 |
| Bellacosa Mainframe quando a auditoria falha |
☕ Um Café no Bellacosa Mainframe
Quando a Auditoria Falha?
O que Mainframes, COBOL e Quarenta Anos de Escândalos Financeiros nos Ensinam Sobre Confiança, Controles e a Ilusão da Segurança
"No mundo do IBM Z aprendemos cedo uma lição: confiar é importante. Validar é obrigatório."
Durante mais de quarenta anos trabalhando com tecnologia para instituições financeiras, seguradoras e grandes empresas, existe uma pergunta que sempre volta.
Como empresas auditadas por gigantes da auditoria mundial conseguem quebrar praticamente da noite para o dia?
Como bancos supervisionados, empresas listadas em bolsa, organizações com conselhos de administração, comitês de auditoria, controles internos, departamentos de compliance, gestão de riscos, auditorias externas e milhares de funcionários conseguem esconder problemas gigantescos?
E mais intrigante ainda...
Por que poucos meses antes da quebra muitas delas recebiam pareceres sem ressalvas?
A pergunta inevitável aparece.
Existe conluio?
Ou simplesmente o modelo de auditoria possui limitações que poucas pessoas conhecem?
Hoje vamos conversar sobre isso sem teorias conspiratórias, mas também sem ingenuidade.
A ilusão da empresa "saudável"
Existe uma ideia bastante difundida.
Se uma empresa possui:
auditoria independente;
conselho de administração;
compliance;
gestão de riscos;
controles internos;
fiscalização do regulador;
balanços publicados;
então ela está segura.
Infelizmente isso nunca foi verdade.
Esses mecanismos reduzem riscos.
Eles não eliminam riscos.
Existe uma enorme diferença.
A auditoria não garante que uma empresa nunca irá quebrar
Este talvez seja o maior mal-entendido do mercado.
Uma auditoria não certifica que uma empresa é saudável.
Ela também não garante que não exista fraude.
Nem afirma que a empresa continuará existindo.
O parecer normalmente diz algo muito diferente.
Ele afirma, em essência, que as demonstrações financeiras representam adequadamente a posição patrimonial da empresa de acordo com determinadas normas contábeis.
Observe a diferença.
Uma coisa é afirmar que os números apresentados seguem as regras contábeis.
Outra completamente diferente é dizer que o negócio é sustentável.
 |
| Bellacosa Mainframe e a auditoria falhando |
É como um programa COBOL
Imagine um sistema bancário.
O programa COBOL compila perfeitamente.
Não possui nenhum erro.
Passa em todos os testes.
Produz exatamente o resultado esperado.
Isso significa que o negócio do banco é lucrativo?
Não.
Significa apenas que o programa faz corretamente aquilo que foi especificado.
Auditoria funciona de maneira parecida.
Ela avalia evidências.
Não prevê o futuro.
O auditor trabalha com amostragem
Aqui está um detalhe que surpreende muita gente.
Auditores normalmente não verificam 100% das operações.
Isso seria praticamente impossível.
Imagine um banco.
Milhões de TEDs.
PIX.
Cartões.
Contratos.
Investimentos.
Empréstimos.
Aplicações.
Não existe tempo suficiente.
Então utiliza-se amostragem estatística.
É exatamente como testar um grande sistema COBOL.
Você executa milhares de casos de teste.
Não todos os bilhões possíveis.
O problema aparece quando alguém conhece o processo
Fraudes sofisticadas normalmente não acontecem por acaso.
Elas são planejadas.
Quem planeja conhece:
quando ocorre a auditoria;
quais documentos serão solicitados;
quais controles são testados;
quais processos possuem maior atenção.
Em outras palavras...
Conhece exatamente o radar.
E quando alguém conhece o radar, aprende a voar abaixo dele.
O caso Enron mudou o mundo
No início dos anos 2000 a Enron era considerada uma das empresas mais inovadoras do planeta.
Recebia prêmios.
Era elogiada por analistas.
As ações só subiam.
Até que tudo desmoronou.
Descobriu-se uma gigantesca engenharia financeira.
Empresas eram criadas apenas para esconder dívidas.
Prejuízos desapareciam.
Lucros apareciam artificialmente.
A empresa era auditada pela Arthur Andersen.
Uma das cinco maiores auditorias do mundo.
Depois do escândalo, a Arthur Andersen simplesmente deixou de existir.
Esse episódio mostrou que tamanho não significa infalibilidade.
WorldCom
Pouco depois veio outro choque.
