Um novo espaço de análise, reflexão e pluralidade no
debate público sobre o sistema de justiça criminal
Um novo espaço de análise, reflexão e pluralidade no
debate público sobre o sistema de justiça criminal
Há uma ironia difícil de ignorar no nome escolhido pela Polícia Federal para a investigação: Operação Compliance Zero. No relatório parcial enviado ao Supremo Tribunal Federal em 28 de outubro de 2026, com cerca de setecentas páginas, foram indiciadas quinze pessoas por suspeita de gestão fraudulenta, falsidade, lavagem de dinheiro e organização criminosa em operações envolvendo aproximadamente R$ 17,5 bilhões em carteiras de crédito negociadas entre o Banco Master e o Banco de Brasília (BRB).
A lista não se limita a controladores e executivos comerciais. Dela constam o diretor de Gestão de Riscos do Banco Master, a quem o relatório associa às áreas de riscos, controles internos, compliance e cessão de créditos; a diretora executiva de Controle e Riscos do BRB, indiciada por gestão fraudulenta como integrante da Diretoria Colegiada; e um advogado externo, apontado como partícipe pela estruturação jurídica das operações. Em outras palavras, a investigação alcançou justamente as pessoas cuja função era impedir que aquilo acontecesse.
Uma cautela se impõe antes de qualquer análise. Indiciamento é juízo provisório da autoridade policial, formado a partir dos elementos colhidos no inquérito. Não é denúncia, nem condenação. As defesas contestam a acusação, e a do ex-controlador sustenta inclusive a inexistência de prejuízo. Este texto não se pronuncia sobre a culpa de ninguém. O que interessa é a pergunta estrutural que o caso tornou visível para qualquer empresa: quando aquele que existe para prevenir o crime passa a responder por ele? E, na direção oposta, o que o compliance simplesmente não é capaz de prometer?
Segundo o que foi divulgado do relatório, a Diretoria Colegiada do BRB podia aprovar sozinha negócios de até R$ 750 milhões; acima disso, a decisão cabia ao Conselho de Administração. Das vinte e cinco transações aprovadas, vinte e uma tinham exatamente R$ 750 milhões. A Polícia Federal enxergou nisso indício de fracionamento para evitar o conselho. O relatório registra, ainda, que treze de catorze notas executivas que iniciavam as aquisições foram aprovadas antes da conclusão dos pareceres técnicos, e que a direção do banco recebeu alertas sobre margens incompatíveis, índices de inadimplência de 15% e 28% e falhas nas planilhas de avaliação dos créditos.
Do lado do Master, a perícia concluiu que os mecanismos internos de controle, monitoramento e governança tinham condições de identificar as irregularidades apontadas. Quanto aos membros da Diretoria Colegiada do BRB, a responsabilização proposta decorreria, nas palavras divulgadas do relatório, da adesão reiterada a um método decisório fraudulento.
Nada disso descreve a ausência de compliance. Descreve exatamente o contrário: estruturas formais existentes, alçadas definidas, pareceres previstos, área de riscos instalada. A hipótese investigativa é a de um sistema de controle que funcionava no papel e foi neutralizado na prática. O dado das vinte e uma operações de R$ 750 milhões é eloquente: a regra foi cumprida ao centavo para ser derrotada em sua finalidade. Compliance de fachada não é a falta de regras. É a regra convertida em roteiro.
Casos assim costumam produzir duas leituras igualmente equivocadas. A primeira supõe que a existência de um programa de integridade blinda a empresa e seus dirigentes. A segunda, simétrica, supõe que quem cuida dos controles responde por tudo aquilo que os controles deixaram passar. Ambas confundem a função de controle com a posição jurídica de quem a exerce.
A gestão fraudulenta (art. 4º da Lei 7.492/1986) é crime próprio: só pode ser autor quem integra a gestão da instituição financeira. O art. 25 da mesma lei identifica como penalmente responsáveis o controlador e os administradores, entre eles diretores e gerentes. Isso ajuda a compreender o caso. Diretores de riscos e de controle que ocupam cargo estatutário não são alcançados pela lei por serem profissionais de compliance, mas por serem administradores. Já o advogado externo, que não integra a gestão, só pode ser alcançado como partícipe, pela regra geral do art. 29 do Código Penal, e foi exatamente essa a qualificação adotada no indiciamento (Brasil, 1940).
Quando a imputação se apoia na omissão, o Código Penal é preciso: o art. 13, § 2º, exige que o omitente devesse e pudesse agir para evitar o resultado. O profissional de compliance, em regra, tem o dever de detectar, registrar e reportar riscos. Raramente tem o poder de vetar uma operação. Se identificou o problema, comunicou a quem tinha competência para decidir e foi ignorado, cumpriu o seu dever. Responsabilizá-lo pelo que não podia impedir seria punir o cargo, e não a conduta.
