Boletim de Inteligência – 15ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
Empresa fecha acordo de US$ 12,5 milhões após investigação sobre pagamentos indevidos ocultados por terceiros e notas fiscais falsas
A Southern Glazer’s Wine and Spirits, distribuidora de bebidas com atuação nacional nos Estados Unidos, celebrou em 10 de setembro um acordo de não persecução com autoridades federais e concordou em pagar US$ 12,5 milhões para encerrar investigação envolvendo anos de pagamentos e benefícios indevidos a funcionários de varejistas.
Segundo o Departamento de Justiça dos Estados Unidos, executivos e empregados da companhia, incluindo vice-presidentes, participaram de práticas que envolveram pagamentos em dinheiro, cartões pré-pagos, passagens aéreas, viagens, estadias e bens de luxo. Parte dos pagamentos teria sido financiada e ocultada por meio de fornecedores terceiros e notas fiscais falsas. A companhia reconheceu responsabilidade pelos atos descritos no acordo e assumiu compromissos para reforçar seu programa de compliance e continuar cooperando com eventuais processos contra empregados atuais ou antigos.
Por que acompanhar: o caso reúne alguns dos pontos mais sensíveis de um programa de integridade: envolvimento da liderança, pagamentos indevidos, terceiros, documentação falsa e fragilidade dos controles financeiros. Empresas deveriam avaliar se conseguem identificar despesas incompatíveis com a natureza do fornecedor, pagamentos sem substância econômica, concentração atípica de gastos, benefícios destinados a funcionários de clientes e fornecedores utilizados como intermediários. O episódio também reforça que due diligence de terceiros é apenas uma etapa: monitorar como o terceiro é efetivamente utilizado durante a relação comercial pode ser mais importante do que sua avaliação inicial.
Fonte: U.S. Department of Justice
Investigações Corporativas, Fraudes e Integridade
Receita Federal identifica mais de R$ 1 bilhão em pedidos suspeitos por meio do cruzamento de dados
A Receita Federal informou, em 8 de setembro, ter identificado mais de R$ 1 bilhão em pedidos suspeitos de reembolso de salário-maternidade realizados por empresas de fachada e outras organizações. A detecção ocorreu a partir do cruzamento de informações fiscais, previdenciárias e cadastrais.
Entre os sinais identificados estavam empresas com apenas um funcionário, faturamento próximo de zero, ausência de registros compatíveis na escrituração fiscal e solicitações em valores atípicos. Também apareceram casos de beneficiárias sem registro de filhos, empresários registrados simultaneamente como empregados das próprias empresas e uma mesma pessoa recebendo benefícios por empresas diferentes em curto período. A Receita também identificou procuradores comuns atuando para dezenas de empresas com características semelhantes.
Por que acompanhar: o caso é uma referência prática de análise antifraude orientada por dados. Nenhum desses sinais precisa, isoladamente, comprovar irregularidade. A força do controle surge da combinação entre informações cadastrais, fiscais, financeiras, relacionais e comportamentais. Empresas podem aplicar a mesma lógica a reembolsos, fornecedores, pagamentos, benefícios, clientes e denúncias: estabelecer padrões esperados, identificar exceções e correlacionar vínculos entre pessoas e empresas antes de decidir quais situações demandam investigação.
Fonte: Receita Federal
Operação Make Up coloca subcontratação e comprovação da prestação de serviços no centro da investigação
A Polícia Federal, com apoio da Controladoria-Geral da União, deflagrou em 10 de setembro a Operação Make Up, com 49 mandados de busca e apreensão expedidos pelo Supremo Tribunal Federal em São Paulo, Rio de Janeiro, Ceará e Distrito Federal. A investigação envolve recursos de emendas parlamentares transferidos a uma organização da sociedade civil.
Segundo a PF, agentes públicos e privados são suspeitos de direcionar recursos para empresas subcontratadas irregularmente, sem comprovação da efetiva prestação dos serviços. Levantamentos financeiros identificaram movimentações da ordem de centenas de milhões de reais entre empresas integrantes do suposto esquema.
Por que acompanhar: a existência de contrato, nota fiscal e pagamento não comprova necessariamente que o serviço ocorreu. Para organizações que utilizam intermediários, parceiros ou cadeias de subcontratação, controles deveriam verificar substância econômica: quem executou, onde, quando, com quais profissionais, quais evidências foram produzidas e se a capacidade operacional do fornecedor é compatível com aquilo que faturou. Quanto maior a distância entre contratante e executor final, maior deveria ser a rastreabilidade.
Fonte: Polícia Federal
Regulatório, Compliance e Governança
FCA obtém confissão em caso de falsa oferta de aquisição criada com identidades e documentos falsificados
A Financial Conduct Authority informou, em 10 de setembro, que Christopher Woolcott se declarou culpado de quatro acusações de fraude e falsificação relacionadas à criação de uma falsa proposta de aquisição da Touchstone Exploration.
