Fraude dentro da empresa: como investigar sem perder a prova nem o patrimônio

Subtítulo: A reação precipitada pode alertar envolvidos, contaminar depoimentos, comprometer dados digitais e tornar tardia a recuperação do prejuízo. Uma resposta juridicamente segura preserva simultaneamente a prova, os ativos, a operação e os direitos das pessoas investigadas.

Tempo estimado de leitura: 15 minutos

Por Asdrubal Nascimento Lima Júnior — advogado no Brasil e em Portugal, professor, mediador e árbitro, especialista em prevenção e solução de conflitos.

Resposta em síntese

A descoberta de uma possível fraude interna não autoriza a empresa a escolher imediatamente um culpado e procurar elementos que confirmem essa convicção. A primeira resposta precisa preservar alternativas: impedir a continuidade do dano, proteger documentos e sistemas, controlar o acesso à informação, reconstruir os fatos com método e iniciar, quando necessário, o rastreamento patrimonial.

Investigar, demitir, comunicar às autoridades e buscar o ressarcimento são decisões relacionadas, mas não idênticas. Cada uma possui pressupostos, riscos e momentos próprios. Quando a empresa as confunde, pode produzir uma acusação frágil, perder a oportunidade de bloquear ativos, violar direitos de empregados e terceiros ou transformar uma suspeita de fraude em uma crise trabalhista, reputacional, regulatória e penal para a própria organização.

Uma fraude praticada dentro da empresa raramente se apresenta como uma narrativa completa.

Ela costuma aparecer como diferença de estoque, pagamento duplicado, fornecedor desconhecido, alteração incomum de cadastro, transferência fora do padrão, nota fiscal incompatível, denúncia anônima ou resultado financeiro que não encontra explicação operacional. No primeiro momento, quase sempre há mais perguntas do que respostas.

Quem autorizou a operação? Quem a executou? Houve benefício pessoal? O lançamento foi deliberadamente falso ou decorreu de falha? O fornecedor existe? Outras pessoas participaram? A irregularidade ainda está em curso? O dinheiro pode ser localizado? A empresa tem diante de si um crime, um inadimplemento, uma infração trabalhista, uma deficiência de controle ou uma combinação desses fatores?

Apesar dessa incerteza, a pressão por uma resposta imediata é intensa. Dirigentes querem saber quem foi, quanto se perdeu e quando o valor retornará. Equipes de tecnologia pretendem bloquear acessos. Recursos Humanos avalia o afastamento ou a dispensa. A área financeira tenta estornar pagamentos. Compliance cogita entrevistar os envolvidos. Alguém sugere registrar ocorrência e divulgar que a empresa já identificou o responsável.

Todas essas providências podem se tornar necessárias. O problema está em executá-las sem coordenação.

O objetivo das primeiras decisões não deveria ser produzir rapidamente uma conclusão. Deveria ser impedir que a conclusão futura se torne impossível.

A primeira resposta deve preservar opções, não fabricar certezas

Há uma diferença decisiva entre suspeita e hipótese de investigação.

A suspeita tende a concentrar a atenção sobre uma pessoa. A hipótese organiza perguntas verificáveis: determinada credencial foi utilizada; uma aprovação contrariou o fluxo habitual; certo fornecedor recebeu valores; um arquivo foi alterado; uma segregação de funções deixou de existir. A boa investigação parte dessas ocorrências e permite que a prova conduza à conclusão, inclusive quando ela contraria a impressão inicial.

Isso exige definir rapidamente uma estrutura de decisão. Quem coordenará a apuração? Quem pode acessar o material? Algum integrante da administração possui conflito de interesses? A equipe de tecnologia está subordinada a uma pessoa potencialmente envolvida? O conselho, a auditoria, a seguradora ou uma autoridade reguladora precisam ser informados? Existe risco de destruição de dados, continuidade das transferências ou fuga patrimonial?

O grupo responsável deve ser pequeno, tecnicamente adequado e submetido à regra de necessidade de conhecimento. Confidencialidade, nesse contexto, não significa ocultação. Significa evitar que a circulação prematura de versões alerte envolvidos, influencie testemunhas, exponha inocentes ou produza narrativas difíceis de corrigir.

