As organizações dispõem, em geral, de um volume considerável de informação relativa a deficiências, vulnerabilidades e padrões recorrentes no âmbito da gestão dos riscos de criminalidade financeira. Os relatórios de auditoria interna, a monitorização da conformidade, as avaliações de garantia da qualidade, as revisões de processos e de ficheiros, as análises temáticas, os resultados da monitorização de transações, as conclusões de investigações, as reclamações, as comunicações de incidentes, as análises jurídicas, as avaliações de risco, os testes de controlos, as observações das autoridades de supervisão e a informação de gestão podem, individualmente, revelar sinais relevantes. A existência dessa informação não significa, contudo, que a organização disponha automaticamente de uma compreensão coerente da verdadeira natureza, gravidade e interligação dos problemas identificados. As constatações são frequentemente registadas em sistemas distintos, atribuídas a unidades de negócio separadas e descritas com recurso a diferentes definições, escalas de risco, classificações causais e critérios de encerramento. Uma deficiência no processo de aceitação de clientes pode, por conseguinte, ser tratada como uma falha operacional limitada a um processo específico, enquanto deficiências comparáveis são classificadas noutras áreas como uma fragilidade de política interna, uma limitação tecnológica, uma necessidade de formação ou uma falha de governação. Quando estas observações não são consolidadas nem avaliadas de forma conjunta, a organização pode executar um número significativo de ações individuais sem desenvolver uma compreensão suficiente das causas mais profundas que permitem a recorrência dos mesmos riscos de criminalidade financeira. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, um processo integrado no qual as constatações não sejam apenas registadas, mas interpretadas como potenciais indicadores de fragilidades estruturais relacionadas com a tomada de decisão, a qualidade dos dados, a atribuição de responsabilidades, o conhecimento especializado, a tecnologia, os incentivos, a supervisão ou a conceção dos controlos.
A transformação da análise em ação exige, adicionalmente, uma ligação clara entre as atividades de assurance, a tomada de decisão pela gestão e a concretização efetiva da mudança. Uma constatação apenas adquire verdadeira relevância organizacional quando se torna possível determinar a exposição dela resultante, os processos ou domínios jurídicos afetados, os clientes, transações ou produtos potencialmente envolvidos e a intervenção necessária para eliminar, de forma demonstrável, a causa subjacente. Este processo requer muito mais do que a simples designação de um responsável pela ação ou o registo de uma data futura de conclusão. A gestão deve distinguir entre as situações que exigem medidas imediatas de contenção, as deficiências suscetíveis de correção através de um ajustamento tático limitado e as fragilidades estruturais que exigem uma revisão mais ampla da governação, dos processos, dos sistemas, das competências ou dos mecanismos de decisão. A primeira linha deve determinar de que forma uma constatação afeta a atividade quotidiana e identificar as limitações práticas suscetíveis de influenciar a remediação. A segunda linha deve avaliar se a intervenção proposta está em conformidade com a legislação aplicável, as expectativas regulatórias, as normas internas e o apetite ao risco definido pela organização. A terceira linha deve determinar, com plena independência, se a gravidade, o âmbito e a recorrência das constatações foram suficientemente evidenciados e se a solução proposta é suscetível de produzir uma redução sustentável do risco. A Gestão Integrada dos Riscos de Criminalidade Financeira reúne estes contributos num processo de mudança controlado, no qual as prioridades, responsabilidades, recursos, dependências, requisitos probatórios e momentos de decisão são claramente definidos desde o início. Desta forma, evita-se que as atividades de assurance conduzam apenas a respostas administrativas, a alterações de políticas sem impacto operacional ou ao encerramento formal de ações sem uma melhoria demonstrável da gestão dos riscos de criminalidade financeira.
Uma taxonomia integrada de constatações e deficiências
Uma taxonomia integrada constitui a base para uma avaliação coerente das constatações no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira. Na ausência de um quadro conceptual comum, deficiências comparáveis podem ser registadas e tratadas de formas diferentes, impedindo a identificação de padrões e fazendo com que a informação de gestão apresente uma visão fragmentada. Uma constatação pode, por exemplo, estar relacionada com a ausência de informação sobre um cliente, uma verificação insuficiente dos beneficiários efetivos, o acompanhamento tardio de alertas transacionais, uma verificação incompleta face a regimes de sanções, uma documentação inadequada, uma escalada deficiente ou uma fundamentação insuficiente das decisões. Quando cada unidade de negócio regista estas fragilidades utilizando a sua própria terminologia, os seus próprios critérios de gravidade e as suas próprias classificações causais, torna-se difícil determinar se a organização está perante erros isolados de execução ou perante um problema que afeta várias entidades ou a organização no seu conjunto. Uma taxonomia integrada deve, por isso, distinguir entre a deficiência observável, o risco afetado, a causa subjacente, o controlo relevante, o âmbito organizacional e as potenciais consequências. Deve igualmente permitir relacionar uma constatação com a fase correspondente do ciclo de vida do cliente ou da transação, o domínio de prática aplicável, a entidade jurídica afetada, a jurisdição relevante, a função responsável e a norma legal, regulatória ou interna subjacente. Esta estruturação permite comparar, num único quadro analítico, as constatações provenientes da auditoria interna, da conformidade, das investigações, da garantia da qualidade e das avaliações externas, sem perder o contexto específico da fonte original.
A taxonomia deve ser suficientemente detalhada para evidenciar diferenças materialmente relevantes, mas não tão complexa que transforme o registo das constatações num objetivo autónomo. Um modelo funcional compreende, em regra, vários níveis de classificação interligados. O primeiro nível descreve aquilo que foi objetivamente identificado, como a ausência de uma avaliação de risco, a omissão de um controlo, uma escalada incompleta ou um desvio face a um procedimento estabelecido. O segundo nível determina qual o risco de criminalidade financeira afetado, incluindo o branqueamento de capitais, o financiamento do terrorismo, a evasão a sanções, a fraude, o suborno e a corrupção, a criminalidade fiscal, o abuso de mercado ou a utilização indevida de pessoas coletivas. O terceiro nível identifica a categoria de controlo relevante, como a governação, a diligência devida relativa à clientela, a monitorização de transações, a verificação de sanções, a gestão de dados, as investigações, os processos de comunicação, a formação, a garantia da qualidade ou a supervisão da gestão. O quarto nível identifica a causa presumível, como normas pouco claras, uma implementação deficiente, capacidade insuficiente, tecnologia inadequada, ausência de dados, processos de decisão frágeis ou atenção insuficiente por parte da gestão. O quinto nível respeita ao impacto e ao âmbito, incluindo o número de processos afetados, a duração da deficiência, as jurisdições envolvidas e as potenciais consequências para os clientes, as autoridades e a organização. A utilização coerente destes níveis cria um quadro analítico no qual as observações individuais podem ser agregadas sem que desapareçam nuances relevantes. A gestão pode, assim, determinar se sintomas aparentemente distintos têm origem numa mesma fragilidade fundamental.
