Para saber quem tem cada chave, senha e conta da sua fazenda, ande pela propriedade com uma prancheta e anote cada fechadura. Depois, no escritório, anote cada senha e cada conta de onde sai pagamento. Ao lado de cada item, escreva quem tem acesso e desde que data. Escreva também o nível: tem gente que só usa a chave ou a senha, tem gente que aprova pagamento numa conta e tem gente que consegue dar acesso a outras pessoas. Essa lista é o registro de acessos, e o certo é tê-la pronta antes de alguém sair, não no dia em que a pessoa já foi embora. A primeira versão sai de uma volta pela fazenda e uma tarde no escritório.
Com os anos, chaves e senhas vão sendo entregues por confiança ou para ganhar tempo, e ninguém anota. Quando some alguma coisa, ninguém sabe dizer quem tinha como chegar até ela. Quando alguém sai, você pode descobrir só depois o que essa pessoa ainda conseguia abrir, e não tem como pedir de volta uma chave ou trocar uma senha que você nem sabe que ela tinha.
Por que você deixa de saber quem tem acesso a quê?
Porque o acesso é entregue uma chave de cada vez, quase sempre num dia corrido e por um bom motivo, e ninguém anota na hora. Depois de alguns anos, quem tem o quê só está na cabeça das pessoas, e quando alguém vai embora, leva junto o que sabia. Escrito no registro, esse conhecimento fica na fazenda.
Anotar os acessos também diminui a chance de fraude, ou seja, de desvio de dinheiro ou de mercadoria por alguém em quem você confiou. Donald Cressey, criminologista que estudou por que empregados de confiança desviam dinheiro, concluiu que esse tipo de fraude precisa de três coisas ao mesmo tempo: um aperto na vida da pessoa, como uma dívida, uma desculpa que ela dá a si mesma e a chance de fazer. Sobre as duas primeiras você tem pouco controle. A chance é o que você consegue diminuir.
Num artigo de 2015 que retoma esse trabalho, dois pesquisadores de contabilidade, Abdullahi e uma colega, resumem a ideia: na maioria dos casos, quanto menor o risco de ser pego, mais provável que a fraude aconteça. Quando ninguém anotou quem abre o quê, esse risco fica baixo, porque, se algo some, não existe lista de quem tinha acesso ao que sumiu.
No relatório de 2024, a Association of Certified Fraud Examiners (ACFE), associação de investigadores de fraude, analisou 1.921 casos de empresas de todos os setores, não de fazendas em particular. A falta de controles internos foi o ponto fraco mais comum, e uma fraude típica dura 12 meses até ser descoberta.
Por que não liberar tudo para quem é de confiança?
Porque, quando alguém tem mais acesso do que o serviço pede, um erro pode acabar num prejuízo grande, e o mesmo vale para um funcionário endividado que cede à tentação. Na fazenda, o tratorista não precisa da senha do banco para fazer o serviço dele, e quem cuida do financeiro não precisa da chave do galpão de defensivos.
Existe um segundo custo. Quando só uma pessoa tem uma chave ou uma senha, o serviço que depende dela para no dia em que essa pessoa adoece ou vai embora: se só um funcionário entra no app do banco, as contas esperam. Quem cobre a falta de alguém costuma precisar das mesmas chaves e senhas. Se você tem um plano de quem mais sabe fazer a tarefa, a lista de quem cobre cada tarefa crítica quando alguém falta, acrescente nele o acesso que cada tarefa exige. No registro você enxerga os dois problemas de uma vez: acesso espalhado demais e acesso nas mãos de uma pessoa só.
O que entra no registro?
O registro é uma tabela simples, numa folha de papel. Ele tem uma linha para cada fechadura, senha ou conta, e nessa linha você escreve o nome de todos que conseguem abrir ou usar aquilo. As fechaduras: o portão, o depósito de diesel, o galpão de defensivos, a oficina, a porta do escritório, o cofre. As senhas: o app do banco, o sistema da fazenda, a conta na cooperativa, o site da revenda de insumos. Para cada senha, anote o nome do serviço e o usuário, nunca a senha em si. As contas de pagamento e de venda: o talão de cheques, o cartão, o portal do comprador de grãos.
Dê a cada item a sua linha. Se a porta do escritório e o cofre dividem uma linha chamada “o escritório”, você não enxerga que quatro pessoas sabem o segredo do cofre quando você achava que só você e o capataz sabiam.
Se você já tem uma lista com uma linha por item e um nome e uma data em cada linha, o registro pode seguir o mesmo formato; só muda o conteúdo. A lista de funcionários com a data de entrada de cada um costuma ser assim, e também a lista de áreas de trabalho abaixo do padrão de segurança, em que cada linha tem quem vai consertar o problema e até quando.
