A prevenção ao insider trading não começa quando alguém decide comprar ou vender um valor mobiliário. Ela começa muito antes, quando uma informação potencialmente relevante é criada, discutida, registrada ou compartilhada dentro da empresa.
Uma aquisição ainda não anunciada, uma mudança de controle, um resultado financeiro, a perda de um contrato importante ou uma reestruturação podem circular por diversas áreas antes de chegarem ao mercado. Nesse percurso, a informação pode ser acessada por executivos, colaboradores, consultores, auditores, assessores financeiros e fornecedores.
Quanto maior o número de pessoas e sistemas envolvidos, maior a necessidade de governança.
Esse cuidado ganha ainda mais relevância com a modernização da supervisão do mercado de capitais brasileiro. Em julho de 2026, o Supremo Tribunal Federal homologou o plano emergencial de reestruturação da Comissão de Valores Mobiliários-CVM. Entre as medidas anunciadas estão o aprimoramento da infraestrutura tecnológica, a ampliação do uso de inteligência artificial e ferramentas de análise de dados e o fortalecimento da cooperação entre órgãos públicos.
O documento técnico elaborado pela CVM prevê a estruturação de um programa de detecção de abuso de mercado baseado em dados de negociação, reconhecimento de padrões, machine learning, análise de redes e integração com informações cadastrais e financeiras. O escopo inclui, entre outros temas, o insider trading.
Isso não significa que um comportamento atípico será automaticamente considerado irregular. Um alerta tecnológico é um ponto de partida para análise, não uma conclusão. Entretanto, uma supervisão mais orientada por dados aumenta a importância de a empresa conseguir demonstrar quem acessou determinada informação, quando isso aconteceu, quais restrições estavam vigentes e como as pessoas foram orientadas.
Nesse cenário, políticas genéricas e controles informais podem ser insuficientes. A prevenção depende de cinco controles conectados à rotina da organização.
Antes dos controles: o que é insider trading?
A Resolução CVM 44 proíbe a utilização de informação relevante ainda não divulgada por qualquer pessoa que tenha tido acesso a ela, com a finalidade de obter vantagem para si ou para outra pessoa mediante negociação de valores mobiliários.
A expressão “qualquer pessoa” é importante. O risco não está limitado a diretores, conselheiros ou acionistas controladores. Dependendo das circunstâncias, pode envolver empregados, consultores, auditores, assessores, fornecedores e pessoas que tenham recebido a informação em razão de uma relação comercial, profissional ou de confiança.
A norma também estabelece presunções relativas para determinadas situações. Entre elas, presume-se que a pessoa que negociou dispondo de informação relevante não divulgada fez uso dessa informação. A análise, entretanto, deve considerar os demais elementos do caso.
Além da esfera administrativa, o artigo 27-D da Lei nº 6.385/1976 tipifica o uso indevido de informação privilegiada. A legislação também alcança o repasse de informação sigilosa relativa a fato relevante por quem teve acesso em razão de cargo, posição ou relação profissional, comercial ou de confiança.
Por isso, prevenir insider trading não significa apenas proibir negociações em determinados períodos. Significa controlar todo o ciclo da informação relevante.
Mapear e classificar informações potencialmente relevantes
O primeiro controle consiste em identificar onde as informações sensíveis surgem, quem participa de sua produção e por quais canais elas circulam.
Resultados financeiros são o exemplo mais conhecido, mas não são a única fonte de risco. Operações de fusão e aquisição, mudanças de controle, reestruturações, pedidos de recuperação judicial, captações, contratos materiais, incidentes tecnológicos e decisões estratégicas também podem exigir tratamento especial.
Esse mapeamento deve considerar o ciclo completo da informação:
- onde ela foi produzida;
- quando passou a ser potencialmente relevante;
- quais áreas participaram da análise;
- quais sistemas armazenaram os documentos;
- quais terceiros receberam acesso;
- quando ocorreu a divulgação ao mercado.
Um erro comum é classificar uma informação como sensível apenas quando a operação já está praticamente concluída. Em alguns casos, o risco pode surgir ainda durante estudos ou análises preliminares.
