O dia em que a sua empresa virou parte de uma lei que ela nunca leu

IntroduçãoUm fato externo que não pede licença para entrar

Em maio de 2026, o ambiente regulatório que cerca as empresas brasileiras mudou. A maior parte delas ainda não percebeu.

No fim de maio de 2026, o governo dos Estados Unidos classificou duas facções criminosas brasileiras, o Primeiro Comando da Capital (PCC) e o Comando Vermelho (CV), como organizações terroristas. Parece notícia de segurança pública, assunto de polícia. O risco para as empresas, porém, está justamente aí: essa classificação não trata só de crime, trata de dinheiro e de contratos. E tudo o que envolve dinheiro e contratos acaba alcançando quem movimenta recursos e assina contratos, que hoje é quase toda empresa.

A intenção deste artigo não é assustar ninguém. É explicar, com clareza e sem jargão, o que essa decisão significa na prática: quais setores ela toca, como o sistema internacional descobre quem está envolvido e, sobretudo, por que muitas empresas que hoje dizem "isso não é comigo" também correm risco. Aliás, essa talvez seja a frase mais perigosa que uma empresa pode repetir neste momento, e ao longo do texto fica claro o motivo.

Escrevemos do ponto de vista de quem trabalha com o assunto todos os dias: o combate ao cibercrime e ao terrorismo e a inteligência aplicada à proteção de organizações. Nosso objetivo é oferecer a empresas, entidades de classe, associações setoriais e gestores públicos uma base honesta de informação, para que cada um possa tirar as próprias conclusões sobre o seu nível de exposição.

Seção 1O que de fato mudou, em termos simples

Os Estados Unidos usam dois rótulos jurídicos para grupos que consideram terroristas, e o PCC e o CV receberam os dois: FTO (Organização Terrorista Estrangeira) e SDGT (Terrorista Global Especialmente Designado). Mais importante do que decorar essas siglas é entender a consequência que elas disparam.

Na prática, caiu a fronteira confortável que separava "o crime organizado" da "empresa que só faz negócios". Quando um pagamento, um contrato, um frete ou um fornecedor toca, mesmo que de longe, uma entidade ligada a essas facções, esse ato pode passar a ser tratado por uma lei antiterrorismo, e não mais apenas pela lei penal comum.

Seção 2As sanções primárias e as secundárias: a diferença que decide quem é atingido

Há um ponto que a maioria das análises não explica bem. Existem dois tipos de sanção, e é a diferença entre eles que define se uma empresa brasileira "sem nada a ver com os EUA" está ou não exposta.

Sanções primárias

Valem para quem está dentro do alcance jurídico dos Estados Unidos: pessoas e empresas americanas e qualquer um que use o sistema financeiro do país, o que, na prática, inclui quase todo mundo que opera em dólar. Para esses, fazer negócio com um designado significa bloqueio de bens, proibição de operar e risco criminal por suporte material.

Sanções secundárias

É aqui que o jogo muda para o Brasil. As sanções secundárias miram terceiros que não são americanos, como uma empresa brasileira, quando essa empresa negocia com uma entidade designada. O recado é direto: se você fizer negócio com quem está na lista, pode acabar na lista também. Não é preciso ter sede, sócio ou conta nos Estados Unidos para sentir o efeito. Basta depender, em algum ponto, do sistema financeiro global, e praticamente toda empresa depende.

Seção 3Por que "consultar uma lista" não basta: a Regra dos 50%

Muitas empresas imaginam que se proteger é simples: bastaria checar se o nome do cliente ou do fornecedor aparece em alguma lista oficial de sancionados. Não é bem assim. Existe uma regra, conhecida como Regra dos 50%, que amplia o alcance da sanção de forma silenciosa.

É por isso que proteção de verdade não é o gesto único de "consultar uma lista". É a capacidade de enxergar quem está por trás de cada cliente, fornecedor e parceiro, e de fazer isso de forma contínua, já que as estruturas societárias mudam o tempo todo.

Seção 4Quem é afetado: os três grupos de setores

Nem todos os setores são alcançados da mesma maneira. Para deixar isso claro, vale separar a economia em três grupos: os que são atingidos de forma direta, os que são atingidos de forma indireta e os que sofrem os dois efeitos ao mesmo tempo. A classificação a seguir é apenas analítica e educativa. Ela serve para cada organização se localizar, não para apontar culpados.

