Abordagem baseada em risco na prática: como classificar clientes

Abordagem baseada em risco é a expressão mais repetida e mais mal aplicada da prevenção à lavagem de dinheiro e ao financiamento do terrorismo, que o mercado abrevia como PLD-FT. Na leitura apressada, ela vira licença para pedir menos documento e aprovar mais rápido. Na leitura que o regulador cobra, é o contrário: uma obrigação de conhecer os próprios riscos, dosar os controles na proporção deles e provar, com registro, por que cada cliente recebe o tratamento que recebe. Diligência simplificada sem avaliação documentada não é abordagem baseada em risco, é omissão com nome bonito.

Este artigo interessa a quem desenha onboarding em instituição autorizada a funcionar pelo Banco Central do Brasil, e a quem presta serviço para uma. A proposta é sair do princípio e chegar ao método: de onde vem a obrigação, que fatores entram na classificação, como combiná-los em categorias e quando reclassificar. O mapa completo da norma está no artigo sobre a Circular BCB 3.978 explicada seção por seção; aqui o foco é o mecanismo que liga a avaliação de risco à vida real do cliente.

De onde vem a obrigação

O padrão internacional são as 40 Recomendações do GAFI, o Grupo de Ação Financeira Internacional, organismo intergovernamental que define as referências globais de PLD-FT. A Recomendação 1 manda países e instituições identificar, avaliar e compreender seus riscos de lavagem de dinheiro e de financiamento do terrorismo, e aplicar medidas proporcionais a eles: reforçadas onde o risco é maior, com espaço para simplificadas onde ele é comprovadamente menor. A Recomendação 10 desce ao cliente, exigindo diligência devida na identificação e no acompanhamento da relação de negócio.

No Brasil, a Lei 9.613/1998 estrutura a prevenção à lavagem em termos gerais, e a Circular BCB 3.978/2020 traduz essa lógica para as instituições reguladas pelo Banco Central. O artigo 10 da circular exige uma avaliação interna de risco que identifique e mensure o risco de os produtos e serviços da instituição serem usados para lavagem ou financiamento do terrorismo. O parágrafo 1º lista os perfis que a avaliação precisa considerar: os clientes, a própria instituição (incluindo modelo de negócio e área geográfica de atuação), as operações, transações, produtos e serviços em todos os canais, e as atividades de funcionários, parceiros e prestadores terceirizados. O parágrafo 2º define a régua de medição, probabilidade de ocorrência e magnitude do impacto financeiro, jurídico, reputacional e socioambiental. O parágrafo 3º manda definir categorias de risco que permitam controles reforçados para o risco maior e simplificados para o menor. E o artigo 12, inciso III, obriga a revisar tudo a cada dois anos, ou antes, quando os perfis de risco mudarem de forma significativa.

Repare na ordem: primeiro a instituição avalia a si mesma, depois classifica clientes. O artigo 20 fecha o circuito ao exigir que cada cliente seja classificado nas categorias de risco definidas na avaliação interna, com base nas informações coletadas na qualificação do artigo 18. Classificar cliente com uma régua que não existe na avaliação interna é incoerência que uma fiscalização encontra em minutos.

Os fatores que entram na régua

Os fatores de classificação saem da qualificação do cliente, que o artigo 18 define como coleta, verificação e validação de informações compatíveis com o perfil de risco e com a natureza da relação de negócio. Na prática, quatro grupos cobrem a maior parte das operações:

• Quem é o cliente: atividade ou ocupação e a condição de pessoa exposta politicamente, a PEP, cujos procedimentos estão nos artigos 19 e 27 da circular. Para pessoa jurídica, a cadeia societária até o beneficiário final, a pessoa natural que controla ou se beneficia da empresa, com o valor de referência de participação limitado pelos artigos 24 e 25 a no máximo 25%.
• O que ele consegue sustentar: a capacidade financeira, renda ou faturamento, que o parágrafo 1º do artigo 18 manda coletar. O fator relevante não é o valor absoluto, é a compatibilidade entre capacidade declarada e movimentação esperada no produto contratado.
• O que ele contrata: produtos têm risco próprio. Operações com dinheiro em espécie, transferências internacionais e produtos que permitem terceiros movimentarem a conta pesam mais que uma conta de pagamento com limite baixo.
• Por onde e de onde ele opera: canal de entrada e geografia. Aqui vale honestidade metodológica: canal digital não é sinônimo de risco alto, e a orientação do GAFI sobre identidade digital, publicada em 2020, diz explicitamente que onboarding não presencial com verificação de identidade de garantia adequada não é automaticamente de maior risco.

