Como montar um time de prevenção a fraude do zero

Toda empresa que movimenta dinheiro na internet passa pelo mesmo ponto de virada: a fraude deixa de ser um incidente isolado e vira rotina. No início, quem olha cadastro suspeito é o fundador ou alguém do produto, entre uma tarefa e outra. Isso funciona enquanto a fila é pequena. Quando ela cresce, cada decisão passa a custar caro dos dois lados: aprovar um fraudador gera perda direta, e reprovar um cliente legítimo gera uma perda silenciosa de receita que quase ninguém mede.

Este texto é para fundadores e líderes de operação de fintechs, marketplaces e plataformas digitais que estão nesse momento: precisam decidir quando contratar gente dedicada, como estruturar o time e o que medir desde o primeiro dia. O desenho inicial é mais simples do que parece, e os erros mais caros são conhecidos, portanto evitáveis.

O roteiro a seguir cobre os sinais de que chegou a hora, a estrutura mínima que funciona, a relação entre fraude e obrigação regulatória, as métricas essenciais e as ferramentas e a cultura que sustentam tudo isso.

Os sinais de que chegou a hora

Três sinais costumam aparecer juntos, e qualquer um deles já justifica a primeira contratação.

O primeiro é o tempo. Se o fundador ou o time de produto gasta horas por dia revisando cadastros e transações, a empresa já paga um analista de fraude, só que com o salário mais caro da casa. Revisão manual feita por quem deveria estar construindo produto é o custo mais invisível da operação.

O segundo é a perda aparecendo no caixa: chargebacks subindo, contas laranja recebendo dinheiro de golpe, saques logo depois do cadastro. Quando esses padrões se repetem, o problema deixou de ser pontual. Vale dimensionar o estrago inteiro, porque o custo real da fraude vai muito além do valor roubado: inclui taxas, horas de operação, aquisição desperdiçada e dano de reputação.

O terceiro é externo: uma auditoria, um parceiro bancário ou o regulador pedindo para ver a estrutura de prevenção. Nesse caso o prazo não é seu, e improvisar uma resposta costuma sair mais caro do que montar a estrutura de verdade.

Comece com um generalista e uma política escrita

O primeiro contratado não deve ser especialista em um único tipo de golpe, e sim um analista generalista: alguém que faz a triagem da fila, revisa os casos que as regras seguram, conversa com atendimento e financeiro e documenta o que vê. Nos primeiros meses, o valor desse analista está menos em decidir caso a caso e mais em transformar intuição espalhada em conhecimento escrito.

Esse conhecimento vira o segundo pilar: a política de decisão. Um documento curto que diz o que a empresa aprova, o que recusa e o que manda para revisão, com os critérios de cada faixa. Sem política escrita, cada analista decide de um jeito, o resultado depende de quem está de plantão e ninguém consegue auditar nada depois.

A separação de papéis vem na sequência, quando o volume justificar: de um lado a operação de revisão, que trata a fila do dia; do outro a engenharia de regras e dados, que analisa padrões, ajusta limiares e mede o efeito de cada mudança. São ritmos diferentes. A operação vive o curto prazo e o caso individual; a engenharia vive o agregado e a safra. Misturar os dois papéis para sempre é receita para regra mal calibrada e fila mal atendida.

Fraude e PLD: duas lentes que convivem, mas não se confundem

Se a empresa é instituição autorizada a funcionar pelo Banco Central do Brasil (BCB), existe uma camada obrigatória além da fraude: a prevenção à lavagem de dinheiro (PLD). A Circular BCB 3.978/2020 exige política, procedimentos e controles internos de PLD compatíveis com o porte e o perfil de risco da instituição, incluindo avaliação interna de risco e um diretor responsável perante o regulador. A base legal é a Lei 9.613/1998, que tipifica o crime de lavagem e cria deveres como comunicar operações suspeitas ao Conselho de Controle de Atividades Financeiras (COAF).

A distinção importa para o desenho do time. Prevenção a fraude protege o caixa da empresa: o objetivo é reduzir perda e preservar cliente bom. PLD cumpre obrigação legal: o objetivo é detectar e comunicar, mesmo quando a operação suspeita não causa prejuízo nenhum à empresa. Um caso pode ser limpo sob a ótica de fraude e ainda assim exigir comunicação, e vice-versa.

Na prática, os dois trabalhos usam sinais parecidos e muitas vezes as mesmas ferramentas, então convivem bem no mesmo time no início. Mas a política, os fluxos de decisão e os relatórios precisam nascer separados, porque respondem a perguntas diferentes e a públicos diferentes: um responde ao negócio, o outro responde ao regulador.

Métricas desde o primeiro dia

Não espere ter time completo para medir. Cinco números contam a história da operação desde o primeiro mês:

1. Taxa de aprovação: quantos por cento dos cadastros ou transações passam. É o termômetro do atrito imposto ao cliente bom.
2. Fraude confirmada por safra: perda confirmada agrupada pelo mês em que o cadastro ou a transação nasceu, não pelo mês em que a perda apareceu. Fraude se revela com atraso, e olhar só o número corrente sempre subestima o problema.
3. Falso positivo: quantos casos recusados ou travados eram, na verdade, clientes legítimos. É a métrica mais negligenciada e a que mais destrói receita em silêncio.
4. Tempo médio de revisão: quanto um caso espera na fila somado ao tempo de decisão. Cliente parado em revisão é cliente desistindo.
5. Tamanho da fila: o estoque de casos pendentes. Fila crescendo mais rápido que a capacidade de revisão é o alerta mais precoce de que a estrutura ficou pequena.

Esses cinco números também são a base da conversa entre operação e engenharia: toda mudança de regra deveria declarar o efeito esperado em pelo menos dois deles e ser conferida contra o realizado semanas depois.

Ferramentas mínimas, comprar ou construir, e cultura

Três ferramentas bastam no começo, e nenhuma precisa ser sofisticada.

A primeira é uma fila de revisão com contexto: o analista precisa ver, numa tela só, os dados do caso, os sinais que dispararam a revisão e o histórico do cliente. Fila sem contexto vira adivinhação, e adivinhação vira decisão inconsistente e lenta.

A segunda é a trilha de auditoria de decisão: quem decidiu, quando, com base em quê. Sem trilha não existe aprendizado nem defesa: não dá para revisar decisão antiga, treinar analista novo nem responder a uma auditoria.

A terceira é o canal de feedback do que virou perda: chargebacks confirmados, golpes reportados pelo atendimento, contestações. É esse retorno que fecha o ciclo e permite medir fraude por safra. Sem ele, o time otimiza no escuro.

Sobre comprar ou construir, a régua prática: sinal de identidade e biometria costuma valer comprar, porque exige modelos, infraestrutura e escala de dados que não fazem sentido dentro de uma operação pequena; regra de negócio é da casa, porque depende do conhecimento do seu produto e do seu cliente, e é onde mora sua vantagem. O racional completo dessa decisão merece análise própria, mas o resumo é: compre o que é commodity técnica, construa o que é conhecimento do negócio.

Por fim, a cultura. Toda fraude relevante que passar merece um pós-mortem: o que aconteceu, quais sinais existiam, por que não foram suficientes, o que muda a partir de agora. Sem caça a culpado: se o analista errou seguindo a política, o problema é da política; se a regra não pegou, o problema é da regra. Prevenção a fraude é disciplina contínua de aprendizado organizacional: cada caso perdido é insumo, não vergonha. Time que esconde erro repete erro.

Fontes citadas

• Circular BCB 3.978/2020, do Banco Central do Brasil
• Lei 9.613/1998, da Presidência da República