Auditoria contínua no Protheus com IA: 12 controles de compras e pagamentos para olhar todo dia

Auditoria contínua no Protheus com IA é verificar todos os pedidos e pagamentos, todos os dias, contra um conjunto fixo de controles, em vez de olhar uma amostra uma vez por ano. Em compras e pagamentos, doze controles cobrem a maior parte dos riscos que custam dinheiro: da compra sem cotação ao pagamento em duplicidade, passando por alteração de dados bancários e nota acima do pedido.

Este artigo é para o CFO, a auditoria interna e o diretor de compras. Ele descreve cada controle em linguagem de negócio, o risco que ele pega e quem deveria receber o alerta, e mostra onde a IA ajuda de verdade: não em gerar mais alertas, e sim em separar o que precisa de uma pessoa do que é ruído.

Por que contínua, e não só por amostra

A auditoria tradicional olha uma amostra de pedidos depois que o dinheiro já saiu. Quando acha um problema, ele já se repetiu por meses. A auditoria contínua inverte a ordem: o controle roda todo dia, em todos os casos, e o alerta chega enquanto ainda dá para segurar o pagamento.

A diferença tem número. No estudo global da ACFE de 2024, a análise proativa de dados foi o método que detectou fraudes mais rápido, com duração mediana de seis meses, segundo a Forvis Mazars. O governo australiano, resumindo o mesmo estudo, aponta a análise proativa de dados entre os controles associados a pelo menos 50% de redução na perda e na duração das fraudes.

Nem todo desvio é fraude. A maior parte é erro, pressa ou processo mal desenhado. O controle que pega um pega o outro, e a correção depende de saber qual é qual.

Os 12 controles de compras e pagamentos

A tabela traz os doze controles, agrupados pelo momento do processo. Todos podem ser lidos nos registros que o Protheus já grava, sem alterar o sistema.

#	Controle	O que olha	Risco que pega
1	Compra sem cotação acima do limite da política	Pedidos acima do valor que exige cotação, emitidos sem comparação de preço	Preço acima do mercado e favorecimento de fornecedor
2	Fracionamento	Vários pedidos ao mesmo fornecedor, do mesmo item, em poucos dias, logo abaixo de um limite	Alçada e obrigação de cotar contornadas
3	Nota antes do pedido	Pedido criado depois de a nota ser emitida	Compra sem aprovação real, regularizada no papel
4	Quem pede é quem aprova	Mesma pessoa solicitando e aprovando, ou aprovando acima da própria alçada	Segregação de funções quebrada
5	Pedido alterado depois de aprovado	Preço, quantidade ou fornecedor mudados após a aprovação, sem nova aprovação	Aprovação esvaziada
6	Preço acima do menor já pago	Item comprado acima do menor preço que a empresa já pagou, em qualquer unidade	Perda de preço e falta de negociação
7	Nota acima do pedido	Preço ou quantidade da nota acima do pedido, além da tolerância	Pagamento a maior
8	Pagamento sem recebimento	Título pago sem entrada da mercadoria ou aceite do serviço	Pagar o que não chegou
9	Pagamento em duplicidade	Mesmo fornecedor, mesmo valor, notas com número parecido ou data próxima	Saída de caixa em dobro
10	Dados bancários alterados perto do pagamento	Conta do fornecedor trocada dias antes de um pagamento	Desvio de pagamento e golpe do fornecedor falso
11	Fornecedor novo com pagamento alto e rápido	Primeiro pagamento relevante logo após o cadastro, ou cadastro e pagamento feitos pela mesma pessoa	Fornecedor de fachada
12	Pagamento fora da programação	Título pago antes do vencimento sem desconto, ou fora do lote aprovado	Caixa antecipado sem motivo e pagamento por fora do fluxo

Doze é um bom começo, não um limite. Cada empresa acrescenta os seus, como contrato vencido ainda faturando ou compra recorrente em fornecedor bloqueado.

As três famílias de controle

Na compra: controles 1 a 6

São os controles que protegem o preço e a alçada. Eles respondem a uma pergunta: a compra seguiu a política que a empresa escreveu? O fracionamento é o mais difícil de ver a olho nu, porque cada pedido isolado parece normal; explicamos a detecção em fracionamento de pedidos e compras emergenciais.

O controle 6 é diferente dos outros. Ele não aponta um erro de regra, aponta dinheiro na mesa. É o que mais cresce com o volume da cauda de compras.

Na entrada: controles 7 e 8

São os controles da conferência entre pedido, recebimento e nota. Eles protegem contra pagar mais do que foi pedido e contra pagar o que não chegou. A tolerância precisa estar escrita, ou toda diferença de centavos vira alerta.

