Quem responde pelas transferências Pix da empresa sabe que o dinheiro sai em segundos — e que uma única credencial comprometida pode ser suficiente para esvaziar a conta antes de qualquer alerta. Se você precisa desenhar ou revisar um fluxo de dupla aprovação para transferências Pix, este texto percorre os critérios de alçada, a definição de papéis, a prevenção de autoaprovação, o comportamento em agendamentos e recorrências e as evidências de auditoria que sustentam o controle.
O que é dupla aprovação para transferências Pix e por que ela existe
A dupla aprovação para transferências Pix é um controle operacional que exige que duas pessoas diferentes participem de uma mesma transação: uma para criar e enviar a ordem de pagamento e outra para revisá-la e autorizá-la. Esse mecanismo reduz a chance de que um único usuário comprometido — por credencial vazada, engenharia social ou má-fé interna — consiga movimentar recursos da conta PJ sem que ninguém perceba. Em ambientes corporativos, especialmente no setor financeiro, o Pix deixou de ser apenas um meio de pagamento rápido e passou a ser tratado como vetor de risco que exige governança própria.
Diferente de um TED ou de um boleto, o Pix liquida em segundos e tem janelas de reversão muito curtas. Isso muda a lógica de controle: não basta detectar a fraude depois, é preciso impedir que a transferência saia. A dupla aprovação atua exatamente nesse ponto, inserindo uma etapa humana de verificação entre a intenção de pagar e a liquidação efetiva. Instituições financeiras e empresas que processam pagamentos em larga escala adotam o modelo há décadas sob o nome de segregação de funções; o Pix apenas trouxe essa exigência para o dia a dia de tesourarias, contas a pagar e backoffices de empresas de todos os portes.
Diferença entre dupla aprovação, dupla confirmação e autenticação em duas etapas
Dupla aprovação, dupla confirmação e autenticação em duas etapas (2FA) são conceitos distintos, embora frequentemente usados como sinônimos em materiais comerciais. A autenticação em duas etapas valida quem está acessando o sistema — normalmente combinando senha com um segundo fator, como token, biometria ou código de aplicativo. Ela não impede, por si só, que uma pessoa autorizada faça sozinha uma transferência indevida; apenas dificulta que um terceiro se passe por ela.
A dupla confirmação, por sua vez, costuma ser uma segunda validação feita pela mesma pessoa: o usuário revisa os dados na tela e confirma novamente, ou digita uma senha transacional. Já a dupla aprovação exige duas pessoas distintas com papéis diferentes no fluxo. É essa separação de identidades que torna o controle eficaz contra fraude interna e contra o cenário em que um único dispositivo ou credencial foi totalmente comprometido.
O conceito de maker-checker aplicado ao Pix
Maker-checker é o nome clássico do padrão em que um usuário "faz" (maker) e outro "verifica e aprova" (checker). No Pix corporativo, o maker é quem insere os dados do pagamento — valor, chave, favorecido, finalidade — e submete a transação. O checker é quem recebe a solicitação pendente, confere os campos contra a documentação de suporte e decide aprovar ou recusar.
Esse modelo nasceu em sistemas bancários internos e de tesouraria justamente para impedir que uma única ponta do processo concentre poder demais sobre dinheiro. Aplicado ao Pix, ele cria uma trilha mínima de responsabilidade: se algo sai errado, é possível identificar quem criou a ordem e quem a autorizou. Para empresas que precisam prestar contas a auditorias ou a reguladores, essa separação é frequentemente o primeiro critério avaliado em controles de pagamento.
Quais transferências Pix devem passar por dupla aprovação
Não existe regra única que obrigue toda transferência Pix PJ a passar por dupla aprovação; a definição depende da política interna de cada empresa, do apetite a risco e de exigências contratuais ou regulatórias do setor. Na prática, porém, a maioria das organizações adota o controle para um subconjunto de transações que concentra maior risco, deixando pagamentos rotineiros de baixo valor em fluxo simplificado. O objetivo é equilibrar segurança e agilidade operacional.
