Em maio de2024, a Oncoclínicas concluiu um aumento de capital de R$ 1,5 bilhão. No dia seguinte, quase todo esse valor foi aplicado em CDBs do Banco Master. Com a liquidação do banco pelo Banco Central, em novembro de 2025, R$ 430,9 milhões nunca voltaram.

Em junho de 2026, a CVM abriu um inquérito para apurar a responsabilidade dos administradores. O que chama atenção não é a perda em si, mas o caminho que a decisão percorreu, ou melhor, o caminho que ela não percorreu. Segundo o parecer técnico do regulador, a aplicação foi definida por e-mail, sem política de investimentos aprovada, sem estudo que justificasse a escolha e sem passar pelo conselho de administração.

Para quem trabalha com governança, risco e compliance, o caso funciona como um mapa de tudo o que os controles internos existem para evitar. Os sinais de alerta são diretos:

• R$ 1,5 bilhão aplicados no mesmo banco que era sócio da operação.

• Decisão por e-mail, sem voto do conselho e sem estudo que a justificasse.

• 74% de tudo o que a companhia tinha investido concentrado em um único emissor.

• Descasamento de prazo: vencimento prometido em90 dias, registrado apenas em 2026.

• Fiscalização informada só um ano depois, e concentração ausente dos fatores de risco.

• R$ 430,9 milhões perdidos com a liquidação do banco.

Vale destrinchar onde a estrutura falhou.

A decisão que não passou por nenhuma alçada

A troca de mensagens anexada ao processo mostra a dimensão do problema. Uma representante do banco propôs ao então diretor financeiro um CDB de 90 dias, com remuneração de 120% do CDI. A resposta que autorizou a operação foi curta: "Funciona sim".

Uma aplicação de R$ 1,5 bilhão foi resolvida em um e-mail. Nenhuma alçada de aprovação foi acionada, nenhum limite de valor disparou a necessidade de um voto colegiado. O conselho nunca deliberou sobre a operação. Em outubro de 2024, a exposição ao Banco Master chegou a 74% de tudo o que a companhia tinha investido.

Alçadas de aprovação existem para isso: quanto maior o valor e o risco, mais alto o nível que precisa autorizar. Quando esse degrau não existe, uma decisão individual assume o peso de uma decisão institucional, sem o crivo que a tornaria defensável.

Quando quem decide também executa

O parecer aponta que a decisão de manter o dinheiro no banco foi autorizada pela diretoria, enquanto os órgãos de fiscalização só souberam do investimento depois de consumado. Conselho Fiscal e Comitê de Auditoria afirmam ter tomado conhecimento apenas em fevereiro de 2025, ao analisar o balanço do ano anterior.

Esse é o núcleo da segregação de funções. Nenhuma pessoa deveria originar, aprovar e controlar sozinha uma operação de alto risco. Quando a mesma mão que propõe é a que executa, desaparece o ponto de verificação independente que separaria uma boa decisão de um erro caro. No caso, o intervalo entre a decisão e a descoberta pelos controles passou de meio ano.

A política que não existia

A CVM não encontrou uma política de investimentos aprovada pelo conselho, nem critérios que justificassem a escolha do emissor. Uma política formal teria definido limites de concentração por instituição, exigências mínimas de risco de crédito e requisitos de liquidez.

A ausência dessa régua explica as inconsistências que vieram depois. A companhia informou que o primeiro CDB venceria em 90 dias, mas a nota de negociação registrava vencimento apenas em 2026. Quando o diretor pediu o resgate de R$ 200 milhões, o banco respondeu que o recurso ainda não tinha liquidez. Sem uma política que fixasse regras claras de prazo e resgate, a companhia dependeu da palavra do emissor, que era, ao mesmo tempo, sócio no aumento de capital.

A trilha de auditoria que apareceu tarde demais

As demonstrações financeiras de 2024 não citavam o Banco Master. Registravam apenas que as aplicações rendiam entre 104% e 120% do CDI, sem identificar o emissor nem a concentração. A concentração também não constava dos fatores de risco dos formulários de referência. A auditoria externa não apontou deficiências no processo de decisão.

Uma trilha de auditoria confiável e um monitoramento contínuo teriam tornado a concentração de 74% e o descasamento de liquidez visíveis quase em tempo real, e não um ano depois, na leitura do balanço. Rastreabilidade não serve para punir; serve para que a organização enxergue o risco enquanto ainda há tempo de agir.

Por que isso vai além da Oncoclínicas

O inquérito pode terminar em multa ou inabilitação de diretores e conselheiros. Para qualquer companhia regulada, holding ou grupo econômico, a leitura é direta: controles internos são o que transforma uma decisão pessoal em uma decisão institucional, rastreável e defensável.

A fragilidade quase nunca está na operação isolada, mas na estrutura que deveria enquadrá-la:

• Alçadas de aprovação, que definem quem pode autorizar cada operação.

• Segregação de funções, que separa quem propõe, quem aprova e quem executa.

• Política de investimentos formal, com limites de concentração, liquidez e risco de crédito.

• Trilha de auditoria e monitoramento contínuo, que tornam o risco visível a tempo.

Quando esses quatro elementos falham juntos, o prejuízo deixa de ser hipótese.

Como a tecnologia sustenta esses controles

Alçadas, segregação de funções, rastreabilidade e monitoramento não se sustentam em boa vontade e planilhas. Em ambientes corporativos complexos, esses controles precisam ser aplicados de forma automatizada e contínua. É nesse ponto que a Vennx atua:

• SoD Discovery. Estrutura matrizes de segregação de funções com IA e identifica combinações de acesso que concentram poder de decisão e execução.

• Oráculo. Integra sistemas críticos e mantém o monitoramento contínuo e a trilha de auditoria de operações e acessos sensíveis.

• VX. Aplica inteligência artificial à leitura de risco, apoiando decisões com dados em vez de e-mails isolados.

É a mesma lógica que faltou no caso: controle antes da operação, e não a reconstrução dos fatos depois da perda.

Os R$ 430,9milhões perdidos são o número visível. A falha real é estrutural: uma decisão de alto risco sem alçada, sem segregação, sem política e sem uma trilha de auditoria capaz de soar o alarme a tempo.

Controles internos não existem para frear o negócio. Existem para tornar cada decisão crítica rastreável e reversível antes que se transforme em prejuízo. Para conselhos e líderes de GRC, a pergunta não é se um episódio como esse poderia acontecer, mas se a estrutura da empresa o enxergaria a tempo.

Sua empresa consegue rastrear quem decidiu, quem aprovou e quem executou cada operação crítica, antes que ela vire um problema?

Conheça o SoD Discovery, o Oráculo e o VX e estruture controles internos que enxergam o risco antes do prejuízo.

Fale com um especialista da Vennx e avalie a maturidade dos seus controles internos.