Os Cinco Pilares de um Programa BSA/AML: Construir Um Que Resista a uma Inspeção nos EUA
Políticas, responsável de compliance, formação, testes independentes e CDD. O que cada pilar exige na prática e onde as empresas norte-americanas falham.
Rodolfo Santos
Advogado de Compliance Imobiliário e Cofundador da VeriKYC
Cinco Pilares, e a Distância Entre Tê-los e Passar
Peça a um responsável de compliance norte-americano que descreva o seu programa BSA/AML e a maioria recitará os pilares: políticas e controlos internos, um responsável de compliance designado, formação contínua, testes independentes e diligência devida baseada no risco. O enquadramento é bem conhecido, ensinado em todos os cursos de certificação e reproduzido no modelo de qualquer consultor.
Pergunte a um inspetor o que encontra na prática e a resposta é outra. Programas que satisfazem os pilares no papel e falham em funcionamento. Políticas que descrevem um processo que ninguém segue. Responsáveis de compliance com títulos mas sem autoridade. Taxas de conclusão de formação sem prova de que alguém aprendeu alguma coisa. Testes independentes realizados por quem reporta à pessoa que está a ser testada. E diligência devida que recolhe informação no onboarding e nunca mais lhe volta a olhar.
A distância entre ter os pilares e passar numa inspeção é o tema deste artigo. Cada secção cobre o que o pilar exige de facto, o modo de falha específico que os inspetores encontram com mais frequência e o aspeto que um programa funcional tem na prática.
Pilar Um: Políticas, Procedimentos e Controlos Internos
O requisito é que a instituição desenvolva políticas, procedimentos e controlos internos razoavelmente concebidos para assegurar o cumprimento do Bank Secrecy Act e impedir que a instituição seja usada para facilitar branqueamento de capitais ou financiamento do terrorismo.
Três palavras carregam o peso: razoavelmente concebidos. O critério não é se tem documentos. É se os documentos descrevem um sistema que funcionaria de forma plausível para o perfil de risco real da sua instituição.
O modo de falha: o modelo herdado
A deficiência mais comum é um manual de políticas adaptado de outra instituição e nunca tornado específico. O sinal é fácil de detetar: políticas que referem produtos que a empresa não oferece, limiares sem qualquer relação com os montantes reais das transações, vias de escalamento que nomeiam funções inexistentes, e uma metodologia de classificação de risco de clientes que nunca foi aplicada a um cliente real.
Os inspetores testam isto pedindo a um colaborador da linha da frente que descreva o que faz e comparando depois com o manual. A divergência é o achado.
O que funciona
As políticas devem derivar da avaliação de risco, e não ser escritas independentemente dela. Se a avaliação identificar investidores institucionais estrangeiros como categoria de risco elevado, as políticas devem especificar que diligência reforçada se aplica a essa categoria, quem a executa, que prova é exigida e quem aprova a aceitação.
Os procedimentos devem ser documentos operacionais que um novo colaborador consiga seguir. «Será conduzida diligência reforçada para clientes de risco elevado» é uma declaração de política. «Para clientes classificados como de risco elevado, obtenha os quatro elementos seguintes, escale para o Responsável BSA e documente a aprovação antes da abertura da conta» é um procedimento.
Os controlos devem ser testáveis. Um controlo que não pode ser verificado a posteriori é uma preferência.
Pilar Dois: Um Responsável de Compliance Designado
A instituição tem de designar uma pessoa responsável por coordenar e monitorizar o cumprimento diário do BSA.
O modo de falha: responsabilidade sem autoridade
O título é fácil de atribuir. A substância não. Os inspetores olham para saber se o Responsável BSA tem autoridade genuína para travar uma transação ou recusar um cliente, recursos e pessoal suficientes para o volume da instituição, acesso direto ao conselho ou órgão de governo de topo, e independência face às funções geradoras de receita.
A deficiência clássica é um Responsável BSA que reporta ao diretor comercial, ou que é simultaneamente diretor de operações, ou que detém o cargo como uma de seis responsabilidades. Quando a estrutura de incentivos torna dispendioso dizer não, a independência do responsável está comprometida, independentemente do organograma.
Uma segunda falha, mais subtil, é o responsável sobrecarregado. Uma instituição que quintuplicou a sua base de clientes enquanto a função de compliance manteve a mesma dimensão tem uma deficiência de recursos, e os inspetores tratam cada vez mais os recursos como questão de adequação do programa, e não como decisão de negócio.
O que funciona
Autoridade documentada, por escrito, aprovada pelo conselho. Uma linha de reporte clara que não passa por uma função de receita. Reporte regular e registado em ata ao conselho ou equivalente, cobrindo o estado do programa, volumes e tendências de comunicações de operações suspeitas, achados de testes e progresso da remediação. E dotação de pessoal que escale com o volume.
Pilar Três: Formação Contínua
O programa tem de prever formação contínua do pessoal adequado.
