Governo Americano, PCC e CV: O que a sua cadeia de fornecedores tem a ver com isso?

A ausência de incidentes costuma ser interpretada como ausência de risco. 

Este é um viés que compromete a maior parte das avaliações de risco que uma empresa faz. E enquanto nada acontece, o tema vai sendo adiado. Há sempre uma prioridade mais urgente, uma negociação aberta, um processo de melhoria de custo que consome toda a atenção. 

A gestão de risco na cadeia de fornecimento é, por isso, um dos campos mais subestimados da estratégia de compras, justamente porque seus efeitos aparecem em momentos que nunca parecem estar no horizonte imediato.

O problema com essa lógica é que o cenário não desaparece por não ser monitorado. Ele se acumula silenciosamente, até que um evento externo o torna visível de uma vez. E quando isso acontece, a empresa que não tinha processo enfrenta a crise sem ferramentas para respondê-la.

Um novo cenário que encontrou empresas sem respostas prontas

No final de maio de 2026, o governo dos Estados Unidos classificou o PCC (Primeiro Comando da Capital) e o CV (Comando Vermelho) como organizações terroristas estrangeiras. A medida ativou dois instrumentos legais americanos com alcance extraterritorial: a designação FTO, que responsabiliza quem prestou apoio consciente a uma organização terrorista, e a designação SDGT, que amplia significativamente o risco de sanções econômicas, podendo atingir ativos e transações independentemente da existência de condenação criminal do terceiro envolvido. Em tese, a empresa pode ser punida mesmo sem ter tido intenção, conhecimento do vínculo ou provas de má-fé.

A reação imediata no Brasil foi de perplexidade. De acordo com uma reportagem da Folha de São Paulo, Escritórios de advocacia e consultorias de compliance relataram aumento expressivo na demanda por orientação. Empresas de diferentes setores passaram a revisar suas cadeias de fornecimento em busca de conexões que não sabiam que tinham. Mesmo sem qualquer envolvimento deliberado, a simples percepção de vínculo comercial ou financeiro com organizações dessa natureza pode gerar riscos reputacionais, comerciais e regulatórios relevantes

Esse movimento é compreensível, mas carrega um novo problema: diante de um cenário novo, com legislação estrangeira complexa e consequências difíceis de dimensionar, muitos gestores tendem a entrar em paralisia. Não por má vontade, mas porque a pergunta "o que eu deveria estar fazendo?" não tem uma resposta óbvia. E quando não há resposta óbvia, é comum que a resposta seja não fazer nada.

O problema é que "não fazer nada" pode ser interpretado, sob a lógica americana, como ausência de controles compatíveis com o risco. E controles que demonstram diligência adequada é exatamente o que as autoridades consideram quando avaliam a responsabilidade de uma empresa diante de um vínculo que ela afirma não ter conhecimento.

Mas antes de pensar na legislação americana, vale olhar para um caso brasileiro que aconteceu de forma completamente independente dela, e que ilustra com precisão o tipo de cenário que está em jogo.

O que aconteceu com os Correios em agosto de 2025

Em 2021, os Correios realizaram uma licitação para contratar uma empresa responsável pelo processamento de pagamentos com cartão em suas agências e pela operação do site e aplicativo institucionais. A vencedora foi a Berlin Finance, que operava na época sob o nome BK Bank. A contratação seguiu os trâmites regulares. A fintech tinha autorização do Banco Central, participou do processo licitatório formal, e foi escolhida dentro dos critérios estabelecidos. Tudo dentro da normalidade.

Por quatro anos, a empresa prestou o serviço. Nesse período, porém, registrou falhas técnicas recorrentes que afetavam os clientes da estatal. Essas falhas foram tratadas como problemas operacionais, o tipo de instabilidade que se cobra do fornecedor e se monitora ao longo do tempo.

Em 28 de agosto de 2025, a Operação Carbono Oculto foi deflagrada pela Polícia Federal, pela Receita Federal e pelo Ministério Público de São Paulo. A investigação revelou que o PCC havia construído ao longo de anos uma estrutura empresarial sofisticada no setor de combustíveis e no sistema financeiro. Segundo as autoridades, cerca de mil postos vinculados ao grupo movimentaram R$ 52 bilhões entre 2020 e 2024. Fundos de investimento com patrimônio de R$ 30 bilhões foram usados para ocultar os beneficiários finais dos negócios. E uma fintech apontada como banco paralelo da organização teria movimentado mais de R$ 46 bilhões no mesmo período.

Essa fintech era o BK Bank.

