A Gestão Integrada dos Riscos de Criminalidade Financeira exige que uma organização não avalie os riscos de criminalidade financeira exclusivamente com base em incidentes já ocorridos, em operações selecionadas pelos sistemas de deteção existentes ou em deficiências identificadas através de atividades formais de controlo. Uma abordagem verdadeiramente integrada orienta-se para o reconhecimento, numa fase tão precoce quanto possível, de alterações nos comportamentos, nas circunstâncias e nas vulnerabilidades que, quando analisadas isoladamente, podem parecer limitadas ou pouco relevantes, mas que, consideradas em conjunto, podem revelar uma mudança fundamental no perfil de risco da organização. Essas alterações podem manifestar-se através de comunicações pouco usuais por parte dos clientes, de uma pressão crescente para acelerar procedimentos, de documentação incompleta ou contraditória, de circuitos de pagamento inesperados, de modificações nas estruturas de propriedade ou de controlo, do envolvimento de intermediários anteriormente desconhecidos, de pedidos recorrentes de exceção ou de uma dependência crescente de soluções manuais. Nenhum destes elementos constitui necessariamente, por si só, uma indicação conclusiva. A sua verdadeira relevância emerge frequentemente apenas quando são reunidas e analisadas informações provenientes de processos, áreas de negócio, entidades jurídicas, jurisdições e funções de controlo distintas. A primeira linha dispõe da visão mais imediata dos clientes, das operações, dos produtos, das decisões comerciais e dos desvios operacionais. A segunda linha acrescenta interpretação normativa, análise jurídica, conhecimento de tipologias, inteligência regulatória, revisões temáticas e capacidade de comparação à escala de toda a organização. A terceira linha avalia, de forma independente, se determinados sinais estão a ser sistematicamente subestimados, se as deficiências de controlo se repetem e se a informação formal representa de modo fiável o funcionamento efetivo dos mecanismos de controlo da criminalidade financeira. A Gestão Integrada dos Riscos de Criminalidade Financeira não trata estas fontes como fluxos de informação paralelos e desconexos, mas transforma-as numa capacidade coerente para identificar tendências e relações antes de estas resultarem na utilização criminosa da organização, em infrações legais ou regulamentares, em intervenções das autoridades de supervisão, em perdas financeiras ou na deterioração da confiança.
Antecipar os riscos exige, por conseguinte, muito mais do que uma avaliação periódica, a compilação de publicações externas ou o aumento do número de alertas automatizados. Torna-se necessária uma verdadeira capacidade de inteligência, firmemente incorporada na governação, que permita recolher, verificar, relacionar e interpretar sinais fracos e convertê-los em intervenções preventivas proporcionadas. Os riscos de criminalidade financeira evoluem em consequência de alterações geopolíticas, medidas sancionatórias, inovação tecnológica, novos instrumentos de pagamento, identidades digitais, inteligência artificial, mudanças nas rotas comerciais, novos modelos operacionais criminosos e adaptação estratégica de facilitadores profissionais. Paralelamente, acontecimentos internos como reorganizações, elevada rotação de pessoal, rápido crescimento comercial, migrações tecnológicas, externalizações, fusões, aquisições ou programas de remediação prolongados podem fragilizar os controlos existentes sem provocar uma deterioração imediatamente visível nos indicadores formais de desempenho. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por isso, analisar continuamente se os pressupostos anteriormente adotados permanecem válidos, se os cenários de risco continuam a refletir os comportamentos observados, se os dados são suficientemente fiáveis e comparáveis e se as responsabilidades permanecem claras quando os sinais afetam simultaneamente várias funções. A tecnologia pode apoiar esta abordagem mediante a análise de grandes volumes de informação e a identificação de relações que seriam difíceis de detetar manualmente. O significado de um sinal continua, porém, a depender do julgamento profissional, da compreensão do contexto, do rigor jurídico e de um escalonamento atempado. Uma operação invulgar isolada pode ter uma explicação legítima, enquanto uma combinação de pequenas discrepâncias identificadas em diferentes processos de clientes, jurisdições e áreas de negócio pode revelar um padrão material. A qualidade da Gestão Integrada dos Riscos de Criminalidade Financeira não se mede, por conseguinte, pela quantidade de informação recolhida, mas pela capacidade da organização para distinguir alterações verdadeiramente relevantes do ruído operacional e criar as condições necessárias para intervir antes de os riscos adquirirem natureza estrutural.
Recolher sistematicamente os sinais da primeira linha
A primeira linha constitui o ponto de observação mais direto no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, uma vez que é nesse nível que se desenvolvem diariamente a gestão das relações com os clientes, a utilização dos produtos, o processamento de operações, a execução de pagamentos, a gestão de sinistros, a seleção de fornecedores, a administração contratual e a tomada de decisões relativas a exceções. Os profissionais que trabalham na gestão de relações, na integração de clientes, nas operações, nas compras, nas finanças, no apoio ao cliente, no crédito, nos sinistros e nas funções comerciais encontram-se frequentemente entre os primeiros a detetar que uma relação começou a comportar-se de forma diferente da prevista no momento da sua constituição. Podem observar que as explicações fornecidas se alteram ao longo do tempo, que os documentos apresentam incoerências, que as instruções de pagamento são subitamente modificadas, que interlocutores essenciais desaparecem, que as estruturas de propriedade se tornam mais complexas ou que é exercida pressão para reduzir ou contornar os processos de controlo. Podem igualmente assumir relevância sinais mais subtis: um cliente que evita sistematicamente responder a perguntas simples, um intermediário que adquire uma influência crescente, um fornecedor que solicita o pagamento noutra jurisdição, uma conta que apresenta um padrão de utilização inesperado pouco tempo após a sua abertura ou um responsável comercial que começa a tratar as exceções como uma prática corrente. Em muitas organizações, estas observações não são formalmente registadas como informação de risco. Permanecem dispersas em mensagens de correio eletrónico, notas pessoais, folhas de cálculo locais, conversas informais ou na memória de determinados colaboradores. O contexto relevante perde-se, deste modo, progressivamente, e a organização pode reagir apenas quando uma regra de monitorização, uma reclamação, uma investigação interna ou uma autoridade externa torna o problema visível. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que as observações operacionais possam ser registadas de forma acessível, estruturada e juridicamente rigorosa, sem que cada observação seja automaticamente qualificada como acusação, suspeita ou comunicação formal.
