Uma triagem de sanções pode rodar todos os dias, gerar alertas, passar em auditoria de processo e, ainda assim, comparar o cliente com uma fração da lista. Foi o que a Financial Conduct Authority (FCA), a autoridade de conduta do Reino Unido, descreveu na Final Notice de 27 de setembro de 2024 contra o Starling Bank: de julho de 2017 a fevereiro de 2023, o sistema automático comparou clientes pessoa física apenas com os nomes da lista consolidada que tinham cidadania ou residência britânica, 39 de 3.088 pessoas designadas. A resposta curta para quem opera triagem no Brasil: o controle que pega esse erro não é o alerta, é o teste de cobertura, que confere os registros da lista oficial carregados no motor e, sobretudo, tria nomes conhecidos da própria lista, de nacionalidades diferentes, exigindo que todos gerem alerta.
Em resumo
- A FCA multou o Starling em £ 28.959.426 por falhas de controle de crime financeiro, com desconto de 30% por acordo; a Final Notice é a decisão final do caso.
- Uma configuração errada, de 20 de julho de 2017, fez a triagem de clientes pessoa física comparar só 39 dos 3.088 nomes da lista consolidada; entre 1º de julho de 2022 e 30 de janeiro de 2023, o sistema não gerou nenhum alerta de sanção para pessoa física.
- A revisão interna achou também triagem a cada 14 dias, pagamentos internacionais fora da triagem, ferramenta de cliente usada para pagamento e nenhuma métrica de volume de alertas.
- No Brasil, a Resolução BCB 44/2020 manda cumprir as sanções do Conselho de Segurança da ONU "imediatamente" e monitorar as designações sem esperar a comunicação do Banco Central.
O que a decisão diz, e em que instância está
A Final Notice é o ato final da FCA no processo. O próprio documento registra que o banco "agreed to resolve this matter" e ganhou o desconto de 30% do procedimento de acordo; sem o desconto, a multa seria de £ 40.959.426. A base é o Principle 3 das regras da FCA, que exige sistemas de gestão de risco adequados, e o descumprimento de um requisito voluntário aceito em 2021, que proibia abrir conta para cliente de risco alto enquanto o banco corrigia os controles. Esse segundo ponto (54.359 contas abertas para 49.183 clientes de risco alto ou mais alto, contra o requisito) fica para outro texto. Este trata da triagem.
O documento também anota que a FCA não é quem aplica as sanções financeiras britânicas: quem faz isso é o Office of Financial Sanctions Implementation (OFSI), do Tesouro. O papel da FCA é cobrar que a instituição tenha sistemas e controles capazes de cumpri-las. A divisão se parece com a brasileira, em que a lista vem do Conselho de Segurança e o Banco Central cobra o controle da instituição.
O defeito: a parte da lista que o motor não comparava
A Final Notice descreve o achado de 30 de janeiro de 2023 com precisão. A revisão de ponta a ponta da segunda linha percebeu que a triagem de clientes não tinha gerado nenhum alerta de sanção para pessoa física desde 1º de julho de 2022. A causa era uma configuração errada no casamento entre os dados do cliente e os da lista, presente desde 20 de julho de 2017. Ao menos uma pessoa designada abriu conta no período examinado pela FCA, de dezembro de 2019 a novembro de 2023.
Nota
O relevante para quem desenha controle: o sistema funcionava. Ele rodava, comparava e gerava alertas para os 39 nomes que alcançava. O defeito, segundo a Final Notice, estava no casamento entre os dados, e nenhum teste que olha só "o motor respondeu" teria pegado o problema. Ainda em 2021, a FCA tinha apontado em carta ao banco que a política dizia triar contra as listas do Reino Unido, da União Europeia, da ONU e dos Estados Unidos, e a prática triava só quem tinha vínculo com o Reino Unido.
A correção também está no documento: o banco reconfigurou e testou a triagem em 10 de fevereiro de 2023, retriou a carteira ativa de 3,5 milhões de clientes em duas semanas (cerca de 48 mil alertas) e revisou 3.988.143 pagamentos processados de maio de 2017 a novembro de 2023, que geraram 795.712 alertas e acharam possíveis violações, comunicadas às autoridades.
