Boletim de Inteligência – 7ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Investigações Corporativas, Fraudes e Integridade
Dois ex-funcionários de banco são condenados por facilitar lavagem de dinheiro e fraudes
O Departamento de Justiça dos Estados Unidos anunciou a condenação de dois ex-funcionários do TD Bank por condutas relacionadas a lavagem de dinheiro, fraude bancária e falsificação de registros. Um deles teria utilizado sua posição de gerente assistente para facilitar a movimentação de centenas de milhões de dólares, omitir informações obrigatórias em reportes bancários e processar operações mesmo após alertas internos sobre atividades suspeitas. O segundo teria recebido pagamentos indevidos para acessar informações confidenciais de clientes, facilitar fraudes e falsificar registros para abertura de conta em nome de empresa de fachada.
Por que acompanhar: o caso demonstra que controles automatizados e políticas de PLD/FTP podem ser neutralizados quando colaboradores com acesso privilegiado participam da irregularidade ou ignoram sinais de alerta. Instituições precisam combinar monitoramento transacional com supervisão de usuários privilegiados, análise de comportamentos atípicos, segregação de funções, revisão independente de exceções e mecanismos seguros de comunicação interna.
Fonte: Departamento de Justiça dos Estados Unidos
Empresa e CEO celebram acordo de US$ 7,3 milhões por alegada evasão de direitos antidumping
A Redi-Bag USA e seu CEO concordaram em pagar US$ 7,3 milhões para encerrar alegações de que teriam prestado informações incorretas sobre a origem de mercadorias importadas. Segundo o Departamento de Justiça dos Estados Unidos, produtos fabricados na China teriam sido transportados por Hong Kong e declarados como originários daquele território, evitando a incidência de direitos antidumping. O caso teve origem em denúncia apresentada por um ex-representante comercial da empresa.
Por que acompanhar: investigações aduaneiras frequentemente envolvem documentação de origem, classificação fiscal, intermediários, despachantes e fornecedores internacionais. Empresas que atuam no comércio exterior precisam validar a substância das operações, manter rastreabilidade documental, supervisionar terceiros e assegurar que decisões de executivos não comprometam os controles de importação e exportação.
Fonte: Departamento de Justiça dos Estados Unidos
Regulatório, Compliance e Governança
Cade investiga troca de informações sensíveis no mercado internacional de fragrâncias
A Superintendência-Geral do Conselho Administrativo de Defesa Econômica instaurou processo administrativo para investigar possíveis condutas anticompetitivas no mercado internacional de fragrâncias, com efeitos no Brasil. São investigadas três empresas e seis dirigentes e ex-dirigentes por supostos acordos entre concorrentes para compartilhamento de informações comercialmente sensíveis. As evidências foram apresentadas por meio de acordo de leniência celebrado com a autoridade.
Por que acompanhar: a troca de dados sobre preços, clientes, volumes, estratégias comerciais, capacidade produtiva ou condições de negociação pode representar risco concorrencial mesmo sem um acordo formal de fixação de preços. Empresas devem estabelecer regras claras para contatos com concorrentes, associações setoriais, pesquisas de mercado, benchmarking e reuniões comerciais, além de manter treinamentos e protocolos de interrupção e reporte de conversas inadequadas.
Fonte: Cade
FTC obtém acordo de US$ 12 milhões por falhas na notificação prévia de aquisição
A Federal Trade Commission anunciou acordo envolvendo penalidades de US$ 12 milhões por alegado descumprimento das regras de notificação e espera prévia aplicáveis a operações societárias nos Estados Unidos. Segundo a autoridade, as partes teriam estruturado uma aquisição no setor de dispositivos médicos de maneira a evitar a análise concorrencial obrigatória. O valor representa a maior penalidade já obtida pela FTC por ausência de notificação nos termos da legislação aplicável.
Por que acompanhar: estruturas contratuais complexas, aquisições em etapas, opções, licenças exclusivas e direitos de influência podem produzir consequências regulatórias antes mesmo da transferência formal do controle. Processos de M&A devem incluir avaliação concorrencial desde a modelagem da operação, com registro das decisões, validação das condições precedentes e restrições claras à integração antecipada.
Fonte: Federal Trade Commission
CVM e Receita Federal ampliam integração cadastral e intercâmbio de informações
O Colegiado da Comissão de Valores Mobiliários aprovou acordo de cooperação técnica com a Receita Federal para integrar procedimentos relacionados ao cadastro, à alteração e à baixa de dados do CNPJ de participantes registrados no mercado de capitais. A parceria também prevê o intercâmbio de informações e o aprimoramento dos processos de coleta, tratamento, compartilhamento e armazenamento de dados cadastrais.
Por que acompanhar: a ampliação da interoperabilidade entre órgãos reguladores aumenta a capacidade de identificar divergências, inconsistências e informações desatualizadas. Entidades supervisionadas precisam fortalecer a governança de dados cadastrais, estabelecer responsáveis por atualizações regulatórias e assegurar coerência entre informações societárias, fiscais, financeiras e operacionais apresentadas às autoridades.
Fonte: CVM
SEC propõe entrega eletrônica como padrão para comunicações regulatórias
A Securities and Exchange Commission apresentou proposta para tornar o meio eletrônico a forma padrão de entrega de diversas informações regulatórias a investidores. A medida alcançaria documentos como prospectos, relatórios periódicos de fundos, procurações, confirmações de operações e formulários de relacionamento. A proposta prevê comunicações de transição e a possibilidade de o destinatário optar pelo recebimento em papel.
