Triagem e investigação de alertas

Um alerta é uma pergunta, não uma resposta. O que transforma o monitoramento em conformidade é o trabalho realizado em cada alerta: reunir fatos, testar explicações e registrar uma decisão que outra pessoa consiga entender meses depois. Supervisores e auditores examinam os alertas encerrados mais de perto do que quase qualquer outra coisa em um programa, porque investigações frágeis e notas de encerramento superficiais revelam se o monitoramento é real.

Ciclo de vida do alerta

Todo alerta passa pelas mesmas etapas, e cada etapa precisa de um responsável, um prazo padrão e um registro.

Alertas de diferentes fontes sobre o mesmo cliente devem ser agrupados em um caso, para que um único investigador veja o quadro completo. Encaminhamentos internos feitos pelo suporte ao cliente, pelas equipes antifraude ou pelos gerentes de relacionamento também são alertas e, muitas vezes, estão entre os mais produtivos.

Os prazos padrão são importantes porque a Recomendação 20 do FATF exige que as comunicações sejam feitas prontamente. Uma empresa define metas internas para cada etapa e acompanha o tempo em aberto: um alerta que fica semanas sem ser tratado representa uma falha de controle, mesmo que a decisão final esteja correta.

Priorização

As filas raramente ficam vazias, portanto a ordem importa. Uma pontuação de prioridade baseada em risco geralmente combina:

• a gravidade do cenário (exposição a sanções, financiamento do terrorismo ou material de abuso sexual infantil tem prioridade sobre uma regra de volume);
• o valor e se os fundos ainda estão na plataforma (um saque pendente ainda pode ser interrompido);
• a classificação de risco do cliente e o histórico de alertas anteriores;
• a força da exposição identificada pelas análises (direta antes de indireta, rótulos recentes antes dos antigos);
• vínculos com outros casos em aberto.

Alertas em que ainda seja possível reter os fundos ou em que se aplique um bloqueio pré-transação têm prioridade. A priorização não pode se transformar em supressão silenciosa: alertas de baixa prioridade ainda precisam de uma decisão dentro do prazo padrão, ou de uma justificativa documentada e aprovada para serem encerrados em lote.

Etapas da investigação

Uma sequência consistente mantém as investigações comparáveis e completas.

1. Entenda o alerta. Qual regra foi acionada, com quais parâmetros e valores, e por que isso é considerado um risco?
2. Analise o perfil do cliente. Dados de integração, ocupação e finalidade declaradas, atividade esperada, origem dos fundos e do patrimônio, classificação de risco, alertas e comunicações anteriores, alterações recentes nos dados.
3. Analise a atividade. O histórico completo de transações do cliente no período relacionado ao alerta: depósitos, negociações, saques, sistemas de pagamento fiduciário e transferências internas. Isso representa uma mudança em relação ao padrão habitual do cliente?
4. Rastreie on-chain. Acompanhe os fundos para trás a partir dos depósitos e para a frente a partir dos saques, usando ferramentas analíticas e análise manual (consulte a aula Análise de blockchain para fins de compliance; para conhecer as técnicas, consulte a aula IDFE-BA Rastreamento de fundos para a frente e para trás). Registre o número de saltos, os serviços pelos quais os fundos passaram e as fontes dos rótulos.
5. Verifique os dados da contraparte. Informações da Travel Rule fornecidas pelo VASP da contraparte, situação de sua diligência devida e se o nome do beneficiário ou do remetente corresponde ao que o cliente informou.
6. Use dados internos. Logins, dispositivos, endereços IP e geolocalização, atributos compartilhados com outras contas e conversas com o suporte.
7. Se necessário, pergunte ao cliente. Uma solicitação de informações (RFI) pede documentos ou uma explicação: uma fatura, um registro de negociação, comprovante de uma venda ou um documento sobre a origem dos fundos. Trata-se de diligência devida normal, portanto a solicitação deve ser redigida de forma neutra e nunca pode mencionar suspeita, alertas ou qualquer comunicação (consulte a aula Diligência devida contínua e encerramento do relacionamento sobre o alerta ao cliente).
8. Conclua. Indique a hipótese testada, as evidências favoráveis e contrárias e a decisão.

Os investigadores devem considerar pelo menos uma explicação legítima e uma explicação ilícita para cada alerta e registrar qual delas é apoiada pelas evidências. Isso evita tanto a aprovação automática quanto o viés de confirmação.

Encerramento ou escalonamento

A decisão depende de as evidências explicarem a atividade, não da quantidade de esforço despendido.

Escalonamento não é o mesmo que comunicação: o diretor de compliance ou o MLRO aplica o limiar de suspeita descrito na aula Obrigações de comunicação de transações suspeitas e registra a justificativa, independentemente de uma comunicação ser apresentada ou não. Um encerramento nunca pode se limitar a dizer “nenhuma preocupação”.