O modo de falha: a assiduidade como prova
A maioria das instituições consegue produzir um relatório de conclusão de formação. Muito menos conseguem provar que a formação era adequada à função, que cobria os riscos reais da instituição, que foi atualizada para refletir alterações regulatórias, ou que alguém reteve alguma coisa.
Formação AML anual genérica, entregue de forma idêntica a toda a gente, é o achado padrão. Quem abre contas, quem revê transações e quem aprova relações de risco elevado precisam de conteúdos materialmente diferentes.
O que funciona
Conteúdo diferenciado por função. O pessoal da linha da frente precisa de reconhecer sinais de alerta nas situações que efetivamente encontra e de saber exatamente como escalar. O pessoal de compliance precisa de técnica de investigação e de redação de narrativas de comunicação. A gestão de topo e o conselho precisam do suficiente para exercer supervisão, incluindo a sua própria exposição pessoal.
Frequência ligada à mudança. A formação anual é um mínimo. Quando uma regra muda (a Regra do Imobiliário Residencial, um novo programa de sanções, um requisito revisto de comunicação), deve seguir-se formação dirigida em semanas, e não no ciclo anual seguinte.
Avaliação, e não apenas assiduidade. Um teste curto que demonstre compreensão converte um registo de conclusão em prova de eficácia.
Documentação que perdure. Materiais usados, participantes, datas e resultados da avaliação, conservados para o ciclo de inspeção.
Pilar Quatro: Testes Independentes
O programa tem de ser testado de forma independente. Ao contrário de uma crença persistente, isso não exige um auditor externo. Exige independência face à função testada.
O modo de falha: testar os documentos em vez do sistema
Os testes independentes mais fracos confirmam que existem políticas, que foi designado um responsável de compliance e que houve formação. É um exercício de lista de verificação e não identifica nada.
Os testes eficazes amostram resultados reais. Extraem um conjunto de dossiês de clientes e verificam que a informação exigida foi recolhida, que a verificação foi executada, que as classificações de risco foram aplicadas de forma coerente e que a documentação sustenta as conclusões. Extraem um conjunto de alertas e verificam que as decisões foram fundamentadas e tempestivas. Testam se as comunicações que deveriam ter sido apresentadas o foram, e se as apresentadas estavam completas e dentro do prazo. Testam se o rastreio correu efetivamente contra listas atualizadas.
O segundo modo de falha é a independência comprometida. Testes conduzidos por quem reporta ao Responsável BSA, ou pelo consultor que escreveu as políticas testadas, não são independentes em substância, mesmo que a carta de contratação diga o contrário.
O que funciona
Âmbito e frequência baseados no risco. O anual é convencional; áreas de risco mais elevado podem justificar testes mais frequentes, e um teste de âmbito total deve ocorrer a intervalos definidos.
Amostragem ao nível da transação e do dossiê, com metodologia documentada, incluindo o modo como a amostra foi selecionada.
Achados com classificação de gravidade, responsáveis atribuídos e datas-alvo, acompanhados até ao encerramento. Um achado em aberto de há dois ciclos de inspeção é pior do que não haver testes, porque demonstra que a instituição identificou um problema e não o corrigiu.
Reporte diretamente ao conselho ou à comissão de auditoria, sem filtragem pela gestão.
Pilar Cinco: Diligência Devida Baseada no Risco
O quinto pilar, acrescentado pela Customer Due Diligence Rule da FinCEN, tem quatro componentes. É o pilar que a maioria das instituições executa pior, porque é o único que exige funcionamento contínuo em vez de atividade periódica.
Componente um: identificação do cliente
A instituição tem de obter nome, data de nascimento, morada e um número de identificação para cada cliente, e verificar a identidade por meios documentais ou não documentais suficientes para formar a convicção razoável de que conhece a verdadeira identidade do cliente.
A lacuna frequente é a qualidade da verificação. Recolher uma fotografia de uma carta de condução é recolha. Determinar se essa carta é autêntica (verificar elementos de segurança, validar o formato do documento, confirmar a coerência interna dos dados, associar a fotografia a uma captura ao vivo da pessoa) é verificação. Dado o volume de documentos de identidade fraudulentos gerados por IA hoje em circulação, a distinção deixou de ser académica.
Componente dois: titularidade efetiva
Para clientes que sejam pessoas coletivas, a instituição tem de identificar e verificar cada pessoa que detenha 25% ou mais do capital, além de uma pessoa com responsabilidade significativa pelo controlo ou gestão da entidade.
O modo de falha é aceitar um formulário de certificação sem questionamento. A regra permite confiar na informação prestada por quem abre a conta, mas confiar não é fechar os olhos. Quando a estrutura é complexa, quando a titularidade declarada não bate certo com outros documentos, ou quando as jurisdições envolvidas são de risco elevado, espera-se corroboração.
A ausência de um registo federal utilizável de titularidade efetiva para entidades norte-americanas nacionais, na sequência do estreitamento do reporte do Corporate Transparency Act em 2025, torna esta componente substancialmente mais difícil do que foi concebida para ser. O registo que deveria corroborar a informação de titularidade fornecida pelo cliente não abrange as entidades que mais importam.
