Guillermo Larrea, sócio de Hogan Lovells Cadwalader e CEO da ELTEMATE LATAM, dedicou mais de uma década à construção do que a Chambers classifica como a prática de compliance mais reconhecida do México. Atualmente, ele lidera o Comitê de Compliance para a América Latina da firma, após a fusão com a Cadwalader. Para Larrea, a verdadeira mudança fundamental no compliance reside em demonstrar que as políticas modificam as decisões antes que o risco se materialize, indo além de sua mera existência no papel. Essa ideia permeia a designação de cartéis como organizações terroristas, o que redefine o perímetro de risco até mesmo para empresas legítimas; o padrão mais comum de fraude na região, canalizado por meio de terceiros sem a devida diligência atualizada; e o erro de elaborar a governança de IA sem antes definir uma estratégia de uso. Além disso, o gerenciamento de crises é um exemplo disso, onde o erro mais custoso é dividir o problema em frentes separadas em vez de uma estrutura de comando única.
Esse mesmo critério de eficácia real é o tema central que Larrea trará para o Foro Gerencias Legales México 2026, onde participará este ano: “Acredito que o desafio para a gestão jurídica é estar muito mais próxima das operações. Não controlar todas as decisões, mas identificar riscos antes que se tornem um problema jurídico.”
Você ingressou na Hogan Lovells em janeiro de 2025, vindo da Jones Day, e um ano e meio depois faz parte da Hogan Lovells Cadwalader, após a maior fusão da história do setor jurídico. Como você descreveria o escopo da sua prática de compliance, cibersegurança e IA dentro dessa nova plataforma combinada hoje?
Hoje, trata-se de uma prática mais ampla e integrada, resultado da união de forças. Quando cheguei à Hogan Lovells Cadwalader com minha equipe, o escritório já contava com talentos na área de Compliance, e o que fizemos foi integrá-los sob uma liderança comum. Criamos um Comitê de Compliance, que lidero para a região da América Latina, e que agora reúne cinco sócios e dez associados e profissionais, combinando experiências, especializações e relacionamentos que antes estavam dispersos, para construir uma prática forte, integrada e diferenciada em investigações.
Nossa atuação se divide em dois segmentos principais: Conformidade com a Integridade Empresarial, que abrange investigações e conformidade em matéria de anticorrupção, fraude, lavagem de dinheiro e sanções (especialmente relevante no contexto da era Trump), e Conformidade Digital, que aborda questões de privacidade, segurança cibernética, proteção de dados e inteligência artificial. Na prática, as fronteiras entre essas áreas tornaram-se cada vez mais tênues: uma investigação pode envolver a análise de enormes volumes de informações utilizando ferramentas de IA; um incidente cibernético pode gerar questões regulatórias, litígios, sanções ou uma investigação interna; e um projeto de adoção de IA pode levantar questões de privacidade ou responsabilidade.
A fusão com a Cadwalader trouxe uma carteira de clientes do setor financeiro e especialistas em regulação financeira, investigações e litígios, particularmente nos Estados Unidos e no Reino Unido. Isso é muito relevante para nós, pois muitos dos assuntos que tratamos no México e na América Latina têm uma dimensão global, e agora contamos com uma área financeira fortalecida para apoiar nossos clientes em cada uma dessas jurisdições, sem perder o relacionamento próximo e o conhecimento local que construímos ao longo dos anos na região.
A Chambers reconheceu você como o principal parceiro de compliance no México por 11 anos consecutivos. Que tipo de cliente e mandato mudaram mais na última década, em comparação com o início da sua atuação nessa área?
Quando a Chambers nos reconheceu pela primeira vez em 2015, nossa atuação era fortemente focada na Lei de Práticas de Corrupção no Exterior (FCPA) e na prevenção da lavagem de dinheiro. Hoje, nossa atuação se expandiu em termos de temas (por exemplo, a designação de Organizações Terroristas Estrangeiras), na abrangência da regulamentação e do direito não vinculante, e nas ferramentas disponíveis. A geopolítica e a tecnologia transformaram nossa prática.
Anteriormente, o ponto de partida era quase sempre reativo: um problema específico de corrupção ou fraude que precisava ser investigado e resolvido. Hoje, os clientes são proativos com avaliações de risco, cuja principal preocupação é garantir que nenhuma parte de sua operação ou cadeia de suprimentos seja afetada, direta ou indiretamente, por riscos de conformidade — por exemplo, lidar com fornecedores ligados a organizações criminosas, agora potencialmente grupos terroristas. Isso é complementado por análises da origem dos fundos, com quem contratam, a rastreabilidade de sua cadeia de suprimentos e sua resposta às ordens executivas do governo do presidente Donald Trump.