Uma taxonomia integrada desempenha também uma função importante do ponto de vista da governação e da defesa jurídica. A forma como uma organização classifica as suas constatações influencia os mecanismos de escalada, a afetação de recursos, a informação comunicada aos órgãos de governo e o momento em que uma questão pode ser considerada encerrada. Uma classificação excessivamente restrita pode conduzir à subavaliação da exposição real, enquanto uma classificação demasiado ampla pode resultar em medidas desproporcionadas e numa utilização insuficientemente direcionada dos conhecimentos especializados disponíveis. A taxonomia deve, por conseguinte, estar alinhada com o apetite ao risco da organização, com a governação da Gestão Integrada dos Riscos de Criminalidade Financeira e com as obrigações resultantes da legislação aplicável, dos quadros regulatórios, das políticas internas e dos compromissos contratuais. Deve igualmente ser possível identificar claramente quem determinou a classificação, em que informação se baseou a decisão e quais as incertezas que subsistiam nesse momento. Quando os factos ainda não estiverem integralmente apurados, deve poder ser adotada uma classificação provisória, suscetível de posterior alteração com base em investigações adicionais. Uma taxonomia cuidadosamente concebida apoia, assim, não apenas a análise e a elaboração de relatórios, mas também a adoção de decisões defensáveis. Permite à organização explicar às partes interessadas internas e externas por que razão determinadas constatações foram agrupadas, por que motivo outras observações exigem intervenções separadas e de que forma a classificação escolhida determinou uma prioridade, uma estratégia de remediação e um padrão probatório específicos.
Materialidade e priorização baseada no risco
Nem todas as constatações justificam o mesmo nível de atenção por parte da gestão, a mesma urgência ou o mesmo investimento. Uma organização pode ter centenas ou mesmo milhares de ações em aberto, enquanto apenas uma parte limitada representa a exposição mais significativa aos riscos de criminalidade financeira. Na ausência de uma abordagem coerente à materialidade, a capacidade disponível pode ser afeta em função da visibilidade do problema, da pressão interna, da antiguidade da constatação ou da posição hierárquica da função que a comunicou. Como consequência, deficiências relativamente limitadas podem ser corrigidas mais rapidamente do que fragilidades que apresentam uma exposição jurídica, regulatória, financeira ou reputacional substancialmente superior. A priorização baseada no risco, no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, exige, por isso, uma avaliação que ultrapasse a classificação inicialmente atribuída pela auditoria interna ou pela função de conformidade. Entre os fatores relevantes encontram-se a natureza do risco afetado, a probabilidade de utilização para fins criminosos, a dimensão da população de clientes ou transações potencialmente envolvida, a duração da deficiência, a existência e fiabilidade de controlos compensatórios e a possibilidade de não terem sido cumpridas, em tempo útil, obrigações de comunicação, informação ou intervenção. A existência de produtos vulneráveis, estruturas de propriedade complexas, jurisdições de risco elevado, pessoas politicamente expostas, fluxos de pagamento invulgares ou prestadores de serviços externos também pode aumentar substancialmente a relevância de uma constatação. Uma deficiência aparentemente limitada no contexto de um único processo pode representar uma exposição sistémica considerável quando afeta uma população mais ampla sujeita ao mesmo procedimento.
A avaliação da materialidade deve considerar tanto as consequências atuais como o risco de agravamento futuro. Algumas deficiências podem já ter originado incidentes específicos, comunicações omitidas, transações com partes proibidas, críticas de autoridades de supervisão ou prejuízos para clientes. Outras podem ainda não ter provocado um incidente visível, mas criar condições em que a utilização indevida dos serviços se torna mais provável ou mais difícil de detetar. Um sistema de monitorização de transações insuficientemente calibrado pode, por exemplo, não ter produzido incidentes demonstráveis durante um período prolongado, enquanto a combinação de cenários limitados, dados de fraca qualidade e um volume elevado de transações revela uma exposição latente significativa. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que estes riscos não sejam avaliados exclusivamente em função dos danos que já se materializaram. Devem igualmente ser considerados a velocidade com que o problema pode evoluir, a possibilidade de deteção do abuso, a reversibilidade das suas consequências e a capacidade da organização para intervir em tempo útil. As constatações relacionadas com prazos legais de comunicação, obrigações em matéria de sanções, preservação de elementos de prova ou prejuízos imediatos para clientes podem exigir uma intervenção urgente, mesmo quando o montante financeiro absoluto seja limitado. As constatações que apresentem menor urgência imediata podem, ainda assim, justificar uma prioridade estratégica elevada quando revelem uma governação estruturalmente ineficaz, uma supervisão insuficientemente independente ou desvios reiterados face a normas anteriormente estabelecidas.
A priorização deve conduzir, em última análise, a decisões explícitas da gestão e não pode ficar limitada a uma classificação técnica do risco. A gestão deve determinar quais as questões que exigem contenção imediata, quais as intervenções que devem ser concluídas a curto prazo e quais as melhorias estruturais que devem ser integradas num programa plurianual de transformação. A avaliação subjacente deve tornar visível o equilíbrio estabelecido entre o risco, a exequibilidade, as dependências, os custos e a redução esperada da exposição. Uma prioridade elevada sem recursos afetos tem um significado prático reduzido, ao passo que uma prioridade baixa não pode ser utilizada para adiar indefinidamente medidas necessárias. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, que as prioridades estejam associadas a poderes de decisão específicos, limiares de escalada, frequências de reporte e consequências definidas em caso de atraso. Quando uma ação se desvie do calendário previsto, a organização deve reavaliar se o risco residual continua a ser aceitável e se são necessários controlos temporários adicionais. As prioridades também devem ser revistas periodicamente quando surjam novos factos, a população afetada se revele maior do que inicialmente estimado, as expectativas regulatórias evoluam ou sejam identificadas várias constatações comparáveis. A priorização torna-se, assim, um processo dinâmico de governação que concentra a atenção nos riscos de criminalidade financeira mais relevantes e evita que a organização seja dirigida exclusivamente com base no número administrativo de ações pendentes.
