Padrões globais de AML/CFT e marcos regulatórios · Aula 5 de 5
Supervisão, inspeções e medidas de fiscalização
9 min de leitura
O programa de AML/CFT de um VASP é, em última análise, avaliado por seu supervisor e, nos casos mais graves, pelos promotores. Saber como os supervisores escolhem quem inspecionar, o que solicitam e quais falhas levaram às maiores penalidades públicas permite que um responsável por compliance prepare evidências antes que elas sejam exigidas e corrija deficiências antes que se tornem constatações.
Supervisão baseada em risco
O parágrafo 5 da INR.15 exige que os VASPs sejam supervisionados por uma autoridade competente com poderes para inspecionar, exigir informações e aplicar sanções. A Orientação do FATF sobre Supervisão Baseada em Risco (4 de março de 2021) explica como: os supervisores devem compreender os riscos de cada setor e de cada empresa, alocar seus recursos aos riscos mais elevados, escolher as ferramentas adequadas e atualizar sua avaliação à medida que os riscos mudam. Desde a revisão da R.1 de fevereiro de 2025, os supervisores também devem levar em conta as medidas mitigadoras já aplicadas pelas empresas, para que as empresas de menor risco não sejam supervisionadas em excesso.
Na prática, um supervisor avalia cada VASP quanto ao risco inerente (base de clientes, produtos, volumes, exposição a serviços e países de alto risco) e à qualidade de seus controles, muitas vezes com base em declarações de dados e inspeções anteriores. A combinação determina a frequência e a profundidade do exame da empresa.
| Ferramenta | O que é | Quando é usada |
|---|---|---|
| Declaração periódica de dados | Dados padronizados enviados por cada empresa | Sempre; alimenta o modelo de risco |
| Análise documental | Análise de documentos e dados sem visita | Empresas de menor risco, acompanhamento de constatações |
| Inspeção de escopo completo | Análise presencial de todo o programa | Empresas de maior risco, de forma periódica |
| Análise temática | Um tema analisado em várias empresas (por exemplo, a Travel Rule ou o processo de integração de clientes) | Preocupações em todo o setor |
| Inspeção direcionada | Um assunto em uma empresa | Após uma reclamação, um incidente ou uma notícia na mídia |
| Análises próprias do supervisor | Análises de blockchain e transações de teste realizadas pelo supervisor | Para verificar dados de exposição ou detectar atividade sem licença |
O FATF publicou as Melhores práticas para a supervisão da Travel Rule em junho de 2025, uma referência útil sobre o que os supervisores provavelmente testarão no processo de Travel Rule de um VASP.
Solicitações de dados e declarações regulatórias
As declarações regulatórias comparam as empresas entre si e com seus próprios dados anteriores; por isso, uma mudança sem explicação suscita perguntas. Uma declaração simplificada poderia conter:
{
"reporting_period": "2026-H1",
"customers_active": 412300,
"customers_by_risk": { "low": 301200, "medium": 98400, "high": 12700 },
"deposits_value_usd": 2850000000,
"share_inflows_high_risk_services": 0.012,
"travel_rule_transfers_out": 186500,
"travel_rule_missing_data_rate": 0.031,
"monitoring_alerts_closed": 25840,
"suspicious_reports_filed": 642,
"sanctions_freezes": 3,
"compliance_staff_fte": 38
}Cada dado deve vir de uma consulta documentada e corresponder ao que a administração informa ao conselho. Um supervisor que veja 642 relatórios para 25.840 alertas encerrados perguntará quantos alertas foram escalados e por que os demais foram encerrados; quem observar uma taxa de dados ausentes de 3,1% nas transferências sujeitas à Travel Rule perguntará o que aconteceu com essas transferências. Se a empresa não conseguir reproduzir um número, a própria declaração se torna uma constatação.
A inspeção
Uma inspeção presencial ou remota geralmente segue as mesmas etapas:
- Notificação e solicitação de documentos: políticas, avaliação de risco, atas do conselho, organogramas, informações gerenciais, relatórios de auditoria, extrações de dados.
