As start-ups e scale-ups operam num ambiente empresarial em que velocidade, inovação, capital, tecnologia, dados, empreendedorismo e expansão internacional se reforçam continuamente entre si. Em poucos meses, a sua organização pode evoluir de uma empresa relativamente simples, com um número limitado de colaboradores e clientes, para uma organização internacional com milhares de utilizadores, várias entidades jurídicas, investidores institucionais, fluxos de pagamento complexos, parceiros tecnológicos externos, novos canais de distribuição e atividades em diferentes jurisdições. Este desenvolvimento acelerado cria oportunidades comerciais significativas, mas aumenta simultaneamente a exposição a riscos de criminalidade financeira, fraude, branqueamento de capitais, sanções económicas, corrupção, ciberameaças, questões de privacidade, riscos fiscais, conflitos de interesses, informação enganosa, deficiências de governação e fragilidades nos controlos internos. Processos que eram lógicos e eficientes numa fase inicial de crescimento podem tornar-se progressivamente menos controláveis à medida que a empresa aumenta de escala. Um fundador que inicialmente aprovava pessoalmente praticamente todos os pagamentos relevantes pode, por exemplo, manter o mesmo nível de autoridade enquanto o volume de transações cresce exponencialmente. Uma equipa comercial que beneficiava de ampla autonomia numa fase inicial pode começar a aceitar clientes internacionais sem dispor de informação suficiente sobre beneficiários efetivos, exposição a sanções ou estruturas de pagamento atípicas. Uma plataforma tecnológica pode introduzir novas funcionalidades antes de serem adequadamente avaliadas as respetivas implicações em matéria de proteção de dados, identidade digital, fraude, inteligência artificial, proteção do consumidor ou requisitos de licenciamento. A gestão integrada dos riscos de criminalidade financeira não constitui, por conseguinte, para start-ups e scale-ups, um exercício autónomo de compliance, mas um mecanismo estratégico através do qual a sua organização pode ligar o crescimento comercial à solidez jurídica, à qualidade da tomada de decisão, à capacidade de atrair investimento, à integridade financeira e ao controlo da governação.
Uma abordagem eficaz exige que o controlo da criminalidade financeira, a gestão global dos riscos empresariais, a gestão do risco jurídico, a análise fiscal, a cibersegurança, a privacidade, a governação de dados, a prevenção da fraude, os controlos internos e a assurance independente não sejam desenvolvidos como disciplinas isoladas, mas como componentes interligadas de um mesmo modelo operacional. O modelo das Três Linhas oferece, para esse efeito, uma estrutura diretamente aplicável de governação e gestão de riscos. Na Primeira Linha, os fundadores, administradores, equipas comerciais, funções de produto, finanças, operações e outros responsáveis operacionais continuam a ser proprietários dos riscos decorrentes da estratégia, dos clientes, dos produtos, das transações, da entrada em novos mercados e da tomada de decisão diária. A Segunda Linha apoia e supervisiona essa responsabilidade através, designadamente, das funções de gestão de riscos, compliance, controlo dos riscos de criminalidade financeira, integridade, privacidade, assessoria jurídica, cibersegurança, fiscalidade e outros domínios especializados. A Terceira Linha proporciona assurance independente sobre o efetivo funcionamento da governação, da gestão de riscos, dos controlos, dos mecanismos de escalada e da informação de gestão. Para start-ups e scale-ups, isto não significa que tenham de ser criadas de imediato estruturas de controlo extensas e complexas. Significa que responsabilidades, direitos de decisão, limiares de escalada, mecanismos de revisão independente e fluxos de informação devem evoluir proporcionalmente com as receitas, o volume de clientes, a dimensão da força de trabalho, a complexidade dos produtos, a presença internacional, a estrutura de financiamento e o perfil real de risco da organização. Desta forma, a sua organização pode preservar a velocidade empresarial, reduzindo simultaneamente o risco de a tomada informal de decisões, a dívida técnica, a insuficiente qualidade dos dados, a pressão comercial ou uma excessiva concentração de autoridade nos fundadores se transformarem em exposições jurídicas, financeiras ou reputacionais de natureza estrutural.
Governação dos fundadores e responsabilidade da direção durante o crescimento acelerado
A governação dos fundadores constitui um dos fatores mais determinantes para a fiabilidade do sistema de governação de uma start-up ou scale-up. Durante a fase inicial de uma empresa, uma forte concentração da tomada de decisão pode ser funcional. Os fundadores conhecem pessoalmente o produto, o mercado, os colaboradores e os investidores e podem, por esse motivo, agir com maior rapidez do que organizações dotadas de vários níveis de gestão e procedimentos formais de aprovação. À medida que a sua organização cresce, porém, essa mesma concentração de autoridade pode gerar responsabilidades pouco claras, insuficiente segregação de funções, menor rastreabilidade das decisões e uma dependência excessiva de determinadas pessoas. Compromissos financeiros, exceções às condições comerciais habituais, nomeações de dirigentes, decisões de investimento, parcerias estratégicas, pagamentos a consultores ou intermediários e desvios face aos processos normais podem então ser aprovados sem revisão independente suficiente. O risco não se limita a violações deliberadas da integridade. Mesmo fundadores competentes e íntegros podem tomar decisões sob pressão de processos de fundraising, prazos de desenvolvimento de produto, expectativas dos investidores e rápida expansão comercial sem avaliarem plenamente as respetivas implicações jurídicas, fiscais, regulatórias ou de integridade. A gestão coordenada dos riscos financeiros e de integridade exige, por isso, que a sua organização estabeleça claramente quais as decisões que podem ser tomadas ao nível operacional, quais as que exigem uma revisão especializada adicional e quais os assuntos que devem ser submetidos ao conselho de administração, aos investidores ou aos órgãos de supervisão. Delegações de poderes, limites de assinatura, autorizações de pagamento, aprovação de contratos, limiares de contratação, poderes de recrutamento, procedimentos de exceção e mecanismos de escalada não devem ser considerados meras formalidades administrativas, mas instrumentos através dos quais a responsabilidade de governação pode tornar-se objetivamente demonstrável.
