Cartão corporativo sem dor de cabeça: quem responde e como se proteger

Cartão de crédito corporativo: responsabilidade da empresa e do banco

O cartão de crédito corporativo é uma ferramenta central de gestão de despesas (T&E), compras recorrentes e suprimentos. A depender da arquitetura contratual, o risco de crédito pode recair sobre a empresa (corporate liability), sobre o portador (individual liability, com posterior reembolso) ou em modelos híbridos (responsabilidade solidária/subsidiária). Independentemente do arranjo, a emissora (banco/fintech) permanece obrigada a oferecer segurança, autorização e liquidação com boa governança — e a empresa, por sua vez, deve estabelecer políticas internas, controles de uso e auditoria para evitar desvios e fraudes.

Arquiteturas contratuais e o que cada uma implica

Corporate liability (CL)

No modelo mais comum em médias e grandes empresas, a fatura é emitida à pessoa jurídica. A empresa paga integralmente e, internamente, apropria custos por centro de custo/projeto. Perante o banco, a devedora é a empresa; o portador (colaborador) não é devedor direto. Nesse arranjo, divergências como desvio de finalidade ou gasto pessoal do colaborador são tratadas via regresso disciplinar e civil contra o empregado, sem afetar a obrigação de pagamento à emissora quando a transação foi regularmente autorizada.

Individual liability (IL)

Em alguns programas (sobretudo para viagens), o colaborador é o responsável contratual perante o banco, liquida a fatura e depois solicita reembolso à empresa. Aqui, o risco de crédito da instituição financeira é pulverizado entre portadores. Para a empresa, a exposição é reputacional e operacional (reembolsos, adiantamentos), e eventual inadimplência recai sobre o portador — salvo cláusulas de solidariedade negociadas.

Modelos híbridos (solidário/subsidiário)

Contratos podem prever solidariedade ou subsidiariedade da empresa em relação aos atos do portador. Ex.: cartão emitido em nome do colaborador com garantia corporativa até determinado limite. Em disputas, é crucial analisar a matriz de responsabilidades do contrato e o fluxo de contestação.

Responsabilidade do banco emissor (cadeia de pagamento)

Segurança e autenticação

Compete à emissora garantir meios adequados de autenticação (chip+senha/biometria no POS, 3-D Secure 2 no e-commerce), monitoramento de risco e prevenção de fraude. Transações claramente fora do perfil da empresa, sequências de contactless sem PIN acima de limiares, fallback repetido à tarja magnética, ou autorizações sem evidências mínimas de legitimidade, apontam defeito do serviço. Nesses casos, a responsabilidade é do fornecedor (banco/adquirente/lojista), com estorno e indenização quando cabível.

Atendimento, disputa e chargeback

O banco deve manter canais empresariais (GECOR/gerente de relacionamento, portal corporativo) para contestação célere, oferta de crédito provisório e remessa do caso à bandeira/adquirente com o reason code correto (fraude CNP, transação não autorizada, duplicidade, DCC indevida, serviço não prestado, etc.). A demora injustificada ou a negativa imotivada configuram falha na prestação.

Disponibilidade e continuidade

Instabilidades prolongadas, negações sistêmicas em viagens internacionais por ausência de habilitação, ou falhas de captura em fornecedores críticos (combustível, hospedagem) impactam a operação e podem gerar responsabilidade do banco por perdas emergentes se presente o nexo causal.

Responsabilidade da empresa (governança e controles)

Política de cartão e onboarding

Cabe à empresa publicar política formal e treinamentos sobre: elegibilidade, limites por cargo, bloqueios por MCC, obrigações de prestação de contas (com prazo e documentação), proibição de gastos pessoais, confidencialidade de dados do cartão e devolução ao desligamento. Sem política, os riscos de uso indevido e glosas fiscais aumentam.

Configuração técnica (app/portal do emissor)

• Limites mensais e por transação (T&E, combustível, hospedagem, assinaturas);
• MCC e geofencing (ex.: liberar apenas países do roteiro);
• Contactless e cash advance desabilitados por padrão, habilitados só quando necessário;
• Uso de cartões virtuais de uso único para fornecedores on-line e cartões “ghost/lodge” para gastos centralizados (companhias aéreas, agências).