A eficácia da recolha de sinais provenientes da primeira linha depende da existência de definições claras sobre o que constitui uma anomalia, um motivo de preocupação ou uma alteração relevante. Uma indicação genérica para que os colaboradores se mantenham atentos não oferece orientação suficiente, uma vez que estes continuam dependentes da sua experiência pessoal, da sua própria tolerância ao risco e de interpretações subjetivas. A Gestão Integrada dos Riscos de Criminalidade Financeira deve associar os critérios de sinalização a indicadores específicos relacionados com clientes, operações, produtos e comportamentos, adaptados às atividades e exposições próprias da organização. Estes indicadores podem incluir divergências recorrentes entre as atividades declaradas e as atividades efetivamente desenvolvidas, alterações inexplicadas na titularidade efetiva, fluxos comerciais desprovidos de lógica económica, urgência invulgar, utilização anómala de procurações, transferências opacas entre partes relacionadas, faturas sem uma prestação demonstrável, novas contas de pagamento em jurisdições de risco mais elevado ou um recurso crescente a procedimentos de exceção. Os critérios devem ser suficientemente precisos para orientar os colaboradores, mas não devem ser aplicados de forma tão mecânica que eliminem o contexto e o julgamento profissional. Deve ser mantida uma distinção clara entre uma deficiência administrativa, um desvio na execução de um controlo, um aumento do risco de integridade, um possível indicador de criminalidade financeira e uma situação que exija escalonamento imediato. Esta distinção permite evitar tanto a subcomunicação como um volume excessivo de notificações de reduzido valor. A primeira linha deve igualmente compreender o que acontece após o registo de um sinal, quem pode aceder à informação, que salvaguardas são aplicáveis e de que forma se impede que pressões comerciais ou hierárquicas influenciem a avaliação. Quando não existe um acompanhamento visível, desenvolve-se uma fadiga relativamente aos mecanismos de comunicação e diminui a disponibilidade para partilhar sinais fracos.
O valor estratégico dos sinais provenientes da primeira linha apenas emerge quando a Gestão Integrada dos Riscos de Criminalidade Financeira permite agregá-los, compará-los e relacioná-los com outras fontes de informação. Um pedido isolado de exceção pode ter uma explicação operacional, mas um aumento de pedidos semelhantes num mercado específico, numa determinada categoria de produtos ou num grupo de relações pode indicar uma alteração comportamental ou uma vulnerabilidade estrutural. Um processo de cliente incompleto pode resultar de um erro administrativo isolado, enquanto deficiências recorrentes em relações introduzidas pelo mesmo intermediário podem revelar um padrão mais amplo. A informação proveniente da primeira linha deve, por conseguinte, ser relacionada com os procedimentos de diligência devida sobre clientes, os dados transacionais, as reclamações, os incidentes, as investigações internas, a filtragem de sanções, os casos de fraude, os litígios, os testes de controlo e as conclusões de auditoria. A segunda linha deve determinar quais as combinações de sinais que justificam uma análise direcionada, a recolha de informação adicional ou uma reavaliação dos cenários de risco existentes. A terceira linha deve analisar, de forma independente, se o processo de sinalização é efetivamente utilizado, se as notificações recebem um acompanhamento coerente e se determinadas áreas de negócio, níveis hierárquicos ou categorias comercialmente relevantes permanecem sistematicamente fora do seu alcance. A cultura organizacional assume igualmente uma importância determinante. Quando a identificação de um risco é percecionada como um obstáculo às receitas, aos interesses do cliente ou à rapidez operacional, os colaboradores podem sentir-se inclinados a racionalizar os sinais em vez de os escalonar. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por isso, deixar claro que a comunicação precoce não constitui uma acusação, mas uma contribuição profissional para uma tomada de decisão mais bem informada. O objetivo não consiste em criminalizar cada anomalia, mas em criar visibilidade suficiente para analisar atempadamente alterações materiais e manter sob controlo situações que ainda podem ser geridas de forma eficaz.
Identificar tipologias emergentes de criminalidade financeira
Os métodos criminosos evoluem continuamente, uma vez que os seus autores reagem à legislação, aos controlos das autoridades, à inovação tecnológica e aos mecanismos de controlo já implementados. Quando um método conhecido começa a ser detetado de forma eficaz, surge um incentivo para estruturar as operações de outra forma, recorrer a novos intermediários, distribuir as atividades por várias entidades ou utilizar produtos legítimos de formas inesperadas. A Gestão Integrada dos Riscos de Criminalidade Financeira não pode, por conseguinte, basear-se exclusivamente em tipologias históricas, indicadores normalizados ou cenários derivados de anteriores casos de supervisão ou de aplicação coerciva da lei. Os padrões conhecidos continuam a ser relevantes, mas devem ser complementados por uma análise sistemática de novas combinações de comportamentos, tecnologias, jurisdições e modelos de negócio. As redes criminosas podem, por exemplo, explorar a constituição digital de sociedades, identidades sintéticas, redes profissionais de testas de ferro ou de contas-mula, pagamentos efetuados através de plataformas, pagamentos instantâneos, criptoativos, financiamento do comércio internacional, contratos de prestação de serviços complexos ou documentação gerada artificialmente. Consultores legítimos, prestadores de serviços logísticos, instituições de pagamento, estruturas fiduciárias, operações imobiliárias e cadeias de abastecimento internacionais podem igualmente ser utilizados para ocultar a origem, o destino, a propriedade ou a justificação económica de uma operação. A dificuldade não reside apenas na deteção de fenómenos inteiramente novos. Muitas tipologias emergentes baseiam-se numa adaptação de técnicas já conhecidas, distribuídas por diferentes produtos ou fases de uma operação, de tal modo que cada atividade individual permanece dentro dos limiares habitualmente considerados normais.
Uma capacidade sólida de análise de tipologias no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira combina informação externa com experiência interna. As fontes externas podem incluir publicações de autoridades de supervisão, organismos de investigação, unidades de informação financeira, organizações internacionais, associações setoriais, decisões judiciais, medidas sancionatórias, relatórios de investigação e análises especializadas suficientemente fiáveis. Esta informação não deve limitar-se a ser resumida. Deve ser traduzida e aplicada aos produtos, categorias de clientes, fluxos operacionais, canais de distribuição e exposições geográficas específicos da organização. Uma tipologia relevante para a banca privada pode exigir indicadores diferentes dos aplicáveis a um risco semelhante nos setores dos seguros, do imobiliário, da saúde, da logística, das plataformas digitais ou da contratação pública. As fontes internas são, pelo menos, igualmente importantes. As investigações, os clientes recusados, as relações terminadas, as operações anuladas, as comunicações dos colaboradores, os casos de fraude, os litígios, as reclamações, os incidentes e as conclusões de auditoria contêm informação sobre a forma como os processos próprios da organização podem ser abordados, explorados ou contornados. A análise sistemática destes elementos permite à Gestão Integrada dos Riscos de Criminalidade Financeira determinar se uma tipologia externa já começa a manifestar-se na organização sob uma forma inicial ou incompleta. Deve igualmente ser prestada especial atenção às situações em que não tenha sido formalmente estabelecida qualquer infração, mas em que diversas anomalias, consideradas conjuntamente, revelem uma nova vulnerabilidade.
