Um risco de compliance fica oculto por um de dois motivos. Ou ninguém está procurando, ou ninguém sabe que deveria procurar.
O primeiro tipo incomoda, mas tem solução. Políticas desatualizadas, um processo de desligamento que deixa acessos abertos, um fornecedor que alguém pagou com cartão pessoal há três anos e que agora armazena dados de clientes. Uma pessoa determinada, com uma planilha e uma semana livre, consegue descobrir tudo isso. É um problema de disciplina, e problemas de disciplina se resolvem com esforço.
O segundo tipo não se resolve com esforço, porque o esforço está na direção errada. Ninguém está olhando para fora da empresa.
Este artigo aborda os dois tipos e mostra como avaliá-los e mapeá-los. Primeiro, a parte interna, porque é a que você pode de fato resolver neste mês e porque prefiro não ser o fornecedor que passa por cima das soluções gratuitas para chegar à solução paga.
O que é risco de compliance?
Risco de compliance é a exposição de uma organização quando ela deixa, ou pode deixar, de cumprir uma obrigação legal, regulatória ou contratual que se aplica a ela.
Três expressões nessa frase têm um peso especial.
“Organização” é a que as pessoas interpretam errado, e boa parte deste artigo explica por quê. Ela não termina na sua folha de pagamento.
“Pode deixar” importa porque o risco de compliance existe antes de algo dar errado. Uma lacuna é um risco, tenha sido explorada ou não, e uma empresa que nunca teve um incidente não necessariamente tem um programa que funciona. Talvez ela só tenha sorte, e, para quem vê de fora, as duas situações parecem idênticas.
“Que se aplica a ela” importa porque metade da preocupação com compliance na maioria das empresas está ligada a obrigações que, na verdade, não as vinculam, enquanto as que de fato as vinculam ficam sem atenção. Identificar quais são essas obrigações é realmente a primeira tarefa, e a lista costuma ser mais curta e mais inesperada do que se imagina.
Vale distinguir esse risco de conceitos próximos. Risco jurídico é a exposição a processos judiciais. Risco operacional é a exposição a falhas nos próprios processos. Risco reputacional é o que acontece depois que qualquer uma dessas situações se torna pública. O risco de compliance se sobrepõe aos três, mas não é idêntico a nenhum deles.
Quanto o descumprimento realmente custa
O descumprimento é a situação de quem está em infração. A pergunta interessante não é o que isso significa, mas quanto custa, e a resposta tem camadas que a maioria dos cálculos ignora.
A multa é a parte visível e, muitas vezes, a menor. Por baixo dela está o programa de remediação exigido pelo regulador, um projeto que se estende por vários trimestres e exige pessoal. Depois vêm os custos jurídicos, que se acumulam mesmo que nenhuma penalidade seja aplicada. Em seguida, as obrigações de divulgação a clientes, cotistas, coinvestidores e parceiros bancários.
Depois, a parte que ninguém calcula direito: profissionais seniores passam três meses respondendo ao incidente em vez de administrar o negócio. Em uma empresa pequena, esse costuma ser o maior item da conta e nunca aparece na planilha de ninguém.
Criamos um modelo de cálculo concreto para isso, em vez de mais uma página de estatísticas alarmantes, porque, se você precisa defender uma verba em uma reunião de sócios, precisa de um número que resista ao escrutínio.
Por que compliance deixou de ser um problema de retaguarda
Algo mudou nos últimos anos, e vale explicar o quê, porque isso muda quem se interessa pelo assunto.
Compliance era um centro de custos que prestava contas à direção uma vez por trimestre e, no restante do tempo, trabalhava sem muita interferência. Tornou-se um requisito para fechar contratos com grandes empresas, captar recursos e manter relações bancárias. É uma mudança comercial apresentada como uma mudança de governança.
O mecanismo é bastante simples. Compradores de grandes empresas agora fazem avaliações de segurança e compliance antes de assinar. Cotistas agora perguntam sobre due diligence operacional como parte da rotina, e não como um pedido especial. Bancos fazem aos parceiros as perguntas que seus próprios reguladores fazem a eles, levando as mesmas expectativas ao longo da cadeia até empresas que nem sequer estão próximas de um órgão supervisor.
Assim, uma lacuna de compliance deixou de ser algo pelo qual você talvez seja penalizado no futuro. Ela é algo que atrasa um negócio no mês que vem. Essa mudança de perspectiva colocou o tema na pauta do conselho e explica por que a conversa sobre orçamento ficou mais fácil, mesmo com o trabalho ficando mais difícil.
