que serve a segregação de funções?

A segregação serve, em geral, para impedir a possibilidade de uma pessoa completar sozinha um ciclo que envolve valor. Ela não pressupõe má-fé; parte do pressuposto de que oportunidade combinada com pressão produz risco.

Ela funciona ainda como controle detectivo e não apenas preventivo. Quando duas pessoas precisam agir, a segunda confere o trabalho da primeira, e erros honestos são interceptados antes de virarem prejuízo.

Ainda assim, a segregação não substitui a confiança nas pessoas. Ela reconhece apenas que um controle apoiado só em confiança não é auditável, porque não deixa evidência de que funcionou nos períodos em que nada deu errado.

Além disso, a separação protege as próprias pessoas. Um profissional que executa e confere o próprio trabalho fica exposto à suspeita sempre que algo dá errado, mesmo tendo agido corretamente, e a segregação remove essa exposição.

Quais funções não podem ficar com a mesma pessoa?

Os pares abaixo reúnem os conflitos que aparecem em grande parte das estruturas de controle interno. A tabela indica o risco concreto de cada combinação.

Vale dizer que a lista não é exaustiva nem universal. Cada empresa precisa mapear os próprios processos, porque combinações perigosas dependem de como o trabalho está organizado, e não do nome dos cargos.

Ou seja, o conflito nem sempre está entre duas pessoas diferentes. Ele pode existir dentro de um mesmo cargo que acumulou atribuições ao longo dos anos, sem que ninguém tenha decidido conscientemente juntá-las.

O que a norma brasileira diz sobre segregação de funções?

Essa leitura tem respaldo normativo no Brasil. A NBC TA 315 (R2) se abre en una nueva pestaña, norma do Conselho Federal de Contabilidade sobre identificação e avaliação de riscos, define a segregação como atribuir a pessoas diferentes as responsabilidades de autorizar e registrar transações e de manter a custódia dos ativos. 

Isto é, o propósito declarado na norma é explícito: reduzir as oportunidades que permitiriam a alguém perpetrar e ocultar erros ou fraudes no curso normal das suas funções.

Como montar uma matriz SoD passo a passo

O roteiro abaixo produz uma matriz utilizável, que é diferente de um documento extenso que ninguém consulta.

1. Mapeie os processos críticos: comece pelos que envolvem valor, dado sensível ou obrigação externa. Tentar cobrir tudo de uma vez costuma resultar em nada concluído;

2. Liste as atividades de cada processo: descreva o que é feito, e não quem faz, para separar a função da pessoa que a exerce hoje;

3. Identifique os pares conflitantes: para cada dupla de atividades, pergunte se alguém que faça as duas conseguiria causar dano sem detecção;

4. Monte a matriz: atividades nas linhas e nas colunas, com marcação nos cruzamentos que representam conflito;

5. Confronte com a realidade atual: levante quem faz o quê hoje e marque onde a matriz já está sendo violada;

6. Trate as violações encontradas: redistribua atribuições e, onde isso não for possível, defina controle compensatório documentado;

7. Estabeleça a rotina de revisão: defina quem revisa, com que frequência e o que dispara revisão fora do calendário.

Após esse percurso, a matriz deixa de ser teoria e passa a descrever a operação real. O passo cinco costuma ser o mais desconfortável porque revela acúmulos que todo mundo já conhecia informalmente.

Como aplicar a segregação ao ciclo de contratos?

Esta é a aplicação que a maioria das matrizes não contempla, embora concentre parte do risco financeiro de uma empresa.

Na prática, um contrato percorre quatro funções distintas antes de gerar obrigação: alguém identifica a necessidade e solicita, alguém avalia e aprova, alguém assina em nome da empresa e alguém executa o pagamento decorrente. Quando funções potencialmente conflitantes se concentram na mesma pessoa, o risco aumenta e pode exigir controles compensatórios para preservar a governança do processo.

Segundo o controle externo brasileiro, essas combinações já foram tratadas. No contexto da administração pública, o Acórdão nº 2.507/2007 do Plenário do TCU reforça a importância de separar responsabilidades relacionadas à solicitação, aprovação e contratação de despesas, princípio que também pode orientar boas práticas de governança no setor privado.

Quais pares conflitam dentro do ciclo de contratos?

Uma combinação que merece atenção é aprovar e assinar contratos. Quando uma mesma pessoa concentra essas responsabilidades sem controles adicionais, pode assumir compromissos em nome da empresa sem uma revisão independente adequada.

O par seguinte, solicitar e aprovar, é menos dramático e mais frequente. Ele permite, na prática, que uma área contrate o que quiser, no valor que quiser, com a justificativa que ela própria produziu, o que retira do processo de aprovação qualquer função de filtro.

Por fim, há uma terceira combinação que costuma passar despercebida: assinar e executar o pagamento. Quem assina o contrato conhece os valores acordados e, se também libera a transferência, pode ajustar condições depois da assinatura sem que a área financeira tenha parâmetro independente de conferência.