O modelo das Três Linhas torna essa responsabilidade particularmente concreta. Na Primeira Linha, os fundadores e outros dirigentes continuam responsáveis tanto pelo desempenho comercial como pelos riscos decorrentes das suas decisões. Um fundador não pode, por isso, limitar-se a remeter uma relação comercial relevante para as funções jurídica ou de compliance e considerar que o risco foi transferido. O responsável comercial deve compreender com que contraparte a organização pretende relacionar-se, qual a lógica económica subjacente, quais os interesses financeiros envolvidos e quais os desvios solicitados relativamente aos processos habituais. A Segunda Linha deve então poder apoiar essa decisão e, simultaneamente, submetê-la a análise crítica. Quando, por exemplo, um investidor relevante, distribuidor, parceiro tecnológico, intermediário ou consultor utiliza uma estrutura de propriedade complexa, opera a partir de uma jurisdição de risco elevado, solicita modalidades de pagamento atípicas ou foi introduzido através de relações pessoais de um fundador, deve ser possível realizar uma avaliação especializada antes de se criar dependência comercial. Essa avaliação pode abranger beneficiários efetivos, sanções, suborno e corrupção, estruturas fiscais, licenças, privacidade, riscos contratuais, origem dos fundos, origem do património e exposição reputacional. A Terceira Linha pode posteriormente avaliar de forma independente se estes mecanismos funcionam realmente, se as exceções são adequadamente documentadas, se a informação de gestão é fiável e se as fragilidades estruturais são corrigidas em tempo útil. Nas organizações de menor dimensão, a assurance independente pode inicialmente ser organizada por projeto ou através de apoio externo. O fator determinante não é a dimensão da função, mas a independência e a qualidade da avaliação.
A governação dos fundadores está igualmente diretamente relacionada com a cultura, os incentivos e a accountability. Os colaboradores observam quais os comportamentos que são efetivamente recompensados, quais as regras que podem ser contornadas sob pressão comercial e como a direção reage quando as funções de controlo colocam questões críticas. Quando as receitas, o fundraising ou a entrega de produtos recebem sistematicamente prioridade sobre os requisitos de integridade, os colaboradores podem começar a encarar os controlos como obstáculos e as exceções podem tornar-se progressivamente normalizadas. Isto pode manifestar-se através da integração de clientes sem documentação completa, side letters celebradas fora dos processos contratuais habituais, descontos não autorizados, pedidos de reembolso atípicos, tratamento preferencial de pessoas relacionadas com os fundadores, seleção insuficientemente documentada de fornecedores ou manipulação de indicadores operacionais de desempenho. Uma governação eficaz dos fundadores exige, portanto, uma orientação clara da liderança, procedimentos transparentes relativos a conflitos de interesses, canais de whistleblowing fiáveis, decisões documentadas e consequências visíveis quando os standards internos são violados. A sua organização deve, além disso, ser capaz de reconstruir quais as informações disponíveis no momento de uma decisão relevante, quais os riscos discutidos, quais as objeções apresentadas e por que razão uma determinada aceitação do risco foi considerada defensável. Esta capacidade torna-se particularmente importante quando investidores, auditores, autoridades de supervisão, administradores de insolvência, financiadores, compradores ou partes em litígio examinam posteriormente a forma como os administradores exerceram as suas responsabilidades. Uma governação sólida apoia, assim, não apenas o controlo quotidiano, mas também a posição jurídica dos administradores individualmente considerados e da sua organização quando decisões anteriores são submetidas a escrutínio intensivo.
Controlos escaláveis de criminalidade financeira e compliance durante o crescimento
O controlo dos riscos de criminalidade financeira em start-ups e scale-ups deve poder crescer com a empresa sem atrasar desnecessariamente os processos comerciais. Uma organização que serve algumas dezenas de clientes pode inicialmente realizar a customer due diligence sobretudo de forma manual. Quando essa mesma plataforma passa a servir milhares ou centenas de milhares de utilizadores, atrai clientes internacionais, oferece funcionalidades de pagamento ou facilita relações comerciais complexas, uma abordagem predominantemente manual deixa de ser sustentável. A sua organização deve, por isso, identificar numa fase inicial quais os riscos de criminalidade financeira decorrentes do modelo de negócio e quais os controlos efetivamente necessários. Essa análise começa com uma visão estruturada dos tipos de clientes, produtos, transações, canais de distribuição, países, beneficiários efetivos, métodos de pagamento e terceiros. Uma empresa de software sem funcionalidades de pagamento apresenta um perfil substancialmente diferente do de uma fintech, marketplace, empresa ligada a criptoativos, plataforma de lending, serviço de mobilidade, fornecedor health-tech ou plataforma através da qual utilizadores realizam transações entre si. A gestão integrada dos riscos de criminalidade financeira exige, por conseguinte, proporcionalidade. Nem todos os clientes requerem o mesmo nível de análise, mas a sua organização deve conseguir explicar por que razão determinados segmentos de clientes, jurisdições, transações ou produtos são classificados como de risco baixo, normal ou elevado. A identificação de clientes, verificação empresarial, titularidade efetiva, screening de sanções, deteção de pessoas politicamente expostas, adverse media screening, transaction monitoring, controlos antifraude e revisões desencadeadas por eventos devem subsequentemente ser ligados a essa classificação de risco.
A escalabilidade significa também que, a partir de determinada fase de crescimento, os processos já não podem depender de colaboradores individuais, folhas de cálculo isoladas, caixas de correio eletrónico ou exceções não normalizadas. Os dados tornam-se, por isso, um elemento essencial do controlo da criminalidade financeira. Quando o mesmo cliente surge com nomes, moradas, classificações de risco ou informações de propriedade diferentes em vários sistemas, os processos de screening e monitorização podem ficar seriamente comprometidos. Quando equipas de produto eliminam determinados campos, alteram os processos de onboarding ou introduzem integrações API sem avaliarem o respetivo impacto na compliance e na prevenção da fraude, um controlo pode continuar tecnicamente ativo e, ainda assim, tornar-se insuficiente na prática. A gestão coordenada destes riscos exige, por conseguinte, responsabilidades claras em matéria de data ownership, data lineage, gestão de acessos, change management, prazos de conservação, controlos de qualidade dos dados e fiabilidade do reporting. A Primeira Linha deve assegurar que os processos de produto, tecnologia, finanças e operações geram e mantêm informação correta e utilizável. A Segunda Linha deve determinar quais os dados necessários para controlar os riscos de criminalidade financeira, privacidade, compliance e outros objetivos de gestão do risco, tornando visíveis as deficiências materiais na qualidade dos dados. A Terceira Linha deve poder avaliar de forma independente se os dados em que o conselho de administração, os investidores e as funções de controlo confiam são efetivamente completos, exatos e reproduzíveis. Uma base de dados tecnicamente funcional não constitui, por conseguinte, automaticamente uma fonte fiável para decisões de governação. A questão relevante é saber se a informação é suficientemente robusta para suportar a aceitação de clientes, a monitorização de transações, as decisões antifraude, o reporting de gestão e a aceitação estratégica de riscos.
