A forma mais rápida de lançar uma carteira é um único número numa linha: uma coluna balance que se aumenta quando o dinheiro entra e se diminui quando sai. Funciona na demonstração. Funciona no piloto. E depois, algures por volta das primeiras dez mil transações reais, alguém corre um relatório, os números não batem, e ninguém consegue dizer para onde foi o dinheiro. Quando há valor real envolvido, isso não é um bug: é o fim da confiança, e a confiança é a única coisa que um produto financeiro realmente vende.
A disciplina que evita isto tem seiscentos anos. A contabilidade de partidas dobradas não é um requinte contabilístico acrescentado ao software; é o modelo de dados que torna um sistema monetário demonstrável. É por isso que todos os razões de nível de compensação assentam nela, e é por isso que o da sua carteira também tem de assentar.
A invariante de que tudo o resto depende
Num razão de partidas dobradas, o dinheiro nunca é criado nem destruído: apenas se move. Cada transação lança um conjunto de movimentos cujos débitos e créditos somam exatamente zero. Um depósito debita a conta de float de um agente e credita a carteira de um cliente no mesmo valor. Um envio debita o remetente, credita o destinatário e credita uma conta de receitas pela comissão. Em todo o sistema, a cada instante:
A soma de todos os débitos é sempre igual à soma de todos os créditos. As contas fecham em zero. Sempre.
Essa única propriedade faz um trabalho enorme. Significa que não existe nenhum caminho de código capaz de criar ou destruir valor: um saldo só pode mudar como espelho da mudança de outro saldo. Significa que um diretor financeiro pode assinar as contas e um regulador pode confiar nelas, porque o sistema está correto por construção, e não por esperança. E significa que a reconciliação deixa de ser uma investigação forense e passa a ser uma propriedade que se pode afirmar e testar.
Compare com a abordagem do saldo único. Aí, um saldo é um facto sem proveniência. Se estiver errado, não há como saber se um crédito foi aplicado duas vezes, se um débito se perdeu ou se uma condição de corrida intercalou duas escritas. Tem um número, mas nenhuma história. Um razão de partidas dobradas é, acima de tudo, um sistema que guarda a história.
Contas, movimentos, e porque se modela o dinheiro como movimento
A mudança de mentalidade é deixar de pensar num saldo como algo que se guarda e passar a pensar nele como algo que se deriva. Um saldo é a soma dos movimentos lançados numa conta. As carteiras são contas. Os floats dos agentes são contas. Receitas de comissões, contas transitórias, de liquidação, fundos não reclamados: tudo são contas. Cada movimento de valor é uma transação com dois ou mais movimentos que somam zero.
Isto tem uma consequência profunda: o razão é só de acréscimo. Nunca se atualiza um saldo no lugar; lançam-se novos movimentos. O histórico nunca é reescrito. É isso que torna o sistema auditável: cada unidade de moeda que alguma vez se moveu deixou um rasto permanente e ordenado, e qualquer saldo em qualquer momento passado pode ser reconstruído reproduzindo os movimentos até esse ponto.
As partes que se esquecem, e que se pagam mais tarde
A invariante é necessária, mas não suficiente. Três propriedades transformam um razão correto no papel num razão que sobrevive ao contacto com redes reais e adversários reais.
Idempotência
As redes falham. Um cliente envia um pedido, a resposta perde-se pelo caminho, e o cliente, corretamente, tenta de novo. Sem proteção, o segundo pedido lança uma segunda transação e o cliente é cobrado duas vezes. A solução é uma chave de idempotência: cada operação lógica leva um token único, o razão regista os tokens que já aplicou, e um pedido repetido com um token conhecido devolve o resultado original em vez de lançar de novo.
Parece simples e é subtil. A verificação e a escrita têm de ser atómicas: se duas tentativas chegarem em simultâneo, exatamente uma tem de vencer e a outra tem de observar o resultado, sem nenhuma janela em que ambas avancem. Se errar aqui, construiu um gasto duplo sob carga, precisamente a falha que não aparece nos testes e aparece no dia do lançamento.
Estornos, não eliminações
As coisas correm mal: uma disputa, um erro, uma reclamação de fraude. O instinto é apagar a transação problemática. Nunca apague. Uma transação apagada é um buraco no rasto de auditoria, e um regulador lê um buraco como encobrimento. Em vez disso, lance um estorno: uma nova transação cujos movimentos são o espelho da original, deixando a original intacta. O efeito líquido nos saldos é zero; o histórico mostra o erro e a sua correção, com um motivo e um operador associados. Um único motor de estornos capaz de desfazer qualquer serviço (P2P, pagamento de contas, compra de bens, numerário no agente, float, poupança) é a diferença entre um sistema auditável e uma discussão.
Verificações prévias
O saldo, os limites e o estado KYC são verificados antes de a transação ser lançada, dentro da mesma operação atómica que a lança: nunca depois, e nunca na aplicação, onde podem ser contornados. O limite que um cliente não pode ultrapassar não é um botão desativado; é uma restrição aplicada no ponto em que o dinheiro se moveria. A aplicação é uma conveniência; o razão é a autoridade. Qualquer regra que importe tem de viver onde vive o dinheiro.
