Segregação de funções e segurança

Prática recomendada 7 min de leitura Atualizado em junho de 2026

A segregação de funções (SoD, do inglês segregation of duties) é o princípio de que nenhuma pessoa deve controlar sozinha uma transação financeira do início ao fim. É um dos controles internos mais antigos e importantes da contabilidade — e uma exigência central de todas as principais estruturas de conformidade. Este artigo explica por que isso importa e como a REDA Financials AI ajuda você a colocá-lo em prática e a manter seus livros auditáveis.

Como chegar lá. A segregação de funções é aplicada por meio dos cinco conjuntos de permissões da REDA, e não por uma única tela: quem pode contabilizar, aprovar ou conciliar é decidido pelo conjunto que o usuário possui. Você atribui esses conjuntos no Salesforce (Configuração → Conjuntos de permissões, ou nas Atribuições de conjunto de permissões do registro de um usuário); os controles resultantes então se aplicam em toda a REDA Financials AI (Iniciador de aplicativos — o ícone de grade no canto superior esquerdo de qualquer página).
Acesso necessário. Atribuir e revisar conjuntos de permissões é uma tarefa do administrador do sistema do Salesforce. Os conjuntos em si — Accounts Payable v2, Accounts Receivable v2, Accounting Controller v2, Accounting Admin v2 e Read Only v2 — são o que separa as funções, então planeje-os junto com seu controller. Consulte Atribuição de conjuntos de permissões.

Por que a segregação de funções importa

Quando uma única pessoa pode registrar uma transação, aprová-la e conciliá-la, erros passam despercebidos e a fraude fica fácil de esconder. Separar essas responsabilidades significa que um segundo par de mãos (e olhos) toca cada transação — exatamente o que auditores, reguladores e as suas próprias partes interessadas esperam.

Isso está presente nos padrões globais que regem os relatórios financeiros:

SOX (Sarbanes–Oxley), Seção 404 exige que a administração de empresas de capital aberto mantenha e avalie os controles internos sobre os relatórios financeiros — com a segregação de funções como pilar central.
A Estrutura Integrada de Controle Interno da COSO, o padrão que os auditores usam para avaliar controles, define a separação de funções como uma atividade de controle essencial.
Auditorias externas sob as normas IFRS e US GAAP testam se funções incompatíveis — registro, autorização, conciliação e custódia de ativos — são mantidas separadas.
Estruturas de auditoria interna e de risco (e a maioria das seguradoras e credores) tratam uma segregação de funções fraca como uma deficiência relevante de controle.

As quatro funções a manter separadas A teoria clássica de controle interno separa quatro responsabilidades: autorização (aprovar uma transação), registro (lançá-la nos livros), custódia (lidar com o caixa ou o ativo) e conciliação (verificá-la de forma independente). Quanto mais dessas responsabilidades uma única pessoa acumula, maior o risco. As funções da REDA foram desenhadas para ajudar você a separá-las.

Atribua a versão v2 de cada conjunto — é a que passa a ser publicada a partir da versão 1.610 (veja Migrar para os conjuntos de permissões v2). Os papéis e a separação descritos aqui são idênticos em qualquer uma das versões.

Como a REDA ajuda você a aplicar a SoD

A REDA Financials vem com um conjunto de conjuntos de permissões baseados em funções, desenhados em torno da separação natural de responsabilidades em uma equipe contábil. Você aplica a SoD atribuindo o conjunto certo às pessoas certas — e, fundamentalmente, não concentrando funções incompatíveis em uma única pessoa. Consulte Atribuição de conjuntos de permissões para ver a lista completa e como atribuí-los.

As separações mais importantes:

Contas a receber separadas de contas a pagar. Atribua Accounts Receivable e Accounts Payable a pessoas diferentes, para que ninguém emita cobranças a clientes e pague fornecedores ao mesmo tempo.
Registro separado da conciliação. Mantenha quem registra o caixa separado de quem concilia o banco, para que um valor não possa ser lançado incorretamente e depois “conciliado” para ocultar o erro.
Preparação separada da revisão. Use o conjunto Read Only para revisores, auditores, diretores e o CFO — visibilidade total, sem capacidade de alterar nada.
Administração separada das operações diárias. Reserve o Accounting Admin para quem configura o sistema, e não para quem contabiliza as transações do dia a dia.

