...
Due diligence empresarial: riscos relacionados ao financiamento do terrorismo e às relações comerciais

Due diligence empresarial: riscos relacionados ao financiamento do terrorismo e às relações comerciais

Quando o crime se torna terrorismo: os riscos para as empresas brasileiras e a importância da Due Diligence

A classificação do Primeiro Comando da Capital (PCC) e do Comando Vermelho (CV) como organizações terroristas estrangeiras pelos Estados Unidos, formalizada em junho de 2026, trouxe novos desafios ao ambiente empresarial brasileiro. A medida amplia a necessidade de atenção aos riscos jurídicos, financeiros e reputacionais relacionados às operações comerciais e às cadeias de fornecedores, especialmente diante das normas norte-americanas de combate ao financiamento do terrorismo.

Nesse cenário, a Due Diligence, aliada a programas de compliance e à revisão dos instrumentos contratuais, assume papel fundamental na identificação e prevenção de riscos jurídicos, financeiros e reputacionais.

Quais são os riscos para as empresas?

A legislação norte-americana prevê consequências severas para determinadas condutas relacionadas ao fornecimento de recursos ou apoio material a organizações classificadas como terroristas. Dependendo das circunstâncias e dos requisitos legais aplicáveis, empresas podem enfrentar responsabilização criminal, multas expressivas, restrições financeiras, bloqueio de ativos e prejuízos à reputação.

Um exemplo é o caso da empresa Lafarge, que realizou pagamentos a organizações terroristas na Síria e enfrentou consequências criminais e financeiras nos Estados Unidos, incluindo penalidades de aproximadamente US$ 778 milhões.

É importante destacar, entretanto, que uma eventual classificação de organizações brasileiras como terroristas não significa responsabilização automática das empresas que mantenham relações comerciais indiretas com elas. A aplicação das normas norte-americanas depende de requisitos específicos, incluindo a existência de jurisdição e, quando exigida, conexão com os Estados Unidos.

Ainda assim, o cenário reforça a necessidade de atenção aos riscos envolvidos nas relações empresariais, especialmente em operações que envolvam cadeias extensas de fornecedores e vínculos comerciais internacionais.

Due Diligence: a importância de investigar além das relações comerciais diretas

A Due Diligence consiste em um processo de investigação e avaliação destinado a identificar riscos jurídicos, financeiros, reputacionais e operacionais relacionados a determinada empresa, operação ou relação comercial. Diante da possibilidade de ampliação das consequências jurídicas relacionadas ao financiamento ou apoio material a organizações terroristas, esse procedimento ganha ainda mais relevância. Tradicionalmente, muitas empresas concentram suas verificações na identificação cadastral dos clientes, por meio do chamado Know Your Customer (KYC). Contudo, essa análise isolada pode ser insuficiente diante de riscos que envolvem toda a cadeia empresarial.

Por isso, a Due Diligence deve abranger também:

  • KYC (Know Your Customer): identificação e avaliação dos clientes.
  • KYS (Know Your Supplier): investigação de fornecedores e de seus possíveis vínculos de risco.
  • KYP (Know Your Partner): análise dos parceiros comerciais, incluindo sua estrutura societária e reputação.

A investigação deve ir além da conferência de documentos, buscando identificar os beneficiários finais das operações, os responsáveis pelo controle das empresas, os subcontratados envolvidos e eventuais vínculos econômicos com organizações criminosas.

Também é fundamental observar sinais de alerta, conhecidos como red flags, a exemplo de estruturas societárias pouco transparentes, informações inconsistentes, investigações, notícias negativas e movimentações suspeitas.

Outro aspecto relevante é que a Due Diligence não deve ocorrer apenas no momento da contratação. O acompanhamento precisa ser contínuo, com verificações periódicas e atualização das informações conforme o nível de risco de cada relacionamento comercial.

Mais do que identificar irregularidades, uma Due Diligence bem estruturada permite demonstrar que a empresa adotou medidas concretas para identificar, avaliar e mitigar riscos em suas operações.