O que a revisão achou, e o controle de cada um
A revisão interna listou falhas além da configuração. A tabela cruza cada uma com o controle que a teria pegado e com a âncora da norma brasileira para quem é autorizado pelo Banco Central.
| Achado na Final Notice | Controle que pega | Âncora no Brasil |
|---|---|---|
| Só 39 de 3.088 nomes comparados | Teste de cobertura a cada carga: nomes conhecidos da lista, de nacionalidades diferentes, triados contra o motor, além da contagem de registros | Res. BCB 44/2020, art. 1º (cumprimento imediato) |
| Nenhum alerta de pessoa física por sete meses | Métrica de volume de alertas por tipo, com alarme de queda a zero | Circular 3.978/2020, art. 61 (métricas e indicadores) e art. 62 (efetividade) |
| Triagem a cada 14 dias e só depois do onboarding | Triagem na abertura e a cada atualização da lista | Res. BCB 44/2020, art. 2º (monitorar sem esperar a comunicação) |
| Pagamentos internacionais fora da triagem | Escopo escrito do que se tria: cliente, contraparte, pagamento | Lei 13.810/2019 (indisponibilidade de ativos) |
| Ferramenta de cliente usada em pagamento | Teste com caso conhecido em cada canal | Circular 3.978/2020, art. 61 (testes) |
| Sem metodologia de teste e calibração | Plano de teste com registro guardado | Circular 3.978/2020, art. 61 |
| Risco de sanção avaliado como baixo | Avaliação interna de risco que considera produto e canal | Circular 3.978/2020, art. 10 |
| Procedimento genérico de alerta | Procedimento próprio de alerta de sanção | Circular 3.978/2020, art. 61, I (processos) |
| Lacuna de governança e auditoria atrasada | Revisão periódica pela segunda e pela terceira linha | Circular 3.978/2020, art. 9º (diretor responsável) e art. 61 (trilhas de auditoria) |
A coluna do Brasil é a leitura da casa sobre onde cada controle se apoia; nenhuma norma brasileira descreve o caso.
As instituições mencionadas no art. 1º devem monitorar as determinações de indisponibilidade referidas no art. 1º, bem como eventuais informações a serem observadas para o seu atendimento, visando ao seu cumprimento imediato, independentemente da comunicação do Banco Central do Brasil mencionada no art. 10, inciso I, da Lei nº 13.810, de 2019.
O teste de cobertura, em três linhas
A lição operacional cabe numa rotina que roda a cada carga da lista:
- contar os registros da fonte oficial e os registros que o motor de triagem carregou, por tipo (pessoa física, pessoa jurídica, embarcação), e reprovar a carga se as contagens não batem;
- triar um conjunto fixo de nomes reais da própria lista, de nacionalidades diferentes, e exigir que todos gerem alerta;
- guardar o resultado com data, para que a avaliação de efetividade tenha o que mostrar.
No caso Starling, o defeito estava no casamento, e a lista podia estar inteira na base: é o passo 2 que o pega.
O desenho da ingestão que evita a lista quebrada está em ingerir lista oficial sem quebrar, e o dever de bloquear sem aviso prévio está em Lei 13.810 e a indisponibilidade imediata. A diferença entre conferir na abertura e conferir a carteira inteira a cada atualização está em monitoramento contínuo de sanções.
Leia também Quanto custa falhar em PLD: multa, inabilitação e processo
Fontes citadas
- Financial Conduct Authority, Final Notice, Starling Bank Limited, 27 de setembro de 2024, parágrafos 1.1, 1.2, 2.5, 4.37 a 4.50 e 7.1, em fca.org.uk
- Banco Central do Brasil, Resolução BCB 44/2020, arts. 1º a 4º, na busca de normas do BCB
- Lei 13.810/2019, no Planalto
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, arts. 9º, 10, 61 e 62, em normativos.bcb.gov.br