Os 10 principais riscos de compliance, por tempo que permanecem ocultos
A maioria das listas de “10 principais” classifica os riscos por gravidade, o que ajuda pouco, porque a gravidade depende inteiramente do seu setor e do seu porte.
Uma classificação mais útil considera o tempo até a detecção.
As equipes de segurança adotaram esse conceito para descrever por quanto tempo um invasor permanece em uma rede antes que alguém perceba. Ele se aplica quase perfeitamente ao compliance e revela algo que uma classificação por gravidade não consegue mostrar: não qual é o risco, mas quanto tempo ele tem para se agravar antes de você descobri-lo.
A classificação vai do que fica oculto por mais tempo ao que é descoberto mais rápido. Os cinco primeiros são os perigosos, e você vai perceber que eles têm algo em comum.
1. Falsificação de identidade e ataques à marca
Canais de suporte falsos. Contas clonadas em redes sociais. Perfis falsos de fundadores solicitando investimentos a pessoas que acreditam estar lidando com uma empresa da qual você tem participação.
Esse risco é impossível de descobrir no onboarding por sua própria natureza, e digo isso literalmente, sem exagero retórico. Quando você fechou o negócio, o produto ainda não tinha sido lançado. Não havia identidade para imitar. Isso não poderia estar no data room porque ainda não existia.
As empresas costumam descobrir quando um fundador liga em pânico. Às vezes, descobrem por uma captura de tela publicada por um usuário que já perdeu dinheiro, o que é consideravelmente pior.
2. Mudanças no histórico de fundadores e administradores
Você fez a triagem deles no fechamento. A verificação não apontou problemas, porque não havia problemas. Nenhuma nova triagem foi feita desde então.
Dezoito meses depois, uma ação é ajuizada contra o fundador pessoalmente, em uma questão relacionada a uma empresa que ele administrava antes da sua. A informação é pública. Está em um documento judicial. Qualquer pessoa que pensasse em procurar levaria cerca de quatro minutos para encontrá-la.
Ninguém pensa em procurar, porque procurar foi algo feito uma única vez, durante a negociação, e a negociação terminou há um ano e meio.
3. Exposição a sanções por meio de uma contraparte
Você fez a triagem da empresa. Certo. Fez a triagem do banco dela? Da exchange? Do maior cliente? O OFAC e seus equivalentes publicam novas designações continuamente, e uma designação contra a principal contraparte de uma empresa coloca essa empresa, e portanto a sua participação, em um problema de compliance que ela não criou e talvez nem tenha percebido.
O primeiro sinal costuma ser uma conta bloqueada. Nesse ponto, a conversa já passou de gestão de riscos para gestão de crises, uma conversa que sai muito mais cara.
4. Reestruturação societária
Mudança de domicílio. Novos diretores. Transferências de participações para partes que ninguém submeteu a due diligence. Subsidiárias surgindo em jurisdições que não estavam nos planos no fechamento. No setor cripto, isso é rotina, não exceção: captar a rodada, transferir o domicílio para as Ilhas Virgens Britânicas ou os Emirados Árabes Unidos, reestruturar a composição societária, e a empresa que você avaliou já não existe daquela forma. Bases de registros como o OpenCorporates mostram tudo isso, desde que alguém esteja olhando.
Em geral, ninguém está. A descoberta costuma acontecer na due diligence da rodada seguinte, quando um analista de outra empresa encontra a mudança e pergunta por que você não encontrou.
5. Reclassificação regulatória
A empresa não fez absolutamente nada. As regras mudaram.
Um token passa a ser um valor mobiliário. Um serviço passa a ser enquadrado como uma atividade de serviços monetários em uma jurisdição onde não tinha esse enquadramento no ano passado. Um produto que era legal quando você transferiu o dinheiro agora está sujeito a um regime de licenciamento que não existia.
Por definição, isso é invisível para qualquer processo de onboarding e costuma ser descoberto quando chega uma notificação de fiscalização ou um banco começa a fazer perguntas incisivas.
6. Fornecedores contratados fora do processo de compras
As ferramentas foram compradas com um cartão pessoal. O serviço de transcrição por IA que alguém contratou e que agora processa suas reuniões de sócios. A ferramenta de agendamento com acesso de leitura a todas as agendas da empresa.
Você não consegue governar o que não sabe que existe. Comece pelos relatórios de despesas, que não têm glamour, mas funcionam.
