Controles de Fraude em Alterações Bancárias do Cadastro de Fornecedores: Verificação de Alterações nos Dados Bancários de Fornecedores

O que é a fraude de alteração de dados bancários no cadastro de fornecedores?

A fraude de alteração de dados bancários de fornecedores induz o comprador a substituir a conta bancária de um fornecedor real por uma controlada pelo fraudador. Em um anúncio do FBI de 4 de maio de 2017, com base em reclamações recebidas até 2016, o IC3 relatou casos em que uma solicitação aparentemente falsificada alterou o local de remessa de um fornecedor, redirecionando todos os pagamentos de faturas recebidas. De acordo com o anúncio do FBI de 14 de junho de 2016, tais solicitações chegam por telefone, fax ou e-mail e se parecem muito com as genuínas.

Este guia abrange alterações em cadastros de fornecedores existentes. A coleta de dados bancários de um novo fornecedor é abordada no guia baseado em risco para o cadastro de fornecedores, e o caminho de pagamento que ele alimenta está estabelecido no guia de arquitetura de procure-to-pay.

Quais lacunas de processos essa fraude explora?

Em relatório de pesquisa de 2026 da AFP, com base em 465 profissionais de tesouraria que descreveram o ano de 2025, os fraudadores se passaram principalmente por fornecedores ou executivos para alterar as instruções de pagamento. Segundo o mesmo relatório, dois entrevistados anônimos evidenciam a lacuna: uma nova conta bancária para um fornecedor principal foi digitada antes que a Tesouraria a confirmasse e, em outro caso, alguém se passando por um cliente enviou novos dados e o contas a pagar ligou para o número constante naquele e-mail.

Em artigo de maio de 2026 da AFP sobre os cenários de fraude dos entrevistados, vários incidentes envolveram equipes que pularam a ligação de confirmação ou aceitaram a confirmação por e-mail, às vezes na própria conversa que continha a solicitação.

Em relatório de pesquisa da AFP 2024 de profissionais de tesouraria, abrangendo 2023, os autores observam que um pagamento pode originar de um funcionário comprometido que altera os dados bancários do fornecedor sem a validação adequada no processo de cadastro de fornecedores, e um entrevistado relatou credenciais de login obtidas de forma ilícita usadas para tentar alterar os dados bancários.

Como um retorno de chamada deve confirmar uma alteração de dados bancários?

De acordo com o comunicado de 2016 do FBI, as empresas devem estabelecer um canal telefônico logo no início do relacionamento e fora do e-mail, utilizando números conhecidos anteriormente, e não os informados na solicitação. Em relatório de pesquisa de 2026 da AFP, 94% das organizações respondentes afirmaram que verificam solicitações de transferência de fundos por meio de uma ligação para um contato autorizado do beneficiário usando um número dos registros oficiais, e 63% desses usuários avaliaram o procedimento como muito eficaz, conforme autoavaliação.

De acordo com o artigo da AFP de maio de 2026 sobre cenários de fraude, uma tentativa envolvendo dados bancários alterados de um cliente passou por uma verificação telefônica antes que inconsistências a expusessem, a caixa de correio comprometida de um fornecedor enviou documentos que pareciam válidos e um interlocutor se passando por um banco usou o número real desse banco.

Na visão deste guia, a ligação deve ser feita para fora (outbound), para um número dos registros do comprador que foi configurado no início do relacionamento ou verificado pela última vez antes da solicitação e não foi alterado desde então, realizada por alguém que não recebeu a solicitação e registrada. Na mesma visão, cartas e extratos mostrando a nova conta embasam o arquivo, mas não mostram quem solicitou.

Em anúncio de maio de 2017 do FBI, o FBI observa que a solicitação repentina de um contato comercial para ser alcançado em um endereço de e-mail pessoal pode ser fraudulenta. Na visão deste guia, uma alteração nos números de telefone, endereços de e-mail ou contatos nomeados de um fornecedor exige a mesma retenção, retorno de chamada para um contato previamente verificado, aprovação e registro que uma alteração bancária, uma vez que quem substituir o contato cadastrado atenderá à chamada posterior.

Quem deve receber, verificar, aprovar e liberar uma alteração?

Em um modelo revisado por pares de 2014 sobre segregação de funções, lido para este guia apenas em resumo, Kevin Kobelsky define a separação de funções como a alocação de trabalho de forma que nenhuma pessoa possa cometer e ocultar um erro ou fraude, e seu modelo trata a concessão e a aprovação de acesso ao sistema como funções separadas. De acordo com o mesmo resumo, o modelo requer pelo menos três pessoas para a separação primária no trabalho suportado por TI e cinco para a separação secundária; na visão deste guia, pequenas unidades, portanto, precisam de uma revisão compensatória.

