A sua empresa está preparada para não ser vítima de fraude?

Durante anos, quando se falava de fraude empresarial, imaginávamos falsificação de documentos, desvio de dinheiro, apropriação indevida ou na manipulação de informação. Atualmente, a realidade é (muito) mais complexa.

A fraude pode começar com um e-mail aparentemente banal, numa simples alteração de IBAN, numa fatura que parece legítima ou numa mensagem alegadamente enviada pelo administrador da empresa. O criminoso já não precisa necessariamente de entrar pela porta, pode conseguir que alguém dentro da organização lhe abra a porta.

Uma das modalidades que melhor demonstra esta mudança é a chamada Business Email Compromise (BEC) ou CEO fraud. O mecanismo é relativamente simples, o burlão faz-se passar por um administrador, diretor financeiro, fornecedor ou outro interlocutor legítimo e procura induzir um colaborador autorizado a efetuar um pagamento ou a alterar os dados bancários.
“Temos segurança informática?” ou “temos mecanismos suficientes para impedir que uma decisão legítima seja manipulada por informação fraudulenta?” A diferença não é meramente semântica, mas antes uma questão de gestão de risco.

A Europol identifica este tipo de fraude como uma ameaça relevante para as empresas e chama a atenção para a utilização de mecanismos como a urgência, a autoridade e a pressão psicológica para impelir as vítimas a ultrapassar os procedimentos normais. Não é difícil perceber porquê.

Um colaborador que recebe uma mensagem do seu administrador/diretor a pedir uma transferência urgente pode não estar perante uma situação que pareça suspeita. Pode estar simplesmente perante aquilo que, no seu entendimento, é uma ordem legítima de trabalho. E é precisamente aqui que reside a eficácia da fraude.

Imaginemos o responsável financeiro de uma empresa a receber uma mensagem aparentemente enviada pelo administrador: “Estou numa reunião e não consigo atender. Preciso que faça hoje uma transferência de 48.500 euros para este novo IBAN. É urgente e confidencial. Depois falamos.” O nome do administrador está correto. A assinatura é semelhante à habitual. A linguagem é plausível. O pedido parece enquadrar-se na atividade da empresa. Mas existe uma alteração: o IBAN é novo.

Se o colaborador executar a transferência apenas porque reconheceu o remetente, a empresa pode perder dezenas de milhares de euros em poucos minutos. Se, pelo contrário, existir uma regra simples em que qualquer alteração de dados bancários ou pagamento excecional acima de um determinado valor deve ser confirmado através de um segundo canal, a fraude pode ser interrompida. E isto não é desconfiança, é a simples aplicação de mecanismos de controlo interno.

A Europol recomenda precisamente a adoção de procedimentos de verificação e a confirmação independente de pedidos de pagamento ou alteração de dados bancários. Um bom controlo interno não parte da desconfiança das pessoas, parte do reconhecimento de que as pessoas podem ser (facilmente) enganadas.

A fraude não precisa de ser sofisticada para ser eficaz. A engenharia social explora os comportamentos humanos conhecidos:

• respeito pela autoridade;
• confiança;
• pressa/urgência;
• medo de cometer um erro;
• vontade de resolver rapidamente um problema;

É por isso que a formação dos colaboradores é importante. Mas formação sem procedimentos também não será suficiente. Um colaborador pode reconhecer que uma mensagem é estranha e, ainda assim, não saber qual é o procedimento a seguir. A prevenção exige as duas medidas: pessoas alertadas e processos robustos.

Há ainda uma outra dimensão que não podemos ignorar: a fraude fiscal. Quando falamos de fraude empresarial, é frequente pensarmos imediatamente em desvio de fundos, contas bancárias sinistras ou falsificação de documentos. Mas existe um outro risco, por vezes menos visível que é a utilização propositada da informação, de documentos ou de operações com o objetivo de se obter uma vantagem fiscal indevida. Aqui, a fronteira entre erro, incumprimento e fraude é particularmente importante. Negligência não é sinónimo de dolo, e nem toda a incorreção fiscal constitui fraude.

Uma classificação contabilística inadequada, um lapso numa declaração ou uma interpretação que venha posteriormente a revelar-se incorreta não devem ser automaticamente confundidos como sendo uma ação fraudulenta.

A fraude fiscal pressupõe uma realidade diferente, ou seja, uma atuação dolosa com vista à obtenção de uma vantagem patrimonial ilegítima ou à diminuição das obrigações tributárias, nos termos previstos na lei. Por exemplo, quando uma fatura parece verdadeira. Imagine-se uma empresa que recebe uma fatura de um fornecedor habitual. O fornecedor existe. A relação comercial existe. A fatura tem uma aparência normal. Mas ninguém confirmou se o serviço foi efetivamente realizado, se corresponde ao valor faturado ou se existe uma efetiva relação económica subjacente.

