Due diligence do cliente e pontuação de risco · Aula 4 de 5
Diligência aprimorada e simplificada
8 min de leitura
A abordagem baseada em risco funciona nos dois sentidos: mais escrutínio quando o risco é maior, menos quando é comprovadamente menor. A diligência aprimorada é onde uma equipe de compliance exerce a maior parte de seu julgamento e, no setor cripto, sua pergunta mais difícil costuma ser "de onde vieram estas moedas?". As medidas simplificadas são igualmente importantes, porque aplicar procedimentos completos a todos os clientes de baixo risco desperdiça recursos e exclui pessoas que os padrões pretendem proteger.
Quando a diligência aprimorada é exigida
| Gatilho | Fonte no padrão do GAFI | O que exige |
|---|---|---|
| Países de maior risco | Recomendação 19 | Diligência aprimorada, proporcional ao risco, para relacionamentos e transações com pessoas de países para os quais o GAFI a exige; contramedidas quando o GAFI as exigir |
| Pessoas politicamente expostas estrangeiras | Recomendação 12 | Sempre: aprovação da alta administração, medidas razoáveis para estabelecer a origem do patrimônio e a origem dos recursos, monitoramento contínuo aprimorado |
| PEPs nacionais e de organizações internacionais | Recomendação 12 | Medidas razoáveis para identificá-las; as mesmas medidas aplicáveis a PEPs estrangeiras quando o relacionamento apresentar maior risco |
| Clientes, produtos e atividades de maior risco | Recomendação 10, INR.10 | Diligência aprimorada quando a avaliação da empresa ou a pontuação do cliente indicar maior risco |
O GAFI publica duas listas públicas (consulte a aula O GAFI e o padrão global). Para jurisdições de alto risco sujeitas a um chamado para ação, exige diligência aprimorada e, nos casos mais graves, contramedidas. Para jurisdições sob monitoramento aumentado, não exige diligência aprimorada, mas pede que as empresas levem a listagem em conta em suas avaliações de risco. Confundir as duas listas é um erro comum.
As medidas relativas a PEPs também se aplicam a familiares e pessoas próximas. A Orientação do GAFI sobre pessoas politicamente expostas (junho de 2013) afirma que o período durante o qual um ex-titular de cargo é tratado como PEP deve ser decidido com base no risco, e não em um prazo fixo. A triagem deve abranger beneficiários efetivos, além dos clientes.
Os gatilhos típicos para diligência aprimorada no setor cripto, conforme a abordagem baseada em risco, incluem: negociações OTC de alto valor; transferências frequentes de ou para carteiras autocustodiadas; uso de moedas de privacidade ou mixers; clientes empresariais que sejam, eles próprios, VASPs, operadores de jogos de azar ou empresas de pagamentos; estruturas complexas (consulte a aula Pessoas jurídicas e beneficiários efetivos); e exposição significativa on-chain a categorias de alto risco. A INR.10 acrescenta exemplos gerais, como clientes não residentes, empresas com grande volume de transações em dinheiro, acionistas nominais e circunstâncias incomuns.
A diligência aprimorada não substitui a comunicação de operações. Se os fatos constituírem uma suspeita, a empresa apresenta um relatório de transação suspeita; ela não se limita a coletar mais documentos.
Como são as medidas de diligência aprimorada
A INR.10 lista exemplos que uma empresa cripto pode aplicar diretamente:
- obter mais informações sobre o cliente (profissão, volume de ativos, fontes públicas) e sobre a natureza pretendida do relacionamento;
- estabelecer a origem dos recursos e a origem do patrimônio;
- obter os motivos das transações pretendidas ou concluídas;
- obter aprovação da alta administração para iniciar ou manter o relacionamento;
- aprimorar o monitoramento, com controles mais frequentes e padrões de transação selecionados para análise;
- exigir que o primeiro pagamento venha de uma conta em nome do cliente, mantida em uma instituição com padrões de CDD semelhantes.
As medidas específicas para cripto incluem comprovação de que o cliente controla os endereços dos quais faz depósitos (consulte a aula Carteiras não hospedadas e transferências autocustodiadas), análise do histórico on-chain dessas carteiras por um analista, limites menores até que o cadastro esteja completo e ciclos de revisão mais curtos.
Origem dos recursos e origem do patrimônio
As perguntas frequentes do Wolfsberg Group sobre origem do patrimônio e origem dos recursos (2020, elaboradas para o private banking e a gestão de patrimônio) fazem a distinção que a maioria das empresas usa:
- A origem do patrimônio (SoW) é a forma como o cliente acumulou seu patrimônio líquido total: salário, empresa, herança, ganhos com investimentos, ativos cripto adquiridos no início do mercado.
- A origem dos recursos (SoF) é a origem dos ativos específicos usados no relacionamento ou na transação: estes 40 BTC, esta transferência de USD 2 milhões.
A SoF é mais restrita e mais fácil de comprovar. A SoW busca verificar se o patrimônio geral do cliente faz sentido para quem ele é. Uma PEP estrangeira precisa comprovar ambas; um operador de alto volume com um perfil comum pode precisar comprovar apenas a SoF para depósitos elevados.