7. Lacunas no desligamento
Acessos que sobrevivem ao vínculo empregatício. Um assunto monótono, presente em toda parte.
Alguém saiu em março. Seu e-mail foi desativado no mesmo dia. O acesso ao CRM de negócios, ao drive compartilhado, ao espaço de trabalho do Slack conectado a uma empresa do portfólio e ao console de nuvem que essa pessoa configurou há dois anos não foi revogado, porque tudo isso havia sido concedido individualmente por quem precisava na época.
Uma lista de verificação por escrito e uma revisão trimestral de acessos. É o trabalho de uma tarde e fecha uma das lacunas mais sistematicamente exploradas em qualquer organização pequena.
8. A única pessoa que sabe como tudo funciona
Toda empresa pequena tem uma. Competente, há quatro anos na empresa, e, se sair, leva a função de compliance junto, porque nada está documentado em lugar nenhum, a não ser na cabeça dela.
Quase ninguém coloca isso no registro de riscos, porque dar nome ao problema parece uma acusação. Registre mesmo assim.
9. Políticas escritas uma vez e nunca mais abertas
Alguém produziu uma bela política de segurança da informação em 2023 porque um cliente exigiu. Ela foi parar em uma pasta. Desde então, a empresa trocou de provedor de nuvem, de sistema de folha de pagamento e de metade da equipe.
A solução não custa nada. Toda política recebe um responsável definido e uma data de revisão, e essa data vai para uma agenda, em vez de ficar em um plano.
10. Treinamentos concluídos, mas não assimilados
Todos fizeram o módulo. A taxa de conclusão chegou a cem por cento. E, mesmo assim, alguém transfere quarenta mil dólares para uma conta falsa de fornecedor, porque o módulo consistia em vinte minutos clicando em slides às quatro da tarde.
Não tenho uma solução engenhosa para isso. A resposta honesta é que treinamentos curtos, específicos e frequentes funcionam melhor do que longos, genéricos e anuais. Cinco minutos sobre o ataque que a sua empresa realmente vai enfrentar, quatro vezes por ano.
A mesma lista, em forma de mapa
| Risco | Onde está | Por quanto tempo costuma ficar oculto |
| 1. Falsificação de identidade | Fora da organização | Até os usuários já terem perdido dinheiro |
| 2. Mudanças no histórico dos fundadores | Fora da organização | Até a informação ser pública e outra pessoa avisar você |
| 3. Sanções contra contrapartes | Fora da organização | Até um banco bloquear uma conta |
| 4. Reestruturação societária | Fora da organização | Até a due diligence da rodada seguinte |
| 5. Reclassificação regulatória | Fora da organização | Até chegar uma notificação de fiscalização |
| 6. Fornecedores sem gestão | Dentro da organização | Até uma violação de segurança ou uma fatura de renovação |
| 7. Lacunas no desligamento | Dentro da organização | Até o acesso de um ex-funcionário ser sinalizado |
| 8. Dependência de uma única pessoa | Dentro da organização | Até ela pedir demissão |
| 9. Políticas desatualizadas | Dentro da organização | Até a próxima auditoria |
| 10. Treinamento não assimilado | Dentro da organização | Até alguém cometer um erro |
Esses prazos até a detecção são padrões observados, não medições, e a sua experiência pode ser diferente. Mas observe a configuração do conjunto.
Tudo na primeira metade está fora da sua organização. Tudo na segunda metade está dentro dela.
Os riscos internos aparecem nos processos rotineiros, em semanas ou meses, porque algo acaba forçando a questão. Uma auditoria. Uma renovação. Um erro. Os externos aparecem quando alguém de fora da sua empresa os encontra por você. O que é outra forma de dizer que eles não vêm à tona. Eles chegam até você.
Isso levanta a questão de onde sua organização termina
Você tem uma pessoa jurídica. Tem um organograma. Nenhum dos dois descreve sua superfície de risco e, se você construir um programa de compliance em torno deles, produzirá algo coerente por dentro e cego para o que acontece fora.
Pense no que de fato chega à sua mesa. O fundador de uma empresa do portfólio aparece em uma designação de sanções. Um suboperador do administrador do seu fundo sofre uma violação de segurança, com seus dados nos sistemas dele. A exchange pela qual uma empresa do portfólio liquida operações quebra em um fim de semana, e você fica sabendo por um grupo de Telegram antes de ser informado pela empresa.
Nenhum deles está na sua folha de pagamento. Todos estão, na prática, dentro do seu perímetro de compliance.
