Exposição a sanções e triagem · Aula 5 de 5
Como executar um programa de conformidade com sanções
9 min de leitura
As ferramentas de triagem não constituem um programa de sanções; são um controle dentro dele. Supervisores e autoridades de fiscalização avaliam uma empresa com base em saber se seus controles correspondem à exposição real, se alguém da alta administração é responsável por eles e se a empresa consegue comprovar que funcionam. Esta aula reúne os elementos das quatro aulas anteriores em um programa que pode ser executado, testado e defendido.
A avaliação de risco de sanções
Uma avaliação de risco de sanções pergunta por onde uma pessoa, localidade ou transação proibida poderia entrar na empresa e até que ponto os controles impediriam isso. Ela pode integrar a avaliação de risco corporativa (consulte a aula A abordagem baseada em risco), mas precisa ter fatores próprios, pois o risco de sanções diz respeito à exposição a designações e territórios, e não à suspeita.
| Fator | Perguntas para uma empresa de criptoativos |
|---|---|
| Clientes | Parcela de clientes provenientes de territórios sancionados ou próximos deles; clientes corporativos com estruturas de propriedade complexas; contas de OTC e de alto volume |
| Geografia | Onde os clientes estão localizados, onde estão os funcionários e parceiros e quais territórios fazem fronteira com os mercados da empresa |
| Produtos e serviços | Entradas e saídas de moeda fiduciária, mesa de OTC, swaps entre criptoativos, ativos que aprimoram a privacidade, staking, emissão de tokens |
| Canais de atendimento | Integração totalmente remota, acesso por API, aplicativos móveis, parceiros de marca branca |
| Contrapartes | VASPs contrapartes e suas jurisdições, provedores de liquidez, parceiros de pagamento, pontes e protocolos DeFi pelos quais a empresa encaminha transações |
| Tipologias | Exposição a recursos provenientes de roubos ligados a Estados, ransomware, serviços aninhados, uso de VPN |
O financiamento da proliferação merece atenção explícita. Em outubro de 2020, o FATF alterou a Recomendação 1 e sua Nota Interpretativa para exigir que países e empresas do setor privado identifiquem, avaliem e mitiguem seu risco de financiamento da proliferação, definido de forma restrita como a possibilidade de violação, não implementação ou evasão das sanções financeiras direcionadas da Recomendação 7. A Orientação do FATF sobre Avaliação e Mitigação do Risco de Financiamento da Proliferação (junho de 2021) explica como fazer isso. Para um VASP, considerando a atividade documentada da RPDC descrita na aula Riscos de sanções específicos para criptoativos, esse risco raramente é baixo.
O resultado deve incluir uma classificação para cada fator, os controles que o abordam e o risco residual, com aprovação da alta administração e atualização pelo menos anual e sempre que houver uma mudança importante de regime ou um novo produto.
Governança
A responsabilidade vem em primeiro lugar. Uma estrutura típica:
- o conselho aprova a política de sanções e o apetite a risco, incluindo a lista de regimes aplicados e os territórios nos quais a empresa não atuará;
- um responsável por sanções designado, muitas vezes na função de conformidade e subordinado ao responsável por conformidade ou ao MLRO, assume a operação diária, os encaminhamentos e a comunicação com as autoridades;
- a área de negócios é responsável pelos controles de primeira linha, como restrições de integração e retenções de saques;
- a auditoria interna testa o programa como um todo de forma independente.
As informações gerenciais tornam a governança efetiva: tempo entre a publicação de uma lista e a nova triagem completa, volume e antiguidade dos alertas, correspondências confirmadas e ativos congelados, bloqueios por geolocalização, exceções concedidas e resultados dos testes. Um conselho que analisa esses dados a cada trimestre pode questioná-los; um conselho que apenas aprova uma política uma vez por ano não pode.
