Boletim de Inteligência – 13ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
DOJ cria centro nacional de detecção de fraudes baseado em integração de dados e atuação interagências
O Departamento de Justiça dos Estados Unidos anunciou, em 24 de agosto, a criação do National Fraud Detection Center (NFDC), estrutura liderada por procuradores e formada por diferentes órgãos federais para identificar e investigar fraudes contra programas financiados com recursos públicos. A iniciativa reúne FBI, Homeland Security Investigations, IRS Criminal Investigation, FinCEN, Departamento do Tesouro e diversos escritórios de inspetores-gerais.
O desenho institucional é particularmente relevante: o NFDC pretende integrar capacidades analíticas e informações antes dispersas entre diferentes programas e órgãos. Segundo o DOJ, a ausência dessa visão transversal permitia que determinados agentes operassem esquemas simultaneamente em múltiplos programas sem serem detectados.
Por que acompanhar: a iniciativa oferece uma referência que ultrapassa o setor público. Fraudes complexas frequentemente permanecem invisíveis porque cada área observa apenas uma fração do comportamento — pagamentos, fornecedores, despesas, acessos, cadastro, denúncias ou movimentações financeiras. Para empresas, o aprendizado está na capacidade de conectar dados e indicadores entre processos. Programas antifraude maduros deveriam avaliar se conseguem identificar padrões que somente se tornam visíveis quando informações de áreas diferentes são correlacionadas. A qualidade da investigação começa, cada vez mais, antes da abertura formal de um caso: na capacidade de produzir sinais a partir dos dados disponíveis.
Fonte: U.S. Department of Justice
Investigações Corporativas, Fraudes e Integridade
Operação Terra Arrasada expõe risco de concorrência simulada entre empresas relacionadas
A Polícia Federal deflagrou, em 27 de agosto, a Operação Terra Arrasada para investigar suspeitas de fraude em licitações envolvendo contratos públicos superiores a R$ 406 milhões para aquisição de máquinas pesadas. Segundo a investigação, empresas formalmente independentes, mas supostamente controladas pelos mesmos responsáveis, teriam apresentado propostas previamente combinadas, simulando concorrência e mantendo preços artificialmente elevados.
A apuração também aponta possíveis pagamentos de vantagens indevidas a agentes públicos e lavagem de dinheiro. A Justiça determinou, entre outras medidas, a suspensão do direito de três empresas investigadas de participar de novas licitações e contratar com a Administração Pública.
Por que acompanhar: o caso oferece uma referência importante para processos de contratação também no setor privado. Comparar três propostas não representa, por si só, competição efetiva. Áreas de compras, compliance e auditoria deveriam analisar vínculos societários, beneficiários finais, endereços, contatos, contas bancárias, representantes e padrões históricos entre fornecedores concorrentes. A existência formal de múltiplos proponentes pode esconder concentração econômica ou coordenação entre partes relacionadas.
Fonte: Polícia Federal
PF e CGU investigam fraude, corrupção e lavagem em contratações realizadas por organização da sociedade civil
Em 26 de agosto, Polícia Federal e Controladoria-Geral da União deflagraram a Operação Mamom, com 35 mandados de busca e apreensão e duas prisões preventivas. A investigação envolve contratos firmados por uma organização da sociedade civil com entes públicos municipais, especialmente na área da saúde.
Entre os indícios relatados estão possível direcionamento de contratações, movimentações atípicas de recursos, utilização de pessoas físicas e jurídicas para ocultar a destinação dos valores, depósitos fracionados em espécie e transferências com características consideradas atípicas.
Por que acompanhar: a investigação reforça que risco de terceiros não termina na homologação ou contratação. Organizações que transferem recursos, executam projetos por parceiros ou mantêm relações com entidades intermediárias precisam acompanhar não apenas documentação cadastral, mas também execução financeira, beneficiários, subcontratações e padrões de movimentação incompatíveis com a finalidade contratada. Due diligence e monitoramento transacional precisam funcionar como partes do mesmo ciclo de controle.
Fonte: Polícia Federal
Regulatório, Compliance e Governança
FTC determina reconstrução de concorrência após acordo que teria retirado competidor do mercado
A Federal Trade Commission chegou a um acordo com Zillow e Redfin para encerrar litígio relacionado ao mercado norte-americano de publicidade para imóveis residenciais destinados à locação. Segundo a acusação da FTC, a Zillow teria pago US$ 100 milhões para que a Redfin encerrasse sua atuação independente nesse mercado e permanecesse fora dele por até nove anos.
O acordo determina, entre outras medidas, a retirada de cláusulas anticoncorrenciais, o retorno da Redfin ao mercado em até seis meses, investimentos na reconstrução da operação, flexibilização de determinados contratos com clientes e restrições ao compartilhamento de informações comerciais sensíveis. A ordem terá duração de dez anos.
