Boletim de Inteligência – 14ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
Reino Unido transforma condutas não financeiras em questão formal de governança e integridade
Entraram em vigor, em 1º de setembro, as novas regras e orientações da Financial Conduct Authority (FCA) sobre non-financial misconduct. O novo regime amplia, para determinadas instituições financeiras não bancárias, a aplicação das regras de conduta a situações de assédio, intimidação e violência contra colegas quando houver vínculo suficiente com a atividade profissional.
A orientação também esclarece que avaliações de fitness and propriety podem considerar condutas relevantes ocorridas fora do ambiente de trabalho. A FCA espera que as empresas tenham revisado políticas internas, procedimentos para comunicação de violações de conduta, avaliações de adequação de profissionais e referências regulatórias. Ao mesmo tempo, a autoridade delimita a aplicação das regras: não exige monitoramento generalizado da vida privada ou das redes sociais dos empregados nem investigação de alegações irrelevantes ou manifestamente infundadas.
Por que acompanhar: o movimento aproxima cultura organizacional, investigações internas, recursos humanos, compliance e governança. A mensagem regulatória é relevante mesmo fora do setor financeiro britânico: determinadas condutas pessoais podem revelar riscos de integridade incompatíveis com funções de confiança, mas sua avaliação exige critérios claros, proporcionalidade, respeito à privacidade e processo investigativo adequado. Empresas deveriam verificar se suas matrizes de consequência, protocolos de investigação, critérios para funções sensíveis e processos de avaliação de integridade conseguem tratar situações que não envolvem diretamente fraude ou corrupção, mas podem comprometer confiança, liderança e cultura.
Fonte: Financial Conduct Authority
Investigações Corporativas, Fraudes e Integridade
SEC acusa executivos de fundos privados de utilizar recursos de novos investidores para sustentar pagamentos anteriores
A Securities and Exchange Commission acusou, em 1º de setembro, dois ex-executivos da Pacific Private Money Group de conduzir um suposto esquema que captou mais de US$ 80 milhões de aproximadamente 190 investidores, muitos deles aposentados.
Segundo a SEC, investidores foram informados de que os recursos seriam utilizados para originar ou adquirir empréstimos garantidos por imóveis e que os retornos decorreriam dessas atividades. A acusação sustenta, entretanto, que novos aportes eram regularmente utilizados para realizar pagamentos semelhantes aos de um esquema Ponzi a investidores anteriores. A SEC também afirma que mais de US$ 7 milhões teriam sido desviados para benefício pessoal de um dos executivos. Em fevereiro de 2026, fundos com quase US$ 121 milhões em investimentos pendentes teriam menos de US$ 17 milhões em ativos recuperáveis estimados.
Por que acompanhar: o caso reforça a importância de confrontar a narrativa econômica de um investimento com a origem efetiva dos fluxos financeiros. Auditorias, diligências e controles não deveriam se limitar à existência formal dos ativos ou à consistência dos documentos apresentados. Reconciliações entre captação, aplicação dos recursos, geração operacional de caixa e pagamentos a investidores podem revelar situações em que a rentabilidade reportada depende, na realidade, da entrada contínua de novos recursos.
Fonte: Securities and Exchange Commission
Fraude documental em demandas judiciais mostra como padrões repetitivos podem revelar irregularidades
A Polícia Federal deflagrou, em 3 de setembro, a Operação Litigância Predatória para investigar indícios de fraude no ajuizamento de ações previdenciárias perante o Tribunal Regional Federal da 1ª Região.
Segundo a PF, a investigação apura o emprego de documentos com indícios de falsificação, adulteração e reutilização. As apurações tiveram origem em relatórios produzidos pela Advocacia-Geral da União e em análises do Núcleo de Inteligência Previdenciária.
Por que acompanhar: o episódio oferece uma referência útil para investigações corporativas e controles antifraude baseados em documentação. Documentos individualmente plausíveis podem revelar irregularidades quando comparados em escala. Reutilização de arquivos, padrões de preenchimento, metadados, assinaturas, fornecedores recorrentes, documentos idênticos apresentados em processos distintos e outras similaridades podem funcionar como indicadores relevantes. Organizações com alto volume de reembolsos, cadastros, sinistros, contratos ou documentos comprobatórios deveriam avaliar se seus controles conseguem identificar padrões entre casos, e não apenas validar cada documento isoladamente.
Fonte: Polícia Federal
Regulatório, Compliance e Governança
Receita Federal amplia rastreabilidade sobre benefícios fiscais e cria período de adaptação para empresas
A Receita Federal publicou a Instrução Normativa RFB nº 2.341, de 31 de agosto de 2026, aperfeiçoando as regras para acompanhamento da fruição de benefícios fiscais. As alterações entraram em vigor em 1º de setembro, com período de adaptação previsto até o fim de 2026.
