Подскажите

Поставить голосовую авторизацию на конкретные действия, оставив на остальные смс, это нормальная практика или нет? Например, звонок будет при входе в систему, при изменении данных в аккаунте, а вот списание бонусов через смс. Или если менять, то все.

Ну вообще-то уже если собрались что-то менять, то заменить смс голосовым паролем https://mobilgroup.ru/uslugi-authorization.html стоит на все сразу. Хотя бы для того, чтобы клиенты не путались. Никто не будет разбираться, почему один код пришел в сообщении, а другой назвал робот. Это будет казаться просто подозрительным, велик шанс растерять часть клиентов. Так что я вам категорически не советую такие эксперименты.