Estruturação da função de compliance

Um programa de compliance só é tão sólido quanto a função que o executa. Quando os supervisores examinam uma empresa de criptoativos, observam primeiro quem responde pelo risco de crimes financeiros, se essa pessoa pode dizer não às áreas de negócios e se a equipe dispõe das pessoas, ferramentas e orçamento exigidos pelo perfil de risco. Esta aula mostra como estruturar essa função e como comprovar que ela funciona.

O que a norma exige

A Recomendação 18 do FATF exige que as entidades obrigadas mantenham programas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Sua Nota Interpretativa lista o conteúdo mínimo: políticas, procedimentos e controles internos com mecanismos adequados de gestão de compliance, procedimentos de verificação na contratação de funcionários, um programa de treinamento contínuo e uma função de auditoria independente para testar o sistema. Os mecanismos de gestão de compliance "devem incluir a nomeação de um responsável por compliance em nível gerencial". A Nota Interpretativa da Recomendação 15 aplica essas medidas preventivas aos VASPs.

Dois princípios permeiam todas as escolhas de estruturação:

• Proporcionalidade. A Nota Interpretativa da Recomendação 18 estabelece que o tipo e a abrangência das medidas devem corresponder ao risco e ao porte da empresa. Uma exchange com 20 pessoas e uma plataforma global com milhões de usuários precisam de um responsável por compliance, mas não da mesma estrutura.
• Responsabilização da alta administração. O conselho de administração define o apetite a risco e permanece responsável; a alta gestão implementa; a função de compliance orienta, monitora e questiona. As diretrizes do Comitê de Basileia Gestão sólida dos riscos relacionados à lavagem de dinheiro e ao financiamento do terrorismo (publicadas inicialmente em 2014, com última revisão em julho de 2020) descrevem o mesmo arranjo para bancos, com um diretor de PLD/FT na segunda linha.

Os elementos centrais e o modelo das três linhas são abordados na aula Elementos centrais de um programa de PLD/FT. Esta aula os transforma em um organograma, um quadro de pessoal e um orçamento.

Estrutura organizacional

A maioria das empresas de criptoativos concentra o trabalho de prevenção a crimes financeiros em algumas equipes. Quais delas ficam na primeira linha (negócios e operações) e quais ficam na segunda (compliance) varia entre as empresas, mas essa divisão deve ser documentada e conhecida pelos funcionários.

Uma empresa que atua em vários países escolhe entre três modelos. No modelo centralizado, uma equipe atende a todos os mercados. No modelo hub-and-spoke, uma equipe central define padrões e executa serviços compartilhados, com responsáveis locais por compliance onde as licenças ou as exigências locais de comunicação os exigem. No modelo federado, cada pessoa jurídica executa seu próprio programa. O modelo hub-and-spoke é o mais comum para VASPs: ferramentas e análises on-chain ganham escala de forma centralizada, enquanto alguns regimes exigem um responsável sediado localmente e o envio local de comunicações.

Independência e linhas de reporte

A independência é testada na prática, não pelo cargo. As evidências que um supervisor procura são:

• uma linha de reporte direta do responsável por compliance ao conselho de administração ou a um de seus comitês, não apenas por meio do diretor-presidente ou do gestor de uma área geradora de receita;
• o direito de levar questões ao conselho de administração sem autorização e acesso irrestrito a dados, sistemas e funcionários;
• ausência de responsabilidades em áreas de negócios: um responsável por compliance que também dirige operações ou crescimento acaba analisando as próprias decisões;
• remuneração não vinculada à receita, ao volume de negociação ou ao número de cadastramentos;
• nomeação e destituição decididas ou aprovadas pelo conselho de administração;
• proteção da decisão de comunicar: ninguém pode instruir o responsável por compliance a não enviar uma comunicação de operação suspeita.

Empresas pequenas frequentemente acumulam funções. Combinar compliance com gestão de riscos ou com a área jurídica pode ser aceitável se os conflitos forem documentados e gerenciados. Combiná-lo com auditoria interna não é aceitável, pois o auditor estaria testando o próprio trabalho.

O responsável por compliance e a função de MLRO

Alguns regimes distinguem o responsável por compliance, que responde pelo programa, do responsável pelas comunicações de lavagem de dinheiro (MLRO), que responde pelas decisões de comunicação. Muitas empresas atribuem ambas as funções a uma única pessoa. Em qualquer caso, a função inclui:

1. responder pelas políticas de PLD/FT e sanções e pela avaliação de riscos de toda a empresa;
2. decidir se os relatos internos de suspeita serão comunicados à unidade de inteligência financeira;
3. atuar como ponto de contato com o supervisor e a unidade de inteligência financeira;
4. supervisionar os controles de monitoramento, triagem e Travel Rule, inclusive as partes terceirizadas;
5. reportar ao conselho de administração pelo menos anualmente e prontamente sobre questões relevantes;
6. aprovar novos produtos, tokens, blockchains e mercados sob a perspectiva de crimes financeiros.