Definir esse perímetro exige olhar para quatro dimensões: valor, destinatário, horário e tipo de chave. Cada uma delas pode, isoladamente ou em combinação, disparar a exigência de aprovação adicional. Uma política madura combina critérios em regras objetivas, evitando decisões caso a caso que geram inconsistência e brechas.
Critérios por valor, destinatário, horário e tipo de chave
- Valor: transações acima de um teto definido pela tesouraria exigem aprovação; abaixo dele, seguem fluxo direto.
- Destinatário: favorecidos novos, pessoas físicas ou contas fora da lista de fornecedores homologados disparam o controle.
- Horário: pagamentos fora do expediente comercial, fins de semana e feriados entram em fila de aprovação.
- Tipo de chave: chaves aleatórias, e-mail ou CPF/CNPJ com baixo histórico de uso podem ser tratadas como mais arriscadas.
O critério de destinatário costuma ser o mais negligenciado. Empresas que aprovam qualquer Pix para qualquer favorecido com base apenas no valor criam uma janela perigosa: um golpista pode fragmentar uma fraude em dezenas de transferências abaixo do teto. Cruzar destinatário com valor e horário fecha essa brecha e reduz significativamente a exposição a fraudes de engenharia social, como o falso fornecedor ou o falso executivo.
Pix agendado, recorrente e automático: quando a regra se aplica
O Pix agendado permite programar uma transferência para uma data futura; o recorrente repete pagamentos em intervalo definido; o automático, em implantação gradual no mercado brasileiro, autoriza débitos recorrentes mediante consentimento prévio. Nos três casos, a dupla aprovação pode ser aplicada em dois momentos distintos: na criação do agendamento ou da autorização e, se a política exigir, na véspera da liquidação.
O ponto crítico é que agendamentos e recorrências criam a ilusão de controle: como foram aprovados uma vez, tendem a ser liquidados sem nova verificação. Se as condições mudarem — fornecedor substituído, contrato encerrado, valor alterado —, o pagamento segue automático. Por isso, políticas robustas preveem revalidação periódica de recorrências e dupla aprovação obrigatória na criação de qualquer autorização de débito automático, independentemente do valor.
Quem pode solicitar e quem pode aprovar dentro da empresa
A eficácia da dupla aprovação depende menos da ferramenta e mais da definição correta de papéis. Se as mesmas pessoas concentram a capacidade de solicitar e aprovar, o controle vira formalidade. Nenhum perfil deve acumular, no mesmo sistema, permissão de criação e de autorização para a mesma alçada de valor.
Em empresas menores, é comum a tentação de concentrar tudo no sócio ou no gerente financeiro para "não travar a operação". Esse desenho elimina o benefício do controle no exato cenário que ele deveria mitigar: o acesso indevido à credencial da pessoa que concentra poderes. A segregação precisa ser real, com duas identidades distintas e, idealmente, dois dispositivos e dois fatores de autenticação independentes.
Perfis, alçadas e segregação de funções
- Solicitante (maker): cria a ordem de pagamento com base em documentação de suporte; não aprova nada.
- Aprovador nível 1: valida transações até um teto intermediário; não pode aprovar as próprias solicitações.
- Aprovador nível 2: autoriza valores altos ou destinos sensíveis; em geral exige dupla assinatura com o nível 1.
- Auditor/leitor: visualiza trilhas e relatórios, sem poder transacional; garante supervisão independente.
Alçadas escalonadas evitam que um único aprovador libere qualquer valor. Uma estrutura comum em médias empresas prevê aprovação simples até determinado montante e aprovação dupla — dois aprovadores distintos — acima dele. A definição dos tetos deve partir de uma análise de impacto financeiro: quanto a empresa consegue perder sem comprometer o caixa operacional, e não de um número arbitrário copiado de outra organização.
Como evitar que o mesmo usuário solicite e aprove
A prevenção de autoaprovação precisa ser técnica, não apenas normativa. Políticas escritas são necessárias, mas insuficientes se o sistema permitir que um perfil acumule as duas permissões. Bancos e plataformas de pagamento que oferecem dupla aprovação nativa geralmente bloqueiam a autoaprovação por padrão; em integrações via API ou em ERPs, porém, essa trava precisa ser implementada na camada de aplicação.
