A Gestão Integrada dos Riscos de Criminalidade Financeira começa com uma decisão inequívoca da liderança da organização: a gestão dos riscos de criminalidade financeira não deve ser tratada como um conjunto de obrigações de conformidade autónomas, controlos técnicos isolados ou medidas de investigação predominantemente reativas, mas como uma componente indissociável da estratégia, da governação, da tomada de decisões comerciais e da responsabilidade institucional. Os riscos de criminalidade financeira não surgem exclusivamente no âmbito da monitorização de transações, da diligência devida sobre clientes, da verificação de sanções ou dos processos de comunicação às autoridades competentes. Podem ter origem em decisões relacionadas com determinados mercados, clientes, canais de distribuição, produtos, fluxos de pagamento, estruturas jurídicas, parceiros comerciais, alvos de aquisição, tecnologias e modelos de geração de receitas. Uma organização que não reconheça a relevância estratégica destes riscos expõe-se à possibilidade de serem tomadas decisões comerciais antes de as respetivas implicações em matéria de integridade terem sido devidamente analisadas, de as funções jurídica e de conformidade serem envolvidas apenas depois de determinadas posições se terem tornado difíceis de reverter e de a auditoria interna identificar posteriormente deficiências já inerentes ao processo decisório inicial. Definir o rumo exige, por conseguinte, uma visão coerente à escala da organização, na qual os objetivos comerciais, a responsabilidade social, as obrigações legais, as expectativas das autoridades de supervisão, as considerações fiscais, os interesses reputacionais e a viabilidade operacional sejam avaliados como fatores interdependentes. Essa visão deve estabelecer não apenas quais os comportamentos considerados inaceitáveis, mas também quais as formas de complexidade, incerteza e risco residual que podem ser admitidas, em que condições essa aceitação pode ocorrer e que informação deve estar disponível antes de ser tomada uma decisão. A Gestão Integrada dos Riscos de Criminalidade Financeira só adquire significado prático quando a direção estratégica se reflete de forma reconhecível na aceitação de clientes, no desenvolvimento de produtos, na aprovação de transações, na execução de pagamentos, na externalização, na utilização de dados, nas decisões relativas ao pessoal, nos protocolos de investigação, na resposta a incidentes, nos programas de remediação e no tratamento de exceções. A primeira linha deve conseguir demonstrar de que forma os princípios definidos ao nível da organização orientam as decisões quotidianas. A segunda linha deve traduzir esses princípios em normas claras, quadros de avaliação, metodologias, expectativas de monitorização e requisitos de escalonamento. A terceira linha deve determinar, de forma independente, se a direção escolhida foi efetivamente incorporada, se é aplicada de modo coerente e se produz resultados controlados e demonstráveis.
Definir o rumo exige igualmente que as tensões estruturais entre crescimento, rapidez, qualidade do serviço, segurança jurídica, proteção de dados, controlo de custos, posição fiscal, solidez regulatória e garantia independente sejam governadas de forma explícita, em vez de permanecerem ocultas. Uma estratégia que exista apenas em documentos internos de política oferece proteção limitada quando diferentes unidades operacionais aplicam limiares de risco divergentes, clientes comparáveis recebem tratamentos distintos consoante a jurisdição ou são autorizadas exceções comerciais sem uma avaliação transparente da exposição acumulada. A coerência também se perde quando a segunda linha desenvolve normas insuficientemente ligadas aos processos operacionais ou quando a terceira linha avalia os controlos com base em critérios que não foram claramente traduzidos em comportamentos executáveis pela primeira linha. A direção estratégica exige, por isso, uma disciplina comum na tomada de decisões: deve ser claro quem pode aceitar um risco, quem pode impor condições, quem pode limitar ou interromper uma atividade, quando uma questão deve ser escalada e quais as pessoas que mantêm responsabilidade pela implementação e pelo acompanhamento. O conselho de administração e os órgãos de supervisão devem demonstrar de forma visível que a gestão dos riscos de criminalidade financeira não constitui uma responsabilidade exclusiva das funções de conformidade, jurídica, gestão de riscos, fiscal, segurança ou auditoria interna. A responsabilidade pertence à organização no seu conjunto: a primeira linha conserva a titularidade do risco e da respetiva gestão operacional, a segunda linha estabelece o quadro de referência e organiza uma contestação efetiva, enquanto a terceira linha avalia de forma independente o funcionamento do sistema na sua totalidade. Os investimentos em pessoas, dados, tecnologia, investigações, formação, melhoria de controlos e garantia independente devem estar associados aos riscos de criminalidade financeira mais significativos, em vez de serem distribuídos predominantemente com base em orçamentos históricos, constatações regulatórias isoladas ou deficiências pontuais. Quando a primeira, a segunda e a terceira linhas atuam de acordo com uma direção estratégica clara e partilhada, a organização fica mais bem preparada para tomar decisões coerentes, identificar antecipadamente riscos relevantes, utilizar de forma mais eficaz recursos escassos e demonstrar de modo mais convincente que os seus compromissos públicos em matéria de integridade encontram correspondência nas decisões e práticas quotidianas.