Concorrência: onde os desenhos corretos vão morrer
Dois pedidos atingem a mesma carteira no mesmo instante: um envio e um levantamento, cada um válido isoladamente, mas que juntos excedem o saldo. Uma implementação ingénua lê o saldo em ambos, considera-o suficiente em ambos e lança ambos, deixando a conta a descoberto. É a condição de corrida financeira clássica, e é invisível até estar sob concorrência real.
A defesa é tornar a conta a unidade de serialização: lançar numa conta adquire um bloqueio ou usa uma escrita condicional atómica, de modo que os dois pedidos ficam ordenados, o segundo vê o efeito do primeiro, e apenas um tem sucesso. A parte difícil é fazê-lo sem serializar o razão inteiro: bloquear por conta, e não globalmente, para que o sistema se mantenha rápido sem deixar de estar correto. É o tipo de problema que separa os engenheiros que já construíram razões dos engenheiros que estão prestes a aprender porque é que são difíceis.
A reconciliação torna-se uma propriedade, não um simulacro de incêndio
Num sistema de saldo único, a reconciliação é uma investigação noturna: exportar tudo, comparar com os canais de pagamento, procurar a diferença, esperar encontrá-la antes da manhã. Num sistema de partidas dobradas, a reconciliação é sobretudo uma tautologia que se pode afirmar: as contas internas somam zero por construção, e o trabalho restante é casar a liquidação externa (o que o banco, o operador de dinheiro móvel e o processador de cartões efetivamente movimentaram) com as contas transitórias e de liquidação que o razão já acompanha. As discrepâncias surgem como movimentos específicos por casar, com uma pergunta clara associada, e não como um número em falta sem história.
Um exemplo prático: um envio, lançado
Considere um cliente que envia 1.000 a um amigo, com uma comissão de 25. Num razão de partidas dobradas, esse único envio é uma transação com três movimentos. Os valores são ilustrativos.
| Conta | Débito | Crédito |
|---|---|---|
| Carteira do remetente | 1.025 | |
| Carteira do destinatário | 1.000 | |
| Receitas de comissões | 25 | |
| Total | 1.025 | 1.025 |
Os débitos igualam os créditos, por isso a transação soma zero. Qualquer pergunta que se possa fazer sobre ela tem resposta nos movimentos: quanto pagou o remetente, quanto recebeu o destinatário, quanto ganhou o operador, e quando. Se o envio for estornado mais tarde, uma transação espelho lança as mesmas três linhas no sentido inverso, e ambas ficam no histórico.
Numerário num agente, lançado
As transações de agente mostram porque é que o modelo escala. Quando um cliente deposita 2.000 em numerário num agente, o float eletrónico do agente passa para o cliente, e o agente ganha uma comissão. Com uma comissão ilustrativa de 20:
| Conta | Débito | Crédito |
|---|---|---|
| Float do agente | 2.000 | |
| Carteira do cliente | 2.000 | |
| Gasto com comissões | 20 | |
| Comissões a pagar ao agente | 20 | |
| Total | 2.020 | 2.020 |
O numerário em si nunca toca o razão, porque mudou de mãos fisicamente ao balcão. O que o razão regista é o valor eletrónico a passar do agente para o cliente, e a obrigação de pagar ao agente pelo serviço. Quando as comissões são pagas, outra transação equilibrada liquida o valor a pagar. Nada é estimado, nada é calculado mais tarde numa folha de cálculo.
Desenhar o plano de contas
As contas que cria decidem que perguntas o razão consegue responder. Uma plataforma de carteiras precisa normalmente de:
- Carteiras de clientes, agentes, comerciantes e empresas, uma conta cada;
- Contas de receitas de comissões separadas por produto, para ver quanto rende cada serviço;
- Gasto com comissões e comissões a pagar para agentes e parceiros;
- Contas de liquidação por parceiro externo: cada banco, switch, faturador e canal;
- Contas transitórias para dinheiro cujo destino final ainda não está confirmado, como uma transferência à espera da resposta de um parceiro;
- Um espelho de salvaguarda que acompanha o que deve estar na conta fiduciária, para que a comparação diária com o extrato bancário seja uma única verificação.
Um teste útil: se o departamento financeiro faz uma pergunta e a resposta exige uma folha de cálculo, provavelmente falta-lhe uma conta.
Testar um razão como deve ser
Os testes unitários comuns não chegam para um sistema que nunca pode errar. Os testes que importam verificam propriedades em vez de exemplos:
- Cada transação soma zero, gerada em milhares de tipos de transação e valores aleatórios.
- Reprodução igual a estado: reconstruir cada saldo a partir dos movimentos dá exatamente os saldos guardados.
- As repetições nunca duplicam: enviar o mesmo pedido muitas vezes, incluindo em simultâneo, lança uma só vez.
- As corridas nunca deixam a descoberto: disparar débitos concorrentes contra uma conta nunca a leva abaixo do seu limite.
- Os estornos repõem: estornar qualquer transação devolve cada saldo afetado ao seu valor anterior.