A posição regulatória não é ambígua, e vale conhecê-la mesmo que você não esteja sujeito à supervisão. As orientações deixam claro que uma empresa pode terceirizar uma operação, mas não a responsabilidade por ela, e a due diligence e a supervisão contínuas de terceiros são tratadas como um componente próprio de um sistema de gestão de compliance. O mesmo princípio está nas recomendações do FATF sobre due diligence contínua de clientes.
A maioria dos fundos de venture capital e fundos cripto não está sujeita a essa supervisão, e quero ser cuidadoso nesse ponto, porque exagerar aqui seria fácil e desonesto. Ninguém vai fiscalizar você no próximo trimestre. Mas o raciocínio é válido independentemente de haver alguém exigindo seu cumprimento, e os cotistas começaram a fazer as mesmas perguntas que os reguladores.
Como avaliar o risco de compliance
O método padrão tem quatro etapas e uma quinta que fica faltando.
Etapa um: inventarie as obrigações que de fato se aplicam a você
Não os referenciais que causariam boa impressão. As regras, os contratos e os compromissos regulatórios sobre os quais você teria de prestar explicações se algo desse errado. Essa lista costuma ser mais curta do que as pessoas temem e mais inesperada do que imaginam, e vai conter uma ou duas coisas que alguém vinha ignorando porque ninguém percebeu que se aplicavam.
Etapa dois: inventarie as entidades, não apenas os processos
Essa é a etapa que a metodologia padrão pula, e é por isso que a maioria das avaliações fica incompleta.
A avaliação de riscos convencional inventaria processos: onboarding, pagamentos, tratamento de dados, elaboração de relatórios. Isso funciona para uma empresa cujo risco é interno.
Se a sua exposição é externa, você também precisa de um inventário de entidades. Cada empresa do portfólio. Cada contraparte relevante. Seu administrador, custodiante, principais fornecedores. Qualquer parte cujas falhas cheguem à sua mesa.
A maioria das empresas nunca produziu essa lista. Ela sempre fica mais longa do que o esperado, e produzi-la muda a conversa antes mesmo de você atribuir a primeira pontuação.
Etapa três: pontue a probabilidade e o impacto
A parte conhecida. Qual é a probabilidade de isso acontecer e qual será a gravidade se acontecer. Use a escala que preferir, de três ou cinco pontos; isso realmente não importa tanto quanto as pessoas fazem parecer nas discussões.
Etapa quatro: pontue a capacidade de detecção, o que ninguém faz
Quanto tempo você levaria para descobrir isso?
Não é “conseguiríamos encontrar se procurássemos?”. É quanto tempo, na prática, com o que você realmente tem em funcionamento, se passaria entre o acontecimento e alguém na sua empresa ficar sabendo.
Pontue em dias. Seja honesto. Se a resposta verdadeira for “descobriríamos quando o fundador nos contasse”, registre um número que reflita isso.
Etapa cinco: priorize com base nos três fatores
Isso nos leva à parte que considero realmente ausente dos referenciais padrão.
Como construir um mapa de riscos de compliance e o eixo que todos esquecem
O mapa de riscos convencional é uma matriz dois por dois. Probabilidade em um eixo, impacto no outro. Posicione seus riscos, e o que ficar no canto superior direito recebe o orçamento. Tanto a ISO 31000 quanto o COSO seguem, em linhas gerais, essa lógica, que tem atendido muito bem à gestão de riscos corporativos há décadas.
Mas há uma premissa oculta ali, e ela está causando muitos danos.
Ela pressupõe que você vai saber quando um risco se concretizar.
Olhe para o mapa e verá que a detecção não aparece em lugar nenhum. A probabilidade está lá. O impacto está lá. O tempo entre o evento e o momento em que você toma conhecimento dele simplesmente não existe, como se fosse zero, como se os riscos se anunciassem.
Eles não se anunciam. E o tempo multiplica o impacto, não é uma nota de rodapé.
Considere um risco de probabilidade média e impacto médio. Se você o identificar em um dia, ele é administrável. Você intervém cedo, contém a exposição, a remediação custa pouco e, perante o regulador, você mesmo descobriu o problema, o que conta muito.
Considere o mesmo risco permanecendo oculto por quatorze meses. A exposição se acumula. Todas as oportunidades de intervenção barata já passaram. A remediação agora é um projeto. E não foi você quem descobriu, foi outra pessoa, o que coloca você em uma posição consideravelmente pior na hora de prestar explicações.
Mesma probabilidade. Mesmo impacto nominal. Realidade completamente diferente.