A identificação de uma tipologia emergente apresenta um valor limitado se a organização não conseguir determinar rapidamente quais as consequências que dela devem resultar. Nem todo o novo desenvolvimento justifica uma revisão imediata de todos os sistemas, procedimentos ou processos de clientes. A Gestão Integrada dos Riscos de Criminalidade Financeira exige uma avaliação proporcionada da probabilidade, do impacto potencial, das categorias de clientes expostas, dos dados disponíveis, da capacidade de deteção e dos controlos existentes. Em determinados casos, pode ser suficiente uma comunicação dirigida a equipas operacionais específicas. Noutros, podem ser necessários controlos manuais temporários, perguntas adicionais durante a integração de clientes, uma revisão temática, a alteração de cenários de monitorização de operações ou a reavaliação de um grupo determinado de relações. As intervenções temporárias não devem tornar-se permanentes sem uma análise posterior, enquanto as alterações estruturais não devem ser adiadas até ser alcançada uma certeza absoluta. As tipologias emergentes caracterizam-se precisamente pela existência de informação incompleta e por formas de manifestação em contínua evolução. O processo decisório deve, por conseguinte, documentar os indicadores disponíveis, os pressupostos adotados, as incertezas ainda existentes e os sinais que justificariam um escalonamento adicional. A primeira linha deve compreender de que forma a tipologia pode manifestar-se operacionalmente. A segunda linha deve proporcionar uma interpretação normativa e baseada no risco que seja coerente em toda a organização. A terceira linha deve verificar se as ameaças emergentes se traduzem efetivamente em melhorias demonstráveis dos controlos. A análise de tipologias torna-se, deste modo, um motor direto da gestão antecipatória dos riscos de criminalidade financeira, em vez de constituir um exercício de conhecimento separado das atividades operacionais.
Interpretar estrategicamente os desenvolvimentos regulamentares e de aplicação da lei
Os desenvolvimentos regulamentares e de aplicação da lei constituem uma fonte essencial de informação sobre a forma como as normas jurídicas, os deveres de diligência e as expectativas relativas aos controlos são interpretados na prática. As coimas, determinações, medidas corretivas, investigações criminais, acordos, decisões judiciais e revisões temáticas demonstram quais as deficiências que as autoridades consideram materiais, quais os critérios probatórios aplicados e em que circunstâncias uma conformidade meramente formal é considerada insuficiente. A Gestão Integrada dos Riscos de Criminalidade Financeira não deve tratar esta informação como uma matéria exclusivamente jurídica nem como uma descrição retrospetiva de deficiências observadas noutras organizações. Cada processo de supervisão ou de aplicação coerciva da lei pode conter indicações relevantes sobre a evolução das expectativas em matéria de governação, diligência devida sobre clientes, monitorização de operações, cumprimento de sanções, processos de comunicação, qualidade dos dados, avaliação dos riscos, externalização, tomada de decisão e responsabilidade da gestão de topo. A questão relevante não consiste apenas em determinar se os factos correspondem exatamente às circunstâncias da própria organização. Mais importante é identificar os princípios subjacentes que podem ser retirados do desenvolvimento em causa e as áreas em que poderão manifestar-se internamente fragilidades semelhantes. Um caso relativo a diligência devida insuficiente sobre clientes pode, por exemplo, ser igualmente relevante para a seleção de fornecedores, a gestão de intermediários ou a aprovação de operações quando exista a mesma deficiência fundamental: uma compreensão inadequada das partes envolvidas, da justificação económica ou da verdadeira propriedade e controlo.
Uma interpretação estratégica exige que as competências jurídicas, de conformidade, de gestão de riscos e operacionais determinem conjuntamente o significado de um desenvolvimento regulamentar ou de aplicação da lei para a organização. Uma análise exclusivamente jurídica pode identificar com precisão a disposição aplicável, sem esclarecer necessariamente quais os processos, dados ou critérios decisórios que devem ser alterados. Em sentido inverso, uma resposta puramente operacional pode conduzir a rápidas alterações processuais sem uma compreensão suficiente do alcance normativo, da posição probatória ou da proporcionalidade da intervenção. A Gestão Integrada dos Riscos de Criminalidade Financeira relaciona estas perspetivas. A segunda linha deve analisar o desenvolvimento à luz da norma aplicável, do enquadramento factual, da deficiência identificada, das expectativas de governação e da sua possível relevância para outras áreas de atividade. A primeira linha deve posteriormente determinar em que processos relacionados com os clientes, a utilização de produtos, o tratamento de operações ou as decisões de exceção podem ocorrer circunstâncias comparáveis. A terceira linha deve avaliar se anteriores atividades de garantia, testes de controlo ou auditorias deveriam ter identificado vulnerabilidades semelhantes e se as conclusões existentes devem ser reavaliadas à luz do novo desenvolvimento. Esta análise conjunta evita que os acontecimentos externos resultem apenas em atualizações genéricas de políticas ou em formação adicional sem impacto demonstrável sobre o funcionamento efetivo dos controlos.
Uma organização eficaz mantém, por conseguinte, um processo estruturado para acompanhar, classificar e implementar informação regulamentar e de aplicação da lei. A Gestão Integrada dos Riscos de Criminalidade Financeira deve definir quais as fontes monitorizadas, qual a função responsável pela avaliação inicial, quais os critérios que determinam a relevância material de um desenvolvimento e dentro de que prazo este deve ser traduzido em consequências para as funções afetadas. A relevância pode depender da jurisdição aplicável, do produto envolvido, da natureza da infração, do montante da sanção, da fundamentação da autoridade, dos dados afetados, do papel da externalização ou da medida em que administradores e dirigentes sejam pessoalmente responsabilizados. Após a classificação, deve ser realizada uma análise de impacto específica que compare os processos, controlos, decisões, relatórios e processos existentes com a nova expectativa. Quando persistam incertezas, poderá ser necessário examinar uma amostra limitada, realizar uma revisão temática ou formalizar uma posição jurídica antes de adotar alterações de maior alcance. O resultado deve ser convertido em medidas concretas, responsáveis claramente identificados, prazos e critérios de conclusão. A organização deve igualmente ser capaz de demonstrar por que razão determinados desenvolvimentos conduziram, ou não, a alterações. Uma decisão de não intervir pode ser defensável quando se baseie numa avaliação explícita da relevância e da exposição. As atuações de supervisão e de aplicação da lei tornam-se, deste modo, instrumentos para identificar preventivamente vulnerabilidades internas e evitar surpresas de governação, em vez de constituírem apenas o fator desencadeador de programas de remediação após a ocorrência de um incidente.
Identificar padrões recorrentes em toda a organização
Os riscos de criminalidade financeira raramente permanecem confinados aos limites de um único departamento, sistema, entidade jurídica ou linha de produto. Um cliente pode manter relações com várias áreas de negócio, realizar operações através de diferentes canais, utilizar entidades relacionadas e atuar simultaneamente como fornecedor, mutuário, segurado ou beneficiário. Quando a informação é analisada separadamente por função ou entidade, cada parte da organização pode percecionar uma situação aparentemente explicável e controlável, enquanto a combinação dos dados revela um perfil de risco materialmente diferente. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por conseguinte, ser capaz de relacionar sinais para além das fronteiras organizacionais. Uma série de pagamentos de valor limitado pode permanecer abaixo dos limiares individuais de comunicação ou deteção e, ainda assim, revelar conjuntamente um padrão de fracionamento ou evasão. Vários processos relativos a clientes diferentes podem conter, quando considerados individualmente, documentação aparentemente suficiente e, ao mesmo tempo, partilhar os mesmos dados de contacto, o mesmo intermediário, o mesmo administrador, a mesma conta bancária, a mesma morada ou características documentais semelhantes. Um fornecedor pode parecer regular da perspetiva das compras, enquanto a função financeira observa faturação anómala e outra área de negócio já registou reclamações ou preocupações de integridade. Na ausência de uma identificação transversal de padrões recorrentes, estas relações permanecem invisíveis e uma tomada de decisão fragmentada pode facilitar involuntariamente atividades criminosas ou de outra forma inaceitáveis.