Este problema pode assumir duas dimensões. A primeira é financeira: se os dados bancários tiverem sido fraudulentamente alterados, a empresa pode efetuar um pagamento para uma conta controlada pelo burlão.

A segunda é fiscal e contabilística: se a operação documentada não corresponder à realidade económica, a fatura não pode, por si só, transformar uma operação inexistente numa operação verdadeira. Uma fatura documenta uma operação; não cria a realidade económica que pretende documentar.

É importante a implementação de procedimentos que permitam verificar a existência, a natureza e a substância das operações, sobretudo quando estas apresentam características excecionais.
O primeiro impacto de uma fraude é normalmente medido em euros, mas o prejuízo pode ser muito maior. Uma empresa pode perder dinheiro; tempo; informação; confiança; relações comerciais; credibilidade e reputação. E pode ainda enfrentar consequências jurídicas ou criminais, dependendo da natureza da conduta e das circunstâncias concretas.

Outro exemplo: em fevereiro de 2020, a Operação Netto Price, realizada em Portugal pela Guarda Nacional Republicana (GNR) e pelo Departamento Central de Investigação e Ação Penal (DCIAP), e com o apoio da Europol e do Eurojust, desmantelou uma rede transnacional que operava em Portugal, Alemanha, Letónia e Reino Unido.

Esta organização utilizava circuitos fictícios de faturação e esquemas de triangulação entre empresas de diferentes Estados-Membros, incluindo sociedades utilizadas para emitir faturas falsas e criar circuitos documentais destinados a sustentar operações que não correspondiam à realidade económica. O esquema permitia, entre outros, evitar o IVA devido em Portugal, obter indevidamente deduções e reembolsos de IVA e obter fraudulentamente fundos europeus. A vantagem patrimonial ilegítima obtida pela organização criminosa foi estimada em pelo menos 5 milhões de euros.

A fraude fiscal pode assentar não apenas na falsificação de um documento isolado, mas na construção de uma realidade documental artificial, envolvendo várias entidades e jurisdições. É precisamente nestas situações que a qualidade da informação, a análise da substância económica das operações e a existência de mecanismos de controlo e a devida diligência assumem particular relevância.

Somos confrontados não com um problema exclusivamente informático, mas sim com uma criminalidade económica que pode utilizar tecnologia, informação e fragilidades organizacionais.
O controlo interno não é uma burocracia e talvez seja esta uma das maiores mudanças de mentalidade necessárias. Por vezes, os procedimentos de controlo são vistos como obstáculos, e como vimos nestes exemplos, é precisamente porque a operação parece normal, que o controlo é importante.

Um procedimento de confirmação pode acrescentar cinco minutos, e uma fraude pode custar dezenas ou centenas de milhares de euros.

Os burlões podem recolher a informação pública sobre uma empresa: estrutura, responsáveis, clientes, fornecedores, contactos, funções e até períodos de ausência. Quanto mais informação estiver disponível, mais fácil pode ser construir uma fraude convincente. Trata-se de perceber que informação aparentemente inofensiva pode, quando cruzada com outra informação, ajudar a construir uma fraude convincente.

A gestão deve saber quem pode autorizar pagamentos; quem pode alterar dados bancários; se existe segregação de funções; como são confirmadas operações excecionais; quem verifica os fornecedores; como são comunicadas tentativas de fraude; se os colaboradores recebem formação, e se os procedimentos são efetivamente cumpridos.

O contabilista como profissional que, pela sua proximidade com a informação financeira, pode ajudar a identificar inconsistências, operações fora do padrão, alterações inexplicadas e situações que mereçam verificação. É aqui que o conhecimento profissional se transforma em mecanismo de prevenção.

A informação contabilística é produzida a partir de factos económicos e documentos que, em larga medida, têm origem na própria empresa. O profissional pode identificar inconsistências, questionar operações, solicitar documentação e alertar para riscos. Mas não pode, porém, substituir a administração na responsabilidade pelas decisões empresariais nem ser transformado no garante absoluto da veracidade de todos os factos que lhe são comunicados.

E talvez seja esta a pergunta que cada empresário e gestor deva fazer hoje: se amanhã alguém tentar enganar a sua empresa, os seus colaboradores, os seus procedimentos estarão preparados para reconhecer a fraude — ou será a própria organização a ajudá-lo a concretizá-la?