O controle mais eficaz combina três camadas: matriz de perfis com permissões mutuamente exclusivas, revisão periódica de acessos (trimestral ou semestral) para identificar acúmulos indevidos e monitoramento de exceções — tentativas de autoaprovação, mesmo bloqueadas, devem gerar alerta. Tentativas frustradas de burlar o controle são sinal precoce de fraude interna ou de credencial comprometida e merecem investigação imediata.
Como configurar a dupla aprovação no seu banco ou plataforma de pagamentos
A configuração varia conforme o canal: contas PJ em bancos tradicionais, contas digitais empresariais, ERPs com módulo financeiro ou integrações diretas via API. Em todos os casos, o primeiro passo é mapear quem são os usuários, quais perfis cada um terá e quais regras de alçada serão aplicadas. Configurar a ferramenta antes de definir a política gera retrabalho e brechas.
O segundo passo é ativar a funcionalidade em ambiente de teste ou com valores baixos, validando o fluxo completo: criação, notificação ao aprovador, aprovação, liquidação e registro. Muitas empresas descobrem gargalos nessa fase — aprovador sem acesso mobile, prazo curto demais, notificação caindo em spam — que, se ignorados, viram justificativa para desativar o controle na primeira semana de operação.
Configuração em contas PJ de banco tradicional e digital
Nos bancos tradicionais, a dupla aprovação para Pix costuma estar dentro do gerenciamento de usuários e alçadas do internet banking PJ, frequentemente no mesmo módulo usado para TED e pagamentos de boletos. O administrador-master cadastra os usuários, define perfis (solicitante, aprovador, master) e estabelece faixas de valor que exigem uma ou duas aprovações. Alguns bancos permitem regras por horário e por tipo de destinatário; outros limitam-se a valor.
Contas digitais empresariais geralmente oferecem configuração mais simples, via aplicativo ou painel web, com criação de times e aprovação em lote. A facilidade, porém, não elimina a necessidade de governança: como o cadastro de novos usuários é rápido, o risco de proliferação de perfis com permissão excessiva aumenta. Vale revisar a matriz de acessos com a mesma disciplina aplicada a qualquer sistema corporativo crítico.
Configuração via API e em plataformas de gestão financeira
Empresas que processam Pix em volume — fintechs, e-commerces, tesourarias centralizadas — costumam integrar a dupla aprovação diretamente na aplicação, usando APIs de instituições financeiras ou de plataformas de pagamento. Nesse modelo, a ordem de pagamento nasce no ERP ou no sistema próprio, passa por um motor de regras que decide se exige aprovação e só então é enviada ao banco para liquidação.
Webhooks completam o ciclo: notificam o aprovador em tempo real, registram a decisão e devolvem o status ao sistema de origem. A vantagem é a rastreabilidade fim a fim e a possibilidade de aplicar políticas complexas — combinação de valor, favorecido, horário, centro de custo e até aprovação condicionada a anexo de documento. O custo de implementação, porém, é maior, e a empresa passa a ser responsável pela segurança da camada de aprovação, incluindo criptografia dos dados em trânsito e em repouso, tema detalhado em criptografia de dados.
O fluxo na prática: da solicitação à liquidação do Pix
Um fluxo típico começa com o solicitante preenchendo os dados da transferência e anexando a evidência de suporte — nota fiscal, contrato, aprovação de compra. Ao submeter, o sistema aplica as regras de alçada: se a transação não exige aprovação, segue para liquidação; se exige, entra em estado pendente e notifica o aprovador competente. A partir daí, o tempo corre contra a empresa.
O aprovador revisa os campos, confere a documentação e decide. Se aprovar, a ordem é enviada ao banco e liquidada em segundos. Se recusar, o solicitante é notificado com a justificativa. Se ninguém agir dentro do prazo, a transação expira e precisa ser recriada. Cada transição gera registro com data, hora, usuário e ação — material essencial para auditoria e para investigação de incidentes.