- Entrevistas e demonstrações dos processos: membros do conselho, o responsável por compliance e as equipes de operações, produto e tecnologia explicam como um processo funciona na prática.
- Testes de amostras: arquivos de clientes, alertas, relatórios, mensagens da Travel Rule e correspondências com listas de sanções, selecionados pelos examinadores.
- Testes de sistemas: configuração de triagem, registros de atualização de listas, inventário de regras de monitoramento e registros de ajuste.
- Carta de constatações e resposta: a empresa responde a cada constatação com um plano de correção, responsáveis e datas.
| O que os examinadores solicitam | Evidências que os satisfazem |
|---|---|
| A avaliação de risco da empresa como um todo | Documento datado e aprovado pelo conselho, vinculado a controles específicos e atualizado após o lançamento de novos produtos |
| Uma amostra de arquivos de clientes de alto risco | Identidade verificada, evidências da origem dos recursos, aprovação pelo nível adequado, revisões realizadas nas datas previstas |
| Cobertura do monitoramento | Inventário de regras mapeado para tipologias, com registros de ajustes e testes de itens abaixo do limiar |
| Decisões sobre alertas | Justificativa por escrito para cada encerramento e resultados de garantia da qualidade |
| Decisões sobre comunicação de operações suspeitas | Registro de decisões que inclua as decisões de não comunicar, com os motivos |
| Controles de sanções | Configurações de triagem, registros de data e hora das atualizações de listas, evidências de bloqueio por geolocalização |
| Governança | Atas do conselho que demonstrem questionamentos, informações gerenciais e decisões sobre recursos |
O princípio é simples: um controle sem evidências será tratado como um controle inexistente.
Constatações recorrentes em ações públicas de fiscalização
Casos públicos contra empresas de criptoativos em muitas regiões mostram repetidamente as mesmas falhas. Elas são descritas aqui pelo que falhou e pelo tipo de consequência, não pela lei aplicável.
| Falha | Exemplos públicos | Consequência | Controle que a previne |
|---|---|---|---|
| Ausência ou fragilidade de KYC | Estados Unidos, início de 2025: duas exchanges permitiram que clientes de varejo negociassem por anos sem verificações de identidade. Coreia do Sul, 2025: a maior exchange nacional teve centenas de milhares de falhas de verificação e dezenas de milhares de transferências com provedores estrangeiros não registrados | Declarações de culpa, penalidades e, para uma exchange, saída do mercado por dois anos; proibição de três meses de permitir que novos clientes movimentassem criptoativos para dentro ou para fora, e medidas disciplinares contra executivos | Verificação antes de qualquer depósito ou negociação; correção de contas antigas; verificações de contrapartes |
| Falha silenciosa do monitoramento | Irlanda, 2025: erros de configuração deixaram cerca de um terço das transações de uma empresa sem monitoramento por cerca de um ano; a regularização do acúmulo resultou em milhares de comunicações atrasadas | Multa e reprimenda | Reconciliações de completude e testes após cada alteração de regra |
| Relatórios nunca apresentados | Estados Unidos, 2025: uma exchange admitiu que nunca havia apresentado relatórios de atividade suspeita em um mercado onde atendia cerca de 1,5 milhão de usuários | Declaração de culpa e saída do mercado | Uma decisão de comunicação para cada caso escalado |
| Descumprimento de restrição imposta pelo supervisor | Reino Unido, 2024: uma empresa que havia concordado em não aceitar clientes de alto risco aceitou mais de 13.000 deles | Multa | Controles para cada condição imposta pelo supervisor, testados antes da entrada em operação |
| Política apenas no papel | Estados Unidos, 2023: a política de uma exchange proibia clientes de um país enquanto seus funcionários os procuravam | Parte de um acordo em processo criminal | Testar se os controles funcionam, inclusive os incentivos de vendas |
| Violações de sanções | Lituânia, 2024, e vários casos nos EUA (ver Como executar um programa de compliance de sanções) | Multas, monitores | Triagem por geolocalização e de carteiras |
| Compliance que não acompanha o crescimento | Japão, 2018: após um grande roubo, inspeções constataram que os controles internos das exchanges, inclusive os de AML/CFT, estavam muito aquém de seu crescimento | Ordens para melhorar as operações; suspensões de um mês para duas exchanges | Limites de apetite a risco vinculados à capacidade de compliance |
A atividade sem licença costuma ser a primeira acusação por ser a mais fácil de comprovar, mas as consequências aumentam com as falhas de AML que a acompanham.
