Avaliação interna de risco, o documento de PLD que o supervisor pede primeiro

Quando a supervisão examina o programa de prevenção à lavagem de dinheiro de uma instituição, o roteiro costuma começar pelos mesmos dois documentos: a política de PLD/FT e a avaliação interna de risco, a AIR. A política diz o que a instituição se compromete a fazer. A AIR diz por quê: é ela que registra quais riscos a instituição enxergou no próprio negócio e que justifica o desenho de cada controle. Sem AIR, toda escolha do programa parece arbitrária, por que este cliente passou por diligência reforçada e aquele não, por que este produto tem limite e aquele não tem. Com uma AIR bem-feita, as mesmas escolhas viram consequência documentada de uma análise.

Este artigo trata do que a norma exige da AIR, do que escrever em cada fator e do erro mais comum de todos: a avaliação que existe no papel e não conversa com o sistema que decide o onboarding.

De onde vem a obrigação

A base é a Lei 9.613/1998, que define os crimes de lavagem de dinheiro e impõe às pessoas obrigadas os deveres de identificação de clientes, registro e comunicação de operações. A forma concreta, para as instituições autorizadas pelo Banco Central, está na Circular BCB 3.978/2020, cujo artigo 10 determina que a instituição realize avaliação interna com o objetivo de identificar e mensurar o risco de seus produtos, serviços e canais serem utilizados para lavagem de dinheiro e financiamento do terrorismo.

A mesma circular estrutura a avaliação por fatores: os clientes; a própria instituição, incluindo o modelo de negócio e a área geográfica de atuação; as operações, transações, produtos e serviços; as atividades exercidas por funcionários, parceiros e prestadores terceirizados; e os canais de distribuição, incluindo o uso de novas tecnologias. O resultado deve classificar o risco em categorias, ser documentado e aprovado pelo diretor responsável, ser divulgado internamente e ser revisado a cada dois anos, ou antes, quando ocorrer alteração significativa no perfil de risco, um produto novo, um canal novo, um mercado novo.

Fora do perímetro do Banco Central a lógica é a mesma: a Resolução COAF 36/2021 exige dos setores supervisionados diretamente pelo COAF uma política de PLD/FT compatível com o porte e o volume de operações, sustentada por avaliação dos riscos da própria atividade.

O que escrever em cada fator

A AIR não tem formato imposto, mas tem conteúdo esperado. Para cada fator, o exercício é o mesmo: descrever a exposição real da instituição, não uma exposição genérica de mercado.

• Clientes: quem é a carteira de verdade. Pessoa física ou jurídica, faixas de renda e faturamento, presença de pessoas expostas politicamente, setores de atividade com risco conhecido, concentração geográfica.
• Produtos e serviços: o que cada produto permite fazer. Conta movimentada por Pix, cartão pré-pago, câmbio, ativos virtuais: cada um tem vetores próprios de abuso, e a AIR precisa nomeá-los, não listá-los como itens de catálogo.
• Canais: onboarding cem por cento remoto tem um risco de fraude de identidade que o atendimento presencial não tem, e o documento precisa reconhecer isso e apontar o controle que responde, verificação documental, biometria, prova de vida.
• Geografia e contrapartes: atuação em regiões de fronteira, exposição a jurisdições sob alerta do GAFI, dependência de parceiros que trazem clientes de fora do controle direto da instituição.

Sobre essa descrição entra a mensuração. Uma escala simples de probabilidade e impacto, defensável e aplicada com consistência, vale mais que uma matriz sofisticada que ninguém sabe reproduzir. O produto final classifica cada combinação relevante de cliente, produto e canal numa categoria de risco e diz, com clareza, o que muda de tratamento em cada categoria.

Da prateleira para o onboarding

É aqui que a maioria das AIRs morre. O documento classifica, o comitê aprova, e o sistema de cadastro continua tratando todo cliente exatamente igual. A abordagem baseada em risco que a norma pede é a ponte entre os dois mundos: cliente de categoria baixa passa por diligência simplificada, cliente de categoria alta passa por diligência reforçada, e essa diferença precisa existir no fluxo real, não só no texto aprovado.

Na prática, a AIR alimenta três decisões operacionais. Primeiro, o desenho do onboarding por perfil: quais verificações cada segmento de cliente atravessa. Segundo, os parâmetros de monitoramento: os alertas que sustentam a comunicação ao COAF devem refletir os riscos que a própria AIR apontou, não um conjunto genérico herdado da ferramenta. Terceiro, a alocação de gente: a equipe de análise se concentra onde o documento disse que o risco está. O conjunto de obrigações em que a AIR se encaixa já foi detalhado aqui ao tratar da Circular 3.978 e do programa de PLD/FT; a avaliação interna é a peça que dá coerência a todas as outras.

Os erros que a supervisão encontra

Alguns padrões se repetem em achados de inspeção e merecem checagem honesta contra o seu documento atual.

• AIR genérica, comprada ou copiada, que descreve produtos que a instituição não oferece e ignora os que oferece. É pior do que não ter, porque prova que o documento não foi lido por quem o assinou.
• Tudo classificado como risco médio, o empate que não decide nada e denuncia que a escala não foi aplicada de verdade.
• AIR e sistema em desacordo: o documento promete diligência reforçada para determinado perfil e o fluxo de cadastro não tem nenhum degrau a mais para ele.
• Revisão vencida: produto novo lançado, canal novo aberto, e a avaliação parada na data de dois anos atrás, descrevendo uma instituição que já não existe.
• Falta de formalidade: sem aprovação do diretor responsável, sem data, sem versão, o que impede demonstrar quando cada decisão foi tomada e sobre qual cenário.

A materialização técnica

Um teste objetivo para saber se a sua AIR saiu do papel: abrindo a configuração do onboarding, dá para apontar onde cada categoria de risco recebe tratamento diferente? Na UNIFOKAL, essa é exatamente a função dos fluxos de verificação configuráveis: a empresa monta fluxos distintos, com módulos distintos, documento, biometria, prova de vida, consultas cadastrais, e aplica cada um ao perfil de cliente que a sua avaliação de risco definiu. A ferramenta não escreve a AIR, e nenhum fornecedor escreve, porque o documento é seu, sobre o seu negócio, assinado pelo seu diretor. O que a ferramenta faz é permitir que a diferenciação prometida no documento exista de verdade no sistema, que é onde o supervisor vai conferir se o papel e a prática contam a mesma história.

Fontes citadas

• Lei 9.613/1998, sobre os crimes de lavagem de dinheiro e os deveres das pessoas obrigadas, no portal do Planalto: planalto.gov.br
• Circular BCB 3.978/2020, artigo 10, sobre a avaliação interna de risco, no portal de normativos do Banco Central: bcb.gov.br
• Resolução COAF 36/2021, sobre a política de PLD/FT dos setores supervisionados pelo COAF, no portal do COAF: gov.br/coaf