Capítulo 77: Seguro e responsabilidade profissional: quem paga pelo prejuízo
O cenário a seguir é um exemplo didático baseado em padrões comuns de fraude. Os personagens e eventos destinam-se apenas à ilustração.
Eram duas da manhã quando o telefone de Rami, CEO de uma empresa de infraestrutura, vibrou na mesa de cabeceira. Normalmente, Rami ignoraria chamadas nesse horário, mas o número que aparecia na tela era o da sua diretora financeira. Ao atender, ele não ouviu a voz calma e autoritária dela, mas respirações curtas e sufocadas.
"Rami", ela sussurrou, "o dinheiro não chegou ao fornecedor italiano. E o banco diz... o banco diz que a conta para a qual transferimos os 800 mil euros ontem não pertence a eles de forma alguma. Pertence a uma entidade em Singapura que foi fechada esta manhã".
Naquele momento, Rami sentiu o chão desaparecer sob seus pés. Mas, em meio ao pânico, surgiu um pensamento tranquilizador: "Temos seguro". Ele sempre se certificou de que a empresa estivesse segurada. Responsabilidade profissional, responsabilidade de diretores, seguro de responsabilidade civil – ele pagava prêmios significativos todos os anos exatamente para esse momento. Ele não sabia então, naquela noite fatídica, que a verdadeira luta estava apenas começando, e que a apólice de seguro na qual se apoiava poderia se revelar um apoio frágil.
Nos capítulos anteriores, tratamos das técnicas dos golpistas e das formas de prevenção. Mas o que acontece quando a prevenção falha? Quando o dinheiro já saiu da conta e desapareceu nas entranhas da rede global? Aqui entra a questão jurídica e econômica mais dolorosa: quem arca com o prejuízo? É o banco que não interrompeu a transação não autorizada? É a seguradora que assinou a apólice de responsabilidade profissional? Ou talvez o contador e o departamento financeiro que falharam em identificar a fraude?
A história da empresa de infraestrutura: quando o seguro diz "não"
A empresa estava no meio de um projeto de construção de uma ponte complexa. Seu principal fornecedor, uma empresa italiana, enviou um e-mail com uma atualização sobre uma mudança nos detalhes da conta bancária devido a uma "auditoria contábil interna". A diretora financeira viu o logotipo familiar, o estilo de escrita educado do gerente de vendas e autorizou a transferência da quantia em dinheiro para a nova conta.
Três dias depois, quando o fornecedor enviou um aviso sobre o não pagamento, o tamanho do desastre tornou-se claro. Hackers invadiram a caixa de e-mail do fornecedor (ou da empresa de infraestrutura – isso pode ser apurado em uma investigação), monitoraram as correspondências por um período e, no momento da verdade, "inseriram" a fatura falsa com seus próprios dados bancários.
Em uma reunião com o corretor de seguros, foi dito ao CEO que existia uma apólice de responsabilidade profissional e um seguro cibernético básico, portanto, havia cobertura. No entanto, pouco tempo depois, chegou a carta da seguradora. A resposta foi a rejeição da demanda.
"De acordo com os termos da apólice", dizia a carta de rejeição, "o seguro não cobre danos causados como resultado de 'engenharia social' (Social Engineering) ou transferência voluntária de fundos pelo segurado, a menos que tenha sido adquirida uma extensão específica para isso. Além disso, alegou-se que o segurado falhou em realizar a verificação telefônica conforme exigido nos termos de segurança, algo que pode ser considerado negligência".
Naquele momento, ficou claro que a batalha não era apenas contra os golpistas, mas também dentro do sistema jurídico e de seguros. Criou-se um "triângulo das Bermudas" jurídico: a seguradora alega negligência da empresa; o banco alega que cumpriu as instruções do cliente; e o fornecedor exige seu dinheiro e ameaça paralisar o projeto.
Este é o ponto onde o direito e a realidade se encontram. Neste capítulo, analisaremos a responsabilidade possível de cada um dos atores no campo e entenderemos por que a palavra "seguro" é, às vezes, apenas o início de uma jornada jurídica complexa.
