Boletim de Inteligência – 11ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
Banco Central cria retenção cautelar de 24 horas para transferências de ativos virtuais
O Banco Central anunciou novas regras voltadas à prevenção de fraudes em transferências envolvendo ativos virtuais. Entre as medidas está a possibilidade de retenção cautelar, por até 24 horas, de determinadas transferências quando houver suspeita de fraude. O mecanismo alcança operações destinadas ao exterior e transferências para carteiras autocustodiadas.
A medida aprofunda a incorporação dos prestadores de serviços de ativos virtuais ao perímetro de controles já aplicado ao sistema financeiro e adiciona uma camada operacional de prevenção antes da liquidação definitiva da transação.
Por que acompanhar: a retenção cautelar desloca parte da prevenção de fraude para o momento da execução da operação. Prestadores de serviços de ativos virtuais e instituições que interagem com esse ecossistema precisam revisar motores de risco, critérios de alerta, procedimentos de escalonamento, disponibilidade das equipes responsáveis e documentação das decisões tomadas durante a janela de retenção. O desafio deixa de ser apenas identificar uma transação suspeita posteriormente e passa a incluir a capacidade de interrompê-la, analisá-la e decidir em tempo adequado.
Fonte: Banco Central do Brasil
Investigações Corporativas, Fraudes e Integridade
SEC leva à Justiça caso que combina informações falsas a investidores, conflitos de interesse e uso indevido de recursos
A Securities and Exchange Commission apresentou ação judicial contra Eric Munson, Adit Ventures Management e entidades relacionadas, descrevendo um suposto esquema envolvendo fundos de investimento em empresas antes de seus IPOs.
Segundo a acusação, investidores teriam recebido informações falsas sobre ativos que determinados veículos afirmavam possuir. Em um dos episódios, um investidor aportou aproximadamente US$ 15 milhões acreditando que o veículo já detinha 32 mil ações da Klarna. A SEC sustenta ainda que recursos de investidores foram utilizados em empréstimos não autorizados e que ativos foram revendidos a fundos clientes com markups e taxas não divulgadas.
Por que acompanhar: o caso é particularmente relevante para governança de investimentos, fundos, veículos de propósito específico e transações entre partes relacionadas. Controles maduros precisam validar a existência e a titularidade dos ativos, confrontar documentos apresentados aos investidores com registros independentes, identificar conflitos de interesse e monitorar movimentações posteriores ao aporte. Em operações complexas, a documentação formal não substitui a confirmação da substância econômica.
Fonte: Securities and Exchange Commission
Regulatório, Compliance e Governança
ANPD avança da regulamentação para medidas preventivas sobre desenho e segurança de plataformas digitais
A Agência Nacional de Proteção de Dados publicou nota técnica relacionada a processo de fiscalização envolvendo o Discord e possíveis violações ao Estatuto Digital da Criança e do Adolescente. A análise aborda medidas estruturais e procedimentais para proteção de crianças e adolescentes, incluindo segurança por desenho, adequação etária e gerenciamento de riscos.
O documento também explicita a possibilidade de adoção de medidas preventivas pela Agência diante de riscos iminentes, inclusive solicitação de regularização, plano de conformidade e outras providências cautelares destinadas a impedir a continuidade ou o agravamento de danos.
Por que acompanhar: o movimento demonstra que governança de plataformas digitais tende a ser examinada cada vez mais pela arquitetura do produto e pela efetividade das salvaguardas, e não apenas por termos de uso ou políticas formais. Empresas que oferecem ambientes digitais acessíveis a públicos vulneráveis devem documentar avaliações de risco, decisões de design, mecanismos de proteção, testes de efetividade e processos de resposta a incidentes.
Fonte: Agência Nacional de Proteção de Dados
ANPD entra na etapa final de consulta sobre novas obrigações para plataformas digitais
Termina em 17 de agosto a tomada de subsídios da ANPD sobre a implementação das novas regras do Marco Civil da Internet decorrentes dos Decretos nº 12.975 e 12.976/2026. O processo trata de deveres relacionados à atuação proativa das plataformas, transparência, prevenção e mitigação de riscos, enfrentamento de fraudes digitais e golpes on-line e proteção das mulheres no ambiente digital.