A identificação de padrões recorrentes em toda a organização exige, em primeiro lugar, que a informação possa ser relacionada de forma coerente e juridicamente rigorosa. As diferentes áreas de negócio utilizam frequentemente definições, identificadores de clientes, categorias de risco, métodos de registo e critérios de escalonamento distintos. A mesma pessoa, entidade ou acontecimento pode, por esse motivo, ser representada de forma diferente em vários sistemas. A Gestão Integrada dos Riscos de Criminalidade Financeira deve estabelecer princípios comuns de identificação, padrões de informação e taxonomias de risco que permitam a comparação sem eliminar o contexto necessário à compreensão das atividades individuais. A informação relevante pode incluir não apenas os dados formais dos clientes, mas também a titularidade efetiva, os administradores, os representantes autorizados, os intermediários, os dispositivos utilizados, as moradas, as contas bancárias, os destinos das operações, as contrapartes contratuais e características comportamentais relevantes. A associação de dados deve realizar-se dentro de limites jurídicos claramente definidos e com salvaguardas adequadas em matéria de privacidade, limitação das finalidades, acesso, conservação e segurança da informação. A possibilidade técnica de combinar dados não significa que toda e qualquer combinação possível possa ser utilizada sem uma avaliação adicional. A análise jurídica e a governação devem determinar quais os dados necessários e proporcionados para cada finalidade de risco, quem está autorizado a avaliar os resultados e de que forma as pessoas singulares e coletivas são protegidas contra conclusões imprudentes ou descontextualizadas.
O desafio organizacional consiste, numa fase posterior, em traduzir os padrões identificados em responsabilidade partilhada e atuação coordenada. Quando um risco afeta várias áreas de negócio, pode surgir incerteza quanto à função competente para iniciar uma investigação, limitar operações, reavaliar relações ou organizar uma decisão ao nível da gestão. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por isso, prever órgãos de governação nos quais as funções afetadas possam analisar conjuntamente os factos, as incertezas, os enquadramentos jurídicos e as possíveis medidas. Pode ser necessário designar um coordenador central ou responsável pelo processo, mas tal não deve resultar na transferência de toda a responsabilidade para a conformidade ou para as funções de investigação. A primeira linha continua responsável pelos riscos decorrentes das suas atividades, clientes e processos. A segunda linha estabelece os quadros de referência, presta aconselhamento, questiona as decisões e promove a coerência. A terceira linha avalia, de forma independente, se os padrões são identificados em tempo útil e se as questões transversais não se perdem entre diferentes áreas de responsabilidade. A informação de gestão deve igualmente ir além da simples contagem de comunicações ou investigações. Os órgãos de administração e supervisão necessitam de visibilidade sobre as relações recorrentes entre produtos, categorias de clientes, jurisdições, intermediários, deficiências de controlo e decisões de exceção. Quando estes padrões se tornam visíveis, a Gestão Integrada dos Riscos de Criminalidade Financeira permite não apenas abordar casos individuais, mas também reforçar de forma direcionada os processos, os modelos comerciais e os mecanismos de controlo subjacentes.
Aplicar a monitorização prospetiva e a análise de cenários
A monitorização prospetiva consiste na análise sistemática dos desenvolvimentos que podem alterar o futuro perfil dos riscos de criminalidade financeira, mesmo quando ainda não é visível qualquer incidente imediato ou deficiência formal. O seu âmbito pode incluir tensões geopolíticas, desenvolvimentos sancionatórios, pressões macroeconómicas, aplicações tecnológicas, alterações nas rotas comerciais, novos modelos de negócio, transformações sociais, evolução dos fenómenos criminosos e reformas legislativas ou regulamentares. A Gestão Integrada dos Riscos de Criminalidade Financeira utiliza esta informação não como uma análise geral do contexto, mas como base para formular questões específicas sobre a exposição própria da organização. Um aumento das sanções pode conduzir a estruturas de evasão, circuitos de pagamento alternativos, formas de propriedade indireta e utilização de jurisdições intermediárias. As pressões económicas podem aumentar a fraude, a corrupção, a utilização abusiva de subsídios, a criminalidade associada à insolvência ou a manipulação de informação financeira. Os novos serviços digitais podem acelerar a integração de clientes, criando simultaneamente riscos adicionais relacionados com a verificação da identidade, documentos sintéticos, ataques automatizados e pagamentos transfronteiriços. As alterações na atividade de aplicação da lei podem igualmente deslocar os comportamentos criminosos para setores, produtos ou jurisdições em que os controlos estejam menos desenvolvidos. O valor da monitorização prospetiva não reside, por conseguinte, na acumulação da maior quantidade possível de informação orientada para o futuro, mas na seleção dos desenvolvimentos que podem colocar em causa os pressupostos em que assentam as avaliações de risco e os controlos existentes.
A análise de cenários converte estes desenvolvimentos em situações plausíveis nas quais a organização pode ficar sujeita a uma pressão específica. A Gestão Integrada dos Riscos de Criminalidade Financeira deve ir além de uma descrição geral de possíveis ameaças. Um cenário útil identifica o acontecimento ou desenvolvimento em causa, os clientes, produtos, entidades jurídicas ou processos que poderão ser afetados, os sinais suscetíveis de surgir, os controlos que poderão ficar sob pressão e as decisões que poderão ter de ser adotadas dentro de um prazo limitado. Um cenário pode, por exemplo, prever que um parceiro comercial relevante fique subitamente sujeito a sanções, tornando necessária uma avaliação imediata da propriedade indireta, dos pagamentos pendentes, das obrigações contratuais e das possibilidades de partilha de informação. Outro cenário pode considerar a utilização em larga escala de documentos de identidade gerados artificialmente nos processos digitais de integração, fazendo com que os métodos de verificação existentes deixem de ser suficientemente fiáveis. Outros cenários podem analisar as consequências da insolvência de um prestador externo, da disponibilidade incompleta de dados transacionais ou de um rápido crescimento comercial que produza um aumento material do número de processos sujeitos a revisão manual. A análise antecipada destas situações permite identificar dependências, competências decisórias pouco claras, limitações de informação e procedimentos de escalonamento incompletos antes da ocorrência de uma crise efetiva.