A WorldCom.
Mais de 11 bilhões de dólares em fraudes contábeis.
Novamente...
Auditoria.
Controles.
Conselho.
Mercado.
Tudo parecia funcionar.
Até deixar de funcionar.
Parmalat
Na Itália ocorreu outro caso emblemático.
Bilhões em ativos simplesmente não existiam.
Extratos bancários falsificados.
Empresas ligadas.
Movimentações artificiais.
Durante anos ninguém percebeu.
Wirecard
Mais recentemente surgiu a Wirecard.
Empresa alemã.
Tecnologia financeira.
Queridinha do mercado.
Entrou no principal índice da bolsa alemã.
Depois descobriu-se que aproximadamente dois bilhões de euros em caixa simplesmente não existiam.
Nunca existiram.
Carillion
No Reino Unido.
Gigante da construção.
Recebia contratos públicos.
Parecia sólida.
Quebrou deixando milhares de funcionários e fornecedores prejudicados.
Banco Master
O caso do Banco Master chamou atenção justamente porque reacendeu um velho debate: como avaliar riscos antes que eles se tornem evidentes? Em situações assim, supervisão regulatória, auditoria independente, classificações de risco e demonstrações financeiras coexistem, mas nenhum desses mecanismos, isoladamente, garante que uma instituição esteja livre de problemas futuros. A deterioração pode ocorrer rapidamente quando há perda de confiança, mudanças no ambiente econômico ou fragilidades que ainda não eram visíveis ao mercado. O episódio reforçou que pareceres de auditoria não são uma "certidão de saúde eterna"; eles retratam informações e evidências disponíveis em determinado momento.
Lojas Americanas
O caso das Lojas Americanas impressionou pela dimensão das inconsistências contábeis reveladas em 2023, envolvendo bilhões de reais relacionados principalmente à contabilização de operações com fornecedores conhecidas como "risco sacado". O episódio gerou investigações, debates sobre governança, controles internos e o papel dos diversos agentes envolvidos. Para muitos investidores, a surpresa veio justamente porque a companhia possuía estrutura de governança, auditoria externa e acompanhamento do mercado, demonstrando que esses mecanismos reduzem riscos, mas não eliminam a possibilidade de erros ou fraudes sofisticadas.
Então existe conluio?
Agora chegamos à pergunta mais difícil.
A resposta honesta é:
Às vezes sim.
Na maioria das vezes, não há evidência disso.
Ao longo das últimas décadas houve casos em que auditores foram condenados por negligência.
Em outros, por participação direta.
Mas transformar todos os casos em uma grande conspiração seria intelectualmente desonesto.
O que realmente existe são conflitos de interesse estruturais.
Quem paga a auditoria?
Essa pergunta muda tudo.
Quem remunera a auditoria?
A própria empresa auditada.
Imagine.
Você é contratado pela empresa.
Recebe milhões.
Se perder aquele cliente...
Sua empresa perde receita.
Mesmo mantendo total ética profissional, essa estrutura cria uma tensão permanente entre independência técnica e interesse comercial.
É exatamente por isso que diversos países exigem regras rígidas sobre independência, rotação de sócios responsáveis, comitês de auditoria e limitações para prestação de serviços adicionais.
O problema dos serviços de consultoria
Historicamente muitas firmas de auditoria também vendiam consultoria.
Imagine.
Você desenha um processo.
Depois audita o próprio processo.
Existe um conflito evidente.
Após escândalos como Enron, diversas regras restringiram esse tipo de atuação.
Mesmo assim o debate permanece.
Existe captura psicológica
Nem toda perda de independência envolve dinheiro.
Existe algo chamado familiaridade.
Depois de quinze anos auditando a mesma empresa...
Você conhece todos.
Os diretores.
Os gerentes.
Os controladores.
As pessoas tornam-se amigas.
O senso crítico diminui naturalmente.
É um comportamento humano.
O Mainframe ensina uma filosofia diferente
Quem trabalha em IBM Z conhece um princípio simples.
Nunca confiar em uma única camada.
Existe RACF.
Existe SMF.
Existe JES.
Existe SDSF.
Existe RMF.
Existe LOG.
Existe trilha de auditoria.
Existe segregação de funções.
Existe dupla validação.
Existe controle de acesso.
Existe histórico.
Tudo conversa.
Tudo registra.
Tudo pode ser reconstruído.
Essa arquitetura não impede fraudes.
Mas aumenta enormemente o custo para quem tenta fraudar.