O papel dos contratos e dos programas de compliance

Além de fortalecer os procedimentos de Due Diligence, as empresas devem revisar suas matrizes de risco e atualizar seus programas de compliance para considerar possíveis exposições diretas ou indiretas a organizações criminosas classificadas como terroristas. Essa avaliação deve levar em conta fatores como a localização das operações, a atividade econômica desenvolvida, o histórico das contrapartes, a estrutura societária e a existência de fornecedores ou prestadores de serviços considerados críticos.

A revisão contratual também é uma medida importante. Contratos com fornecedores, parceiros e prestadores de serviços devem conter cláusulas adequadas de integridade, auditoria, declarações de conformidade e mecanismos de suspensão ou rescisão diante de situações que representem riscos relevantes. Da mesma forma, é recomendável atualizar políticas internas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, estabelecer procedimentos de monitoramento contínuo e capacitar as equipes responsáveis pelas contratações e pela gestão de terceiros.

Essas medidas permitem que a empresa tenha maior controle sobre suas relações comerciais e esteja mais preparada para identificar e responder a situações de risco.

A importância da documentação e da rastreabilidade

Um dos aspectos mais relevantes da prevenção empresarial é a capacidade de demonstrar que os procedimentos de controle foram efetivamente adotados.

Não basta realizar uma investigação superficial ou simplesmente arquivar documentos cadastrais. É necessário manter registros das análises realizadas, dos riscos identificados, das decisões tomadas e das medidas implementadas para reduzir possíveis exposições.

A documentação adequada dos procedimentos de Due Diligence e compliance contribui para a transparência das operações e pode representar um elemento importante na defesa jurídica da empresa diante de eventuais questionamentos. Por isso, os mecanismos de prevenção devem ser proporcionais aos riscos, consistentes, documentados e passíveis de verificação.

A prevenção como estratégia de proteção empresarial

A possibilidade de mudanças no tratamento internacional de organizações criminosas brasileiras reforça a importância de uma atuação jurídica preventiva, especialmente para empresas com cadeias extensas de fornecedores, operações internacionais ou grande volume de contratações terceirizadas.

Nesse contexto, a assessoria jurídica consultiva desempenha papel relevante na estruturação de procedimentos de Due Diligence, na revisão de contratos, na análise de estruturas societárias e na implementação de mecanismos de governança e controle interno. O objetivo não é eliminar integralmente os riscos, mas estabelecer procedimentos capazes de identificá-los antecipadamente, avaliar sua gravidade e orientar a tomada de decisões.

Assim, a Due Diligence deixa de ser apenas uma etapa formal das contratações e passa a integrar uma estratégia contínua de proteção empresarial.

Conhecer os parceiros comerciais, compreender quem efetivamente se beneficia das operações e documentar as medidas preventivas adotadas são práticas essenciais para fortalecer a segurança jurídica das empresas diante de um cenário regulatório internacional cada vez mais complexo.

Ana Teixeira
Imobiliário
Mulher preocupada ao telefone analisando documentos, representando o canal de denúncias nas empresas

Canal de denúncias nas empresas como garantir eficiência e prevenir riscos

Canal de denúncia que ninguém usa não é Compliance

Ter um canal de denúncia deixou de ser diferencial, hoje é o mínimo. O que separa um programa de compliance maduro de um projeto de fachada é o que acontece depois que a denúncia chega: independência na apuração, comunicação constante com os empregados e um fluxo de investigação com prazos, decisão documentada e retorno ao denunciante.

O canal existe. E daí?

Quase toda empresa de médio e grande porte hoje tem um canal de denúncia: um e-mail, um formulário no site, às vezes uma linha 0800, ou mesmo um canal independente. O problema é que, na prática, muitos desses canais não recebem denúncia nenhuma. Não é porque não haja nada a relatar, mas porque ninguém confia neles.

Os empregados sabem, ou desconfiam, de três coisas: (i) que a denúncia pode ser rastreada até quem a fez; (ii) que ela vai cair na mesa de alguém próximo da pessoa denunciada; e, (iii) que, mesmo que seja apurada, ninguém vai saber o que aconteceu depois. Diante disso, a resposta racional é o silêncio.

