O mapa de riscos por trás das manchetes.

Lições práticas de GRC com as operações Ícaro, Carbono Oculto e Rejeito.

Nos últimos meses, três operações policiais ganharam destaque e deixaram o mercado em alerta: Ícaro, Carbono Oculto e Rejeito. Deflagrada em agosto, a Operação Ícaro investiga um suposto esquema de corrupção tributária envolvendo créditos de ICMS, no qual consultorias de fachada teriam sido usadas para intermediar propinas milionárias a auditores fiscais.

Continua após a publicidade

Poucos dias depois, a Operação Carbono Oculto expôs a apuração de indícios de uma rede de lavagem de dinheiro e sonegação no setor de combustíveis que teria movimentado bilhões de reais com apoio de fintechs, fundos de investimento e importações fraudulentas.

Já em setembro, a Operação Rejeito apontou suspeitas de compra de licenças ambientais e minerárias mediante pagamento de vantagens indevidas, em processos marcados por pareceres frágeis e autorizações fora do rito legal.

Continua após a publicidade

Embora tenham ocorrido em setores distintos, todas essas operações revelam um denominador comum: a fragilidade de mecanismos de controle que deveriam ter funcionado como prevenção do desvio.

Quando há falhas de governança corporativa, gestão de riscos e compliance (GRC), processos críticos podem ser capturados, manipulados ou simplesmente ignorados, abrindo espaço para práticas ilícitas se institucionalizarem.

O que estamos vendo nas manchetes não são apenas desvios isolados, mas sintomas de vulnerabilidades corporativas recorrentes, sejam elas financeiras, regulatórias ou ambientais.

Mas de que adianta consumir essas notícias, comentar nos corredores ou repostar nas redes sociais, se nada disso se traduz em mudança concreta na sua organização? Cada operação deflagrada é, na prática, um raio-x público das falhas que poderiam, e deveriam, ter sido previstas e detectadas. Um laboratório vivo de aprendizado.

O que as operações revelam sobre os pontos cegos do corporativo

No caso da Operação Ícaro, consultorias de fachada teriam sido usadas para intermediar pagamentos ilícitos a auditores fiscais, evidenciando fragilidades que poderiam ter sido detectadas por alertas básicos.

A concentração de poder decisório em poucos interlocutores, especialmente quando se trata de agentes públicos, aumenta significativamente o risco de corrupção.

Esse contexto, tão comum no dia a dia corporativo, deveria acender a primeira luz amarela. Não menos importante, resultados atípicos, prazos de aprovação fora do padrão ou remunerações condicionadas ao êxito são red flags (bandeiras vermelhas) que pedem atenção imediata.

E quando terceiros, envolvidos ou não no contexto do relacionamento com agentes públicos, têm vínculos com pessoas politicamente expostas ou familiares de servidores, a necessidade de diligência se torna ainda mais crítica.

Fechar os olhos para esses sinais é tratar o risco tributário como mera formalidade contábil, quando ele deveria estar integrado, de forma estratégica, à gestão de riscos no ambiente corporativo.

Já na Operação Carbono Oculto, um esquema de lavagem de dinheiro e sonegação no setor de combustíveis teria movimentado bilhões de reais com o apoio de fintechs atuando como “bancos paralelos” e fundos de investimento estruturados para ocultar beneficiários finais.

Do ponto de vista corporativo, operações financeiras desproporcionais ao porte declarado de uma empresa, estruturas societárias opacas e fundos sem racional econômico claro são red flags preocupantes.

Essa operação policial deixa claro que o risco não está apenas nas transações ilícitas em si, mas na incapacidade das organizações de monitorarem e conectarem dados de diferentes áreas (como, por exemplo, jurídico, financeiro e GRC), a fim de identificar inconsistências antes que elas virem escândalo.

Ainda, a Operação Rejeito expôs a fragilidade do processo de licenciamento ambiental e minerário, com autorizações supostamente concedidas fora do rito legal, pareceres técnicos flexibilizados sem justificativa e consultorias recorrentes aparecendo em múltiplos processos.

Sem gestão de qualidade e sem diálogo ativo entre as áreas, perde-se a rastreabilidade das informações apresentadas a diferentes autoridades, compromete-se o controle sobre condicionantes ambientais e abre-se espaço para manipulações em benefício de interesses privados.

Embora comumente associados às áreas de ESG ou Ambiental, os processos de licenciamento envolvem riscos legais e regulatórios e, se corrompidos, podem comprometer o negócio em sua essência.