A função Controller é SoD por natureza O conjunto Accounting Controller tem controle total do livro razão, dos lançamentos contábeis, do banco, dos orçamentos e dos dados mestres — mas é deliberadamente somente leitura em todos os documentos de subledger (faturas, contas, recibos, pagamentos). A pessoa que revisa e concilia os livros não pode criar as transações de contas a receber e contas a pagar que os alimentam.

Ajuste ao tamanho de uma equipe pequena Uma separação perfeita nem sempre é possível em uma equipe financeira pequena. Quando uma pessoa precisa acumular duas funções, apoie-se nos controles compensatórios da REDA — a trilha de auditoria, o histórico de campos e a revisão independente usando acesso Read Only — e documente a exceção. Os auditores aceitam controles compensatórios quando a separação total não é viável.

Controles de aprovação e a verificação de quatro olhos

Os conjuntos de permissões separam quem pode fazer o quê; os controles de aprovação separam o registro da autorização nos documentos em que isso mais importa. Cinco tipos de documento — Ordens de Compra, Faturas de Compra, Faturas de Venda, Orçamentos e Lançamentos Orçamentários — possuem um campo Status de aprovação que condiciona a contabilização: o documento precisa estar Aprovado (ou Não exigido) antes de poder ser contabilizado no livro razão. Conecte esse campo a processos de aprovação nativos do Salesforce que espelhem sua política de autorização — por valor, por departamento, por entidade — e a pessoa que digita uma fatura deixa de ser quem a autoriza. A REDA fornece o controle; você desenha a cadeia de aprovação. O passo a passo está em Aprovações para documentos contábeis.

Dois controles relacionados completam o quadro:

Os lançamentos contábeis são controlados por função, não por aprovação. Um lançamento contábil não tem campo de aprovação — o controle é que apenas usuários cujo conjunto de permissões concede direitos de lançamento podem criar e contabilizar um. Mantenha esse direito restrito a quem deve tê-lo.
A conciliação bancária tem uma verificação de quatro olhos embutida no sistema. O usuário que aprova uma conciliação concluída precisa ser diferente do usuário que a concluiu — caso contrário, o sistema recusa: “O aprovador não pode ser o mesmo usuário que concluiu a conciliação. A segregação de funções exige que um usuário diferente aprove.” Depois de aprovada, uma conciliação fica bloqueada em definitivo.

Controles integrados que protegem seus livros

A segregação de funções funciona melhor sobre uma plataforma que registra tudo e não permite que ninguém reescreva o histórico em silêncio. A REDA Financials é construída com controles de nível corporativo já incorporados:

Um livro razão imutável. Os lançamentos contábeis são gerados pelo sistema a partir dos documentos de origem e não podem ser editados diretamente por ninguém — nenhuma função concede acesso de escrita ao livro razão. Todo lançamento pode ser rastreado até a transação que o originou.
Uma trilha de auditoria completa. Um log de auditoria centralizado registra operações financeiras e eventos do sistema — quem fez o quê, quando, a partir de qual endereço IP, incluindo o antes-e-depois dos campos alterados.
Rastreamento do histórico de campos. As alterações em campos críticos são rastreadas nos registros financeiros, dando a você um histórico permanente para fins de SOX e auditoria.
Controle de permissões em toda parte. A aplicação respeita as permissões de cada usuário em toda leitura e escrita, de modo que as pessoas só veem e alteram o que sua função permite.
Bloqueio de períodos. Depois que um período contábil é fechado, ele fica protegido contra novas contabilizações — preservando a integridade dos resultados reportados.