Ambição estratégica em matéria de criminalidade financeira
Uma ambição estratégica em matéria de gestão dos riscos de criminalidade financeira deve ir além de uma declaração geral segundo a qual as leis e os regulamentos serão respeitados ou não será tolerada a utilização criminosa da organização. Esses princípios são necessários, mas não proporcionam orientação suficiente em situações nas quais coexistem vários interesses legítimos, a informação é incompleta, as obrigações jurídicas não coincidem integralmente com as expectativas das autoridades de supervisão ou a pressão comercial exige uma decisão célere. Uma ambição verdadeiramente operacional deve definir o nível de integridade que a organização pretende alcançar, a posição que deseja ocupar no mercado, as formas de exposição incompatíveis com os seus objetivos e o grau de prevenção, deteção, investigação, resposta e remediação considerado adequado. Deve ser estabelecida uma distinção entre o cumprimento mínimo das obrigações formais e a decisão estratégica mais ampla de estruturar relações comerciais, produtos e transações de forma controlada, defensável e socialmente responsável. Uma instituição financeira, um prestador de cuidados de saúde, uma empresa tecnológica, um grupo industrial ou uma organização de serviços profissionais podem estar sujeitos a normas jurídicas comparáveis e, ainda assim, necessitar de uma ambição diferente em função do respetivo perfil de clientes, presença geográfica, complexidade dos produtos, fluxos de pagamento, modelo de distribuição e função social. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, uma abordagem específica para cada organização, que determine não apenas as normas aplicáveis, mas também a forma como a natureza da atividade deve influenciar a intensidade da gestão dos riscos. A ambição deve produzir efeitos concretos no domínio da prevenção da fraude, do branqueamento de capitais, do financiamento do terrorismo, das sanções, do suborno e da corrupção, da integridade fiscal, do abuso de mercado, da cibercriminalidade, dos conflitos de interesses, da apropriação indevida de ativos empresariais e de outras formas de criminalidade financeira e económica. Deve ainda esclarecer se a organização pretende apenas evitar infrações formais ou se deseja impedir ativamente que os seus produtos, serviços, infraestruturas, dados ou reputação sejam utilizados para comportamentos incompatíveis com os seus valores fundamentais e com a posição que ocupa na sociedade.
A ambição estratégica deve ser construída com base numa avaliação realista do contexto empresarial. Tal exige uma compreensão integrada dos países em que as atividades são desenvolvidas, dos setores em que os clientes operam, das categorias de pessoas singulares e coletivas com as quais são estabelecidas relações, dos métodos de pagamento utilizados, do grau de anonimato ou distância na prestação dos serviços, da dependência de intermediários, da existência de estruturas de propriedade complexas e da vulnerabilidade dos produtos a utilizações indevidas. Esta avaliação não deve limitar-se às categorias de risco reconhecidas pela legislação ou por tipologias externas. As transformações estratégicas também podem alterar radicalmente a exposição. A expansão internacional pode introduzir novos riscos em matéria de sanções, corrupção e transparência. A digitalização pode acelerar a prestação de serviços e, simultaneamente, reduzir a visibilidade sobre a identidade, a origem dos fundos e o controlo efetivo. As aquisições podem incorporar arquivos históricos de clientes, dados de qualidade insuficiente e práticas de controlo divergentes. As iniciativas de redução de custos podem centralizar determinadas funções, enfraquecendo ao mesmo tempo o conhecimento local. Novas formas de colaboração podem distribuir responsabilidades entre partes que aplicam normas diferentes. A ambição deve, por isso, ser suficientemente específica para orientar as decisões atuais e suficientemente adaptável para responder a alterações na exposição. A Gestão Integrada dos Riscos de Criminalidade Financeira exige um processo cíclico no qual os planos estratégicos, as avaliações de risco, os incidentes, os resultados das investigações, a evolução regulatória, as mudanças no mercado e a garantia independente sejam utilizados conjuntamente para rever periodicamente a direção. A liderança deve conseguir explicar por que razão determinados mercados, clientes, produtos ou atividades são coerentes com a estratégia e por que motivo outras formas de exposição devem ser limitadas, aceites apenas sob determinadas condições ou inteiramente excluídas. Na ausência dessa fundamentação, a ambição corre o risco de se reduzir a princípios gerais que oferecem pouca orientação quando interesses concretos entram em conflito.
