Estruturando a função de compliance

Um programa de compliance só é tão forte quanto a função que o conduz. Quando os supervisores examinam uma empresa de criptoativos, eles verificam primeiro quem é responsável pelo risco de crimes financeiros, se essa pessoa pode dizer não à empresa e se a equipe dispõe das pessoas, ferramentas e do orçamento necessários para seu perfil de risco. Esta aula mostra como estruturar essa função e como comprovar que ela funciona.

O que a norma exige

A Recomendação 18 do GAFI exige que as entidades obrigadas mantenham programas de combate à lavagem de dinheiro e ao financiamento do terrorismo. Sua Nota Interpretativa lista o conteúdo mínimo: políticas, procedimentos e controles internos com mecanismos adequados de gestão de compliance, procedimentos de triagem ao contratar funcionários, um programa contínuo de treinamento e uma função de auditoria independente para testar o sistema. Os mecanismos de gestão de compliance “devem incluir a nomeação de um responsável por compliance em nível gerencial”. A Nota Interpretativa da Recomendação 15 aplica essas medidas preventivas aos VASPs.

Dois princípios orientam todas as decisões de estruturação:

• Proporcionalidade. A Nota Interpretativa da Recomendação 18 afirma que o tipo e a extensão das medidas devem corresponder ao risco e ao porte da empresa. Um exchange com 20 pessoas e uma plataforma global com milhões de usuários precisam de um responsável por compliance, mas não da mesma estrutura.
• Responsabilização da alta administração. O conselho define o apetite ao risco e continua responsável; a alta administração implementa; a função de compliance assessora, monitora e questiona. As diretrizes do Comitê de Basileia Sound management of risks related to money laundering and financing of terrorism (publicadas pela primeira vez em 2014, revisadas pela última vez em julho de 2020) descrevem a mesma estrutura para bancos, com um diretor de AML/CFT na segunda linha.

Os elementos essenciais e o modelo das três linhas são abordados na aula Elementos essenciais de um programa de AML/CFT. Esta aula os transforma em um organograma, um quadro de pessoal e um orçamento.

Estrutura organizacional

A maioria das empresas de criptoativos agrupa o trabalho relacionado a crimes financeiros em algumas equipes. Quais equipes ficam na primeira linha (negócios e operações) e quais ficam na segunda (compliance) varia entre as empresas, mas essa divisão deve ser documentada e conhecida pelos funcionários.

Uma empresa que atua em vários países escolhe entre três modelos. No modelo centralizado, uma equipe atende a todos os mercados. No modelo de hub e ramificações, uma equipe central define padrões e opera serviços compartilhados, com responsáveis locais por compliance onde as licenças ou as obrigações locais de comunicação assim exigirem. No modelo federado, cada entidade jurídica opera seu próprio programa. O modelo de hub e ramificações é o mais comum entre os VASPs: ferramentas e análises on-chain podem ser centralizadas em escala, enquanto alguns regimes exigem um responsável local e comunicações locais.

Independência e linhas de reporte

A independência é avaliada na prática, não pelo cargo. Estas são as evidências que um supervisor procura:

• uma linha direta de reporte do responsável por compliance ao conselho ou a um de seus comitês, e não apenas por meio do diretor-executivo ou do responsável por uma área de receita;
• o direito de levar questões ao conselho sem autorização e acesso irrestrito a dados, sistemas e funcionários;
• ausência de responsabilidades em áreas de negócio: um responsável por compliance que também gerencia operações ou crescimento acaba analisando as próprias decisões;
• remuneração não vinculada à receita, ao volume de negociação ou ao número de integrações de clientes;
• nomeação e destituição decididas ou aprovadas pelo conselho;
• proteção da decisão de comunicação: ninguém pode instruir o responsável por compliance a não apresentar uma comunicação de operação suspeita.

Empresas pequenas frequentemente acumulam funções. Combinar compliance com gestão de riscos ou com a área jurídica pode ser aceitável se os conflitos forem documentados e gerenciados. Combiná-lo com auditoria interna não é aceitável, porque o auditor estaria testando o próprio trabalho.

A função de responsável por compliance e MLRO

Alguns regimes separam o responsável por compliance, que é responsável pelo programa, do responsável por comunicações de lavagem de dinheiro (MLRO), que é responsável pelas decisões de comunicação. Muitas empresas atribuem ambas as funções à mesma pessoa. Em qualquer caso, a função inclui:

1. ser responsável pelas políticas de AML/CFT e de sanções e pela avaliação de risco de toda a empresa;
2. decidir se comunicações internas de suspeitas serão apresentadas à unidade de inteligência financeira;
3. atuar como ponto de contato para o supervisor e a unidade de inteligência financeira;
4. supervisionar os controles de monitoramento, triagem e Travel Rule, incluindo as partes terceirizadas;
5. reportar-se ao conselho pelo menos uma vez por ano e prontamente sobre questões relevantes;
6. aprovar novos produtos, tokens, redes e mercados do ponto de vista dos crimes financeiros.