No pagamento e no cadastro: controles 9 a 12

São os controles do caixa. A troca de dados bancários perto de um pagamento é o sinal mais forte de golpe externo, e merece o alerta mais rápido. A duplicidade é o mais frequente: cada caso é pequeno, e por isso passa.

Onde a IA entra, e onde não entra

Uma regra fixa já pega boa parte desses desvios. O problema é o volume de falso alerta: a regra de duplicidade dispara para todo fornecedor que fatura o mesmo valor todo mês. A IA entra para tornar o controle útil.

• Triagem. Separa o caso provável do ruído, olhando o histórico do fornecedor, do item e de quem lançou.
• Explicação. Mostra por que o caso foi apontado, com a sequência do que aconteceu, para o analista decidir em minutos.
• Prioridade por valor. Coloca no topo da fila o que tem mais dinheiro em jogo, não o que chegou primeiro.
• Sequência. O process mining reconstrói a ordem dos fatos de cada caso. É o que permite ver nota antes do pedido e alteração depois da aprovação, como mostramos em process mining no Protheus.

O que a IA não faz é decidir sozinha que houve fraude ou bloquear pagamento por conta própria. O alerta vai para um dono, dentro do Protheus, sem trocar de sistema, e a decisão fica com quem responde pelo controle.

Como evitar alerta demais

Auditoria contínua que gera cem alertas por dia é ignorada na segunda semana. Quatro cuidados mantêm o controle vivo:

1. Um dono por controle. Compras responde pelos controles 1 a 6, a conferência pelos 7 e 8, a tesouraria e o cadastro pelos 9 a 12.
2. Tolerância escrita. Quanto de diferença é aceitável, em reais e em percentual, por categoria.
3. Prazo de resposta. Alerta de dado bancário em horas; alerta de preço em dias.
4. Taxa de acerto. Meça quantos alertas foram confirmados. Controle que quase nunca confirma precisa de ajuste, não de mais gente olhando.

Onde a UpFlux entra

A UpFlux lê o processo de compras e pagamentos no Protheus com process intelligence, sem trocar de sistema. A análise de conformidade compara cada caso com a regra e aponta cada desvio, em todos os casos do período, com o valor em reais.

O primeiro passo é o diagnóstico de duas semanas, que devolve o alvo da operação medido em reais e mostra quais controles mais pesam na sua empresa. Onde o controle 6 aparece grande, o time digital da UpFlux cota e negocia a cauda dentro do Protheus, respeitando a alçada do próprio sistema, com trilha por decisão.

Perguntas frequentes

O que é auditoria contínua?

É a verificação de todas as transações, de forma recorrente e automática, contra um conjunto de controles definidos. Em vez de olhar uma amostra uma vez por ano, a empresa recebe alertas todos os dias, a tempo de corrigir antes de o dinheiro sair.

Quais controles de compras monitorar todo dia?

Os mais úteis são compra sem cotação acima do limite, fracionamento, nota antes do pedido, mesma pessoa pedindo e aprovando, pedido alterado depois de aprovado e preço acima do menor já pago. Eles protegem o preço e a alçada da empresa.

Quais controles de pagamento monitorar todo dia?

Nota acima do pedido, pagamento sem recebimento, pagamento em duplicidade, dados bancários alterados perto do pagamento, fornecedor novo com pagamento alto e rápido e pagamento fora da programação. Eles protegem o caixa.

A IA substitui a auditoria interna no Protheus?

Não. A IA faz a triagem, explica cada caso e prioriza pelo valor em jogo. A decisão sobre o que é erro, desvio aceitável ou fraude continua com a auditoria interna e com o dono de cada controle.

Auditoria contínua no Protheus exige alterar o sistema?

Não. Os controles são lidos nos registros que o Protheus já grava, só para consulta. O alerta chega ao dono do controle, e qualquer correção segue o fluxo e a alçada do próprio Protheus.

Como evitar excesso de alertas na auditoria contínua?

Com um dono por controle, tolerância escrita por categoria, prazo de resposta por gravidade e medição da taxa de alertas confirmados. A IA ajuda separando o caso provável do ruído antes de o alerta chegar à pessoa.

Próximo passo

Os doze controles cabem numa página, mas só funcionam quando rodam todo dia, com dono e com a tolerância escrita. Comece pelos que mexem no caixa e meça quanto cada um pega. Veja como a UpFlux atua no TOTVS Protheus e peça o diagnóstico para saber por onde começar na sua operação.