Em setembro de 2018, a Wirecard entrou para o DAX, o índice das maiores empresas da bolsa alemã, e em pouco tempo passou a valer mais do que o Deutsche Bank. Era o orgulho da tecnologia financeira da Alemanha, uma fintech de pagamentos que crescia rápido e simbolizava o futuro do setor. Menos de dois anos depois, em junho de 2020, virou a primeira integrante do DAX a decretar insolvência. No centro do colapso, uma cifra que resume tudo: 1,9 bilhão de euros que, na prática, nunca existiram.

Não houve invasão. Não houve malware. Não houve o grande ataque cibernético que costuma abrir os relatórios de risco. O que derrubou a Wirecard foi um número que não fechava, sustentado por documentos falsos e por anos de validações que ninguém fez de forma realmente independente. É por isso que ocaso não é lido como uma história de contabilidade criativa. Ele é estudado como o exemplo mais completo de uma falha de governança: o momento em que todas as linhas de defesa contra a fraude corporativa falharam ao mesmo tempo.

Para quem responde por controles internos, auditoria, compliance ou governança de acessos, a Wirecard não é uma curiosidade europeia. É um espelho.

O que era a Wirecard: a fintech que virou símbolo antes de virar escândalo

A Wirecard foi fundada em Munique, em 1999, como processadora de pagamentos. Ao longo de duas décadas, se posicionou como a grande aposta alemã em tecnologia financeira: processava transações de cartão para milhares de comerciantes, oferecia serviços de emissão e adquirência e expandia agressivamente para a Ásia. A narrativa de crescimento era irresistível, e o mercado comprou.

O ápice simbólico veio em setembro de 2018, quando a empresa substituiu o Commerzbank no DAX. Uma fintech tomando o lugar de um banco tradicional no principal índice do país dizia muito sobre a promessa que a Wirecard representava. No pico, sua avaliação de mercado superou a do Deutsche Bank.

O problema é que boa parte dessa história era ficção contábil. E, quandoa ficção encontrou a realidade, o desfecho foi rápido e brutal.

A fraude em uma frase: faltava dinheiro que nunca esteve lá

O rombo tinha um endereço declarado. Cerca de 1,9 bilhão de euros supostamente estavam parados em contas fiduciárias (escrow) em bancos das Filipinas, ligados a um negócio de "aquisição via terceiros" na Ásia, o chamado third-party acquiring. No papel, era um caixa robusto guardado no exterior, prova de que a operação era tão lucrativa quanto os balanços diziam.

Quando finalmente foram checar, a história desabou. Os dois bancosfilipinos citados, BDO e BPI, declararam que os documentosapresentados eram falsos e que a Wirecard nunca havia sido cliente. O dinheironão estava mal alocado nem mal contabilizado. Ele simplesmente não existia.

Aqui está a distinção que interessa ao board: não se tratava de um mau investimento, de uma aposta que deu errado ou de uma perda de mercado. Tratava-se de um lastro inventado para sustentar números que não fechavam. O caixa "guardado lá fora" existia justamente para dar aparência contábil a uma receita que, em grande parte, era fabricada.

Como funcionava: receita no papel, caixa no vazio

A engenharia da fraude era, no fundo, simples. Uma parcela relevante da receita e do lucro que a Wirecard reportava vinha desse negócio de terceiros que, em larga medida, era fictício. A companhia registrava operações que existiam em contratos e planilhas, não no fluxo de caixa real. O resultado inflava faturamento e lucro, elevava a ação e alimentava a confiança do mercado.

E as contas no exterior davam sustentação a esse ciclo. Se o auditor, o investidor ou o regulador perguntassem de onde vinha o dinheiro, a resposta estava lá: em escrow, nas Filipinas, com documentos que pareciam legítimos. Enquanto ninguém confirmasse esse saldo de forma independente, a narrativa se sustentava.

Uma nota de precisão importa aqui, porque as estimativas variam entre as fontes: o número mais seguro de citar é o 1,9 bilhão de euros faltante e cerca de 1 bilhão de euros que a auditoria forense da KPMG, em 2020, não conseguiu confirmar. Percentuais exatos de "quanto da receita era falsa" oscilam conforme a análise, e o que importa para a lição de governança não é a fração precisa. É o mecanismo: quando quem reporta os números também é quem valida os números, o balanço vira ficção.

A cronologia que interessa: os alertas existiram, e foram ignorados por anos

A parte mais desconfortável do caso Wirecard não é que a fraude tenha acontecido. É quanto tempo ela durou depois de os primeiros sinais aparecerem.