Uma análise de cenários eficaz deve resultar numa tomada de decisão preparada e em melhorias mensuráveis. Para cada cenário material, a Gestão Integrada dos Riscos de Criminalidade Financeira deve estabelecer quais os indicadores precoces que serão monitorizados, quais os limiares que desencadearão uma intervenção, quais as funções que deverão participar e que medidas temporárias ou estruturais poderão ser adotadas. A análise não deve limitar-se à prevenção e à deteção, mas deve abranger igualmente a posição jurídica, a preservação de elementos de prova, as obrigações de comunicação, as comunicações com os clientes, a continuidade operacional e a responsabilidade dos órgãos de governação. Os cenários devem ser periodicamente testados através de exercícios ou revisões estruturadas de simulação, a fim de determinar se as responsabilidades são compreendidas na prática e se a informação necessária estaria disponível em tempo útil. As conclusões resultantes desses exercícios devem contribuir para as avaliações de risco, as alterações das políticas, a formação, o desenvolvimento dos sistemas e o planeamento das atividades de garantia. A terceira linha pode utilizar os cenários para determinar se a organização está suficientemente preparada para circunstâncias que se afastem dos processos habituais. Os órgãos de administração e direção podem utilizar os resultados para aperfeiçoar o apetite pelo risco, as prioridades de investimento e a tomada de decisão em situações de crise. A monitorização prospetiva confere, deste modo, à Gestão Integrada dos Riscos de Criminalidade Financeira uma orientação para o futuro, enquanto a análise de cenários assegura que essa compreensão é convertida numa preparação organizacional concreta. A organização reforça assim a sua capacidade para intervir atempadamente, preservar as opções disponíveis e conter as consequências dos riscos emergentes antes que estes se propaguem entre clientes, processos, entidades e mercados.
Reforçar a deteção através dos dados e da tecnologia
A análise de dados e a tecnologia são indispensáveis para reforçar a capacidade de uma organização identificar os riscos de criminalidade financeira numa fase precoce. O seu valor no contexto da Gestão Integrada dos Riscos de Criminalidade Financeira depende, contudo, de muito mais do que da mera sofisticação técnica. Uma eficácia sustentável apenas pode ser alcançada quando as aplicações tecnológicas estão associadas a hipóteses de risco claramente definidas, a dados fiáveis e suficientemente completos, a conhecimentos especializados, a uma governação transparente e a processos decisórios demonstráveis e justificáveis. A monitorização de operações, a análise de redes, a resolução de entidades, a análise comportamental, a aprendizagem automática, o processamento automatizado da linguagem, a filtragem automatizada e outras técnicas avançadas permitem examinar conjuntos de dados extensos e complexos com o objetivo de identificar relações que dificilmente seriam detetadas por colaboradores individualmente considerados ou através de controlos convencionais. A tecnologia pode revelar, por exemplo, que vários clientes utilizam os mesmos dados de contacto, dispositivos, contas bancárias, administradores, moradas, intermediários ou características documentais. Pode igualmente demonstrar que operações aparentemente regulares, quando analisadas separadamente, formam, quando consideradas em conjunto, um padrão de fracionamento, rápida transferência, circulação de fundos, concentração inexplicada ou pagamentos reiterados dirigidos a um número limitado de contrapartes. O verdadeiro critério de eficácia não reside no número de alertas gerados, mas na capacidade da tecnologia distinguir anomalias relevantes de atividades legítimas e disponibilizar contexto suficiente para uma avaliação substantiva. Um sistema que produza um volume elevado de alertas insuficientemente priorizados pode esgotar a capacidade operacional, fazer com que preocupações materiais desapareçam em atrasos acumulados e criar a impressão enganadora de que os riscos estão a ser controlados simplesmente porque as atividades são registadas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que qualquer aplicação tecnológica assente numa compreensão explícita do risco que se pretende detetar, da forma como esse risco poderá manifestar-se, dos dados necessários, das limitações inerentes à metodologia e do processo através do qual os resultados serão convertidos em intervenções proporcionadas.
A eficácia da deteção baseada em dados depende, em larga medida, da exaustividade, atualidade, coerência, exatidão e rastreabilidade da informação subjacente. Em muitas organizações, os dados relativos aos clientes, as operações, as classificações de risco, os resultados da filtragem de sanções, as comunicações de incidentes, as conclusões de investigações, as informações sobre fornecedores e a inteligência relativa a terceiros encontram-se distribuídos por múltiplos sistemas, áreas de negócio e entidades jurídicas. O mesmo cliente ou a mesma contraparte podem estar registados sob diferentes nomes, identificadores, moradas ou relações de grupo, dificultando a identificação automática de ligações. A introdução manual de dados, as práticas locais, as limitações dos sistemas legados, as migrações incompletas e as definições incoerentes podem ainda gerar lacunas, duplicações ou contradições. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por esse motivo, investir não apenas em modelos de deteção, mas também na governação dos dados, na validação das fontes, em definições comuns, na documentação da respetiva linhagem e em controlos sistemáticos de qualidade. Deve ficar claramente estabelecido qual a fonte considerada oficial, que transformações foram aplicadas, que limitações subsistem e qual a função responsável pela sua correção. Um modelo altamente sofisticado não pode produzir conclusões fiáveis a partir de informação incompleta, desatualizada ou insuficientemente definida. De igual modo, um resultado técnico não deve ser considerado uma constatação factual sem análise adicional. Os modelos identificam correlações, anomalias, semelhanças ou probabilidades; não determinam autonomamente a existência de atividade criminosa, de uma infração jurídica ou de uma exposição inaceitável em matéria de integridade. O julgamento profissional deve relacionar os resultados tecnológicos com o contexto do cliente, as características do produto, a justificação económica, os acordos contratuais, as exigências legais e quaisquer elementos corroborantes disponíveis. Tal exige analistas com conhecimentos substantivos suficientes e profissionais das funções jurídica, de conformidade e de gestão de riscos com compreensão tecnológica adequada para testar pressupostos, questionar resultados e identificar elementos contextuais ausentes.
A deteção apoiada pela tecnologia também gera riscos próprios de natureza jurídica, de governação e de criminalidade financeira. Os modelos podem reproduzir enviesamentos históricos, selecionar de forma desproporcionada determinadas categorias de clientes, não reconhecer a evolução das condutas criminosas ou criar uma falsa sensação de certeza ao apresentar resultados complexos como objetivos e definitivos. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, portanto, assegurar que os modelos sejam objeto de validação independente antes da sua implementação, recalibrados periodicamente e monitorizados de forma contínua quanto à sua eficácia, estabilidade, falsos positivos, falsos negativos e consequências não intencionais. As alterações introduzidas nos modelos devem ser rastreáveis e as decisões relativas a variáveis, limiares, exclusões, ponderações e prioridades devem poder ser justificadas substantivamente. Quando sejam utilizadas inteligência artificial ou outras metodologias analíticas avançadas, deve ser dedicada especial atenção à explicabilidade, à privacidade, à proteção de dados, à intervenção humana significativa e à possibilidade de contestar ou corrigir os resultados. A primeira linha deve compreender quais os comportamentos e dados relevantes para a deteção e em que áreas poderá faltar contexto operacional. A segunda linha deve supervisionar a coerência entre a avaliação dos riscos, a conceção dos modelos, as exigências jurídicas e os processos de acompanhamento. A terceira linha deve avaliar de forma independente se as aplicações tecnológicas reforçam efetivamente os mecanismos de controlo da criminalidade financeira ou se produzem apenas soluções tecnicamente avançadas, mas insuficientemente governadas, questionadas ou sustentadas do ponto de vista probatório. A Gestão Integrada dos Riscos de Criminalidade Financeira considera, assim, a tecnologia como uma ferramenta controlada e sujeita a responsabilidade, sem transferir o julgamento profissional, a avaliação jurídica ou a responsabilidade da gestão para sistemas automatizados.