Importa ainda distinguir claramente entre compliance visível e eficácia demonstrável dos controlos. Uma start-up pode dispor de políticas extensas enquanto os processos de clientes permanecem incompletos, os alertas ficam em aberto durante meses ou as exceções comerciais raramente são escaladas. Inversamente, uma organização pode ter documentação relativamente limitada e, ainda assim, aplicar controlos operacionais robustos. O crescimento sustentável exige, em última análise, ambas as dimensões: standards claros e eficácia demonstrável. A informação de gestão deve, portanto, ir além do simples número de screenings efetuados ou processos encerrados. Entre os indicadores relevantes podem encontrar-se taxas de rejeição durante o onboarding, distribuição dos clientes por níveis de risco, correspondências em listas de sanções, perdas por fraude, antiguidade dos alertas, relações de alto risco ainda não resolvidas, overrides, exceções manuais, revisões em atraso, resultados de quality assurance e problemas estruturais de qualidade dos dados. Esta informação não deve permanecer exclusivamente na função de compliance, devendo ser periodicamente analisada pela gestão e, quando relevante, pelo conselho de administração ou pelos investidores. Um aumento rápido do volume de alertas pode resultar do crescimento, mas também pode indicar um sistema mal calibrado. Uma taxa extremamente baixa de rejeição de clientes de risco elevado pode parecer comercialmente atrativa, mas pode suscitar dúvidas quanto à eficácia do screening. Ao ligar a gestão global dos riscos de criminalidade financeira a informação de gestão fiável, a sua organização cria um ambiente de controlo no qual o crescimento é medido não apenas através das receitas, do número de clientes ou da avaliação da empresa, mas também através do nível de controlo e defensabilidade do respetivo perfil de risco.
Fundraising, integridade dos investidores e beneficiários efetivos
O fundraising representa um momento de viragem estratégica para muitas start-ups e scale-ups. Seed rounds, venture capital, growth equity, instrumentos convertíveis, investidores estratégicos e financiamento internacional podem introduzir na sua organização, num período muito curto, montantes substanciais de capital e novos stakeholders. A importância comercial de um acesso rápido ao capital não deve, no entanto, impedir que seja determinado quem está efetivamente a investir, de onde provêm os fundos, quais os interesses económicos existentes por detrás de um veículo de investimento e qual a influência que o investidor passará a exercer sobre a governação. Estruturas holding complexas, nominee arrangements, trusts, special purpose vehicles, family offices, fundos de investimento relacionados com Estados, entidades offshore ou investidores presentes em múltiplas jurisdições podem ser inteiramente legítimos, mas exigem transparência suficiente para permitir avaliar riscos de criminalidade financeira, exposição a sanções, risco de corrupção, implicações fiscais e impacto reputacional. A gestão integrada dos riscos de integridade não é, portanto, relevante apenas relativamente a clientes e fornecedores. Investidores, acionistas, coinvestidores, credores e outros financiadores podem igualmente integrar o universo de riscos de integridade da sua organização. Um investidor que inicialmente apenas fornece capital económico pode vir a adquirir influência direta sobre a governação e a tomada de decisão através de lugares no conselho, direitos de veto, direitos de informação ou outras formas de influência estratégica.
A due diligence sobre investidores deve, por esse motivo, ir além de uma verificação formal da entidade jurídica contratante. Beneficiários efetivos, direitos de controlo, origem dos fundos, origem do património, exposição a sanções, pessoas politicamente expostas, adverse media, histórico de litígios, antecedentes regulatórios e incidentes relevantes de integridade podem exigir análise adicional em função do perfil de risco. Nos investimentos de dimensão significativa ou particularmente complexos, pode igualmente ser necessário analisar a própria lógica comercial do financiamento. Por que razão aceita um investidor determinadas condições? Por que motivo o capital é introduzido através de várias entidades? Por que razão o pagamento é efetuado por uma parte diferente do investidor contratual? Por que motivo é exigido um nível excecional de confidencialidade relativamente à estrutura de propriedade ou à origem do financiamento? Nenhuma destas circunstâncias demonstra, isoladamente, uma irregularidade, mas a combinação de vários fatores atípicos pode justificar uma análise reforçada. A Primeira Linha, incluindo fundadores, CFO, finanças e corporate development, deve compreender a lógica comercial e a estrutura da operação. A Segunda Linha deve analisar os riscos jurídicos, fiscais, de compliance, de criminalidade financeira e outros riscos especializados relevantes, impondo condições adicionais sempre que necessário. A Terceira Linha pode posteriormente avaliar se os procedimentos aplicáveis aos investidores são aplicados de forma coerente e se a governação das exceções funciona de forma fiável.
O fundraising apresenta igualmente uma segunda dimensão de integridade: a fiabilidade da informação que a sua própria organização fornece aos investidores. Elevadas expectativas de crescimento e mercados de capital competitivos podem criar pressão para apresentar de forma excessivamente otimista receitas, customer acquisition, retention, pipeline, recurring revenue, unit economics, platform activity ou outros indicadores de desempenho. A diferença entre uma previsão ambiciosa e uma representação enganosa pode assumir particular relevância em determinadas circunstâncias. Quando a atividade dos utilizadores é artificialmente inflacionada, o churn é apresentado seletivamente, o valor futuro de contratos é tratado como receita já realizada ou riscos operacionais materiais são insuficientemente divulgados, uma apresentação comercial dirigida a investidores pode evoluir para uma questão de governação, responsabilidade ou fraude. A sua organização deve, por conseguinte, exercer controlo sobre as definições, fontes de dados e aprovação dos indicadores críticos destinados aos investidores. Finance, data, legal e management devem conseguir reconstruir a forma como os principais números foram apurados. Os materiais destinados ao conselho, investor decks e data rooms de due diligence devem ser coerentes com os dados subjacentes e com os riscos conhecidos. A gestão integrada dos riscos de criminalidade financeira abrange, assim, também a integridade do corporate reporting. Um processo de fundraising fiável exige não apenas um investidor íntegro, mas igualmente uma organização capaz de apresentar a sua própria posição financeira, operacional e estratégica de forma rigorosa, verificável e juridicamente defensável.
