Boletim de Inteligência – 10ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
AI Act entra em nova fase de enforcement e torna transparência de IA uma obrigação operacional
Desde 2 de agosto de 2026, a Comissão Europeia, por meio do AI Office e em conjunto com autoridades nacionais, iniciou uma nova etapa de enforcement do AI Act. Na mesma data passaram a ser aplicáveis obrigações de transparência para determinados sistemas de inteligência artificial.
Entre as exigências estão informar usuários quando estiverem interagindo com sistemas de IA, identificar determinados conteúdos gerados ou manipulados artificialmente e utilizar marcações legíveis por máquina em situações previstas pela regulamentação. Deepfakes, sistemas de reconhecimento de emoções, determinadas ferramentas de categorização biométrica e conteúdos sobre assuntos de interesse público estão entre os casos abrangidos. As sanções relacionadas às obrigações de transparência podem chegar a € 15 milhões ou 3% do faturamento anual global de empresas, conforme o caso.
O desenvolvimento é material em relação à fase preparatória anteriormente acompanhada: a discussão deixa de estar concentrada na futura implementação do AI Act e avança para obrigações efetivamente aplicáveis e sujeitas à fiscalização.
Por que acompanhar: empresas que desenvolvem, contratam ou utilizam inteligência artificial precisam transformar inventários e políticas de IA em controles operacionais. Isso envolve saber quais sistemas estão em uso, quem responde por eles, quais conteúdos precisam ser identificados, como a informação será apresentada ao usuário, quais evidências de conformidade serão preservadas e como fornecedores de tecnologia serão supervisionados. Para grupos brasileiros com clientes, operações ou produtos expostos ao mercado europeu, a discussão já deve estar conectada às agendas de tecnologia, jurídico, compliance, privacidade, marketing e gestão de terceiros.
Fonte: Comissão Europeia
Investigações Corporativas, Fraudes e Integridade
Condenação por suborno mostra como executivos podem deliberadamente contornar estruturas de compliance
Um júri federal dos Estados Unidos condenou, em 6 de agosto, o ex-banqueiro de investimentos Asante Kwaku Berko por conspiração e violações relacionadas ao Foreign Corrupt Practices Act e lavagem de dinheiro. Segundo o Departamento de Justiça, mais de US$ 1 milhão em propinas foram pagos ou planejados para agentes públicos de Gana em conexão com o desenvolvimento e financiamento de uma usina de energia.
O caso apresenta elementos particularmente relevantes para investigações internas. De acordo com a acusação comprovada em julgamento, Berko teria mentido à equipe de compliance responsável pela análise da operação, utilizado e-mail pessoal para tratar do negócio e dos pagamentos e recorrido, juntamente com outros envolvidos, a empresas de fachada, notas fiscais simuladas, contas em nome de terceiros e saques em dinheiro. A instituição financeira acabou se retirando da operação diante das preocupações relacionadas à corrupção.
Por que acompanhar: políticas, aprovações e procedimentos de due diligence perdem eficácia quando pessoas com influência sobre a operação conseguem deslocar comunicações, pagamentos ou decisões para fora dos canais monitorados. Empresas deveriam revisar controles sobre comunicações externas, exceções, conflitos de interesse, intermediários, pagamentos atípicos e operações rejeitadas ou questionadas pelo compliance. Para investigações, o caso também reforça a importância de reconstruir o fluxo real da decisão, e não apenas verificar se o procedimento formal foi cumprido.
Fonte: Departamento de Justiça dos Estados Unidos
Auditoria de transferências públicas encontra problemas em 82% dos casos analisados
O Tribunal de Contas da União consolidou os resultados de auditorias sobre 100 transferências especiais, conhecidas como “Emendas Pix”, destinadas a 73 municípios e dois estados. Os repasses analisados somaram R$ 198 milhões e algum tipo de irregularidade foi identificado em 82% das transferências examinadas. O prejuízo potencial foi estimado em R$ 49 milhões.
Os achados envolveram falta de rastreabilidade dos recursos, movimentações em contas não específicas, ausência de comprovação adequada de pagamentos, despesas fora dos objetivos previstos, irregularidades em licitações, contratação de empresas inidôneas, superfaturamento e fragilidades nos próprios registros do Transferegov.
Por que acompanhar: diferentemente de uma investigação pontual sobre desvio de recursos, o relatório apresenta uma visão consolidada de falhas recorrentes de processo. Para empresas que contratam com o poder público, organizações que recebem recursos públicos e áreas responsáveis pela supervisão de parceiros, os achados reforçam a importância de segregação de contas, rastreabilidade financeira, documentação de entregas, due diligence de fornecedores e mecanismos que impeçam alterações posteriores sem justificativa e evidência.