Uma investigação concebida apenas para confirmar a responsabilidade de alguém perde valor jurídico e gerencial. Ela pode omitir elementos favoráveis à pessoa investigada, confundir falha de controle com dolo, ignorar a participação de terceiros e oferecer aos dirigentes uma segurança que os documentos não autorizam.

O compromisso inicial precisa ser com a reconstrução confiável dos fatos.

Conter o risco não é o mesmo que punir

Em determinadas situações, a empresa não pode aguardar o relatório final para agir. A credencial utilizada em operações suspeitas talvez precise ser suspensa; limites de pagamento podem ser reduzidos; procurações e acessos bancários podem exigir revisão; documentos sujeitos a descarte automático devem ser preservados; pagamentos ainda não liquidados podem precisar de bloqueio.

Essas são medidas de contenção. Sua finalidade é interromper o risco, e não declarar antecipadamente a culpa.

A distinção permite adotar providências proporcionais sem transformar cautela em condenação interna. Um afastamento temporário, por exemplo, pode ser necessário para proteger a apuração, mas deve ser avaliado à luz do contrato de trabalho, da remuneração, da duração, do risco efetivo e da forma de comunicação. O bloqueio de acesso deve preservar os dados existentes antes de alterar perfis, desligar equipamentos ou apagar contas.

Quando a hipótese envolve empregado, a dispensa por justa causa pode ser juridicamente possível. O artigo 482 da Consolidação das Leis do Trabalho inclui o ato de improbidade entre suas hipóteses. Isso não torna toda suspeita uma improbidade comprovada, nem converte a apuração criminal em requisito universal para o exercício do poder disciplinar do empregador.

Os planos são diferentes. A empresa pode formar convicção suficiente para uma decisão trabalhista sem que exista condenação penal. Ao mesmo tempo, a gravidade da justa causa e seus efeitos recomendam prova consistente, coerência, proporcionalidade e cuidado com a imputação divulgada.

Demitir imediatamente pode encerrar o acesso do investigado aos sistemas, mas também pode avisá-lo antes que os fluxos financeiros sejam reconstruídos, provocar a perda de informações armazenadas apenas em equipamentos sob sua guarda e dificultar a identificação de outros participantes. Adiar toda decisão, por outro lado, pode permitir a continuidade do dano.

Não existe resposta automática. Existe uma decisão de risco que precisa integrar tecnologia, relações de trabalho, governança e estratégia jurídica.

A prova digital pode ser perdida sem que nenhum arquivo seja apagado

Grande parte das fraudes empresariais contemporâneas deixa vestígios digitais: e-mails, mensagens, registros de acesso, arquivos contábeis, alterações cadastrais, autorizações em sistemas, dados de geolocalização, documentos em nuvem, gravações, relatórios de auditoria e históricos bancários.

O erro mais conhecido é permitir sua exclusão. Há outro, menos visível: preservar apenas o conteúdo aparente e perder as condições de demonstrar sua origem, integralidade e percurso.

Uma captura de tela pode mostrar uma conversa, mas normalmente não registra todos os metadados, anexos, identificadores, horários e relações existentes na fonte. Copiar arquivos para uma pasta comum pode alterar informações relevantes. Abrir, converter, encaminhar ou reorganizar dados sem documentação pode dificultar a comparação posterior com o original. A prova continua visualmente disponível, mas sua confiabilidade se tornou discutível.

O Código de Processo Penal disciplina, nos artigos 158-A a 158-F, a cadeia de custódia dos vestígios arrecadados na persecução penal. A legislação trata do reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte, com registro das pessoas que tiveram contato com o material.

Essas formalidades foram desenhadas para a atuação policial e pericial. Não se deve afirmar que toda investigação interna privada se torna automaticamente inválida se não reproduzir integralmente o procedimento estatal. A consequência prática é mais precisa: quando a empresa pretende apresentar seus achados às autoridades ou utilizá-los em processo, precisa produzir um material cuja origem, integridade e manuseio possam ser tecnicamente explicados e contestados.