Controles preventivos e detectivos
O conjunto de controles relaciona cada risco a um controle e a um responsável.
| Controle | O que abrange | Aula |
|---|---|---|
| Triagem de nomes e entidades | Clientes, beneficiários efetivos, partes da Travel Rule, pagamentos em moeda fiduciária | Triagem de nomes e entidades |
| Triagem de carteiras e transações | Origens de depósitos, destinos de saques, contratos inteligentes | Triagem de carteiras e transações |
| Controles de geolocalização | Verificações de IP na integração, no login e no saque, detecção de VPN, país dos documentos e do telefone | Riscos de sanções específicos para criptoativos |
| Análise de propriedade e controle | Clientes corporativos e contrapartes | Como funcionam as sanções |
| Diligência prévia de contrapartes | VASPs contrapartes e parceiros | Identificação e verificação da contraparte |
| Monitoramento comportamental | Padrões de evasão que as listas não detectam | Sinais de alerta e tipologias |
A geolocalização merece destaque porque é barata de implementar e fácil de negligenciar. Um projeto completo bloqueia a integração de clientes provenientes de territórios sancionados, verifica os dados de IP a cada login e saque, sinaliza faixas de IP de VPN e hospedagem, compara o país do IP com o país dos documentos e do telefone e executa uma verificação periódica em lote nas contas existentes, para localizar e tratar clientes integrados antes da aplicação de sanções a um território.
Encaminhamento e comunicação
Uma matriz de encaminhamento elimina a necessidade de suposições:
| Situação | Quem decide | Ação necessária |
|---|---|---|
| Possível correspondência de nome ou carteira | Responsável por sanções | Reter; resolver dentro de um prazo definido; documentar |
| Correspondência confirmada, ativos sob custódia | Responsável por sanções, informando o responsável por conformidade | Congelar; comunicar à autoridade competente dentro do prazo do regime |
| Transação já concluída com uma parte designada | Responsável por conformidade e alta administração, com assessoria jurídica | Investigar a causa-raiz; considerar a comunicação |
| Falha sistêmica de controle (por exemplo, uma lista não carregada por uma semana) | Alta administração e conselho | Análise retrospectiva; plano de correção; considerar a comunicação |
A comunicação às autoridades ocorre de duas formas. Comunicações obrigatórias abrangem ativos congelados e, em alguns regimes, transações rejeitadas. A comunicação voluntária de uma aparente violação, como uma transferência concluída para uma parte designada, não é obrigatória em todos os lugares, mas muitas autoridades consideram a autocomunicação rápida e completa e a cooperação como fatores atenuantes. A decisão de comunicar deve ser tomada pela alta administração com assessoria jurídica e registrada, e a empresa deve estar preparada para apresentar sua análise da causa-raiz e as medidas corretivas.
Quando uma falha é descoberta, pode ser necessária uma análise retrospectiva: realizar nova triagem de clientes ou transações anteriores relativas ao período em que o controle esteve indisponível. A Orientação do Wolfsberg sobre Triagem de Sanções (2019) sugere ponderar a causa-raiz, se o problema foi isolado e as medidas de mitigação já em vigor ao decidir se uma análise retrospectiva é útil.
Testes e auditoria
Um programa que nunca é testado é uma política, não um controle. Os testes operam em três níveis:
- Testes de sistema: Todas as listas são carregadas integralmente e no prazo? Todos os clientes e fluxos de transações passam de fato pela triagem? A correspondência aproximada detecta variantes inseridas para teste no limite configurado? Os bloqueios de geolocalização funcionam quando testados a partir de um IP de território sancionado e por meio de uma VPN?
- Garantia de qualidade: As decisões sobre alertas seguem o procedimento e as justificativas são específicas? Uma amostra dos alertas encerrados é revisada novamente a cada mês.
- Auditoria independente: A auditoria interna ou um terceiro qualificado testa a concepção e a eficácia operacional, em uma frequência definida pelo risco, e comunica as constatações ao conselho, acompanhadas do monitoramento das medidas corretivas.
A integridade dos dados é a falha oculta mais comum. Registros de clientes que nunca chegaram ao mecanismo de triagem por causa de um campo ausente, ou um novo produto cujos saques não passam pela chamada de triagem de carteiras, não aparecerão nas métricas de alertas. A conciliação da população submetida à triagem com a população existente é o teste que identifica esses casos.