Por outro lado, aplicar segregação nesse ciclo raramente exige contratar gente. Exige desenhar o fluxo de modo que a solicitação siga automaticamente para um aprovador diferente do solicitante, e que a assinatura dependa de um poder formalmente delegado, e não da conveniência do momento. O diligenciamento de fornecedores se apoia nesse mesmo desenho.

Qual a relação entre segregação e trilha de auditoria?

A relação costuma ser de dependência mútua, e ignorá-la produz um controle que existe no papel e não sustenta uma auditoria.

Por um lado, a segregação define quem pode fazer o quê. Por outro lado, a trilha de auditoria demonstra quem fez, quando e a partir de qual acesso. Sem a primeira, não há regra a verificar; sem a segunda, não há como provar que a regra foi cumprida.

Na prática, um auditor faz três perguntas em sequência. A empresa tem regra de segregação documentada? Os acessos concedidos correspondem a essa regra? E existe registro que comprove que as ações realizadas respeitaram os limites?

Contudo, uma resposta afirmativa às duas primeiras e negativa à terceira produz um resultado ruim. A empresa demonstra intenção e não demonstra cumprimento, o que, em muitos contextos regulatórios, equivale a não ter controle. Práticas de compliance no setor financeiro tratam essa terceira pergunta como o coração do exame.

O que fazer quando a empresa é pequena demais?

Pequenas e médias empresas (PMEs) tendem a esbarrar, mais cedo ou mais tarde, no mesmo limite: não há gente suficiente para separar todas as funções conflitantes. Fingir que a matriz está sendo cumprida é a pior resposta possível.

Já a alternativa correta se chama controle compensatório, e ela é reconhecida por qualquer estrutura de auditoria. Quando a separação é inviável, a empresa documenta a limitação e implanta um controle adicional que reduz o risco por outro caminho.

Na prática, alguns controles compensatórios funcionam bem nesse cenário.

• Revisão por terceiro independente: alguém de fora do processo, ainda que sem envolvimento diário, confere periodicamente uma amostra das operações;

• Aprovação do nível acima: operações acima de determinada faixa sobem para quem não participa da execução, ainda que seja o sócio;

• Conciliação com evidência externa: extrato bancário, comprovante de entrega e nota fiscal cruzados por alguém que não executou nenhuma das etapas;

• Alerta automático por exceção: regras que sinalizam operações fora do padrão para revisão posterior, em vez de exigir aprovação prévia de tudo;

• Rodízio de atribuições: trocar periodicamente quem executa cada função reduz a janela em que um desvio pode permanecer oculto.

Vale insistir que o controle compensatório precisa estar documentado, e não apenas praticado. Um controle informal pode ter sua eficácia questionada em auditoria, especialmente quando não existem evidências suficientes de sua execução.

Como documentar as exceções aceitas?

Toda matriz produz exceções, quase sempre mais do que o previsto, e o que separa um controle maduro de um controle de fachada é o modo como elas são registradas.

Em geral, uma exceção bem documentada responde a cinco perguntas: qual conflito está sendo aceito, por que a separação é inviável hoje, qual controle compensatório foi implantado, quem aprovou a exceção e até quando ela vale.

O prazo costuma ser o item mais negligenciado da lista. Uma exceção sem data de validade nunca é reexaminada, e alguns anos depois ninguém na empresa lembra que aquilo era para ser provisório.

Por fim, o volume de exceções é em si um indicador. Quando ele cresce a cada revisão, o problema deixou de estar nas exceções e passou para o desenho do processo que as gera.

Como tratar o acesso de emergência?

O acesso de emergência é a porta pela qual a segregação mais escapa na prática. Alguém precisa resolver um problema fora do horário, recebe uma permissão ampla e ela permanece ativa por meses.

Na prática, uma abordagem estruturada resolve isso com quatro elementos. Concessão por prazo determinado, com revogação automática. Registro do motivo no momento da concessão, e não depois. Revisão obrigatória das ações praticadas durante o período. E relatório periódico da frequência desses acessos.

A frequência, por si só, já diz alguma coisa. Acesso de emergência que acontece toda semana não é emergência; é sinal de que o desenho normal de permissões não atende à operação, e o problema a resolver é outro.

Como manter a matriz SoD atualizada?

Uma matriz SoD envelhece a cada mudança de organograma, e organogramas mudam bem mais rápido do que as revisões acontecem.

O que dispara uma revisão fora do calendário?

Os gatilhos que justificam revisão imediata são quatro: mudança na estrutura de áreas, entrada ou saída de pessoa em função crítica, implantação de sistema novo e alteração em processo que envolve valor.

Além desses gatilhos, a revisão anual programada mantém o instrumento vivo. A pauta é curta: as funções mapeadas ainda existem, os conflitos identificados continuam válidos e as violações tratadas permanecem resolvidas.

Isso porque a revisão precisa comparar a matriz com a realidade, e não apenas conferir se o documento está bem escrito. Uma gestão de não conformidades bem conduzida costuma revelar violações que a revisão formal não capturou.

Por fim, uma prática simples reduz o esforço de cada revisão: manter registrado quem aprovou a versão anterior da matriz e quais violações estavam abertas naquele momento. A comparação entre duas versões consecutivas mostra em minutos se a empresa avançou ou apenas manteve os mesmos problemas com nomes diferentes.

