Boletim de Inteligência – 9ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
DOJ deixa de processar empresa após autodenúncia, cooperação e remediação do programa de compliance
O Departamento de Justiça dos Estados Unidos decidiu não processar a Campus Eye Management Holdings e sua subsidiária por possíveis fraudes contra o sistema de saúde, pagamentos indevidos e conspiração. A resolução considerou a autodenúncia voluntária e tempestiva, a cooperação proativa com a investigação, a adoção de medidas de remediação e o compromisso de restituir US$ 1 milhão às vítimas.
Entre as providências reconhecidas pelo DOJ estão a revisão de políticas de faturamento, pagamentos e remuneração, a realização de avaliações periódicas de riscos, o fortalecimento do monitoramento, a contratação de profissionais com responsabilidades de compliance e a implementação de treinamentos. Separadamente, o fundador e então CEO foi acusado de participar de um esquema que teria gerado aproximadamente US$ 3,4 milhões em cobranças fraudulentas ao Medicare e ocultado pagamentos indevidos por meio de contratos fictícios de consultoria.
Por que acompanhar: o caso oferece uma referência concreta sobre os elementos considerados por uma autoridade ao avaliar a resposta corporativa a uma irregularidade. Autodenúncia, cooperação e remediação somente produzem efeitos quando são sustentadas por investigação independente, preservação de evidências, rapidez na tomada de decisão e mudanças verificáveis no ambiente de controles. O episódio também demonstra que uma resolução favorável à organização não impede a responsabilização individual de executivos.
Fonte: Departamento de Justiça dos Estados Unidos
Investigações Corporativas, Fraudes e Integridade
Operação Delivery apura pagamentos percentuais sobre contratos e uso de informações privilegiadas
A Polícia Federal e a Controladoria-Geral da União deflagraram a Operação Delivery para aprofundar investigação sobre possíveis crimes de corrupção e desvio de recursos federais durante a execução de obras públicas em Murici, Alagoas. A apuração teve origem na prisão de uma pessoa que transportava R$ 270 mil e identificou indícios de solicitação de vantagens indevidas por agentes públicos municipais.
Segundo as autoridades, os pagamentos teriam sido calculados como percentuais dos valores de contratos relacionados à construção e reforma de escolas e quadras esportivas, em contrapartida ao compartilhamento de informações privilegiadas e a favorecimentos em licitações. A operação cumpriu seis mandados de busca e apreensão, determinou o afastamento de servidores e resultou no bloqueio de aproximadamente R$ 1,3 milhão.
Por que acompanhar: esquemas de corrupção podem ser incorporados à rotina dos contratos por meio de percentuais, comissões, taxas, medições, aditivos e pagamentos aparentemente regulares. Empresas que mantêm relações com o poder público devem monitorar contatos com agentes públicos, alterações contratuais, liberações de pagamentos, intermediários e solicitações excepcionais, além de estabelecer mecanismos seguros para o reporte de abordagens indevidas.
Fonte: Polícia Federal
Regulatório, Compliance e Governança
CVM registra 969 processos com potencial sancionador e amplia comunicações de indícios de crimes
A Comissão de Valores Mobiliários publicou o Relatório da Atividade Sancionadora referente ao primeiro trimestre de 2026. Ao final de março, 969 processos administrativos com potencial sancionador estavam em andamento nas áreas técnicas responsáveis por supervisão, apuração e investigação.
No período, 19 processos resultaram em acusações, foram emitidos 37 ofícios de alerta e oito ordens de suspensão de atividades. A CVM também aprovou seis termos de compromisso, relacionados a nove processos, que totalizaram R$ 5,45 milhões. Além disso, encaminhou 20 comunicações ao Ministério Público envolvendo indícios de crimes, entre eles atuação sem autorização, fraudes com ativos virtuais, valores mobiliários ou ativos financeiros, gestão fraudulenta e estelionato.
Por que acompanhar: os dados demonstram que a supervisão administrativa está cada vez mais conectada à apuração de possíveis ilícitos criminais. Entidades reguladas precisam estruturar processos integrados entre compliance, jurídico, controles internos, auditoria e investigações, assegurando que inconsistências sejam identificadas, escaladas, documentadas e tratadas antes de evoluírem para procedimentos sancionadores ou comunicações a outras autoridades.