Os mandatos também mudaram na forma como os executamos. Hoje, usamos inteligência artificial para analisar grandes volumes de documentos e comunicações, identificando riscos com muito mais rapidez e precisão. Por meio da Eltemate, empresa de tecnologia jurídica da Hogan Lovells Cadwalader, podemos fornecer aos nossos clientes ferramentas de IA, tecnologia forense, verificação de antecedentes e análise preditiva de dados para fortalecer nossa análise jurídica e regulatória sob uma perspectiva legal.
Você investigou casos no âmbito do Sistema Nacional Anticorrupção do México, da FCPA dos EUA e da Lei de Suborno do Reino Unido. No atual ambiente regulatório do México, que tipo de risco de não conformidade você considera estar sendo subestimado por empresas multinacionais que operam no país?
Muitas empresas multinacionais continuam a operar com um programa de “conformidade guarda-chuva” — um programa genérico concebido na sede e replicado de forma idêntica no México, na Colômbia ou no Brasil, sem adaptações locais. Isso é especialmente verdadeiro para empresas de origem espanhola e latino-americana. O custo costuma ser muito alto quando confrontadas com investigações por parte das autoridades norte-americanas e europeias.
A exposição às autoridades locais por meio de relações amistosas ou próximas também é subestimada.
Finalmente, hoje, com a designação dos cartéis como grupos terroristas em países como México, Equador, Colômbia, Venezuela e Brasil, o risco mais relevante é a associação direta ou indireta com esses grupos criminosos que operam com redes legítimas em negócios legítimos, mas cuja mera ligação tem consequências letais.
Sem identificar clientes, você pode descrever o padrão mais comum que observou em investigações recentes de fraude ou corrupção corporativa na região e qual falha estrutural interna normalmente o explica?
O padrão mais comum que observamos em investigações recentes é o de pagamentos indevidos canalizados por meio de terceiros: agentes, distribuidores ou consultores que atuam como intermediários para criar uma camada de distanciamento que dificulta o rastreamento da origem e do destino do pagamento.
A falha estrutural que quase sempre explica isso é dupla. Primeiro, uma due diligence superficial ou deficiente por parte de terceiros, realizada apenas uma vez no momento da contratação e nunca atualizada, que não se aprofunda na verdadeira natureza do intermediário, em como ele gera valor ou por que sua comissão é razoável em relação ao serviço prestado. Segundo, e talvez mais importante, controles que existem no nível corporativo, mas que nunca chegam de fato à operação local: políticas bem elaboradas na sede que a subsidiária aplica formalmente, sem que a equipe local tenha o conhecimento, a autoridade ou os incentivos para torná-las eficazes no dia a dia. Quando essas duas falhas coincidem, a terceira se torna o ponto cego perfeito.
Você assessora empresas em ética e governança de IA. Qual é o erro mais comum que uma empresa comete ao projetar sua estrutura de governança de IA e quão preparadas estão as empresas na América Latina para isso?
O erro mais comum é começar escrevendo uma política antes de entender como a empresa está usando IA e definir sua própria estratégia de IA.
A primeira coisa que uma empresa deve fazer é entender sua estratégia, quais ferramentas estão sendo usadas, quem as está usando, com que finalidade, com que informações e quais decisões podem ser afetadas. O risco varia consideravelmente dependendo do caso de uso.
Em seguida, vêm as regras: quais usos precisam de autorização, quando deve haver supervisão humana, quais informações podem ser compartilhadas com uma ferramenta, como os fornecedores são avaliados e o que acontece quando o sistema comete um erro.
A governança de IA não deve ser um documento aprovado uma única vez e arquivado. Ela precisa funcionar como qualquer outro sistema de gestão de riscos: identificando riscos, mensurando-os, estabelecendo controles e revisando-os constantemente, mas, acima de tudo, deve refletir a estratégia da empresa.
As grandes corporações da América Latina ainda enfrentam um desafio significativo nessa área. O que observamos é que elas continuam discutindo o uso de ferramentas, mas carecem de estratégias de IA definidas.
Parte da sua prática inclui assessorar empresas de tecnologia chinesas em expansão na América Latina sobre o cumprimento das leis regionais de proteção de dados. Quão diferente é esse processo de conformidade em comparação com o de uma multinacional ocidental, e qual o principal desafio que uma empresa chinesa enfrenta hoje para operar de forma eficaz na região nessa área?
Um aspecto permanece o mesmo: uma empresa chinesa que entra na América Latina deve cumprir as mesmas regulamentações locais que qualquer outra empresa. O que muda é o contexto. Muitas dessas empresas operam com tecnologia, infraestrutura e fluxos de informação distribuídos por diversas jurisdições.
Assim, uma decisão aparentemente local pode ter consequências regulatórias na China, nos Estados Unidos ou na Europa.