Essas três histórias possuem falhas comuns que chamam a atenção. Controles existiam, mas funcionaram em silos. Red flags estavam lá, mas passaram despercebidas porque cada área cuidava apenas do seu pedaço. Para o profissional de GRC, essa constatação deve servir como alerta: o maior risco não está nos ilícitos sofisticados, mas na incapacidade da organização de conectar sinais que, isolados, parecem inofensivos, mas juntos revelam a verdadeira dimensão do problema.

Do noticiário ao mapa de riscos

Cada escândalo noticiado é também um convite a agir. Mais do que compreender os fatos, cabe ao profissional de GRC usá-los como gatilho para revisar sua própria estrutura de prevenção à prática de desvios de conduta: se esse caso acontecesse na minha empresa, os riscos teriam sido devidamente mapeados? Os colaboradores da minha empresa têm consciência que esses riscos também estão presentes no nosso dia a dia corporativo?

Transformar notícias em insumos de gestão significa revisitar matrizes de riscos e reavaliar medidas internas. É nesse momento que o noticiário se converte em ferramenta prática de aprendizado:

• A minha empresa mantém relacionamento com alguma das empresas ou pessoas citadas na investigação? Se sim, quais medidas adicionais de mitigação ou monitoramento precisam ser adotadas imediatamente?
• Agentes públicos investigados já tiveram contato com processos ou reuniões da minha empresa? Temos registros claros dessas interações e condições de revisá-las com independência?
• Os nossos controles seriam capazes de identificar os mesmos red flags relatados nas mídias? Transações financeiras desproporcionais, consultorias sem racional econômico, pareceres técnicos frágeis. Se não, o que precisa mudar?
• Existe um plano de resposta estruturado para situações de busca e apreensão, prisão de executivos ou bloqueio de bens? Todos os colaboradores, do atendimento à alta gestão, sabem o que fazer nessa situação?
• Nossos processos de gestão de riscos estão integrados ou ainda funcionam em silos? As áreas trocam informações ou cada uma enxerga apenas o seu pedaço do problema?

Se as respostas às perguntas levantarem riscos concretos, é hora de sair da inércia.

Relacionamentos com empresas citadas em escândalos devem ser imediatamente reavaliados: peça esclarecimentos formais, exija reportes periódicos e considere até a suspensão temporária do contrato, lembrando que fornecedores ou parceiros envolvidos em investigações precisam ser migrados para categorias de risco mais elevadas.

Para os agentes públicos mencionados na mídia, vale revisar toda a documentação de processos nos quais eles tenham atuado, entrevistar colaboradores que tiveram contato com esses servidores e, se necessário, solicitar avaliação independente para confirmar a legitimidade das condicionantes ou decisões. E falando de busca e apreensão, prisões e bloqueios de bens servem como exemplo para revisar ou criar planos de gestão de crise.

Protocolos claros criados na calmaria dão o norte sobre como agir no momento das fiscalizações, quais os mecanismos de substituição interina de executivos afastados e medidas para assegurar a continuidade do negócio (incluindo a manutenção de pagamentos e a comunicação transparente com stakeholders).

Notícia de crise não é (só) assunto de fofoca, é ferramenta

As operações recentes deixam evidente que a falta de integração entre áreas continua sendo um dos maiores pontos cegos do corporativo. Crimes financeiros não recaem apenas sobre compliance.

Eles passam por TI, jurídico, auditoria, ESG, operações e às vezes até RH. Cada área enxerga um pedaço do problema, mas, se esses sinais não se conectam, a empresa permanece vulnerável. Um GRC fora da caixa agrega valor exatamente ao promover essa integração, convertendo fragmentos isolados em visão sistêmica de riscos antes que eles se tornem manchetes.

Não se trata apenas de atender reguladores ou autoridades. O mercado precifica incerteza: investidores, clientes e parceiros não cobram frases de efeito, cobram cadência, evidência e decisões. Cada notícia de operação policial, portanto, não é um problema “dos outros”. É insumo valioso para desenvolver ou aprimorar ferramentas. É um lembrete de que a próxima manchete pode trazer o nome da sua empresa se os aprendizados não forem incorporados hoje.

Você lê o noticiário com uma lente crítica e com o intuito de extrair dele lições práticas para fortalecer controles, integrar áreas e tornar a gestão de riscos mais robusta na sua empresa? Se a resposta foi “não”, fica aqui o convite. Essa é a diferença entre um GRC que reage às crises, e um GRC fora da caixa que aprende com elas antes que o caos bata à porta.