Nomeie um substituto treinado para que as comunicações continuem durante ausências. Muitos regimes submetem a função a uma aprovação de idoneidade e qualificação, e o responsável pode estar sujeito a responsabilidade pessoal (consulte a aula Supervisão, exames e medidas de fiscalização).

Equipe, competências e orçamento

O número de funcionários deve ser calculado com base na carga de trabalho e no risco e, em seguida, documentado para que o conselho possa ver o que está aprovando. Exemplo de cálculo para o monitoramento de transações:

• 6.000 alertas por mês, com uma análise de nível 1 que leva, em média, 20 minutos: 6.000 × 20 = 120.000 minutos, ou 2.000 horas.
• 15% são escalonados (900 casos), e uma investigação de nível 2 leva 90 minutos: 900 × 90 = 81.000 minutos, ou 1.350 horas.
• Um analista tem cerca de 120 horas produtivas por mês, após descontar treinamento, reuniões e férias.
• O nível 1 precisa de 2.000 ÷ 120 = 16,7 ETC e o nível 2 precisa de 1.350 ÷ 120 = 11,3 ETC. Acrescentando 10% para controle de qualidade, são necessários cerca de 31 ETC.

Repita o cálculo para as filas de integração, triagem e Travel Rule e refaça-o quando os volumes, produtos ou mercados mudarem. As competências são tão importantes quanto o número de pessoas. Uma equipe de compliance de criptoativos precisa de investigadores on-chain (o curso IDFE-BA aborda seus métodos), analistas de dados capazes de consultar dados de monitoramento, especialistas em sanções e pessoas que entendam os produtos da empresa. Mantenha uma matriz de competências da equipe, planeje como lidar com o risco associado a pessoas-chave em competências especializadas, como o rastreamento entre bridges, e reserve orçamento para a formação contínua da própria equipe.

O orçamento cobre pessoas, tecnologia, dados, treinamento, testes independentes e uma reserva para aumentos repentinos da demanda, como uma alta do mercado ou um grande ataque hacker. Quando o conselho recusa uma solicitação, a ata deve registrar a decisão e o risco residual aceito. Um supervisor perguntará sobre isso.

Terceirização

As empresas terceirizam verificações de documentos, análise de alertas de nível 1, operações de triagem, mensagens da Travel Rule e, às vezes, trabalhos de auditoria interna. A responsabilidade continua sendo da empresa. Isso difere da confiança prevista na Recomendação 17, quando uma empresa se apoia na diligência devida relativa ao cliente (CDD) realizada por outra entidade regulada: a Nota Interpretativa da Recomendação 17 declara que ela não se aplica a relações de terceirização ou de agência, nas quais o prestador atua em nome da empresa.

Nunca terceirize a decisão de apresentar uma comunicação, o apetite ao risco ou a responsabilidade pela avaliação de risco. Para tudo o mais, um arranjo sólido inclui diligência devida em relação ao prestador; um contrato com níveis de serviço, direitos de auditoria e de acesso a dados, termos de proteção de dados, limites à subcontratação e um plano de saída; além de supervisão contínua por meio de amostras de qualidade e indicadores-chave. Arranjos intragrupo também contam: quando uma empresa de serviços do grupo opera o monitoramento para várias entidades licenciadas, cada entidade precisa de um contrato por escrito, de sua própria supervisão e de acesso do responsável local aos arquivos dos casos pelos quais responde. As referências internacionais incluem o guia da FSB Enhancing Third-Party Risk Management and Oversight (dezembro de 2023), os Principles on Outsourcing da IOSCO (outubro de 2021) e os Principles for the sound management of third-party risk do Comitê de Basileia (dezembro de 2025).

Relatórios ao conselho

O conselho precisa de informações que lhe permitam avaliar se o risco está dentro do apetite definido. Um relatório trimestral útil abrange:

O relatório anual do responsável por compliance acrescenta a avaliação de risco atualizada e uma opinião sobre a eficácia do programa. As atas do conselho devem registrar as perguntas feitas e as decisões tomadas, não apenas que o assunto foi “anotado”.

Foco no exame: o que a Nota Interpretativa da Recomendação 18 exige (mecanismos de compliance, um responsável por compliance em nível gerencial, triagem de contratações, treinamento, auditoria independente) e seu princípio de proporcionalidade; os modelos centralizado, de hub e ramificações e federado; as evidências de independência (linha direta com o conselho, ausência de funções em áreas de negócio, remuneração, proteção da decisão de comunicação) e por que compliance não pode ser combinado com auditoria interna; as atribuições do responsável por compliance e do MLRO; o dimensionamento de uma equipe com base no volume de alertas e no tempo de tratamento; por que a terceirização nunca transfere a responsabilidade e como ela difere da confiança prevista na Recomendação 17; o que deve constar nos relatórios ao conselho.