Fonte: Comissão de Valores Mobiliários
Privacidade, Segurança da Informação e Tecnologia
FTC processa empresa de telemedicina por compartilhamento de dados de saúde e práticas de assinatura
A Federal Trade Commission, acompanhada por autoridades de Utah e da Califórnia, ajuizou ação contra a empresa de telemedicina Hims & Hers. A acusação sustenta que a companhia teria compartilhado informações sensíveis sobre condições de saúde com plataformas de publicidade, incluindo Meta e Snap, apesar das garantias de privacidade apresentadas aos usuários.
Segundo a ação, listas de clientes e informações sobre ações realizadas no site teriam sido transmitidas por tecnologias de rastreamento de terceiros. A empresa também é acusada de efetuar cobranças e inscrever usuários em tratamentos recorrentes pouco depois do preenchimento de formulários, além de dificultar o cancelamento das assinaturas. As alegações ainda serão avaliadas pelo Poder Judiciário.
Por que acompanhar: privacidade, marketing digital, experiência do usuário, cobrança e cancelamento não podem ser administrados como temas independentes. Organizações precisam manter inventário das ferramentas de rastreamento, validar os dados transmitidos a plataformas externas, revisar as declarações feitas aos usuários e submeter jornadas de contratação e cancelamento à análise conjunta de produto, jurídico, compliance e privacidade.
Fonte: Federal Trade Commission
ANPD publica estudo sobre deepfakes e os novos desafios para a autenticidade das informações
A Agência Nacional de Proteção de Dados publicou o sexto volume da série Radar Tecnológico, dedicado aos deepfakes. O estudo examina a utilização de inteligência artificial generativa para criar ou modificar áudios, fotografias e vídeos com elevado grau de realismo, além de analisar seus efeitos sobre a proteção de dados, a segurança digital e os direitos das pessoas.
A publicação aborda riscos como clonagem de voz e identidade, golpes, conteúdos íntimos não consentidos, manipulação de informações e violência digital. A ANPD destaca que evidências visuais e sonoras já não podem ser consideradas, isoladamente, garantias de autenticidade.
Por que acompanhar: deepfakes afetam diretamente investigações corporativas, canais de denúncia, processos de identificação, autorizações, reuniões remotas e validação de evidências. Empresas precisam estabelecer procedimentos para análise de origem, metadados, contexto, integridade do arquivo e confirmação independente, evitando decisões relevantes baseadas exclusivamente em imagens, vídeos, áudios ou capturas de tela.
Fonte: Agência Nacional de Proteção de Dados
CISA e parceiros internacionais atualizam os elementos mínimos de uma lista de componentes de software
A Cybersecurity and Infrastructure Security Agency, em conjunto com diversas autoridades internacionais, publicou a versão de 2026 dos elementos mínimos para uma Software Bill of Materials, conhecida como SBOM. O documento atualiza a referência lançada em 2021 e orienta organizações que produzem, contratam ou utilizam software.
A nova versão acrescenta informações como assinatura do autor da SBOM, formato e versão dos dados, contexto de geração, ferramenta utilizada, versão do documento, hash dos componentes e respectivas licenças. Também reforça a necessidade de dados processáveis por máquinas, atualização ao longo do ciclo de vida e identificação explícita de informações desconhecidas.
Por que acompanhar: conhecer os componentes de um software tornou-se requisito para responder rapidamente a vulnerabilidades, avaliar fornecedores e compreender dependências críticas. Empresas devem incorporar exigências de SBOM aos processos de aquisição, desenvolvimento e homologação, definir responsáveis por sua atualização e conectar essas informações ao inventário de ativos, à gestão de vulnerabilidades e ao monitoramento de terceiros.
Fonte: CISA
ENISA transforma princípios de segurança desde a concepção em ações aplicáveis ao ciclo de produtos digitais
A Agência da União Europeia para a Cibersegurança publicou um guia prático sobre os princípios de secure by design e secure by default. O material apresenta ações repetíveis que podem ser incorporadas aos processos de engenharia, desenvolvimento, produto e liberação, com atenção especial às dificuldades enfrentadas por pequenas e médias empresas.
A publicação é acompanhada por um repositório com 22 playbooks voltados à aplicação dos princípios de segurança durante o ciclo de vida dos produtos com elementos digitais.
Por que acompanhar: segurança desde a concepção exige decisões concretas sobre arquitetura, configurações padrão, autenticação, privilégios, atualização, tratamento de vulnerabilidades e encerramento do suporte. A responsabilidade não deve permanecer exclusivamente com a equipe de segurança: produto, engenharia, jurídico, compliance, compras e gestão de riscos precisam participar dos critérios de aprovação antes do lançamento.