A posição de cada setor pode variar conforme o perfil da empresa, como uso de dólar, exportação, estrutura societária e cadeia de fornecedores. A tabela é um ponto de partida, não um veredito.

Exemplos por setor: cenários ilustrativos

Os casos a seguir são hipotéticos e ilustrativos, criados só para mostrar como o mecanismo funciona. Nenhum deles descreve uma empresa real.

Seção 5Como o sistema descobre quem está envolvido

Uma dúvida comum é: "mas como alguém ficaria sabendo?". A resposta incomoda um pouco, porque os canais de descoberta são muitos, automáticos e conectados entre si. Não é preciso haver uma investigação dirigida para que o nome de uma empresa apareça.

O caminho mais comum começa no banco. Como quase toda operação internacional passa, em algum momento, por um banco correspondente nos Estados Unidos, é ali que os filtros automáticos comparam cada transação com as listas de sanções e com padrões de risco. A esse filtro se somam os relatórios de atividade suspeita que as próprias instituições financeiras são obrigadas a emitir, a análise de dados feita pelas autoridades, as informações que empresas listadas precisam divulgar aos reguladores, o jornalismo investigativo e a cooperação entre países. Há ainda um detalhe pouco conhecido: existem programas que pagam recompensas milionárias a denunciantes. Com isso, o incentivo para que um funcionário, um concorrente ou um ex-parceiro relate uma irregularidade fica alto e muito concreto.

Seção 6Por que "isso não é comigo" é a frase mais arriscada

Para a maioria das empresas, o primeiro impacto não vai chegar na forma de um processo criminal. Vai chegar de forma silenciosa, pela reação dos próprios parceiros: o banco que encerra a conta "por precaução", a maquininha que aumenta a taxa ou retém o recebível, a seguradora que exclui a cobertura, o fornecedor que, já contaminado, repassa o risco adiante. Nada disso espera uma sentença. O mercado costuma se mover antes da Justiça.

É por isso que a frase "isso não é comigo" é tão arriscada: ela confunde duas coisas diferentes, não ter culpa e não ter exposição. Uma empresa pode ser totalmente idônea e, mesmo assim, ser atingida porque não enxergou a tempo um risco que já estava na sua cadeia. Não ter envolvimento protege a empresa da culpa, mas não a protege das consequências.

Seção 7As perguntas que toda organização deveria conseguir responder

Não cabe a este artigo dizer a ninguém o que fazer. Cabe apenas propor algumas perguntas honestas. Se a sua organização responde a todas elas com tranquilidade e com evidência documentada, provavelmente está num bom caminho. Se trava em alguma, é bem ali que mora a sua exposição.

Nenhuma dessas perguntas é sobre tecnologia ou sobre comprar um produto. Todas tratam de uma única capacidade: a visibilidade contínua, a de saber antes do mercado o que existe na própria cadeia.

ConclusãoA diferença está em enxergar a tempo

A designação do PCC e do CV como organizações terroristas é, acima de tudo, um fato do ambiente. Ela não pede licença para entrar na realidade das empresas, não separa quem leu a lei de quem não leu e não espera que cada organização perceba que está exposta para começar a ter efeito. Esse efeito já começou.

Não há motivo para pânico, mas há todo motivo para clareza. As organizações que vão atravessar esse cenário com menos turbulência não são necessariamente as que mais temem nem as que mais gastam. São as que enxergam melhor: sabem quem está na sua cadeia, percebem uma mudança de risco antes do banco e da seguradora e conseguem provar, com documentos e não com discurso, que agem com diligência.

Nesse contexto, não fazer nada também é uma escolha: a de descobrir o risco mais tarde e do pior jeito. Cada instituição, entidade e empresa que lê este texto já tem informação suficiente para se fazer uma pergunta simples e um pouco desconfortável: eu enxergo o que preciso enxergar? A resposta, e o que fazer com ela, pertence a cada uma. A pergunta, a partir de agora, é de todas.

Recurso do INCCUm ponto de partida para a sua organização

Para ajudar nesse primeiro passo, o INCC desenvolveu uma ferramenta de autoavaliação sobre o tema. Ela não substitui a análise jurídica nem entrega um diagnóstico definitivo, mas funciona como um ponto de partida para a sua organização compreender melhor onde pode estar exposta e quais perguntas levar ao time de compliance e ao jurídico.