O jornalista Dan McCrum, do Financial Times, vinha apontando inconsistências desde 2015, com novas denúncias em 2016 e documentos internos vindo à tona em 2019. Havia relatórios independentes questionando os números. Havia sinais no próprio mercado. Ainda assim, a máquina de validação seguiu funcionando como se estivesse tudo em ordem.

O ponto de virada foi técnico. Em abril de 2020, a auditoria forense encomendada à KPMG não conseguiu confirmar a existência de cerca de 1 bilhão de euros em contas no exterior. Um relatório que deveria acalmar o mercado fez o oposto. Em junho de 2020, o rombo se tornou público, o regulador financeiro alemão (BaFin) apresentou representação criminal e, poucas semanas depois, a empresa quebrou.

O CEO, Markus Braun, foi preso. O COO, Jan Marsalek, fugiu e é procurado até hoje. Cinco anos flagrados por denúncias públicas, e ninguém, dentro ou fora da empresa, tinha uma trilha independente capaz de provar o óbvio antes que fosse tarde.

O coração do caso: cinco linhas de defesa, todas furadas

É aqui que a Wirecard deixa de ser notícia e vira material de estudo. Em uma organização saudável, uma fraude no topo esbarraria em alguma barreira. Controle interno, conselho, auditor, fiscalização contábil, regulador: qualquer uma dessas camadas deveria, sozinha, ter capacidade de acender o alerta. Na Wirecard, as cinco falharam de uma vez.

1. Controles internos e conselho de supervisão: fiscalização sem independência

A primeira linha de defesa é a própria empresa: seus controles internos e o conselho que deveria supervisionar a diretoria. Na Wirecard, essa camada foi ineficaz por anos. Os mecanismos internos não detectaram (ou não foram estruturados para detectar) que uma parcela central da receita não tinha lastro em caixa. E o conselho de supervisão, que existe justamente para vigiar a gestão, não conseguiu cumprir esse papel diante de uma cúpula que concentrava informação e poder de decisão. Quando o topo reporta, aprova e valida, sem separação real de funções, o controle interno vira formalidade.

2. Auditoria externa: assinar o balanço não é o mesmo que confirmar o caixa

A segunda linha era o auditor independente. A EY auditou a Wirecard por anos e emitiu pareceres sem ressalvas, mesmo com boa parte do lucro apoiada em contas no exterior que não foram confirmadas de forma independente. A falha aqui é a mais didática de todas para qualquer profissional de controles: confiar em documento e em confirmação de terceiro não substitui verificar a existência do saldo na fonte.

O desdobramento é público e recente. Em 2023, o órgão alemão de supervisão de auditores (APAS) sancionou a EY com multa de 500 mil euros e proibição de aceitar novos clientes de capital aberto na Alemanha por dois anos. Em 2024, concluiu que as auditorias foram negligentes, em alguns casos com negligência grave, embora sem intenção criminosa comprovada, o que acabou limitando a exposição civil da firma. A EY desistiu do recurso em março de 2024. A mensagem para o mercado ficou clara: o carimbo do auditor só vale o que valia a verificação por trás dele.

3. Fiscalização contábil: responsabilidades difusas, ninguém no comando

A terceira linha era o sistema alemão de fiscalização de relatórios financeiros, então dividido em duas etapas, com o FREP (a entidade privada de revisão) na frente. A estrutura de responsabilidades era confusa, com atribuições pouco claras entre quem revisava e quem tinha poder de agir. Uma fiscalização fragmentada, sem dono claro do problema, foi lenta demais para uma fraude que corria rápido. Fragmentação de responsabilidade é, ela mesma, um risco de controle.

4. Regulador de mercado: mirou no mensageiro, não na mensagem

A quarta linha era a BaFin, o regulador financeiro. E aqui o caso beira o inacreditável. Diante das denúncias de imprensa e de investidores, a BaFin, em vez de investigar a Wirecard, chegou a proibir vendas a descoberto das ações da empresa e a mirar nos jornalistas e nos investidores que apontava mas inconsistências. Ou seja: a barreira que deveria proteger o mercado passou parte do tempo protegendo a fraude de quem a denunciava. A representação criminal só veio em junho de 2020, depois que o rombo já era irreversível.

