Boletim de Inteligência – 20ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
Operação identifica movimentações de R$ 7,6 bilhões e expõe utilização de empresas legítimas como infraestrutura de lavagem de dinheiro
A Polícia Federal deflagrou, em 15 de outubro, a oitava fase da Operação Unha e Carne, destinada a desarticular uma organização criminosa suspeita de utilizar uma rede de postos de combustíveis na Região Metropolitana do Rio de Janeiro para lavagem de dinheiro.
Segundo a investigação, um Relatório de Inteligência Financeira do Conselho de Controle de Atividades Financeiras (Coaf) identificou movimentações superiores a R$ 7,6 bilhões nos últimos seis anos, relacionadas à estrutura investigada.
A Justiça determinou o sequestro de bens e valores e a suspensão das atividades econômicas de 112 empresas, incluindo 96 postos de combustíveis que, segundo a PF, eram utilizados para conferir aparência de legalidade a recursos de origem criminosa.
A operação também investiga a possível participação de agentes públicos e a prática de crimes como corrupção, violação de sigilo funcional, comercialização irregular de combustíveis e formação de cartel. Foram cumpridos seis mandados de prisão preventiva e 16 de busca e apreensão em municípios fluminenses.
Fonte: Polícia Federal – Operação Unha e Carne
Investigações Corporativas, Fraudes e Integridade
Fraude envolvendo profissionais de tecnologia contratados remotamente expõe riscos de identidade, terceiros e segurança corporativa
O Departamento de Justiça dos Estados Unidos anunciou, em 13 de outubro, acusações contra 14 pessoas por suposta participação em um esquema de contratação fraudulenta de profissionais de tecnologia que afetou mais de 70 empresas norte-americanas.
Segundo a acusação, integrantes da organização teriam facilitado a contratação remota de profissionais que atuavam em benefício da Coreia do Norte, utilizando identidades e estruturas destinadas a ocultar sua verdadeira localização e vinculação.
Entre os mecanismos investigados estavam as chamadas laptop farms, estruturas nas quais computadores corporativos fornecidos pelas empresas contratantes eram mantidos fisicamente em residências nos Estados Unidos, enquanto os serviços eram executados remotamente por pessoas localizadas em outros países.
O esquema teria gerado aproximadamente US$ 3 milhões em receitas, possivelmente destinadas a entidades sancionadas vinculadas ao governo norte-coreano. As empresas afetadas atuavam em diferentes setores, incluindo saúde, tecnologia, comunicações, varejo e indústria.
O FBI também divulgou um alerta específico sobre a utilização de intermediários e subcontratados para contornar os mecanismos de verificação adotados pelas empresas.
Fonte: U.S. Department of Justice
Operação Res Publica evidencia como falhas na destinação de ativos podem produzir perdas e irregularidades patrimoniais
A Controladoria-Geral da União e a Polícia Federal deflagraram, em 14 de outubro, a Operação Res Publica, destinada a investigar suspeitas de venda irregular de veículos e outros bens públicos que deveriam ter recebido destinação específica.
A investigação começou a partir de denúncia registrada na plataforma Fala.BR, que motivou auditoria da CGU sobre um procedimento realizado em 2021 para destinação de bens classificados como inservíveis, irrecuperáveis ou antieconômicos.
Segundo a CGU, uma organização social havia sido selecionada para receber e destinar os bens, priorizando instituições filantrópicas e determinados grupos sociais. Entretanto, foram identificados indícios de comercialização irregular de veículos e possível obtenção de vantagens indevidas.
O prejuízo potencial ao patrimônio público foi estimado em aproximadamente R$ 4,4 milhões. A operação envolveu 11 mandados de busca e apreensão em Santa Catarina e Mato Grosso do Sul.
Fonte: Controladoria-Geral da União
Fraudes bancárias no Pará mostram combinação entre documentos falsos, informações privilegiadas e movimentações patrimoniais
A Polícia Federal deflagrou, em 15 de outubro, a Operação Clones II, destinada a aprofundar investigações sobre suspeitas de fraudes bancárias, falsificação documental, obtenção irregular de créditos e lavagem de dinheiro no Pará.
Segundo a PF, a investigação teve origem na identificação de saque indevido de valores pertencentes a uma correntista falecida, realizado mediante utilização de documentação falsa.
As apurações identificaram indícios de outras operações fraudulentas, incluindo obtenção irregular de créditos e movimentação de recursos em benefício dos investigados. Também está sendo examinada a possível utilização de informações bancárias privilegiadas e a participação de um servidor público federal.