Cada fator precisa existir antes na avaliação interna de risco, com a justificativa do peso que carrega. Fator que aparece na régua do cliente sem lastro na avaliação é decisão arbitrária; fator que a avaliação aponta como relevante e a régua ignora é deficiência de controle.

Pesos, portões e categorias

Com os fatores definidos, o método de combinação usa dois mecanismos distintos, e confundi-los é o erro mais comum.

Portões são condições que, sozinhas, forçam um tratamento, sem aritmética. A condição de PEP é o exemplo dado pela própria norma: o artigo 19 exige procedimentos compatíveis, peso na classificação de risco e avaliação por alçada superior sobre o interesse no relacionamento. Beneficiário final que não se consegue identificar e documento que não se consegue validar são portões naturais: nenhuma soma de pontos positivos deveria atravessá-los.

Pesos são o mecanismo dos demais fatores: cada um recebe uma nota, por exemplo de 1 a 5, multiplicada por um peso derivado da avaliação interna, e a soma cai em uma categoria. Três categorias, baixo, médio e alto risco, bastam para a maioria das operações; mais que quatro costuma criar distinções que ninguém sabe justificar. O essencial é que cada categoria mude algo concreto: a profundidade da qualificação, a frequência de atualização cadastral, a sensibilidade do monitoramento e a alçada que aprova o início da relação. Categoria que não muda tratamento é etiqueta, não controle.

Dois cuidados de desenho. Primeiro, a régua precisa ser explicável: dado um cliente de alto risco, o sistema tem que dizer quais fatores pesaram, porque é isso que uma fiscalização vai perguntar; o raciocínio é o mesmo do artigo sobre score de risco explicável. Segundo, parâmetros e pesos precisam de versão e data: quando a régua muda, a instituição deve saber com qual versão cada cliente foi classificado. Na UNIFOKAL, por exemplo, seguimos esse desenho: a classificação é parâmetro do fluxo de verificação, com registro de qual configuração decidiu cada caso.

Reclassificar: classificação é filme, não foto

O parágrafo único do artigo 20 manda rever a classificação sempre que o perfil de risco do cliente ou a natureza da relação de negócio mudarem. Isso transforma a classificação em processo contínuo, alimentado por três fontes. A atualização cadastral, na frequência que a categoria define. O monitoramento de operações dos artigos 38 e 39, que seleciona situações suspeitas em até 45 dias da ocorrência: cliente selecionado e analisado é candidato imediato a reclassificação, independentemente de a análise terminar em comunicação ao COAF, o Conselho de Controle de Atividades Financeiras, que o artigo 48 manda fazer até o dia útil seguinte à decisão. E os eventos externos: o cliente que vira PEP, a mudança de quadro societário, a alteração de atividade.

Existe ainda o ciclo maior: a revisão bienal da avaliação interna de risco, do artigo 12, recalibra a régua inteira, e uma régua recalibrada exige reprocessar a carteira. Instituição que classifica no onboarding e nunca mais toca na categoria tem um programa que envelhece sozinho.

O teste final de coerência: a avaliação interna justifica os fatores, os fatores produzem a categoria, a categoria muda o tratamento, e tudo deixa trilha com data, versão e responsável. Faltando qualquer elo dessa corrente, a abordagem baseada em risco deixa de ser método e volta a ser frase de apresentação comercial. Proporcionalidade obriga nas duas direções: reforçar onde o risco é maior e simplificar onde é menor exigem a mesma coisa, prova documentada de que a instituição conhece o risco que está tratando.

Fontes citadas

• Circular BCB 3.978/2020, do Banco Central do Brasil, em especial os artigos 10, 12, 18, 19, 20, 24, 25, 27, 38, 39 e 48, íntegra no site do Banco Central
• Lei 9.613/1998, que estrutura a prevenção à lavagem de dinheiro no Brasil, disponível no portal do Planalto
• Recomendações do GAFI (FATF), em especial a Recomendação 1, sobre avaliação de riscos e abordagem baseada em risco, e a Recomendação 10, sobre diligência devida ao cliente
• Guidance on Digital Identity, do GAFI/FATF, 2020, sobre risco de onboarding não presencial com identidade digital de garantia adequada
• COAF, Conselho de Controle de Atividades Financeiras, portal oficial