Boletim de Inteligência – 12ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
SEC acusa ex-executivos de fraude ligada ao colapso de financiadora que captou US$ 1,9 bilhão
A Securities and Exchange Commission (SEC) acusou, em 18 de agosto, três ex-executivos da Tricolor Holdings — incluindo o ex-CEO e o ex-CFO — por participação em um suposto esquema de vários anos envolvendo empréstimos automotivos subprime. Segundo a acusação, centenas de milhões de dólares em créditos teriam sido dados em garantia mais de uma vez em diferentes operações de securitização e financiamentos.
A SEC afirma ainda que investidores receberam informações falsas ou enganosas sobre a situação financeira da companhia e que métricas de empréstimos teriam sido manipuladas para fazer créditos inadimplentes parecerem adimplentes e, assim, elegíveis para compor carteiras de securitização. A empresa captou mais de US$ 1,9 bilhão em ofertas de títulos lastreados em ativos antes de entrar em processo de falência em setembro de 2025.
Por que acompanhar: o caso evidencia um risco que ultrapassa o setor financeiro: controles podem existir formalmente e ainda falhar quando informações críticas são produzidas, reconciliadas e validadas dentro do mesmo fluxo decisório. Organizações que dependem de ativos, recebíveis, estoques, contratos ou outros elementos utilizados como garantia deveriam avaliar se conseguem confirmar de maneira independente existência, titularidade, unicidade, qualidade e eventual comprometimento desses ativos. Para conselhos e comitês de auditoria, o episódio também reforça a importância de questionar métricas que sustentam captações, covenants e avaliações de liquidez, especialmente quando resultados operacionais e geração de caixa apresentam sinais divergentes.
Fonte: Securities and Exchange Commission
Investigações Corporativas, Fraudes e Integridade
FCA responsabiliza CEO por falhas de gestão e proteção dos interesses de clientes
A Financial Conduct Authority (FCA) proibiu o ex-CEO da SVS Securities, Demetrios Hadjigeorgiou, de exercer funções de alta administração no setor financeiro britânico e aplicou multa de £56,4 mil.
Segundo a autoridade, durante sua gestão a empresa direcionou recursos de clientes, incluindo economias previdenciárias, para produtos de alto risco enquanto recebia pagamentos relevantes das companhias emissoras desses produtos. A FCA também apontou que o executivo deixou de questionar uma decisão que reduziu em 10% o valor de determinados investimentos quando clientes decidiam vendê-los, gerando £359,8 mil para a companhia.
Por que acompanhar: o caso reforça que responsabilização de executivos não depende apenas da demonstração de participação direta em uma fraude. A qualidade da supervisão, a capacidade de desafiar decisões prejudiciais a clientes e a gestão adequada de conflitos podem integrar a avaliação da conduta individual. Para estruturas de governança, isso reforça a necessidade de registrar decisões relevantes, divergências, escalonamentos e evidências de que executivos efetivamente exerceram supervisão sobre riscos sob sua responsabilidade.
Fonte: Financial Conduct Authority
FCA bane responsável por compliance após constatação de evidências fabricadas e omissão de informação regulatória
Em outra decisão divulgada nesta semana, a FCA proibiu Howard Roland Duckett de trabalhar no setor financeiro por falta de honestidade e integridade. Duckett havia exercido funções reguladas de diretor executivo e responsável por supervisão de compliance em uma empresa de gestão de dívidas.
A autoridade destacou decisão anterior da Justiça britânica segundo a qual o executivo teria apresentado informações falsas e tentado utilizar evidências fabricadas para afastar sua responsabilidade pela administração de outra companhia. Ele também deixou de comunicar à FCA sua proibição judicial de atuar como diretor empresarial por dez anos.
Por que acompanhar: além da responsabilização individual, o caso oferece uma referência importante para processos de seleção, fit and proper, background check e monitoramento contínuo de pessoas em funções sensíveis. Avaliações realizadas apenas no momento da contratação ou nomeação podem se tornar rapidamente desatualizadas. Funções de compliance, finanças, auditoria, segurança e administração exigem mecanismos capazes de identificar posteriormente sanções, impedimentos, conflitos, processos relevantes e alterações materiais no perfil de integridade do profissional.
Fonte: Financial Conduct Authority
Regulatório, Compliance e Governança
CVM ajusta procedimentos para ofertas públicas sob registro automático
A Comissão de Valores Mobiliários publicou, em 18 de agosto, o Ofício Circular CVM/SRE 4/2026, com orientações para coordenadores líderes de ofertas públicas realizadas pelo rito de registro automático e submetidas previamente à análise de entidade autorreguladora.