Fonte: ENISA
Auditoria, Controles Internos e Gestão de Riscos
FATF identifica avanço formal e lacunas operacionais na supervisão de ativos virtuais
O Financial Action Task Force publicou sua sétima atualização sobre a implementação das regras de prevenção à lavagem de dinheiro e ao financiamento do terrorismo aplicáveis a ativos virtuais e prestadores de serviços do setor. Entre as jurisdições participantes da pesquisa, 86% informaram ter realizado avaliações de risco relacionadas a ativos virtuais, percentual superior aos 76% registrados em 2025.
Apesar do avanço, apenas 48 das 149 jurisdições avaliadas atenderam integralmente ou majoritariamente aos critérios relativos à avaliação de riscos e à aplicação de uma abordagem baseada em risco. O relatório aponta lacunas em licenciamento, registro, supervisão, Travel Rule e fiscalização, além de riscos relacionados a stablecoins, carteiras não custodiadas, prestadores offshore, estruturas de finanças descentralizadas e uso de inteligência artificial para fraudes, identidades sintéticas, ataques e movimentação de recursos.
Por que acompanhar: controles tradicionais de PLD/FTP não são suficientes quando ativos digitais, fraude, cibersegurança, sanções e inteligência artificial compartilham a mesma infraestrutura. Instituições precisam integrar dados cadastrais, análise transacional, inteligência on-chain, monitoramento de sanções, avaliação de jurisdições, prevenção a identidades sintéticas e resposta rápida a movimentações suspeitas.
Fonte: Financial Action Task Force
Radar Estratégico
- Autodenúncia como decisão de governança: autoridades estão oferecendo benefícios concretos a organizações que detectam irregularidades, comunicam os fatos tempestivamente, cooperam e demonstram remediação efetiva.
- Autenticidade tornou-se um problema corporativo: deepfakes, documentos sintéticos e identidades artificiais exigem novos métodos de validação de evidências, comunicações e autorizações.
- Compliance incorporado ao desenho da experiência digital: rastreamento, publicidade, assinaturas, cancelamentos e configurações padrão podem gerar riscos combinados de privacidade, consumo e reputação.
- Cadeias de software estão se tornando auditáveis: SBOM, segurança desde a concepção e gestão do ciclo de vida passam a integrar contratações, diligências, auditorias e exigências regulatórias.
- Convergência dos riscos financeiros e tecnológicos: fraude, lavagem de dinheiro, ativos virtuais, sanções, segurança cibernética e IA já não podem ser monitorados por estruturas isoladas.
O que Conselhos e Comitês deveriam discutir
- A organização possui critérios, responsabilidades e alçadas claramente definidos para decidir sobre uma autodenúncia após a identificação de uma irregularidade relevante?
- Os documentos, áudios, vídeos, capturas de tela e demais evidências utilizados em investigações e decisões sensíveis são submetidos a validações de origem e integridade?
- Tecnologias de rastreamento, jornadas de contratação, cobranças recorrentes e procedimentos de cancelamento são revisados conjuntamente por produto, marketing, jurídico, privacidade e compliance?
- A empresa conhece os componentes de software presentes em seus sistemas críticos e consegue identificar rapidamente sua exposição quando uma nova vulnerabilidade é divulgada?
Kassy Consultoria Analisa
As atualizações desta semana demonstram que autoridades e reguladores estão avaliando menos a existência formal das políticas e mais a capacidade das organizações de apresentar evidências sobre o funcionamento de seus controles.
No caso da autodenúncia, não foi suficiente comunicar a irregularidade. A decisão considerou a qualidade da investigação, a cooperação, a restituição de valores e as mudanças realizadas no programa de compliance. Da mesma forma, as iniciativas sobre deepfakes, SBOM e segurança desde a concepção mostram que documentos, arquivos, produtos e sistemas precisam possuir origem, composição e histórico verificáveis.
Os riscos também estão se aproximando. Uma ferramenta de rastreamento pode criar simultaneamente exposição de privacidade, consumo e reputação. Uma identidade sintética pode ser utilizada para fraude, lavagem de dinheiro e evasão de sanções. Uma dependência desconhecida de software pode comprometer fornecedores, operações e informações sensíveis.
Estruturas maduras de GRC conectam investigação, dados, tecnologia, controles internos, jurídico, privacidade, segurança da informação e gestão de terceiros. Mais do que reagir a incidentes, elas permitem detectar sinais, escalar informações, preservar evidências e implementar remediações antes que autoridades externas reconstruam o problema.
Para conselhos, comitês e lideranças, a questão central passa a ser: a organização consegue demonstrar, com evidências confiáveis, que identifica seus riscos e age de forma tempestiva quando os controles falham?