A fórmula
O mapa, portanto, precisa de uma terceira dimensão, e a forma mais simples de expressá-la é:
Exposição efetiva = probabilidade × impacto × tempo até a detecção.
Você pode representar isso em uma página mantendo a matriz dois por dois e usando o tamanho ou a cor dos pontos para indicar a capacidade de detecção. Na prática, a maioria das equipes apenas pondera a pontuação, o que funciona. O formalismo importa menos do que a disciplina de fazer a terceira pergunta.
Aplique esse ajuste ao seu mapa de riscos atual e algo desconfortável acontece. Riscos que você havia classificado como médios, aparentemente inofensivos no centro da matriz, avançam rapidamente para o canto. Quase todos acabam sendo externos, porque são os riscos para os quais não há nenhum mecanismo de acompanhamento em funcionamento.
Essa reordenação é, em uma frase, o argumento a favor do monitoramento contínuo. E ela surge da própria metodologia, não de um fornecedor.
Os erros que quase todos cometem ao mapear riscos
São seis, e o primeiro é fatal.
Mapear apenas o que você controla. O mapa cobre seus processos, seus sistemas, sua equipe e para na porta. Isso produz um documento internamente rigoroso que descreve talvez quinze por cento da sua exposição real.
Mapear uma única vez. Um mapa de riscos criado em março e nunca mais aberto é uma fotografia. O mundo que ele descreve mudou. Essa situação é mais perigosa do que não ter mapa nenhum, porque agora você tem uma impressão documentada de um controle que não está funcionando.
Confundir probabilidade com capacidade de detecção. “Nunca vimos isso acontecer” frequentemente é confundido com “isso é improvável”. Às vezes, significa “não perceberíamos se acontecesse”. As duas situações produzem evidências idênticas e exigem respostas opostas.
Mapear no nível das entidades em vez das relações. Você mapeou a empresa do portfólio. Não mapeou o banco dela, a exchange ou o maior cliente, e qualquer um deles pode colocar essa empresa em um problema de compliance que ela não criou.
Deixar cada um pontuar a própria área. As pessoas classificam suas próprias áreas como de baixo risco. Isso tem mais a ver com proximidade do que com desonestidade, e a solução é pedir que alguém de fora da função atribua a pontuação ou, pelo menos, a questione.
Deixar o mapa virar um documento em vez de uma ferramenta. Se o mapa não orienta o que é monitorado, o que é escalado e o que recebe orçamento, ele não é um mapa. É uma entrega, produzida para atender a outra pessoa.
O mapeamento de riscos muda conforme o tipo de organização
A configuração do mapa varia enormemente de um setor para outro, e é por isso que os modelos genéricos decepcionam quase todo mundo que baixa um.
Uma indústria ou uma empresa tradicional tem riscos predominantemente internos. Cadeia de suprimentos, instalações, equipe, dados. Coisas que possui e dirige. Os referenciais padrão foram criados para isso e funcionam.
Uma empresa SaaS também tem foco principalmente interno, com riscos concentrados no tratamento de dados e nos controles de segurança. SOC 2, ISO 27001, GDPR. É por isso que a categoria de automação de compliance em segurança existe e cresceu tão rápido.
Uma fintech se divide entre os dois lados. Olha para dentro para cuidar dos próprios controles e para fora para cuidar dos clientes, que precisam ser verificados no onboarding e monitorados depois. Dois programas diferentes, frequentemente conduzidos pela mesma pessoa sobrecarregada.
Uma instituição regulada tem obrigações internas pesadas, além de exigências formais de supervisão de terceiros, e por isso geralmente acaba comprando uma plataforma de GRC e contratando alguém para operá-la.
Um fundo de venture capital ou private equity tem a lógica invertida. Onze pessoas internamente, duzentos milhões investidos em trinta e oito empresas que ele não controla. O risco interno é real, mas pequeno. Quase toda a exposição está em entidades fora da empresa, e nenhum referencial padrão descreve essa situação.
Um fundo cripto é o caso mais invertido de todos e tem duas superfícies externas distintas, sem sobreposição. O risco on-chain, coberto pela análise de carteiras. E o risco das entidades off-chain (fundadores, estruturas societárias, falsificação de identidade), que ela não cobre. Fundos que compraram a primeira e presumem ter coberto a segunda estão cometendo o erro caro mais comum desse mercado. Se essa distinção não for familiar, mapeamos aqui todo o panorama de categorias.