Entre as mudanças estão a substituição de requerimentos atualmente utilizados e a inclusão de campos obrigatórios para identificar se houve análise prévia por entidade autorreguladora, qual entidade realizou a avaliação e o número do processo correspondente. Também foram criados novos campos para ofertas de emissores não registrados. As alterações começaram a ser implementadas na publicação do documento e devem estar concluídas até 24 de agosto.
Por que acompanhar: mudanças aparentemente operacionais em sistemas regulatórios podem produzir riscos concretos de conformidade quando processos internos, responsabilidades e controles não são atualizados simultaneamente. Instituições participantes de ofertas devem revisar fluxos, checklists, parametrizações e responsáveis pelo preenchimento e validação das informações submetidas à CVM, evitando que procedimentos concebidos para regras anteriores permaneçam sendo utilizados após a alteração.
Fonte: Comissão de Valores Mobiliários
Privacidade, Segurança da Informação e Tecnologia
ANPD sinaliza avanço da fiscalização sobre ECA Digital e novas competências relacionadas às plataformas
A Agência Nacional de Proteção de Dados publicou, em 18 de agosto, o terceiro relatório semestral de acompanhamento de sua Agenda Regulatória 2025-2026. Entre as prioridades aparecem a regulamentação e implementação do ECA Digital e das novas competências decorrentes das mudanças relacionadas ao Marco Civil da Internet.
A Agência informou que estão em estágio avançado trabalhos sobre mecanismos de aferição de idade e orientações a fornecedores de produtos e serviços tecnológicos utilizados ou provavelmente acessados por crianças e adolescentes. Também está em andamento a revisão dos regulamentos de fiscalização e aplicação de sanções administrativas para adequá-los às novas competências da ANPD.
Por que acompanhar: o relatório permite antecipar onde a pressão regulatória tende a crescer. Empresas com produtos, aplicativos, plataformas e serviços digitais devem avaliar desde agora como demonstram classificação de riscos, proteção por desenho, aferição etária, governança de dados e controles relacionados a públicos vulneráveis. A revisão dos mecanismos de fiscalização e sanção indica que essas obrigações caminham de uma etapa predominantemente regulatória para uma fase de supervisão mais estruturada.
Fonte: Agência Nacional de Proteção de Dados
Ataques patrocinados por Estado reforçam risco de propriedade intelectual e credenciais corporativas
O Departamento de Justiça dos Estados Unidos anunciou, em 18 de agosto, novas acusações contra integrantes de uma organização iraniana associada a uma extensa campanha de intrusões cibernéticas. Segundo a acusação, a operação atingiu universidades, empresas privadas, órgãos governamentais e organizações não governamentais.
O DOJ afirma que os ataques comprometeram milhares de contas e resultaram no furto de pelo menos 31 terabytes de dados acadêmicos e propriedade intelectual. Empresas privadas também foram alvo de técnicas como password spraying, comprometimento de contas e exfiltração de informações.
Por que acompanhar: propriedade intelectual, pesquisas, estratégias comerciais e informações técnicas devem ser tratadas como ativos de risco, inclusive fora de setores tradicionalmente classificados como infraestrutura crítica. Organizações deveriam identificar onde esses dados estão armazenados, quem possui acesso, quais terceiros podem alcançá-los e se os controles conseguem detectar uso anômalo de credenciais e grandes volumes de exfiltração. Segurança da informação e proteção de propriedade intelectual precisam fazer parte da mesma arquitetura de riscos.
Fonte: U.S. Department of Justice
CISA alerta para ataques ativos contra controladores industriais Siemens
A Cybersecurity and Infrastructure Security Agency publicou, em 20 de agosto, alerta sobre atividade maliciosa direcionada a controladores lógicos programáveis Siemens da série S7. O documento apresenta informações sobre a ameaça e medidas de mitigação para ambientes industriais.
O episódio amplia uma discussão relevante sobre a convergência entre segurança cibernética, continuidade operacional e gestão de riscos: ataques contra tecnologia operacional podem ultrapassar perda ou indisponibilidade de dados e afetar diretamente processos físicos e operações produtivas.
Por que acompanhar: empresas industriais deveriam verificar se inventários de ativos incluem adequadamente ambientes de tecnologia operacional, se vulnerabilidades de equipamentos industriais estão integradas aos processos corporativos de gestão de riscos e se existe segregação efetiva entre redes corporativas e operacionais. Planos de resposta também precisam considerar cenários nos quais o incidente digital produz consequências sobre produção, segurança física e continuidade do negócio.
Fonte: Cybersecurity and Infrastructure Security Agency
Auditoria, Controles Internos e Gestão de Riscos
Exploração ativa reforça necessidade de priorização de vulnerabilidades por evidência de ameaça
A CISA adicionou, em 19 de agosto, nova vulnerabilidade ao catálogo Known Exploited Vulnerabilities após identificar evidências de exploração ativa. O catálogo é utilizado para destacar vulnerabilidades que deixaram de representar apenas risco potencial e passaram a ser efetivamente utilizadas por agentes maliciosos.