Por que acompanhar: o caso demonstra que risco concorrencial não se limita a fusões e aquisições. Parcerias comerciais, acordos de distribuição, compartilhamento de dados, exclusividades, cláusulas de não competição e até decisões sobre contratação de profissionais podem produzir efeitos concorrenciais relevantes. Empresas deveriam incorporar avaliação antitruste aos processos de aprovação de alianças estratégicas, sobretudo quando o acordo modifica incentivos de um concorrente ou envolve troca de informações comercialmente sensíveis.
Fonte: Federal Trade Commission
Privacidade, Segurança da Informação e Tecnologia
FTC conclui casos sobre alegações de uso de IA e captação de conversas em dispositivos inteligentes
A Federal Trade Commission aprovou, em 27 de agosto, acordos definitivos com três empresas de mídia e marketing que, segundo a autoridade, induziram clientes a acreditar que ofereciam um serviço de publicidade baseado em inteligência artificial capaz de identificar conversas captadas por dispositivos inteligentes.
A FTC afirmou que, ao contrário das alegações apresentadas, o serviço não era baseado em dados de voz e os consumidores não haviam consentido com esse tipo de direcionamento. As empresas pagarão conjuntamente US$ 930 mil e ficarão impedidas de realizar determinadas declarações enganosas sobre recursos de seus serviços, coleta e utilização de dados de voz, consentimento e capacidades de segmentação geográfica.
Por que acompanhar: governança de IA envolve também aquilo que uma empresa afirma que sua tecnologia faz. Compliance, jurídico, privacidade e tecnologia deveriam participar da validação de alegações comerciais sobre funcionalidades algorítmicas, fontes de dados, consentimento e capacidades técnicas. O risco pode surgir tanto da utilização inadequada de IA quanto da atribuição de capacidades de IA que o produto efetivamente não possui.
Fonte: Federal Trade Commission
Brasil registra nova sequência de alertas sobre vulnerabilidades críticas em tecnologias corporativas
O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou, entre 25 e 27 de agosto, novos alertas sobre vulnerabilidades críticas envolvendo tecnologias amplamente utilizadas em ambientes corporativos. Entre os produtos mencionados estão FortiOS, Cisco Secure Firewall Management Center, macOS, Cisco, Citrix, Oracle WebLogic Server Proxy Plug-in, SQL Server e componentes de kernel.
A concentração de alertas em poucos dias reforça a velocidade com que o inventário de risco tecnológico pode se alterar, mesmo quando não há mudança relevante na arquitetura da organização.
Por que acompanhar: programas de vulnerabilidades não deveriam operar como inventários estáticos ou filas exclusivamente orientadas por severidade técnica. Empresas precisam saber rapidamente se tecnologias afetadas existem no ambiente, quais processos críticos dependem delas, se estão expostas externamente e qual o prazo de mitigação. Para comitês de risco e auditoria, um indicador mais útil do que a quantidade absoluta de vulnerabilidades abertas é o tempo necessário para identificar exposição e corrigir falhas críticas em ativos relevantes.
Fonte: CTIR Gov
Auditoria, Controles Internos e Gestão de Riscos
Funcionário de instituição financeira é acusado de utilizar conhecimento dos controles de PLD para contorná-los
O Departamento de Justiça dos Estados Unidos anunciou acusação contra um funcionário de uma empresa de transferência de dinheiro de Minnesota por supostamente participar da lavagem de pelo menos US$ 750 mil provenientes do tráfico de drogas.
Segundo a acusação, o profissional teria utilizado seu conhecimento sobre políticas e procedimentos internos de prevenção à lavagem de dinheiro para evitar os controles da própria empresa. Entre as práticas descritas estão o fracionamento de operações em valores inferiores a US$ 1 mil — limite utilizado para coleta e verificação de documentos de identificação —, criação de nomes falsos, utilização de beneficiários interpostos e falsificação de assinaturas em comprovantes.
Por que acompanhar: controles baseados em limites previsíveis podem criar regras que também são compreendidas por quem pretende contorná-las. Monitoramento efetivo precisa identificar comportamento agregado, relacionamento entre operações, recorrência, usuários internos e padrões de fracionamento, e não apenas testar cada transação isoladamente. O caso também reforça a necessidade de controles específicos sobre profissionais com conhecimento privilegiado das regras e capacidade operacional para explorá-las.
Fonte: U.S. Department of Justice
Eventos, Pesquisas e Leituras Recomendadas
Operação Peça-Chave mostra como empresas de fachada e documentação fiscal podem integrar estruturas de lavagem
Polícia Federal e Receita Federal deflagraram, em 27 de agosto, a Operação Peça-Chave, que investiga suposto esquema envolvendo comercialização irregular de autopeças estrangeiras e lavagem de dinheiro. As apurações identificaram indícios de movimentação de aproximadamente R$ 145 milhões por pessoas físicas e jurídicas vinculadas aos investigados.
