A Apple e o Goldman Perderam Milhares de Contestações em um Estado Que Ninguém Sabia Existir. Custou US$ 89 Milhões.

Em junho de 2020, a Apple adicionou um formulário ao fluxo de contestação do Apple Card. Uma coisa pequena. Antes da mudança, você tocava em "Relatar um Problema", caía em uma conversa do Mensagens com o Goldman Sachs, e sua contestação seguia adiante. Depois da mudança, você tinha que preencher um segundo formulário assim que o primeiro envio era feito.

Eis o que essa coisa pequena fez. Se você relatasse seu problema no Mensagens, mas nunca concluísse o segundo formulário, o sistema decidia que sua contestação estava incompleta. Ela nunca era enviada ao Goldman. Ninguém a investigava. Nenhuma carta de confirmação era enviada. E sob a Regulation Z, Seção 1026.13, muitas dessas primeiras mensagens eram Avisos de Erro de Cobrança válidos — do tipo que um credor é legalmente obrigado a confirmar dentro de 30 dias e resolver dentro de dois ciclos de faturamento.

Milhares delas simplesmente ficaram ali paradas. Enviadas, mas roteadas para lugar nenhum. Em outubro de 2024, o Consumer Financial Protection Bureau ordenou que a Apple e o Goldman Sachs pagassem US$ 89 milhões por isso, e proibiu o Goldman de lançar um novo cartão de crédito sem um plano de conformidade crível. Passei boa parte da minha carreira dentro de operações de contestação em um emissor de cartões, e quando li aquela ordem eu não vi negligência. Vi uma máquina de estados com um buraco nela, e um buraco que todo banco que conheço tem em algum lugar do seu próprio fluxo de trabalho neste exato momento.

Essa é a coisa da qual quero convencê-lo neste ensaio: seu sistema de contestação tem estados mortos que você ainda não encontrou, e a razão de você não os ter encontrado é que você vem testando em busca deles em vez de provar que eles não podem existir. A correção é uma técnica que a maioria dos bancários nunca teve oferecida — a verificação formal — e é por isso que construímos a prática de verificação de conformidade financeira da Veriprajna em torno dela.

O Bug de US$ 89 Milhões Era um Estado, Não um Erro

Deixe-me ser preciso sobre o que deu errado, porque a precisão é o ponto central.

O fluxo de trabalho Apple-Goldman tinha um estado alcançável que você poderia descrever em uma linha: a contestação estava em FormA_Submitted AND FormB_Pending. A partir desse estado, não havia transição para Investigation_Initiated. Nenhuma. Um consumidor que parava depois da primeira mensagem vivia ali permanentemente — com direito a uma confirmação por lei, com direito a nada pela própria lógica do sistema.

As contestações não estavam perdidas. Estavam exatamente onde o sistema as colocou. O sistema simplesmente nunca foi informado de que "aqui" era um lugar onde uma contestação podia morrer.

Quando minha equipe percorreu isso pela primeira vez em um quadro branco, um engenheiro disse o óbvio — que era só um bug, do tipo que teríamos pego em testes. Perguntei a ele como. O fluxo Apple-Goldman era um ponto de integração entre dois sistemas. A maioria dos grandes emissores com quem trabalhei tem de 10 a 15 sistemas tocando uma única contestação — o portal Visa VROL, o GCMS da Mastercard, a plataforma de gestão de casos, o razão bancário central, o sistema de geração de cartas, o feed do birô de crédito, o motor de crédito provisório e um punhado de filas internas de roteamento. Cada mudança de API, cada integração de parceiro, cada novo recurso de produto abre novos caminhos por esse labirinto.

Os testes verificam os caminhos que você pensou em escrever. É, por definição, uma lista das falhas que você já imaginou. O estado morto da Apple-Goldman era uma falha que ninguém imaginou, e é precisamente por isso que nenhum teste o cobria. Você não pode testar até sair de um problema que não consegue imaginar. Isso não é uma falha de processo. É um teto matemático.

Por Que Não Podíamos Simplesmente Escrever Mais Testes?

Perdi uma tarde inteira com esse argumento, então deixe-me poupar você da tarde.