Segundo a FCA, Woolcott possuía ações da companhia e poderia obter benefício financeiro caso a falsa oferta produzisse valorização dos papéis. Para conferir credibilidade à abordagem, foram utilizadas múltiplas identidades falsas e documentos forjados. A investigação criminal havia sido iniciada pela autoridade em março de 2025.
Por que acompanhar: informações capazes de influenciar decisões estratégicas ou preços precisam ser verificadas independentemente de sua aparência documental. Processos envolvendo aquisições, investimentos, propostas extraordinárias, financiamentos e comunicações sensíveis deveriam possuir protocolos de validação da identidade das contrapartes, autenticidade documental, origem das comunicações e existência econômica das entidades envolvidas. Em operações de alta relevância, a plausibilidade do documento não substitui a verificação de sua origem.
Fonte: Financial Conduct Authority
Ex-integrante de conselho e comitê de auditoria é condenado por fraude, obstrução e manipulação de evidências
Um ex-diretor de companhia listada na Nasdaq foi condenado nos Estados Unidos, em 10 de setembro, por conspiração para fraude com valores mobiliários, obstrução da Justiça, manipulação de testemunha e perjúrio. Segundo o Departamento de Justiça, Donald Danks utilizou informações não públicas obtidas em razão de sua posição e influenciou investidores enquanto vendia secretamente ações em benefício próprio.
Danks havia integrado o conselho de administração e o comitê de auditoria da companhia. De acordo com as provas apresentadas, uma empresa de fachada foi utilizada para ocultar sua participação nas transações. Após o início das investigações, documentos teriam sido fabricados e retrodatados para criar a aparência de empréstimos legítimos, e uma testemunha teria sido orientada a sustentar uma versão falsa dos fatos.
Por que acompanhar: acesso privilegiado a informações, influência sobre decisões e capacidade de supervisionar controles criam riscos específicos para administradores e membros de comitês. Empresas deveriam revisar regras de negociação de valores mobiliários, conflitos de interesses, acesso pós-desligamento a informações sensíveis e mecanismos de preservação de evidências quando uma investigação começa. O caso também reforça que qualquer alteração documental após o início de uma apuração deve receber atenção especial.
Fonte: U.S. Department of Justice
Auditoria, Controles Internos e Gestão de Riscos
FTC responsabiliza processador de pagamentos por manter relacionamento com mais de mil empresas de fachada
A Federal Trade Commission anunciou, em 8 de setembro, acordo pelo qual a Humboldt Merchant Services pagará US$ 12 milhões e ficará permanentemente impedida de processar pagamentos para comerciantes classificados como de maior risco potencial de fraude.
Segundo a FTC, a processadora teria prestado serviços para mais de mil empresas de fachada utilizadas como intermediárias por companhias envolvidas em cobranças não autorizadas e outras práticas fraudulentas.
Por que acompanhar: instituições que fornecem infraestrutura para terceiros também precisam compreender o risco produzido por seus clientes. Cadastro formal e documentação societária não são suficientes quando o comportamento posterior revela volume elevado de reclamações, estornos, mudanças frequentes de entidades, beneficiários relacionados ou padrões incompatíveis com o negócio declarado. O monitoramento contínuo de terceiros deve ser capaz de alterar classificação de risco, exigir diligência adicional e, quando necessário, interromper a relação.
Fonte: Federal Trade Commission
Corrupção interna mostra o risco de acessos privilegiados combinados com capacidade de alterar dados
O Departamento de Justiça dos Estados Unidos informou, em 9 de setembro, que um terceiro funcionário do Departamento do Tesouro de Porto Rico se declarou culpado, nos últimos três meses, em casos relacionados a fraude ou corrupção. No episódio mais recente, um empregado admitiu receber propina para inserir informações falsas e eliminar obrigações tributárias de pessoas e empresas.
O profissional possuía acesso privilegiado a plataformas tributárias e capacidade de consultar e modificar informações de contribuintes, incluindo créditos e dados relacionados a diferentes tributos. O esquema associado à sua confissão teria provocado perda aproximada de US$ 6,8 milhões. Considerados outros réus e empresas que já se declararam culpados em esquemas relacionados, as perdas superam US$ 14 milhões.
Por que acompanhar: segregação de funções precisa ser complementada por monitoramento sobre quem possui capacidade de alterar dados críticos. Controles maduros deveriam registrar alterações, comparar comportamento entre usuários, detectar modificações fora do padrão, revisar acessos privilegiados periodicamente e impedir que uma mesma pessoa consiga alterar informações relevantes sem supervisão proporcional ao risco.