Por que acompanhar: a digitalização das comunicações não elimina a obrigação de demonstrar que a informação permaneceu disponível, acessível e íntegra. Instituições precisam estruturar controles sobre preferências dos usuários, falhas de entrega, acessibilidade, autenticação, segurança dos canais, retenção documental e evidências de disponibilização.
Fonte: Securities and Exchange Commission
Privacidade, Segurança da Informação e Tecnologia
EDPB publica diretrizes sobre anonimização, web scraping para IA generativa e blockchain
O European Data Protection Board aprovou novas diretrizes sobre anonimização e sobre o uso de web scraping no desenvolvimento de inteligência artificial generativa, além da versão final de suas orientações para tratamento de dados pessoais por tecnologias blockchain. O material apresenta critérios para avaliar se dados foram efetivamente anonimizados e aborda bases legais, transparência, minimização, precisão e tratamento de categorias especiais de dados em processos automatizados de coleta.
Por que acompanhar: coletar informações disponíveis na internet não significa que elas possam ser utilizadas livremente para treinamento de modelos. Organizações precisam identificar as fontes utilizadas, documentar a finalidade, registrar o momento da coleta, avaliar a confiabilidade dos dados, reduzir informações desnecessárias e implementar medidas para evitar o tratamento indevido de dados sensíveis.
Fonte: European Data Protection Board
EDPB pede base legal para compartilhamento de informações entre reguladores digitais
O European Data Protection Board defendeu a criação de uma base jurídica clara para permitir o intercâmbio de informações, inclusive confidenciais, entre autoridades com competências regulatórias distintas. A iniciativa considera a crescente interdependência entre proteção de dados, inteligência artificial, defesa do consumidor, concorrência, segurança cibernética e regulação de plataformas digitais.
Por que acompanhar: a cooperação entre autoridades reduz a possibilidade de que riscos sejam analisados de forma isolada. Uma mesma prática empresarial pode gerar consequências simultâneas em privacidade, concorrência, consumo, tecnologia e segurança da informação. As empresas devem adotar governança integrada, com critérios comuns para avaliação de riscos, registro de decisões e resposta a fiscalizações.
Fonte: European Data Protection Board
ENISA lança modelo de maturidade em resiliência cibernética para pequenas e médias empresas
A Agência da União Europeia para a Cibersegurança publicou um modelo de avaliação de maturidade destinado a pequenas e médias empresas que precisam se preparar para o Cyber Resilience Act. A metodologia avalia governança e documentação, gestão de riscos e segurança desde a concepção, gestão de vulnerabilidades e atualizações, ciclo de vida de produtos e competências organizacionais. O material prevê níveis básico, intermediário e avançado, além de uma ferramenta para realização de autoavaliações.
Por que acompanhar: embora direcionado ao contexto europeu, o modelo oferece uma referência prática para empresas de tecnologia, desenvolvedores, integradores e fornecedores de produtos digitais. A metodologia pode apoiar diagnósticos de segurança, diligências de terceiros, auditorias, planos de remediação e acompanhamento da evolução dos controles ao longo do ciclo de vida dos produtos.
Fonte: ENISA
Auditoria, Controles Internos e Gestão de Riscos
FATF mapeia 84 parcerias público-privadas para combater finanças ilícitas
O Financial Action Task Force publicou estudo global sobre mecanismos de compartilhamento de informações voltados ao combate à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação. O levantamento identificou ao menos 84 parcerias público-privadas em diferentes países e analisou modelos de intercâmbio de tipologias, sinais de alerta, inteligência sobre casos, dados de clientes e informações de operações suspeitas.
Por que acompanhar: o estudo demonstra uma transição de modelos de compliance baseados apenas no reporte individual para estruturas colaborativas de inteligência financeira. A efetividade dessas iniciativas depende de base legal, governança clara, segurança tecnológica, delimitação de responsabilidades e compatibilidade com regras de privacidade e proteção de dados.
Fonte: Financial Action Task Force
Kassy Consultoria Analisa
As atualizações desta semana revelam que alguns dos principais riscos corporativos surgem nas conexões entre pessoas, processos, organizações e sistemas.
Funcionários com acessos privilegiados podem contornar controles financeiros. Informações incorretas transmitidas por fornecedores e intermediários podem comprometer operações internacionais. Contatos aparentemente rotineiros com concorrentes podem produzir exposição concorrencial. Estruturas societárias podem gerar obrigações antes da conclusão formal de uma aquisição. Dados obtidos publicamente podem permanecer sujeitos a regras de privacidade e governança.
Ao mesmo tempo, autoridades estão ampliando o compartilhamento de informações e a capacidade de confrontar dados provenientes de diferentes fontes. Isso exige que as organizações também superem estruturas fragmentadas.
Programas de GRC mais maduros conectam compliance, controles internos, jurídico, auditoria, privacidade, segurança da informação, compras, tecnologia e gestão de terceiros. A efetividade não depende apenas da existência de políticas, mas da capacidade de identificar inconsistências, documentar decisões, investigar sinais de alerta e demonstrar que os controles funcionam na prática.
