Blog

Listas de sanções e PEP: o que cada lista cobre e o que ela não cobre

UNIFOKAL8 min de leituraKYC

Triagem de sanções e PEP não é uma lista, é um catálogo de listas com coberturas desiguais. O que CEIS, CNEP, CEAF, CEPIM, PEP da CGU, TCU, OFAC, ONU e União Europeia trazem, e por qual chave cada uma casa.

A pergunta "vocês consultam listas de sanções?" quase sempre recebe uma resposta binária, e é aí que o desenho nasce torto. Não existe "a lista": existe um catálogo de arquivos publicados por órgãos diferentes, com finalidades, chaves de identificação e cadências diferentes. Tratar todos como equivalentes produz as duas falhas clássicas: o cliente barrado por homônimo e o sancionado que passou porque a lista certa não estava no fluxo.

O mapa abaixo vai arquivo por arquivo: o que cada um contém, por qual campo ele casa com um cadastro e o que fica de fora. Os números vêm da leitura direta dos arquivos oficiais nas datas indicadas.

O catálogo brasileiro: quatro cadastros, quatro finalidades

A Controladoria-Geral da União publica no Portal da Transparência quatro cadastros que o mercado agrupa como listas restritivas, e eles não medem a mesma coisa.

O CEIS, Cadastro Nacional de Empresas Inidôneas e Suspensas (artigo 23 da Lei 12.846/2013), reúne sanções que impedem contratar com a administração pública. O arquivo de 28 de agosto de 2026 traz 23.704 registros, e a surpresa para quem espera cadastro de empresa está na composição: 14.490 de pessoa jurídica e 9.202 de pessoa física, com 9.907 registros estaduais, 8.607 federais e 5.010 municipais. Nem tudo está em vigor: 557 já venceram e 2.038 não têm data final nenhuma. Sem filtro por prazo, a triagem reprova quem já cumpriu a penalidade.

O CNEP, Cadastro Nacional de Empresas Punidas, do artigo 22 da mesma lei, é menor e mais específico: 1.776 registros na mesma data, 1.736 de pessoa jurídica, concentrados em multa (1.000) e publicação extraordinária da decisão condenatória (718). É responsabilização por ato contra a administração, não licitação.

O CEAF é o cadastro de expulsões da administração federal, punição de servidor e não de fornecedor: 4.007 registros de pessoa física nas penalidades do artigo 127 da Lei 8.112/1990, com 3.112 demissões, 555 cassações de aposentadoria e 220 destituições. E o CEPIM, que o artigo 4º do Decreto 7.592/2011 manda a CGU manter, lista entidades sem fins lucrativos impedidas de conveniar com a União: 3.530 linhas, 1.945 CNPJ, cinco colunas, sem data nem CPF.

A chave de casamento muda de arquivo para arquivo

CEIS e CNEP trazem o CPF e o CNPJ completos: os 9.202 registros de pessoa física do CEIS passam todos na verificação do dígito verificador, assim como os 14.490 CNPJ. Dá para casar por documento.

CEAF e a base de PEP, não. Ambos publicam o CPF mascarado, com os seis dígitos do meio à mostra e os três primeiros e os dois verificadores escondidos, o que deixa um espaço de um milhão de combinações. No arquivo de PEP de julho de 2026 há 95.429 máscaras distintas para 105.119 nomes, e 10.308 delas aparecem associadas a mais de um nome, porque a colisão cresce com o tamanho da base. Máscara não é chave, é filtro: reduz candidatos e devolve o caso para confirmação por nome, cargo e período.

O Tribunal de Contas da União ainda serve duas listas próprias, independentes do CEIS: 99 licitantes inidôneos com CNPJ completo e 760 responsáveis inabilitados para cargo em comissão com CPF completo. Na UNIFOKAL, por exemplo, todo resultado de triagem carrega a fonte e a data da versão consultada, porque sem isso ninguém reconstrói a decisão.

PEP da CGU: o que a base tem e o que ela não tem

A base de pessoas expostas politicamente do Portal da Transparência é maior e menos federal do que a fama sugere: 133.930 linhas em julho de 2026, uma por cargo e período, para 95.429 CPF distintos. A distribuição é dominada por mandato municipal: 114.727 linhas de vereador e 10.999 de prefeito, contra 1.597 de deputado federal.

A coluna de fim de carência aparece em toda linha com fim de exercício, e em 131.071 delas é exatamente cinco anos depois dele, o prazo de permanência da condição de PEP previsto na Resolução COAF 40/2021: ignorá-la é tratar como PEP quem deixou de ser. A de nível da função vem vazia em 130.996 das 133.930 linhas: campo existente não é campo preenchido.