O esquema teria movimentado aproximadamente R$ 3 milhões. A investigação contempla ainda possíveis mecanismos de ocultação patrimonial, utilização de terceiros e aquisição de bens incompatíveis com a renda formal dos envolvidos.
Fonte: Polícia Federal – Operação Clones II
Regulatório, Compliance e Governança
União Europeia amplia sanções contra empresas e intermediários envolvidos em mecanismos de evasão de restrições comerciais
O Conselho da União Europeia anunciou, em 15 de outubro, a inclusão de três pessoas físicas e nove entidades em seu regime de sanções relacionado à guerra na Ucrânia.
As medidas alcançam empresas e indivíduos suspeitos de facilitar a importação de produtos sujeitos a restrições para a Rússia, além de estruturas utilizadas para contornar sanções relacionadas a operações financeiras e ao comércio de petróleo.
Entre os alvos estão operadores logísticos, despachantes aduaneiros, empresas comerciais, intermediários financeiros e organizações vinculadas ao transporte marítimo.
As entidades identificadas estão localizadas em diferentes jurisdições, incluindo Rússia, Turquia, Emirados Árabes Unidos, Índia e Seychelles.
As medidas incluem congelamento de ativos e proibição de disponibilização direta ou indireta de recursos financeiros ou econômicos aos sancionados, conforme o regime aplicável.
Fonte: Conselho da União Europeia
DOJ estabelece procedimento integrado de autodenúncia para fraudes corporativas no setor de saúde
O Departamento de Justiça dos Estados Unidos e o Office of Inspector General do Departamento de Saúde e Serviços Humanos anunciaram, em 15 de outubro, uma nova política para simplificar a comunicação voluntária de possíveis condutas criminosas relacionadas a programas federais de saúde.
Pelo procedimento, empresas que identificarem possíveis irregularidades criminais poderão realizar a comunicação diretamente à área especializada em fraudes de saúde do DOJ, sem necessidade de apresentar uma segunda comunicação ao HHS-OIG para obter os benefícios previstos nos respectivos programas.
A nova orientação esclarece a relação entre a política de responsabilização corporativa do DOJ e o protocolo de autodenúncia do HHS-OIG, buscando reduzir dúvidas sobre qual autoridade deve receber informações relacionadas a condutas que possam gerar consequências criminais, civis e administrativas.
A medida também estabelece que comunicações realizadas exclusivamente ao HHS-OIG, em situações de possível natureza criminal, geralmente não serão suficientes para caracterizar autodenúncia voluntária perante o DOJ.
Fonte: U.S. Department of Justice
Privacidade, Segurança da Informação e Tecnologia
FTC acusa empresa de investigação digital de produzir evidências falsas e cobrar por serviços não realizados
A Federal Trade Commission anunciou, em 13 de outubro, uma ação judicial contra uma empresa norte-americana de serviços de investigação digital e seu principal executivo, acusados de utilizar práticas enganosas na oferta de serviços destinados a vítimas de extorsão envolvendo imagens íntimas.
Segundo a autoridade, a empresa teria recebido pelo menos US$ 60 milhões de consumidores mediante promessas de identificação de criminosos, produção de relatórios investigativos e comunicação às autoridades policiais.
A FTC alega que, em diferentes situações, os serviços contratados não foram efetivamente executados. Entre as práticas investigadas estão a produção de informações investigativas fictícias, registros de conversas simulados, avaliações positivas falsas e utilização de estratégias comerciais baseadas no medo das vítimas.
Os serviços eram comercializados por valores que variavam de US$ 1.499 a US$ 20 mil. A Justiça Federal concedeu medida para interromper temporariamente as atividades investigadas. As acusações ainda serão examinadas judicialmente.
Fonte: Federal Trade Commission
Auditoria, Controles Internos e Gestão de Riscos
CVM publica resolução que institui programa experimental para testar tokenização de valores mobiliários
A Comissão de Valores Mobiliários publicou, em 14 de outubro, a Resolução CVM 249, que institui o Programa Piloto DLT CVM, destinado à realização de testes com tecnologias de registro distribuído no mercado de capitais brasileiro.
A norma representa um avanço concreto em relação às iniciativas apresentadas pelo Grupo de Trabalho de Tokenização na semana anterior, ao estabelecer formalmente o programa experimental e seus objetivos.
O programa permitirá avaliar processos de emissão, oferta, distribuição, negociação, escrituração, custódia, depósito centralizado e liquidação de valores mobiliários em infraestruturas baseadas em tecnologia de registro distribuído.
Entre os objetivos estão a identificação de vulnerabilidades, riscos operacionais, limitações de interoperabilidade e eventuais lacunas regulatórias.