Estados da transação: pendente, aprovada, recusada e expirada
- Pendente: criada pelo solicitante, aguardando decisão do aprovador dentro do prazo.
- Aprovada: autorizada pelo checker, enviada para liquidação junto à instituição financeira.
- Recusada: negada pelo aprovador, com justificativa registrada; não gera débito.
- Expirada: prazo de aprovação encerrado sem decisão; a ordem perde validade e precisa ser refeita.
Entender esses estados é importante porque eles definem o que pode ou não ser revertido. Uma transação pendente pode ser cancelada pelo solicitante. Uma recusada ou expirada simplesmente não existe mais para o banco. Uma aprovada e liquidada, por outro lado, já saiu da conta e entra em outra lógica — a de devolução e de mecanismos de contestação, que têm regras e prazos próprios.
Prazos para aprovar ou recusar e o que acontece se ninguém agir
O prazo de validade de uma ordem pendente varia de banco para banco e de plataforma para plataforma. Agendamentos têm janelas maiores, contadas a partir da data programada. Empresas que operam com aprovadores em fusos diferentes ou sem acesso constante ao aplicativo precisam calibrar esses prazos para evitar expirações em série.
Se ninguém agir, a transação expira e nenhum valor é movimentado — o que é seguro, mas operacionalmente custoso: o pagamento atrasa, o fornecedor cobra, e o solicitante precisa refazer todo o fluxo. Para reduzir esse atrito, políticas maduras definem aprovadores substitutos automáticos e escalonamento: se o titular não responder em metade do prazo, um segundo aprovador é acionado.
O que fazer quando uma transferência é aprovada por engano
Aprovação por engano acontece: o aprovador confirma sem conferir o favorecido, o valor digitado está errado ou a documentação anexada era de outra transação. A primeira ação é verificar o estado da ordem. Se ainda estiver pendente de liquidação — cenário raro no Pix imediato, mas possível em agendamentos —, o cancelamento resolve. Se já foi liquidada, a reversão depende de devolução voluntária ou de mecanismos institucionais.
O Pix não possui cancelamento unilateral pelo pagador após a liquidação. Existe, porém, o Mecanismo Especial de Devolução (MED), criado pelo Banco Central para tratar fraudes comprovadas. O MED não garante recuperação do valor: ele depende de saldo disponível na conta do recebedor e da análise da instituição. Por isso, o controle prévio continua sendo a defesa mais eficaz — depois que o dinheiro sai, a recuperação é incerta e pode levar dias ou semanas.
Cancelamento, devolução e MED antes da liquidação
Antes da liquidação, o solicitante pode cancelar uma ordem pendente diretamente no sistema, e o aprovador pode recusá-la. Em agendamentos, o cancelamento é possível até o momento do envio ao banco. Depois da liquidação, o caminho formal é solicitar a devolução ao recebedor — que pode aceitar ou recusar — ou acionar o MED junto à instituição financeira, apresentando evidências de fraude.
O MED tem prazos definidos pelo Banco Central e exige justificativa consistente: erro operacional simples, sem indício de fraude, pode não se enquadrar. Empresas que lidam com volumes altos de Pix devem ter um procedimento documentado para acionar o MED rapidamente, com prints, logs do sistema e identificação da transação. A agilidade na abertura do mecanismo influencia diretamente a chance de bloqueio de saldo na conta de destino.
Registro de auditoria e trilha de aprovação
Todo o ciclo — criação, modificação, aprovação, recusa, expiração, cancelamento — deve gerar registros imutáveis com identificação do usuário, data, hora, IP de origem e ação executada. Essa trilha é o que permite reconstruir um incidente, demonstrar conformidade em auditorias e, se necessário, embasar ações disciplinares ou jurídicas. Sistemas que não oferecem trilha adequada comprometem a própria utilidade do controle.
A retenção desses registros deve seguir a política de retenção de dados da empresa e as exigências legais aplicáveis. Para organizações sujeitas à LGPD, a trilha de aprovação também é um dado pessoal tratado — e precisa estar contemplada no mapeamento e nas medidas de segurança previstas no programa de conformidade, tema que abordamos em primeiros passos para conformidade.