Quais erros mais comprometem a matriz SoD?

Os erros que comprometem uma matriz se organizam bem por visibilidade: os primeiros saltam à vista de qualquer auditor, e os últimos passam despercebidos até uma fraude acontecer.

A matriz de gaveta é o mais evidente deles. Um documento aprovado, arquivado e nunca confrontado com quem de fato faz o quê cumpre uma formalidade e não reduz risco algum.

Menos visível e bem mais comum é a exceção que virou permanente. Uma violação identificada, registrada como temporária e nunca resolvida deixa de ser exceção e passa a ser o desenho real do processo.

Difícil de enxergar de fora, a segregação nominal ocorre quando funções são formalmente distribuídas entre pessoas diferentes, mas os controles de aprovação e revisão não possuem independência efetiva. O organograma aparenta cumprir a matriz, mas o contrapeso pode ser insuficiente.

Quais erros passam despercebidos com mais frequência?

No fundo da escala está o mais discreto de todos: confundir aprovação com ciência. Um fluxo em que o gestor apenas recebe notificação do que foi feito não produz segregação alguma, porque a operação segue sem depender da decisão de uma segunda pessoa.

Fecha a lista o hábito de tratar SoD como assunto exclusivo de tecnologia. Perfis de sistema resolvem uma parte do problema; a outra parte está em quem tem poder de assinar, aprovar e comprometer a empresa, e isso raramente é configurado em um sistema de acesso.

Como a Docusign ajuda a separar quem pede, quem aprova e quem assina

A segregação de funções no ciclo de contratos depende de controlar com precisão quem pode realizar cada ação e registrar de forma rastreável tudo o que foi executado. Por meio da plataforma Docusign IAM (Intelligent Agreement Management), a empresa transforma regras teóricas de compliance em práticas operacionais contínuas, obtendo ganhos como:

• Gestão centralizada de acessos e permissões: alinha os perfis de usuários e níveis de responsabilidade às políticas de SoD da empresa por meio do Docusign Admin, com autenticação integrada (SSO), provisionamento de contas e gerenciamento de domínio corporativo;

• Roteamento automatizado e alçadas de aprovação: permite estruturar fluxos de contratos via Docusign Workflow Builder, direcionando solicitações e aprovações conforme as regras de negócio e os controles de segregação definidos pela empresa

• Rastreabilidade e evidências para auditoria: registra cada etapa da formalização no Docusign eSignature com um Registro de Auditoria (Certificado de Conclusão), fornecendo histórico estruturado com data, hora e métodos de autenticação para apoiar exames de conformidade e auditorias.

Sobre a Docusign no Brasil 

Pioneira e líder mundial em assinatura eletrônica e gestão inteligente de contratos, a Docusign atende de PMEs a grandes corporações no Brasil com planos a partir de R$ 45 por mês. Com a plataforma Docusign IAM e o motor de IA Docusign Iris, conectamos todo o ciclo do acordo com máxima eficiência. Nossa operação local oferece envio de contratos via WhatsApp, suporte técnico em português e total conformidade com a legislação brasileira (MP 2.200-2/2001, Lei 14.063/2020 e LGPD), ICP-Brasil e Registro Civil. 

Para o seu negócio: Implemente a segregação de funções no ciclo de contratos com alçadas automatizadas, controle de acesso e governança. Faça um teste gratuito da Docusign por 30 dias.

Perguntas frequentes sobre a matriz SoD

As dúvidas a seguir reúnem as questões que mais aparecem em times de auditoria, controles internos e tecnologia que estão implantando ou revisando a segregação de funções.

O que significa SoD?

A sigla SoD costuma ser lida como segregation of duties, ou segregação de funções em português. Trata-se do princípio de controle interno, segundo o qual nenhuma pessoa deve concentrar atividades que, combinadas, permitiriam causar dano sem detecção.

Como montar uma matriz de segregação de funções?

O caminho passa, em geral, por mapear os processos críticos, listar as atividades de cada um, identificar os pares que conflitam, montar a matriz com atividades em linhas e colunas, confrontar o desenho com quem faz o quê hoje e tratar as violações encontradas por redistribuição ou controle compensatório.

Qual a relação entre segregação de funções e trilha de auditoria?

A segregação define a regra de quem pode fazer o quê; a trilha de auditoria fornece evidências para verificar se essa regra foi cumprida. Uma sem a outra produz controle incompleto: regra sem evidência não se sustenta em auditoria, e evidência sem regra não tem contra o que ser comparada.

Empresas pequenas (PMEs) precisam de matriz SoD?

A resposta é sim, com escopo proporcional ao tamanho. Onde a separação for inviável por falta de pessoas, o caminho correto é documentar a limitação e implantar controles compensatórios, como revisão independente periódica e aprovação do nível acima em operações relevantes.

Com que frequência revisar a matriz SoD?

A revisão deve ocorrer periodicamente, conforme o nível de risco e as políticas da empresa, e sempre que houver mudanças relevantes na estrutura, nas funções críticas, nos sistemas ou nos processos.