Uma ambição estratégica verdadeiramente utilizável deve, por último, ser traduzida em expectativas mensuráveis, decisões de governação e consequências demonstráveis. Quando uma organização afirma que a integridade prevalece sobre as receitas de curto prazo, esse princípio deve tornar-se visível quando um cliente importante apresenta transparência insuficiente, quando uma transação gera receitas significativas mas carece de uma lógica económica compreensível ou quando um parceiro comercial fica associado a indicadores negativos graves. O mesmo princípio deve aplicar-se às decisões de investimento. Um elevado nível de ambição não pode ser prosseguido de forma credível quando as funções de diligência devida sobre clientes permanecem estruturalmente subdimensionadas, a qualidade dos dados não é adequadamente melhorada, as equipas de investigação não têm acesso à informação relevante ou as unidades operacionais locais dependem durante períodos prolongados de soluções manuais provisórias. A ambição deve, por conseguinte, estar ligada à capacidade de recursos humanos, às competências, ao apoio tecnológico, à governação de dados, à conceção dos controlos, aos poderes de investigação, aos mecanismos de escalonamento e à verificação independente. Os sistemas de remuneração e avaliação de desempenho devem igualmente ser coerentes com a direção escolhida. Não é razoável responsabilizar os colaboradores pela adoção de decisões prudentes em matéria de risco quando os objetivos comerciais recompensam a rapidez e as receitas, enquanto a formulação de questões críticas provoca atrasos, perda de clientes ou avaliações negativas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que a liderança identifique e corrija essas contradições. A ambição estratégica deve ser visível nos objetivos atribuídos aos administradores, dirigentes e responsáveis pelos processos, na avaliação de propostas de produtos, na autorização da entrada em novos mercados e na resposta a incidentes e deficiências. Uma organização que associe sistematicamente a ambição ao comportamento, aos recursos e às decisões não só cria um quadro mais claro de responsabilidade interna, como reforça a sua posição perante autoridades de supervisão, autoridades de investigação, contrapartes contratuais, acionistas e outras partes interessadas que esperam uma correspondência verificável entre as declarações de integridade e o funcionamento real da organização.
Taxonomia partilhada dos riscos e linguagem comum
A Gestão Integrada dos Riscos de Criminalidade Financeira só pode funcionar eficazmente quando a primeira, a segunda e a terceira linhas utilizam uma taxonomia partilhada dos riscos e uma linguagem comum. Em muitas organizações, situações comparáveis são descritas através de definições diferentes. A primeira linha pode qualificar uma circunstância como uma dificuldade comercial, enquanto a função de conformidade a considera um risco de integridade relacionado com o cliente, a função jurídica identifica uma eventual responsabilidade, os especialistas fiscais detetam uma ausência de substância económica e a auditoria interna regista uma deficiência de controlo. Cada qualificação pode ser defensável na perspetiva da disciplina em causa, mas a utilização de terminologias distintas pode impedir a formação de uma compreensão coerente. Os sinais podem, por conseguinte, ser registados em sistemas separados, avaliados através de escalas de gravidade diferentes e tratados por canais de governação distintos. Um padrão constituído por exceções recorrentes, transações invulgares, documentação insuficiente, alterações não explicadas na estrutura de propriedade e pressão comercial pode permanecer despercebido, apesar de a informação considerada no seu conjunto revelar um risco significativo de criminalidade financeira. Uma taxonomia partilhada permite reunir essas observações sem eliminar as diferenças substantivas próprias de cada disciplina. Define quais os comportamentos, acontecimentos, vulnerabilidades e deficiências de controlo incluídos em cada categoria de risco, de que forma essas categorias se relacionam e como devem ser avaliadas a gravidade, a probabilidade, a dimensão, a duração e a extensão. A taxonomia não deve limitar-se a crimes ou infrações formais. Devem igualmente encontrar nela um lugar reconhecível os indicadores, as suspeitas, as insuficiências, os riscos de facilitação, as deficiências de transparência, as pressões anómalas, os controlos inadequados e as exposições elevadas. Uma linguagem comum permite que equipas operacionais, especialistas, dirigentes e auditores atribuam o mesmo significado aos conceitos essenciais e, consequentemente, compreendam mais rapidamente que informação falta, que incertezas persistem e que intervenção é necessária.