O contra-argumento do engenheiro era razoável: escrever mais casos de teste. Cobrir mais caminhos. Aumentar a cobertura. Então desenhei tudo. Um fluxo de trabalho de contestação não é uma linha, é um grafo — ramificações para o tipo de contestação, para a rede, para se o crédito provisório foi emitido, para qual regime de prazo se aplica, para se um sistema parceiro confirmou a transferência. Cada ramificação multiplica a anterior. Um fluxo de trabalho com algumas dezenas de pontos de decisão tem mais estados alcançáveis do que você jamais escreverá testes, e os perigosos são as combinações que ninguém se senta para enumerar porque parecem absurdas até acontecerem.

Ele continuou por um tempo. Então desenhei a explosão combinatória — o número de estados dobrando, e depois dobrando de novo — e ele parou. Você não vence um espaço de estados no teste. Você fica sem moedas antes de ficar sem estados.

Esse é o momento em que comecei a ler sobre métodos formais a sério, e a técnica que importa aqui tem uma descrição simples. Um verificador de modelos toma um modelo do seu fluxo de trabalho e uma invariante — uma propriedade que deve sempre valer — e então explora cada estado alcançável, exaustivamente, procurando um em que a propriedade se quebre. Escreva a invariante como "toda contestação enviada chega à confirmação dentro de 30 dias", aponte o verificador para o fluxo Apple-Goldman, e ele retorna o estado morto em segundos, junto com o caminho passo a passo exato que leva você até lá. Ferramentas como o TLA+ fazem isso para sistemas distribuídos; a mesma lógica se aplica de forma limpa a um fluxo de trabalho regulado com prazos rígidos.

Os testes amostram os caminhos que você imaginou. Um verificador de modelos visita os que você não imaginou.

A Colisão de Prazos Que Ninguém Assume

A parte que tira o sono dos gestores de contestação é pior do que um único estado morto.

Uma única contestação de cartão de rede dupla pode disparar três ou quatro relógios regulatórios e de rede ao mesmo tempo. A Reg Z exige uma confirmação por escrito em 30 dias e resolução dentro de dois ciclos de faturamento, com limite de 90. A Reg E, que rege erros de débito e de transferência eletrônica, funciona em um cronograma completamente diferente — crédito provisório e resolução dentro de 10 dias úteis, com uma extensão de 45 dias corridos. A Visa Claims Resolution conduz casos de Alocação em até 70 dias e casos de Colaboração em até 100. O framework de contestação da Mastercard funciona de 45 a 120 dependendo do ciclo, e o setor descreveu sua implantação como ainda mais difícil de absorver do que a da Visa.

Quando esses regimes colidem em uma única contestação, a conformidade se resume a quem quer que na mesa de contestação se lembre de qual prazo rege naquela manhã. Já vi um analista sênior aplicar o prazo da Reg E a um erro de cobrança da Reg Z porque os dois se confundem sob o volume — e essa exata confusão é uma das violações que os examinadores do CFPB procuram. O Citizens Bank foi autuado, em parte, por negar avisos de erro de cobrança por causa de um affidavit faltante. Os prazos não são flexíveis. São binários. Ou você confirmou em 30 dias ou não confirmou.

E esta é a razão silenciosa pela qual a verificação formal se encaixa na conformidade financeira melhor do que quase qualquer outro domínio em que consigo pensar: as regras já são matemática. Trinta dias não é uma questão de julgamento. "Crédito provisório dentro de 10 dias úteis" não é uma impressão vaga. Essas são restrições temporais sobre uma máquina de estados, e a lógica temporal foi criada para provar exatamente esse tipo de propriedade — que, ao longo de todo caminho possível que uma contestação pode tomar, nenhum relógio é jamais estourado.

Construí a Coisa Errada Primeiro

Quero contar a você sobre a versão que lançamos e que não funcionou, porque é a versão que a maior parte do mercado ainda está vendendo.

Nosso primeiro instinto foi o monitoramento. Construir um sistema que rastreia cada contestação, observa os prazos e acende em vermelho quando uma está prestes a ser violada. Painéis. Alertas. Uma fila de crédito provisório fazendo contagem regressiva — 9 dias, 23 horas, vai. Ficou lindo na demonstração. Eu estava orgulhoso dele.

