A Circular BCB 3.978/2020 não para no cliente. O Capítulo IX manda a instituição conhecer também os próprios funcionários, os parceiros e os prestadores de serviços terceirizados, com identificação, qualificação e classificação de risco, num documento específico aprovado pela diretoria. A resposta curta para quem monta o programa: é o mesmo raciocínio do KYC do cliente aplicado para dentro, com uma diferença importante, a de que a norma manda classificar as atividades que essas pessoas exercem, não as pessoas.
Em resumo
- O art. 56 exige procedimentos de identificação e qualificação de funcionários, parceiros e terceirizados, compatíveis com a política e com a avaliação interna de risco.
- Os procedimentos ficam num documento específico, aprovado pela diretoria e mantido atualizado (art. 57).
- O art. 58 manda classificar em categorias de risco as atividades exercidas, com critério escrito no documento do art. 57.
- Contrato com banco no exterior e com terceiro não autorizado que participa de arranjo de pagamento tem checklist próprio, nos arts. 59 e 60, com ciência do diretor de PLD.
Por que a norma olha para dentro
O art. 2º, parágrafo único, inciso IV, já dizia que a política precisa ser compatível com o perfil de risco "dos funcionários, parceiros e prestadores de serviços terceirizados", e o art. 10, § 1º, IV, manda a avaliação interna de risco considerar "as atividades exercidas" por eles. O Capítulo IX é onde essas duas pontas viram procedimento. A razão é prática: a instituição pode ser usada para lavagem também por quem está do lado de dentro, seja um funcionário que ajuda a fracionar operação, seja um parceiro que capta clientes sem os controles que a instituição aplicaria.
Esse tema tem vizinhos que olham para terceiros com outra lente. A diligência que a Lei Anticorrupção espera de um programa de integridade está no artigo sobre due diligence de terceiros; aqui o fundamento é o PLD e o regulador é o Banco Central.
O documento do art. 57, e o que ele precisa trazer
Os procedimentos referidos no art. 56 devem ser formalizados em documento específico aprovado pela diretoria da instituição.
A norma pede três coisas desse documento. Os procedimentos de identificação e qualificação (art. 56). Os critérios de classificação em categorias de risco (art. 58, § 2º). E a atualização: o documento é mantido atualizado (art. 57, parágrafo único) e as informações sobre as pessoas também, "considerando inclusive eventuais alterações que impliquem mudança de classificação" (art. 58, § 3º). Na prática, o documento responde a perguntas como: que dado se coleta de um funcionário na admissão e de um terceirizado na contratação, quem confere, que fontes públicas se consultam, e o que dispara a revisão.
Classificar a atividade, não a pessoa
O art. 58 diz que a instituição deve "classificar as atividades exercidas por seus funcionários, parceiros e prestadores de serviços terceirizados nas categorias de risco definidas na avaliação interna de risco". O objeto da classificação é a atividade. Um analista de crédito com alçada para aprovar limite e um operador de atendimento que só abre chamado têm exposição diferente, mesmo com o mesmo cargo no organograma. A consequência prática é que a classificação muda quando a função muda, e não só quando algo muda na vida da pessoa.
| Atividade | O que a expõe | Efeito típico na diligência |
|---|---|---|
| Aprovar abertura de conta ou limite | Decide quem entra e com quanto | Qualificação mais profunda e revisão mais frequente |
| Alterar dado cadastral de cliente | Pode apagar o rastro de quem é o cliente | Trilha de auditoria da alteração e segregação de função |
| Analisar alerta de monitoramento | Decide o que vai ao Coaf | Atenção ao conflito de interesses com clientes da carteira |
| Atender cliente como correspondente no País | Coleta documento em nome da instituição | Capacitação expressa (art. 3º, I, "g") e conferência de amostra |
| Prestar serviço de TI sem acesso a dado de cliente | Exposição baixa a operação | Identificação e qualificação básicas da empresa |
A tabela é ilustração da casa; a Circular não traz categorias prontas e manda que elas saiam da avaliação interna de risco de cada instituição.
Os dois contratos com checklist próprio
Dois tipos de parceria têm regras detalhadas, e as duas terminam no diretor responsável do art. 9º.
| Exigência | Art. 59: instituição financeira no exterior, inclusive banco correspondente | Art. 60: terceiro não autorizado que participa de arranjo de pagamento |
|---|---|---|
| Natureza da atividade e reputação | Inciso I | Inciso I |
| Investigação ou ação de supervisor por lavagem ou terrorismo | Inciso II | Inciso II |
| Presença física no país de constituição | Inciso III | Não se aplica |
| Licença do instituidor do arranjo, quando for o caso | Não se aplica | Inciso III |
| Conhecer os controles de PLD do contratado | Inciso IV | Inciso IV |
| Aprovação por nível hierárquico superior ao de quem contrata | Inciso V | Não se aplica |
| Ciência do diretor de PLD | Inciso VI | Inciso V |
O art. 60 conversa com o art. 31, que obriga a estipular em contrato o acesso da instituição à identificação dos destinatários finais dos recursos quando o terceiro participa do mesmo arranjo. Esse contrato fica à disposição do Banco Central por cinco anos depois do fim da relação (art. 66, § 1º). Quem cadastra parceiro pessoa jurídica pode reaproveitar o mesmo exame que faz em cliente empresa; o roteiro está no artigo sobre due diligence de fornecedor.
Sinais e guarda
A Carta Circular BCB 4.001/2020, no art. 1º, inciso XIII, lista situações que podem indicar suspeita envolvendo funcionários, parceiros e terceirizados: alteração inusitada do padrão de vida sem causa aparente, mudança inusitada no resultado do parceiro, inclusive correspondente, negócio feito fora do procedimento formal e ajuda a cliente para estruturar ou fracionar operação. Esses sinais alimentam o monitoramento e a revisão da classificação do art. 58.
As informações coletadas sobre essas pessoas ficam à disposição do Banco Central por pelo menos dez anos, contados do encerramento da relação contratual (art. 67, II), e o documento do art. 57 entra no rol do art. 66, XI. O relatório anual de efetividade avalia esses procedimentos na alínea "f" do art. 63, II.
Fontes citadas
- Circular BCB 3.978/2020, versão consolidada no Banco Central, arts. 2º, 3º, 9º, 10, 31, 56 a 60, 63, 66 e 67, normativos.bcb.gov.br
- Carta Circular BCB 4.001/2020, art. 1º, inciso XIII, Banco Central