Erros comuns ao implantar dupla aprovação no Pix
O erro mais frequente é tratar a dupla aprovação como projeto exclusivamente de ferramenta, ignorando a definição de política e a capacitação das pessoas. O resultado é previsível: o controle é ativado, atrapalha a operação na primeira semana e é desativado ou contornado. Aprovação em lote sem leitura individual, aprovadores que aprovam "de confiança" e compartilhamento de senha transacional são sintomas clássicos desse fracasso.
- Alçadas genéricas: um único teto para tudo, sem considerar destinatário, horário ou tipo de chave.
- Autoaprovação permitida: perfis que acumulam criação e aprovação por conveniência administrativa.
- Prazos mal calibrados: janelas curtas demais que geram expiração em massa e pressão para burlar o controle.
- Falta de trilha: sistema que não registra quem fez o quê, quando e de onde, inviabilizando auditoria.
- Treinamento insuficiente: aprovadores que não sabem o que verificar e aprovam por hábito.
Outro erro comum é não revisar periodicamente a matriz de acessos. Pessoas mudam de cargo, saem da empresa, acumulam funções temporárias — e os acessos permanecem. O mesmo vale para contas de serviço usadas em integrações via API, que precisam de credenciais segregadas e rotação regular.
O que define o custo de uma solução de dupla aprovação
O custo de implementar dupla aprovação para Pix não é padronizado e depende de um conjunto de variáveis técnicas e organizacionais. Empresas que usam apenas o recurso nativo do banco tendem a ter custo direto baixo ou nulo, mas arcam com limitações de flexibilidade e de integração. Já organizações que precisam de regras customizadas, integração com ERP ou aprovação via API investem em desenvolvimento, infraestrutura e manutenção contínua.
Os fatores que mais pesam são o número de usuários e perfis, a complexidade das regras de alçada, a necessidade de integração com sistemas legados, o volume de transações processadas e os requisitos de trilha de auditoria e retenção. Soluções que exigem alta disponibilidade — aprovação funcionando 24/7, com redundância e recuperação de desastres — têm custo de infraestrutura superior, especialmente quando hospedadas em nuvem com requisitos rígidos de segurança, algo que se relaciona diretamente com práticas de FinOps.
Há ainda o custo indireto de operação: tempo dos aprovadores, retrabalho por expiração, atrasos em pagamentos críticos. Uma política bem desenhada minimiza esse custo ao concentrar a aprovação apenas onde o risco justifica. O cálculo correto, portanto, não é quanto custa a ferramenta, mas quanto custa o controle completo — incluindo pessoas, processos, tecnologia e o custo de oportunidade de não tê-lo.
Boas práticas de governança e limites operacionais
Governança de dupla aprovação não termina na ativação do recurso; ela exige ciclo contínuo de revisão. Os limites operacionais — valores, prazos, perfis, regras de exceção — devem ser documentados em política formal, aprovados pela diretoria e revisados pelo menos uma vez por ano ou sempre que houver mudança relevante na estrutura da empresa. Política não documentada tende a ser aplicada de forma inconsistente e a desaparecer quando a pessoa que a criou sai.
- Segregação obrigatória: nenhum usuário cria e aprova a mesma transação, em nenhuma alçada.
- Alçadas escalonadas: valores altos exigem dois aprovadores independentes, com perfis distintos.
- Revisão trimestral de acessos: desativação imediata de desligados e revalidação de perfis ativos.
- Trilha imutável: registros de todas as ações, com retenção alinhada à política de dados da empresa.
- Testes periódicos: simulações de fraude e de expiração para validar que o controle funciona na prática.
Por fim, a dupla aprovação deve ser vista como parte de um ecossistema de controles, não como solução isolada. Ela se complementa com autenticação forte, monitoramento de acessos, gestão de vulnerabilidades e proteção contra ameaças como ransomware, que pode sequestrar sistemas usados no processo de pagamento. A combinação dessas camadas é o que reduz, de forma realista e mensurável, a exposição de empresas que movimentam dinheiro via Pix todos os dias.