Reforçar a inteligência relativa a terceiros e às cadeias de abastecimento
Os riscos de criminalidade financeira não têm origem exclusivamente nas relações diretas com os clientes ou nos processos operacionais internos da organização. Podem também desenvolver-se através de fornecedores, distribuidores, agentes, consultores, parceiros de empreendimentos conjuntos, subcontratados, operadores de plataformas, prestadores de serviços de pagamento, empresas de logística e outros prestadores externos. Estes terceiros podem ter acesso a sistemas, informação de clientes, fluxos financeiros, autorizações administrativas, funcionários públicos, mercados locais, decisões de contratação ou outros recursos suscetíveis de serem utilizados para cometer fraude, suborno, corrupção, contornar sanções, desviar ativos ou ocultar a titularidade efetiva. Em cadeias de abastecimento complexas e transfronteiriças, pode igualmente ser difícil determinar quais as entidades que efetivamente fornecem os bens, quem executa os serviços contratados, quem recebe em última instância os pagamentos e quais os intermediários que exercem influência sobre as decisões comerciais ou contratuais. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por conseguinte, ir além da verificação inicial dos registos comerciais, das informações relativas à propriedade e da situação perante regimes de sanções. Um terceiro pode apresentar um perfil aparentemente aceitável no início da relação e, posteriormente, alterar a sua estrutura de propriedade, externalizar atividades substanciais, introduzir novos subcontratados, utilizar contas bancárias diferentes, operar em novas jurisdições ou ficar associado a informações desfavoráveis, investigações, litígios ou intervenções regulamentares. A execução contratual pode igualmente afastar-se progressivamente dos serviços inicialmente acordados. A identificação precoce exige, assim, visibilidade contínua sobre a identidade, propriedade, reputação, função operacional, modalidades de pagamento e conduta efetiva dos terceiros relevantes durante toda a relação.
Uma abordagem baseada no risco deve distinguir entre as diversas categorias de terceiros, a sua posição na cadeia de abastecimento e a natureza do acesso, discricionariedade ou influência de que dispõem. Um fornecedor de material de escritório comum apresenta, em regra, um perfil de risco diferente do de um agente local encarregado de facilitar autorizações, de um consultor contratado para gerar oportunidades comerciais, de um distribuidor ativo numa jurisdição de risco elevado ou de um intermediário autorizado a receber pagamentos em nome de clientes. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por esse motivo, aplicar critérios de avaliação que ultrapassem o país, o setor e o valor do contrato. Entre os fatores relevantes podem incluir-se a necessidade económica de recorrer ao terceiro, a proporcionalidade da sua remuneração, a transparência e verificabilidade dos serviços, o eventual envolvimento de funcionários públicos, a utilização de subcontratados, o método de pagamento proposto, a estrutura de propriedade, anteriores preocupações de integridade e o grau em que o terceiro representará externamente a organização. Uma remuneração elevada não é automaticamente imprópria e uma cadeia de abastecimento complexa não é intrinsecamente inaceitável, mas as anomalias devem poder ser explicadas e sustentadas por elementos probatórios. Indicadores como pagamentos efetuados a uma entidade diferente da contraparte contratual, comissões sem relação clara com os serviços prestados, pedidos de pagamento em numerário, alterações inexplicadas dos dados bancários, utilização de sociedades de fachada, descrições imprecisas dos serviços ou resistência à transparência podem justificar verificações reforçadas. As cláusulas contratuais relativas ao acesso à informação, direitos de auditoria, subcontratação, cumprimento de sanções, obrigações anticorrupção, direitos de resolução e cooperação com investigações devem facilitar essas verificações e ser aplicáveis na prática, em vez de existirem apenas como formulações padronizadas.
O pleno valor da inteligência relativa a terceiros e às cadeias de abastecimento torna-se visível quando a informação detida pelas funções de compras, finanças, assuntos jurídicos, conformidade, operações, segurança e investigações internas é analisada de forma conjunta. A função de compras pode observar que os mesmos fornecedores são selecionados com frequência invulgar, a função financeira pode identificar padrões irregulares de faturação, a função jurídica pode verificar que as proteções contratuais são repetidamente enfraquecidas e as equipas operacionais podem estabelecer que os serviços contratados são, na realidade, executados por entidades diferentes. Cada observação pode ter uma explicação limitada quando considerada isoladamente, mas a sua combinação pode revelar conflitos de interesses, acordos fictícios, suborno, fraude na faturação, subcontratação não autorizada ou relações de propriedade ocultas. A Gestão Integrada dos Riscos de Criminalidade Financeira deve permitir que estas funções relacionem a informação e determinem quando um terceiro deve ser reavaliado, quando os pagamentos devem ser suspensos, quando as garantias contratuais devem ser reforçadas ou quando deve ser iniciada uma investigação. A primeira linha continua responsável pela seleção, nomeação, gestão e revisão de terceiros. A segunda linha define as normas, aconselha relativamente a exposições elevadas, analisa exceções e promove a coerência em toda a organização. A terceira linha examina de forma independente se a diligência devida, as garantias contratuais, a monitorização e o acompanhamento funcionam efetivamente na prática. Considerar os terceiros e as cadeias de abastecimento como uma componente integrada da gestão dos riscos de criminalidade financeira, e não como uma matéria separada reservada à função de compras, permite à organização identificar mais cedo exposições em áreas onde a visibilidade formal é limitada e nas quais os intervenientes externos atuam, na prática, como uma extensão das atividades da própria organização.