O Superior Tribunal de Justiça oferece uma advertência particularmente importante. Em julgamento divulgado no Informativo de Jurisprudência nº 763, a Quinta Turma considerou inadmissíveis provas digitais porque não havia registro documental adequado sobre coleta, preservação, pessoas que tiveram contato e percurso dos computadores apreendidos. O caso possuía um detalhe diretamente relevante para as organizações: antes da perícia policial, o conteúdo extraído foi analisado pela instituição financeira vítima. A decisão não proibiu a vítima de investigar seus próprios sistemas. Reconheceu, naquele processo penal, que a ausência de documentação e os sucessivos descuidos impediam afirmar que os dados apresentados eram íntegros e confiáveis.

No HC 828.054, a mesma Quinta Turma voltou a rejeitar dados extraídos diretamente de celular sem metodologia adequada e sem documentação das etapas. Em junho de 2026, a edição 281 de Jurisprudência em Teses sintetizou a orientação do tribunal: a integridade e a auditabilidade da prova digital exigem preservação da cadeia de custódia e possibilidade de exame técnico independente, podendo envolver certificadores como o algoritmo *hash*, em observância ao princípio da mesmidade.

O ponto não é transformar toda empresa em laboratório criminal. É saber quando preservar a fonte original, realizar imagem forense, calcular identificadores de integridade, registrar data, responsável, ferramenta e procedimento, controlar cópias de trabalho e manter disponível material que permita exame independente.

Quanto maior a relevância penal do dado, menor deve ser o espaço para improvisação.

A investigação interna possui limites jurídicos próprios

A empresa pode examinar operações realizadas em seus sistemas, conferir documentos corporativos, auditar pagamentos, revisar fluxos de aprovação e entrevistar pessoas que aceitem colaborar. Isso não lhe confere os poderes coercitivos do Estado.

Uma investigação privada não autoriza busca domiciliar, interceptação de comunicações, invasão de conta pessoal, apreensão forçada de aparelho particular ou obtenção clandestina de credenciais. Medidas que dependam de reserva jurisdicional precisam ser requeridas à autoridade competente, e não simuladas pela organização.

Mesmo o acesso a equipamentos e contas corporativas deve observar finalidade, necessidade, políticas internas, legítimas expectativas e o regime de proteção de dados. A Lei Geral de Proteção de Dados admite, conforme o caso, o tratamento necessário ao exercício regular de direitos e ao atendimento de interesses legítimos do controlador ou de terceiro. Essas bases não eliminam os princípios da finalidade, adequação, necessidade, segurança, prevenção e responsabilização.

O guia da Autoridade Nacional de Proteção de Dados sobre legítimo interesse recomenda uma análise estruturada de finalidade, necessidade, balanceamento e salvaguardas. A investigação interna não cria uma zona livre de privacidade. Ela exige delimitar o que se procura, por que determinado conjunto de dados é necessário, quem poderá acessá-lo, durante quanto tempo será conservado e como serão protegidas informações estranhas ao objeto da apuração.

Essa contenção também melhora a prova. Coletar indiscriminadamente todos os dados disponíveis aumenta custo, expõe segredos pessoais e empresariais, dificulta a revisão e pode contaminar a apuração com material obtido de forma questionável.

Nas entrevistas, a pessoa deve compreender a natureza da apuração, o papel de quem conduz a conversa e o uso possível das informações. Não se deve prometer sigilo absoluto quando os achados poderão ser comunicados à administração, a autoridades, à seguradora ou ao Judiciário. Tampouco é adequado apresentar o advogado da empresa como se fosse defensor pessoal do entrevistado.

Uma investigação juridicamente segura não depende de surpresa permanente ou ambiguidade. Depende de método, proporcionalidade e clareza.

A fraude pode estar no sistema, e não apenas na conduta individual

Identificar quem executou uma transferência não encerra a investigação.