O COBOL também ensina
Um bom programa COBOL nunca assume que os dados estão corretos.
Ele valida.
Se o CPF vier inválido...
Erro.
Se a data vier impossível...
Erro.
Se o saldo ficar negativo...
Erro.
Se existir inconsistência...
Erro.
Confiar é pouco.
Validar sempre.
O mercado financeiro deveria aprender com o Mainframe
Imagine se cada operação financeira tivesse:
imutabilidade dos registros;
trilhas completas;
assinaturas criptográficas;
reconciliações automáticas;
logs independentes;
inteligência artificial procurando padrões anormais;
cruzamento contínuo de bases;
monitoramento em tempo real.
Grande parte das fraudes seria descoberta muito antes.
Aliás...
Grande parte dos grandes bancos já utiliza diversas dessas técnicas justamente em ambientes IBM Z.
O fator humano continua sendo o maior risco
Depois de milhares de incidentes tecnológicos aprendemos uma verdade.
Computadores raramente mentem.
Pessoas podem mentir.
O sistema registra exatamente aquilo que recebeu.
Se alguém envia informação falsa...
O computador processa informação falsa.
O famoso princípio:
Garbage In.
Garbage Out.
A auditoria do futuro
A tendência mundial já começou.
Sair da auditoria anual.
Entrar na auditoria contínua.
Monitoramento em tempo real.
Machine Learning.
Inteligência Artificial.
Análise de 100% das transações.
Não apenas amostras.
Blockchain para determinadas cadeias.
Data Lake.
Analytics.
Modelos preditivos.
É praticamente o equivalente à observabilidade moderna aplicada às finanças.
O papel da Inteligência Artificial
Nos próximos anos veremos IA analisando bilhões de lançamentos contábeis diariamente.
Ela não ficará cansada.
Não sofrerá pressão política.
Não esquecerá um documento.
Encontrará padrões invisíveis ao ser humano.
Mas existe um detalhe.
A IA também depende dos dados recebidos.
Se os dados forem deliberadamente falsificados na origem, até ela terá limitações.
Tecnologia melhora controles.
Não substitui ética.
A maior lição
Sempre que ocorre um grande escândalo financeiro surgem duas reações extremas.
A primeira.
"A auditoria é inútil."
A segunda.
"Foi uma conspiração."
As duas simplificam demais um problema complexo.
Auditorias são fundamentais.
Sem elas, provavelmente haveria muito mais fraudes.
Ao mesmo tempo, auditorias não são infalíveis.
São realizadas por pessoas.
Dentro de limites de tempo.
Custos.
Normas.
Amostragens.
Julgamentos profissionais.
E seres humanos erram.
Às vezes por incompetência.
Às vezes por excesso de confiança.
Às vezes por negligência.
E, infelizmente, em alguns casos, por corrupção.
O que o Mainframe nos ensina
Depois de décadas desenvolvendo sistemas para alguns dos maiores bancos do mundo, aprendi uma filosofia que continua atual.
Nunca concentre toda a confiança em um único mecanismo de controle.
No IBM Z existe defesa em profundidade.
Camadas sobre camadas.
Logs.
Controles.
Segregação.
Revisões.
Auditoria.
Monitoramento.
Recuperação.
Tudo coexistindo.
Essa mesma filosofia deveria orientar qualquer organização moderna.
Não basta confiar na auditoria externa.
É preciso combinar governança, controles internos robustos, auditoria interna independente, supervisão regulatória, tecnologia, cultura ética e monitoramento contínuo.
Nenhum desses elementos, sozinho, é suficiente. Juntos, porém, tornam a fraude muito mais difícil de ser praticada e, principalmente, muito mais rápida de ser descoberta.
Talvez essa seja a maior contribuição do universo Mainframe para o mundo corporativo.
No IBM Z nunca partimos do princípio de que alguém jamais tentará falhar ou fraudar um processo.
Partimos do princípio oposto: erros e tentativas de fraude podem acontecer. Por isso criamos sistemas resilientes, auditáveis e rastreáveis.
No fim das contas, a verdadeira segurança não nasce da confiança cega.
Ela nasce da capacidade permanente de verificar.
E essa talvez seja a maior lição que um velho programador COBOL pode deixar para a nova geração.
Porque, no Mainframe, confiança nunca substituiu evidência.
Se desejar, posso transformar este artigo em uma versão para LinkedIn (1.500–2.000 palavras), em uma apresentação de 15 slides ou em um infográfico estilo Bellacosa Mainframe.
