El día en que su empresa pasó a formar parte de una ley que nunca leyó

IntroducciónUn hecho externo que no pide permiso para entrar

En mayo de 2026, el entorno regulatorio que rodea a las empresas brasileñas cambió. La mayoría de ellas aún no lo ha notado.

A finales de mayo de 2026, el gobierno de Estados Unidos clasificó a dos facciones criminales brasileñas, el Primeiro Comando da Capital (PCC) y el Comando Vermelho (CV), como organizaciones terroristas. Suena a noticia de seguridad pública, a asunto policial. El riesgo para las empresas, sin embargo, está justamente ahí: esta clasificación no trata solo del crimen, trata de dinero y contratos. Y todo lo que involucra dinero y contratos termina alcanzando a quien mueve fondos y firma contratos, que hoy es casi cualquier empresa.

La intención de este artículo no es asustar a nadie. Es explicar, con claridad y sin jerga, qué significa esta decisión en la práctica: a qué sectores toca, cómo el sistema internacional descubre quién está involucrado y, sobre todo, por qué muchas empresas que hoy dicen "esto no es conmigo" también corren un riesgo. De hecho, esa puede ser la frase más peligrosa que una empresa puede repetir ahora mismo, y a lo largo del texto la razón se vuelve clara.

Escribimos desde el punto de vista de quienes trabajan con el tema todos los días: la lucha contra el cibercrimen y el terrorismo y la inteligencia aplicada a la protección de organizaciones. Nuestro objetivo es ofrecer a las empresas, asociaciones de clase, grupos sectoriales y gestores públicos una base de información honesta, para que cada uno pueda sacar sus propias conclusiones sobre su nivel de exposición.

Sección 1Qué cambió realmente, en términos simples

Estados Unidos usa dos etiquetas legales para los grupos que considera terroristas, y el PCC y el CV recibieron ambas: FTO (Foreign Terrorist Organization) y SDGT (Specially Designated Global Terrorist). Más importante que memorizar estas siglas es entender la consecuencia que desencadenan.

En la práctica, la cómoda frontera que separaba al "crimen organizado" de "la empresa que solo hace negocios" se derrumbó. Cuando un pago, un contrato, un flete o un proveedor toca, aunque sea de lejos, a una entidad vinculada a estas facciones, ese acto puede pasar a tratarse bajo una ley antiterrorista, y ya no solo bajo el derecho penal común.

Sección 2Sanciones primarias y secundarias: la diferencia que decide a quién alcanza

Hay un punto que la mayoría de los análisis no explica bien. Existen dos tipos de sanción, y es la diferencia entre ambos lo que determina si una empresa brasileña "sin nada que ver con EE. UU." está expuesta o no.

Sanciones primarias

Se aplican a quienes están dentro del alcance legal de Estados Unidos: personas y empresas estadounidenses y cualquiera que use el sistema financiero del país, lo que en la práctica incluye a casi todos los que operan en dólares. Para ellos, hacer negocios con una parte designada significa congelamiento de activos, prohibición de operar y riesgo penal por apoyo material.

Sanciones secundarias

Aquí es donde cambia el juego para Brasil. Las sanciones secundarias apuntan a terceros que no son estadounidenses, como una empresa brasileña, cuando esa empresa trata con una entidad designada. El mensaje es directo: si haces negocios con alguien de la lista, puedes terminar en la lista también. No necesitas una sede, un socio ni una cuenta en Estados Unidos para sentir el efecto. Basta con depender, en algún punto, del sistema financiero global, y prácticamente toda empresa depende de él.

Sección 3Por qué "consultar una lista" no basta: la regla del 50 %

Muchas empresas imaginan que protegerse es simple: basta con verificar si el nombre del cliente o del proveedor aparece en alguna lista oficial de sanciones. No es tan así. Existe una regla, conocida como la regla del 50 %, que amplía el alcance de la sanción de forma silenciosa.

Por eso la verdadera protección no es el gesto puntual de "consultar una lista". Es la capacidad de ver quién está detrás de cada cliente, proveedor y socio, y de hacerlo de forma continua, ya que las estructuras de propiedad cambian todo el tiempo.

Sección 4A quién afecta: los tres grupos de sectores

No todos los sectores se ven alcanzados de la misma manera. Para dejarlo claro, ayuda dividir la economía en tres grupos: los alcanzados directamente, los alcanzados indirectamente y los que sufren ambos efectos a la vez. La clasificación de abajo es solo analítica y educativa. Sirve para que cada organización se ubique, no para señalar con el dedo.