A iniciativa contempla diferentes espécies de valores mobiliários, incluindo ações, debêntures, certificados de recebíveis e cotas de fundos de investimento.
A CVM informou que os resultados dos testes serão utilizados para subsidiar avaliações técnicas e possíveis aperfeiçoamentos regulatórios.
Fonte: Comissão de Valores Mobiliários
Radar Estratégico
A integridade das operações depende cada vez mais da compreensão das redes de relacionamento. Investigações envolvendo lavagem de dinheiro, evasão de sanções e fraudes financeiras demonstram que riscos relevantes podem permanecer ocultos quando pessoas, empresas, contas e transações são avaliadas separadamente. A capacidade de identificar conexões econômicas e operacionais torna-se essencial.
Identidade e acesso estão se consolidando como riscos transversais. A utilização de identidades falsas em contratações remotas e fraudes bancárias evidencia que controles de identidade não podem ficar restritos à validação inicial. É necessário acompanhar quem efetivamente executa atividades, utiliza sistemas e movimenta recursos em nome da organização.
A confiabilidade das evidências tornou-se um elemento central da governança. Documentos, relatórios investigativos, registros digitais e informações apresentadas por terceiros podem ser manipulados ou produzidos artificialmente. Estruturas maduras precisam validar a origem das informações e preservar a rastreabilidade dos procedimentos que sustentam decisões.
O ambiente regulatório está valorizando mecanismos estruturados de identificação e resposta. A nova política de autodenúncia do DOJ e as iniciativas experimentais da CVM demonstram abordagens diferentes, mas complementares: autoridades buscam criar condições para que riscos sejam identificados, comunicados, avaliados e tratados com maior previsibilidade.
Controles precisam acompanhar todo o ciclo de vida dos ativos e relacionamentos. A destinação irregular de bens públicos e a utilização de empresas legítimas em atividades ilícitas mostram que riscos podem surgir após a contratação, durante a operação ou no encerramento de determinado processo. A supervisão deve acompanhar essas diferentes etapas.
O que Conselhos e Comitês deveriam discutir
- Nossos processos de diligência e monitoramento conseguem identificar relações econômicas e operacionais entre terceiros, beneficiários finais e intermediários que não aparecem diretamente nos contratos?
- Como demonstramos que as pessoas que acessam nossos sistemas e executam atividades críticas correspondem efetivamente às identidades e aos perfis autorizados, especialmente em ambientes de trabalho remoto e terceirização?
- Nossas investigações internas e avaliações de compliance possuem mecanismos suficientes para assegurar a autenticidade das evidências, a qualidade dos procedimentos e a independência das conclusões?
- Se uma irregularidade relevante fosse identificada hoje, nossa governança estaria preparada para preservar evidências, definir responsabilidades, deliberar sobre comunicação às autoridades e acompanhar a remediação em tempo adequado?
Kassy Consultoria Analisa
Os acontecimentos desta semana evidenciam um desafio recorrente para a governança corporativa: a existência de estruturas formalmente legítimas não garante que as atividades realizadas por meio delas sejam igualmente legítimas.
Empresas regularmente constituídas podem integrar redes de lavagem de dinheiro. Profissionais formalmente contratados podem utilizar identidades que não correspondem à realidade. Documentos podem sustentar operações fraudulentas. Relatórios investigativos podem apresentar informações que não resultam de procedimentos efetivamente executados. Em todos esses exemplos, o risco está associado à diferença entre aquilo que a organização consegue verificar formalmente e aquilo que efetivamente acontece.
Essa diferença exige uma evolução na forma como programas de GRC são estruturados. A verificação documental continua necessária, mas precisa ser complementada por monitoramento de comportamento, análise de relacionamentos, validação independente de informações e mecanismos capazes de identificar incompatibilidades entre registros e realidade operacional. O mesmo princípio se aplica à gestão de terceiros, à segurança da informação, às investigações corporativas e aos processos financeiros.
Os movimentos regulatórios também apontam para a importância de estruturas capazes de responder adequadamente aos problemas identificados. A política de autodenúncia do DOJ reforça a relevância de procedimentos claros de investigação, escalonamento e remediação. A iniciativa da CVM demonstra que novas tecnologias precisam ser acompanhadas por avaliações concretas de riscos e controles antes de sua adoção em escala. Em ambos os casos, a maturidade está relacionada à capacidade de transformar informação em decisões fundamentadas.
Para conselhos, comitês e lideranças, a reflexão desta semana é: nossos mecanismos de governança estão preparados apenas para verificar a regularidade formal das operações ou também conseguem demonstrar que aquilo que os documentos, sistemas e relatórios apresentam corresponde ao que realmente acontece no negócio?
Conheça nossos serviços