Entrada rápida em novos mercados, expansão internacional e riscos transfronteiriços
A expansão internacional pode alterar o perfil de risco de uma scale-up mais rapidamente do que praticamente qualquer outra decisão de crescimento. Um produto que pode ser oferecido nos Países Baixos sem uma autorização específica pode, noutra jurisdição, ficar sujeito a regulamentação financeira, proteção do consumidor, telecomunicações, saúde, direito do trabalho, privacidade ou outras regras setoriais. Um modelo de pagamentos relativamente simples no Espaço Económico Europeu pode exigir, num país terceiro, licenças adicionais, parceiros de pagamento locais, obrigações de reporting ou restrições sobre fluxos financeiros transfronteiriços. Antes de entrar num novo mercado, a sua organização deve, por conseguinte, analisar quais os riscos jurídicos, fiscais, de compliance e de criminalidade financeira decorrentes da combinação entre produto, tipo de cliente, modelo de distribuição, fluxos de pagamento e jurisdição. A governação da entrada no mercado não pode ser reduzida à questão de saber se deve ser criada uma entidade jurídica local. Regimes de sanções, controlos à exportação, requisitos de beneficiário efetivo, normas anticorrupção, classificação das relações laborais, data localization, proteção do consumidor, regras de publicidade, propriedade intelectual, obrigações fiscais e práticas locais de enforcement podem determinar de forma decisiva a viabilidade do modelo de negócio.
Um risco recorrente surge quando as equipas comerciais entram de facto num mercado antes de estarem implementadas a governação e os controlos especializados necessários. Um cliente internacional pode, por exemplo, ser aceite simplesmente porque a plataforma já é tecnicamente acessível a partir do estrangeiro. Um reseller pode começar a comercializar produtos num novo país antes de terem sido analisadas as limitações territoriais contratuais ou a legislação local. Um consultor estrangeiro pode facilitar o acesso a entidades públicas sem existir clareza suficiente quanto à estrutura da sua remuneração ou às relações de que se serve. Um payment partner local pode ser integrado sobretudo por razões de velocidade e pricing enquanto a respetiva estrutura de propriedade, situação de licenciamento e incident history são analisadas apenas de forma limitada. A gestão coordenada dos riscos financeiros e de integridade exige, por isso, que a expansão geográfica esteja associada a critérios claros de go/no-go. A Primeira Linha deve controlar a lógica comercial, a execução operacional e as responsabilidades locais. A Segunda Linha deve determinar quais as condições jurídicas, fiscais, relacionadas com sanções, integridade, privacidade e compliance que devem estar satisfeitas antes do lançamento. Em caso de expansão material, o conselho de administração ou a gestão de topo deve conseguir documentar expressamente quais os riscos identificados, quais as medidas de mitigação implementadas e quais os riscos residuais aceites.
O crescimento transfronteiriço exige ainda uma reavaliação contínua. Um mercado considerado relativamente pouco arriscado no momento da entrada pode adquirir um perfil radicalmente diferente em resultado de desenvolvimentos políticos, novas sanções, alterações regulatórias, ações de enforcement ou mudanças na estrutura dos parceiros locais. Os beneficiários efetivos de um distribuidor podem mudar. Um investidor local pode tornar-se politicamente mais exposto. Um prestador de serviços de pagamento pode perder a sua licença. Um país pode passar a estar sujeito a novas restrições internacionais. A sua organização necessita, por conseguinte, de event-driven reviews e não pode depender exclusivamente de controlos periódicos. Determinados acontecimentos devem poder desencadear uma reavaliação de clientes, investidores, fornecedores, relações bancárias, parceiros de distribuição e atividades locais. O modelo das Três Linhas permite estruturar essa responsabilidade. As funções operacionais identificam alterações no âmbito das atividades diárias, as funções especializadas avaliam as respetivas consequências e a assurance independente determina se o sistema, no seu conjunto, funciona efetivamente. A expansão internacional deixa, assim, de ser uma sucessão de decisões comerciais isoladas e passa a constituir um processo de crescimento controlado, no qual estratégia, regulamentação local, controlo da criminalidade financeira, fiscalidade, dados, cibersegurança e governação são analisados em conjunto.
Pagamentos, fraude e riscos associados aos clientes digitais
Os pagamentos digitais constituem, para muitas start-ups e scale-ups, simultaneamente uma fonte de crescimento, um fator de conveniência para os clientes e uma área relevante de risco de criminalidade financeira. Quanto maior for a rapidez com que uma organização processa transações, mais atrativa pode tornar-se a plataforma para os clientes, mas também para agentes fraudulentos que procurem explorar velocidade, onboarding automatizado, incentivos promocionais, reembolsos instantâneos, carteiras digitais, créditos em conta, funcionalidades de marketplace ou outros mecanismos de pagamento. Os esquemas de fraude podem abranger utilização de dados de pagamento furtados, account takeover, identity fraud, refund abuse, identidades sintéticas, mule accounts, triangulation fraud, conluio entre utilizadores e colaboradores ou utilização abusiva das funcionalidades da plataforma para movimentar produtos de origem criminosa. A sua organização deve, por isso, compreender com precisão de que forma o dinheiro circula dentro do modelo de negócio. Quem paga a quem? Que partes recebem fundos? Pode ser armazenado ou transferido valor dentro da plataforma? Os utilizadores podem criar várias contas? Os pagamentos podem ser revertidos? Terceiros podem efetuar pagamentos por conta de clientes? Os fundos podem ser rapidamente transferidos para novas contas bancárias? Estas características operacionais determinam diretamente quais os mecanismos de controlo da criminalidade financeira que se tornam necessários.