Um canal que ninguém usa não é prova de que está tudo bem na empresa. É, na maioria das vezes, prova de que não há confiança no canal por quem poderia utilizá-lo, e, para quem avalia a maturidade de um programa de compliance (uma autoridade, um auditor, um cliente em due diligence), essa ausência de uso pesa mais contra a empresa do que a favor.

O que a lei exige (e o que ela não exige)

Dois marcos normativos tratam do tema, e vale separar com precisão o que cada um determina.

A Lei 14.457/2022, em seu Art. 23, obriga empresas com CIPA a adotar regras de conduta contra o assédio sexual e outras formas de violência, com ampla divulgação interna; fixar procedimentos para recebimento e acompanhamento de denúncias, com garantia de anonimato do denunciante; incluir o tema nas atividades da CIPA; e promover capacitação dos empregados a cada 12 meses, no máximo. A lei é clara ao exigir que exista um procedimento estruturado para apurar e investigar denúncias, mas, diferentemente do que circula em alguns materiais de mercado, ela não fixa um prazo legal específico (como “5 dias úteis para reconhecimento” ou “30 dias para conclusão”) para a sua apuração e conclusão. Prazos desse tipo são uma boa prática de gestão, não uma imposição legal. E, como boa prática, vale mais ainda a pena adotá-los.

Já o Decreto 8.420/2015, que regulamenta a Lei Anticorrupção (Lei 12.846/2013), inclui entre os parâmetros usados para avaliar a efetividade de um programa de integridade (Art. 42, inciso X) a existência de “canais de denúncia de irregularidades, abertos e amplamente divulgados a funcionários e terceiros, e de mecanismos destinados à proteção de denunciantes de boa-fé”. Ou seja: para a autoridade que avalia o programa de compliance de uma empresa em um processo administrativo, não basta o canal existir no papel, ele precisa ser conhecido e vir acompanhado de proteção real a quem denuncia.

Na prática, isso significa que cumprir a lei é o piso, não o teto. Uma empresa pode atender à letra da Lei 14.457/2022 e, ainda assim, manter um canal pouco confiável. A diferença entre compliance de fachada e compliance maduro está no que a empresa decide fazer além do mínimo exigido.

Independência: o que muda de verdade

Aqui está o ponto que mais separa um canal simbólico de um mecanismo eficaz: quem recebe e gerencia a denúncia.

Um canal administrado internamente, por uma área de RH ou jurídico que responde à mesma diretoria que pode vir a ser denunciada, carrega um conflito estrutural. Não importa a boa-fé de quem está na ponta: o empregado que pensa em denunciar o próprio gestor, ou um diretor, vai calcular o risco de que a informação volte para dentro da própria estrutura hierárquica. E, na dúvida, provavelmente não vai denunciar.

A norma internacional de referência sobre o tema, a ISO 37002:2021, organiza a gestão de canais de denúncia em torno de três princípios: (i) confiança (o denunciante precisa acreditar que será ouvido e levado a sério), (ii) imparcialidade (a apuração precisa ser conduzida sem viés em favor de quem tem mais poder na organização), e, (iii) proteção (contra retaliação, direta ou disfarçada). Um canal terceirizado ou operado por uma estrutura efetivamente independente da liderança atende aos três ao mesmo tempo: preserva o sigilo técnico de quem denuncia, remove o conflito de interesse na triagem inicial e sinaliza, com credibilidade, que a apuração não será filtrada por quem tem interesse no resultado.

Essa independência importa ainda mais em denúncias contra a alta liderança ou contra o próprio responsável pelo compliance, situações em que um canal interno, por melhor que seja desenhado, simplesmente não tem como garantir imparcialidade. Não é uma questão de desconfiar da equipe interna; é reconhecer que confidencialidade e imparcialidade percebidas, e não apenas reais, são o que determina se alguém vai usar o canal.

Divulgação e conscientização não são etapas extras

É comum tratar a comunicação sobre o canal como um item de lançamento: um e-mail quando o canal é criado, um card no manual do empregado, e pronto. O resultado, alguns meses depois, é previsível: boa parte dos empregados simplesmente não lembra que o canal existe, ou nunca soube como ele funciona de fato.