O desenvolvimento de uma taxonomia partilhada exige muito mais do que a simples unificação de glossários existentes. A classificação deve corresponder aos processos empresariais reais, às obrigações jurídicas, aos requisitos de comunicação externa, às estruturas de dados e às necessidades de decisão. Conceitos como cliente, relação comercial, beneficiário efetivo, representante, beneficiário, contraparte, intermediário e parte relacionada podem, por exemplo, ter significados diferentes em sistemas distintos. Enquanto essas diferenças não forem harmonizadas ou expressamente documentadas, a informação não poderá ser combinada de forma fiável. O mesmo se aplica a termos como incidente, aviso, alerta, caso, investigação, constatação, incumprimento, deficiência, exceção e escalonamento. Um alerta gerado pela monitorização de transações não equivale automaticamente a um incidente confirmado. Um sinal não verificado não é o mesmo que um comportamento comprovado. Um desvio relativamente a uma política pode resultar de uma causa administrativa limitada, mas também pode revelar uma evasão sistemática aos requisitos de controlo. A taxonomia deve preservar estas nuances e, simultaneamente, impedir que as diferenças terminológicas sejam utilizadas para minimizar uma exposição significativa ou transferir responsabilidades. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, definições claras, regras de classificação, responsabilidade pela terminologia e procedimentos de alteração. As novas tipologias, os avanços tecnológicos, as alterações legislativas e as conclusões das investigações devem ser periodicamente incorporados na taxonomia. Deve igualmente ser determinado quais os conceitos que devem ser uniformes em toda a organização e em que domínios são necessárias extensões locais devido ao sistema jurídico aplicável, às características do mercado ou às práticas das autoridades de supervisão. A variação local pode ser necessária, mas não deve originar relatórios incomparáveis nem incerteza quanto à gravidade dos riscos. Uma norma central acompanhada de extensões locais cuidadosamente controladas oferece normalmente maior clareza do que uma uniformização absoluta que ignore o contexto relevante ou do que uma configuração inteiramente local que impeça a análise à escala da organização.
A linguagem comum deve posteriormente ser incorporada nas políticas, nos sistemas, na informação de gestão, na formação, nos documentos de decisão e nas atividades de garantia. Não pode existir verdadeira coerência quando as definições figuram apenas num glossário central, enquanto formulários, painéis de controlo, investigações e relatórios de auditoria continuam a utilizar terminologias diferentes. Os campos de dados devem suportar as classificações escolhidas. Os documentos de escalonamento devem indicar claramente as categorias, os níveis de gravidade e as incertezas relevantes. Os documentos de decisão devem distinguir entre factos verificados, pressupostos, questões não resolvidas, qualificações jurídicas e avaliações de governação. A informação de gestão deve demonstrar de que modo os sinais operacionais, as constatações da função de conformidade, as questões jurídicas, as preocupações fiscais, os incidentes e as observações de auditoria se relacionam entre si. A formação deve familiarizar os colaboradores não apenas com as definições, mas também com a sua aplicação prática em circunstâncias concretas. A primeira linha deve compreender quando uma questão comercial constitui igualmente uma questão de integridade. A segunda linha deve ser capaz de traduzir informação proveniente de fontes distintas em indicadores de risco coerentes e intervenções proporcionadas. A terceira linha deve poder avaliar se as classificações são aplicadas de forma fiável e se os relatórios de gestão representam corretamente a gravidade real da exposição. Uma taxonomia bem concebida reforça não apenas a comunicação, mas também a qualidade dos dados, a análise de tendências, a definição de prioridades, a coordenação de casos e a responsabilidade de governação. Permite identificar onde acontecimentos diferentes partilham a mesma causa subjacente, onde riscos comparáveis recebem tratamento distinto e onde determinadas categorias foram definidas de forma excessivamente ampla ou restritiva. A linguagem comum constitui, por conseguinte, um fundamento essencial da Gestão Integrada dos Riscos de Criminalidade Financeira: sem terminologia partilhada não pode existir uma visão partilhada dos riscos; sem uma visão partilhada não pode haver decisões coerentes; e sem decisões coerentes a direção estratégica escolhida não pode ser implementada de forma convincente nem verificada de modo independente.
Apetite de risco, limites e tolerância
O apetite de risco e a tolerância conferem conteúdo concreto à direção estratégica ao determinarem quais os riscos de criminalidade financeira que a organização pode aceitar em condições definidas, quais as formas de exposição que exigem controlos reforçados e quais os riscos incompatíveis com os seus objetivos. Uma declaração geral segundo a qual a organização não tolera a criminalidade financeira é compreensível enquanto princípio normativo, mas não constitui uma base suficiente para as decisões quotidianas. Nenhuma organização consegue eliminar toda a incerteza, detetar imediatamente cada irregularidade ou impedir por completo qualquer possível utilização indevida. Mesmo num sistema robusto permanecem risco residual, limitações de informação, discricionariedade humana e restrições tecnológicas. Um apetite de risco eficaz deve, por conseguinte, distinguir entre a conduta criminosa em si mesma, que não é aceite, e a possibilidade controlável de um produto, uma relação ou um processo ficarem expostos a uma utilização indevida. Deve descrever as circunstâncias em que essa exposição pode ser aceite, as medidas compensatórias necessárias, as autorizações exigidas e o nível de risco residual que pode permanecer após a aplicação dos controlos. As dimensões relevantes incluem, entre outras, o tipo de cliente, o setor, a jurisdição, o produto, o valor da transação, o canal de distribuição, a complexidade da estrutura de propriedade, o grau de transparência, a intervenção de intermediários, a rapidez da prestação de serviços e a disponibilidade de dados fiáveis. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que essas dimensões não sejam avaliadas apenas de forma isolada. Um cliente proveniente de uma jurisdição de risco mais elevado não se situa necessariamente fora do apetite de risco, enquanto um cliente aparentemente de baixo risco pode apresentar um perfil inaceitável devido à combinação de estruturas complexas, fluxos financeiros invulgares, exposição política e explicações insuficientes. A avaliação deve, portanto, ser cumulativa, contextual e suficientemente diferenciada.