Fonte: Tribunal de Contas da União
Regulatório, Compliance e Governança
FCA alerta que controles do grupo e procedimentos padronizados não substituem avaliação própria de riscos
A Financial Conduct Authority anunciou em 7 de agosto maior escrutínio sobre empresas enquadradas no chamado Annex 1, grupo que inclui determinadas instituições de crédito não reguladas, prestadores de custódia, money brokers e empresas de leasing financeiro sujeitas a registro para fins de prevenção à lavagem de dinheiro.
A autoridade afirmou ter identificado empresas excessivamente dependentes dos controles de crimes financeiros de suas controladoras e de procedimentos padronizados elaborados para outras organizações. A FCA enviou pedidos de informações a aproximadamente 900 empresas, após trabalho anterior com outras 300, alcançando assim todas as organizações registradas nessa categoria. Também orientou instituições reguladas que se relacionam com essas empresas a realizar due diligence e confirmar diretamente seu status de registro.
Por que acompanhar: o posicionamento reforça dois princípios relevantes para estruturas empresariais complexas. O primeiro é que controles corporativos precisam ser adaptados aos riscos, operações e governança de cada entidade jurídica. O segundo é que a existência de uma relação com um grupo conhecido não elimina a necessidade de diligência sobre a contraparte específica. Matrizes de risco, políticas globais e procedimentos compartilhados precisam demonstrar aderência à operação real.
Fonte: Financial Conduct Authority
Receita Federal amplia lista pública de empresas classificadas como devedoras contumazes
A Receita Federal publicou 17 novos Atos Declaratórios Executivos reconhecendo contribuintes como devedores contumazes segundo os critérios da Lei Complementar nº 225/2026. Com as novas inclusões, 22 pessoas jurídicas haviam sido formalmente qualificadas nessa condição na data da publicação.
A classificação busca alcançar situações de inadimplência tributária substancial, reiterada e injustificada, especialmente quando o não pagamento sistemático de tributos é utilizado como estratégia de negócio. A inclusão na lista ocorre após processo administrativo próprio, com possibilidade de regularização, defesa e recurso. As primeiras notificações concentraram-se nos setores de cigarros e combustíveis, mas a Receita informou que outros segmentos estão sob análise.
Por que acompanhar: a criação de uma lista pública adiciona uma nova fonte oficial de informação para processos de integridade tributária e avaliação de terceiros. Empresas podem discutir se a condição de devedor contumaz deve integrar rotinas de due diligence, homologação de fornecedores, concessão de crédito, avaliação de distribuidores e monitoramento de parceiros, sempre considerando contexto, materialidade, estágio do processo e critérios previamente definidos de decisão.
Fonte: Receita Federal
Privacidade, Segurança da Informação e Tecnologia
TCU aponta riscos de identidade digital, phishing e biometria em plataforma com 173 milhões de usuários
Auditoria do Tribunal de Contas da União avaliou a maturidade, a segurança e a efetividade da gestão de identidade da conta Gov.br, utilizada por mais de 173 milhões de usuários para acesso a aproximadamente 4,6 mil serviços públicos digitais.
O Tribunal identificou riscos associados a senhas fracas ou compartilhadas, phishing, obtenção indevida de códigos de verificação e limitações nos processos de validação facial. O trabalho também destacou que ataques mais sofisticados podem utilizar inteligência artificial para explorar vulnerabilidades na biometria e nos mecanismos de prova de vida. Entre as recomendações estão avaliar métodos de autenticação multifator mais resistentes à engenharia social e aprimorar segurança, acurácia e desempenho das soluções biométricas.
Por que acompanhar: identidade digital tornou-se um controle de negócio, e não apenas uma funcionalidade de tecnologia. Bancos, seguradoras, plataformas, varejistas, marketplaces e empresas que mantêm jornadas digitais deveriam testar conjuntamente autenticação, recuperação de contas, biometria, prevenção a fraude e experiência do usuário. Um controle pode ser tecnicamente robusto e, ainda assim, gerar vulnerabilidade quando incentiva atalhos, compartilhamento de credenciais ou processos inseguros de recuperação.
Fonte: Tribunal de Contas da União
Auditoria, Controles Internos e Gestão de Riscos
Falhas de configuração e governança de dados deixam milhares de transações fora do monitoramento de PLD
A Commodity Futures Trading Commission determinou que a UBS Financial Services pague US$ 8 milhões por falhas de supervisão relacionadas à configuração e ao funcionamento de sistemas de monitoramento de transações para prevenção à lavagem de dinheiro.
Segundo a ordem, entre janeiro de 2019 e junho de 2023, milhares de transferências em moeda estrangeira foram monitoradas de forma insuficiente ou ficaram fora do monitoramento devido a deficiências na configuração das ferramentas de vigilância e nas práticas de governança de dados. A instituição migrou para um sistema automatizado em 2021, mas problemas na configuração do fluxo de dados para a nova solução continuaram afetando a capacidade de identificar atividades suspeitas. FinCEN, SEC e FINRA também anunciaram medidas relacionadas no mesmo dia.