O buraco negro nas apólices de seguro: responsabilidade profissional versus seguro cibernético
Uma das falhas centrais que encontramos ao longo de anos de trabalho profissional na representação de empresas que foram vítimas de golpes é a falta de compreensão das diferenças entre os tipos de cobertura de seguro. Muitos empresários pensam que o "seguro de responsabilidade profissional" é uma espécie de apólice de seguro para todo erro humano. A realidade jurídica é mais complexa.
A apólice de responsabilidade profissional destina-se a cobrir danos causados a terceiros devido a um erro profissional do segurado. Mas quando se trata de uma fraude digital na qual a própria empresa perdeu seu dinheiro, as seguradoras podem argumentar que este é um prejuízo financeiro puro para a própria empresa, e não uma responsabilidade civil para com um terceiro coberta pela "responsabilidade profissional".
Aqui entra em cena o "seguro cibernético". Nos últimos anos, este seguro tornou-se um produto comum. Mas aqui reside a armadilha: muitas apólices cibernéticas padrão cobrem danos aos sistemas de computador, custos de recuperação de dados e, talvez, perda de lucros devido à interrupção. Elas não incluem necessariamente e automaticamente transferências de dinheiro efetuadas como resultado de fraude.
O termo profissional que é importante conhecer é Social Engineering Fraud (Fraude de engenharia social). As seguradoras podem considerar tal transferência como uma "transferência voluntária". Para elas, o funcionário foi quem realizou as ações técnicas para confirmar a transferência. Sem uma extensão específica para fraudes de engenharia social, a possibilidade de obter indenização da seguradora pode ser extremamente complexa.
Além disso, as seguradoras estabelecem condições de elegibilidade. Elas podem exigir que a empresa demonstre que operou controles internos – por exemplo, confirmação telefônica de qualquer alteração nos detalhes da conta bancária com uma fonte autorizada no fornecedor. Se esta ação não foi realizada, a seguradora pode alegar agravamento de risco ou negligência por parte do segurado, algo que afeta o direito à indenização de acordo com a Lei do Contrato de Seguro.
Responsabilidade do banco: o guarda dormiu no posto?
Quando surge uma dificuldade com a seguradora, a atenção é voltada às vezes para o banco. Surge a pergunta de como o banco permitiu uma transferência de valor significativo para um destino atípico sem realizar uma investigação adicional.
A questão jurídica é qual é o "dever de cuidado" do banco para com seu cliente. Por um lado, o banco é obrigado a executar as instruções do cliente. Atrasar uma transferência financeira pode causar prejuízos comerciais. Por outro lado, o banco possui sistemas de monitoramento que devem identificar atividades atípicas.
A análise jurídica sobre este assunto está em processo de desenvolvimento. No passado, a abordagem prevalecente era que a responsabilidade era do cliente que deu a ordem. Mas hoje, é possível observar uma tendência de exame do dever de cuidado aumentado dos bancos. Em certas circunstâncias, quando a transferência é notoriamente atípica – por exemplo, um destino em um país de risco, um valor que não condiz com o histórico da conta ou detalhes do beneficiário que não correspondem ao nome do titular da conta – é possível que a responsabilidade do banco seja examinada se ele não realizou uma verificação suficiente.
No entanto, é importante entender a limitação: em sistemas de transferência internacional, os bancos geralmente operam de acordo com números de conta e nem sempre verificam a correspondência total com o nome do beneficiário. Uma análise das opções jurídicas revela que nem sempre é imposto ao banco um dever abrangente de verificar cada correspondência desse tipo, e a responsabilidade pelo fornecimento de dados corretos permanece geralmente com o cliente.
Casos em que é possível examinar a imposição de responsabilidade aos bancos são aqueles em que havia "luzes vermelhas" claras que foram ignoradas, ou casos em que o banco não cumpriu suas promessas de verificação aumentada.
Responsabilidade do contador e do departamento financeiro
O terceiro fator na discussão é o nível profissional que gere o dinheiro. No cenário de uma fraude, pode surgir uma questão sobre a responsabilidade da empresa de contabilidade ou dos contadores.
Um contador em uma auditoria anual deve identificar tal fraude? Geralmente a resposta é não, já que seu papel é examinar relatórios financeiros. No entanto, quando se trata da gestão contábil corrente, a responsabilidade pode aumentar. Se o profissional foi exposto a um e-mail suspeito e não levantou uma dúvida, ou se não foram estabelecidos procedimentos de trabalho básicos de "dupla autorização", pode surgir um argumento para o exame de negligência profissional.