5. O elo que amarra tudo: ninguém confirmava o rastro de forma independente

A quinta falha não é uma instituição, é um padrão que atravessa as outras quatro. Em nenhum ponto da cadeia havia uma confirmação independente e rastreável do que realmente existia. Cada camada confiou na anterior. O conselho confiou na diretoria, o auditor confiou nos documentos, a fiscalização confiou no sistema, o regulador confiou na empresa. Quando ninguém confirma o rastro de forma independente, a fraude no topo tem espaço para durar anos.

E ela durou. O julgamento criminal de Markus Braun começou em dezembro de2022, em Munique, e já passou de 270 dias de audiência, com as alegações finais previstas para outubro de 2026 e um prejuízo estimado pela corte na casa dos 3 bilhões de euros. Braun se declara vítima; o principal réu colaborador o aponta como ciente do esquema. Jan Marsalek, por sua vez, vive em Moscou e é hoje associado por investigações europeias a operações de inteligência russa. Anos depois, o custo do escândalo ainda está sendo contado.

Como o caso conversa com os frameworks que você já usa

A Wirecard não inventou um risco novo. Ela expôs, em escala máxima, exatamente aquilo que os principais frameworks de governança tentam prevenir. Entender essa conexão é o que transforma o caso em ferramenta de trabalho.

Wirecard e a Lei SOX (Seção 404). A SOX nasceu justamente defraudes contábeis como Enron e WorldCom, e exige que a alta administração ateste a eficácia dos controles internos sobre relatórios financeiros. O caso Wirecard é a demonstração do que a SOX busca impedir: números reportados sem controles independentes que provem sua veracidade. Onde a SOX exige rastreabilidade de quem lança e quem aprova, a Wirecard mostrou o vácuo de não tê-la.

Wirecard e o COSO (controles internos). O framework de controles internos do COSO organiza a governança em ambiente de controle, avaliação de riscos, atividades de controle, informação e monitoramento. A Wirecard falhou em praticamente todas as dimensões ao mesmo tempo, com destaque para o monitoramento contínuo, que praticamente não existiu de forma independente. Não é que faltasse controle no papel. Faltava controle que funcionasse na prática.

Wirecard e o modelo das três linhas de defesa. O modelo do IIA (Instituto dos Auditores Internos) separa a gestão que assume o risco, as funções de controle e compliance, e a auditoria interna independente. A Wirecard é o contra exemplo perfeito: sem independência real entre quem opera e quem fiscaliza, as três linhas colapsam em uma só. A lição não é ter mais linhas. É garantir que elas sejam de fato independentes.

Wirecard e a segregação de funções (SoD). No fundo de tudo está a mesma falha estrutural: acúmulo de funções que jamais deveriam andar juntas. Quando o mesmo grupo executa, aprova e reporta, a segregação de funções deixa de existir e a fraude perde seu principal obstáculo. SoD não é burocracia de auditoria. É o mecanismo que impede que uma única pessoa (ou um único grupo) tenha poder para criar e validar a própria mentira.

A ponte para o Brasil: a Wirecard é a Americanas europeia

Se essa história soa familiar, é porque o padrão é o mesmo que o Brasil viu de perto. Na Americanas, cerca de 20 bilhões de reais ficaram escondidos do balanço por anos, com empréstimos bancários lançados como redução de fornecedores e contratos sem lastro inflando o lucro. Sem hacker, sem malware. Só acesso: gente com poder para lançar, aprovar e reportar os próprios números.

Wirecard e Americanas são a mesma lição contada em dois idiomas. Em ambos os casos, existiam auditoria, conselho e processos documentados. E, em ambos, faltou o essencial: separar quem lança de quem aprova de quem fiscaliza, com uma trilha independente e imutável que provasse cada passo. Controle no papel não segura fraude que nasce no topo. É a mesma falha estrutural, cruzando fronteiras.

Segundo a ACFE (Report to the Nations, 2024), empresas perdem em média cerca de 5% do faturamento por ano para fraude ocupacional, e o esquema típico roda por volta de 12 meses até ser descoberto. Quando o autor é dono ou executivo, o rombo mediano é muito maior do que o de um funcionário. A Wirecard e a Americanas são as manchetes. O padrão que elas representam acontece, em silêncio, em muito mais empresas do que se noticia.

O que as organizações ganham quando o controle é independente e rastreável

A leitura errada da Wirecard é concluir que faltou controle e, portanto, é preciso comprar mais controle. A leitura certa é que faltou controle independente e rastreável. São coisas diferentes, e a diferença define o resultado.

Uma organização que trata governança de identidade e de acessos como blindagem do balanço, e não como pauta de TI, ganha três coisas concretas.