Então mostrei a uma líder de conformidade em um banco piloto, e ela deu de ombros com educação. Levei alguns dias para entender o dar de ombros. Um monitor lhe diz que uma contestação está morrendo enquanto ela morre. É um alarme de fumaça. Ele pressupõe que a contestação chegou ao sistema para ser rastreada em primeiro lugar — que é a única suposição que a Apple-Goldman despedaçou, porque aquelas contestações nunca eram rastreadas; elas estavam em um estado que o rastreador não sabia que devia observar. Monitoramento é confissão após o fato. É o banco descobrindo sua própria falha um pouco antes do que o examinador teria descoberto. Isso vale alguma coisa, mas não é o que ela precisava colocar diante do seu conselho.

O monitoramento lhe compra a falha alguns dias antes do examinador. Ele nunca lhe compra a falha que não pode acontecer.

Aquele dar de ombros nos custou uma reconstrução, e foi a melhor coisa que aconteceu ao produto. O mercado está lotado com a coisa que construí primeiro. A FINBOA rastreia prazos da Reg E e automatiza o crédito provisório; ela é boa nisso. A Quavo automatiza o processamento de contestações e apresenta números reais — uma cooperativa de crédito atingiu uma taxa de automação de 87% em um mês. A FIS processa estornos pelos portais das redes. Cada uma delas automatiza ou observa as contestações que entram no sistema. Nenhuma delas prova que uma contestação não pode ser perdida antes de entrar.

Quem Mais Está de Fato Provando Alguma Coisa?

Depois da reconstrução, fui procurar quem mais estava provando coisas, e não apenas observando-as, e a resposta é quase ninguém.

O único nome sério é Imandra. Eles fazem verificação formal de verdade em serviços financeiros — provas matemáticas de correção — e seus clientes incluem o próprio Goldman Sachs. Mas o mundo deles é o dos mercados de capitais: lógica de casamento de ordens em bolsa, protocolos de negociação. Conformidade ao consumidor, Reg Z, fluxos de contestação — não é para isso que eles estão apontados, e com cerca de US$ 5 milhões em financiamento total, eles não apontaram para lá.

Enquanto isso, o capital está jorrando para o outro canto da conformidade. A Bretton AI, antiga Greenlite, levantou uma Série B de US$ 75 milhões em fevereiro de 2026 e atende bancos regulados pelo OCC — para KYC, prevenção à lavagem de dinheiro e onboarding. A plataforma Sensa da SymphonyAI reduziu os falsos positivos na triagem de sanções de um banco espanhol em 91,8%. A Alloy orquestra a identidade em mais de 800 instituições. Dinheiro de verdade, engenharia de verdade — tudo voltado para crime financeiro e onboarding, nada disso para saber se a sua resolução de contestações pode violar uma regulamentação.

Essa é a lacuna, e ela não é estreita. Os participantes mais próximos do trabalho de contestação (FINBOA, Quavo) o automatizam sem verificá-lo. O único verificador (Imandra) atua em um mercado diferente. Combine esses dois e você obtém um canto do campo em que, até onde consigo perceber, ninguém está — verificação formal apontada para a conformidade de contestações ao consumidor. É esse o canto em que entramos.

A Frase Que Reconstruiu Nosso Pitch

A coisa que finalmente fez o valor cair a ficha para mim não veio de um engenheiro. Veio de uma ex-examinadora com quem me sentei para conversar.

Perguntei a ela o que ela de fato queria na sala durante uma revisão de erro de cobrança. Ela não disse "bons painéis". Ela disse, mais ou menos, que queria saber que o banco conseguia mostrar que seu processo não podia falhar no prazo — não que ele geralmente não falhava. Toda a postura vira nessa única palavra. O slide de atestação para o conselho que diz "nós testamos e passou" é uma admissão de que você só verificou os caminhos em que pensou. Uma prova diz algo categoricamente mais forte: em todo caminho que o fluxo de trabalho permite, a invariante vale.