Prestação de contas, compliance e fiscal

O gestor deve exigir notas fiscais/recibos, comprovantes e justificativas aderentes às políticas, integrando o fluxo ao ERP/contas a pagar e a módulos de viagem e compras. A ausência de documentação pode gerar glosas, problemas com auditoria e riscos tributários. Gastos fora da política demandam glosa, ressarcimento e eventual sanção disciplinar.

Tipos de ocorrência e quem responde

Fluxo de contestação (empresarial)

1. Bloqueio imediato do cartão e revisão de limites da base afetada (por perfil/cargo).
2. Registro da disputa no portal do emissor com número de caso, centro de custo, portador e descrição técnica.
3. Evidências: prints do ERP/aplicativo, notas, recibos, BO (quando houver), comprovantes de viagem e logs do terminal (se POS).
4. Solicitar crédito provisório e prazo de chargeback; exigir comunicação por escrito.
5. Ajuste contábil interno (conta transitória de disputa) até o desfecho; se fraude sistêmica, abrir incidente de segurança.

Prevenção e design de programa

Segmentação e limites

• Defina tiers de cartão por cargo, com limites adequados ao perfil (ex.: field sales vs. backoffice).
• Use limite por transação, diário e mensal, além de hard blocks por MCC.
• Implemente autorização condicional (ex.: liberar hospedagem somente quando houver centro de custo vinculado à viagem aprovada).

Ferramentas e automatizações

• Cartão virtual de uso único para assinaturas/fornecedores on-line;
• Tokenização via carteiras (Apple/Google Pay) para reduzir exposição do PAN;
• Alçadas e workflows de aprovação em dois estágios (pré-viagem e prestação de contas);
• Regras de anomalia (valores fora do desvio-padrão, horários incomuns, localidade incoerente);
• Integração com OCR e RPA para capturar dados fiscais, validar CFOP/NCM e reconciliar automaticamente.

Indicadores que valem acompanhar

Riscos legais e regulatórios

CDC e boa-fé (emissão no Brasil)

Ainda que a empresa não seja, em regra, destinatária final (e, portanto, o CDC nem sempre se aplique integralmente em relações B2B), é recorrente que a jurisprudência imponha aos bancos os deveres de segurança e transparência nas operações com cartões, sobretudo quando há falha técnica evidente. Assim, a responsabilidade objetiva por fortuito interno (fraudes e defeitos do serviço) permanece como parâmetro de análise.

LGPD e segurança da informação

Cartões corporativos lidam com dados pessoais de portadores e dados sensíveis de pagamento. A empresa é controladora desses dados dentro de seus processos; o banco é controlador/operador no arranjo de pagamento. Vazamentos e acessos indevidos exigem gestão de incidentes, avaliação de risco e eventual comunicação à ANPD.

Compliance (anticorrupção e tributário)

Cartões mal governados podem viabilizar pagamentos indevidos, favores e desvios. Conciliação tempestiva, comprovantes, segregação de funções e auditorias periódicas são essenciais para mitigar riscos da Lei Anticorrupção e de responsabilização de administradores.

Matriz RACI sugerida

Cláusulas úteis para sua política (sumário)

• Finalidade e escopo do uso (T&E, compras autorizadas, proibições explícitas);
• Propriedade do cartão e devolução em desligamento;
• Prestação de contas com prazos, documentos obrigatórios e glosa automática;
• Sanções por uso indevido (ressarcimento, medidas disciplinares);
• Segurança (sigilo do PAN, proibição de compartilhamento, uso apenas em ambiente seguro, reporte imediato de perda/roubo);
• Governança (alçadas, revisões semestrais, auditoria interna, indicadores e planos de ação).

Perguntas estratégicas para o emissor

• Quais controles antifraude e autenticações (3DS2, PIN by-pass, velocity checks) estão ativos para o nosso BIN?
• Qual o prazo médio de crédito provisório em disputas corporativas?
• Há relatórios por MCC/país e APIs para integração com o ERP?
• É possível geofencing por viagem aprovada e cartões virtuais por fornecedor?
• Qual a política de DCC (conversão dinâmica) e como evitam sobrecobrança?