Análise das causas profundas e das fragilidades sistémicas
Uma estratégia de remediação eficaz começa pela determinação das razões pelas quais surgiu uma deficiência e dos motivos pelos quais os controlos existentes, os mecanismos de gestão ou os procedimentos de escalada não permitiram preveni-la ou detetá-la atempadamente. A causa imediata de uma constatação é frequentemente mais fácil de identificar do que a sua causa profunda. Um processo de cliente incompleto pode, por exemplo, ser atribuído a um colaborador que não obteve um documento obrigatório. Essa observação não explica, contudo, por que razão o processo permitiu a aprovação do cliente sem o referido documento, por que motivo o sistema não gerou um controlo impeditivo, por que razão a garantia da qualidade não identificou anteriormente a deficiência nem por que motivo erros comparáveis podem afetar outros processos. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, uma análise que ultrapasse a atuação individual e considere a combinação de fatores de governação, conceção de processos, dados, tecnologia, competências, capacidade, incentivos e comportamento da gestão que contribuíram para a deficiência. Um erro individual pode constituir o ponto final visível de instruções pouco claras, objetivos de desempenho contraditórios, formação inadequada, cargas de trabalho excessivas, acesso limitado à informação ou uma cultura em que as exceções são aceites sem fundamentação suficiente. Sem esta análise mais ampla, a remediação concentrar-se-á no sintoma, deixando intactas as condições que permitem a sua repetição.
A análise das causas profundas deve ser metódica, baseada em factos e desenvolvida de forma multidisciplinar. Pode incluir revisões de processos, entrevistas, análises de dados, mapeamento detalhado de procedimentos, avaliação da lógica dos sistemas, comparação entre unidades de negócio e análise de incidentes ou constatações anteriores. Deve distinguir-se entre os fatores que originaram a deficiência, as circunstâncias que aumentaram o seu âmbito e as condições que impediram a sua deteção precoce. Uma política inadequada pode constituir a causa originária, uma implementação deficiente pode ter ampliado o problema e uma informação de gestão insuficiente pode ter impedido a sua identificação atempada. Estes diferentes fatores exigem intervenções distintas. A alteração de uma política não corrige uma limitação do sistema, enquanto formação adicional não compensa a ausência estrutural de dados. A Gestão Integrada dos Riscos de Criminalidade Financeira deve, por conseguinte, impedir o recurso a soluções padronizadas antes de a causa ter sido suficientemente investigada. A formação, a revisão de políticas e a introdução de controlos adicionais são medidas frequentemente utilizadas, mas apenas reduzem o risco quando respondem, de forma demonstrável, ao mecanismo que produziu a deficiência. Quando os colaboradores compreendem a norma, mas o sistema não disponibiliza a informação necessária, formação adicional produzirá um valor limitado. Quando o sistema funciona corretamente do ponto de vista técnico, mas os incentivos comerciais desencorajam a escalada, a intervenção deve centrar-se na governação, na tomada de decisão e nos mecanismos de incentivo.
A avaliação das fragilidades sistémicas exige igualmente que as constatações sejam comparadas para além das fronteiras organizacionais. Um problema considerado local dentro de uma função pode manifestar-se noutra área sob uma forma diferente. Relatórios de auditoria distintos podem, por exemplo, assinalar uma qualidade insuficiente dos dados, uma atribuição deficiente de responsabilidades e decisões incoerentes relativas a exceções, sem identificar essas observações como elementos de um mesmo padrão. Ao relacionar as constatações através de uma taxonomia integrada, a Gestão Integrada dos Riscos de Criminalidade Financeira pode determinar se existe uma causa profunda comum. Quando a mesma deficiência reaparece após ações de remediação anteriores, a organização deve analisar por que razão essas medidas não produziram o resultado esperado. O âmbito original pode ter sido excessivamente limitado, os critérios de encerramento podem não ter estado suficientemente orientados para os resultados, pode ter faltado uma validação independente ou a medida pode não ter sido integrada de forma sustentável na atividade após a sua entrega formal. As fragilidades sistémicas exigem, assim, intervenções que ultrapassem um único plano de ação. Podem exigir uma redistribuição de responsabilidades, o reforço dos conhecimentos especializados, a melhoria dos fluxos de dados, a revisão dos poderes de decisão, a reformulação dos controlos ou o ajustamento dos incentivos da gestão. Uma análise aprofundada das causas profundas permite determinar o nível de intervenção adequado e evita que sintomas recorrentes continuem a ser tratados como incidentes separados e sem relação entre si.
Contenção imediata e controlos provisórios
Quando uma constatação gera uma exposição atual ou em rápido crescimento, a organização não pode aguardar pela conceção e implementação de uma solução estrutural completa. As medidas imediatas de contenção, no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, destinam-se a limitar danos adicionais, prevenir novas infrações e manter o controlo durante o período em que são conduzidas investigações e ações de remediação mais amplas. A natureza da medida dependerá do processo afetado e das potenciais consequências. Entre as intervenções possíveis incluem-se a suspensão temporária de determinadas formas de aceitação de clientes, o bloqueio de categorias específicas de transações, a elevação dos níveis de aprovação, a introdução de revisões manuais, a ampliação das atividades de verificação, a restrição dos poderes de exceção ou a realização de análises retrospetivas direcionadas. Pode também ser necessário preservar dados e elementos probatórios relevantes, proteger a posição jurídica da organização, avaliar obrigações de comunicação ou informar atempadamente as autoridades competentes. A escolha da medida de contenção deve basear-se numa avaliação explícita da urgência, da proporcionalidade e das consequências indiretas. Uma medida que suspenda toda a atividade pode reduzir o risco, mas também prejudicar clientes legítimos, interferir com obrigações contratuais e exercer pressão sobre a continuidade operacional. A organização deve, por isso, identificar a intervenção mínima necessária para colocar a exposição sob controlo de forma demonstrável.