Compreender a exposição jurisdicional e geopolítica
A localização geográfica de um cliente, de uma operação ou de uma contraparte representa apenas um dos componentes da exposição jurisdicional. Os riscos de criminalidade financeira podem também estar associados ao país de constituição, à nacionalidade, à propriedade, ao controlo efetivo, às rotas de trânsito, às moedas utilizadas, aos bancos correspondentes, aos destinos comerciais, à origem dos bens, às infraestruturas digitais e aos locais onde são tomadas decisões ou prestados serviços. Uma operação entre duas jurisdições aparentemente menos expostas pode, ainda assim, manter uma ligação indireta com uma parte sancionada, um setor de risco elevado ou uma região em que a corrupção, o financiamento de conflitos, o tráfico de seres humanos, a evasão fiscal ou a criminalidade organizada tenham uma presença significativa. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por conseguinte, evitar reduzir a avaliação jurisdicional a listas estáticas de países ou a classificações genéricas de risco. Estes instrumentos podem fornecer orientação útil, mas são frequentemente insuficientes para refletir alterações políticas rápidas, diferenças regionais, vulnerabilidades setoriais e as formas pelas quais as operações são canalizadas através de diferentes sistemas jurídicos e financeiros. As redes criminosas podem utilizar deliberadamente jurisdições com sólida reputação, instituições financeiras estabelecidas ou regimes societários sofisticados para conferir uma aparência de legitimidade às suas atividades. Uma avaliação jurisdicional significativa deve, em consequência, abranger toda a cadeia de partes, bens, serviços, pagamentos, relações de propriedade e poderes decisórios, em vez de se concentrar exclusivamente na localização formal do cliente imediato ou da operação.
Os acontecimentos geopolíticos podem alterar, num período extremamente curto, a exposição a sanções, as restrições à exportação, as estruturas de propriedade, as rotas comerciais e a continuidade operacional. Um conflito armado, um golpe de Estado, o resultado de eleições, uma escalada diplomática, uma disputa comercial ou a introdução de um novo regime de sanções podem colocar relações e operações existentes num contexto de risco fundamentalmente diferente. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por esse motivo, manter um processo através do qual os acontecimentos relevantes possam ser rapidamente identificados, corretamente interpretados e traduzidos em exposições concretas. Tal exige cooperação entre especialistas jurídicos, peritos em sanções, funções de conformidade, inteligência empresarial, fiscalidade, conformidade comercial, compras e equipas operacionais. A avaliação deve determinar quais os clientes, titulares efetivos, fornecedores, produtos, contratos e fluxos de pagamento potencialmente afetados. Deve igualmente considerar a propriedade indireta, a influência exercida na prática, a representação, a dependência económica e as tentativas de prosseguir atividades através de entidades, contrapartes ou jurisdições alternativas. O facto de uma parte não constar de uma lista formal de sanções não exclui a existência de exposição elevada. Uma entidade pode ser detida ou controlada por uma pessoa designada, atuar como intermediária ou participar em estruturas cujo objetivo material seja contornar restrições. Uma reavaliação atempada é essencial para impedir que as atividades prossigam com base em informações desatualizadas sobre clientes, pressupostos históricos ou classificações de risco que já não refletem as circunstâncias existentes.
A Gestão Integrada dos Riscos de Criminalidade Financeira deve traduzir a inteligência jurisdicional e geopolítica em intervenções diferenciadas e proporcionadas. Nem todos os acontecimentos exigem a cessação de uma relação ou a suspensão total de uma atividade. Dependendo da natureza e do nível da exposição, as medidas adequadas podem incluir diligência devida reforçada, monitorização mais intensa das operações, aprovação por especialistas jurídicos, restrições relativas a determinados produtos, alterações contratuais, verificação da circulação de bens ou uma análise mais aprofundada da propriedade e do controlo. O processo decisório deve documentar cuidadosamente os factos conhecidos, a informação ainda indisponível, os regimes jurídicos aplicáveis e as considerações que influenciam a continuação, limitação ou cessação da atividade. A primeira linha deve identificar as consequências operacionais e comerciais de cada opção, mas não deve utilizar a complexidade geopolítica para normalizar ou minimizar um risco material. A segunda linha deve aplicar critérios coerentes e assegurar que circunstâncias comparáveis sejam tratadas de forma comparável nas diferentes áreas de negócio e entidades jurídicas. A terceira linha deve avaliar se o risco-país, os desenvolvimentos em matéria de sanções e as exposições transfronteiriças são integrados nos sistemas, modelos de risco, estruturas de governação e processos decisórios de forma suficientemente atempada e fiável. A ligação entre a avaliação jurisdicional e uma inteligência geopolítica atualizada permite à Gestão Integrada dos Riscos de Criminalidade Financeira identificar de que forma os acontecimentos externos podem colocar em causa pressupostos anteriores, expor relações previamente aceites e criar novas vias para a criminalidade financeira.
Detetar a deriva dos controlos e os sinais fracos
Os controlos não perdem eficácia apenas em consequência de uma falha visível do sistema ou de uma infração formalmente constatada. O seu funcionamento pode deteriorar-se gradualmente quando exceções temporárias se tornam habituais, as revisões se tornam progressivamente mais superficiais, as responsabilidades se alteram, a qualidade dos dados diminui ou os colaboradores desenvolvem soluções informais para responder a pressões operacionais ou comerciais. Este processo de deriva dos controlos é particularmente perigoso porque os procedimentos, relatórios e indicadores de desempenho podem continuar formalmente em vigor enquanto a sua execução efetiva se afasta progressivamente da finalidade original do controlo. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por conseguinte, avaliar não apenas se um controlo foi concebido e executado, mas também se continua a abranger o risco previsto, se conserva profundidade suficiente e se funciona de forma credível em circunstâncias em transformação. Um processo de cliente pode ser registado como completo apesar de permanecerem sem resposta questões materiais relacionadas com a atividade económica, a propriedade, a origem dos fundos ou a justificação económica. Um alerta de monitorização de operações pode ser encerrado dentro do prazo previsto, embora a respetiva fundamentação assente sobretudo em formulações padronizadas e numa análise substantiva limitada. Uma revisão periódica de um cliente pode ser considerada concluída ainda que não tenham sido tomadas em consideração novas informações provenientes de reclamações, notícias desfavoráveis, investigações ou outras áreas de negócio. Estas deficiências manifestam-se frequentemente através de pequenas incoerências, do aumento das exceções, da repetição de medidas corretivas, de diferenças inexplicadas entre equipas ou de uma dependência crescente de intervenções manuais.
Os sinais fracos adquirem o seu verdadeiro significado quando são examinados em relação com desenvolvimentos mais amplos relativos à capacidade, ao comportamento, aos incentivos e à governação, em vez de serem avaliados isoladamente. Um aumento das correções manuais pode indicar um problema técnico, mas pode também refletir tentativas de contornar ou compensar controlos ineficazes. Um número crescente de processos de clientes concluídos imediatamente antes dos prazos pode ser explicado pela carga de trabalho, mas pode igualmente indicar que a avaliação substantiva está a ser subordinada a objetivos de produção. A prorrogação repetida de medidas temporárias de mitigação pode demonstrar que as intervenções estruturais de remediação não estão a ser executadas. A Gestão Integrada dos Riscos de Criminalidade Financeira deve analisar conjuntamente a informação relativa a exceções, tempos de processamento, atrasos acumulados, conclusões de qualidade, rotação de pessoal, reclamações, desempenho dos modelos, formação e resultados de auditoria. Nem todas as tendências negativas representam um risco material de criminalidade financeira. A questão relevante consiste em determinar quais as combinações de indicadores que revelam uma divergência crescente entre o controlo formal e a sua execução efetiva. A informação qualitativa é tão importante quanto os relatórios quantitativos. Os colaboradores podem reconhecer numa fase inicial que os procedimentos são impraticáveis, os sistemas são pouco fiáveis, a pressão comercial está a aumentar, as responsabilidades não são claras ou os escalonamentos não recebem um acompanhamento visível. Uma organização que desvalorize estas observações, classificando-as como resistência, insatisfação isolada ou ruído operacional, perde uma fonte essencial de inteligência preventiva.