Conclusão

Nos cartões de crédito corporativos, a linha de corte é clara: o banco deve responder por falhas do serviço (autenticação, segurança, monitoramento, disputa e comunicação) e a empresa deve responder por governança interna (política, limites, documentação, auditoria e disciplina). Em fraudes e transações anômalas, a solução passa por contestação técnica rápida, crédito provisório e, quando cabível, estorno — sem prejuízo do regresso da empresa contra o colaborador que descumpriu regras internas. Um programa maduro combina configurações granulares (limites, MCC, geofencing), tecnologia (tokenização, cartões virtuais, OCR, integração ERP), processos (workflows e SLAs) e cultura (treinamento e ética). Esse conjunto reduz perdas, aumenta conformidade fiscal e fortalece a relação com a emissora, dando previsibilidade financeira e segurança operacional ao negócio.

Guia rápido: responsabilidades no uso do cartão de crédito corporativo

O cartão de crédito corporativo é um instrumento essencial para a gestão de despesas empresariais, viagens, eventos e aquisições de rotina. Entretanto, a falta de clareza sobre as responsabilidades da empresa e do banco emissor pode gerar conflitos jurídicos e prejuízos financeiros. Este guia apresenta de forma prática e resumida o que cada parte deve garantir — desde a emissão até a prestação de contas — e como agir diante de falhas, fraudes ou uso indevido.

1) Compreendendo os modelos de responsabilidade

Existem três modalidades principais de cartões corporativos:

• Corporate Liability (CL): a empresa é a titular e responsável perante o banco. Os colaboradores apenas utilizam o limite concedido.
• Individual Liability (IL): o cartão é emitido em nome do colaborador, que paga a fatura e depois solicita reembolso.
• Híbrido: ambas as partes (empresa e colaborador) podem responder solidária ou subsidiariamente.

O contrato define quem deve arcar com a dívida em caso de fraude ou uso indevido. O banco, entretanto, não pode se eximir de sua responsabilidade objetiva quando o problema decorre de falha no sistema, clonagem, autenticação ou autorização indevida.

2) Deveres da empresa

A empresa é responsável por estabelecer uma política de uso que inclua:

• regras de reembolso e prestação de contas;
• limites e restrições de gastos por função ou centro de custo;
• proibição de despesas pessoais e não relacionadas à atividade laboral;
• monitoramento e conciliação periódica das faturas;
• treinamento sobre segurança e prevenção de fraudes.

Essas medidas reduzem riscos e demonstram governança financeira, fator decisivo em auditorias e litígios.

3) Obrigações do banco emissor

O banco deve assegurar padrões técnicos de segurança (como chip, senha, autenticação em duas etapas e monitoramento de transações fora do perfil). Caso ocorra transação irregular sem comprovação de culpa do cliente, a instituição responde pelos danos e deve estornar ou indenizar os valores cobrados indevidamente, conforme os arts. 14 e 20 do CDC.

4) Como lidar com fraudes e divergências

Ao detectar uma irregularidade, a empresa deve seguir um protocolo imediato:

1. Bloquear o cartão e notificar o banco emissor;
2. Registrar contestação com número de protocolo e documentação do caso;
3. Solicitar crédito provisório durante a investigação;
4. Guardar provas (comprovantes, notas fiscais, prints, BO, e-mails);
5. Formalizar reclamação junto à Ouvidoria, Procon ou Consumidor.gov, se necessário.

5) Prevenção: como evitar problemas

Para reduzir riscos, recomenda-se:

• utilizar cartões virtuais para compras digitais;
• habilitar alertas automáticos de gasto por e-mail ou SMS;
• restringir o uso a MCCs específicos (categorias de comércio);
• estabelecer limites diferenciados por cargo;
• realizar auditorias trimestrais de uso;
• revisar contratos com o banco para incluir cláusulas de contestação e estorno ágil.

Com esses cuidados, o cartão corporativo deixa de ser um ponto vulnerável e se torna um aliado da gestão financeira eficiente. O equilíbrio entre tecnologia bancária segura e governança empresarial robusta garante proteção para ambas as partes — banco e empresa —, mantendo a integridade do fluxo financeiro e evitando prejuízos por falhas ou má utilização.