As evidências solicitadas por um examinador
Os supervisores geralmente iniciam uma análise de sanções solicitando documentos. Uma empresa que consegue apresentar rapidamente os itens a seguir demonstra que seu programa está em operação, e não apenas que existe:
- a política de sanções atual, a lista de regimes aplicados e a aprovação do conselho;
- a avaliação mais recente de risco de sanções e de financiamento da proliferação;
- registros de carregamento de listas, com versões, carimbos de data e hora e contagens para um período escolhido;
- configuração da triagem: limites, definições de correspondência aproximada, exclusões e entradas na lista de autorizados, cada uma com sua aprovação;
- estatísticas de alertas e uma amostra de alertas encerrados com justificativas completas;
- o registro de ativos congelados e cópias das comunicações enviadas à autoridade competente;
- estatísticas de bloqueios por geolocalização e resultados da análise de IP mais recente das contas existentes;
- relatórios de testes, garantia de qualidade e auditoria, com a situação de cada constatação em aberto.
A compra de ferramentas de triagem de um fornecedor não transfere a responsabilidade: a empresa precisa entender e comprovar como a ferramenta está configurada e por quê.
Lições de medidas de fiscalização públicas
As medidas de fiscalização públicas contra exchanges, provedores de carteiras e empresas de pagamento em várias regiões apontam repetidamente as mesmas constatações. Dois exemplos ilustram esse padrão:
- Na Lituânia, em 2024, uma exchange de criptoativos e serviços de pagamento foi multada porque, por mais de um ano e meio, permitiu que clientes, principalmente da Rússia, movimentassem fundos de e para bancos sujeitos a sanções da UE, não identificou adequadamente seus clientes e ignorou as solicitações da autoridade para interromper essas atividades. A multa abrangeu tanto as violações das sanções quanto as falhas de AML.
- Nos Estados Unidos, várias exchanges chegaram a acordos com as autoridades entre 2022 e 2023, após atenderem por anos usuários em territórios sujeitos a sanções abrangentes, embora os endereços IP que haviam coletado revelassem onde esses usuários estavam. As consequências incluíram penalidades e, no caso de maior gravidade, monitores independentes.
Descritas pelo que falhou:
| Falha | O que aconteceu | Controle que teria ajudado |
|---|---|---|
| Ausência de bloqueio geográfico | Empresas atenderam por anos usuários em territórios sujeitos a sanções abrangentes | Bloqueios por território na integração e no login |
| Dados de IP ignorados | Empresas coletaram endereços IP que mostravam localidades sancionadas, mas nunca os submeteram à triagem | Análise em lote de IPs de contas existentes, com alertas |
| Confiança no país autodeclarado | Usuários escolheram um país permitido ao se cadastrar e nunca foram verificados | Comparação do país declarado com o IP, os documentos e o telefone |
| Nova triagem insuficiente | Clientes designados depois da integração continuaram negociando | Nova triagem no mesmo dia a cada alteração de lista |
| Triagem apenas de nomes | Transferências de e para endereços designados passaram sem verificação | Triagem de carteiras para depósitos e saques |
| Crescimento antes dos controles | Produtos foram lançados antes de a triagem abrangê-los | Aprovação de conformidade para cada novo produto e mercado |
As penalidades nesses casos costumavam ser reduzidas em razão da cooperação e das medidas corretivas, e aumentadas quando as empresas conheciam as lacunas e demoravam a corrigi-las.
Foco no exame: os fatores de uma avaliação de risco de sanções para uma empresa de criptoativos; a exigência do FATF, de outubro de 2020, de avaliar o risco de financiamento da proliferação e sua definição restrita vinculada à R.7; as funções de governança e as informações gerenciais que o conselho deve analisar; o mapeamento de riscos a controles, incluindo um projeto completo de geolocalização; a matriz de encaminhamento e a diferença entre comunicações obrigatórias e comunicação voluntária; análises retrospectivas; testes de sistema, garantia de qualidade e auditoria independente, além da conciliação entre as populações submetidas à triagem e as populações existentes; as falhas recorrentes em medidas de fiscalização públicas e o controle que aborda cada uma delas.