E os reguladores estão, silenciosamente, caminhando para isso por conta própria. O OCC Bulletin 2025-26 esclareceu que qualquer método quantitativo que impulsione materialmente uma decisão de risco ou conformidade é um "modelo" — e o boletim é explícito ao afirmar que a sofisticação da IA ou do aprendizado de máquina não a isenta de validação. Leia isso com atenção: um roteador automatizado de contestações agora é examinável como um modelo, e não apenas como uma ferramenta operacional. E a verificação formal é a validação de modelo mais forte que existe. Ela não amostra o comportamento. Ela prova a propriedade.

Do outro lado do Atlântico, o EU AI Act classifica a IA de crédito e capacidade de crédito como de alto risco, com um prazo rígido de conformidade em 2 de agosto de 2026, e um alcance extraterritorial que abarca provedores dos EUA que atendem ao mercado da UE. A classificação de alto risco significa que você deve demonstrar propriedades de sistema comprováveis — precisão, robustez, supervisão. Ou seja, novamente, exatamente o que uma prova entrega e um teste não pode.

Isso Não é Exagero para uma Fila de Contestação?

As pessoas me fazem alguma versão dessa pergunta o tempo todo, então deixe-me encarar de frente as três objeções honestas.

A primeira é o custo. A verificação soa como um projeto de ciência, e a alternativa da consultoria — uma firma Big 4 redesenhando seu processo — custa de US$ 500 mil a vários milhões e lhe entrega um processo redesenhado que ninguém verificou matematicamente. Coloque isso contra a desvantagem. A Apple-Goldman foi de US$ 89 milhões. O termo de ajustamento de conduta do Wells Fargo, abrangendo múltiplas falhas incluindo o tratamento de contestações, chegou a US$ 3,7 bilhões. Você não está comprando a verificação contra o custo de uma licença de SaaS; você a está comprando contra a cauda.

A segunda é "nosso volume está bom". Projeta-se que os estornos globais atinjam 337 milhões por ano até 2026 e subam 24% até 2028, com tipos inteiramente novos de contestação chegando — incluindo contestações de agentes de IA autônomos comprando coisas que os clientes nunca aprovaram. A mesa manual que "dá conta" hoje é a mesma mesa em que 42% das instituições ainda operam a conformidade em processos manuais, segundo o relatório do 1º trimestre de 2026 da Wolters Kluwer. Volume crescente somado à memória manual é como um estado morto passa despercebido por quatro anos.

A terceira é "passamos no nosso último exame". A Apple e o Goldman também passaram, presumivelmente, até o momento em que não passaram mais. Passar em um exame significa que um examinador amostrou seus caminhos e não acertou o quebrado. É o mesmo problema de amostragem dos testes, usando um crachá diferente.

No Que Acredito Agora

Entrei nas operações de contestação achando que conformidade era uma disciplina de diligência — pessoas cuidadosas, boas listas de verificação, prazos cumpridos. Saí dela convencido de que a diligência é a ferramenta errada para um problema com esse formato. Você não consegue ser diligente o suficiente para cobrir um espaço de estados que dobra toda vez que alguém lança um recurso. As pessoas cuidadosas da Apple e do Goldman não perderam aquelas contestações por descuido. Elas as perderam por causa de um estado que ninguém desenhou.

Então a pergunta que eu faria a qualquer um que dirija uma mesa de contestação não é "suas pessoas são cuidadosas". Ela é mais estreita e mais fria do que isso: você consegue desenhar o estado em que sua próxima contestação abandonada vai morrer? Se você não consegue desenhá-lo, você não consegue testá-lo, e se você não consegue testá-lo, a única coisa honesta que resta é provar que ele não pode existir. É esse o trabalho — provar que seus fluxos de trabalho de contestação não podem violar a Reg Z, a Reg E e os prazos das redes, em todo caminho, antes que um examinador encontre o que você deixou passar. Se essa é a garantia de que você realmente precisa, é isso que construímos.

A Apple tinha milhares de engenheiros e um estado morto mesmo assim. Os engenheiros nunca foram a variável que faltava. Uma prova era.