Isso exige uma análise muito cuidadosa de onde os dados estão localizados, quem pode acessá-los, qual tecnologia é usada, quais fornecedores estão envolvidos e se existem restrições relacionadas a sanções, controles de exportação ou segurança da informação.
O desafio é permitir que a empresa mantenha um modelo global eficiente sem criar problemas regulatórios nos mercados em que deseja operar.
Por outro lado, as empresas chinesas são fundamentalmente pragmáticas. Elas querem entender como fazer as coisas, compreendendo sua legalidade e os riscos envolvidos. Às vezes, isso significa testar o modelo até seus limites.
Você está participando este ano do Foro Gerencias Legales México 2026, no dia 3 de setembro, na Cidade do México. Qual é o padrão de governança que as empresas que operam no México estão exigindo atualmente que seja ajustado de forma mais concreta, além do mero cumprimento de formalidades burocráticas?
O padrão que hoje exige o ajuste mais significativo é a capacidade de demonstrar que os controles realmente funcionam.
Muitas empresas possuem políticas, matrizes de risco, procedimentos com terceiros, canais de denúncia e programas de treinamento. O problema é que a mera existência desses elementos, por si só, já não nos diz muita coisa.
A questão importante é qual o efeito prático dessas práticas. Se existe um processo de due diligence, ele de fato levou à rejeição ou ao condicionamento de parcerias? Se uma avaliação de risco é realizada, ela alterou recursos ou controles? Se reclamações são registradas, as investigações resultam em consequências e medidas corretivas?
Penso que essa é a mudança mais importante: passar de demonstrar que um programa existe para demonstrar que o programa modifica decisões e reduz riscos.
Por outro lado, a inteligência artificial, os riscos relacionados a cartéis/terrorismo e os incidentes de segurança cibernética devem ser questões prioritárias em todas as organizações.
O Foro Gerencias Legales México 2026 encerra com um painel sobre “Operando em Ambientes de Alto Risco: Estratégias de Compliance e Resiliência Corporativa”. Com base na sua experiência em gestão de crises e investigações, qual é o erro mais custoso que um departamento jurídico comete ao gerenciar uma crise de compliance ou um incidente de cibersegurança em tempo real?
O erro mais custoso é tratar cada aspecto do problema separadamente.
Em uma crise significativa, os departamentos Jurídico, de Compliance, de TI, de CISOs, de Comunicação e outros precisam trabalhar em perfeita sintonia. Enquanto a equipe técnica tenta entender o que aconteceu, prazos regulatórios podem estar se aproximando, evidências podem precisar ser preservadas, sanções analisadas, privilégios protegidos ou decisões tomadas sobre o que comunicar a clientes, funcionários ou autoridades.
O problema é que essas decisões muitas vezes precisam ser tomadas antes de se ter todas as informações. É por isso que as primeiras horas são tão importantes. Se não ficar claro desde o início quem está no comando, quem toma as decisões e quais frentes precisam ser abordadas simultaneamente, é muito fácil que uma decisão correta de uma perspectiva crie um problema de outra.
Com a conformidade, a cibersegurança e a IA convergindo cada vez mais em uma única discussão sobre riscos corporativos, qual você diria que é o ponto cego que a maioria dos departamentos jurídicos na América Latina tem hoje e do qual ainda não se deu conta?
O ponto cego mais frequente é continuar a entrar demasiado tarde em determinadas decisões de negócio.
O departamento jurídico geralmente tem uma visão muito boa dos contratos, litígios e regulamentações, mas nem sempre de como os dados estão sendo usados, qual tecnologia a empresa está adotando, como funciona a rede de terceiros ou onde as decisões de negócios que podem gerar riscos estão sendo tomadas.
Hoje, essas questões estão completamente interligadas. Uma decisão tecnológica pode se tornar um problema de privacidade, segurança cibernética, concorrência ou emprego. Um relacionamento com terceiros pode acabar se tornando uma questão de corrupção, sanções ou lavagem de dinheiro.
Por isso, acredito que o desafio para os departamentos jurídicos é estarem muito mais próximos das operações. Não para controlar todas as decisões, mas para identificar riscos antes que se tornem problemas jurídicos.
Em última análise, Larrea descreve a mesma mudança em todos os tópicos que aborda: da conformidade no papel para resultados demonstráveis. Um terceiro se torna um risco quando sua diligência prévia é congelada no momento da contratação. Uma política de IA é frágil desde o início quando é redigida antes da definição da estratégia de uso. Uma crise se agrava quando cada departamento — Jurídico, Compliance, Tecnologia — toma suas próprias decisões. A conclusão subjacente é a mesma: a função jurídica ganha importância quando integrada às operações de negócios desde o início, antes que o risco se transforme em litígios, sanções ou danos à reputação.