Segundo as autoridades, empresas de fachada e notas fiscais com indícios de fraude teriam sido utilizadas para ocultar a origem dos recursos, enquanto documentação fiscal irregular acompanharia a circulação das mercadorias entre a região de fronteira e empresas de outros estados.
Por que acompanhar: documentação fiscal não deve ser tratada automaticamente como evidência suficiente da substância de uma transação. Controles de terceiros e monitoramento financeiro podem ganhar efetividade quando dados cadastrais, fiscais, logísticos e financeiros são confrontados. Incompatibilidades entre capacidade operacional, volume faturado, fluxo de mercadorias, localização, estrutura societária e movimentação financeira constituem sinais relevantes para due diligence, auditoria e investigações.
Fonte: Polícia Federal
Radar Estratégico
A detecção de fraude está migrando de regras isoladas para correlação de dados. A criação do NFDC e os casos brasileiros desta semana mostram que estruturas complexas se tornam visíveis quando informações financeiras, cadastrais, societárias, contratuais e comportamentais são analisadas conjuntamente.
A independência formal de terceiros não garante independência econômica. Empresas distintas podem compartilhar beneficiários, gestores, infraestrutura ou interesses. Isso altera a forma como processos competitivos, cotações e due diligence deveriam ser avaliados.
O conhecimento dos controles também é um vetor de risco. Profissionais internos conhecem limites, exceções e pontos cegos. Programas de compliance precisam considerar não apenas violações das regras, mas estratégias deliberadas para permanecer abaixo dos gatilhos de monitoramento.
Governança tecnológica alcança a própria narrativa sobre a tecnologia. O caso da FTC demonstra que empresas precisam governar não apenas algoritmos e dados, mas também aquilo que áreas comerciais e de marketing afirmam sobre inteligência artificial, privacidade e funcionalidades dos produtos.
Velocidade de resposta torna-se indicador de maturidade. Vulnerabilidades críticas, alertas transacionais e sinais de fraude perdem valor quando a organização demora para relacioná-los aos ativos, pessoas e processos expostos. A capacidade de transformar um sinal em decisão passa a ser parte do controle.
O que Conselhos e Comitês deveriam discutir
- Os sistemas de monitoramento da organização conseguem correlacionar sinais entre compras, pagamentos, cadastro de terceiros, acessos, denúncias e movimentações financeiras, ou cada área ainda analisa riscos de forma isolada?
- Quando três ou mais fornecedores participam de uma concorrência, quais controles demonstram que eles são efetivamente independentes entre si e não apenas pessoas jurídicas distintas?
- A organização possui controles capazes de detectar profissionais que estruturam operações deliberadamente abaixo de limites e parâmetros conhecidos de monitoramento?
- Quanto tempo a empresa leva entre receber um alerta relevante — de fraude, vulnerabilidade, terceiro ou transação — e identificar exatamente quais ativos, processos e decisões estão expostos?
Kassy Consultoria Analisa
Os acontecimentos desta semana mostram uma evolução importante na forma como fraude, compliance e controles internos precisam ser compreendidos. O risco raramente está concentrado em uma única transação. Ele aparece na relação entre eventos que, analisados separadamente, podem parecer legítimos.
Uma transferência inferior a determinado limite pode não gerar alerta. Uma empresa regularmente constituída pode não apresentar restrição cadastral. Uma proposta comercial pode parecer competitiva. Uma nota fiscal pode estar formalmente correta. O problema surge quando essas informações são colocadas em contexto: dezenas de transferências fracionadas, fornecedores diferentes controlados pelos mesmos beneficiários, documentação incompatível com a capacidade operacional ou transações repetidas envolvendo as mesmas pessoas.
É justamente nesse ponto que a criação do National Fraud Detection Center pelo DOJ oferece uma referência interessante. A proposta não se baseia simplesmente na criação de mais uma estrutura de fiscalização, mas na redução dos silos que impediam diferentes órgãos de perceber que estavam observando partes de um mesmo comportamento. Dentro das empresas, o desafio é semelhante. Compliance pode possuir uma informação que compras desconhece; auditoria pode identificar uma exceção que não chega à investigação; segurança pode registrar um acesso atípico sem conhecer uma alteração recente em dados de pagamento.
Estruturas maduras de GRC precisam desenvolver essa capacidade de conexão. Isso envolve governança de dados, ferramentas analíticas e monitoramento, mas também desenho organizacional: critérios comuns de risco, processos claros de escalonamento e capacidade de reunir rapidamente diferentes áreas diante de um sinal relevante.
Para conselhos, comitês e lideranças, uma pergunta merece atenção: quantos riscos hoje parecem normais apenas porque cada parte da organização consegue enxergar somente uma parte da história?
Conheça nossos serviços
