O custo da fraude para fintechs, a conta além da perda direta

Quando uma fintech calcula o custo da fraude olhando apenas o dinheiro que saiu pela porta, está enxergando a menor parcela da conta. A fraude cobra em várias moedas ao mesmo tempo, e algumas das parcelas mais caras não aparecem na linha de perdas do balanço. Este artigo decompõe a conta completa, com as referências que sustentam cada item, e sem inventar número: onde não há fonte, há estrutura de raciocínio para a empresa medir os próprios dados.

Sobre a escala geral do problema, a referência mais citada é a da ACFE, a Association of Certified Fraud Examiners, que publica periodicamente o estudo Report to the Nations: a estimativa recorrente do estudo, construída a partir da opinião dos examinadores certificados que investigam os casos, é de que organizações perdem em média cerca de cinco por cento da receita anual para fraudes. É uma estimativa de fraude ocupacional, não um número do seu setor nem da sua empresa, e é exatamente assim que deve ser lida: um indício da ordem de grandeza, não uma métrica operacional.

Parcela 1: a perda direta e seus vizinhos imediatos

A perda direta é o valor que a fraude consumiu: o crédito concedido ao fraudador que não volta, o saldo movimentado de conta invadida, o produto entregue e não pago. Nos meios de pagamento com cartão, ela costuma chegar na forma de chargeback: a contestação da transação pelo portador legítimo, regida pelas regras das bandeiras, que devolve o dinheiro ao cliente e debita o lojista ou a instituição, somando à perda as tarifas da própria contestação. Volume alto de contestação coloca a empresa em programas de monitoramento das bandeiras, com custos e exigências adicionais, e degrada a relação com adquirentes e bancos parceiros.

Junto da perda direta vem o custo de remediação: investigar o caso, ressarcir vítima quando é o caso, refazer cadastros, acionar juridicamente. Cada fraude consumada é também horas de gente cara.

Parcela 2: o risco regulatório e legal

Para instituições sujeitas à regulação de prevenção à lavagem de dinheiro, falhar nos controles tem preço tabelado. A Lei 9.613/1998, no artigo 12, prevê para as pessoas obrigadas que descumprirem as obrigações dos artigos 10 e 11 sanções que incluem advertência, multa pecuniária que pode chegar a vinte milhões de reais, inabilitação temporária de administradores e cassação de autorização de funcionamento. O Banco Central e a CVM aplicam essas réguas nos seus perímetros, com base na Circular BCB 3.978/2020 e na Resolução CVM 50/2021.

Se a fraude envolve incidente com dados pessoais, conta em nome de terceiro usa dados pessoais da vítima por definição, entra a camada da LGPD: a Lei 13.709/2018 prevê no artigo 52 sanções que vão até dois por cento do faturamento do grupo no Brasil, limitadas a cinquenta milhões de reais por infração, além da publicização da infração, que é uma sanção reputacional com nome de sanção administrativa. E a preocupação do regulador financeiro com fraude é explícita e crescente: a Resolução Conjunta CMN/BCB 6/2023 obrigou as instituições a compartilhar entre si dados sobre indícios de fraude, criando inclusive responsabilidade nova para quem não consulta nem contribui.

Parcela 3: o custo operacional da desconfiança

Entre a fraude que passa e a que é barrada automaticamente existe uma faixa intermediária cara: os casos que caem em revisão manual. Cada revisão consome minutos de um analista treinado, e o custo total escala com o volume de cadastros, não com o volume de fraude. Uma régua de risco mal calibrada enche a fila de revisão de casos que uma verificação melhor teria resolvido sozinha, e o custo se esconde na folha de pagamento em vez de aparecer na linha de fraude.

A fila de revisão tem ainda um custo de tempo: cadastro que espera horas por aprovação é cliente que esfria. O custo da demora é mensurável em qualquer funil: basta comparar a conversão de aprovados instantâneos com a de aprovados após espera.

Parcela 4: o falso positivo, a fraude que não existia

A parcela mais invisível da conta é o cliente legítimo rejeitado. Ele não aparece em nenhum relatório de fraude, porque do ponto de vista do sistema ele era a fraude. Aparece, se alguém procurar, na conversão do funil e no custo de aquisição desperdiçado: o marketing pagou para trazer um cliente que a verificação expulsou por engano.

Esse é o motivo técnico pelo qual métricas de fraude nunca podem ser avaliadas sozinhas. Um sistema que barra tudo tem fraude zero e negócio zero. As duas taxas de erro, aceitar o mau cliente e rejeitar o bom, precisam ser medidas juntas, e o equilíbrio entre elas é uma decisão de negócio com consequências financeiras nas duas direções, não um detalhe técnico do fornecedor. É a mesma lógica que as normas de teste biométrico, como a ISO/IEC 30107-3 para prova de vida, institucionalizam ao exigir a publicação das duas taxas, nunca uma só.

Montando a conta da sua operação

Uma forma prática de consolidar tudo em decisão: para cada mil cadastros, estimar com os próprios dados as cinco linhas, perda direta esperada, custo regulatório esperado como risco, custo de revisão manual, receita perdida em falso positivo e custo da ferramenta de verificação. A verificação de identidade entra nessa conta como a variável que move as outras quatro: verificação forte reduz perda direta e exposição regulatória, esvazia a fila de revisão e, se for bem calibrada, devolve conversão em vez de tirar.

É também a régua certa para comparar fornecedores: preço por verificação só significa algo ao lado do efeito nas outras linhas. No nosso caso, na UNIFOKAL, o preço é público por módulo e cobrado por verificação, justamente para essa conta poder ser feita sem reunião comercial; mas a régua vale para avaliar qualquer solução, inclusive a construída em casa.

Fontes citadas

• ACFE, Association of Certified Fraud Examiners, Report to the Nations, estudo periódico sobre fraude ocupacional e sua estimativa de perda média em relação à receita
• Lei 9.613/1998, artigos 10, 11 e 12, disponível no portal do Planalto: planalto.gov.br
• Lei 13.709/2018, LGPD, artigo 52, sobre sanções administrativas
• Circular BCB 3.978/2020, do Banco Central do Brasil, e Resolução CVM 50/2021, da Comissão de Valores Mobiliários
• Resolução Conjunta CMN/BCB 6/2023, sobre compartilhamento de dados de indícios de fraude
• ISO/IEC 30107-3, sobre a publicação conjunta das taxas de erro em teste de detecção de ataque