Em tal caso, examina-se a apólice de responsabilidade profissional do profissional. Se a negligência for comprovada, é possível que se possa examinar a possibilidade de obter ressarcimento da sua seguradora, embora as seguradoras possam alegar exclusões devido à natureza do ato ou negligência contributiva do empresário.
O aspecto jurídico: leis e regras na divisão de responsabilidade
Na análise jurídica de casos como esses, examinam-se várias fontes:
- Lei do Contrato de Seguro: examina-se o cumprimento da seguradora quanto ao dever de informação. Foi esclarecido ao segurado o que inclui o seguro cibernético? As exclusões foram destacadas conforme exigido por lei? Restrições que não foram destacadas podem, por vezes, ser anuladas em um exame jurídico.
- Portaria de Danos Civis: exame do ato ilícito de negligência. O dever de cuidado por parte do banco ou da seguradora foi violado? Era possível prever e evitar o prejuízo?
- Lei de Serviços de Pagamento: esta lei regula a responsabilidade em casos de uso indevido de meios de pagamento. Seus princípios infiltram-se também no mundo das transferências bancárias, especialmente quanto à definição de negligência por parte do cliente.
- Doutrina da "culpa concorrente": bancos e seguradoras tendem a argumentar que a culpa principal é da empresa que agiu de acordo com um e-mail falsificado. Na análise de opções jurídicas, é possível que o tribunal divida a responsabilidade entre as partes de acordo com as circunstâncias do caso.
Sinais de alerta antes de dificuldades na cobertura
- Oferta de seguro cibernético a um custo extremamente baixo: pode não incluir cobertura para fraudes financeiras (Funds Transfer Fraud).
- Ausência de anexo de "engenharia social": sem tal cobertura explícita, a empresa pode não estar protegida em caso de falsidade ideológica.
- Ausência de requisitos de segurança do banco: se não foram definidos mecanismos de autorização aumentados, isso pode constituir uma brecha.
- Dependência excessiva do seguro: a ideia de que o seguro cobrirá tudo sem a tomada de medidas de precaução é um risco significativo.
Ações recomendadas ao identificar um evento (aspecto de seguro e responsabilidade)
- Notificação imediata à seguradora: a notificação em tempo hábil é crítica para fins de exame do sinistro. Deve-se documentar cada comunicação.
- Documentação de procedimentos de trabalho: a coleta de provas do cumprimento de procedimentos aceitos pode ajudar no enfrentamento de alegações de negligência.
- Apelo urgente ao banco: solicitação por escrito e em conversa gravada para o bloqueio de fundos (Recall). A velocidade de resposta do banco pode afetar sua responsabilidade.
- Exame por especialista em segurança cibernética: um especialista independente pode ajudar na determinação da origem da brecha, o que constitui um pilar importante no esclarecimento da responsabilidade.
- Exame da responsabilidade do fornecedor: se a origem da fraude estiver na caixa de correio do fornecedor, pode-se examinar sua responsabilidade pelo prejuízo.
Aspecto jurídico: resumo do cenário didático
Em um cenário possível, após o exame das provas e a condução de um processo jurídico, as partes podem chegar a um acordo. O banco pode arcar com uma parte do prejuízo se for provado que seus sistemas identificaram sinais suspeitos que não foram tratados corretamente. A seguradora pode concordar com o pagamento de uma indenização parcial se ficar claro que as exclusões na apólice não foram claras o suficiente para o segurado.
A mensagem que emerge dos diversos casos ao longo dos anos é que os tribunais podem ampliar a responsabilidade das instituições financeiras, mas a chance depende das circunstâncias e do grau de cuidado que o empresário tomou. O direito destina-se a proteger quem age com cuidado razoável e foi vítima de uma sofisticação excepcional.
No próximo capítulo, analisaremos a construção de um "plano de defesa para a empresa" – que inclui aspectos jurídicos e de seguros – com o objetivo de minimizar o risco de chegar a uma discussão jurídica em primeiro lugar. Como visto em muitos casos, a prevenção profissional é a ferramenta mais eficaz.
2027 Palavras · 10 min de leitura