Por que acompanhar: adquirir ou automatizar uma ferramenta de compliance não garante que o controle esteja funcionando. Organizações precisam testar completude dos dados de entrada, regras de transformação, interfaces, reconciliações, parâmetros, exceções e cobertura do universo transacional. Auditoria interna e segunda linha deveriam conseguir responder não apenas se existe um sistema de monitoramento, mas se é possível provar que todas as transações que deveriam chegar até ele efetivamente chegam e são analisadas.
Fonte: Commodity Futures Trading Commission
Radar Estratégico
Enforcement está migrando da política para a evidência
O início da nova fase do AI Act e as ações relacionadas a PLD mostram que autoridades estão menos interessadas na simples existência de políticas e mais atentas à capacidade de demonstrar como obrigações são executadas, monitoradas e registradas.
Dados estão se tornando parte inseparável do desenho de controles
O caso UBS evidencia que um sistema de compliance pode falhar mesmo quando a tecnologia está disponível, se dados estiverem incompletos ou incorretamente configurados. O mesmo princípio aparece na gestão de identidade: segurança depende da qualidade das informações, integrações e fluxos que sustentam a decisão.
Controles corporativos precisam sobreviver à descentralização
A orientação da FCA questiona a dependência automática de controles da matriz, enquanto o caso de suborno mostra como indivíduos podem contornar estruturas formais. Grupos empresariais precisam saber até onde políticas compartilhadas realmente funcionam em subsidiárias, unidades, países e operações específicas.
Due diligence está incorporando novas fontes oficiais de risco
Registros regulatórios, listas tributárias, bases públicas e informações sobre licitações ampliam as possibilidades de monitoramento de terceiros. O desafio passa a ser transformar informação disponível em critérios objetivos de risco e decisão, evitando tanto a negligência quanto decisões automáticas desproporcionais.
Rastreabilidade tornou-se requisito transversal
Pagamentos, conteúdos de IA, fundos públicos, dados de autenticação e comunicações corporativas apresentam um elemento comum: a necessidade de reconstruir o que ocorreu, quem decidiu, qual informação estava disponível e por que determinada ação foi executada.
O que Conselhos e Comitês deveriam discutir
- Conseguimos identificar hoje todos os sistemas de inteligência artificial utilizados pela organização, seus responsáveis, fornecedores, finalidades e obrigações de transparência?
- Quais controles críticos dependem de integrações e fluxos de dados, e quando foi a última vez que testamos se esses dados chegam completos, íntegros e no momento correto?
- Nossos processos de due diligence utilizam de forma estruturada registros oficiais capazes de revelar mudanças relevantes na situação regulatória, tributária ou reputacional de terceiros?
- Se um executivo decidisse deliberadamente contornar nossos controles utilizando e-mail pessoal, intermediários, pagamentos alternativos ou documentação simulada, quais mecanismos detectariam o comportamento?
Kassy Consultoria Analisa
Os acontecimentos desta semana apresentam um padrão comum: a diferença entre possuir um controle e conseguir demonstrar que ele funciona. O AI Act avança para uma fase em que obrigações precisam aparecer no produto e na interação com usuários. A CFTC mostra que uma plataforma de monitoramento pode existir e ainda deixar milhares de transações fora de sua cobertura. A FCA questiona controles corporativos que não consideram a realidade de cada entidade. O caso de suborno evidencia o risco de pessoas deliberadamente deslocarem suas ações para fora dos processos supervisionados.
Os riscos também estão cada vez mais concentrados nas interfaces. Entre um sistema e outro está o fluxo de dados. Entre uma organização e seu fornecedor está a due diligence. Entre uma política e sua execução está uma pessoa com poder de decisão. Entre um recurso transferido e sua finalidade está a rastreabilidade. É justamente nessas conexões que controles aparentemente maduros podem perder efetividade.
Uma estrutura de GRC mais madura precisa, portanto, combinar desenho e validação. Isso significa conhecer controles críticos, definir responsáveis, testar dados e integrações, monitorar exceções, revisar terceiros, preservar evidências, investigar comportamentos incompatíveis e levar fragilidades relevantes para instâncias de decisão. Tecnologia amplia capacidade de controle, mas não substitui governança, supervisão e julgamento profissional.
A questão para conselhos e comitês deixa de ser apenas “quais controles possuímos?” e passa a ser mais exigente: quais controles são realmente críticos para o negócio e quais evidências nos permitem afirmar, hoje, que eles continuam funcionando como foram desenhados?
Conheça nossos serviços