Comprovação de patrimônio cripto on-chain
As criptomoedas geram histórias de patrimônio para as quais os procedimentos tradicionais de SoW não foram concebidos. A boa notícia é que grande parte das evidências é pública e tem registro de data e hora.
| Origem alegada | O que solicitar | Verificações on-chain | Sinais de alerta |
|---|---|---|---|
| Mineração | Demonstrativos de pagamentos do pool, contratos de hospedagem ou eletricidade, faturas de equipamentos | Pagamentos de endereços atribuídos ao pool ou saídas coinbase para mineração individual, em datas e valores compatíveis com o hash rate alegado | Moedas supostamente "mineradas" que chegam de um exchange ou mixer; pagamentos muito acima do que o equipamento poderia produzir |
| Ativos antigos | Extratos ou e-mails antigos do exchange, transferências bancárias para o exchange, cópias de segurança de carteiras | Data do primeiro financiamento do endereço, preço naquela data e comprovação de controle por meio de mensagem assinada | Ausência de comprovação de controle; moedas que ficaram inativas por anos e depois passaram por um mixer pouco antes do depósito |
| Renda de DeFi | Endereços de carteira utilizados, posições em protocolos, relatórios fiscais ou de carteira | Depósitos em protocolos, resgates de recompensas e retiradas de liquidez que correspondam ao principal e ao rendimento alegados | "Rendimento" que, na verdade, corresponde a transferências recebidas sem relação; vínculos com um protocolo explorado ou com seu invasor |
| Airdrops | Explicação dos critérios de elegibilidade, transações de reivindicação | Uma reivindicação do contrato distribuidor para o endereço do cliente, avaliada na data da reivindicação | Centenas de carteiras reivindicando e consolidando os ativos em uma só (muitas vezes chamado de padrão sybil), o que indica controle de várias carteiras e exige explicação |
Um método prático:
- Registre a declaração do cliente em suas próprias palavras, com valores e datas.
- Colete os documentos off-chain que a declaração implica.
- Obtenha comprovação de controle de cada endereço em que a narrativa se baseia.
- Rastreie desde a origem alegada até o depósito, registrando cada etapa e qualquer serviço intermediário (os métodos de rastreamento são abordados no curso IDFE-BA).
- Reconcilie valores e quantias nas datas relevantes, usando uma fonte documentada de preços históricos.
- Redija uma conclusão que indique o que foi comprovado, o que é plausível mas não comprovado e o que continua em aberto.
O padrão é a plausibilidade razoável, não a certeza. Um minerador de 2013 raramente tem todas as faturas, mas o registro on-chain ainda pode corroborar ou contradizer a narrativa.
Estudo de caso. O Sr. R, um cliente fictício, deposita 40 BTC e afirma que os minerou em 2013 e 2014. Ele assina uma mensagem com a chave do endereço de envio. O analista rastreia os ativos até a origem: as moedas foram consolidadas em 2014 a partir de muitas pequenas saídas pagas por um endereço atribuído a um conhecido pool de mineração e não voltaram a se movimentar até o mês passado. Os pagamentos do pool são compatíveis com algumas máquinas de mineração dedicadas do início do mercado, e o Sr. R apresenta uma publicação antiga em um fórum e um recibo de compra de equipamentos. Conclusão: SoF comprovada on-chain, SoW plausível; aprovar com monitoramento padrão. Se o rastreamento tivesse mostrado, em vez disso, que os 40 BTC chegaram de um exchange em 2021, a narrativa sobre mineração seria contradita e o cadastro seria encaminhado para escalonamento.
Quando as medidas simplificadas são aceitáveis
A diligência simplificada (SDD) é permitida quando uma análise adequada do país ou da empresa identifica um risco menor. Em fevereiro de 2025, o GAFI alterou a Recomendação 1, sua Nota Interpretativa e partes da INR.10 e da INR.15, de modo que os países devem permitir e incentivar explicitamente medidas simplificadas em cenários de menor risco; além disso, substituiu "comensurável" por "proporcional" em todas as Recomendações. Agora, espera-se que os supervisores verifiquem se as empresas não estão aplicando requisitos excessivos.
A INR.10 apresenta exemplos de medidas simplificadas:
- verificar a identidade depois de iniciado o relacionamento;
- atualizar os dados do cliente com menos frequência;
- reduzir a intensidade do monitoramento contínuo, por exemplo, usando um limite monetário;
- inferir a finalidade e a natureza do relacionamento com base no tipo de produto, em vez de coletar informações específicas.
Para um VASP, isso poderia significar uma categoria com limite baixo, utilizando um nível de garantia inferior, conforme sugere a Orientação do GAFI sobre Identidade Digital para CDD em níveis, com pequenos depósitos em moeda fiduciária, limites mensais baixos e retiradas apenas para uma conta em nome do cliente, além de CDD completa quando os limites forem atingidos. A SDD ainda identifica o cliente. Ela nunca é aceitável quando há suspeita de lavagem de dinheiro ou financiamento do terrorismo, ou quando se aplicam cenários específicos de maior risco.
Foco no exame: os gatilhos de diligência aprimorada na R.19, R.12 e INR.10, e a diferença entre as duas listas públicas do GAFI; as medidas relativas a PEPs, incluindo familiares, pessoas próximas e o tratamento de ex-PEPs com base no risco; exemplos de medidas de diligência aprimorada da INR.10 e medidas específicas para cripto; origem do patrimônio versus origem dos recursos; comprovação on-chain de mineração, ativos antigos, renda de DeFi e airdrops, com seus sinais de alerta; o método de seis etapas para SoW e SoF e o padrão de plausibilidade; quando as medidas simplificadas são aceitáveis, as mudanças de fevereiro de 2025 sobre proporcionalidade e por que a SDD nunca é permitida quando há suspeita.