Os controlos provisórios não devem ser considerados soluções informais suscetíveis de ser introduzidas à margem dos mecanismos de governação existentes. Mesmo sob pressão temporal significativa, a sua finalidade, âmbito, responsável, duração e data de revisão devem ficar claramente documentados. Uma revisão manual pode ser eficaz durante um período limitado, mas a dependência prolongada dessa solução pode gerar erros de execução, limitações de capacidade e decisões incoerentes. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que as medidas temporárias sejam apoiadas por instruções operacionais claras, recursos especializados suficientes, uma garantia da qualidade adequada e informação de gestão fiável. Deve igualmente ser definido quais os casos abrangidos pela medida, quais as exceções permitidas e quem está autorizado a decidir sobre elas. A primeira linha deve acompanhar a exequibilidade operacional e identificar atempadamente eventuais consequências não pretendidas. A segunda linha deve avaliar se a medida temporária reduz suficientemente a exposição jurídica, regulatória e interna relevante e se são necessárias restrições adicionais. As funções jurídicas devem analisar, quando aplicável, as implicações contratuais, de proteção de dados, laborais, penais e processuais. A terceira linha pode avaliar, de forma independente, se a organização aplica o controlo provisório de modo coerente e se as afirmações relativas à sua eficácia são sustentadas por elementos probatórios suficientes.
As medidas imediatas de contenção devem estar sempre ligadas a um percurso de remediação estrutural. Uma medida temporária que permaneça em vigor sem uma data clara de término ou sem critérios definidos para a sua retirada pode integrar-se progressivamente na atividade normal. Esta situação pode criar uma dependência prolongada de soluções dispendiosas, suscetíveis de erro e difíceis de controlar. A organização deve, por isso, determinar, desde o momento em que a medida temporária é introduzida, qual a intervenção estrutural que a substituirá, quais as dependências existentes e quais as condições que deverão ser cumpridas antes da sua retirada. A eficácia da medida deve ser acompanhada durante todo o período de aplicação através de indicadores como o número de processos afetados, as anomalias detetadas, os tempos de tratamento, as taxas de erro e as escaladas. Quando a medida se revele insuficiente, deverá ocorrer uma escalada. Quando produza consequências desproporcionadas, poderá ser necessário ajustá-la sem comprometer o nível indispensável de redução do risco. A Gestão Integrada dos Riscos de Criminalidade Financeira considera, assim, os controlos provisórios como intervenções formais, verificáveis e apoiadas pela gestão. Estes controlos proporcionam o espaço necessário para conceber cuidadosamente uma solução estrutural, mas não substituem a obrigação de eliminar a causa subjacente.
Conceção direcionada das medidas de remediação
Uma medida de remediação deve resultar diretamente da causa identificada, da dimensão da exposição e do resultado pretendido. Formulações genéricas como aumentar a sensibilização, reforçar as políticas internas ou intensificar a monitorização não fornecem orientação suficiente para a execução e validação. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que cada intervenção descreva com precisão a alteração a realizar, a população a que se aplica, a função responsável pela sua execução e o resultado demonstrável que deverá ser alcançado. Quando uma deficiência resulte de responsabilidades pouco claras, poderá ser necessária uma revisão da governação e dos poderes de decisão. Quando os dados estejam ausentes ou sejam transmitidos de forma pouco fiável, a intervenção deve abordar as definições de dados, a qualidade das fontes, as interfaces, os mecanismos de validação e a atribuição de responsabilidades. Quando os controlos não permitam distinguir adequadamente entre diferentes níveis de risco, a organização poderá ter de rever a segmentação, os limiares ou os critérios de avaliação. A conceção deve igualmente considerar a posição da intervenção no sistema mais amplo de gestão dos riscos de criminalidade financeira. Uma melhoria local pode gerar involuntariamente novas incoerências quando os processos relacionados, os sistemas associados ou outras jurisdições não sejam considerados. Devem, por isso, ser previamente identificados os componentes da cadeia operacional, as partes interessadas e as dependências afetadas.
Uma remediação direcionada exige simultaneamente profundidade substantiva e exequibilidade operacional. A medida deve satisfazer as expectativas jurídicas e regulatórias, mas também deve poder ser aplicada pelos colaboradores, ser compatível com os sistemas disponíveis e oferecer capacidade suficiente para os volumes de clientes e transações afetados. A primeira linha desempenha um papel central na determinação de se as alterações propostas refletem a realidade operacional e evitam etapas impraticáveis, duplicações de controlos ou atrasos desnecessários. A segunda linha deve avaliar se a intervenção responde adequadamente aos riscos de criminalidade financeira relevantes e se o risco residual permanece dentro do apetite ao risco. Os especialistas em tecnologia, dados, direito e operações devem ser envolvidos quando a intervenção afete os respetivos domínios. A Gestão Integrada dos Riscos de Criminalidade Financeira evita, desta forma, que a remediação seja concebida exclusivamente por uma função cuja visibilidade esteja limitada a apenas uma parte do problema. Os fatores humanos também devem ser considerados. Uma solução tecnicamente adequada pode falhar quando as instruções não sejam claras, as responsabilidades permaneçam ambíguas ou o comportamento da gestão não favoreça a aplicação esperada. As etapas do processo, as funcionalidades dos sistemas, a formação, a garantia da qualidade, o reporte e a escalada devem ser concebidos como um conjunto coerente.
A conceção da remediação deve ser suficientemente precisa para permitir, antes da sua implementação, uma avaliação da probabilidade de a intervenção ser eficaz. Isto exige a definição de pressupostos claros, hipóteses de risco, critérios de sucesso e cenários de teste. Quando seja introduzido um processo revisto de aceitação de clientes, a organização deve estabelecer qual a deficiência que pretende prevenir, que situações excecionais podem surgir, de que forma as decisões serão documentadas e que informação ficará disponível para as funções de supervisão. Quando seja alterado um modelo de deteção, deve ser analisado quais os riscos que passarão a ser identificados com maior eficácia, quais os falsos positivos suscetíveis de aumentar e de que forma o desempenho será acompanhado após a implementação. Poderão ser necessários projetos-piloto, análises de dados, testes de aceitação pelos utilizadores e controlos paralelos antes de uma implementação em toda a organização ser considerada adequada. Deve igualmente ser definido o tratamento da exposição histórica. Um novo controlo pode prevenir deficiências futuras, mas não corrige automaticamente processos, transações ou decisões anteriores. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, que a remediação prospetiva e a revisão retrospetiva sejam planeadas separadamente. Uma conceção direcionada liga a prevenção, a deteção, a correção e o suporte probatório e determina antecipadamente de que forma a organização demonstrará que a intervenção não foi apenas entregue, mas produziu um reforço demonstrável e sustentável da gestão dos riscos de criminalidade financeira.
