Sistema de controladoria financeira

São quatro camadas com contrato explícito entre elas: ingestão, razão canônico, motor de cálculo e camada de conversa. O modelo de linguagem só aparece na quarta. As três primeiras são código determinístico, com teste unitário e resultado reproduzível. O razão é bitemporal: cada lançamento guarda a competência e a data em que o sistema tomou conhecimento dele. Isso permite perguntar "o que sabíamos em 05/08" e reproduzir o alerta daquele dia mesmo depois de o ERP corrigir retroativamente. Ao lado do realizado, que é append-only, o razão guarda um segundo fluxo: títulos em aberto de contas a pagar e a receber, gravados como snapshot datado, porque vencimento e valor mudam até a liquidação. Desse snapshot sai a projeção de caixa de 13 semanas, títulos com vencimento futuro mais recorrência inferida, de contrato quando existe e de repetição do histórico quando não existe (mesmo fornecedor, mesma conta, intervalo regular). Cada semana da projeção carrega o watermark do conector que a alimentou; conector atrasado marca a semana como cobertura incompleta em vez de exibir caixa otimista. A tabela é particionada por competência e protegida por RLS, por tenant e por centro de custo.

O motor de cálculo tem duas réguas em paralelo e nenhuma delas passa por modelo. A primeira é o desvio contra a própria história. Cada par conta × centro de custo vira uma série mensal com janela de 18 competências, e a mediana carrega ajuste sazonal para pontos conhecidos: 13º, férias, tributos anuais, contratos com reajuste em data fixa. Como o mês corre, a comparação nunca é acumulado parcial contra mês inteiro médio: o realizado até o dia D é medido contra a mediana do acumulado até o mesmo dia-do-mês nas competências anteriores. A dispersão vem de MAD, mas MAD zero é caso comum em série contábil esparsa, o motor aplica piso de dispersão em reais e cai para IQR quando o MAD zera, e a série diária crua fica reservada a contas de alta frequência, nunca a par conta × centro com meia dúzia de lançamentos no mês. A segunda régua é orçamentária: realizado da competência contra o budget, mais projeção de fechamento pelo ritmo acumulado do mês. Conta que está na média histórica mas estourou o orçado nasce alerta pela segunda régua. Um desvio só vira alerta se passar por materialidade dupla, percentual e valor absoluto, e recebe uma assinatura, origem da régua, conta, centro, período, direção e faixa de magnitude. A assinatura é a chave de deduplicação e de supressão. Alerta reincidente não é alerta novo; volta a falar quando muda de faixa.

A camada de conversa nunca vê a base. Cada desvio detectado é serializado num dossiê fechado em JSON, e os derivados entram já calculados pelo motor: delta absoluto, delta percentual, concentração dos três maiores fornecedores, janela usada, baseline no mesmo dia-do-mês, realizado, orçado e cobertura do dado. Cada slot vem em duas formas, canônica e de exibição, com o arredondamento permitido declarado junto. O modelo escreve o alerta a partir desses slots e só deles. Antes de publicar, um validador normaliza todo numeral do texto (R$ 412.800, 412.800,00 e 412,8 mil viram o mesmo número) e exige que cada um case com um slot ou com um arredondamento declarado daquele slot. Aritmética feita pelo modelo reprova a geração, mesmo quando a conta fecha. A oferta de aprofundamento, "quer que eu detalhe os responsáveis e fornecedores?", não é improviso: cada tipo de desvio traz um catálogo de drills disponíveis, e o modelo escolhe entre ações registradas. A query roda com a identidade do usuário, sob a mesma RLS do relatório.

A ordem foi de baixo para cima. Primeiro o razão canônico e dois conectores, um ERP e um extrato OFX. Depois o motor rodando sobre uma base sintética de 24 meses, gerada a partir de um plano de contas real anonimizado, com sazonalidade e sujeira plantadas de propósito, cadastro duplicado, centro de custo vazio, lançamento retroativo. Nenhum LLM envolvido nessa fase. O gabarito foi uma lista de apontamentos que eu mesmo montei à mão sobre a mesma base, competência por competência, antes de olhar a saída do motor. Só quando a régua parou de discordar da lista é que a voz entrou. Construir na ordem inversa teria produzido um chat convincente em cima de uma estatística errada, que é o modo mais caro de errar aqui.

O trabalho difícil foi o falso positivo. O primeiro corte usava média e desvio padrão sobre seis meses e disparava dezenas de alertas por dia: uma nota atrasada de dezembro contaminava a média e todo mês seguinte virava anomalia. Trocar por mediana e MAD resolveu metade e abriu outro buraco, em série esparsa o MAD zera, o z-score explode e qualquer lançamento vira anomalia infinita. O que ficou de pé foram quatro correções: janela de 18 competências para a mediana, piso de dispersão em reais com fallback para IQR quando o MAD zera, detecção sobre o acumulado da competência no mesmo dia-do-mês em vez de lançamento isolado, e memória de explicação. Desvio que o gestor já justificou fica silenciado enquanto permanecer na mesma faixa; mudou de faixa ou de direção, volta a falar.

O segundo problema foi o número fantasma. Mesmo recebendo o dossiê pronto, o modelo arredondava, somava dois campos e escrevia um total que não existia em lugar nenhum. A saída não foi prompt melhor, foi mudar o contrato: o dossiê passou a carregar os derivados já calculados, cada slot com forma canônica, forma de exibição e arredondamento permitido, e o validador confere numeral por numeral contra esse conjunto. Reprovou, regenera; reprovou de novo, publica em formato tabular sem narrativa. O terceiro foi custo. Gerar narrativa para cada desvio, todo dia, por tenant, sai caro, e quem corta custo aí é a supressão, não o cache: desvio reincidente na mesma faixa simplesmente não regenera texto. O cache pega o resto, com chave por assinatura mais faixa de magnitude, porque o dossiê de mês em curso muda todo dia e chave por versão de dossiê nunca acertaria. Roteamento da pergunta e escolha de template rodam em modelo pequeno; só a redação final usa o modelo grande.