Estes testes pertencem à cadeia de lançamento, e devem também correr sobre os dados de produção em modo só de leitura, para que a invariante seja verificada continuamente nas contas reais, e não apenas em dados de teste.
Migrar a partir de um sistema de saldo único
Muitas equipas descobrem estes princípios depois do lançamento. A migração é possível sem parar o serviço:
- Congelar o esquema dos saldos existentes e tirar um instantâneo numa hora de corte.
- Criar no novo razão transações de saldo de abertura que lançam cada saldo do instantâneo contra uma conta de capital próprio ou de migração.
- Correr os dois sistemas em paralelo durante um período, lançando cada nova transação em ambos e comparando os saldos diariamente.
- Investigar cada diferença até a execução paralela estar limpa durante vários dias seguidos.
- Mudar as leituras para o novo razão e depois retirar a antiga coluna de saldo.
A execução paralela costuma revelar erros históricos no sistema antigo. Reserve tempo para os resolver com honestidade, em vez de forçar o novo razão a coincidir com um número errado.
A recompensa
Construa o razão desta forma e uma série de coisas difíceis tornam-se fáceis. Os extratos são uma consulta sobre os movimentos. As auditorias são uma reprodução. As disputas têm um rasto documental. Os novos canais (um envio por USSD, um envio pela aplicação, uma cobrança pela API) são apenas portas de entrada diferentes para o mesmo núcleo garantido, o que significa que não podem divergir uns dos outros. As regras vivem num só lugar, aplicadas uma vez, para todos.
Construa-o à pressa e herda o contrário: um número que não consegue explicar, uma reconciliação em que não pode confiar, e um dia de lançamento em que descobre que a coisa mais barata de construir era também a mais cara de manter.
Mais do que uma moeda
As carteiras que tratam remessas ou pagamentos regionais encontram uma segunda dimensão: a moeda. A regra mantém-se, mas aplica-se por moeda. Cada conta detém uma só moeda, e cada transação tem de somar zero em cada moeda que toca. Uma conversão é, portanto, composta por duas pernas equilibradas ligadas por uma conta de câmbio: a moeda local do cliente passa para a posição em moeda local do operador, e os dólares passam da posição em dólares do operador para o destinatário. As contas de câmbio mostram a exposição cambial do operador a qualquer momento, que é exatamente o que a tesouraria precisa para gerir o risco. Misturar moedas numa conta, ou converter em tempo real sem registar as duas pernas, é a forma como os razões multimoeda perdem dinheiro em silêncio.
Extratos, fecho de mês e auditoria
Como os saldos são derivados dos movimentos, um extrato é simplesmente o conjunto dos movimentos de uma conta num período, com um saldo inicial e um saldo final que têm de concordar com os movimentos entre eles. O fecho de mês passa a ser uma verificação e não um projeto: o balancete soma zero, a salvaguarda corresponde ao banco, as contas transitórias estão explicadas, e os totais de comissões cobradas e pagas batem com os relatórios de produto. Os auditores podem escolher qualquer saldo e rastreá-lo até às transações individuais, cada uma com data e hora, canal, referência e, quando houve intervenção humana, um operador. É essa rastreabilidade que torna uma primeira auditoria rotineira em vez de assustadora.
Contas transitórias bem geridas
A conta transitória é onde o dinheiro espera quando o seu destino final ainda não é conhecido: uma transferência para outra rede à espera de confirmação, um depósito cuja referência não corresponde a nenhum cliente, um pagamento de parceiro que chegou sem detalhes. É útil porque mantém as contas equilibradas enquanto uma questão está em aberto. Torna-se perigosa quando se transforma num lugar onde o dinheiro é esquecido. A boa prática é simples: cada item em transitória leva a sua referência e o motivo por que lá está, cada item tem um responsável e uma antiguidade, o saldo é revisto diariamente, e tudo o que tenha mais do que alguns dias é escalado. Um saldo transitório que só cresce é sinal de que algo a montante está avariado.
Perguntas frequentes
As partidas dobradas são mais lentas do que atualizar um saldo?
Lançar dois ou três movimentos em vez de uma atualização acrescenta pouco custo, e os saldos podem ser mantidos ao lado dos movimentos para leituras rápidas. O verdadeiro trabalho de desempenho está em bloquear por conta e não globalmente, que é o que um razão bem desenhado faz.
Continuamos a precisar de contabilistas se o razão for de partidas dobradas?
Sim. O razão garante a consistência interna; continuam a ser pessoas a decidir como os produtos são contabilizados, a investigar quebras externas e a reportar aos reguladores. O que muda é que passam o seu tempo a exercer juízo, e não a procurar números em falta.
Um movimento do razão pode alguma vez ser editado?
Não. As correções são novas transações, normalmente estornos, com um motivo e um operador registados. Um razão editável não pode ser auditado.
O PesaBridge aplica a invariante no núcleo. As aplicações, o USSD e a API para programadores não reimplementam o movimento de dinheiro: apresentam regras que o razão já garante, por isso cada canal está correto porque o centro está correto.