Componente três: compreender a natureza e a finalidade
A instituição tem de compreender a natureza e a finalidade da relação com o cliente, de modo a desenvolver um perfil de risco.
É a componente mais frequentemente reduzida a um campo de seleção. Um perfil de risco com significado regista o que o cliente faz, porque está a usar esta instituição, que atividade se espera em termos de tipo, volume, frequência e contrapartes, e quais são os fatores de risco específicos. Sem uma referência de atividade esperada, a quarta componente é impossível.
Componente quatro: monitorização contínua
A instituição tem de realizar monitorização contínua para identificar e comunicar transações suspeitas e, numa base de risco, manter e atualizar a informação sobre o cliente.
Aqui residem duas obrigações. Monitorização de transações, detetando atividade incoerente com o perfil esperado. E atualidade da informação, refrescando os dados do cliente e da titularidade efetiva quando as circunstâncias mudam ou segundo um calendário baseado no risco.
A atualidade da informação é onde a maioria dos programas se degrada silenciosamente. Um cliente integrado há quatro anos cujo dossiê não foi tocado desde então é um dossiê que descreve um cliente que pode já não existir nessa forma. A titularidade muda. O controlo muda. As pessoas tornam-se politicamente expostas. Ocorrem designações de sanções. Um dossiê estático é um dossiê desatualizado.
O Que a AML Act Mudou
A Anti-Money Laundering Act de 2020 deslocou o enquadramento da conformidade técnica para a eficácia do programa. Espera-se que os programas sejam baseados no risco, razoavelmente concebidos para atingir eficácia, e que ponderem devidamente as Prioridades Nacionais AML/CFT publicadas pelo governo, que incluem corrupção, cibercrime, financiamento do terrorismo, fraude, organizações criminosas transnacionais, tráfico de droga, tráfico de seres humanos e financiamento da proliferação.
A implicação prática é que uma avaliação de risco documentada e atual está a tornar-se o artefacto fundacional do programa, e não um documento de suporte. Uma instituição que não consegue explicar porque os seus controlos estão calibrados como estão, por referência a riscos identificados, tem um problema que nenhuma quantidade de documentação de políticas resolverá.
Tornar os Pilares Operacionais
As instituições que passam as inspeções com à-vontade tendem a partilhar uma característica estrutural: os seus pilares estão ligados entre si, em vez de serem mantidos separadamente.
A avaliação de risco orienta as políticas. As políticas definem os procedimentos. Os procedimentos geram registos automaticamente à medida que o trabalho é executado, em vez de exigirem documentação separada. Os registos alimentam os testes independentes. Os achados dos testes atualizam a avaliação de risco e o programa de formação. O ciclo fecha.
As instituições que sofrem mantêm cada pilar como artefacto independente. Uma avaliação de risco escrita uma vez e arquivada. Políticas atualizadas quando o consultor é novamente contratado. Formação adquirida como produto. Testes com âmbito definido pelo que couber no orçamento. Diligência devida executada num sistema que não fala com nada disto.
A tecnologia importa aqui de uma forma específica. O valor não está em a automatização executar a verificação mais depressa, embora o faça. Está em um sistema bem desenhado produzir a prova como subproduto de fazer o trabalho. Cada verificação gera um registo datado. Cada rastreio de cada parte fica registado. Cada classificação de risco carrega os dados que a produziram. Cada estrutura de titularidade é guardada como dados que podem ser novamente rastreados quando as listas mudam.
Quando um inspetor pede prova de que um controlo funcionou, a resposta é uma consulta e não uma busca em pastas. Essa diferença — entre prova gerada e prova montada — é a diferença prática entre uma inspeção de duas semanas e uma de seis meses.
Conclusão: Os Pilares São o Mínimo
Os reguladores não dão crédito por se ter um programa. Avaliam se funciona.
A distinção manifesta-se de formas concretas e testáveis. As políticas descrevem o que as pessoas realmente fazem? O responsável de compliance tem autoridade para travar alguma coisa? A formação reflete os riscos que esta instituição efetivamente enfrenta? Os testes independentes amostram resultados em vez de confirmarem documentos? A informação sobre o cliente está atual, ou é uma fotografia do dia em que a conta foi aberta?
Cada uma destas perguntas tem uma resposta que está comprovada ou não. E as instituições que as conseguem comprovar são, quase invariavelmente, aquelas que construíram o programa como um sistema operativo ligado, e não como cinco artefactos de conformidade separados, mantidos para satisfazer cinco requisitos separados.
Os pilares são o mínimo. A eficácia é o critério.
Rodolfo Santos
Rodolfo Santos é advogado especializado em compliance imobiliário, com mais de 10 anos de experiência em transações transfronteiriças, e cofundador da VeriKYC, uma plataforma de conformidade assente em IA para profissionais do imobiliário. Fechou mais de 150 transações imobiliárias num valor superior a 50 milhões de euros.