A tradução do apetite de risco em limites operacionais exige indicadores claros, regras de decisão e níveis de escalonamento. A primeira linha deve conseguir determinar que relações ou atividades se encontram dentro dos seus poderes ordinários, quando é necessária informação adicional e quando deve ser obtida uma autorização de nível superior. A segunda linha deve estabelecer as medidas mínimas de controlo, as exceções eventualmente admissíveis e as combinações de fatores que colocam uma relação ou transação fora da tolerância definida. A terceira linha deve avaliar, de forma independente, se os limiares utilizados são coerentes com a direção estratégica aprovada e se as exceções estão a gerar um alargamento de facto do apetite de risco. Os princípios qualitativos devem ser apoiados por indicadores quantitativos quando tal seja possível e significativo. Entre estes podem incluir-se a concentração de clientes em determinadas categorias de risco, o número de processos que permanecem incompletos durante períodos prolongados, o valor de transações com características de risco elevado, a percentagem de dados essenciais em falta, o número de exceções aos critérios de aceitação, os prazos de conclusão das investigações e as ultrapassagens reiteradas dos limites de controlo. Os indicadores quantitativos não devem, contudo, criar uma falsa impressão de precisão. Um limiar pode facilitar a identificação e a governação, mas não pode substituir uma avaliação substantiva do contexto, das motivações, da proporcionalidade e das possíveis consequências. Também não deve ser considerado uma autorização para acumular exposição ilimitada imediatamente abaixo do limite. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por isso, uma combinação de limites mensuráveis, juízo profissional e avaliação periódica da exposição acumulada. Deve ainda tornar visível a forma como diferentes modalidades de risco se reforçam mutuamente. Uma deficiência limitada nos dados pode parecer aceitável isoladamente, mas, combinada com uma diligência devida insuficiente, transações complexas e competências locais reduzidas, pode gerar uma exposição significativamente maior.
O apetite de risco deve, além disso, ser governado de forma dinâmica. As alterações geopolíticas, os regimes de sanções, as tipologias criminais, os avanços tecnológicos, as prioridades das autoridades de supervisão, os comportamentos de mercado e a qualidade dos controlos internos podem exigir a reavaliação de exposições anteriormente aceites. Os incidentes, as investigações internas e as constatações de garantia também podem demonstrar que o nível real de controlo é inferior ao presumido no momento da autorização inicial. Uma organização pode, por exemplo, estar disposta a servir determinado segmento de clientes enquanto estiverem disponíveis informações fiáveis sobre a origem dos fundos, conhecimentos especializados e uma monitorização intensiva. Quando a rotatividade do pessoal, os problemas dos sistemas ou as limitações dos dados enfraquecem essas condições, o risco residual altera-se mesmo que o segmento de clientes permaneça inalterado. A governação do apetite de risco deve, por conseguinte, prever uma recalibração periódica, ajustamentos intercalares após acontecimentos relevantes e procedimentos claros para ultrapassagens temporárias. As ultrapassagens não devem limitar-se a ser registadas, mas devem ser avaliadas substantivamente em função da sua causa, duração, impacto e intervenção necessária. Uma aceitação temporária pode ser defensável quando exista um plano de remediação controlado e a exposição residual tenha sido expressamente autorizada. As ultrapassagens estruturais, pelo contrário, indicam frequentemente uma divergência entre a direção formalmente aprovada e o funcionamento real da organização. O conselho de administração e os órgãos de supervisão devem ter visibilidade sobre ambas as situações e poder determinar se são necessárias capacidades adicionais, limitações de atividade, condições reforçadas ou a cessação de relações. A Gestão Integrada dos Riscos de Criminalidade Financeira associa, assim, diretamente o apetite de risco à responsabilidade de governação. O documento em que o apetite de risco é formalizado não constitui um ponto final, mas um quadro permanente de decisão que só tem valor quando os limites são efetivamente monitorizados, as exceções são justificadas com transparência e a exposição real conduz atempadamente à adaptação das atividades ou das medidas de controlo.