No dia da operação, os sistemas de pagamento dos Correios pararam. Clientes chegaram às agências e não puderam pagar com cartão. O site e o aplicativo da estatal ficaram fora do ar, causando problemas a muitos clientes, como pequenos empreendedores que utilizam o serviço dos Correios para enviar vendas feitas em plataformas digitais. Poucos dias depois, o contrato com os Correios foi rescindido.

Com base nas informações públicas disponíveis, a contratação seguiu os procedimentos formais então exigidos, e o caso ilustra como mecanismos tradicionais de seleção podem não capturar todos os riscos relevantes. O que não existia era uma camada de análise capaz de detectar o que os critérios formais não capturam. As falhas técnicas recorrentes, que poderiam ter sido um sinal de alerta para uma revisão mais cuidadosa do fornecedor, foram tratadas como ruído operacional comum. O risco estava acumulado, invisível nos instrumentos disponíveis.

Quando o evento externo o tornou visível, a ruptura foi imediata e não gerenciada.

As perguntas que um gestor deveria conseguir responder

O caso dos Correios não é exceção. É ilustrativo de uma lacuna que existe em muitas cadeias de fornecimento, especialmente nos setores em que a presença do crime organizado foi documentada pelas autoridades brasileiras: logística e transporte, combustíveis, construção, serviços financeiros e tecnologia de pagamentos.

KYS, ou Know Your Supplier, é uma prática reconhecida em ambientes de compliance: conhecer quem são os seus fornecedores antes de contratá-los. O problema é que o momento da contratação costuma ser insuficiente. O risco não para de evoluir depois que o contrato é assinado, e os sinais mais relevantes muitas vezes aparecem durante o relacionamento, não antes dele. Pode-se pensar em uma evolução do KYS para algo mais próximo de um “KYSA”, Keep Your Supplier Accountable: o acompanhamento contínuo dos aspectos críticos de governança que o fornecedor deve assegurar ao longo do tempo, não apenas na porta de entrada.

A boa notícia é que não se trata de construir um programa de compliance do zero. Trata-se, antes de mais nada, de ser capaz de responder a algumas perguntas básicas sobre os fornecedores com maior relevância para a operação.

Você conhece os beneficiários finais dos seus principais fornecedores, ou apenas os sócios que aparecem no contrato social? Esses fornecedores aparecem em alguma lista de sanções, investigações ou alertas do COAF? Se um deles for alvo de uma operação policial amanhã, quais seriam os impactos para o seu negócio? E quanto tempo levaria para substituí-lo sem comprometer sua operação?

Você tem algum registro documentado de que essas verificações foram feitas, com data e resultado? Ou a due diligence do seu fornecedor se resumiu à consulta de regularidade fiscal e certidões negativas no momento da homologação? 

Seu contrato com fornecedores críticos prevê alguma obrigação de transparência societária e notificação em caso de alteração relevante? Ou o contrato cobre apenas preços, prazos e especificações técnicas?

Se um fornecedor do seu setor for investigado por vínculos com crime organizado, você tem condições de demonstrar que adotou controles razoáveis antes que isso acontecesse? Será muito útil ser capaz de demonstrar a algum cliente ou autoridade que você tomou as providências mínimas que se espera de um contratante.

Essas perguntas não exigem uma estrutura sofisticada para serem respondidas. Exigem, antes de tudo, que sejam feitas.

Uma conversa que vale a pena ter antes que o evento aconteça

Independentemente da avaliação que cada pessoa faça sobre a política externa americana ou sobre as respostas brasileiras ao crime organizado, empresas precisam administrar os riscos concretos criados pelo ambiente regulatório e reputacional em que operam.

A gestão de risco na cadeia de fornecimento faz parte de uma estratégia de compras madura. Não é um exercício burocrático, é um instrumento real de proteção da continuidade operacional e da reputação da empresa.

O novo cenário criado pela designação do PCC e do CV como organizações terroristas pelos Estados Unidos adiciona uma urgência externa a uma questão que já era relevante por razões internas. Se você não estava preocupado com isso, trate a mudança como um alerta de que algo está faltando. E se os Estados Unidos voltarem atrás, os riscos verdadeiros não vão embora.

Porque o caso dos Correios mostra, independentemente da pressão americana, que o cenário se materializa quando a empresa está menos preparada, e que as ferramentas para gerenciar esses riscos precisam existir antes do evento, não depois. 

Se você quiser conversar sobre como estruturar uma estratégia de compras que inclua essa dimensão de risco de forma prática e proporcional ao tamanho da sua operação, fale conosco.

Conheça nossos estudos de caso e nossos guias gratuitos, que são um ótimo ponto de partida. Aqui.nosso Mapa de Compras Estratégicas, e aqui, nosso Mapa de Gestão Estratégica de Fornecedores.