A empresa não precisa tratar todos os documentos como informação privilegiada. Isso tornaria o controle pouco funcional. O objetivo é criar critérios claros para reconhecer informações que possam influenciar de modo relevante a decisão de investidores e aplicar proteção proporcional ao risco.
A pergunta deve ser: a empresa consegue identificar quando uma informação sensível surgiu e reconstruir o seu percurso até a divulgação?
Restringir o acesso e manter rastreabilidade
Depois de identificar a informação, é preciso controlar quem realmente necessita acessá-la.
O princípio deve ser simples: o acesso é concedido conforme a necessidade profissional, e não por conveniência, hierarquia ou participação genérica em determinada área.
Listas de distribuição muito amplas, grupos informais de mensagens, pastas sem restrições e permissões antigas que nunca foram revogadas aumentam desnecessariamente a exposição.
Um controle consistente deve permitir identificar:
- quem recebeu acesso;
- por qual motivo;
- em qual data;
- a quais documentos ou sistemas;
- quando o acesso foi alterado ou retirado.
Projetos estratégicos também podem utilizar listas específicas de pessoas com acesso, nomes internos e ambientes documentais segregados. Reuniões devem ser limitadas aos participantes necessários, e seus materiais precisam receber tratamento compatível com o grau de confidencialidade.
A tecnologia ajuda a registrar acessos, alterações e compartilhamentos. Entretanto, ela não substitui a responsabilidade das pessoas. Um colaborador autorizado pode criar exposição ao comentar um projeto em local inadequado, encaminhar um documento ao contato errado ou utilizar uma ferramenta não aprovada pela empresa.
Por isso, rastreabilidade e conscientização precisam funcionar juntas.
A organização deve saber exatamente quem teve acesso a cada projeto sensível e conseguir justificar esse acesso.
Tornar a política de negociação aplicável à rotina
Uma política de negociação não deve existir apenas para cumprir uma formalidade. Ela precisa orientar decisões concretas.
O documento deve explicar, em linguagem compreensível:
- quem está sujeito às regras;
- quais ativos e operações estão abrangidos;
- quando há necessidade de autorização prévia;
- como funcionam os períodos de vedação;
- como declarar contas, vínculos ou conflitos;
- qual canal deve ser consultado em caso de dúvida;
- como são tratadas exceções.
A Resolução CVM 44 estabelece impedimento de negociação, para determinados participantes, nos 15 dias anteriores à divulgação de informações contábeis trimestrais e demonstrações financeiras anuais, observadas as condições previstas na norma.
Esse período regular não elimina outras restrições. Uma pessoa que tenha acesso a informação relevante ainda não divulgada não deve interpretar a ausência de um bloqueio no calendário como autorização automática para negociar.
Operações extraordinárias também podem exigir restrições específicas, comunicadas rapidamente às pessoas alcançadas. Autorizações, recusas, consultas e exceções devem ficar registradas.
Outro ponto importante é evitar que a política dependa de memorização. Avisos automáticos, calendários atualizados e processos de autorização prévia ajudam a transformar a norma em um controle utilizável.
O colaborador consegue saber, antes de negociar, se existe restrição e a quem deve pedir orientação?
Incluir terceiros e pessoas relacionadas na governança
Informações estratégicas não circulam somente entre empregados.
Escritórios de advocacia, auditorias, bancos, consultorias, agências de comunicação, assessorias financeiras e fornecedores de tecnologia podem receber acesso a projetos confidenciais. Esses terceiros precisam ser incluídos na análise de risco.
Contratos e termos de confidencialidade são importantes, mas não bastam isoladamente. A empresa deve avaliar quais informações serão compartilhadas, quem poderá acessá-las, como os documentos serão protegidos e quando as permissões deverão ser encerradas.
As equipes internas também precisam compreender que o repasse informal de uma informação pode gerar exposição mesmo quando o próprio colaborador não realiza qualquer negociação.
Considere um exemplo hipotético: um profissional comenta em casa que a empresa está prestes a anunciar uma aquisição. Uma pessoa próxima utiliza essa informação para negociar valores mobiliários. O risco não desaparece porque a ordem foi executada por outra pessoa.
O cuidado deve alcançar conversas, mensagens, dispositivos, ambientes públicos e relações profissionais ou pessoais que possam facilitar o uso ou o repasse de informações.