Em um resumo da Deloitte sobre a estrutura COSO, a segregação de funções costuma fazer parte de como as atividades de controle são escolhidas, e a gestão seleciona controles alternativos onde a separação não for prática. De acordo com o mesmo resumo, separar a digitação de dados da autorização reduz o risco apenas se as pessoas envolvidas não agirem em conluio.

Em sua orientação de 2016 sobre alterações no local de pagamento, o FBI observa que uma aprovação secundária realizada pela equipe da empresa pode funcionar como o segundo fator. Na visão deste guia, o recebedor, o verificador, o aprovador e o liberador do pagamento devem ser quatro pessoas diferentes, e a forma como esses papéis se cruzam entre os sistemas está detalhada no guia de controles de procure-to-pay.

Na visão deste guia, um comprador com várias unidades precisa de um único ponto de recebimento central: quem quer que receba uma solicitação em uma unidade ou em uma caixa de entrada de contas a pagar (AP) a encaminha sem alterações e nunca a digita ou responde diretamente. Uma única verificação por fornecedor cobre então cada registro de ERP e de código de empresa, e alterações em portais, hubs de dados mestre, interfaces e uploads em massa passam pela mesma retenção e retorno de chamada.

Como solicitações de alteração urgente devem ser tratadas?

Em relatório de pesquisa de 2026 da AFP, os autores recomendam políticas claras sobre prazos padrão de pagamento, uma vez que dispor de mais tempo antes de pagar pode ajudar a prevenir fraudes, além de uma análise minuciosa de pagamentos imediatos ou de emergência. Em comunicado de 2017 do FBI, solicitações de sigilo ou ação rápida são sinais de alerta, e alguns bancos relataram reter solicitações de transferência internacional por mais tempo para verificá-las.

Na visão deste guia, a urgência deve estender o processo: nada é pago à nova conta até que a ligação de retorno e a aprovação sejam concluídas, e a urgência aciona uma segunda ligação para outro contato registrado. Na mesma linha, as faturas vencidas nesse meio tempo aguardam ou vão para a conta já verificada assim que o contato verificado do fornecedor confirmar que ela ainda está ativa; nenhuma fonte analisada estabelece um período de retenção.

O que a validação automatizada de contas bancárias pode mostrar?

Segundo a página de validação de contas da Nacha, lida em 14 de novembro de 2026, a validação é chamada de prática recomendada para qualquer pessoa que envie pagamentos. De acordo com a mesma página da Nacha, a regra que a exige, em vigor desde 19 de março de 2021, abrange detalhes de contas de consumidores de primeiro uso para débitos de consumidores online; nesse escopo, na interpretação deste guia, ela não se aplica à nova conta de um fornecedor. Sob a abordagem neutra em relação a métodos dessa regra, as opções incluem pré-notificações, microdepósitos e serviços comerciais que utilizam dados agrupados ou credenciais de serviços bancários online.

Na visão deste guia, um resultado de validação não mostra quem solicitou a alteração, portanto não pode substituir a confirmação por telefone; arquive-o como mais um registro.

Como os registros de fornecedores inativos e duplicados devem ser tratados?

Nenhuma fonte oficial ou de pesquisa revisada aborda registros inativos ou duplicados, portanto esta seção é uma análise própria do guia. Bloqueie registros sem pagamentos por um período definido pelo comprador, para que a reativação exija a mesma verificação de uma alteração bancária, e mescle ou bloqueie os registros duplicados que contenham outros dados bancários assim que um proprietário nomeado confirmar o correto. Execute essas verificações periodicamente como parte da governança do ciclo de vida do fornecedor após o onboarding.

O que o registro de alterações deve comprovar a um auditor?

De acordo com o resumo COSO da Deloitte, as políticas de controle devem ser documentadas, avaliadas regularmente e revisadas quando surgir uma necessidade específica, e a TI deve ser configurada para restringir o acesso e apoiar a segregação de funções. Na visão deste guia, o registro de alterações é o documento que um comprador deve ser capaz de apresentar a um auditor; o protocolo abaixo lista o que cada etapa deixa registrado.

O que deve acontecer se uma conta alterada se mostrar fraudulenta?

Segundo a página de BEC do IC3, conforme leitura em 14 de novembro de 2026, o FBI orienta a contatar imediatamente o banco de origem para solicitar um estorno ou reversão e uma carta de isenção de responsabilidade ou indenização, além de registrar uma reclamação detalhada no IC3. Na visão deste guia, a tesouraria faz essa ligação para o banco; a área de compras bloqueia o fornecedor para pagamento em todos os ERPs, o retira dos lotes de pagamento pendentes, liga para o fornecedor real em seu contato verificado e guarda as evidências para as equipes de finanças, segurança e jurídica, que respondem pela recuperação e por qualquer posição legal.

Como os agentes de AI alterarão a verificação de alteração de dados bancários?