Uma plataforma de nível corporativo e em conformidade

A REDA Financials AI é desenvolvida para organizações que levam a conformidade a sério. Além dos controles internos acima, a REDA mantém um sistema formal de gestão de segurança da informação e roda inteiramente sobre a infraestrutura confiável do Salesforce:

ISO 27001 e SOC 2 Tipo II — o programa de segurança da REDA é construído segundo esses padrões para gerenciar a confidencialidade, a integridade e a disponibilidade dos seus dados.
Privacidade de dados — práticas de tratamento e exclusão de dados alinhadas com o GDPR e o CCPA.
Seus dados permanecem na sua organização. A REDA Financials é nativa do Salesforce — seus dados contábeis residem no seu ambiente Salesforce, sob seus controles, e não em um sistema de terceiros separado.
Infraestrutura confiável. Ela roda na plataforma Salesforce, cujos data centers possuem certificações SOC 1/2, ISO 27001 e FedRAMP.

Precisa da nossa documentação de conformidade? Para relatórios ISO 27001 ou SOC 2, termos de tratamento de dados, ou um questionário de segurança para sua equipe de compras, entre em contato com support@reda.one e compartilharemos a documentação relevante.

Colocando em prática

Mapeie funções para pessoas

Decida quem cuida de contas a receber, contas a pagar, o livro razão, a administração e a revisão — depois atribua os conjuntos de permissões correspondentes, mantendo as funções incompatíveis separadas.

Documente eventuais exceções

Quando uma pessoa precisar acumular duas funções, registre os controles compensatórios (trilha de auditoria, histórico de campos, revisão independente) para seus auditores.

Inclua isso na entrada em produção

Confirme sua configuração de SoD como parte da Lista de verificação para entrada em produção antes de começar a transacionar.

O que vem a seguir

Atribuição de conjuntos de permissões — o mecanismo que aplica a SoD.
Atribuição de licenças — quem pode contabilizar.
Conformidade e padrões — os padrões que a SoD sustenta.
Registro de auditoria — a trilha de evidências por trás dos controles.
Aprovações para documentos contábeis — adicione controles de revisão às transações.

Perguntas frequentes

Em geral, a REDA fornece os elementos básicos — conjuntos de permissões baseados em funções, desenhados em torno de responsabilidades separadas, e controles de aprovação em documentos-chave — e você implementa a SoD atribuindo e configurando-os adequadamente. Isso é intencional: a separação correta depende da sua equipe e das suas políticas. Um controle é aplicado de forma incondicional: uma conciliação bancária não pode ser aprovada pela pessoa que a concluiu. E a plataforma respalda tudo com um livro razão imutável, uma trilha de auditoria completa e um histórico de campos, de modo que qualquer atividade seja rastreável.

Separe o que puder — no mínimo, mantenha contas a receber, contas a pagar e a conciliação bancária em mãos diferentes sempre que possível — e conte com controles compensatórios para o restante: revisão independente usando acesso Read Only, a trilha de auditoria e o histórico de campos. Documente as exceções. Os auditores aceitam controles compensatórios quando a separação total não é viável.

Não. O livro razão é imutável — os lançamentos são gerados pelo sistema a partir dos documentos de origem e não podem ser editados diretamente por nenhuma função. As correções acontecem por meio de estornos ou transações de ajuste adequados, que são eles próprios registrados e rastreáveis.

Um log de auditoria centralizado registra operações financeiras e eventos do sistema — quem realizou a ação, qual registro foi afetado, quando, a partir de qual endereço IP, e o antes-e-depois de qualquer campo alterado — junto com o histórico de campos do Salesforce em campos críticos, para rastreabilidade no padrão SOX.

Sim. A REDA mantém um programa formal de segurança da informação alinhado com a ISO 27001 e a SOC 2 Tipo II, segue práticas de dados compatíveis com GDPR/CCPA, e roda nativamente na plataforma Salesforce — assim, seus dados permanecem na sua própria organização, em uma infraestrutura confiável e certificada. Entre em contato com support@reda.one para obter a documentação de conformidade.

Isso foi útil?