Titularidade e responsabilidade da primeira linha
A titularidade dos riscos pela primeira linha constitui um requisito central da Gestão Integrada dos Riscos de Criminalidade Financeira, uma vez que os riscos de criminalidade financeira resultam, em larga medida, das decisões comerciais, dos processos operacionais e das interações quotidianas com clientes, fornecedores, colaboradores, intermediários e outras relações de negócio. A primeira linha dispõe normalmente do conhecimento mais direto sobre a finalidade de uma relação, o contexto económico de uma transação, o funcionamento efetivo de um produto, as circunstâncias em que surgiu uma exceção e o contexto em que um comportamento invulgar se torna visível. Os gestores de relações, as equipas comerciais, as funções de aceitação de clientes, os colaboradores das áreas de pagamentos, compras, sinistros, os responsáveis por produtos, a gestão operacional e outras funções empresariais são frequentemente os primeiros a detetar que a documentação não corresponde às atividades reais, que as explicações se alteram, que a pressão comercial é anormalmente intensa ou que uma transação se afasta do perfil esperado. Quando esses sinais são tratados exclusivamente como informação destinada à função de conformidade, a primeira linha corre o risco de limitar a sua função à transmissão de dados e de transferir implicitamente a decisão efetiva sobre o risco para uma função especializada. A responsabilidade torna-se então difusa e pode surgir uma dinâmica indesejável na qual a primeira linha representa os interesses comerciais, enquanto se espera que a segunda linha evite, por si só, qualquer risco de integridade. A Gestão Integrada dos Riscos de Criminalidade Financeira exige uma distribuição diferente. A primeira linha continua responsável por iniciar, executar, monitorizar, limitar e, quando necessário, cessar as atividades no âmbito da direção estratégica definida. Os pareceres, os quadros de referência e a contestação proporcionados pela segunda linha apoiam essa responsabilidade, mas não a substituem. Mesmo um parecer favorável da função de conformidade não dispensa a primeira linha da obrigação de determinar se uma relação é economicamente compreensível, operacionalmente controlável e coerente com o apetite de risco da organização.
Uma titularidade efetiva exige funções claras, poderes adequados e competências demonstráveis. Os colaboradores devem compreender que controlos estão obrigados a executar, que informação devem avaliar, que indicadores exigem escalonamento e que decisões excedem o seu mandato. Os responsáveis devem reconhecer que a responsabilidade não se limita ao cumprimento de prazos de tratamento, objetivos de receitas ou padrões de produtividade. Devem assegurar que as avaliações de risco sejam substantivas, que as exceções comerciais estejam suficientemente fundamentadas e que deficiências conhecidas não sejam ignoradas para alcançar objetivos operacionais. Os responsáveis pelos processos devem conseguir demonstrar que os controlos estão integrados de forma lógica nos fluxos operacionais, que as responsabilidades não se perdem entre equipas e que a qualidade da execução é periodicamente avaliada. Os responsáveis por produtos devem incorporar os riscos de criminalidade financeira na conceção, alteração, fixação de preços, distribuição e descontinuação dos produtos. A gestão regional deve utilizar o conhecimento local sem enfraquecer as normas definidas ao nível da organização. A gestão de topo deve assegurar que a capacidade, a formação e o apoio tecnológico sejam proporcionais à dimensão e à complexidade das atividades. A Gestão Integrada dos Riscos de Criminalidade Financeira exige igualmente que os colaboradores disponham de uma possibilidade real de colocar questões, suspender processos e escalar preocupações sem sofrer consequências negativas desproporcionadas na sua avaliação ou progressão profissional. Quando a rapidez é sistematicamente recompensada mais do que a prudência, ou quando colaboradores críticos são considerados um obstáculo ao progresso comercial, a titularidade formal fica desprovida de conteúdo prático. A responsabilidade deve, por isso, ser apoiada por comportamentos, incentivos, formação, supervisão e gestão de consequências.