Boas práticas, a maioria gratuita
Cinco medidas. Três delas não custam nada, e vale dizer isso logo no início, porque a versão habitual desta seção é um fornecedor explicando que a solução é uma ordem de compra.
Primeiro, trace o perímetro real. Liste cada entidade cujas falhas chegam à sua mesa. Empresas do portfólio, suas principais contrapartes, seu administrador, seu custodiante, seus prestadores terceirizados. É gratuito e leva uma tarde.
Defina o prazo até a detecção como um número, não como uma palavra. Não “contínuo”. Um número. Se a resposta honesta for trimestral, você aceitou um pior cenário de cerca de noventa dias entre um sinal aparecer publicamente e alguém na sua empresa vê-lo. Isso pode ser perfeitamente aceitável. Deve ser uma decisão que você tomou, não uma lacuna que herdou, e precisa estar na sua política de gestão de riscos, não na cabeça de alguém.
Defina um responsável por cada risco antes de precisar dele. Um risco sem um nome associado não recebe resposta, e essa é, de longe, a razão mais comum para alertas ficarem sem ação. Não é um problema de ferramentas, e nenhum software vai resolvê-lo por você. Veja mais sobre o encaminhamento de alertas aqui.
Automatize o acompanhamento. Não automatize a decisão. Uma máquina pode ler dez mil artigos durante a noite, em seis idiomas, e destacar os quatro que dizem respeito às entidades que importam para você. Nenhuma equipe humana faz isso. O que uma máquina não pode fazer é decidir o que você fará a seguir. Qualquer sistema que entregue uma conclusão em vez de um sinal vinculado à fonte representa um risco, porque você passa a ter um documento com aparência de autoridade associado a uma decisão que não consegue auditar. Exija o link para a fonte primária. Exija isso de nós também.
Depois, teste o que construiu, o que me leva ao último ponto.
A auditoria de uma hora
Você pode descobrir sua situação ainda nesta tarde.
Escolha três empresas do portfólio ao acaso. Não as problemáticas. Escolhas aleatórias, de preferência incluindo uma com a qual você se sinta totalmente tranquilo.
Para cada uma, responda a quatro perguntas. Os diretores mudaram desde o fechamento? A jurisdição ou a estrutura societária mudou? Quem são suas principais contrapartes hoje, e alguma delas já era contraparte no fechamento? Alguém está se passando por ela nas redes sociais neste momento?
Cronometre. Depois, multiplique esse tempo pelo número de empresas do portfólio.
Se o resultado exceder o tempo que você realmente tem, você não tem um processo de monitoramento. Tem uma intenção. Há uma diferença relevante entre os dois, e ela costuma ser descoberta no pior momento possível.
Mais uma coisa. Se você não consegue responder a essas quatro perguntas para uma única empresa sem enviar um e-mail ao fundador, esse já é o achado. Não precisa repetir o exercício com as outras trinta e sete.
Perguntas frequentes
Vale corrigi-los, e eles também são a metade fácil. Os riscos que realmente custam dinheiro estão fora da empresa, como mudanças no histórico de um fundador, uma contraparte incluída em uma lista de sanções ou uma empresa que muda discretamente de domicílio, e a maioria das empresas não tem absolutamente nenhum mecanismo para acompanhar isso.
Um mapa de controles internos provavelmente pode durar um ano. Um mapa que cobre trinta e oito empresas do portfólio não pode, porque essas empresas mudam diretores, jurisdições e contrapartes no ritmo delas, não no seu. Revise a parte interna semestralmente. Revise a parte externa continuamente ou admita que você não está realmente revisando nada.
Conclusão
Os riscos dentro da sua empresa podem ser encontrados. É trabalhoso, mas possível, e este artigo mostrou, em linhas gerais, onde procurar. Defina responsáveis e prazos e a maioria deles deixa de ser risco.
Os que estão fora da sua empresa não serão encontrados procurando com mais afinco, porque ninguém está procurando. Isso não é uma falha de disciplina, e o esforço não vai fechar essa lacuna.
É para fechar essa lacuna que a Beady AI existe. Monitoramento contínuo das entidades às quais você está exposto (empresas do portfólio, fundadores, contrapartes) em listas de sanções, mídia negativa, registros empresariais e perfis falsos nas redes sociais, com cada sinal vinculado à fonte de origem. Agende uma sessão e faremos a análise das suas participações reais, em vez de uma base de demonstração. A maioria dos fundos encontra algo logo na primeira análise, o que pode ser tranquilizador ou não, dependendo do seu temperamento.