Em texto anterior publicado neste Jornal, sustentei que a delegação de funções na empresa transfere deveres, mas não dissolve a responsabilidade de quem delega (Tonet, 2026). A recíproca também vale: quem recebe um dever de vigilância responde nos limites do que efetivamente recebeu, não pela totalidade dos riscos da organização.
O cenário muda, porém, quando o profissional de controle integra o órgão que decide. Aí já não se trata de omitir um alerta, mas de votar. Quem vota pela aprovação de uma operação sem o parecer técnico, ciente de que ela está viciada ou aceitando conscientemente esse risco, não é um fiscal omisso; é coautor da decisão. A distinção entre quem vigia e quem delibera é, talvez, a mais importante de todo o debate.
Sem antecipar juízo sobre os investigados, é possível identificar três situações em que a função de controle se converte em fonte de responsabilidade penal.
A primeira é o silêncio qualificado: o profissional identifica a irregularidade e não a comunica, ou a comunica de forma atenuada, de modo que quem decide não tenha como compreender sua gravidade. A segunda é a chancela: o profissional assina, aprova ou vota contra os alertas que conhece, ou aceita como normal uma sequência que esvazia o próprio controle, como aprovar antes do parecer ou fracionar valores para fugir da alçada. A terceira, mais grave, é a produção da aparência: o profissional elabora ou valida documentos destinados a dar ar de regularidade ao que não é regular. Nesse ponto, o controle se inverte e passa a funcionar como instrumento da fraude, explorando a credibilidade que a própria função confere.
Em nenhuma dessas hipóteses o que se pune é a falha técnica. Erro de avaliação, controle mal desenhado e risco mal precificado são falhas de gestão, sujeitas a sanções administrativas e civis. O Direito Penal exige dolo, e a lei não prevê gestão fraudulenta culposa. A fronteira entre a operação financeira malsucedida e a fraude criminosa não está no tamanho do prejuízo, mas na prova do que cada um sabia e do que cada um fez com aquilo que sabia.
Redigir contratos, constituir sociedades e revisar notificações são atos cotidianos e lícitos da advocacia. Jakobs (2004, p. 168) formulou, com a ideia de proibição de regresso, o critério que melhor protege esse espaço: quem presta uma contribuição padronizada, que teria o mesmo sentido para qualquer cliente, não responde pelo uso criminoso que outro decide fazer dela. O exemplo clássico é o do taxista que conduz um passageiro ao local onde ele cometerá um crime.
A neutralidade, contudo, deixa de existir quando a contribuição é moldada ao plano. O relatório atribui ao escritório do advogado indiciado a estruturação societária da empresa usada como intermediária formal nas cessões e a elaboração e revisão de contratos e notificações, e afirma que documentos preparados no ambiente do Master teriam sido encaminhados a essa empresa para apresentação ao BRB. Se ficar provado que o profissional conhecia a finalidade da estrutura, ela deixa de ser assessoria e passa a ser engrenagem. Se não ficar, trata-se de trabalho jurídico ordinário que outros utilizaram mal. Essa é uma questão de prova, e o ônus pertence à acusação.
Há aqui um atalho tentador, que convém recusar: a ideia de que o advogado “devia saber”. O Direito Penal brasileiro não pune por dever de saber; exige dolo, ainda que eventual. A discussão sobre a cegueira deliberada, inclusive quanto à responsabilização do advogado, é legítima e vem sendo travada na doutrina nacional (Dresch; Silva, 2017, p. 176 et seq.), e o próprio Jakobs examina em que medida a indiferença diante dos fatos pode receber tratamento equivalente ao conhecimento (Jakobs, 2004, p. 32-33). Transplantar essas construções sem critério, porém, transforma negligência em dolo e converte o assessor jurídico em fiador universal da honestidade do cliente.
A proteção do advogado, portanto, não está em denunciar o cliente, mas em compreender a finalidade econômica do que lhe pedem para estruturar e em recusar aquilo que reconhece como instrumento de ilícito.
O caso oferece lições que valem para qualquer organização, de um banco a uma indústria do interior.
A primeira é a independência real da função de controle. Quem fiscaliza precisa reportar a um órgão que não seja o executivo cuja decisão é fiscalizada, como o conselho ou um comitê de auditoria. No sistema financeiro, essa exigência já tem base regulatória, como a Resolução CMN 4.595/2017, que disciplina a política de conformidade das instituições financeiras; nas demais empresas, depende de desenho interno (Brasil, 1986).
A segunda é o registro do dissenso. Alerta verbal não existe para fins de prova. O parecer escrito, a ata com voto vencido e o e-mail ao conselho são, ao mesmo tempo, o que protege a empresa e o que protege o profissional. O documento que demonstra que alguém alertou é o mesmo que permite separar quem alertou de quem ignorou.