A iniciativa reforça o movimento de utilização de informações estruturadas para acompanhamento das condições relacionadas aos incentivos usufruídos pelos contribuintes.
Por que acompanhar: benefícios fiscais não deveriam ser tratados apenas como matéria tributária. A utilização de incentivos envolve governança sobre elegibilidade, documentação, cálculos, obrigações acessórias e evidências que sustentem a posição adotada pela empresa. À medida que a fiscalização se torna mais orientada por dados, inconsistências entre sistemas fiscais, contábeis e operacionais tendem a se tornar mais facilmente identificáveis. Empresas que utilizam benefícios relevantes deveriam revisar responsabilidades, trilhas de aprovação, documentação comprobatória e mecanismos de reconciliação.
Fonte: Receita Federal
CVM leva a julgamento casos envolvendo diligência na aquisição de ativos e responsabilidades de auditoria independente
A Comissão de Valores Mobiliários pautou para 1º de setembro processos administrativos sancionadores envolvendo temas diretamente relacionados à qualidade da supervisão e dos controles no mercado de capitais.
Um dos processos foi instaurado para apurar acusações de quebra do dever de diligência na aquisição de ativos por um fundo e realização de operação fraudulenta no mercado de valores mobiliários. Outro processo trata da responsabilidade de auditor independente por suposto descumprimento da Resolução CVM 23.
Por que acompanhar: independentemente do resultado específico dos processos, os temas submetidos à análise da CVM reforçam a centralidade da diligência profissional e da capacidade de demonstrá-la. Em decisões envolvendo investimentos, terceiros, ativos ou demonstrações financeiras, não basta que o resultado final pareça razoável: processos de aprovação precisam registrar informações analisadas, questionamentos realizados, inconsistências identificadas e fundamentos utilizados para a decisão. Para comitês de auditoria e conselhos, a qualidade da evidência que sustenta uma decisão é tão relevante quanto a decisão em si.
Fonte: Comissão de Valores Mobiliários
Privacidade, Segurança da Informação e Tecnologia
G7 coloca transição para criptografia pós-quântica na agenda de gestão de riscos
A Cybersecurity and Infrastructure Security Agency (CISA) e o Grupo de Trabalho de Cibersegurança do G7 divulgaram, em 3 de setembro, um chamado conjunto para que governos e organizações iniciem a preparação para a era pós-quântica.
O documento estabelece cinco prioridades para a transição para criptografia resistente à computação quântica: ampliar a conscientização sobre o risco; desenvolver estratégias de adoção; avançar pesquisa e desenvolvimento; fortalecer colaboração entre governos e setor privado; e incorporar requisitos de criptografia pós-quântica aos processos de segurança e contratação.
Por que acompanhar: o risco quântico ilustra uma característica importante da gestão de riscos tecnológicos: determinadas transições precisam começar antes que a ameaça esteja plenamente materializada. Sistemas legados, contratos de longo prazo, equipamentos industriais, certificados digitais e grandes bases de dados podem permanecer em operação por muitos anos. Organizações deveriam começar pelo inventário das tecnologias criptográficas utilizadas, identificação de informações que precisam permanecer confidenciais no longo prazo e avaliação da capacidade de fornecedores e sistemas críticos para migrar para novos padrões.
Fonte: Cybersecurity and Infrastructure Security Agency
Sete vulnerabilidades com exploração ativa entram no catálogo prioritário da CISA
A CISA adicionou, em 2 de setembro, sete novas vulnerabilidades ao catálogo Known Exploited Vulnerabilities, utilizado para identificar falhas para as quais já existem evidências de exploração ativa.
A atualização ocorre poucos dias depois de outras inclusões no catálogo e reforça a velocidade com que vulnerabilidades deixam de representar risco potencial para integrar ataques efetivamente observados.
Por que acompanhar: a gestão de vulnerabilidades precisa evoluir da lógica de volume para a lógica de exposição. Quantidade de falhas abertas, isoladamente, oferece pouca informação executiva. Organizações deveriam cruzar exploração ativa, criticidade do ativo, exposição externa, privilégios associados e impacto sobre processos essenciais. Para conselhos e comitês, indicadores como tempo entre divulgação, identificação da exposição e mitigação podem ser mais úteis do que o número bruto de vulnerabilidades existentes.
Fonte: Cybersecurity and Infrastructure Security Agency
Eventos, Pesquisas e Leituras Recomendadas
Estados Unidos e Reino Unido criam aliança para combater centros transnacionais de golpes digitais
Autoridades dos Estados Unidos e do Reino Unido anunciaram, em 3 de setembro, um memorando de entendimento para fortalecer a cooperação contra centros internacionais envolvidos em fraudes de investimento com criptoativos e outros golpes digitais.
