Rastreio AML e Verificação de Listas: Um Guia para Empresas Financeiras

Três Verificações Diferentes a Que as Pessoas Chamam Uma Só

"Rastreio AML" é usado como se designasse um único controlo. Não designa. Junta três verificações com fontes de dados diferentes, modos de falha diferentes e peso legal diferente, e tratá-las como uma só é onde a maioria dos programas se perde.

Rastreio de sanções compara uma parte com listas de proibição governamentais: as listas SDN e consolidadas da OFAC nos Estados Unidos, a Lista Consolidada do Conselho de Segurança da ONU, a Lista Consolidada da UE e a lista do OFSI no Reino Unido. Uma correspondência aqui não é um sinal de risco. É uma proibição legal de sequer negociar com essa parte.

Rastreio de PEP identifica pessoas politicamente expostas, os seus familiares e associados próximos conhecidos. Não existe uma lista oficial global de PEP. Todas as bases de PEP são produtos comerciais construídos a partir de fontes públicas, o que significa que a cobertura e a classificação variam entre fornecedores mais do que os compradores esperam.

Rastreio de notícias adversas procura em notícias e relatos públicos não estruturados alegações de crime financeiro, corrupção, fraude ou criminalidade organizada. É a única das três sem um universo definido com que fazer correspondência, o que a torna a mais difícil de automatizar e a mais fácil de fazer mal.

Confundir isto tem consequências operacionais. Uma correspondência PEP é um sinal de que a relação exige diligência reforçada. Uma correspondência de sanções significa que para. Uma empresa cujo fluxo trata ambas como "um alerta para rever" construiu um controlo incapaz de distinguir "reunir mais informação" de "não avançar".

Porque a Obrigação É Mais Rígida do Que se Julga

Duas características do direito das sanções surpreendem quem vem de uma mentalidade baseada no risco.

A primeira é que a responsabilidade perante a OFAC é objetiva. Uma empresa pode ser civilmente responsabilizada por uma transação proibida independentemente de saber ou não que a contraparte estava designada. A intenção releva para a dimensão da coima, não para a existência da infração. Não há uma defesa de esforço razoável como existe noutras áreas da conformidade.

A segunda é que as listas não contêm tudo aquilo com que está proibido de negociar. Ao abrigo da Regra dos 50 Por Cento da OFAC, uma entidade detida em 50 por cento ou mais, direta ou indiretamente, por uma ou mais pessoas designadas fica ela própria bloqueada, mesmo que a OFAC não a acrescente à lista SDN. Cruzar o nome de uma sociedade com a lista SDN e não obter correspondência diz muito pouco se não tiver mapeado quem a detém. Tratámos desse mecanismo em detalhe em Rastreio de Sanções OFAC para Fundos Privados dos EUA.

O historial sancionatório reforça o ponto sobre a qualidade do programa e não sobre a intenção. A coima civil de 390 milhões de dólares aplicada pela FinCEN ao Capital One em 2021 dizia respeito a falhas no programa BSA do banco, não a uma tentativa deliberada de movimentar dinheiro sancionado. O Manual de Inspeção BSA/AML do FFIEC define o que os inspetores esperam de um programa de conformidade OFAC, e a resposta é um processo documentado, testado e aplicado de forma consistente, e não uma subscrição de uma lista.

O Rastreio São Quatro Momentos, Não Um

A maioria dos programas manuais faz o rastreio uma vez, no onboarding, e dá o controlo por cumprido. Isso deixa três lacunas abertas durante toda a relação.

1. No onboarding. Antes de os fundos se moverem ou de o mandato começar. É o único que a maioria das empresas cumpre de forma fiável.
2. Quando uma lista muda. A OFAC atualiza a lista SDN sem calendário fixo, por vezes várias vezes por semana. Uma designação que recaia sobre um cliente existente cria exposição a partir do momento em que é publicada, e não do momento em que voltar a consultar.
3. Quando o cliente muda. Um novo titular efetivo, um novo administrador, uma mudança de controlo ou uma nova jurisdição de operação repõem a análise a zero. A parte que rastreou não é a parte que tem agora.
4. Num ciclo periódico definido. Calibrado por escalão de risco e escrito na sua política, para que o dossiê mostre que se seguiu um calendário em vez de uma revisão que aconteceu quando alguém se lembrou.

A diferença entre rastreio pontual e contínuo é a diferença entre um controlo que foi verdadeiro uma vez e um controlo que é verdadeiro agora. É também, na prática, a maior lacuna que os inspetores encontram em programas por outro lado razoáveis.