A terceira são as regras contra o contorno. Limites de alçada precisam considerar operações conexas, somadas por contraparte e por período. Vinte e uma operações idênticas, no exato teto da alçada, deveriam disparar um alerta automático, e não passar despercebidas. Do mesmo modo, nenhuma aprovação deveria anteceder o parecer técnico que a fundamenta.
A quarta diz respeito à advocacia externa: conhecer o cliente e a finalidade econômica da estrutura, delimitar o escopo do trabalho por escrito e recusar quando a finalidade permanecer opaca.
Por fim, é preciso dizer com franqueza o que o compliance não faz. Ele não impede quem está decidido a fraudar, sobretudo quando essa decisão parte do controlador ou da alta administração. A promessa de risco zero é falsa. O que um programa bem desenhado pode fazer é tornar a fraude mais difícil, mais cara, mais visível e, algo frequentemente esquecido, individualizável. Em uma investigação, é ele que permite distinguir responsabilidades, em vez de submeter toda a diretoria à mesma suspeita.
A lição do caso Master não é que o compliance falhou e, por isso, seria inútil. Também não é que todo profissional de controle deva temer responder por qualquer fraude que escape à sua vigilância. A lição é que a função de controle só protege quem a exerce de verdade.
Entre o vigia que avisa e o vigia que assina embaixo existe uma distância que o Direito Penal precisa preservar. Punir o primeiro é responsabilidade objetiva, incompatível com um direito penal da culpa. Absolver o segundo seria transformar o compliance em álibi. O desafio, para os tribunais e para as empresas, é manter essa distância nítida, e isso começa muito antes de qualquer inquérito, na forma como a empresa organiza, documenta e respeita os seus próprios controles.
ALVES, Dione. Ex-presidente do BRB pressionou por compras do Master mesmo após alertas, aponta PF. NC News, 29 out. 2026. Disponível em: https://ncnews.com.br/2026/10/29/ex-presidente-brb-pressionou-compras-master-alertas-policia-federal/. Acesso em: 29 out. 2026.
BRASIL. Decreto-lei nº 2.848, de 7 de dezembro de 1940. Código Penal. Rio de Janeiro: Presidência da República, 1940. Disponível em: https://www.planalto.gov.br/ccivil_03/decreto-lei/del2848compilado.htm. Acesso em: 29 out. 2026.
BRASIL. Lei nº 7.492, de 16 de junho de 1986. Define os crimes contra o sistema financeiro nacional, e dá outras providências. Brasília: Presidência da República, 1986. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l7492.htm. Acesso em: 29 out. 2026.
CONSELHO MONETÁRIO NACIONAL. Resolução nº 4.595, de 28 de agosto de 2017. Dispõe sobre a política de conformidade (compliance) das instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. Disponível em: https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50427/Res_4595_v3_L.pdf. Acesso em: 29 out. 2026.
DRESCH, Márcia de Fátima Leardini Vidolin; SILVA, Douglas Rodrigues da. [Capítulo VII]. In: GUARAGNI, Fábio André; BACH, Marion (coord.). Direito penal econômico: administrativização do direito penal, criminal compliance e outros temas contemporâneos. Londrina: Thoth, 2017.
JAKOBS, Günther. Dogmática de Derecho penal y la configuración normativa de la sociedad. Madrid: Civitas, 2004.
PIZA, Paulo Toledo. PF indicia Vorcaro, Paulo Henrique Costa e mais 13 por fraude no Master. Poder360, 28 out. 2026. Disponível em: https://www.poder360.com.br/poder-justica/pf-indicia-vorcaro-paulo-henrique-costa-e-mais-13-por-fraude-no-master/. Acesso em: 29 out. 2026.
PORTA, Gabriel. PF indicia 15 suspeitos em investigação sobre Banco Master e BRB. Gazeta do Paraná, 29 out. 2026. Disponível em: https://gazetadoparana.com.br/publico/pf-indicia-15-suspeitos-em-investigacao-sobre-banco-master-e-brb. Acesso em: 29 out. 2026.
TONET, Fernando. Entre a delegação e a omissão: responsabilidade penal dos administradores e prevenção de riscos na empresa. Jornal de Ciências Criminais do IBCCRIM, 23 set. 2026. Disponível em: https://jcc.ibccrim.org.br/colunistas/entre-a-delegacao-e-a-omissao-responsabilidade-penal-dos-administradores-e-prevencao-de-riscos-na-empresa/. Acesso em: 29 out. 2026.
Foi utilizada a ferramenta ChatGPT (OpenAI) exclusivamente para revisão e correção gramatical e ortográfica do texto,preservando-se a autoria intelectual, a análise crítica e a responsabilidade do autor pelo conteúdo.
Encontrou um erro?
Nos ajude a melhorar! Envie sua correção abaixo 👇