Fonte: U.S. Department of Justice
Eventos, Pesquisas e Leituras Recomendadas
GAFI publica novos indicadores de risco para lavagem de dinheiro em jogos e apostas
O Grupo de Ação Financeira Internacional (GAFI/FATF) publicou, em 9 de setembro, novo material sobre riscos associados a jogos e apostas. O documento considera a crescente digitalização, internacionalização e interconexão desses serviços e apresenta indicadores relacionados a lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação.
A análise abrange cassinos, apostas, jogos online, plataformas digitais, meios de pagamento, operadores ilegais e suas conexões com o sistema financeiro.
Por que acompanhar: embora o documento tenha foco setorial, os indicadores interessam também a instituições financeiras, fintechs, meios de pagamento e empresas que monitoram transações. Ecossistemas digitais tornam mais difícil avaliar riscos exclusivamente pelo setor declarado de uma contraparte. Fluxos financeiros, beneficiários, geografia, velocidade das transações, meios de pagamento e conexões entre contas passam a oferecer uma visão mais consistente sobre o risco real.
Fonte: FATF/GAFI
Radar Estratégico
A substância da transação ganha espaço sobre a documentação formal. Notas fiscais, contratos, cadastros e documentos podem existir e ainda assim encobrir uma operação irregular. A pergunta de controle evolui de “há documentação?” para “a documentação representa o que efetivamente aconteceu?”.
Relacionamentos de terceiros precisam ser monitorados durante todo o ciclo. Os casos envolvendo fornecedores intermediários, empresas de fachada, processadores de pagamentos e subcontratados mostram que a diligência realizada antes da contratação não encerra o risco. Comportamento transacional e utilização efetiva do terceiro precisam ser acompanhados.
Cruzamento de dados amplia significativamente a capacidade de detectar fraude. O caso da Receita Federal demonstra como informações aparentemente comuns se tornam relevantes quando analisadas em conjunto. Empresas com grande volume de transações possuem oportunidade semelhante de transformar dados operacionais em indicadores preventivos.
Acesso privilegiado exige supervisão proporcional ao poder concedido. Administradores, integrantes de comitês e usuários de sistemas críticos podem combinar informação, influência e capacidade operacional. Controles de acesso deveriam considerar não apenas quem pode visualizar informações, mas também quem consegue alterá-las, utilizá-las ou influenciar decisões a partir delas.
Preservação de evidências começa no primeiro sinal de irregularidade. Documentos retrodatados, identidades falsas e registros manipulados reforçam a importância de preservar imediatamente dados, arquivos, comunicações e trilhas de auditoria quando uma investigação é iniciada.
O que Conselhos e Comitês deveriam discutir
- Nossos controles conseguem demonstrar que pagamentos relevantes correspondem a serviços efetivamente prestados, ou dependemos predominantemente de contratos, notas fiscais e aprovações formais?
- Quais terceiros possuem capacidade de movimentar recursos, acessar dados, interagir com clientes ou executar atividades em nome da organização — e como seu comportamento é monitorado após a contratação?
- Quem dentro da organização possui acesso privilegiado a informações ou sistemas críticos e quais mecanismos independentes conseguem identificar eventual abuso desse acesso?
- Se uma investigação relevante começasse hoje, conseguiríamos preservar imediatamente documentos, mensagens, registros de sistemas e demais evidências sem permitir alterações posteriores?
Kassy Consultoria Analisa
Os acontecimentos desta semana apresentam um padrão consistente: muitas fraudes não dependem da ausência de controles. Elas dependem da capacidade de produzir evidências aparentemente legítimas para atravessar controles que verificam apenas a forma.
Uma nota fiscal pode justificar contabilmente um pagamento. Uma empresa regularmente constituída pode superar uma diligência cadastral. Um documento pode conferir credibilidade a uma proposta. Um usuário autorizado pode alterar legitimamente determinado registro. O problema surge quando o controle confirma apenas que cada elemento existe, sem avaliar se existe coerência entre eles.
A evolução observada nas autoridades também aponta nessa direção. A Receita Federal identificou pedidos suspeitos ao relacionar dados fiscais, previdenciários e cadastrais. A FTC questionou a atuação de uma infraestrutura de pagamentos diante de empresas de fachada. Investigações do DOJ mostram terceiros e documentação sendo utilizados para ocultar pagamentos indevidos, enquanto outro caso demonstra como acesso legítimo a sistemas pode ser convertido em instrumento de corrupção.
Uma estrutura madura de GRC precisa, portanto, avançar da conformidade documental para a validação de substância. Isso significa cruzar dados, compreender relações entre pessoas e empresas, monitorar terceiros ao longo do tempo, revisar acessos privilegiados e preservar evidências capazes de reconstruir decisões e transações.
Para conselhos, comitês e lideranças, a pergunta desta semana é: nossos controles conseguem identificar quando uma operação formalmente correta não representa aquilo que realmente aconteceu?
Conheça nossos serviços