A abordagem à deriva dos controlos exige uma cultura em que a deterioração gradual da qualidade possa ser identificada e questionada com a mesma diligência aplicada a um incidente isolado. A primeira linha deve assumir a responsabilidade pelo funcionamento diário dos controlos e comunicar com transparência quando limitações de capacidade, deficiências dos sistemas ou circunstâncias comerciais impeçam uma execução eficaz. A segunda linha deve ir além das percentagens formais de conformidade e analisar se os controlos continuam a ser substantivamente eficazes. A terceira linha deve determinar de forma independente se a informação de gestão representa de modo fiável o desempenho real e se exceções prolongadas, conclusões recorrentes ou medidas corretivas adiadas recebem atenção suficiente da gestão de topo. A Gestão Integrada dos Riscos de Criminalidade Financeira deve igualmente estabelecer critérios claros para reabrir conclusões anteriormente encerradas quando novas informações demonstrem que o risco subjacente não foi resolvido de forma sustentável. Uma sucessão de pequenas deficiências recorrentes pode ser mais grave do que um único incidente isolado, sobretudo quando se prolonga por vários anos, localizações, produtos ou categorias de clientes. A deteção precoce permite uma intervenção direcionada antes que a deriva dos controlos conduza a incumprimento estrutural, à utilização criminosa da organização ou a um programa de remediação amplo e oneroso. A função de garantia ultrapassa, assim, a mera confirmação periódica da existência de procedimentos e transforma-se num exame contínuo da credibilidade, eficácia e capacidade de funcionamento efetivo dos mecanismos de controlo da criminalidade financeira.
Escalonar atempadamente e intervir de forma preventiva
A identificação precoce dos riscos de criminalidade financeira apenas gera valor quando os sinais relevantes são convertidos em decisões atempadas e intervenções eficazes. Os atrasos no interior das organizações não resultam normalmente de uma ausência total de informação, mas de incertezas relacionadas com a materialidade do risco, a autoridade competente, a responsabilidade pelo processo ou o limiar probatório exigido. Os colaboradores podem hesitar em escalonar uma questão porque ainda não existe prova conclusiva de uma conduta irregular, porque estão em causa interesses comerciais significativos ou porque anteriores comunicações não receberam acompanhamento visível. A Gestão Integrada dos Riscos de Criminalidade Financeira deve distinguir claramente entre o limiar que justifica uma avaliação adicional e aquele que permite alcançar uma conclusão definitiva. Um escalonamento precoce não significa que um cliente, colaborador ou terceiro seja já considerado responsável por uma conduta ilícita. Significa que a informação disponível é suficientemente relevante para justificar análise adicional, uma medida temporária de mitigação ou a atenção da gestão de topo. Quando o escalonamento apenas ocorre depois de todos os factos terem sido estabelecidos, as possibilidades de intervenção podem já ser mais limitadas e as operações, os elementos de prova, a reputação ou os prazos legais podem deixar de estar adequadamente protegidos. Os critérios de escalonamento devem ter em consideração o impacto potencial, a velocidade de evolução, a irreversibilidade das consequências, as jurisdições envolvidas, a presença de pessoas vulneráveis, as obrigações de comunicação e a possibilidade de vários sinais individualmente limitados constituírem, em conjunto, um risco material.
As intervenções preventivas devem ser proporcionadas, juridicamente defensáveis e operacionalmente viáveis. Dependendo das circunstâncias, a Gestão Integrada dos Riscos de Criminalidade Financeira pode justificar pedidos adicionais de informação, atrasos temporários na execução de operações, monitorização reforçada, restrições sobre determinados serviços, reavaliação de uma relação com um cliente, suspensão de pagamentos, preservação de elementos de prova, revisões específicas de processos ou o envolvimento de especialistas jurídicos e de investigação. A resposta adequada não corresponde automaticamente à medida mais severa disponível, mas àquela que se mostre mais apropriada para manter o risco sob controlo, protegendo simultaneamente os direitos afetados, as obrigações contratuais, os interesses probatórios e as atividades legítimas. Uma reação excessiva pode impedir operações lícitas, prejudicar as relações com os clientes, criar riscos de divulgação indevida ou enfraquecer a posição jurídica da organização. Uma resposta insuficiente pode permitir que a exposição prossiga e revelar-se posteriormente difícil de justificar perante autoridades de supervisão, tribunais, auditores ou outras partes interessadas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, portanto, uma avaliação documentada dos factos, das incertezas, das alternativas e das consequências previsíveis. Deve ser previamente estabelecido quem está autorizado a impor medidas temporárias, que informação pode ser partilhada, que funções devem ser consultadas e dentro de que prazo a situação deverá ser reavaliada. As medidas temporárias não devem manter-se indefinidamente sem revisão expressa nem transformar-se, por inércia, em exceções permanentes.
Um escalonamento eficaz exige órgãos de governação dotados da autoridade, dos conhecimentos e da rapidez necessários para analisar situações complexas de forma integrada. Um único caso pode produzir consequências em matéria de responsabilidade criminal, relações com autoridades de supervisão, privacidade, direito laboral, obrigações contratuais, cumprimento de sanções, exposição fiscal, continuidade operacional e reputação. Quando cada função atua exclusivamente dentro dos limites do seu próprio mandato, podem surgir medidas contraditórias ou o processo decisório pode ficar bloqueado numa sucessão de pareceres separados, sem atribuição clara de responsabilidade. A Gestão Integrada dos Riscos de Criminalidade Financeira deve prever, por esse motivo, coordenação na gestão dos processos, poderes decisórios claramente definidos e acesso direto à gestão de topo quando o potencial impacto o justifique. A primeira linha fornece o contexto relativo ao cliente, à operação, ao produto e às atividades operacionais, permanecendo responsável pela atividade afetada. A segunda linha mantém os padrões aplicáveis, questiona as decisões, promove a coerência e supervisiona o acompanhamento. A terceira linha conserva a sua independência e avalia se o escalonamento, o processo decisório e a intervenção foram suficientemente atempados e eficazes. Após o encerramento, qualquer escalonamento material deve ser considerado uma fonte de aprendizagem organizacional. Deve ser determinado quais os sinais anteriormente disponíveis, por que motivo foram ou não reconhecidos, em que fase o processo decisório sofreu atrasos e que alterações são necessárias nos sistemas, procedimentos, formação, incentivos ou mecanismos de governação. A Gestão Integrada dos Riscos de Criminalidade Financeira estabelece, assim, a ligação entre o alerta precoce e a intervenção preventiva, permitindo à organização atuar enquanto as consequências ainda podem ser contidas, as opções permanecem disponíveis e um controlo eficaz ainda pode ser preservado.