A prevenção da fraude não deve funcionar separadamente dos procedimentos KYC, da customer risk assessment, do screening de sanções, do transaction monitoring, da cibersegurança e do customer support. Uma conta comprometida pode inicialmente ser classificada como um simples incidente de cibersegurança e, posteriormente, dar origem a pagamentos não autorizados, alterações na conta e levantamentos anómalos. Um utilizador que cria várias contas com o objetivo de receber repetidamente incentivos promocionais pode estar envolvido numa fraude comercial relativamente limitada, mas a mesma técnica pode ser utilizada para fraudes de pagamento de maior gravidade ou atividades de money mule. Um aumento súbito dos reembolsos pode resultar de problemas de qualidade do produto, mas também pode indiciar refund abuse organizado. Uma gestão integrada dos riscos de criminalidade financeira permite relacionar estes sinais. Informações sobre dispositivos, dados IP, comportamento de pagamento, identidade do cliente, alterações de contas bancárias, chargebacks, transaction velocity, geolocalização, interações com o customer support e anteriores relatos de fraude podem, quando analisados conjuntamente, revelar um perfil de risco que controlos separados não seriam capazes de identificar. Isto exige dados de elevada qualidade, mas também uma governação clara sobre quem investiga os alertas, quem pode bloquear contas, quando devem ser realizadas verificações adicionais e em que circunstâncias uma relação deve ser terminada ou reportada.
O modelo das Três Linhas é igualmente diretamente aplicável neste domínio. As equipas de product, operations, customer service, finance e fraude da Primeira Linha devem identificar os riscos nas atividades diárias, executar os controlos relevantes e escalar atempadamente as anomalias. A Segunda Linha deve desenvolver políticas, risk appetite, standards de monitorização, frameworks antifraude e controlos contra a criminalidade financeira, avaliando criticamente se as decisões comerciais permanecem dentro dos limites estabelecidos. A Terceira Linha deve verificar de forma independente se o transaction monitoring, os controlos antifraude, a segurança de acessos, o incident management e o management reporting funcionam efetivamente. A sua organização deve evitar gerir a fraude exclusivamente em função da perda financeira direta. Um esquema fraudulento que produza um prejuízo económico imediato relativamente limitado pode ter consequências muito mais significativas se revelar fragilidades estruturais na verificação de identidade, nos controlos de produto ou na governação dos pagamentos. A informação de gestão deve, por isso, considerar não apenas fraud losses, mas também tentativas de fraude, fraude evitada, account takeover, chargebacks, rácios de reembolso, overrides manuais, falhas de autenticação, padrões transacionais suspeitos, falsos positivos e tempos de resolução das investigações. Ao relacionar indicadores financeiros, operacionais, tecnológicos e de integridade, a sua organização obtém uma visão significativamente mais completa dos riscos associados aos clientes digitais e pode sustentar o crescimento sem permitir que a velocidade comprometa o controlo, a fiabilidade e a solidez jurídica.
Inteligência artificial, dados, cibersegurança e governação tecnológica
A inteligência artificial, os dados e as tecnologias digitais constituem o núcleo do modelo de negócio de muitas start-ups e scale-ups, mas concentram simultaneamente um conjunto particularmente complexo de riscos jurídicos, operacionais, financeiros e de integridade. A sua organização pode utilizar algoritmos para aceitação de clientes, avaliação de crédito, deteção de fraude, definição de preços, recrutamento, personalização, monitorização de transações, apoio ao cliente, moderação de conteúdos ou tomada de decisões comerciais. Em paralelo, grandes volumes de dados pessoais, informações de pagamento, dados empresariais, comportamento dos utilizadores, dados de treino e propriedade intelectual podem ser tratados através de ambientes cloud, interfaces de programação, modelos externos e fornecedores tecnológicos integrados. Falhas na qualidade dos dados, no desenvolvimento dos modelos ou na segurança de acessos podem, por conseguinte, repercutir-se diretamente nos riscos de criminalidade financeira. Um modelo antifraude deficiente pode, por exemplo, não detetar transações suspeitas; um processo inadequado de correspondência de identidade pode bloquear clientes legítimos ou admitir contas de risco elevado; uma solução de onboarding baseada em inteligência artificial pode interpretar incorretamente documentos de identificação; credenciais API insuficientemente protegidas podem permitir acesso não autorizado a dados de clientes ou informações de pagamento; e dados de treino manipulados podem comprometer a fiabilidade das decisões automatizadas. A gestão integrada dos riscos de criminalidade financeira exige, por isso, que a governação da inteligência artificial, a governação de dados, a cibersegurança, a privacidade, a prevenção da fraude e o controlo dos riscos financeiros não sejam tratados como domínios técnicos separados. A sua organização deve conseguir determinar quais os dados que suportam decisões críticas, qual a sua origem, de que forma podem ser alterados, quais os modelos que deles dependem e que controlos são acionados quando os sistemas produzem resultados inesperados, incoerentes ou incorretos. A governação tecnológica passa, assim, a estar diretamente ligada à responsabilidade dos administradores, à defensabilidade jurídica, à integridade financeira e à fiabilidade das operações.
A governação de dados ocupa uma posição central neste enquadramento, porque praticamente todos os controlos automatizados dependem da qualidade, completude, coerência e atualidade da informação subjacente. Quando os dados relativos aos clientes se encontram distribuídos por sistemas CRM, plataformas de pagamento, ferramentas antifraude, bases de dados de produto e fornecedores externos de compliance, podem surgir discrepâncias capazes de enfraquecer substancialmente a avaliação do risco. Um mesmo cliente pode, por exemplo, estar registado como relação empresarial num sistema e como pessoa singular noutro; uma alteração ao beneficiário efetivo pode não ser refletida em tempo útil; um screening de sanções pode ser realizado com base em dados de identificação desatualizados; ou o transaction monitoring pode não integrar informação já disponível junto do customer support. Uma gestão coordenada destes riscos exige, por conseguinte, uma atribuição clara de responsabilidades quanto a data ownership, data lineage, gestão de acessos, change management, períodos de conservação, controlos de qualidade e fiabilidade do reporting. A Primeira Linha deve assegurar que os processos de produto, tecnologia, finanças e operações geram e mantêm informação exata, completa e utilizável. A Segunda Linha deve determinar quais os dados indispensáveis ao controlo da criminalidade financeira, à privacidade, à compliance e a outros objetivos de gestão do risco e deve tornar visíveis as deficiências materiais de qualidade dos dados. A Terceira Linha deve poder avaliar de forma independente se os dados em que o conselho de administração, os investidores e as funções de controlo confiam são efetivamente completos, exatos, coerentes e reproduzíveis. Uma base de dados tecnicamente funcional não constitui, por isso, automaticamente uma fonte fiável para decisões de governação. A questão determinante é saber se a informação possui robustez suficiente para suportar a aceitação de clientes, a monitorização de transações, as decisões antifraude, o reporting de gestão e a aceitação estratégica do risco.