A própria Lei 14.457/2022 já aponta na direção certa ao exigir capacitação periódica, no máximo a cada 12 meses, sobre violência, assédio, igualdade e diversidade, não um treinamento único de admissão. O mesmo raciocínio vale para qualquer canal de compliance: divulgação não é um evento, é uma rotina. Isso inclui deixar claro, em linguagem simples, quem pode denunciar (empregados, mas também terceiros, fornecedores e clientes, conforme o Decreto 8.420/2015), o que pode ser denunciado, por quais canais, o que acontece com o sigilo e, sobretudo, o que a empresa faz com a informação recebida.

Esse último ponto costuma ser o mais negligenciado: sem visibilidade sobre o que ocorre depois da denúncia, a conscientização vira discurso vazio. Empregados que veem denúncias anteriores gerarem alguma consequência visível, mesmo sem detalhes sigilosos, confiam mais no canal do que empregados apenas informados de que ele existe.

Da denúncia ao retorno: o fluxo que sustenta a confiança

Recebida a denúncia, o que a diferencia de uma caixa de sugestões é um fluxo interno conhecido, com etapas claras:

  • Triagem inicial: avaliar admissibilidade, gravidade e conflitos de interesse (quem pode conduzir a apuração sem viver esse conflito).
  • Apuração com trilha documentada: entrevistas, coleta e preservação de evidências, registro de cada etapa. Sem essa trilha, a empresa não consegue demonstrar depois, a um órgão regulador ou a um auditor, que a apuração foi séria.
  • Decisão documentada: uma conclusão fundamentada, com base nas evidências colhidas, e não um despacho genérico de “arquivado” ou “procedente”.
  • Retorno ao denunciante: mesmo sem revelar detalhes sigilosos da apuração ou de terceiros envolvidos, confirmar o recebimento e, ao final, informar que o caso foi concluído. O silêncio total é uma das principais razões pelas quais um canal deixa de ser usado.
  • Melhoria contínua: usar os casos apurados (mesmo os improcedentes) para revisar controles, políticas e treinamentos.

Adotar prazos internos de referência para cada etapa (por exemplo, confirmar o recebimento em poucos dias úteis e estabelecer uma meta razoável para a conclusão), não é exigência legal, como visto acima, mas é o que a ISO 37002 recomenda como boa prática de governança: prazos dão previsibilidade ao denunciante e disciplina à apuração.

Um ponto que costuma passar despercebido: os dados pessoais coletados durante a apuração (do denunciante, do denunciado e de eventuais testemunhas) são dados pessoais cujo tratamento está sujeito à LGPD (Lei 13.709/2018), com base legal, finalidade e prazo de retenção próprios, e exigem controles de acesso compatíveis com sua sensibilidade. Um canal de denúncia bem estruturado juridicamente cuida tanto da governança da investigação quanto da proteção de dados envolvida nela.

Compliance se mede pelo uso, não pela existência

Ter canal de denúncia é exigência legal para boa parte das empresas. Ter um canal em que os empregados confiam, que é lembrado, que apura com independência e que dá retorno a quem denuncia é o que, de fato, sustenta um programa de compliance maduro. E o que uma autoridade, um investidor ou um parceiro comercial enxergam quando avaliam a sério a integridade de uma empresa.

Se você está avaliando implantar um canal de denúncia, revisar um que já existe mas não é usado, ou estruturar o fluxo de investigação e o treinamento que dão sustentação a ele, podemos ajudar, do desenho da governança e da definição de fluxos e prazos, até a condução de investigações internas e a capacitação das equipes. É só nos procurar para conversar sobre o estágio atual do seu programa.

Fontes consultadas

Luigi Ribeiro
Compliance, Anticorrupção e LGPD

Seu próximo risco de compliance pode não ter autor humano

Durante anos, programas de compliance foram estruturados para controlar decisões tomadas por pessoas. O problema é que uma parcela crescente dessas decisões começa a ser influenciada, recomendada ou executada por sistemas de inteligência artificial. Contratações, concessão de crédito, definição de preços, análise de fornecedores e monitoramento de colaboradores já podem incorporar modelos algorítmicos. Surge, assim, uma pergunta incômoda: quem responde quando a decisão problemática foi produzida por uma máquina?