Nomeie um substituto capacitado para que as comunicações continuem durante as ausências. Muitos regimes sujeitam a função à aprovação de idoneidade e capacidade, e o responsável pode estar sujeito à responsabilização pessoal (veja a aula Supervisão, inspeções e medidas de aplicação da lei).

Quadro de pessoal, competências e orçamento

O dimensionamento do quadro de pessoal deve ser derivado da carga de trabalho e do risco e, então, documentado para que o conselho de administração possa entender o que está aprovando. Um exemplo de cálculo para monitoramento de transações:

• 6.000 alertas por mês, com análise de nível 1 levando em média 20 minutos: 6.000 × 20 = 120.000 minutos, ou 2.000 horas.
• 15% são encaminhados ao nível seguinte (900 casos), e a investigação de nível 2 leva 90 minutos: 900 × 90 = 81.000 minutos, ou 1.350 horas.
• Um analista tem cerca de 120 horas produtivas por mês após descontar treinamentos, reuniões e afastamentos.
• O nível 1 precisa de 2.000 ÷ 120 = 16,7 FTE e o nível 2 precisa de 1.350 ÷ 120 = 11,3 FTE. A adição de 10% para garantia da qualidade resulta em cerca de 31 FTE.

Repita o cálculo para as filas de cadastramento, triagem e Travel Rule e refaça-o quando os volumes, produtos ou mercados mudarem. As competências importam tanto quanto os números. Uma equipe de compliance de criptoativos precisa de investigadores on-chain (o curso IDFE-CF aborda seus métodos), analistas de dados capazes de consultar dados de monitoramento, especialistas em sanções e pessoas que entendam os produtos da empresa. Mantenha uma matriz de competências da equipe, planeje a gestão do risco de dependência de pessoas-chave em competências especializadas, como rastreamento entre pontes, e preveja orçamento para a educação continuada da própria equipe.

O orçamento abrange pessoas, tecnologia, dados, treinamento, testes independentes e uma reserva para picos de demanda, como uma alta do mercado ou um grande ataque hacker. Quando o conselho de administração recusar uma solicitação, a ata deve registrar a decisão e o risco residual aceito. Um supervisor perguntará a respeito.

Terceirização

As empresas terceirizam verificações de documentos, análise de alertas de nível 1, operações de triagem, troca de mensagens da Travel Rule e, às vezes, trabalhos de auditoria interna. A responsabilidade permanece com a empresa. Isso difere do recurso a terceiros previsto na Recomendação 17, em que uma empresa se apoia na CDD realizada por outra entidade regulada: a Nota Interpretativa da Recomendação 17 estabelece que ela não se aplica à terceirização nem às relações de representação, nas quais o prestador atua em nome da empresa.

Nunca terceirize a decisão de enviar uma comunicação, o apetite a risco ou a responsabilidade pela avaliação de riscos. Para todo o restante, um arranjo sólido inclui diligência devida sobre o prestador; um contrato com níveis de serviço, direitos de auditoria e de acesso a dados, cláusulas de proteção de dados, limites à subcontratação e um plano de saída; e supervisão contínua por meio de amostras de qualidade e indicadores-chave. Os arranjos intragrupo também contam: quando uma empresa de serviços do grupo executa o monitoramento para várias entidades licenciadas, cada entidade precisa de um acordo escrito, de sua própria supervisão e de acesso, para seu responsável local, aos dossiês dos casos pelos quais responde. As referências internacionais incluem o conjunto de ferramentas do FSB Aprimoramento da gestão e da supervisão de riscos de terceiros (dezembro de 2023), os Princípios sobre terceirização da IOSCO (outubro de 2021) e os Princípios para a gestão sólida do risco de terceiros do Comitê de Basileia (dezembro de 2025).

Reporte ao conselho de administração

O conselho de administração precisa de informações que lhe permitam avaliar se o risco está dentro do apetite definido. Um conjunto útil de relatórios trimestrais abrange:

O relatório anual do responsável por compliance acrescenta a avaliação de riscos atualizada e uma opinião sobre a eficácia do programa. As atas do conselho de administração devem registrar as perguntas feitas e as decisões tomadas, não apenas "tomado conhecimento".

Foco no exame: o que a Nota Interpretativa da Recomendação 18 exige (mecanismos de compliance, um responsável por compliance em nível gerencial, verificação na contratação, treinamento, auditoria independente) e seu princípio de proporcionalidade; modelos centralizado, hub-and-spoke e federado; as evidências de independência (linha direta com o conselho de administração, ausência de atribuições em áreas de negócios, remuneração, proteção da decisão de comunicar) e por que compliance não pode ser combinado com auditoria interna; as atribuições do responsável por compliance e do MLRO; dimensionamento de uma equipe com base no volume de alertas e nos tempos de tratamento; por que a terceirização nunca transfere a responsabilidade e como ela difere do recurso a terceiros previsto na Recomendação 17; o que deve constar no reporte ao conselho de administração.