O risco invisível de fazer negócios com empresas ligadas ao crime organizado

Alexandre Pegoraro*

     A descoberta de fintechs supostamente utilizadas pelo Primeiro Comando da Capital para movimentar bilhões de reais colocou uma questão incômoda na mesa de empresas, instituições financeiras e profissionais de compliance: até que ponto conhecemos realmente as organizações e pessoas com as quais fazemos negócios?

     A pergunta ganhou urgência. Em maio, uma investigação do Ministério Público de São Paulo e da Receita Federal apontou seis fintechs suspeitas de funcionar como braços financeiros do PCC. Segundo as autoridades, o esquema investigado teria movimentado mais de R$ 26 bilhões entre 2022 e 2025, utilizando mecanismos como contas concentradoras, depósitos em espécie e estruturas destinadas a dificultar o rastreamento dos recursos.

     Pouco mais de um mês depois, a Polícia Federal deflagrou outra operação contra um grupo suspeito de lavagem de recursos do tráfico internacional de drogas ligado à facção. Nesse caso, a investigação apontou movimentação superior a R$ 10 bilhões por meio de criptoativos, transporte de valores, operações bancárias e transferências entre pessoas físicas e jurídicas.

     Os casos revelam algo maior do que um problema restrito ao sistema financeiro. O crime organizado vem demonstrando capacidade crescente de utilizar estruturas empresariais formais para movimentar recursos, construir cadeias de relacionamento e conferir aparência legítima às suas operações.

     Isso muda a natureza do risco para quem contrata um fornecedor, estabelece uma parceria, recebe um investimento, abre uma conta, concede crédito ou simplesmente escolhe uma empresa para processar seus pagamentos. Uma organização não precisa ter qualquer relação intencional com uma facção criminosa para sofrer as consequências dessa proximidade. Basta que um elo relevante da sua cadeia esteja envolvido em uma investigação para que surjam questionamentos de clientes, bancos, investidores, auditores, reguladores e da própria imprensa.

     É o que podemos chamar de risco de contaminação por relacionamento. Durante muito tempo, conhecer uma contraparte significava essencialmente confirmar sua identidade, verificar documentos, consultar listas restritivas e identificar algumas informações cadastrais. Esse procedimento continua necessário, mas a sofisticação das estruturas utilizadas para ocultar recursos mostra que ele já não é suficiente.

     O problema é que vínculos de risco raramente aparecem de maneira organizada. Uma pessoa pode não constar de uma lista de sanções e, ainda assim, aparecer em um processo judicial relacionado a organização criminosa. Uma empresa aparentemente regular pode ter sócios ou administradores mencionados em investigações. Um potencial parceiro pode nunca ter sido condenado, mas acumular ocorrências, relações societárias ou referências públicas que, analisadas em conjunto, justificariam uma diligência mais aprofundada.

Nenhum desses elementos, isoladamente, permite concluir que uma pessoa integra uma organização criminosa. E esse cuidado é fundamental. Uma menção em processo ou reportagem não equivale a condenação, assim como compartilhar uma relação societária ou comercial com alguém investigado não significa participação em seus atos. O papel do compliance não é produzir condenações privadas. É identificar fatos e indícios relevantes antes de tomar uma decisão de risco. É justamente aí que a due diligence precisa evoluir.

     O desafio deixou de ser apenas encontrar informação. Hoje existem processos judiciais, publicações oficiais, registros empresariais, notícias e diversas outras fontes disponíveis. O desafio é conseguir relacionar essas informações, confirmar se elas dizem respeito à pessoa correta, compreender seu contexto e preservar a origem de cada evidência para que uma decisão possa ser posteriormente justificada. Essa necessidade se tornou ainda mais relevante com as mudanças recentes no tratamento jurídico das facções criminosas.

     Em março, entrou em vigor a Lei 15.358/2026, que instituiu o Marco Legal do Combate ao Crime Organizado e criou mecanismos destinados à asfixia financeira, logística e material dessas organizações. Dois meses depois, o Departamento de Estado dos Estados Unidos classificou PCC e Comando Vermelho como Specially Designated Global Terrorists e anunciou a intenção, posteriormente efetivada em junho, de enquadrá-los também como Foreign Terrorist Organizations.

     Para empresas brasileiras com operações internacionais, investidores estrangeiros ou relações com instituições submetidas a regras de sanções dos Estados Unidos, esse novo contexto torna a análise de contrapartes ainda mais sensível. Mas há uma armadilha nesse processo. Quanto mais as empresas procuram identificar vínculos com organizações criminosas, maior também é o risco de produzir falsos positivos. Nomes semelhantes, homônimos, notícias antigas, processos envolvendo terceiros e referências fora de contexto podem levar a conclusões injustas e decisões equivocadas. Uma política séria de integridade precisa ser capaz de identificar riscos sem transformar suspeitas em sentenças. Por isso, o próximo estágio do KYC e da due diligence não será simplesmente consultar mais bases. Será conectar informações com contexto e rastreabilidade.

     Se uma pessoa aparece em determinado processo, é preciso saber qual é o processo, em qual tribunal tramita, de que maneira ela é mencionada e qual é o estágio da ação. Se existe uma notícia negativa, é necessário conhecer a fonte, a data e exatamente o que foi atribuído àquela pessoa. Se existe um vínculo societário relevante, é preciso entender sua natureza e temporalidade.

A tecnologia pode reduzir drasticamente o trabalho necessário para encontrar e organizar essas informações. A interpretação, porém, precisa continuar sendo humana. Esse equilíbrio será cada vez mais importante. Sistemas de compliance não deveriam simplesmente entregar uma classificação dizendo que determinada pessoa é de “alto” ou “baixo risco” sem permitir compreender como aquela conclusão foi construída. Em temas tão sensíveis quanto uma possível relação com organizações criminosas, a evidência precisa ser mais importante do que o score.

     As operações recentes mostram que a discussão sobre crime organizado deixou há muito tempo de estar restrita às áreas de segurança pública. Ela chegou às mesas de compliance, risco, crédito, investimentos e governança corporativa. Para essas áreas, talvez a principal mudança seja entender que conhecer o cliente já não basta. É preciso conhecer também sócios, administradores, parceiros e contrapartes, além de conseguir identificar sinais que, individualmente, parecem dispersos, mas juntos podem revelar uma exposição que não estava visível.

     Em um ambiente no qual organizações criminosas conseguem utilizar empresas formalmente constituídas, instituições financeiras e estruturas sofisticadas para movimentar bilhões, descobrir com quem se está fazendo negócios depois que uma operação policial chega às manchetes é tarde demais. A boa due diligence começa justamente antes disso.

*CEO do Kronoos

“Os artigos e opiniões publicados nesta edição são de responsabilidade exclusiva dos seus autores e não expressam, necessariamente, a validação dos mesmos pelos editores da publicação.