O que a base não tem importa mais. Não há coluna de vínculo: familiares e estreitos colaboradores, que a Resolução COAF 40/2021 e a Recomendação 12 do GAFI põem no perímetro de diligência reforçada, ficam de fora. E a cobertura de cargo não eletivo é rala: 586 linhas de secretário e 392 de diretor no país inteiro.

As internacionais: quatro formatos, quatro armadilhas

A lista SDN do OFAC, o Escritório de Controle de Ativos Estrangeiros do Tesouro dos Estados Unidos, tinha 19.322 registros em 29 de agosto de 2026: 7.517 pessoas, 9.922 entidades, 1.540 embarcações e 342 aeronaves. O CSV marca campo vazio com a sequência "-0-", que parser ingênuo grava como valor. Os apelidos moram em arquivo separado: 20.148 para 8.812 registros, um com 95. E não há campo de documento nacional: identificador brasileiro aparece como texto livre nas observações, sob rótulo como "Tax ID No.", em só 20 registros.

A Lista Consolidada do Conselho de Segurança das Nações Unidas é a menor e a mais pobre em identificadores: 736 indivíduos e 275 entidades em 28 de agosto de 2026, mas só 291 indivíduos com ano de nascimento e 298 com número de documento, e das datas presentes 117 são aproximadas e 32 são intervalos. Na maioria dos casos a chave é nome mais nacionalidade.

A lista consolidada de sanções financeiras da União Europeia, da DG FISMA da Comissão Europeia, tinha 6.234 entidades em 5 de agosto de 2026: 4.462 pessoas e 1.772 organizações. O CSV é desnormalizado: cada combinação de apelido, endereço, data de nascimento e documento vira uma linha, somando 43.851, e uma só entidade chega a ocupar 146. Contar linhas dá um número sete vezes maior que a lista. E o campo da referência da ONU vem preenchido em apenas 87 entidades, então o cruzamento não sai de graça.

A UK Sanctions List, do Foreign, Commonwealth and Development Office, sob a Sanctions and Anti-Money Laundering Act 2018, tinha 6.334 designações em 58.436 linhas em 28 de agosto de 2026, também desnormalizada. Duas armadilhas: a primeira linha do CSV não é o cabeçalho, é a data do relatório, e o campo de tipo de nome traz grafias diferentes para o mesmo valor, com "Primary name" e "Primary Name" convivendo, e quem o trata como enumeração fechada perde metade dos nomes primários. E desde as 9 horas de 28 de janeiro de 2026 ela é a única lista de designações do Reino Unido, com a Consolidated List do OFSI encerrada.

O que nenhum desses arquivos resolve

Difusão da Interpol não é lista de sanções nem dump: segundo a própria Interpol, só extratos de difusões vermelhas são publicados, a pedido do país solicitante, quando a ajuda do público é necessária ou a pessoa ameaça a segurança pública.

Improbidade administrativa, ao contrário do que se supõe, não pede lista à parte: ela desce para o CEIS pela via do Conselho Nacional de Justiça. No mesmo arquivo, 8.269 registros têm o CNJ como origem, 7.181 de pessoa física, e 9.730 trazem fundamentação no artigo 12 da Lei 8.429/1992, aplicados por varas estaduais e federais.

A única lista de cumprimento imediato

A Lei 13.810/2019 dá às resoluções sancionatórias do Conselho de Segurança das Nações Unidas executoriedade imediata na República Federativa do Brasil e manda as pessoas obrigadas cumprirem a indisponibilidade de ativos sem demora e sem prévio aviso aos sancionados. A própria lei define "sem demora" como "imediatamente ou dentro de algumas horas", e atribui ao Ministério da Justiça e Segurança Pública a lista nacional, com comunicação ao Conselho de Controle de Atividades Financeiras.

De tudo que foi mapeado, só a lista do Conselho de Segurança carrega, por lei brasileira, dever de bloqueio imediato. As demais são insumo de diligência, e o que se faz com um positivo é política interna proporcional ao risco, na linha da Circular BCB 3.978/2020 e das Recomendações 6, 7 e 12 do GAFI. Vale o outro lado: o COAF não publica lista própria de pessoas, o que ele exige é comunicação. Procurar a lista do COAF é procurar arquivo que não existe, e o tempo rende mais descobrindo qual das listas reais casa com a chave que o cadastro tem.

Fontes citadas