Fraudes relevantes frequentemente dependem de acesso compartilhado, cadastros frágeis, concentração de funções, fornecedores relacionados, aprovações formais sem verificação, exceções repetidas e controles que existiam no manual, mas não na prática. A pessoa que aparece no último registro pode ser autora, partícipe, instrumento de terceiro ou apenas o ponto mais visível de uma falha maior.

Por isso, a apuração precisa reconstruir a operação de ponta a ponta: origem da demanda, cadastro do favorecido, documento que justificou o pagamento, aprovações, alteração de dados bancários, credenciais utilizadas, dispositivos e endereços de acesso, destino dos recursos e eventual retorno de parte do valor a pessoas vinculadas à organização.

Também precisa procurar elementos que contrariem a hipótese acusatória. A preservação seletiva — apenas de mensagens desfavoráveis, por exemplo — compromete a confiabilidade do resultado e pode produzir grave injustiça.

A empresa deve distinguir pelo menos três perguntas. Houve perda econômica? Houve violação de dever funcional ou contratual? Houve conduta penalmente típica praticada com dolo? As respostas podem coincidir, mas não são necessariamente iguais.

Nem todo pagamento indevido é crime. Nem toda deficiência de controle exclui a responsabilidade de quem a explorou conscientemente. Nem toda irregularidade cometida por um empregado representa política ou responsabilidade penal da pessoa jurídica. Classificar cedo demais o fato pode estreitar a investigação e ocultar riscos que deveriam ser examinados.

Comunicar às autoridades é uma decisão de estratégia e responsabilidade

O registro de ocorrência não substitui a investigação interna, e a investigação interna não substitui a atuação policial.

A empresa não precisa esperar conhecer todos os detalhes para comunicar uma possível infração, sobretudo quando há risco atual, necessidade de medidas coercitivas ou dever legal de informação. Mas a comunicação deve distinguir fatos verificados, inferências e pontos ainda desconhecidos. Apresentar como certeza aquilo que é apenas hipótese pode atingir injustamente pessoas e reduzir a credibilidade da própria organização.

O momento da comunicação depende da natureza do fato. Se é necessário quebrar sigilos, localizar recursos em terceiros, executar busca e apreensão ou impedir dissipação patrimonial, a cooperação precoce com autoridades pode ser decisiva. Se a denúncia interna é vaga e ainda não há preservação mínima dos dados, uma narrativa apressada pode produzir diligências mal direcionadas e perda de controle sobre materiais sensíveis.

Também é preciso examinar se o fato revela exposição da própria empresa. Uma apuração iniciada para identificar desvio de recursos pode encontrar pagamento indevido a agente público, falsidade contábil, violação de dados, fraude tributária ou participação de dirigentes. A resposta responsável não consiste em selecionar apenas os documentos que incriminam um subordinado e ocultar os que alcançam a administração.

Advogados, peritos digitais, auditoria, compliance e gestão precisam trabalhar com independência suficiente para informar aos órgãos decisórios não apenas quem pode ter causado o prejuízo, mas quais responsabilidades e deveres de comunicação surgiram para a organização.

Recuperar o prejuízo exige uma trilha própria desde o início

Descobrir a autoria e obter condenação não asseguram, por si sós, a restituição do dinheiro.

O caminho do valor precisa ser reconstruído paralelamente ao caminho da conduta. Contas de destino, transferências subsequentes, aquisição de bens, pagamentos a terceiros, empresas relacionadas e sinais de ocultação patrimonial podem desaparecer rapidamente da superfície. Uma investigação que dedica meses à autoria e somente depois procura o patrimônio talvez chegue tarde.

O processo penal dispõe de medidas assecuratórias. Os artigos 125 a 144-A do Código de Processo Penal disciplinam instrumentos destinados a resguardar bens relacionados à infração e à reparação do dano. O artigo 127 permite que o sequestro seja ordenado, inclusive antes da denúncia ou queixa, de ofício pelo juiz, a requerimento do Ministério Público ou do ofendido, ou mediante representação da autoridade policial, desde que presentes os pressupostos legais.

