Pontuação de risco do cliente

A pontuação de risco do cliente é o ponto em que a abordagem baseada em risco deixa de ser uma política e se transforma em uma decisão sobre uma pessoa ou empresa. Ela determina quem recebe diligência devida simplificada, padrão ou aprimorada, com que frequência um cadastro é revisado e quais limites de monitoramento se aplicam. Uma pontuação que ninguém consegue explicar, ou que classifica quase todos como de baixo risco, não atende às expectativas dos supervisores nem da empresa.

Da avaliação empresarial ao cliente

A avaliação de risco em toda a empresa (consulte a aula A abordagem baseada em risco) identifica os riscos da empresa por tipo de cliente, produto, região geográfica, canal e tecnologia. A classificação de risco do cliente aplica os mesmos fatores a cada relacionamento. A INR.10 agrupa os fatores de risco em três categorias: cliente; país ou região geográfica; e produto, serviço, transação ou canal de entrega. Uma empresa de criptoativos acrescenta uma quarta categoria que pode medir diretamente: o comportamento on-chain.

O resultado costuma ser uma faixa (baixo, médio, alto e, às vezes, proibido) que determina:

• o nível de diligência devida (consulte a aula Diligência devida aprimorada e simplificada);
• o ciclo de revisão periódica;
• os limites e limiares de monitoramento;
• quem deve aprovar o relacionamento.

Escolha de fatores e pesos

Os fatores desempenham duas funções diferentes. Fatores pontuados recebem, cada um, um valor — normalmente em uma escala de 1 a 5 — e um peso; os valores ponderados são somados. Fatores de sobreposição estabelecem um piso ou um teto, independentemente da soma: uma correspondência confirmada com uma lista de sanções torna o relacionamento proibido, e um PEP estrangeiro nunca pode ficar abaixo da faixa de alto risco. As sobreposições existem porque os modelos aditivos diluem os riscos: um fator grave, calculado junto com vários fatores benignos, pode resultar em uma faixa média aparentemente confortável.

Os pesos devem se basear na avaliação de risco empresarial e no julgamento de especialistas, ser documentados com suas justificativas e, depois, ser testados em relação aos resultados (consulte a seção de governança abaixo). O GAFI não prescreve uma fórmula. Ele espera que o método seja documentado, proporcional e aplicado de forma consistente.

Exemplo prático

A Sra. K, uma desenvolvedora de software autônoma fictícia, residente no País B, inscreve-se pelo aplicativo, passa pela verificação remota no nível de garantia padrão da empresa e declara depósitos esperados de cerca de US$ 20.000 por mês, provenientes de sua carteira autocustodiada existente e de sua conta bancária. Antes de ativar os depósitos em criptoativos, a empresa verifica os dois endereços dos quais ela diz que fará depósitos. Um deles apresenta 8% de exposição indireta a serviços de jogos de azar on-line, a quatro saltos de distância; nenhum dos dois tem exposição a sanções.

Com as faixas definidas como abaixo de 2,00 para baixo risco, de 2,00 a 3,20 para médio risco e acima de 3,20 para alto risco, a Sra. K fica na faixa de risco médio: diligência devida padrão, ciclo de revisão de dois a três anos e os limiares de monitoramento padrão da empresa.

Agora, altere um fato: o segundo endereço dela recebeu fundos diretamente de um mercado da darknet. A pontuação on-chain sobe para 5, e o total passa a 3,15, ainda na faixa média. Esse é exatamente o problema da diluição. A tabela de sobreposições da empresa determina que a exposição direta a um mercado da darknet ou a outro serviço ilícito acima de uma parcela definida dos fluxos de entrada eleva a classificação, no mínimo, para alto risco e exige diligência devida aprimorada sobre a origem dos fundos. É a sobreposição, e não a soma, que produz o resultado correto.

A empresa armazena a pontuação em um registro que qualquer pessoa pode decompor:

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "pessoa física, não é PEP, sem notícias desfavoráveis"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "residência classificada como risco médio"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "entrada de moeda fiduciária, saques para carteiras autocustodiadas"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "8% de exposição indireta a jogos de azar"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Cada fator contém seu peso, sua pontuação e uma justificativa em linguagem simples; a versão do modelo é fixada, e as sobreposições e os ajustes manuais têm campos próprios. Assim, um revisor consegue ver o que alterou a faixa e por quê.