Contra o Que Está a Rastrear

Fonte	O que abrange	Nota prática
Lista SDN da OFAC	Pessoas, entidades, navios e aeronaves designados pelos EUA	Responsabilidade objetiva; atualizada sem calendário fixo
Listas consolidadas não SDN da OFAC	Restrições setoriais e outras aquém do bloqueio total	Cada lista tem proibições próprias, não é um sim ou não simples
Lista Consolidada da ONU	Partes designadas por resoluções do Conselho de Segurança	Transposta para o direito nacional de forma diferente em cada jurisdição
Lista Consolidada da UE	Pessoas e entidades designadas pela UE	Relevante para qualquer nexo com a UE, incluindo investidores domiciliados na UE
Lista do OFSI (Reino Unido)	Pessoas e entidades designadas pelo Reino Unido	Divergiu das designações da UE depois do Brexit
Bases de dados PEP	Titulares de cargos, familiares e associados próximos	Produtos comerciais; definições e cobertura variam por fornecedor
Notícias adversas	Alegações em notícias e relatos públicos	Não estruturadas; a qualidade depende da amplitude de fontes e das línguas cobertas

As alegações de cobertura são a coisa mais fácil de um fornecedor afirmar e a mais difícil de um comprador verificar. A pergunta útil não é "cobrem PEP" mas "que dados de PEP, atualizados com que frequência, e qual é a vossa definição de associado próximo".

O Problema dos Falsos Positivos É o Custo Real

As empresas que avaliam ferramentas de rastreio tendem a concentrar-se em saber se algo escapa. Na operação diária, o constrangimento determinante é quase sempre o oposto: o volume de correspondências que não são reais.

A correspondência de nomes comuns com listas globais produz falsos positivos a taxas capazes de submergir uma função de compliance pequena. Uma ferramenta afinada para sensibilidade máxima assinala todas as correspondências parciais, todas as variantes de transliteração, todas as pessoas que partilham um apelido com uma parte designada. Alguém tem depois de descartar cada uma, e cada descarte precisa de uma fundamentação escrita para valer alguma coisa em sede de inspeção.

Isto cria dois modos de falha, e o segundo é mais perigoso:

• A pendência cresce até o rastreio se tornar o estrangulamento do onboarding, e a pressão comercial empurra para avançar mais depressa do que a revisão permite.
• Os limiares são afrouxados para tornar a pendência gerível, reduzindo silenciosamente a sensibilidade até uma correspondência real passar.

Ao avaliar uma ferramenta, peça a taxa de falsos positivos sobre o seu tipo de nomes, não um número de brochura. Uma plataforma que rastreia sobretudo clientes de retalho anglófonos comporta-se de forma muito diferente perante uma carteira de investidores com nomes transliterados de vários alfabetos. Pergunte que fluxo de tratamento a ferramenta oferece, porque descartar uma correspondência sem registar porquê não é um controlo concluído.

Como Avaliar uma Solução de Rastreio

Sete critérios, pela ordem que costuma decidir o resultado.

Cobertura e proveniência das listas. Que regimes de sanções, que base de PEP, que fontes de notícias adversas, e quem fornece os dados subjacentes. Um fornecedor de inteligência identificado pelo nome é verificável; "cobertura global" não é.

Frequência de atualização. Com que rapidez uma nova designação chega ao seu rastreio, e se os clientes existentes são automaticamente reavaliados contra ela ou apenas verificados na sua próxima passagem manual.

Qualidade da correspondência. Como o motor lida com transliteração, ordem dos nomes, diacríticos, pseudónimos e correspondências parciais, e se pode afinar a sensibilidade por escalão de risco em vez de globalmente.

Monitorização contínua. Se o rastreio contínuo está incluído ou é vendido como extra, e o que desencadeia uma revisão para lá das alterações de listas.

Resolução de entidades. Se a ferramenta rastreia a cadeia de titularidade ou apenas o nome que tem à frente. Dada a Regra dos 50 Por Cento, um produto de rastreio que pare na entidade nomeada deixa a sua maior exposição por examinar. O nosso guia sobre titularidade efetiva última explica o que esse mapeamento envolve.

Resultado para auditoria. Se a plataforma produz um registo que um inspetor consegue ler por si só: o que foi rastreado, contra o quê, quando, o que devolveu, quem o tratou e com que fundamentação. Se a sua equipa monta isso a seguir, a ferramenta automatizou a verificação mas não a obrigação.

Integração e custo por parte rastreada. Se os resultados chegam automaticamente ao seu sistema de registo, e quanto custa de facto um rastreio concluído depois de incluída a monitorização contínua.

O Que Isto Parece Fora de um Banco

Os fundos de investimento, as sociedades de advogados, as entidades financiadoras e as empresas imobiliárias executam este controlo em condições para que a maioria dos produtos de rastreio não foi desenhada.

Os volumes são baixos e o que está em jogo é elevado. Um fundo pode fazer onboarding de algumas dezenas de investidores por ano, pelo que um preço empresarial por utilizador pensado para milhares de verificações diárias não faz sentido, ao mesmo tempo que uma única designação em falta é material.

As partes são estruturas, não pessoas. Um investidor é uma sociedade em comandita, um fideicomisso ou uma sociedade gestora de participações com várias camadas. Rastrear o nome da entidade é o início do trabalho, não o fim, e a exposição está na cadeia de titularidade.

A função de compliance é pequena. Duas pessoas, por vezes uma, muitas vezes com outras responsabilidades. Uma ferramenta que gera um volume elevado de falsos positivos não cria uma fila de revisão nestas empresas. Cria uma pendência que ninguém resolve, o que é pior do que não ter alerta nenhum, porque o registo passa a mostrar alertas que nunca foram tratados.