Medidas de fiscalização e correção
Os supervisores dispõem de uma escala de medidas, aplicadas de acordo com a gravidade da falha e a resposta da empresa: constatações com prazos, ordens formais de correção, restrições a novos clientes ou produtos, multas, suspensão ou revogação da licença e, em casos criminais, processo contra a empresa e pessoas físicas.
Um programa de correção confiável tem cinco partes:
- Análise da causa raiz: por que o controle falhou (concepção, recursos, dados, cultura), e não apenas o que falhou.
- Um plano com responsáveis, marcos e supervisão do conselho, comunicado ao supervisor.
- Uma análise retrospectiva: reexaminar clientes ou transações anteriores referentes ao período da falha, o que muitas vezes resulta em comunicações de operações suspeitas atrasadas e decisões de encerramento de relacionamento.
- Validação independente: auditoria interna ou avaliador externo testa se cada correção funciona antes de encerrá-la.
- Sustentabilidade: a correção passa a fazer parte dos testes regulares (ver Treinamento, cultura e testes independentes).
Nos casos de maior gravidade, as autoridades impõem um monitor independente, especialista externo que atua dentro da empresa por vários anos, testa o programa e comunica os resultados à autoridade, como no acordo de 2023 nos EUA com a maior exchange do mundo. Uma medida menos rigorosa é uma auditoria externa determinada por ordem: em 2025, o supervisor da Austrália exigiu uma auditoria desse tipo na unidade local de uma grande exchange, citando alta rotatividade de funcionários e supervisão local limitada por parte da alta administração. Outras empresas contratam um consultor de compliance por iniciativa própria para demonstrar boa-fé.
Responsabilização pessoal
O parágrafo 6 da INR.15 exige que as sanções também se apliquem a diretores e à alta administração, e não apenas à empresa, e os casos públicos demonstram isso na prática. Nos Estados Unidos, o fundador e diretor-executivo da maior exchange declarou-se culpado em 2023 por não manter um programa eficaz de AML; os fundadores de uma exchange de derivativos declararam-se culpados pela mesma falha em 2022 e pagaram multas pessoais; e os fundadores de outra exchange abriram mão de recursos pessoais e deixaram sua administração em 2025. Na Coreia do Sul, em 2025, o diretor-executivo da maior exchange nacional recebeu uma advertência formal, e os responsáveis por compliance e comunicação enfrentaram medidas de demissão.
Para o responsável por compliance, a proteção está nos registros. Escale deficiências significativas por escrito, peça que as decisões constem em ata, registre sua discordância quando o conselho aceitar um risco contra sua recomendação e mantenha evidências de que foram solicitados recursos. Um supervisor distingue entre um responsável por compliance que alertou e foi contrariado e outro que nada disse.
Foco no exame: o significado de supervisão baseada em risco (Orientação do FATF de março de 2021; risco inerente e qualidade dos controles determinam frequência e profundidade) e as ferramentas usadas pelos supervisores; por que as declarações de dados precisam ser reproduzíveis e reconciliadas com as informações reportadas ao conselho; as etapas de uma inspeção e as evidências que satisfazem os examinadores; as falhas recorrentes em ações públicas de fiscalização em muitas regiões (KYC fraco, falhas silenciosas de monitoramento, relatórios não apresentados, descumprimento de condições impostas pelo supervisor, políticas apenas no papel, violações de sanções, compliance que não acompanha o crescimento); a escala de medidas de fiscalização e a variedade de consequências; as cinco partes de um programa de correção, as análises retrospectivas e os monitores independentes; a responsabilização pessoal de diretores e da alta administração nos termos da INR.15 e como um responsável por compliance pode se proteger.