Esse cenário inaugura uma nova fronteira, o compliance algorítmico. Não basta verificar se determinada tecnologia funciona ou se aumenta a produtividade da empresa. Será necessário compreender quais dados alimentam o sistema, quais critérios influenciam suas respostas, quais decisões podem ser automatizadas e onde deve existir supervisão humana. A governança deixa de controlar apenas comportamentos e passa também a controlar a arquitetura das decisões corporativas.

O risco mais sofisticado talvez esteja justamente na aparente neutralidade da tecnologia. Um algoritmo pode reproduzir discriminações históricas, privilegiar determinados perfis, utilizar informações inadequadas ou produzir recomendações que ninguém dentro da organização consegue explicar satisfatoriamente. Quando isso ocorre, atribuir a responsabilidade ao fornecedor da ferramenta dificilmente será uma estratégia suficiente. Para fins de governança, terceirizar a tecnologia não significa necessariamente terceirizar o risco.

Por isso, empresas maduras precisarão tratar sistemas de IA como ativos sujeitos a inventário, classificação de risco, critérios de aprovação, monitoramento e auditoria. Também será importante definir quais decisões exigem revisão humana, quais evidências precisam ser preservadas e quem possui autoridade para suspender uma ferramenta quando forem identificadas inconsistências. O verdadeiro diferencial não estará em adotar IA mais rapidamente, mas em conseguir utilizá-la sem perder controle, rastreabilidade e capacidade de justificar decisões.

O compliance do futuro, portanto, será menos baseado apenas em perguntar quem tomou determinada decisão e mais interessado em entender como essa decisão foi construída. Empresas capazes de responder essa pergunta terão maior previsibilidade regulatória, segurança decisória e proteção reputacional. A inteligência artificial pode acelerar processos, mas não elimina responsabilidade empresarial. Quanto mais autônoma se tornar a tecnologia, mais sofisticada precisará ser a governança que permanece humana.

GNL Expresso

Guilherme Visconti comenta sobre os princípios descritos na LGPD

Nosso sócio Guilherme Visconti comenta sobre os princípios descritos na Lei Geral de Proteção de Dados (LGPD).
Confira como eles se aplicam ao seu negócio e como se adequar às determinações da LGPD assistindo o vídeo completo em nosso canal do YouTube: https://bit.ly/34dnZq7
Nosso escritório possui atuação full service, incluindo áreas de Compliance e LGPD. Caso tenha alguma dúvida sobre o tema, não deixe de nos contatar! Será um prazer te responder.

GNL Expresso

LGPD: uma realidade que muitas empresas ainda não se adequaram

: A LGPD entrou em vigência há quase um ano, mas muitas empresas ainda não se adequaram a ela e outras ainda estão no meio do processo. Uma coisa é certa: a LGPD é uma realidade que não deve ser adiada.

As sanções com base na LGPD poderão ser aplicadas a partir de 01/08, mas em caso recente, uma rede de farmácia foi notificada diante de relatos de consumidores que foram impelidos a oferecer a impressão digital em unidades ao tentar comprar medicamentos e outros produtos.

O IBDC reforça que os consumidores têm direito de saber quais são os riscos de vazamento das informações e se os dados poderão ser utilizados para outras finalidades, uma vez que estes (dados biométricos) são considerados dados sensíveis dos consumidores e as condições para seu uso são específicas e devem ser bem ponderadas.

Adequar-se à LGPD requer mapear processos internos para pensar e repensar o tratamento dos dados pessoais, a finalidade do tratamento, o tempo e a razoabilidade desse tratamento.

Hoje, antes de tratar qualquer dado, temos que ponderar que há uma legislação que visa proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade dos titulares dos dados, ou seja, dos clientes, funcionários e parceiros.

E a sua empresa, já se adequou?