A cibersegurança deve igualmente ser considerada uma parte integrante da gestão global dos riscos financeiros e de integridade. Incidentes cibernéticos podem traduzir-se diretamente em criminalidade financeira quando contas são comprometidas, informações de pagamento são furtadas, colaboradores são manipulados, instruções de pagamento são alteradas ou atacantes obtêm acesso a carteiras digitais, perfis de clientes ou sistemas financeiros internos. Business email compromise, furto de credenciais, phishing, ransomware, ameaças internas, ataques à cadeia de fornecimento e abuso de privilégios de administrador podem gerar simultaneamente riscos cibernéticos, de fraude, privacidade, continuidade operacional e criminalidade financeira. A sua organização necessita, por isso, de um modelo de resposta a incidentes em que containment técnico, preservação de prova, investigação jurídica, análise financeira, notificações regulatórias, comunicação com stakeholders e escalada de governação sejam coordenados desde o primeiro momento. As provas digitais, incluindo logs, cloud records, registos de acesso, eventos de autenticação, e-mails, comunicações por chat e informação relativa a dispositivos, devem ser preservadas de forma a poderem ser utilizadas posteriormente em investigações internas, litígios de responsabilidade, pedidos de indemnização ao abrigo de seguros ou processos judiciais. Em simultâneo, a sua organização deve definir previamente quais os ciberincidentes que exigem uma escalada material para o conselho de administração e quando investidores, clientes, contrapartes contratuais, autoridades de supervisão ou autoridades de investigação poderão ter de ser informados. A governação tecnológica não se limita, assim, à questão de saber se os sistemas estão disponíveis e seguros, abrangendo também a capacidade da sua organização para manter, sob intensa pressão temporal, um controlo demonstrável sobre informação, decisões, prova digital e consequências financeiras de um incidente.
Terceiros, plataformas e dependências decorrentes de outsourcing
As start-ups e scale-ups podem desenvolver rapidamente ecossistemas complexos compostos por parceiros tecnológicos, fornecedores de pagamentos, fornecedores cloud, agências de marketing, consultores, programadores de software, resellers, parceiros logísticos, empresas de recrutamento, contabilistas, brokers e outros prestadores externos. O outsourcing permite um crescimento rápido, mas a transferência de determinadas atividades operacionais não implica necessariamente a transferência da responsabilidade pelos riscos associados. A sua organização pode, por exemplo, externalizar a identificação de clientes para um fornecedor KYC, confiar o processamento de pagamentos a um payment service provider, armazenar dados junto de um cloud provider ou utilizar software de terceiros para deteção de fraude. Se esse fornecedor sofrer uma interrupção, aplicar controlos insuficientes, perder dados ou atuar em violação da legislação aplicável, as consequências podem materializar-se diretamente na sua organização. A gestão integrada dos riscos de criminalidade financeira exige, por isso, que o risco de terceiros não seja tratado apenas como uma questão de procurement. Os fornecedores críticos devem ser avaliados à luz da respetiva estrutura de propriedade, estabilidade financeira, situação de licenciamento, exposição a sanções, cibersegurança, privacidade, tratamento de dados, subcontratantes, continuidade de negócio, histórico de incidentes e qualidade dos controlos relevantes. A profundidade dessa avaliação deve ser proporcional à função desempenhada pelo terceiro e ao grau de dependência operacional, financeira ou tecnológica que essa relação cria para a sua organização.
A dependência efetiva é, pelo menos, tão importante quanto a classificação contratual do fornecedor. Um prestador relativamente pequeno pode tornar-se operacionalmente crítico quando é a única parte com acesso a determinado código-fonte, privilégios administrativos, dados de clientes ou infraestrutura especializada. Um fornecedor de pagamentos pode transformar-se num single point of failure quando praticamente todas as transações dependem da sua infraestrutura. Um programador externo pode conservar acesso a ambientes de produção sem logging adequado ou sem suficiente segregação de funções. Um reseller pode, na prática, determinar quais os clientes finais que obtêm acesso ao seu produto enquanto a sua organização dispõe de visibilidade limitada sobre a respetiva identidade ou perfil de risco. A gestão coordenada destes riscos exige, por isso, uma combinação de due diligence, controlo contratual e monitorização contínua. Sempre que adequado, os contratos devem conter direitos de auditoria, obrigações de informação, requisitos de notificação de incidentes, disposições relativas à segurança dos dados, restrições à subcontratação, obrigações de compliance, direitos de cessação e deveres de cooperação em investigações. As proteções contratuais são, contudo, insuficientes se nunca forem testadas ou aplicadas na prática. A sua organização deve saber quais são os fornecedores críticos, que dados tratam, quais as atividades essenciais que deles dependem e que alternativas existem quando os respetivos serviços cessam inesperadamente ou quando o risco associado deixa de ser aceitável.
O modelo das Três Linhas permite uma distribuição clara das responsabilidades relacionadas com terceiros. A Primeira Linha continua responsável pela relação e deve compreender por que razão o fornecedor é necessário, que serviços presta, que acessos lhe são concedidos e que nível de desempenho é esperado. Procurement e funções comerciais podem apoiar essa responsabilidade, mas não conseguem, isoladamente, avaliar todos os riscos técnicos, jurídicos, regulatórios ou de integridade. A Segunda Linha deve, por isso, estabelecer requisitos adicionais para fornecedores de risco elevado, sob as perspetivas da gestão de riscos, jurídica, privacidade, cibersegurança, controlo da criminalidade financeira, fiscalidade e compliance. A Terceira Linha deve posteriormente avaliar de forma independente se a governação de terceiros funciona efetivamente, se os fornecedores críticos foram corretamente identificados e classificados e se incidentes, exceções e incumprimentos contratuais são escalados em tempo útil. Esta abordagem evita que o outsourcing conduza a uma perda de visibilidade sobre o risco. A sua organização deve, em última análise, ser capaz de demonstrar quais as atividades materiais executadas por terceiros, quais os riscos daí decorrentes, como esses riscos são monitorizados e que medidas de contingência existem quando um fornecedor externo deixa de ser fiável, conforme ou operacionalmente disponível.