Por que acompanhar: programas de gestão de vulnerabilidades baseados exclusivamente em quantidade de falhas ou pontuação técnica podem direcionar recursos para prioridades erradas. A combinação entre criticidade do ativo, exposição, impacto operacional e evidência de exploração ativa oferece uma abordagem mais aderente ao risco real. Auditoria interna e comitês de risco podem utilizar esse critério para avaliar não apenas quantas vulnerabilidades estão abertas, mas se aquelas capazes de produzir maior dano estão sendo corrigidas no prazo adequado.
Fonte: Cybersecurity and Infrastructure Security Agency
Radar Estratégico
Responsabilização está alcançando a qualidade da supervisão. As decisões da FCA mostram que a exposição individual de administradores não se limita à participação direta em irregularidades. Falhar em desafiar decisões, proteger clientes ou comunicar fatos relevantes também pode produzir consequências pessoais.
A validação independente ganha importância diante de informações produzidas internamente. O caso Tricolor demonstra como ativos, métricas e garantias podem parecer consistentes quando avaliados apenas dentro do mesmo fluxo de informação. Controles maduros precisam buscar evidência externa ou independente para premissas críticas.
Background check deixa de ser fotografia e passa a ser processo. Alterações posteriores na situação jurídica, reputacional ou regulatória de executivos e profissionais sensíveis exigem mecanismos de monitoramento contínuo proporcionais ao risco da função.
Segurança cibernética alcança ativos físicos e propriedade intelectual. Os acontecimentos envolvendo ambientes industriais e espionagem digital mostram duas dimensões diferentes do mesmo problema: informação e tecnologia podem representar tanto ativos estratégicos quanto portas de entrada para impacto operacional.
Regulação está se aproximando da operação. As movimentações da CVM e da ANPD reforçam uma tendência de transformação de princípios regulatórios em campos obrigatórios, procedimentos, evidências, mecanismos técnicos e rotinas verificáveis.
O que Conselhos e Comitês deveriam discutir
- Quais informações críticas utilizadas pelo conselho — especialmente sobre liquidez, ativos, garantias, riscos e desempenho — são validadas por uma fonte realmente independente da área que as produz?
- A organização monitora alterações relevantes no perfil de integridade de executivos, terceiros e profissionais em posições sensíveis depois da contratação ou da due diligence inicial?
- Os indicadores apresentados sobre cibersegurança demonstram quantidade de vulnerabilidades ou conseguem mostrar exposição real dos ativos críticos a ameaças efetivamente exploradas?
- Quando uma nova obrigação regulatória entra em vigor, existe um processo capaz de transformar rapidamente a norma em mudanças de sistemas, controles, responsabilidades e evidências auditáveis?
Kassy Consultoria Analisa
Os acontecimentos desta semana convergem em torno de uma questão fundamental para estruturas de GRC: a diferença entre informação disponível e informação confiável.
O caso levado pela SEC demonstra essa distinção de forma particularmente clara. Um ambiente pode possuir documentos, métricas, contratos, registros e processos de aprovação e, ainda assim, produzir uma representação incorreta da realidade quando as mesmas estruturas que originam a informação também são responsáveis por validá-la. Esse risco não está restrito ao mercado financeiro. Ele pode aparecer na confirmação de estoques, fornecedores, medições de contratos, indicadores de compliance, avaliações de terceiros, demonstrações financeiras ou métricas apresentadas à alta administração.
A mesma lógica aparece em outras dimensões. Background checks realizados apenas na contratação podem não capturar acontecimentos posteriores. Inventários de vulnerabilidades podem transmitir sensação de controle sem revelar quais falhas estão sendo efetivamente exploradas. Políticas de segurança podem parecer adequadas sem considerar sistemas industriais ou repositórios de propriedade intelectual. E obrigações regulatórias podem estar formalmente mapeadas sem terem sido traduzidas em mudanças nos sistemas e processos onde o risco efetivamente acontece.
Uma estrutura madura de GRC precisa, portanto, desenvolver capacidade de contestação. Isso significa combinar dados produzidos pela operação com fontes independentes, reconciliar informações entre sistemas, monitorar alterações ao longo do tempo, testar exceções e garantir que pessoas responsáveis por supervisão tenham autoridade e condições para desafiar decisões.
Para conselhos e comitês, talvez uma das perguntas mais importantes não seja apenas “que informação estamos recebendo?”, mas “o que nos permite confiar que essa informação representa a realidade?”
Conheça nossos serviços
