Uma regra de restrição que o regulador impõe, ou que a própria diretoria decide, só vale se chegar a todas as portas por onde um cliente entra. Na Final Notice de 23 de julho de 2024, a Financial Conduct Authority (FCA), autoridade de conduta do Reino Unido, multou a CB Payments, instituição de moeda eletrônica do grupo Coinbase, em £ 3.503.546 porque, entre outubro de 2020 e outubro de 2023, ela atendeu 13.416 clientes de alto risco que estava proibida de atender. A resposta curta para quem opera no Brasil: a restrição tem de ser tratada como requisito de produto, com escopo escrito por canal e por fluxo de entrada, teste antes de ligar e monitoramento de cumprimento depois, e a Lei 13.506/2017 prevê que o Banco Central imponha restrição parecida de forma cautelar, com multa diária se não for cumprida.
Em resumo
- A FCA impôs a restrição em 30 de outubro de 2020, a pedido da própria empresa, depois de achar falhas graves de controle numa visita em fevereiro de 2020.
- Em três anos, a empresa aceitou cerca de 3,9 milhões de clientes e atendeu 13.416 de alto risco; cerca de 31% deles fizeram 12.912 depósitos proibidos, somando cerca de US$ 24,9 milhões.
- A marcação automática que barrava o cliente foi feita com instrução incompleta, testada de forma inadequada e não cobria todos os produtos nem os clientes migrados de outras empresas do grupo.
- As violações passaram quase dois anos sem ser descobertas, e o quadro formal de cumprimento só saiu em abril de 2023.
O que a decisão diz, e em que instância está
A Final Notice é o ato final da FCA. A empresa "agreed to resolve this matter" e recebeu o desconto de 30% do procedimento de acordo; sem ele, a multa seria de £ 5.003.646. A base legal é o regulamento britânico de moeda eletrônica e o Principle 2 da FCA, que exige "due skill, care and diligence". A FCA registra que as violações foram cometidas por negligência ou inadvertência (parágrafo 6.11) e que o desenho, o teste, a implantação e o acompanhamento dos controles da restrição foram inadequados.
O contexto importa. A empresa não faz operação com criptoativo: ela recebe moeda de curso legal em carteira de moeda eletrônica, e o cliente usa esse saldo para comprar cripto em outras empresas do grupo. Os depósitos proibidos foram depois usados em operações com criptoativos que somaram cerca de US$ 226 milhões, e a empresa comunicou suspeita sobre 62 clientes.
Por onde a restrição vazou
O parágrafo 2.8 lista oito falhas. Reunidas pelo que um time de produto faria diferente:
| Falha na decisão | Prática que fecha |
|---|---|
| Engenheiros sem a versão mais recente da restrição; controle "failed to give full effect" | A regra entra no produto como requisito com versão, e quem implementa recebe o texto vigente |
| Teste antes de ligar inadequado | Casos de teste derivados da definição de alto risco, um por critério, antes de ir ao ar |
| Nem todos os produtos e sistemas de acesso considerados | Inventário escrito de todos os caminhos de entrada e de uso do saldo, revisto a cada produto novo |
| Sistemas novos lançados sem controle que preservasse a restrição | A restrição como item obrigatório da avaliação de produto novo |
| Clientes migrados de outras empresas do grupo fora da marcação | Migração tratada como onboarding, com a mesma checagem |
| Monitoramento inicial feito pela área de produto e inadequado | Segunda linha medindo o cumprimento com indicador próprio |
| Registro insuficiente das medidas de cumprimento | Trilha de cada decisão de desenho e de cada teste |
| Revisão formal de efetividade só dois anos depois | Revisão de efetividade com data marcada desde o primeiro dia |
Nota
A falha mais instrutiva é a da migração. Ninguém avaliou, no momento da migração, se o cliente que vinha de outra empresa do grupo devia receber a marcação, e 1.034 clientes de alto risco chegaram ao serviço por esse caminho (parágrafo 4.48). Toda porta lateral (migração, reativação, produto paralelo, parceiro) é onboarding para fins de restrição, mesmo quando o cadastro já existe.
A régua brasileira
No Brasil, a Circular BCB 3.978/2020 manda classificar o cliente nas categorias de risco da avaliação interna e rever a classificação "sempre que houver alterações no perfil de risco do cliente e na natureza da relação de negócio" (art. 20). Uma decisão de não atender certa categoria é parte da política e dos procedimentos, aprovados pela diretoria, e a efetividade deles é avaliada todo ano (arts. 62 a 64). A avaliação de produto novo antes do lançamento está no art. 3º, I, "b", e é exatamente onde a decisão britânica achou o furo dos "new systems".
Do lado do regulador, a Lei 13.506/2017 dá ao Banco Central um instrumento parecido com o requisito britânico, e com consequência expressa:
impor restrições à realização de determinadas atividades ou modalidades de operações a pessoa mencionada no caput do art. 2º desta Lei;
A medida é cautelar, cabe antes ou durante o processo sancionador, admite impugnação sem efeito suspensivo e recurso ao Conselho de Recursos do Sistema Financeiro Nacional (art. 17, §§ 3º a 5º). O descumprimento sujeita a instituição a multa cominatória por dia de atraso, limitada ao maior entre um milésimo da receita de serviços e produtos financeiros e R$ 100 mil (art. 18). A comparação com o caso britânico é da casa; o Banco Central não publicou caso brasileiro equivalente que tenhamos lido na fonte primária.
Para quem atende ativos virtuais
O caso é de uma porta de entrada de moeda fiduciária para cripto, e isso conversa com a regulação brasileira de prestadoras de serviços de ativos virtuais, explicada em regulação de VASP pelo Banco Central, e com o regime de PLD do setor em Lei 14.478 e o PLD das exchanges. A lição vale para qualquer instituição: uma restrição de cliente é regra de produto, e regra de produto que não tem teste não existe.
Leia também Quanto custa falhar em PLD: multa, inabilitação e processo
Leia também Abordagem baseada em risco na prática: como classificar clientes
Fontes citadas
- Financial Conduct Authority, Final Notice, CB Payments Ltd, 23 de julho de 2024, parágrafos 1.1, 1.2, 2.1 a 2.11, 4.48 e 6.11, em fca.org.uk
- Lei 13.506/2017, arts. 2º, 17 e 18, no Planalto
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, arts. 3º, 20 e 62 a 64, em normativos.bcb.gov.br