A extensão da medida depende da natureza do bem, de sua relação com o produto ou proveito da infração e do instrumento jurídico utilizado. Não é correto tratar qualquer patrimônio do investigado como automaticamente bloqueável. Medidas cautelares patrimoniais exigem base legal, indícios, proporcionalidade e decisão judicial fundamentada.

A via civil também pode ser necessária. Os artigos 300 e 301 do Código de Processo Civil permitem tutela de urgência diante da probabilidade do direito e do perigo de dano ou risco ao resultado útil, inclusive por arresto, sequestro, arrolamento de bens e outras medidas adequadas. Em situações nas quais a prova pode desaparecer ou seu conhecimento prévio seja necessário para decidir sobre a ação, a produção antecipada prevista no artigo 381 pode ter utilidade.

As duas trilhas não são excludentes. O Código de Processo Penal permite a ação civil de ressarcimento sem prejuízo da execução civil da condenação penal. O Código Penal estabelece que a condenação torna certa a obrigação de indenizar, e o artigo 387, IV, do Código de Processo Penal permite que a sentença condenatória fixe valor mínimo para reparação dos danos. A coordenação serve para escolher o instrumento mais adequado, preservar o direito do lesado e evitar pedidos incompatíveis ou duplicidade de recuperação.

É igualmente importante quantificar corretamente o dano. O valor transferido indevidamente pode ser apenas uma parte. Custos de investigação, interrupção operacional, responsabilidade perante clientes e terceiros, perda de ativos e valores já recuperados precisam ser separados e demonstrados, sem transformar a estimativa do prejuízo em instrumento retórico.

Recuperação de ativos não começa com a execução da sentença. Começa com a pergunta, formulada enquanto os fatos ainda estão sendo reconstruídos: onde está o valor e qual medida legítima ainda pode alcançá-lo?

Uma boa investigação protege a empresa inclusive de uma conclusão errada

Investigar fraude interna não é atividade neutra. Ela altera relações de confiança, pode encerrar carreiras, provocar litígios, afetar reputações e produzir consequências penais.

Por isso, qualidade não se mede apenas pela capacidade de descobrir irregularidades. Mede-se também pela capacidade de não atribuir responsabilidade onde ela não existiu, de reconhecer insuficiência probatória e de corrigir a hipótese inicial.

Uma apuração confiável deve registrar seu escopo, fontes examinadas, limitações, critérios de seleção, pessoas envolvidas na coleta e fundamentos da conclusão. Deve separar fato, inferência e opinião técnica. Deve preservar material favorável e desfavorável. Deve indicar o que não foi possível verificar.

Essa postura não enfraquece a defesa da empresa. Torna-a mais resistente.

Quando a organização procura apenas uma narrativa acusatória, pode obter um relatório categórico e um processo frágil. Quando procura compreender o que ocorreu, melhora simultaneamente sua capacidade de responsabilizar, recuperar, corrigir controles e defender-se de alegações injustas.

Conclusão

A fraude interna coloca a empresa diante de várias urgências, mas nem todas podem ser tratadas pela mesma decisão.

É necessário conter o dano sem declarar culpa prematuramente; preservar dados sem invadir espaços juridicamente protegidos; entrevistar sem confundir colaboração com coerção; adotar providências trabalhistas sem destruir a prova; comunicar autoridades sem transformar hipótese em certeza; e buscar ativos antes que o patrimônio desapareça.

Essa coordenação é o núcleo da advocacia criminal empresarial em situações de crise. Seu papel não consiste apenas em redigir uma notícia-crime quando a apuração terminou. Começa na definição da governança, passa pela delimitação dos acessos e da investigação, integra peritos, auditoria, tecnologia e relações de trabalho e organiza as vias criminal e civil de forma coerente.

A resposta juridicamente mais firme não é necessariamente a mais ruidosa. É aquela que preserva a operação, respeita direitos, produz conhecimento verificável e mantém abertas as medidas legítimas de responsabilização e recuperação.

Quando a primeira reação é improvisada, a empresa pode perder duas vezes: primeiro, com a fraude; depois, com a prova que não consegue sustentar e com o patrimônio que já não consegue alcançar.