Ganha prevenção estrutural, porque a segregação de funções real impede que uma mesma pessoa acumule poderes incompatíveis antes que a fraude sequer possa ser montada. O risco é bloqueado na origem, não descoberto no prejuízo.

Ganha capacidade de prova, porque uma trilha imutável responde, em minutos, à pergunta que a Wirecard não conseguiu responder por anos: quem lançou, quem aprovou, quando e com qual autorização. Rastreabilidade não é conforto de auditoria. É a diferença entre um balanço defensável e um balanço que vira ficção.

E ganha tempo, porque o monitoramento contínuo transforma a fiscalização de um evento pontual, feito uma vez por ano, em uma vigilância permanente. Fraude que nasce no topo dura anos justamente porque a checagem é rara. Quando o acompanhamento é always-on, a janela de impunidade encolhe.

Não é apenas uma questão de conformidade. É uma questão de sobrevivência do balanço.

Do caso à operação: como a Vennx transforma a lição em controle

A pergunta que fica para qualquer gestor depois de estudar a Wirecard é direta: na minha empresa, quem confirma o rastro de forma independente? Se a resposta depende de planilhas, de confiança e de auditorias anuais, o ponto cego da Wirecard também é o seu. É exatamente esse vazio que a Vennx foi construída para fechar.

O SoD Discovery ataca a raiz da fraude no topo. A falha estrutural comum a Wirecard, Americanas e tantos outros casos é o acúmulo de funções incompatíveis. Mapear isso manualmente, cruzando perfis e permissões em vários sistemas, leva meses e quase nunca cobre tudo. O SoD Discovery usa inteligência artificial para construir a matriz de Segregação de Funções e identificar, deforma sistemática, quem acumula acessos que jamais deveriam andar juntos. O trabalho que levaria meses se resolve em dias, e o resultado não é uma foto pontual: é um retrato acionável de onde o poder está concentrado demais. O resultado esperado é simples de enunciar e difícil de alcançar sem tecnologia: ninguém lança e aprova sozinho.

O Oráculo garante o rastro que faltou em Munique. A Wirecard não tinha uma confirmação independente e rastreável de seus acessos e movimentações críticas. O Oráculo monitora acessos a sistemas financeiros e críticos em tempo real, com logs imutáveis e detecção de inconsistências, com apoio de machine learninge correção automática. Na prática, ele responde à pergunta que derrubou a fintech alemã: onde está o rastro, e ele é confiável? Em vez de uma auditoria que chega tarde, uma trilha viva que acompanha cada movimento no momento em que ele acontece. O resultado esperado é um balanço defensável, sustentado por evidência, não por confiança.

A governança contínua de acessos fecha o ciclo. Prevenir e provar não bastam se o controle for um projeto com data para acabar. Com a gestão contínua de acessos e identidades, revisar quem tem acesso a quê deixa de ser um esforço anual e vira rotina governada, com o princípio do menor privilégio aplicado de forma consistente: acesso é exceção justificada, não padrão herdado. É assim que a segregação de funções descoberta hoje continua valendo daqui a seis meses, quando as pessoas mudam de cargo, os sistemas mudam e o risco tenta voltar pela porta dos fundos.

O fio que conecta os três é o mesmo que faltou na Wirecard: do reativo ao preditivo, da planilha ao rastro defensável, da confiança à verificação.

Conclusão: a fraude começa onde a rastreabilidade termina

A Wirecard não caiu por causa de um gênio do crime nem de um ataque sofisticado. Caiu porque, em cinco camadas diferentes de proteção, ninguém confirmou o óbvio de forma independente. O caixa que não existia sustentou uma empresa que chegou a valer mais que o Deutsche Bank, e a conta só chegou quando a verificação, enfim, aconteceu. Tarde demais.

A lição para o board não é comprar mais controle. É garantir que nenhum número crítico e nenhum acesso privilegiado exista sem segregação de funções, menor privilégio e trilha imutável. Governança de identidade não é assunto de TI. É blindagem do balanço.

Então a pergunta que a Wirecard deixa é a mesma que o gestor precisa saber responder antes que ela seja feita por um auditor, um regulador ou um jornalista: quanto tempo sua organização levaria para provar, de forma independente, quem lançou e quem aprovou os números do último trimestre?

Se a resposta não for imediata, o ponto cego já está instalado. Conheça o SoD Discovery e o Oráculo e veja como a Vennx transforma controle no papel em rastreabilidade em tempo real. Fale com um especialista da Vennx.