Atribuição clara de responsabilidades e patrocínio executivo
Um programa de remediação apenas pode ser executado de forma eficaz quando esteja inequivocamente definido quem é responsável por alcançar o resultado pretendido, quem dispõe da autoridade necessária para tomar as decisões relevantes e quem permanece responsável, ao nível executivo, quando o progresso, a qualidade ou a redução do risco se revelem insuficientes. No âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, a responsabilidade não pode, por conseguinte, limitar-se à mera atribuição administrativa de uma ação a um colaborador, gestor de projeto ou departamento. Deve abranger a plena responsabilidade pela adequação substantiva da solução, pela disponibilidade dos recursos necessários, pela coordenação das atividades interdependentes, pela escalada atempada dos obstáculos e pela concretização demonstrável do resultado previamente definido. O responsável pela ação deve dispor de autoridade suficiente, conhecimento especializado adequado e acesso direto aos decisores relevantes para conseguir produzir as alterações necessárias na prática. Quando uma deficiência afete várias unidades de negócio, entidades jurídicas, jurisdições, sistemas ou domínios de prática, a atribuição da responsabilidade a uma única função operacional raramente será suficiente. Nessas circunstâncias, deve ser designado um responsável principal incumbido de salvaguardar a coerência do resultado global e dotado de autoridade para assegurar que os contributos das restantes funções sejam entregues atempadamente, no formato exigido e de acordo com padrões de qualidade consistentes. Deve também ficar claramente estabelecido quem é responsável por cada resultado específico, que decisões exigem aprovação conjunta e que matérias devem ser elevadas à gestão de topo ou ao órgão de governo competente. Esta clareza impede que programas complexos de remediação percam dinâmica porque as funções transferem responsabilidades entre si, consideram determinadas dependências fora do respetivo âmbito ou presumem que outra parte da organização assumirá a gestão da exposição residual.
O patrocínio executivo é essencial para evitar que constatações materialmente relevantes sejam tratadas como questões meramente técnicas, operacionais ou de conformidade. As deficiências estruturais na gestão dos riscos de criminalidade financeira podem afetar a estratégia, o apetite ao risco, a carteira de clientes, a oferta de produtos, a estrutura de custos, o ambiente de dados, a prestação de serviços comerciais e as relações com autoridades de supervisão, organismos de investigação e outras autoridades competentes. O patrocinador executivo deve, portanto, desempenhar uma função que ultrapasse a simples receção periódica de informação sobre o progresso. Deve orientar ativamente a prioridade, o âmbito, o nível de ambição e as condições de execução do programa de remediação. Isto inclui a tomada de decisões relativas a recursos adicionais, financiamento, adaptação de objetivos comerciais, restrições temporárias a determinadas atividades e aceitação ou rejeição do risco residual. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que o patrocinador executivo compreenda a causa profunda objeto da intervenção, as razões pelas quais a medida selecionada é considerada adequada e as consequências suscetíveis de resultar de um atraso na sua implementação ou de uma eficácia insuficiente da solução. O patrocinador deve igualmente estar em condições de avaliar se o programa de remediação foi definido de forma excessivamente restrita, por exemplo, quando apenas um componente do processo é alterado, permanecendo deficiências comparáveis noutras partes da organização. Deficiências graves, recorrentes ou com impacto em toda a organização podem exigir uma responsabilidade partilhada entre vários membros da gestão de topo ou do órgão de governo, devendo uma pessoa ser designada como principal ponto de responsabilidade. Esta distribuição deve reforçar a tomada de decisão e não pode conduzir à fragmentação das responsabilidades nem à incerteza quanto à pessoa que deve, em última instância, intervir.
Uma atribuição efetiva de responsabilidades exige ainda um processo de governação no qual os progressos, os desvios, as decisões relativas ao risco e as intervenções da gestão sejam documentados de forma transparente e possam ser posteriormente reconstruídos. O responsável pela ação deve prestar informação periódica sobre os resultados alcançados, as atividades ainda pendentes, as alterações introduzidas na avaliação do risco, as dependências não resolvidas, a utilização do orçamento e a data prevista de conclusão. Essa informação deve possuir profundidade substantiva suficiente para permitir determinar se estão a ser realizados progressos efetivos e não pode limitar-se a indicações genéricas como conforme ao plano, atrasado ou concluído. Quando um marco intermédio não seja alcançado, devem ser identificados a causa correspondente, o impacto sobre os riscos de criminalidade financeira afetados e a eventual necessidade de medidas adicionais. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que os órgãos de governação não se limitem a registar o atraso, mas adotem decisões expressas sobre medidas corretivas, redefinição de prioridades, escalada, atribuição de recursos adicionais ou implementação de controlos provisórios. Deve igualmente manter-se clareza quanto aos riscos que continuam a existir durante a execução e quanto à pessoa que possui autoridade para os aceitar durante um período determinado. A segunda linha deve conservar autonomia suficiente para questionar o progresso, a qualidade e os pressupostos de risco, enquanto a terceira linha deve poder avaliar de forma independente se os mecanismos de governação funcionam como previsto e se a responsabilidade formal corresponde ao controlo efetivamente exercido. Deste modo, estabelece-se uma estrutura de responsabilidade na qual os responsáveis pelas ações não são avaliados apenas pela entrega de atividades, mas pela redução demonstrável dos riscos de criminalidade financeira relevantes e pelo reforço sustentável da Gestão Integrada dos Riscos de Criminalidade Financeira.