Análise de blockchain na integração

Uma empresa de criptoativos pode testar a veracidade do relato de um cliente de uma forma que um banco raramente consegue: examinando as carteiras que o cliente informa. Usos práticos durante a integração:

• verificar os endereços declarados pelo cliente e todos os endereços que financiarem os primeiros depósitos, buscando exposição direta e indireta a categorias sancionadas, ilícitas e de alto risco;
• comparar a idade e o histórico da carteira com a origem dos fundos declarada: uma carteira que supostamente “mantém fundos desde 2017”, mas que recebeu seu primeiro financiamento no mês passado, precisa de uma explicação;
• incorporar o resultado ao fator on-chain e à tabela de sobreposições, em vez de usá-lo diretamente para rejeitar automaticamente o cliente.

Uma tabela de decisão simples ajuda os analistas a manter a consistência:

Pequenas exposições indiretas são comuns, porque a maioria dos fundos ativos passa perto de algo arriscado em poucos saltos, e as classificações das ferramentas de análise podem estar erradas ou desatualizadas. A aula Análise de blockchain para conformidade aborda as medidas de exposição e suas limitações; o curso IDFE-BA aborda em profundidade o agrupamento e a atribuição. A comprovação de que o cliente controla um endereço declarado é abordada na aula Carteiras não hospedadas e transferências autocustodiadas.

Pontuações na integração e contínuas

A pontuação de integração se baseia, em grande parte, no que o cliente declara. Depois que a conta é ativada, a empresa observa o que o cliente realmente faz; por isso, a pontuação contínua deve substituir os valores declarados por valores observados: volumes reais em comparação com os esperados, contrapartes e exposição efetivas, histórico de alertas e mudanças de região geográfica ou de dispositivos. Muitas empresas tratam a pontuação de integração como provisória e recalculam automaticamente a pontuação após os primeiros 30 a 90 dias de atividade.

As revisões seguem dois cronogramas:

• Revisão periódica, com frequência definida pela faixa — por exemplo, anualmente para alto risco e a cada poucos anos para baixo risco; a empresa define e justifica o ciclo.
• Revisão baseada em eventos, sempre que um evento indicar que o risco pode ter mudado: um alerta relevante, uma correspondência com uma lista de sanções ou de PEPs, notícias desfavoráveis, mudança de titularidade ou residência, uso de um novo produto de risco mais elevado ou reativação de uma conta inativa.

Uma pontuação que só muda conforme o calendário não detecta os eventos mais importantes.

Calibração, governança e explicabilidade

Um modelo de pontuação é um modelo e precisa dos controles necessários a qualquer modelo.

• Calibração: verificar a distribuição entre as faixas (se 97% dos clientes estiverem na faixa de baixo risco, provavelmente o modelo não consegue distingui-los adequadamente) e realizar testes retrospectivos com base em resultados, como comunicações de operações suspeitas enviadas, contas encerradas e fraudes confirmadas. Se a maioria desses clientes tiver sido classificada como de baixo risco, os pesos ou fatores estão errados.
• Teste de sensibilidade: alterar cada peso dentro de uma faixa razoável e verificar quantos clientes mudam de faixa. Grandes oscilações causadas por pequenas alterações indicam que as faixas estão mal definidas.
• Qualidade dos dados: a ausência de ocupação, país ou volume esperado nunca deve resultar automaticamente na pontuação mais baixa. Trate os valores ausentes como de maior risco ou impeça a integração até que sejam preenchidos, e informe a proporção de pontuações calculadas com dados incompletos.
• Governança: designar um responsável pelo modelo, documentar a metodologia, controlar as versões, obter aprovação das mudanças pela alta administração ou pelo comitê de conformidade e realizar validações independentes periódicas por uma função que não tenha desenvolvido o modelo.
• Sobreposições: as alterações manuais precisam de um código de justificativa e de um aprovador; as reduções de classificação precisam da aprovação de alguém mais sênior do que a exigida para as elevações. As taxas de sobreposição por analista e equipe devem ser monitoradas.
• Explicabilidade: cada pontuação deve apresentar a decomposição das contribuições dos fatores de forma compreensível para um revisor. Se forem usados modelos de aprendizado de máquina, a empresa ainda deve conseguir mostrar quais características determinaram cada resultado, pois nem um examinador nem uma reclamação de cliente aceitarão “o modelo disse”.

Foco no exame: as categorias de fatores de risco da INR.10 e o fator on-chain que uma empresa de criptoativos pode acrescentar; fatores pontuados versus fatores de sobreposição e por que os modelos aditivos diluem riscos graves; cálculo de uma pontuação ponderada e de uma faixa com base em um exemplo prático; uso da verificação de carteiras na integração como fator, em vez de como motivo para rejeição automática; pontuações provisórias de integração e pontuações contínuas baseadas em dados observados; revisão periódica versus revisão baseada em eventos; calibração, testes retrospectivos e testes de sensibilidade; governança das sobreposições e explicabilidade de cada pontuação.