A primeira linha deve também conseguir reconhecer não apenas deficiências individuais de controlo, mas igualmente padrões mais amplos e exposições acumuladas. Um processo de cliente pode parecer completo quando analisado isoladamente, enquanto a sua combinação com exceções anteriores, transações com partes relacionadas, alterações invulgares e informação externa gera um perfil de risco substancialmente diferente. Um produto pode situar-se individualmente dentro do apetite de risco, mas criar uma vulnerabilidade mais elevada quando combinado com determinados canais de distribuição, jurisdições e segmentos de clientes. A titularidade operacional exige, por conseguinte, acesso a informação relevante e uma cooperação eficaz entre unidades empresariais. Os dados não devem estar fragmentados ao ponto de os colaboradores conseguirem observar apenas uma parte limitada da relação. Os escalonamentos devem conter contexto suficiente para que os decisores possam avaliar a exposição no seu conjunto. As decisões devem ser documentadas por referência aos factos, às incertezas, às condições, às alternativas e às responsabilidades de acompanhamento. Quando são impostas condições a uma relação com um cliente, deve ficar claro quem verificará o respetivo cumprimento e que consequência resultará de um eventual incumprimento. Quando é autorizada uma exceção temporária, devem ser identificados uma data de termo, uma medida de remediação e um responsável. A terceira linha deve poder reconstruir posteriormente o processo através do qual a primeira linha chegou à sua decisão e verificar se a titularidade do risco foi realmente exercida. A Gestão Integrada dos Riscos de Criminalidade Financeira reforça, assim, a primeira linha não através da centralização de todas as responsabilidades, mas colocando-as próximo da origem do risco, com o apoio de quadros claros, acesso a competências especializadas e uma governação transparente. Tal permite atuar com maior rapidez, conhecimento e coerência, mantendo simultaneamente a responsabilidade nas funções que efetivamente tomam as decisões comerciais e operacionais.
Quadro da segunda linha e contestação efetiva
A segunda linha desempenha, no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, uma função de orientação, aconselhamento, monitorização e contestação. A sua responsabilidade central consiste em traduzir a legislação, as expectativas das autoridades de supervisão, as tipologias externas, as análises internas de risco e os princípios estratégicos num conjunto coerente de normas que permita à primeira linha gerir de forma controlada os riscos de criminalidade financeira. Essa responsabilidade exige muito mais do que a redação de políticas ou a verificação do respetivo cumprimento. A segunda linha deve compreender o funcionamento real dos produtos, dos clientes, das transações, dos sistemas e dos processos operacionais, os interesses que convergem na tomada de decisões e os domínios em que os requisitos formais originam questões de interpretação prática. Quadros de política que se limitam a repetir formulações jurídicas ou regulatórias sem as traduzir claramente em responsabilidades, limiares de decisão e ações executáveis geram incerteza e aplicações incoerentes. Ao mesmo tempo, a viabilidade operacional não deve ser utilizada para enfraquecer proteções necessárias ou normalizar deficiências estruturais. A segunda linha deve, por conseguinte, manter um equilíbrio entre clareza normativa, proporcionalidade, aplicabilidade operacional e contestação independente. As funções de conformidade, gestão de riscos, jurídica, fiscal, privacidade, segurança e outras funções especializadas podem representar perspetivas diferentes. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que essas perspetivas sejam coordenadas, para evitar que a primeira linha seja confrontada com opiniões contraditórias, pedidos de informação sobrepostos ou definições diferentes de exposição aceitável. Quando persistam divergências substantivas, estas devem ser tornadas visíveis e resolvidas através de uma governação adequada.
Uma contestação efetiva implica que a segunda linha não se limite a confirmar que uma decisão proposta cumpre tecnicamente uma norma interna, mas avalie criticamente se os pressupostos, os dados e a ponderação de interesses em que a decisão assenta são suficientemente fiáveis. Esta função exige competências, independência, acesso à informação e autoridade organizacional adequada. Uma função de contestação tem pouco valor quando intervém apenas no final do processo de decisão, quando os compromissos comerciais já se tornaram essencialmente irreversíveis ou quando opiniões divergentes podem ser afastadas sem fundamentação substantiva. A segunda linha deve, por isso, ser envolvida numa fase adequada do desenvolvimento de produtos, da entrada em novos mercados, da aceitação de clientes complexos, das transações significativas, da externalização, das fusões e aquisições, dos programas de remediação e de outras decisões com implicações relevantes para a integridade. A natureza da sua intervenção deve ser proporcional. As atividades correntes podem ser geridas através de quadros normalizados, enquanto as decisões excecionais ou de risco elevado exigem uma avaliação aprofundada. A contestação não significa que cada decisão deva ser tomada pela segunda linha nem que deva ser criado um processo operacional paralelo. A sua função consiste em verificar se a primeira linha estabeleceu os factos relevantes, considerou alternativas realistas, demonstrou que as condições são executáveis e comprovou que o risco residual permanece dentro dos limites definidos. Deve ficar claro se um parecer é vinculativo, tem peso significativo ou é meramente informativo, quem pode autorizar um desvio e de que forma uma divergência deve ser escalada. A Gestão Integrada dos Riscos de Criminalidade Financeira impede, assim, que a contestação dependa de relações informais ou da capacidade de persuasão pessoal. A contestação passa a integrar a governação formal e pode ser posteriormente reconstruída.