Recursos, dependências e planeamento da execução
A qualidade de uma medida de remediação depende não apenas da solidez substantiva da sua conceção, mas também da disponibilidade de recursos suficientes para a executar integralmente, dentro do prazo requerido e com o nível de qualidade esperado. Muitos programas de remediação sofrem atrasos ou uma deterioração da qualidade porque a capacidade, o financiamento, os dados, a tecnologia ou o conhecimento especializado necessários apenas são identificados quando a execução já se encontra em curso. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, uma avaliação antecipada e realista das pessoas, competências, sistemas, orçamentos e apoios externos necessários para assegurar o sucesso da intervenção. Deve distinguir-se entre os recursos necessários para a análise, conceção, execução, testes, garantia da qualidade, remediação de dados, formação, comunicação e apoio posterior à implementação. Uma revisão substancial dos procedimentos de diligência devida relativa à clientela não pode, por exemplo, ser executada exclusivamente por especialistas em políticas internas. Pode exigir também a participação de especialistas operacionais, consultores jurídicos, analistas de dados, programadores, especialistas de processos, formadores, responsáveis pelo controlo de qualidade e colaboradores dedicados à revisão retrospetiva dos processos existentes. Quando os colaboradores disponíveis já se encontrem totalmente ocupados com as atividades ordinárias, a gestão deve decidir expressamente quais as atividades que serão reduzidas, adiadas, automatizadas ou externalizadas. A adição de obrigações de remediação às cargas de trabalho existentes, sem uma adaptação correspondente das prioridades, aumenta significativamente o risco de atrasos, insuficiência de qualidade, sobrecarga dos colaboradores e deterioração dos controlos ordinários. Um plano de remediação credível deve, por isso, identificar a quantidade e o tipo de esforço necessários, o período durante o qual esses recursos deverão permanecer disponíveis e os pressupostos em que assentam as estimativas correspondentes.
As dependências devem ser identificadas e geridas com o mesmo nível de rigor. Uma ação de remediação no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira raramente funciona de forma isolada. A implementação de um novo controlo pode depender de uma fonte de dados administrada por outra função, de um programa tecnológico sujeito a um calendário distinto, da aprovação de um órgão internacional de governo, da consulta dos representantes dos trabalhadores, de uma alteração contratual com um prestador externo ou da revisão por especialistas jurídicos, de proteção de dados ou de segurança da informação. Quando essas dependências não são identificadas atempadamente, uma ação pode parecer formalmente exequível mesmo que faltem condições prévias essenciais. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, que cada dependência crítica tenha um responsável claramente identificado, um ponto de decisão, uma data de entrega, um mecanismo de escalada e, sempre que possível, uma solução alternativa. Deve igualmente determinar-se de que forma as diferentes dependências interagem e que atividades não podem começar antes de concluída uma fase anterior. Um atraso na obtenção ou validação de dados pode, por exemplo, afetar o desenvolvimento dos sistemas, os testes, a formação, a migração e a implementação definitiva. Tornar estas relações visíveis permite à gestão identificar os domínios nos quais são necessários maior orientação, coordenação mais intensa ou aceleração. Permite também determinar que atividades podem ser executadas em paralelo e que controlos provisórios devem ser introduzidos quando a solução estrutural continue dependente de um programa de maior duração.
Um plano de execução deve representar mais do que uma simples lista de datas de conclusão. Deve dividir o programa de mudança em pontos de decisão e fases de entrega significativos que permitam demonstrar a transição desde a análise inicial até ao funcionamento efetivo e verificável da solução. As fases relevantes podem incluir a delimitação do âmbito, a análise das causas profundas, a conceção, a aprovação, o desenvolvimento técnico, a remediação de dados, os testes-piloto, a implementação, a formação, o funcionamento inicial, a estabilização e a avaliação da eficácia. Cada fase deve estar associada a resultados claramente definidos, critérios de qualidade, poderes de decisão e requisitos de aprovação. A Gestão Integrada dos Riscos de Criminalidade Financeira exige ainda que o plano seja associado à evolução do risco residual ao longo do tempo. Quando uma solução estrutural não esteja disponível durante um período significativo, o plano de execução deve identificar que controlos provisórios permanecerão em vigor, quem será responsável pela respetiva aplicação e quando a sua eficácia será novamente avaliada. Os cenários de atraso devem ser analisados antecipadamente, de modo que as medidas adicionais não sejam concebidas apenas depois do incumprimento de uma data crítica. O plano deve igualmente considerar os períodos de elevada carga operacional, as ausências, os ciclos de entrada em produção dos sistemas, as migrações, outros programas de transformação e os prazos legais ou regulatórios. Um plano que não contemple estes fatores cria uma aparência de previsibilidade sem uma base operacional suficiente. Um plano de execução robusto, pelo contrário, facilita decisões transparentes, torna as dependências geríveis e permite que a gestão intervenha antes de as limitações de recursos, os problemas de qualidade ou os atrasos adquirirem uma dimensão crítica.
Indicadores de sucesso baseados em resultados
Uma intervenção de remediação não pode ser considerada eficaz apenas porque uma política foi alterada, uma melhoria tecnológica foi introduzida, uma formação foi concluída ou um determinado número de processos foi revisto. Essas atividades podem constituir elementos necessários da intervenção, mas não demonstram que a deficiência subjacente tenha sido eliminada ou que o risco de criminalidade financeira afetado tenha sido efetivamente reduzido. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, indicadores de sucesso baseados em resultados que definam a alteração a alcançar nos comportamentos, na execução dos processos, no desempenho dos controlos, na qualidade dos dados ou na tomada de decisão. Cada indicador deve estar diretamente associado à causa profunda identificada e ao efeito pretendido pela intervenção. Quando uma deficiência diga respeito a uma diligência devida incompleta relativamente à clientela, o sucesso não pode ser avaliado apenas mediante a confirmação de que foram publicadas normas ou procedimentos revistos. A organização deve determinar se os processos de clientes se tornaram substancialmente mais completos, se os indicadores de risco relevantes são identificados e analisados atempadamente, se as exceções são adequadamente fundamentadas e se as aprovações são concedidas de acordo com os níveis de autoridade aplicáveis. Quando uma fragilidade diga respeito à monitorização de transações, os indicadores devem considerar a cobertura dos cenários de risco pertinentes, a qualidade e a completude dos dados subjacentes, o tratamento atempado dos alertas, a qualidade das investigações e a capacidade para identificar padrões anómalos relevantes. Os indicadores devem, portanto, demonstrar o funcionamento efetivo da medida e não apenas a conclusão das atividades de projeto associadas.