La posición de cada sector puede variar según el perfil de la empresa, como el uso de dólares, las exportaciones, la estructura de propiedad y la cadena de proveedores. La tabla es un punto de partida, no un veredicto.

Ejemplos por sector: escenarios ilustrativos

Los casos siguientes son hipotéticos e ilustrativos, creados solo para mostrar cómo funciona el mecanismo. Ninguno describe a una empresa real.

Sección 5Cómo descubre el sistema quién está involucrado

Una pregunta común es: "pero ¿cómo se enterarían?". La respuesta es un poco incómoda, porque los canales de descubrimiento son muchos, automáticos e interconectados. No hace falta una investigación dirigida para que el nombre de una empresa salga a la superficie.

El camino más común empieza en el banco. Como casi toda operación internacional pasa, en algún punto, por un banco corresponsal en Estados Unidos, es ahí donde filtros automáticos comparan cada transacción con las listas de sanciones y los patrones de riesgo. A ese filtro se suman los reportes de actividad sospechosa que las propias instituciones financieras están obligadas a presentar, el análisis de datos que hacen las autoridades, la información que las empresas cotizadas deben divulgar a los reguladores, el periodismo de investigación y la cooperación entre países. Hay además un detalle poco conocido: existen programas que pagan recompensas millonarias a los denunciantes. Con ello, el incentivo para que un empleado, un competidor o un ex socio reporte una irregularidad se vuelve alto y muy concreto.

Sección 6Por qué "esto no es conmigo" es la frase más arriesgada

Para la mayoría de las empresas, el primer impacto no llegará como un caso penal. Llegará silenciosamente, a través de la reacción de sus propios socios: el banco que cierra la cuenta "por precaución", el datáfono que sube la tarifa o retiene el cobro, la aseguradora que excluye la cobertura, el proveedor que, ya contaminado, transfiere el riesgo. Nada de eso espera una sentencia. El mercado suele moverse antes que los tribunales.

Por eso la frase "esto no es conmigo" es tan arriesgada: confunde dos cosas distintas, no tener culpa y no estar expuesto. Una empresa puede ser enteramente respetable y aun así verse alcanzada porque no vio a tiempo un riesgo que ya estaba en su cadena. No tener implicación protege a la empresa de la culpa, pero no la protege de las consecuencias.

Sección 7Las preguntas que toda organización debería poder responder

No corresponde a este artículo decirle a nadie qué hacer. Solo proponer algunas preguntas honestas. Si su organización las responde todas con tranquilidad y con evidencia documentada, probablemente está en buen camino. Si tropieza en alguna, ahí es exactamente donde vive su exposición.

Ninguna de estas preguntas trata de tecnología ni de comprar un producto. Todas conciernen a una sola capacidad: visibilidad continua, saber antes que el mercado qué existe en su propia cadena.

ConclusiónLa diferencia está en ver a tiempo

La designación del PCC y del CV como organizaciones terroristas es, sobre todo, un hecho del entorno. No pide permiso para entrar en la realidad de las empresas, no separa a quienes leyeron la ley de quienes no lo hicieron, y no espera a que cada organización se dé cuenta de que está expuesta antes de surtir efecto. Ese efecto ya empezó.

No hay razón para el pánico, pero sí toda razón para la claridad. Las organizaciones que atravesarán este escenario con menos turbulencia no son necesariamente las que más temen ni las que más gastan. Son las que ven mejor: saben quién está en su cadena, notan un cambio de riesgo antes que el banco y la aseguradora, y pueden probar, con documentos y no con retórica, que actúan con diligencia.

En este contexto, no hacer nada también es una elección: la de descubrir el riesgo más tarde y de la peor manera. Toda institución, asociación y empresa que lea este texto ya tiene información suficiente para hacerse una pregunta simple y un poco incómoda: ¿estoy viendo lo que necesito ver? La respuesta, y qué hacer con ella, pertenece a cada uno. La pregunta, de ahora en adelante, pertenece a todos.

Recurso del INCCUn punto de partida para su organización

Para ayudar con este primer paso, el INCC desarrolló una herramienta de autoevaluación sobre el tema. No reemplaza el análisis jurídico ni entrega un diagnóstico definitivo, pero funciona como punto de partida para que su organización entienda mejor dónde puede estar expuesta y qué preguntas llevar al equipo de cumplimiento y al departamento jurídico.