Whistleblowing, investigações internas e gestão de crise
O crescimento acelerado pode criar circunstâncias em que comportamentos impróprios, conflitos ou deficiências de controlo sejam detetados pelos colaboradores antes de se tornarem visíveis através do monitoring formal. Os profissionais que trabalham próximos dos processos de vendas, aceitação de clientes, desenvolvimento de produtos, pagamentos, procurement e tomada de decisões de gestão podem identificar sinais que não aparecem em dashboards ou reportings periódicos. As denúncias podem referir-se a manipulação de receitas, práticas comerciais agressivas, clientes fraudulentos, despesas impróprias, conflitos de interesses, comportamentos abusivos, utilização indevida de dados, contorno de controlos de sanções, acesso não autorizado a sistemas ou pressão para ignorar procedimentos internos. A sua organização necessita, por isso, de um mecanismo de whistleblowing acessível, fiável e proporcional que permita a colaboradores e outros stakeholders relevantes comunicar preocupações de forma segura. A mera existência formal de um canal de denúncia não é suficiente. A sua credibilidade depende da forma como as comunicações são registadas, avaliadas, investigadas, escaladas e acompanhadas. Quando uma denúncia desaparece numa caixa de correio eletrónico genérica, permanece sem tratamento durante meses ou é imediatamente encaminhada para a própria pessoa objeto da acusação, o problema deixa de ser meramente operacional e transforma-se num risco material de governação e integridade.
Quando uma denúncia atinge um grau suficiente de concretização, a sua organização deve determinar rapidamente se é necessária uma investigação interna formal. A investigação deve ser suficientemente independente para permitir um fact-finding fiável e, simultaneamente, proporcional à natureza e gravidade das alegações. Uma gestão integrada dos riscos exige que, sempre que relevante, análise financeira, investigação jurídica, digital forensics, informação de compliance e dados operacionais sejam combinados. Uma suspeita de fraude em pagamentos pode, por exemplo, exigir a análise de movimentos bancários, faturas, contratos, registos IP, e-mails, mensagens de chat e access records. Uma possível manipulação de performance metrics pode exigir a revisão de dados-fonte, definições utilizadas, processos de reporting e decisões relacionadas com comunicações dirigidas a investidores. A preservação da prova deve ocorrer numa fase inicial sempre que exista risco de eliminação, alteração ou perda de informação relevante. Paralelamente, devem ser cuidadosamente protegidos a privacidade, o direito do trabalho, a confidencialidade, a posição processual e qualquer forma aplicável de legal privilege. A investigação deve, por isso, dispor desde o início de um scope claramente definido, uma governação específica, linhas de reporting precisas e triggers de escalada. Quando o senior management, os fundadores ou membros do conselho de administração possam estar envolvidos, pode ser necessário recorrer a apoio externo para salvaguardar a independência, credibilidade e defensabilidade do processo de investigação.
A gestão de crise não deve começar apenas quando o incidente se torna público. Um modelo profissional liga desde o início a deteção, o apuramento dos factos, a tomada de decisão, a análise jurídica, a comunicação, a recuperação operacional e a remediation. Se, por exemplo, uma fraude for descoberta imediatamente antes de uma ronda de investimento, o mesmo evento pode afetar obrigações de informação perante investidores, acordos de financiamento existentes, decisões laborais, cobertura de seguros, obrigações contratuais e eventuais notificações às autoridades. Um ciberincidente pode comprometer simultaneamente dados de clientes, pagamentos e prestação de serviços críticos. A gestão coordenada dos riscos evita que estas consequências sejam avaliadas separadamente por equipas que dispõem apenas de uma visão parcial do problema. A Primeira Linha deve identificar os incidentes e adotar as medidas operacionais necessárias. A Segunda Linha deve avaliar as respetivas consequências jurídicas, de compliance, integridade e risco e apoiar a tomada de decisão de governação. A Terceira Linha pode posteriormente analisar de forma independente por que motivo os controlos existentes não preveniram o incidente ou não permitiram detetá-lo mais cedo. Uma resposta eficaz a uma crise não termina, por conseguinte, com o containment. A análise das causas profundas, a remediation das deficiências de controlo, as medidas de accountability, a formação, as melhorias técnicas e a adaptação da governação devem ser utilizadas para evitar que a mesma vulnerabilidade estrutural reapareça sob outra forma.
Preparação do conselho de administração, dos investidores e das autoridades de supervisão
À medida que uma scale-up cresce, aumenta significativamente o nível de escrutínio aplicado por administradores, investidores, auditores, financiadores, potenciais compradores e autoridades de supervisão à governação e aos sistemas de controlo. Durante uma ronda de financiamento inicial, um produto convincente e uma equipa fundadora sólida podem ser suficientes para atrair investimento. Em rondas posteriores, parcerias estratégicas, financiamento bancário, investimento institucional, aquisições ou preparativos para uma eventual entrada em bolsa, a atenção concentra-se de forma muito mais intensa na qualidade da tomada de decisões, do reporting financeiro, da compliance, da cibersegurança, dos dados, dos litígios, da exposição regulatória e dos controlos internos. A sua organização deve conseguir demonstrar, de forma tempestiva e coerente, quais os riscos materiais existentes, como estão distribuídas as responsabilidades, que incidentes relevantes ocorreram e que medidas corretivas foram implementadas. A preparação perante o conselho e os investidores vai muito além de apresentações profissionais ou de uma data room bem organizada. A informação disponibilizada deve ser verificável, coerente e substancialmente defensável. Quando números de receitas, customer metrics, compliance reporting e risk disclosures não estão alinhados, um processo de due diligence pode rapidamente transformar-se numa avaliação muito mais ampla da governação, da fiabilidade da gestão e da efetiva eficácia dos controlos.
A preparação do conselho de administração exige informação de gestão de elevada qualidade. Os administradores não devem ser sobrecarregados com detalhe operacional, mas necessitam de visibilidade suficiente sobre riscos materiais, tendências, incidentes, exceções e deficiências de controlo. Uma gestão global dos riscos financeiros e de integridade exige, por isso, um conjunto coerente de indicadores capaz de tornar visíveis, ao nível adequado de governação, clientes de risco elevado, exposição a sanções, fraude, investigações internas, dependências de terceiros, ciberincidentes, fragilidades de controlo e desenvolvimentos jurídicos ou regulatórios materiais. A informação de risco deve estar ligada ao contexto comercial. Um aumento das perdas por fraude pode, por exemplo, decorrer de uma expansão internacional rápida ou do lançamento de um novo produto. Um aumento dos atrasos em processos de compliance pode resultar de um crescimento excecional do número de clientes e indicar que os recursos humanos ou a tecnologia disponível já não correspondem aos volumes efetivos. O reporting ao conselho deve, por conseguinte, explicar não apenas o que aconteceu, mas também por que razão o desenvolvimento é material, que medidas estão a ser tomadas e que decisões são exigidas aos administradores. A Segunda Linha desempenha aqui um papel importante na consolidação, interpretação e challenge crítico da informação, enquanto a Primeira Linha mantém a responsabilidade pela qualidade e fiabilidade dos dados operacionais subjacentes.