Que níveis de acesso existem, e por que três?
Acesso não é só ter ou não ter. Cada pessoa tem acesso num nível, e com o nível escrito ao lado do nome você vê o que ela de fato consegue fazer. Três níveis bastam para uma fazenda:
- Usa: a pessoa abre o galpão ou entra no sistema para fazer o serviço do dia.
- Aprova: a pessoa assina, autoriza um pagamento ou aprova uma compra.
- Administra: a pessoa consegue trocar a fechadura, trocar a senha, ou dar e tirar o acesso dos outros.
Uma fechadura costuma ter só o primeiro e o terceiro nível: algumas pessoas abrem, e uma consegue trocar a fechadura ou mandar copiar a chave. Aprovar é coisa das contas de dinheiro. O terceiro nível é o que mais passa despercebido e o que merece mais atenção, porque quem administra uma conta pode dar acesso a qualquer um sem você saber.
Nas contas de dinheiro, divida cada pagamento entre pessoas diferentes, para que ninguém faça um pagamento do começo ao fim sozinho. O ideal é separar quatro tarefas: aprovar o pagamento, guardar o talão de cheques ou o dinheiro, anotar o pagamento no controle financeiro da fazenda e conferir o extrato do banco com esse controle. Essa lista vem de um guia dos auditores internos da University of Pennsylvania, universidade americana, escrito para os setores da própria universidade e não para fazendas, e os auditores admitem que um escritório pequeno pode não conseguir separar as quatro.
Numa fazenda com uma ou duas pessoas no escritório, separe pelo menos duas: quem aprova um pagamento não confere o extrato da conta de onde ele saiu. Na linha da conta do banco, anote quem confere o extrato. Se a mesma pessoa tiver de fazer as duas coisas, confira você mesmo esse extrato.
Quando o registro deixa de bater com a fazenda?
Quando você escreve uma vez e nunca mais revisa. O acesso muda mais rápido que o papel. Um funcionário novo recebe a chave do portão, o operador do pulverizador muda de função e continua com a chave do galpão, uma senha é trocada e passada adiante para não parar o serviço numa manhã corrida. A linha que estava certa no plantio está errada na colheita.
Mude a linha no dia em que alguém entra, sai ou troca de função, e revise o registro inteiro pelo menos uma vez por ano, a mesma regra que os auditores da University of Pennsylvania fixam para a lista de quem pode aprovar quais pagamentos. Na revisão, confira cada linha com o que você vê na fazenda: se a pessoa ainda trabalha ali e se ainda precisa daquela chave ou senha. Risque o nome que não deve mais estar lá. A mesma revisão anual serve para outras listas escritas da fazenda, como o orçamento ou o caderno de aplicação de defensivos; comparar o que está escrito com o que existe de fato é boa parte da gestão de fazendas.
No registro você anota a quem deu acesso, não todo jeito que alguém tem de entrar. Se o app do banco está no registro com um nome só, mas metade da turma sabe a senha, essas pessoas têm um acesso que você não enxerga na lista. O mesmo vale para uma chave que alguém copiou. Quando achar um caso assim, troque a senha ou a fechadura e anote quem ficou com a nova. Proteger a senha do banco e o sistema da fazenda é outro serviço, e nisso o seu banco, o fornecedor do sistema ou um técnico de informática podem ajudar.
Ter acesso também é diferente de ter autoridade para decidir. Um gerente pode ter a senha do banco para pagar as contas do dia a dia e ainda precisar da sua aprovação para uma compra grande. Quais decisões o gerente toma sem consultar você vão em outro documento, um acordo escrito, decisão por decisão, sobre o que o gerente decide sozinho. No registro de acessos você lista só o que cada pessoa consegue abrir, e a mesma pessoa pode ter o acesso sem ter a autoridade.
Por onde começar
Uma prancheta, uma volta pela fazenda e uma tarde no escritório, com o app do banco e os outros acessos online abertos na tela, para ver quem tem usuário em cada um. Sem precisar de programa.
Cuidado com o lugar onde você guarda o registro. Se você passar o registro a limpo no computador e salvar numa pasta compartilhada que todo mundo já abre, qualquer um consegue ler quem tem cada chave e cada senha. Guarde numa gaveta com chave, ou num arquivo que só você e uma pessoa de confiança consigam abrir. Preencher o registro, sozinho, não deixa a fazenda segura. Com ele preenchido, você consegue dizer hoje quem abre o portão e quem movimenta dinheiro, em vez de descobrir um nome de cada vez depois que alguém saiu.