O acordo prevê investigações paralelas sobre alvos comuns, compartilhamento de informações e coordenação sobre jurisdições para processamento de casos. Segundo as autoridades norte-americanas, fraudes cibernéticas de investimento reportadas cresceram de US$ 4,57 bilhões em perdas em 2023 para US$ 8,65 bilhões em 2025. A iniciativa também prevê colaboração com empresas privadas para desarticular infraestrutura utilizada pelas organizações criminosas.
Por que acompanhar: fraudes digitais modernas operam como cadeias empresariais transnacionais, combinando engenharia social, infraestrutura tecnológica, movimentação financeira, criptoativos, contas intermediárias e, em alguns casos, exploração de pessoas. Bancos, fintechs, plataformas digitais, empresas de telecomunicações e provedores de tecnologia ocupam diferentes pontos dessa cadeia. A prevenção tende a depender cada vez mais da capacidade de compartilhar sinais, identificar redes relacionadas e agir antes que cada transação seja analisada isoladamente como um evento legítimo.
Fonte: U.S. Department of Justice
Radar Estratégico
Conduta e cultura entram definitivamente no perímetro de risco. A nova abordagem da FCA demonstra que integridade corporativa não pode ser reduzida a fraude, corrupção ou conflito de interesses. Comportamentos que comprometem confiança, liderança e segurança psicológica também podem revelar inadequação para determinadas responsabilidades.
Controles precisam analisar relações, não apenas eventos. Esquemas Ponzi, fraude documental e golpes digitais apresentam uma característica comum: operações isoladas podem parecer legítimas. O risco aparece quando fluxos, documentos, pessoas e comportamentos são observados de maneira integrada.
Evidência da diligência ganha importância. Os temas submetidos à CVM e o avanço da fiscalização orientada por dados reforçam que organizações precisam conseguir demonstrar como uma decisão foi tomada, quais informações foram avaliadas e quais controles efetivamente operaram.
Riscos tecnológicos exigem horizontes mais longos. A agenda pós-quântica mostra que a gestão de tecnologia não pode se limitar às ameaças atuais. Arquitetura, contratos e sistemas adquiridos hoje podem permanecer ativos quando o ambiente de risco for significativamente diferente.
Velocidade torna-se parte da efetividade do controle. Vulnerabilidades exploradas, golpes digitais e movimentação rápida de recursos reduzem o tempo disponível para reação. Detectar corretamente, mas tarde demais, pode produzir praticamente o mesmo resultado de não detectar.
O que Conselhos e Comitês deveriam discutir
- A organização possui critérios claros para determinar quando comportamentos relacionados à integridade e à cultura podem afetar a permanência de alguém em uma função de confiança?
- Nossos sistemas de controle conseguem identificar padrões entre transações, documentos, terceiros e eventos distintos ou ainda analisamos cada ocorrência predominantemente de forma isolada?
- Quando uma decisão relevante é questionada meses ou anos depois, conseguimos reconstruir quais informações foram consideradas, quais questionamentos foram realizados e por que a decisão foi aprovada?
- Quais tecnologias e informações críticas utilizadas atualmente permanecerão na organização por tempo suficiente para serem impactadas pela transição para criptografia pós-quântica?
Kassy Consultoria Analisa
Os acontecimentos desta semana reforçam uma transformação importante na gestão de riscos: controles eficazes dependem cada vez menos de verificações isoladas e cada vez mais da capacidade de compreender contexto, relacionamento e comportamento.
Essa lógica aparece em diferentes situações. Um documento pode ser formalmente válido quando examinado sozinho, mas sua reutilização sistemática pode revelar fraude. Um pagamento a um investidor pode parecer legítimo até que sua origem seja confrontada com novos aportes. Uma vulnerabilidade pode representar risco moderado em determinado ativo e risco crítico quando está exposta à internet e já existe evidência de exploração. Da mesma forma, uma conduta aparentemente externa ao exercício profissional pode se tornar relevante quando compromete requisitos de integridade associados a uma função de confiança.
Há também uma mudança no horizonte temporal dos controles. A orientação do G7 sobre criptografia pós-quântica exige decisões hoje para riscos que podem se materializar anos à frente. Em sentido oposto, golpes digitais e vulnerabilidades exploradas exigem respostas em horas ou dias. Estruturas maduras de GRC precisam operar simultaneamente nesses dois horizontes: antecipar riscos de longo prazo e responder rapidamente aos sinais de curto prazo.
Isso exige integração entre tecnologia, compliance, auditoria, jurídico, riscos, recursos humanos e investigação. Mais do que aumentar a quantidade de controles, organizações precisam melhorar sua capacidade de conectar informações, preservar evidências, identificar padrões e transformar sinais em decisões proporcionais ao risco.
Para conselhos, comitês e lideranças, a reflexão desta semana é: nossa estrutura de GRC está organizada para verificar eventos individualmente ou para compreender as relações que revelam o risco antes que ele se transforme em dano?
Conheça nossos serviços