Documentação da justificativa

Uma boa nota de encerramento permite que um revisor que nunca viu o caso entenda, sem abrir outros sistemas, qual alerta foi gerado, o que foi verificado, o que foi constatado e por que a decisão foi tomada. Ela inclui fatos com fontes e datas, referências às transações (txids, valores, registros de data e hora), a explicação e suas evidências, além de quaisquer limitações, como um rótulo expirado ou um rastreamento que terminou em um serviço. Notas frágeis dizem “atividade compatível com o perfil” sem explicar qual é o perfil, ou se baseiam na palavra do cliente sem evidências.

Um registro de caso estruturado captura as mesmas informações em campos que podem ser auditados e contabilizados:

{
  "case_id": "CASE-2026-04417",
  "alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
  "customer_id": "C-20931",
  "opened": "2026-10-02T09:14:00Z",
  "steps": ["perfil analisado", "rastreamento de 3 saltos para trás", "contas vinculadas verificadas",
            "RFI enviada em 2026-10-03, respondida em 2026-10-06"],
  "findings": "Origem financiada por cadeia de peel proveniente de agrupamento atribuído a uma plataforma de golpe de investimento; outros dois clientes receberam fundos da mesma origem; explicação sem comprovação",
  "decision": "ESCALATED",
  "decided_by": "L2-analyst-17",
  "mlro_outcome": "REPORTED",
  "account_action": "saques restringidos enquanto aguarda análise",
  "qa_sampled": true
}

O registro vincula os alertas a um único caso, lista as etapas realizadas com as respectivas datas, resume as constatações em linguagem simples e separa a decisão do investigador do resultado do MLRO e da medida aplicada à conta. Campos como esses alimentam as métricas discutidas na aula Ajuste, métricas e governança de modelos.

Garantia da qualidade

A garantia da qualidade reavalia uma amostra dos alertas encerrados e escalados com base em uma lista de verificação: todas as etapas foram realizadas? A justificativa tem respaldo? A decisão foi correta? O prazo padrão foi cumprido? A amostragem deve ser baseada em risco (com mais casos de cenários de alto risco e de analistas novos) e incluir alertas encerrados, já que os erros mais custosos são os encerramentos incorretos. Os resultados são compartilhados com os analistas, usados em sessões de calibração nas quais os investigadores decidem o mesmo caso de forma independente e comparam as decisões, e comunicados à gerência. Erros recorrentes apontam para uma necessidade de treinamento, um procedimento pouco claro ou uma regra que gera alertas confusos.

Um caso prático

O cliente C-20931, designer gráfico integrado há 14 meses, declarou uma atividade esperada de cerca de USD 1.000 por mês. Dois alertas são gerados no mesmo dia: um depósito de cerca de USD 18.000 em BTC sacado em moeda fiduciária para uma conta bancária recém-adicionada em até três horas, e exposição indireta de 22%, a dois saltos de distância, a um agrupamento atribuído a uma plataforma de golpe de investimento.

• Perfil: o valor é 18 vezes a atividade mensal esperada, sem depósitos anteriores de criptoativos desse porte.
• Rastreamento: o endereço remetente foi financiado por uma cadeia de peel proveniente do agrupamento associado ao golpe; o rótulo vem de uma publicação pública de autoridades policiais datada de quatro meses antes.
• Vínculos: outros dois clientes receberam depósitos da mesma cadeia de peel na mesma semana, e um deles compartilha um dispositivo com C-20931.
• RFI: o cliente afirma que os fundos eram o pagamento por um laptop usado, mas não fornece fatura nem mensagens; em seguida, diz que um amigo pediu ajuda para receber dinheiro.

As evidências apoiam a hipótese ilícita: provavelmente, o cliente está atuando como mula de dinheiro (consulte a aula Sinais de alerta e tipologias). O investigador escala o caso; o MLRO apresenta uma comunicação, restringe os saques enquanto aguarda a análise e abre casos para os dois clientes vinculados. A amostra de QA confirma posteriormente a decisão e observa que a data do rótulo foi registrada corretamente.

Foco no exame: as etapas do ciclo de vida do alerta e seus responsáveis; o agrupamento de alertas em casos e o acompanhamento do tempo em aberto em relação à prontidão exigida pela R.20; a priorização baseada em risco sem supressão silenciosa; a sequência da investigação, incluindo o rastreamento on-chain, os dados da contraparte conforme a Travel Rule, os dados internos de dispositivos e IP e as solicitações neutras de informações que evitam o alerta ao cliente; a tabela de decisões para encerrar, aguardar ou escalar; a diferença entre escalonamento e comunicação; o conteúdo de uma nota de encerramento defensável; a amostragem de QA baseada em risco e a calibração.