A cobertura é transfronteiriça por defeito. Um investidor domiciliado na UE num fundo norte-americano traz os regimes de designação da UE e do Reino Unido para o âmbito, a par da OFAC, e essas listas divergiram.

Onde Entra a VeriKYC

A VeriKYC corre o rastreio de sanções, PEP e notícias adversas como parte de um único fluxo de onboarding, e não como uma ferramenta separada que alguém tem de se lembrar de abrir. O rastreio corre contra a base de inteligência de risco LSEG World-Check, e o resultado é um registo estruturado e datado que cobre o que foi rastreado, o que devolveu e como foi tratado, produzido em conjunto com o dossiê de verificação em menos de 60 segundos.

O alvo do desenho é a função de compliance pequena descrita acima. O rastreio contínuo faz parte do fluxo em vez de ser uma subscrição à parte, as cadeias de titularidade são mapeadas em vez de ficarem pela entidade nomeada, e o registo de auditoria é o produto e não algo montado a seguir. A VeriKYC detém certificações SOC 2 Type II, ISO 27001 e RGPD.

Não substitui uma política de sanções, um responsável de compliance designado, testes independentes nem julgamento formado sobre os alertas que importam. O que substitui é o trabalho manual de montagem à volta deles.

Perguntas Frequentes

Qual é a diferença entre rastreio de sanções e rastreio de listas de vigilância?

O rastreio de sanções verifica uma parte face a listas de proibição governamentais como as designações da OFAC, ONU, UE e OFSI, onde uma correspondência é um impedimento legal para avançar. O rastreio de listas de vigilância é o termo mais amplo, abrangendo bases de PEP, listas de autoridades policiais e notícias adversas, onde uma correspondência é um sinal de risco que exige diligência reforçada e não uma paragem automática. Os programas que tratam ambos de forma idêntica tendem a escalar demasiado as correspondências PEP e a reagir de menos às de sanções.

Com que frequência deve uma empresa financeira reavaliar os clientes existentes?

Em contínuo face às alterações das listas, e num ciclo periódico definido por escalão de risco na sua política escrita. As listas de sanções mudam sem calendário fixo, pelo que uma designação pode recair sobre um cliente existente a qualquer momento. As empresas que dependem de uma revisão anual carregam exposição durante todo o tempo que medeia entre a designação e a consulta seguinte.

Uma correspondência PEP significa que devemos recusar o cliente?

Não. O estatuto de PEP não é uma proibição nem uma acusação. Desencadeia diligência reforçada: apurar a origem do património e a origem dos fundos, obter aprovação da direção para a relação e aplicar monitorização contínua mais próxima. Recusar todos os PEP é uma sobrecorreção comum que custa negócio legítimo sem melhorar o controlo.

Porque é que o rastreio produz tantos falsos positivos?

Porque a correspondência de nomes com listas globais tem de ser suficientemente ampla para apanhar transliterações, pseudónimos, variações na ordem dos nomes e diferenças de grafia. Apertar a correspondência para reduzir o ruído também reduz a sensibilidade. A resposta prática não é um limiar perfeito, mas afinação por escalões, melhores dados identificativos como data de nascimento e nacionalidade para desambiguar correspondências, e um fluxo de tratamento que registe a fundamentação para que os descartes se mantenham defensáveis.

O rastreio de notícias adversas é mesmo obrigatório?

Não é universalmente imposto como o rastreio de sanções, mas é tratado como componente esperada da diligência reforçada em relações de risco mais elevado, e a sua ausência é uma constatação frequente em inspeção quando a própria avaliação de risco da empresa o previa. Se a sua política diz que rastreia notícias adversas, os inspetores vão testar se o faz.

Que registos deve um rastreio deixar para trás?

A parte rastreada, as listas e bases contra as quais foi rastreada, a data e a hora, os resultados devolvidos incluindo correspondências parciais, uma fundamentação escrita para cada correspondência explicando por que foi descartada ou escalada, a pessoa ou sistema responsável, e prova do calendário de reavaliação contínua. Um resultado sem fundamentação registada não é prova de que o controlo funcionou. Para o quadro completo, veja construir um trilho de auditoria AML defensável.

O software de rastreio pode satisfazer sozinho as nossas obrigações AML?

Não. O software executa a verificação e produz o registo. A sua obrigação inclui também uma política escrita que define quem é rastreado contra o quê e com que frequência, um responsável de compliance designado, testes independentes ao programa, formação do pessoal e julgamento documentado sobre os alertas escalados. A automatização torna essas obrigações mais baratas de cumprir de forma consistente; não as elimina.

Em Resumo

O rastreio falha em sítios previsíveis: no segundo, terceiro e quarto momentos em que ninguém rastreia, na cadeia de titularidade que ninguém mapeou, e na fila de alertas que ninguém resolveu.

Corrija isso primeiro. Depois escolha uma ferramenta pelas fontes de dados identificadas, pela frequência de atualização, pela qualidade da correspondência face aos nomes que realmente recebe, e por saber se o registo de auditoria sai pronto. O resto da lista de funcionalidades não vai separar as opções.