As novas competências ampliam o papel da Agência para além da aplicação tradicional da LGPD e aproximam sua atuação de temas ligados à governança sistêmica das plataformas.
Por que acompanhar: empresas de tecnologia, marketplaces, redes sociais e outros provedores de aplicações devem acompanhar a regulamentação antes de sua consolidação. Obrigações relacionadas a prevenção de fraudes, canais de denúncia, avaliação sistêmica de riscos e atuação proativa podem exigir mudanças em processos de moderação, controles internos, métricas, documentação, governança e prestação de contas.
Fonte: Agência Nacional de Proteção de Dados
Privacidade, Segurança da Informação e Tecnologia
CISA alerta para ransomware com dupla extorsão e exploração de vulnerabilidades conhecidas
A Cybersecurity and Infrastructure Security Agency publicou novo alerta conjunto sobre o ransomware Gunra, reunindo informações sobre técnicas, procedimentos e indicadores utilizados pelo grupo. A campanha combina criptografia de ambientes com exfiltração de informações para aumentar a pressão sobre as vítimas.
Na mesma semana, a CISA adicionou três vulnerabilidades ao catálogo de Known Exploited Vulnerabilities após identificar evidências de exploração ativa.
Por que acompanhar: o padrão reforça que programas de gestão de vulnerabilidades precisam priorizar evidências de exploração real, e não apenas pontuações abstratas de severidade. Organizações devem confrontar inventários de ativos com vulnerabilidades exploradas, estabelecer prazos diferenciados de correção, restringir privilégios, segmentar ambientes e testar sua capacidade de detectar movimentação lateral e exfiltração antes da etapa de criptografia.
Fonte: Cybersecurity and Infrastructure Security Agency
Auditoria, Controles Internos e Gestão de Riscos
IIA aponta lacuna de preparação da auditoria interna para fraudes potencializadas por inteligência artificial
Pesquisa da Internal Audit Foundation baseada em respostas de 373 líderes seniores de auditoria interna mostra que a inteligência artificial está ampliando a velocidade, a escala e a sofisticação de esquemas de fraude. O estudo aborda riscos relacionados à fabricação de documentos, manipulação de áudio e vídeo e personalização de abordagens fraudulentas.
Embora a percepção do risco seja elevada, menos de 40% dos respondentes consideram suas funções de auditoria interna adequadamente preparadas para detectar fraudes habilitadas por IA. Falta de ferramentas adequadas e escassez de profissionais com competências específicas aparecem entre as principais barreiras.
Por que acompanhar: a evolução do risco exige revisão das próprias técnicas de auditoria. Procedimentos baseados em amostragem documental e análise visual podem se tornar insuficientes diante de evidências sintéticas convincentes. Planos de auditoria devem incorporar autenticidade documental, origem dos dados, metadados, validações independentes, análise de anomalias e capacitação específica sobre riscos de IA.
Fonte: The Institute of Internal Auditors
Eventos, Pesquisas e Leituras Recomendadas
AMLA se aproxima da primeira seleção de instituições sujeitas à supervisão direta europeia de PLD/FTP
A nova autoridade europeia de prevenção à lavagem de dinheiro, AMLA, avança no processo que permitirá identificar instituições elegíveis para futura supervisão direta. Supervisores nacionais devem concluir até 15 de agosto o envio dos dados necessários à avaliação, seguido de uma etapa de correção e alinhamento. A lista provisória de entidades elegíveis é esperada até o final de setembro.
O processo antecede o modelo pelo qual a AMLA passará a supervisionar diretamente algumas das instituições financeiras transfronteiriças de maior impacto da União Europeia a partir de 2028.
Por que acompanhar: o movimento sinaliza uma transição de supervisão predominantemente nacional para um modelo europeu mais centralizado, comparável e orientado por dados. Grupos financeiros com operações internacionais devem avaliar antecipadamente a consistência das informações utilizadas em avaliações de risco de PLD/FTP, a comparabilidade entre unidades, a governança dos dados enviados aos supervisores e a capacidade de demonstrar efetividade de controles em nível de grupo.