Isso não significa monitorar indiscriminadamente a vida privada dos colaboradores. Significa explicar os limites de confidencialidade, os riscos de compartilhamento e as obrigações aplicáveis.
É preciso verificar se terceiros e profissionais com acesso eventual recebem orientação compatível com o risco da informação.
Capacitar por função e testar decisões práticas
O quinto controle conecta todos os anteriores: capacitação.
Uma política bem escrita perde efetividade quando as pessoas não reconhecem uma situação de risco. Da mesma forma, um sistema de autorização prévia não funciona se o colaborador não souber quando utilizá-lo.
O treinamento deve partir dos dilemas enfrentados por cada público. Alta liderança, Relações com Investidores, Jurídico, Compliance, Finanças, M&A, Tecnologia e fornecedores podem ter exposições diferentes.
Entre os cenários que podem ser trabalhados estão:
- recebimento inesperado de informação relevante;
- negociação pessoal durante período sensível;
- dúvida sobre uma conta ou ativo abrangido;
- compartilhamento de documentos com consultores;
- conversa informal sobre um projeto confidencial;
- perda de sigilo ou envio ao destinatário errado;
- identificação de possível conflito de interesses;
- suspeita de negociação atípica.
O objetivo não é transformar todos os colaboradores em especialistas na regulamentação do mercado de capitais. É capacitá-los para reconhecer sinais de risco, interromper uma decisão inadequada e procurar orientação antes de agir.
A organização também precisa manter evidências da jornada de capacitação, como público convocado, conteúdo aplicado, participação, avaliações e reforços posteriores. Certificados e relatórios são úteis, mas não devem ser confundidos com prova isolada de efetividade.
Uma avaliação baseada somente em perguntas conceituais pode demonstrar memorização. Simulações e dilemas ajudam a verificar se a pessoa sabe aplicar a regra.
Na sua organização o treinamento ensina o colaborador a tomar decisões ou apenas apresenta conceitos e proibições?
Como avaliar se os cinco controles funcionam em conjunto
Nenhum dos controles resolve o problema sozinho.
Uma empresa pode mapear informações, mas falhar na restrição de acesso. Pode ter uma política detalhada, mas não comunicar um período de vedação no momento correto. Pode treinar os empregados e esquecer os consultores externos.
A alta liderança e o conselho podem avaliar a consistência do programa com cinco perguntas:
- Sabemos quais informações podem se tornar relevantes?
- Conseguimos identificar quem teve acesso a elas?
- As regras de negociação são claras e aplicáveis?
- Terceiros e pessoas expostas estão incluídos na governança?
- O treinamento prepara os públicos para situações reais?
Respostas incompletas indicam onde a organização deve priorizar melhorias.
Prevenção exige coerência, não apenas documentos
A modernização da supervisão da CVM não muda o princípio central da prevenção ao insider trading: informações relevantes ainda não divulgadas devem ser protegidas e não podem ser utilizadas para obtenção de vantagem no mercado.
O que muda é a capacidade potencial de relacionar dados, reconhecer padrões e direcionar investigações. Isso torna ainda mais importante a coerência entre acessos, negociações, políticas, capacitação e registros.
Empresas preparadas não são aquelas que afirmam que o risco não existe. São aquelas que conseguem demonstrar como identificam, controlam e monitoram esse risco.
Os cinco controles apresentados neste artigo oferecem um ponto de partida objetivo: mapear a informação, restringir acessos, tornar a política de negociação aplicável, incluir terceiros e capacitar as pessoas para decidir corretamente.
Este conteúdo possui caráter informativo e não substitui análise jurídica ou regulatória aplicável à situação específica de cada organização.
Chamada final para agendar uma conversa com a TothBe
O Treinamento Insider Trading para o Mercado Financeiro da TothBe foi desenvolvido para companhias abertas, bancos, gestoras, seguradoras, empresas em processo de IPO e áreas expostas a informações estratégicas.
Com linguagem executiva, dilemas práticos, acompanhamento e possibilidade de customização conforme as políticas internas, a capacitação ajuda a transformar regras de negociação e confidencialidade em decisões mais responsáveis.
Agende uma demonstração e converse com a TothBe sobre como preparar os diferentes públicos da sua organização para prevenir o insider trading.