Os indicadores de sucesso eficazes combinam informação quantitativa e qualitativa. Os indicadores quantitativos podem respeitar a taxas de erro, tempos de tratamento, acumulação de processos pendentes, tempestividade das escaladas, completude dos processos, número e natureza das exceções, constatações recorrentes e resultados dos testes de controlo. Contudo, estes dados devem ser interpretados com cautela. Uma redução do número de comunicações ou alertas pode refletir uma melhoria da prevenção, mas também pode indicar uma deterioração da capacidade de deteção ou uma supressão inadequada de sinais. Um aumento das escaladas pode evidenciar um acréscimo do risco, mas também pode demonstrar uma maior sensibilização e uma aplicação mais coerente das normas exigidas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, que a informação quantitativa seja analisada em conjunto com avaliações qualitativas, revisões de processos, entrevistas, informação sobre tendências e comparações entre unidades de negócio, entidades e jurisdições. Devem também ser definidos o nível de referência anterior à implementação e o nível de desempenho esperado após a intervenção. Na ausência de uma base de referência fiável, será difícil demonstrar que a melhoria observada pode ser efetivamente atribuída à medida adotada. Devem igualmente ser estabelecidos previamente limiares de tolerância. A ausência total de erros pode não ser realista em todos os contextos operacionais, mas qualquer margem aceite deve refletir a gravidade do risco, as obrigações legais e regulatórias aplicáveis e as possíveis consequências de uma deficiência.
Os indicadores baseados em resultados devem ser acompanhados durante um período suficientemente longo para determinar se a melhoria é sustentável. Uma melhoria temporária imediatamente após uma formação intensiva, uma maior atenção da gestão ou controlos de qualidade realizados no âmbito de um projeto pode diminuir quando a organização regressa às condições normais de funcionamento. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que a eficácia seja avaliada em condições normais de carga de trabalho, durante períodos de maior atividade, após alterações de pessoal e em situações que envolvam exceções, transações invulgares ou estruturas de clientes complexas. A avaliação deve também analisar se os colaboradores compreendem a nova abordagem, se os sistemas disponibilizam a informação necessária e se a gestão intervém de forma consistente quando o desempenho fica abaixo do nível exigido. Quando o resultado esperado não seja alcançado, deve determinar-se se a conceção da intervenção é insuficiente, se a execução permanece incompleta, se os recursos são inadequados ou se as circunstâncias externas se alteraram. Um indicador de sucesso não deve ser modificado retrospetivamente com o único propósito de facilitar um encerramento formal, salvo se for efetuada uma recalibração substantivamente fundamentada, devidamente documentada e aprovada através do processo de governação competente. Os indicadores devem ainda ser concebidos de forma a evitar incentivos inadequados, como a valorização da rapidez em detrimento da qualidade substantiva ou a indução dos colaboradores a reduzir artificialmente o número de exceções comunicadas. Indicadores corretamente concebidos favorecem comportamentos responsáveis, permitem identificar atempadamente qualquer deterioração e fornecem elementos probatórios convincentes de que a Gestão Integrada dos Riscos de Criminalidade Financeira foi efetivamente reforçada na prática.
Validação independente e encerramento baseado em elementos probatórios
O encerramento formal de uma ação de remediação não deve depender exclusivamente da declaração do respetivo responsável de que as atividades necessárias foram concluídas. A função encarregada da conceção e execução da intervenção possui um interesse inerente em alcançar um encerramento atempado e pode, mesmo sem intenção deliberada, atribuir maior importância às atividades concluídas do que às limitações ou incertezas ainda existentes. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, uma avaliação independente destinada a determinar se a medida foi integralmente implementada, se funciona de acordo com a conceção aprovada e se reduz de forma demonstrável o risco que pretendia tratar. O grau de independência necessário deve ser proporcional à gravidade, complexidade e extensão da constatação original. No caso de uma deficiência limitada, uma função de controlo de qualidade externa à equipa de execução pode proporcionar distância suficiente. No caso de uma questão materialmente relevante, recorrente ou com impacto em toda a organização, pode ser necessária a validação pela segunda linha, por uma função independente de testes, pela auditoria interna ou por um especialista externo. A pessoa ou função responsável pela validação não deve ter participado na entrega do resultado objeto de análise e deve dispor de acesso suficiente aos sistemas, processos, colaboradores, documentação decisória e dados subjacentes. Deve ainda conservar plena liberdade para solicitar informação adicional, ampliar o âmbito ou a amostra dos testes e concluir que a intervenção ainda não é suficientemente eficaz.
O encerramento baseado em elementos probatórios exige que os critérios documentais e os requisitos de prova aplicáveis sejam definidos desde o início do programa de remediação. O responsável pela ação deve construir um processo probatório controlado durante toda a execução, em vez de determinar apenas no final que documentos se encontram disponíveis. Esse processo pode incluir decisões relativas a políticas internas, descrições de processos, documentação de sistemas, aprovações da conceção, resultados de testes, registos de formação, análises de dados, revisões de processos, observações dos utilizadores, decisões da gestão e relatórios sobre a eficácia operacional. A Gestão Integrada dos Riscos de Criminalidade Financeira exige elementos probatórios que demonstrem não apenas a existência da medida, mas também a sua aplicação coerente na prática e a concretização do resultado esperado. Um novo campo de sistema ou um novo fluxo de trabalho podem demonstrar que determinada informação pode ser registada, mas não provam que os colaboradores a utilizem de forma consistente nem que essa informação influencie substancialmente a tomada de decisão. Um registo de participação numa formação comprova a presença, mas não demonstra a compreensão nem a aplicação correta da norma relevante. As diferentes fontes de prova devem, por conseguinte, complementar-se e fornecer conjuntamente uma demonstração convincente da implementação e eficácia da medida. A validação deve abranger igualmente as exceções, as soluções temporárias, os processos pendentes, as migrações incompletas e as situações em que a medida revista ainda não tenha sido aplicada a toda a população relevante. Quando determinados elementos da remediação permaneçam incompletos, o encerramento deve ser adiado ou expressamente limitado à parte cuja conclusão tenha sido demonstrada.