FAQ — Cartão de crédito corporativo: responsabilidades e direitos

Base técnica e fundamentos legais

O uso de cartões de crédito corporativos por empresas privadas e órgãos públicos deve observar princípios contratuais, regulatórios e de responsabilidade civil. A relação entre empresa e banco emissor está sujeita às normas do Direito Civil, às regras do Banco Central e, em alguns casos, ao Código de Defesa do Consumidor (CDC), quando configurada a vulnerabilidade técnica ou econômica da empresa.

1. Código de Defesa do Consumidor (Lei nº 8.078/1990)

• Art. 6º, VI — Garante ao consumidor a reparação de danos patrimoniais e morais decorrentes de defeitos na prestação de serviços.
• Art. 14 — Impõe responsabilidade objetiva aos bancos e emissores por falhas de segurança, cobrança indevida e transações não autorizadas.
• Art. 20 — Exige qualidade e adequação do serviço prestado, incluindo atendimento eficiente a reclamações.
• Art. 39, V — Veda práticas abusivas e cláusulas que coloquem o cliente em desvantagem excessiva.

Embora o CDC não se aplique automaticamente a relações empresariais, tribunais têm reconhecido sua aplicação em contratos de cartão corporativo quando há assimetria de informação ou falha do serviço financeiro.

2. Código Civil (Lei nº 10.406/2002)

• Art. 421 — Os contratos devem observar sua função social e garantir equilíbrio entre as partes.
• Art. 422 — Impõe o dever de boa-fé objetiva e lealdade nas relações contratuais.
• Art. 927 — Determina que quem causar dano a outrem é obrigado a repará-lo, aplicável a falhas de serviço.

A boa-fé e a transparência são essenciais nos contratos de administração de cartões corporativos, sobretudo em casos de contestação de faturas e reembolso indevido.

3. Normas do Banco Central e do Conselho Monetário Nacional

• Resolução CMN nº 4.539/2016 — Estabelece a necessidade de transparência e clareza nas informações de produtos financeiros.
• Resolução CMN nº 4.949/2021 — Obriga as instituições a manter políticas de segurança e mitigação de risco operacional em meios de pagamento.
• Circular Bacen nº 3.681/2013 — Determina que bancos adotem processos claros de contestação e tratamento de reclamações de clientes corporativos.
• Resolução CMN nº 4.708/2018 — Dispõe sobre gestão de riscos e compliance em instituições financeiras.

Essas normas são a base da responsabilidade técnica do banco emissor em garantir segurança antifraude, reversão de transações contestadas e transparência nas tarifas.

4. Jurisprudência consolidada do STJ

• Súmula 297 — “O Código de Defesa do Consumidor é aplicável às instituições financeiras.”
• Súmula 479 — “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros.”
• REsp 1.251.331/RS — O banco responde por falha na prestação de serviço ao permitir transação fraudulenta sem autenticação adequada.
• AgInt no AREsp 1.873.145/SP — Reafirma a aplicação da responsabilidade objetiva em fraudes no sistema bancário, ainda em relações empresariais.

5. Compliance e responsabilidade corporativa

A empresa tem o dever de manter política de controle interno sobre os cartões corporativos, conforme princípios de compliance e governança financeira. Essa obrigação decorre da Lei nº 12.846/2013 (Lei Anticorrupção) e das normas contábeis internacionais (IFRS e CPCs), que exigem rastreabilidade e conciliação das despesas empresariais.

Encerramento técnico

O equilíbrio entre deveres contratuais e obrigações de segurança é o núcleo jurídico das relações envolvendo cartões corporativos. O banco emissor deve garantir infraestrutura antifraude e canais de contestação eficazes; já a empresa precisa implementar políticas internas, limites e fiscalização de gastos.

Quando uma transação irregular ocorre sem culpa comprovada da empresa ou do colaborador, o banco é responsável pelo estorno imediato, conforme o entendimento consolidado pelo STJ e pelas normas do Bacen. Por outro lado, falhas internas de gestão ou desvio de finalidade podem gerar responsabilidade civil e disciplinar da empresa.

Assim, a prevenção e a transparência formam o binômio essencial: o banco deve oferecer segurança tecnológica e o cliente corporativo deve garantir governança financeira. Essa integração é o que assegura a solidez da relação contratual e o cumprimento das boas práticas previstas nas normas nacionais e internacionais de gestão de riscos.