A preparação regulatória significa igualmente que a sua organização deve estar pronta para investigações, pedidos de informação, auditorias, procedimentos de licenciamento ou ações de supervisão antes mesmo de uma autoridade estabelecer contacto. Os supervisores não avaliam normalmente apenas a existência formal de políticas, mas também o funcionamento efetivo dos controlos, a qualidade da tomada de decisão, a fiabilidade dos dados, a gestão de incidentes e a accountability. A sua organização deve, por isso, ser capaz de reconstruir por que razão determinadas decisões de risco foram tomadas, de que forma as exceções foram tratadas e que melhorias foram implementadas em resposta a fragilidades conhecidas. O modelo das Três Linhas oferece uma estrutura clara e reconhecível para o demonstrar. A Primeira Linha pode mostrar como os riscos são geridos nas operações; a Segunda Linha pode demonstrar como funcionam standards, monitoring e challenge; e a Terceira Linha pode fornecer assurance independente quanto à eficácia do sistema no seu conjunto. Esta estrutura reforça não apenas a posição da sua organização perante autoridades de supervisão, mas também processos de investimento, due diligence em operações de fusões e aquisições, operações de financiamento e corporate litigation. Quando a sua organização tem de explicar, sob pressão externa, o que sabia, que controlos existiam e de que forma reagiu a sinais de alerta, uma governação demonstrável pode revelar-se tão importante quanto a existência formal de políticas e procedimentos.
Resiliência da scale-up, eficácia dos controlos e crescimento sustentável
O crescimento sustentável exige que os controlos não sejam acrescentados apenas após o surgimento de problemas, mas que evoluam de forma sistemática com a dimensão, a complexidade e o perfil de risco da sua organização. O perfil de risco altera-se quando as receitas aumentam, são contratados novos colaboradores, são lançados novos produtos, são aceites clientes de maior dimensão, entram novos investidores, tecnologias críticas são externalizadas ou são abertos novos mercados internacionais. Um framework de controlo adequado para cinquenta colaboradores pode tornar-se insuficiente para uma organização com quinhentas pessoas. Uma revisão manual de pagamentos que funcionava de forma fiável com cem transações mensais pode oferecer pouca assurance relevante quando o volume atinge cem mil operações. A gestão integrada dos riscos de criminalidade financeira deve, por isso, avaliar periodicamente se a governação, os sistemas, as pessoas, os processos e os dados continuam adequados ao perfil real de risco. O objetivo não consiste em criar o maior nível possível de controlo, mas em reforçar de forma seletiva as áreas em que o impacto potencial de erros, fraude, comportamentos impróprios ou crescimento insuficientemente controlado se torna material. A sua organização deve distinguir quais os processos críticos, que controlos devem atuar preventivamente, onde é necessária monitorização de natureza detetiva e que riscos residuais exigem uma aceitação expressa por parte da gestão.
A resiliência organizacional torna-se visível quando a sua organização é capaz não apenas de gerir um crescimento bem-sucedido, mas também de absorver perturbações inesperadas. Estas podem assumir a forma de um ciberataque, insolvência de um fornecedor crítico, fraude envolvendo um dirigente, perda de uma relação bancária essencial, alteração súbita de um regime de sanções, investigação regulatória, cobertura mediática negativa ou fracasso de uma ronda de financiamento material. A gestão coordenada dos riscos de criminalidade financeira e de integridade reforça esta resiliência ao ligar prevenção, deteção, investigação, resposta, recuperação e tomada estratégica de decisões. Análises de cenários e tabletop exercises podem ajudar a determinar se as vias de escalada funcionam efetivamente e se os administradores dispõem da informação adequada sob intensa pressão temporal. A continuidade de negócio e a gestão de crise não devem limitar-se à disponibilidade tecnológica. O acesso contínuo a contas bancárias, a continuidade dos fluxos de pagamento, a disponibilidade de fornecedores de compliance, a preservação de provas digitais, a existência de fornecedores alternativos e os canais de comunicação com clientes, investidores e autoridades também podem ser críticos. Uma organização que tenha determinado previamente que decisões devem ser tomadas durante um incidente grave e quem tem autoridade para as adotar pode responder mais rapidamente sem abandonar a disciplina de governação.
O objetivo final consiste em desenvolver um modelo escalável de governação e gestão de riscos no qual empreendedorismo, tecnologia, crescimento comercial e integridade se reforcem mutuamente em vez de se fragilizarem. A Primeira Linha possui e gere os riscos decorrentes da estratégia, desenvolvimento de produtos, relações com clientes, transações e operações diárias. A Segunda Linha fornece orientação, aconselhamento, monitoring e challenge crítico através da gestão de riscos, compliance, controlo da criminalidade financeira, integridade, privacidade, especialização jurídica, fiscalidade, cibersegurança e outros domínios especializados. A Terceira Linha proporciona assurance independente sobre o efetivo funcionamento da governação, gestão de riscos, informação de gestão e controlos internos. Uma abordagem integrada dos riscos financeiros e de integridade liga estes três níveis de responsabilidade à prevenção, deteção, investigação, resposta e melhoria estrutural. Para a sua organização, isto não significa travar o crescimento para preservar o controlo. Significa permitir que a governação e a eficácia dos controlos evoluam de forma direcionada em paralelo com o risco empresarial, para que as decisões possam ser tomadas com maior rapidez porque responsabilidades, necessidades de informação, triggers de escalada e limites aceitáveis já se encontram definidos. A Van Leeuwen Law Firm assessora start-ups e scale-ups a partir desta perspetiva integrada, combinando controlo dos riscos de criminalidade financeira, corporate investigations, governação, tecnologia, dados, cibersegurança, regulatory enforcement, análise de riscos jurídicos e gestão estratégica de litígios. Desta forma, a sua organização pode não só escalar rapidamente, mas também permanecer demonstravelmente atrativa para investidores, controlável, juridicamente defensável, preparada para a supervisão regulatória e resiliente perante os desafios de integridade, criminalidade financeira, tecnologia e governação que inevitavelmente acompanham uma expansão adicional.