A decisão de encerramento deve ser substantivamente fundamentada e adotada ao nível de governação adequado. Deve identificar a deficiência original, as intervenções executadas, as atividades de validação realizadas, os resultados alcançados e o risco residual ainda existente. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que todas as limitações, pressupostos e incertezas relevantes sejam documentados de forma transparente. Quando a informação relativa à eficácia abranja apenas um período limitado, a organização deve determinar se é necessário manter uma supervisão reforçada ou realizar testes adicionais após o encerramento formal. Quando uma população residual limitada ainda não tenha sido objeto de remediação, pode ser necessário estabelecer uma ação separada e um regime específico de controlos. A constatação original não deve ser encerrada administrativamente enquanto a mesma vulnerabilidade subjacente continue a existir sob outra forma ou noutra parte da organização. Deve também ser avaliado se deficiências comparáveis podem voltar a ocorrer noutros domínios. A terceira linha deve preservar a sua independência e não pode ser obrigada a apoiar um encerramento apenas porque o programa atingiu um prazo executivo ou um compromisso comunicado externamente. Uma decisão fundamentada de não proceder ao encerramento constitui um elemento essencial de uma assurance eficaz e protege a organização contra declarações prematuras de sucesso. O encerramento baseado em elementos probatórios torna a remediação defensável perante os órgãos de governo, autoridades de supervisão, auditores, tribunais, clientes e demais partes interessadas e confirma que o escrutínio independente produziu uma melhoria demonstrável.
Lições aprendidas e melhoria contínua
Cada constatação materialmente relevante e cada intervenção de remediação concluída produzem informação que pode ser utilizada para além do processo ou da unidade de negócio em que o problema foi inicialmente identificado. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, uma avaliação sistemática das lições que podem ser pertinentes para outras populações de clientes, produtos, jurisdições, sistemas, entidades jurídicas e domínios de prática. Uma deficiência na diligência devida relativa à clientela pode, por exemplo, revelar fragilidades mais amplas relacionadas com as definições de dados, a externalização, a tomada de decisão, a escalada ou a garantia da qualidade, igualmente relevantes noutras partes da organização. Quando as lições permanecem confinadas ao plano de ação original, perde-se conhecimento organizacional valioso e podem surgir deficiências comparáveis noutros domínios. Um processo estruturado de transferência de conhecimento deve, por conseguinte, determinar que conclusões possuem um âmbito mais amplo, que alterações às políticas, metodologias ou tecnologias são necessárias e que funções devem receber e aplicar essa informação. A avaliação não deve concentrar-se exclusivamente naquilo que falhou. Deve também identificar que intervenções se revelaram eficazes, que formas de colaboração entre funções produziram valor particular e que indicadores poderiam ter permitido uma deteção mais precoce do problema. Estas lições podem ser incorporadas nas avaliações globais de risco, nos catálogos de controlos, nos programas de formação, nos planos de monitorização, nos planos de auditoria interna, nos processos de aprovação de produtos e nos futuros programas de transformação.
A melhoria contínua exige igualmente uma análise periódica, ao nível da organização, das tendências, dos padrões recorrentes e da eficácia das intervenções anteriores. Uma redução do número total de constatações em aberto não demonstra automaticamente um reforço da Gestão Integrada dos Riscos de Criminalidade Financeira. Um número reduzido de constatações pode também resultar de uma cobertura limitada dos testes, de revisões insuficientemente críticas, de classificações incoerentes ou de critérios de encerramento excessivamente flexíveis. A organização deve, por isso, informar não apenas quantas ações permanecem em aberto ou foram encerradas, mas também que tipos de deficiência voltam a ocorrer, que causas profundas são mais frequentes, que unidades de negócio registam atrasos reiterados e que medidas de remediação não produzem o efeito pretendido. Deve igualmente ser analisado o período decorrido entre o surgimento da deficiência, a sua primeira deteção, a escalada, o início da remediação e o encerramento definitivo. Prazos de deteção ou resposta excessivamente prolongados podem revelar fragilidades na monitorização, partilha de informação, escalada ou governação. A comparação entre períodos, unidades de negócio, entidades, jurisdições e categorias de risco pode evidenciar os domínios que exigem maior atenção da gestão. Esta análise deve ser utilizada para adaptar os planos de assurance, as decisões de investimento e as prioridades executivas, de modo que os recursos limitados sejam direcionados para as áreas com maior potencial de melhoria estrutural e redução significativa do risco.
Uma organização orientada para a melhoria contínua não considera a assurance como uma revisão final e retrospetiva, mas como uma fonte relevante de informação estratégica e operacional. As constatações, os incidentes, as investigações, as observações regulatórias e os resultados das medidas de remediação devem ser avaliados conjuntamente para testar os pressupostos relativos aos riscos de criminalidade financeira e reconsiderar periodicamente a conceção e o funcionamento da Gestão Integrada dos Riscos de Criminalidade Financeira. À medida que surgem novas tipologias criminosas, tecnologias, produtos, métodos de pagamento ou canais de distribuição, as lições resultantes de deficiências anteriores podem facilitar uma identificação mais precoce das vulnerabilidades e uma adaptação mais proativa dos controlos. Os desenvolvimentos externos, incluindo alterações legislativas, decisões regulatórias, medidas de enforcement, decisões judiciais e a evolução dos métodos criminosos, devem igualmente ser relacionados com a experiência interna. A melhoria contínua exige uma cultura na qual as deficiências possam ser comunicadas atempadamente, as observações críticas sejam analisadas com seriedade e a gestão permaneça disponível para reconsiderar decisões, controlos e pressupostos comerciais consolidados. O objetivo não consiste em criar um ambiente no qual não surjam constatações, mas em estabelecer uma organização capaz de identificar as suas fragilidades numa fase precoce, avaliar rigorosamente o respetivo alcance e extrair ensinamentos demonstráveis de cada intervenção. Quando o conhecimento produzido pelas atividades de assurance é sistematicamente transformado numa melhor tomada de decisão, em competências mais sólidas, em controlos mais eficazes e em prioridades mais direcionadas, a Gestão Integrada dos Riscos de Criminalidade Financeira torna-se capaz não apenas de responder às deficiências existentes, mas também de se adaptar continuamente à evolução dos riscos, das expectativas e das realidades operacionais.
