Due diligence do cliente e pontuação de risco · Aula 4 de 5
Diligência devida reforçada e simplificada
8 min de leitura
A abordagem baseada em risco funciona nas duas direções: mais escrutínio onde o risco é maior, menos onde ele é comprovadamente menor. A diligência devida reforçada é a área que mais exige discernimento da equipe de conformidade e, no contexto de criptoativos, sua pergunta mais difícil costuma ser "de onde vieram essas moedas?". As medidas simplificadas são igualmente importantes, porque aplicar procedimentos completos a todos os clientes de baixo risco desperdiça recursos e exclui pessoas que os padrões buscam proteger.
Quando a diligência devida reforçada é exigida
| Fator desencadeante | Fonte no padrão do GAFI | O que exige |
|---|---|---|
| Países de maior risco | Recomendação 19 | EDD, proporcional ao risco, para relacionamentos e transações com pessoas de países para os quais o GAFI a exige; contramedidas quando exigidas pelo GAFI |
| Pessoas expostas politicamente estrangeiras | Recomendação 12 | Sempre: aprovação da alta administração, medidas razoáveis para estabelecer a origem do patrimônio e a origem dos recursos, monitoramento contínuo reforçado |
| PEPs nacionais e de organizações internacionais | Recomendação 12 | Medidas razoáveis para identificá-las; as mesmas medidas aplicáveis às PEPs estrangeiras quando o relacionamento apresentar maior risco |
| Clientes, produtos e atividades de maior risco | Recomendação 10, INR.10 | EDD quando a avaliação da empresa ou a pontuação do cliente indicar maior risco |
O GAFI publica duas listas públicas (consulte a aula O GAFI e o padrão global). Para jurisdições de alto risco sujeitas a um chamado à ação, exige diligência devida reforçada e, nos casos mais graves, contramedidas. Para jurisdições sob monitoramento intensificado, não exige EDD, mas solicita que as empresas levem a inclusão na lista em conta em suas avaliações de risco. Confundir as duas listas é um erro comum.
As medidas relativas às PEPs se estendem a familiares e colaboradores próximos. As Orientações do GAFI sobre pessoas expostas politicamente (junho de 2013) afirmam que o período durante o qual um ex-ocupante de cargo deve ser tratado como PEP deve ser decidido com base no risco, e não em um prazo fixo. A triagem deve abranger os beneficiários finais, além dos clientes.
Os fatores típicos do contexto de criptoativos que desencadeiam EDD na abordagem baseada em risco incluem: negociações de balcão (OTC) de alto valor; transferências frequentes de ou para carteiras autocustodiadas; uso de moedas de privacidade ou misturadores; clientes empresariais que sejam, eles próprios, VASPs, operadores de jogos de azar ou empresas de pagamento; estruturas complexas (consulte a aula Pessoas jurídicas e beneficiários finais); e exposição on-chain significativa a categorias de alto risco. A INR.10 acrescenta exemplos gerais, como clientes não residentes, negócios com uso intensivo de dinheiro em espécie, acionistas nominais e circunstâncias incomuns.
A EDD não substitui a comunicação de operações suspeitas. Se os fatos configurarem suspeita, a empresa apresenta uma comunicação de operação suspeita; não se limita a coletar mais documentos.
Como são as medidas de EDD
A INR.10 lista exemplos que uma empresa de criptoativos pode aplicar diretamente:
- obter mais informações sobre o cliente (ocupação, volume de ativos, fontes públicas) e sobre a natureza pretendida do relacionamento;
- estabelecer a origem dos recursos e a origem do patrimônio;
- obter os motivos das transações pretendidas ou realizadas;
- obter aprovação da alta administração para iniciar ou continuar o relacionamento;
- realizar monitoramento reforçado, com controles mais frequentes e padrões de transação selecionados para análise;
- exigir que o primeiro pagamento venha de uma conta em nome do cliente em uma instituição com padrões semelhantes de diligência devida do cliente (CDD).
Medidas adicionais específicas para criptoativos incluem comprovar que o cliente controla os endereços de onde faz depósitos (consulte a aula Carteiras não hospedadas e transferências autocustodiadas), submeter o histórico on-chain dessas carteiras à análise de um analista, adotar limites menores até que o dossiê esteja completo e estabelecer ciclos de revisão mais curtos.
Origem dos recursos e origem do patrimônio
As Perguntas frequentes sobre origem do patrimônio e origem dos recursos do Wolfsberg Group (2020, elaboradas para serviços bancários privados e gestão de patrimônio) fazem a distinção utilizada pela maioria das empresas:
- Origem do patrimônio (SoW) é a forma como o cliente acumulou seu patrimônio líquido total: salário, uma empresa, uma herança, ganhos com investimentos, criptoativos adquiridos nos primeiros anos.
- Origem dos recursos (SoF) é a origem dos ativos específicos usados no relacionamento ou na transação: estes 40 BTC, esta transferência bancária de USD 2 milhões.
A SoF tem escopo mais restrito e é mais fácil de comprovar. A SoW verifica se o patrimônio total do cliente faz sentido diante de seu perfil. Uma PEP estrangeira precisa de ambas; um operador com alto volume de negociação e perfil sem particularidades pode precisar apenas de SoF para depósitos elevados.
