Dizer em relatório público que o programa de prevenção à lavagem funciona é uma afirmação de fato, e afirmação de fato pode ser falsa. A ação que a Securities and Exchange Commission (SEC), reguladora do mercado de valores americano, protocolou em 13 de dezembro de 2022 no tribunal federal do Distrito Sul de Nova York contra o Danske Bank não acusa o banco de lavar dinheiro: acusa-o de fraude contra investidores, por afirmar em relatórios publicados em inglês que cumpria seus deveres de prevenção enquanto a filial da Estônia operava sem os controles básicos. A resposta curta para quem responde pelo programa no Brasil: a declaração de efetividade tem de nascer de teste e evidência, como manda a avaliação anual da Circular BCB 3.978/2020, e induzir em erro sócio, investidor ou repartição pública sobre operação ou situação financeira, sonegando ou falseando informação, é crime na Lei 7.492/1986.
Em resumo
- A petição da SEC alega que, de 2009 a 2016, o banco publicou que tinha políticas e procedimentos de prevenção à lavagem e de "Know Your Customer" enquanto sabia, ou deveria saber, que a filial da Estônia não os seguia.
- Segundo a petição, as transações suspeitas da carteira de não residentes passaram de US$ 200 bilhões e geraram quase todo o lucro da filial.
- A matriz recebeu alertas de reguladores da Dinamarca e da Estônia, de dois bancos correspondentes americanos e da própria auditoria interna, que parou uma auditoria no meio em 2014.
- A SEC informou no mesmo dia que o banco concordou em encerrar a ação com pagamento de US$ 413 milhões; a petição é a versão da SEC e as afirmações dela são alegações.
O que o documento é, e em que situação está
O texto lido é a petição inicial (complaint) da SEC, processo 22-CV-10509. Petição é a acusação de uma das partes, não decisão. No comunicado do mesmo dia, a SEC informou que o banco concordou em pagar US$ 413 milhões para encerrar a ação, consentindo com uma sentença final no tribunal, e que a resolução global com outras autoridades passava de US$ 2 bilhões. Por isso, tudo o que vem abaixo é o que a SEC alega, e o texto usa "segundo a petição" de propósito. Nenhuma pessoa é nomeada aqui.
O que o banco disse
Os parágrafos 9 a 12 da petição transcrevem os relatórios. O de responsabilidade corporativa de 2013, publicado em fevereiro de 2014, dizia que o banco tinha "specific policies on dealing with corruption and preventing money laundering" e uma política de prevenção que incluía "procedures for customer due diligence, reporting, record keeping, internal controls, risk management and communications". Os relatórios de governança de 2009 a 2012 falavam em "a comprehensive set of processes to support all risk management disciplines".
O que a matriz sabia, segundo a petição
| Ano | Sinal | Parágrafo |
|---|---|---|
| 2007 | Supervisor dinamarquês repassa preocupação do banco central russo; auditoria interna chama os procedimentos da filial de "thin"; supervisor estoniano conclui que a filial não cumpre a lei | 16 e 17 |
| 2009 em diante | Plataforma de tecnologia da filial incompatível com a do grupo, sem triagem nem monitoramento automáticos; migração prometida e não feita por custo | 19, c |
| 2010 | Relatório interno à diretoria executiva: "compliance controls were not in place" nos países bálticos | 20 |
| 2012 | Supervisor dinamarquês emite ordem sobre o programa na Dinamarca; segundo a petição, não cumprida | 22 |
| 2013 | Primeiro correspondente americano encerra a relação por falta de dado de beneficiário final; relatório interno mostra US$ 2 a 4 bilhões por mês numa carteira pequena | 23 e 24 |
| 2014 | Auditoria interna encontra documentação ausente ou falsa e interrompe a auditoria no meio; consultoria externa aponta 17 deficiências críticas ou significativas | 25 e 27 |
| 2015 e 2016 | Segundo correspondente levanta preocupação; supervisor dinamarquês repreende o conselho | 29 e 30 |
Dois detalhes da petição merecem atenção de quem desenha controle. O primeiro é estrutural: a área de compliance da filial respondia ao gerente da filial, com linha só pontilhada para a área do grupo, e por isso "were not effectively monitored or effectively supervised" (parágrafo 19, d). O segundo é o lucro como sinal: um gerente escreveu em 2013 que "over-normal profit is usually a warning sign" de lavagem (parágrafo 24).
Nota
O parágrafo 17 da petição registra que, onze dias depois de receber o relatório de inspeção do supervisor estoniano que apontava descumprimento, o banco disse ao supervisor dinamarquês que a filial estava "in full compliance". É o padrão do caso inteiro: a afirmação de conformidade vinha sem evidência que a sustentasse, e às vezes contra ela.
O que a norma brasileira pede antes de declarar efetividade
A Circular 3.978 não manda a instituição declarar nada ao mercado, mas manda avaliar, todo ano, se a política, os procedimentos e os controles funcionam, e escrever como avaliou:
O relatório referido no art. 62, § 1º, deve: I - conter informações que descrevam: a) a metodologia adotada na avaliação de efetividade; b) os testes aplicados; c) a qualificação dos avaliadores; e d) as deficiências identificadas;
O relatório tem data-base de 31 de dezembro, vai ao comitê de auditoria e ao conselho de administração ou à diretoria até 31 de março (art. 62, § 2º), e as deficiências viram plano de ação (art. 65). O passo a passo está em avaliação de efetividade de PLD. Uma afirmação pública de conformidade sem esse relatório, ou contra ele, repete o desenho do caso.
Do lado penal, a Lei 7.492/1986 pune quem induz ou mantém em erro "sócio, investidor ou repartição pública competente, relativamente a operação ou situação financeira, sonegando-lhe informação ou prestando-a falsamente", com reclusão de dois a seis anos (art. 6º). Aplicar esse tipo a uma declaração sobre controle de prevenção é leitura da casa, não precedente brasileiro lido na fonte.
Atenção
O caso também mostra o que acontece com filial e parceiro fora da plataforma do grupo. Sem acesso ao sistema da filial, a matriz não conseguia monitorar, e o que não se monitora não pode ser declarado eficaz. Para quem opera com correspondente, parceiro de BaaS ou filial, a regra de conheça seu funcionário, parceiro e terceirizado é onde isso começa.
O que levar
- Toda frase pública sobre o programa de prevenção tem de apontar para um teste com data e resultado.
- A área de compliance de filial ou unidade responde à área do grupo, não ao gestor do negócio que ela fiscaliza.
- Lucro fora do normal numa carteira é sinal a investigar, não motivo para manter.
As sanções e o processo no Brasil estão em quanto custa falhar em PLD.
Fontes citadas
- Securities and Exchange Commission, Complaint, SEC v. Danske Bank A/S, Civil Action No. 22-CV-10509, U.S. District Court for the Southern District of New York, 13 de dezembro de 2022, parágrafos 1 a 32, em sec.gov
- Securities and Exchange Commission, comunicado 2022-220, "SEC Charges Danske Bank with Fraud", 13 de dezembro de 2022, em sec.gov
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, arts. 62 a 65, em normativos.bcb.gov.br
- Lei 7.492/1986, art. 6º, no Planalto