Fonte: Authority for Anti-Money Laundering and Countering the Financing of Terrorism
Radar Estratégico
Controles migrando para o momento da transação. A retenção cautelar de transferências de ativos virtuais mostra uma tendência de prevenção em tempo quase real. Detectar irregularidades depois da liquidação será cada vez menos suficiente quando tecnologia e dados permitirem intervenção anterior.
Governança baseada em evidência, não apenas em documentação. O caso levado pela SEC reforça a necessidade de confirmar existência, titularidade e destinação dos ativos de forma independente. Documentos formalmente corretos podem coexistir com uma realidade econômica diferente.
Regulação alcançando a arquitetura dos produtos digitais. A atuação da ANPD indica uma supervisão cada vez mais voltada ao desenho das plataformas, salvaguardas, públicos vulneráveis e gerenciamento de riscos incorporado ao produto.
Fraude e cibersegurança convergindo com inteligência artificial. Evidências sintéticas, engenharia social mais sofisticada, ransomware e exploração automatizada ampliam a necessidade de colaboração entre auditoria, segurança, compliance, investigação e tecnologia.
Supervisão orientada por dados ganha escala internacional. A estruturação da AMLA mostra que reguladores estão construindo modelos capazes de comparar instituições, grupos e jurisdições a partir de dados estruturados. Qualidade, consistência e governança da informação passam a ser componentes do próprio risco regulatório.
O que Conselhos e Comitês deveriam discutir
- A organização possui capacidade de interromper ou reter transações de alto risco antes que o dano financeiro se materialize, ou seus controles são predominantemente posteriores ao evento?
- Quais informações críticas apresentadas a investidores, conselhos, auditores e comitês são confirmadas por evidências independentes, em vez de depender exclusivamente de documentos produzidos pela própria área responsável?
- Produtos digitais e soluções de inteligência artificial passam por avaliações formais de risco, privacidade, segurança, fraude e impacto sobre públicos vulneráveis antes de serem lançados ou modificados?
- Auditoria interna, compliance e investigações estão preparados para trabalhar em um ambiente no qual documentos, imagens, áudios e registros aparentemente legítimos podem ter sido produzidos ou manipulados por inteligência artificial?
Kassy Consultoria Analisa
As atualizações desta semana revelam um movimento comum: controles corporativos estão sendo pressionados a operar mais próximos do momento em que o risco efetivamente se materializa. A retenção cautelar de transferências, a supervisão do desenho de plataformas e a crescente atenção à autenticidade das evidências demonstram uma redução do espaço para estruturas de controle essencialmente retrospectivas.
Essa mudança é especialmente relevante porque riscos distintos começam a convergir. Uma fraude financeira pode utilizar documentos sintéticos, engenharia social e infraestrutura digital; uma falha de governança de produto pode produzir consequências de privacidade, segurança e proteção de públicos vulneráveis; e uma deficiência de PLD/FTP pode decorrer menos da inexistência de políticas e mais da baixa qualidade dos dados utilizados para monitorar transações e relacionamentos.
O caso apresentado pela SEC oferece uma ilustração particularmente importante. Quando a realidade econômica de uma operação não corresponde à documentação apresentada, o controle precisa ser capaz de atravessar a camada formal e verificar o ativo, o fluxo financeiro, o beneficiário, o conflito de interesse e a destinação efetiva dos recursos. A mesma lógica vale para auditorias, investigações, due diligence e monitoramento de terceiros.
Estruturas maduras de GRC tendem, portanto, a combinar três capacidades: prevenção integrada aos processos e produtos, validação independente das evidências e monitoramento contínuo orientado por dados. Não basta criar mais controles; é necessário posicioná-los nos pontos em que uma decisão ainda pode impedir ou reduzir o dano.
Para conselhos, comitês e lideranças, a questão central passa a ser: nossos controles conseguem identificar o risco enquanto ainda existe tempo para mudar o resultado?
Conheça nossos serviços