Comprovação do patrimônio em criptoativos on-chain
Os criptoativos criam histórias de formação de patrimônio para as quais os procedimentos tradicionais de SoW não foram elaborados. A boa notícia é que grande parte das evidências é pública e tem registro de data e hora.
| Origem declarada | O que solicitar | Verificações on-chain | Sinais de alerta |
|---|---|---|---|
| Mineração | Demonstrativos de pagamentos do pool, contratos de hospedagem ou de energia elétrica, notas fiscais de equipamentos | Pagamentos de endereços atribuídos ao pool, ou saídas coinbase para mineração individual, em datas e valores compatíveis com a taxa de hash declarada | Moedas "mineradas" que chegam de uma exchange ou de um misturador; pagamentos muito superiores ao que os equipamentos poderiam produzir |
| Criptoativos adquiridos nos primeiros anos | Extratos ou e-mails antigos de exchanges, transferências bancárias para a exchange, backups de carteiras | Data do primeiro recebimento de recursos no endereço, preço naquela data e prova de controle por mensagem assinada | Ausência de prova de controle; moedas que permaneceram inativas por anos e depois passaram por um misturador pouco antes do depósito |
| Rendimentos de DeFi | Endereços de carteiras utilizados, posições em protocolos, relatórios fiscais ou de carteira de investimentos | Depósitos em protocolos, resgates de recompensas e retiradas de liquidez que conciliem com o principal e o rendimento declarados | "Rendimento" que, na verdade, consiste em transferências recebidas sem relação com a atividade; vínculos com um protocolo explorado ou com seu invasor |
| Airdrops | Explicação da elegibilidade, transações de resgate | Um resgate do contrato distribuidor para o endereço do cliente, avaliado na data do resgate | Centenas de carteiras resgatando e consolidando em uma só (frequentemente chamado de padrão sybil), o que indica controle de múltiplas carteiras e exige explicação |
Um método prático:
- Registre a declaração do cliente com as palavras dele, incluindo valores e datas.
- Colete os documentos off-chain que a declaração pressupõe.
- Obtenha prova de controle de cada endereço em que a história se apoia.
- Rastreie desde a origem declarada até o depósito, registrando cada salto e qualquer serviço intermediário (os métodos de rastreamento são abordados no curso IDFE-CF).
- Concilie quantidades e valores nas datas relevantes, usando uma fonte documentada de preços históricos.
- Redija uma conclusão que indique o que está comprovado, o que é plausível, mas não comprovado, e o que permanece em aberto.
O critério é a plausibilidade razoável, não a certeza. Um minerador de 2013 raramente tem todas as notas fiscais, mas o registro on-chain ainda pode sustentar ou contradizer a história.
Caso resolvido. O Sr. R, um cliente fictício, deposita 40 BTC e diz que os minerou em 2013 e 2014. Ele assina uma mensagem com a chave do endereço de envio. O analista rastreia a origem: as moedas foram consolidadas em 2014 a partir de muitas saídas pequenas pagas por um endereço atribuído a um pool de mineração conhecido e não voltaram a se movimentar até o mês passado. Os pagamentos do pool são compatíveis com algumas máquinas dedicadas de mineração dos primeiros anos, e o Sr. R fornece uma publicação antiga em um fórum e um recibo de equipamento. Conclusão: SoF comprovada on-chain, SoW plausível; aprovar com monitoramento padrão. Se o rastreamento tivesse mostrado, em vez disso, os 40 BTC chegando de uma exchange em 2021, a história da mineração seria contradita e o dossiê seria encaminhado para uma instância superior de análise.
Quando as medidas simplificadas são aceitáveis
A diligência devida simplificada (SDD) é permitida quando um risco menor tiver sido identificado por meio de uma análise adequada pelo país ou pela empresa. Em fevereiro de 2025, o GAFI alterou a Recomendação 1, sua Nota Interpretativa e partes da INR.10 e da INR.15 para que os países passem a ter a obrigação de permitir e incentivar explicitamente medidas simplificadas em cenários de menor risco, e substituiu "compatível" por "proporcional" em todas as Recomendações. Agora, espera-se que os supervisores verifiquem se as empresas não estão excedendo as exigências de conformidade.
A INR.10 apresenta exemplos de medidas simplificadas:
- verificar a identidade após o início do relacionamento;
- atualizar os dados do cliente com menor frequência;
- reduzir a intensidade do monitoramento contínuo, por exemplo, usando um limite monetário;
- inferir a finalidade e a natureza do relacionamento a partir do tipo de produto, em vez de coletar informações específicas.
Para um VASP, isso pode significar uma faixa de limites baixos, com um nível de garantia menor, conforme sugerido pelas Orientações do GAFI sobre Identidade Digital para CDD em níveis, com pequenos depósitos em moeda fiduciária, tetos mensais baixos e saques apenas para uma conta em nome do cliente, além de CDD completa quando os tetos forem atingidos. A SDD ainda identifica o cliente. Ela nunca é aceitável quando há suspeita de lavagem de dinheiro ou financiamento do terrorismo, ou quando se aplicam cenários específicos de maior risco.
Foco no exame: os fatores que desencadeiam EDD na R.19, na R.12 e na INR.10, e a diferença entre as duas listas públicas do GAFI; as medidas relativas às PEPs, incluindo familiares, colaboradores próximos e tratamento de ex-PEPs baseado em risco; exemplos de medidas de EDD da INR.10 e medidas adicionais para criptoativos; origem do patrimônio versus origem dos recursos; comprovação on-chain de mineração, criptoativos adquiridos nos primeiros anos, rendimentos de DeFi e airdrops, com seus sinais de alerta; o método de seis etapas de SoW e SoF e o critério de plausibilidade; quando as medidas simplificadas são aceitáveis, as alterações de fevereiro de 2025 sobre proporcionalidade e por que a SDD nunca é permitida quando há suspeita.