A segunda linha deve, por último, demonstrar a sua eficácia através de uma monitorização baseada no risco, análises temáticas, avaliação independente da evolução e intervenções específicas. A monitorização não deve limitar-se a contabilizar desvios relativamente às políticas ou a verificar se os formulários foram preenchidos. Deve fornecer informação sobre a capacidade real dos controlos para mitigar o risco pretendido, a coerência com que as unidades operacionais tratam situações comparáveis, a eventual concentração de exceções em torno de determinados clientes ou responsáveis e a visibilidade das causas estruturais que estão na origem de deficiências recorrentes. As revisões temáticas podem demonstrar, por exemplo, que os requisitos formais de aceitação de clientes são cumpridos, enquanto a informação sobre a origem dos fundos não é avaliada criticamente. A análise de dados pode revelar que determinadas transações ficam sistematicamente fora da monitorização corrente. A análise de casos pode demonstrar que a informação jurídica, fiscal e de conformidade não é combinada atempadamente. A segunda linha deve traduzir essas conclusões em alterações concretas das normas, dos sistemas, da formação, das avaliações de risco ou da governação. Deve também examinar periodicamente se os seus próprios quadros produzem consequências indesejadas, como encargos administrativos desproporcionados, exclusão desnecessária de clientes legítimos ou deslocação do risco para processos menos visíveis. Uma segunda linha eficaz protege, portanto, não apenas o rigor, mas também a qualidade, a proporcionalidade e a coerência. A terceira linha deve avaliar posteriormente, de forma independente, se a segunda linha dispõe de autoridade, competências e distância suficientes, se a sua monitorização é fiável e se as deficiências identificadas conduzem efetivamente a melhorias. Na Gestão Integrada dos Riscos de Criminalidade Financeira, a segunda linha constitui, assim, a ligação entre a direção estratégica e a execução controlada: concretiza as expectativas, organiza uma contestação substantiva, identifica tendências à escala da organização e protege-a contra decisões comerciais e operacionais que excedam limites defensáveis.
Garantia independente da terceira linha
A terceira linha desempenha, no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, uma função independente e crítica que vai muito além da verificação periódica da existência formal de controlos individuais e da sua execução em conformidade com procedimentos documentados. A essência da garantia independente consiste em avaliar se a direção estratégica escolhida, o apetite de risco definido, os comportamentos e a titularidade exercidos pela primeira linha, bem como os quadros de referência e a contestação proporcionados pela segunda linha, produzem conjuntamente um sistema coerente, credível e demonstravelmente eficaz de gestão dos riscos de criminalidade financeira. A auditoria interna não deve, por conseguinte, limitar-se a verificar a integralidade dos processos de clientes, o encerramento atempado dos alertas de monitorização de transações ou a atualização formal das políticas. A terceira linha deve conseguir avaliar se os pressupostos subjacentes a esses processos e controlos permanecem válidos, se os riscos relevantes são cobertos de forma suficientemente completa, se as responsabilidades são efetivamente exercidas e se a informação de gestão oferece uma representação fiável da exposição real. Um controlo pode ser tecnicamente executado em conformidade com a sua conceção documentada e permanecer, ainda assim, ineficaz quando a segmentação de riscos se encontra desatualizada, os dados subjacentes são incompletos, exceções relevantes ficam sistematicamente excluídas da revisão ou os colaboradores não dispõem da confiança ou proteção organizacional necessárias para escalar preocupações críticas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, portanto, que a terceira linha avalie o funcionamento do sistema no seu conjunto, em vez de se limitar a confirmar a existência dos seus componentes individuais. A atenção deve incidir nas interações entre estratégia, governação, políticas, dados, tecnologia, comportamento humano, cultura, tomada de decisões, resposta a incidentes, investigações, remediação e responsabilidade da gestão. Uma avaliação de garantia eficaz deve demonstrar se a organização consegue identificar atempadamente os riscos de criminalidade financeira, compreender a sua relevância, geri-los de forma proporcional e prestar contas sobre os mesmos perante o nível de governação adequado.
A garantia independente exige uma abordagem de auditoria baseada no risco, na materialidade e na eficácia operacional real. O planeamento da auditoria deve estar ligado à avaliação dos riscos à escala da organização, às alterações estratégicas, aos incidentes conhecidos, à evolução regulatória, às constatações anteriores, aos padrões de exceção, à informação sobre o desempenho dos controlos e aos sinais provenientes da primeira e da segunda linhas. Um ciclo de auditoria estático, segundo o qual cada processo é revisto de acordo com um calendário plurianual fixo, pode revelar-se insuficiente quando a exposição evolui rapidamente ou surgem riscos significativos em domínios historicamente considerados menos relevantes. Novos produtos, canais de distribuição digitais, expansão internacional, fusões e aquisições, reorganizações, externalizações, rotatividade do pessoal e alterações nas metodologias criminais podem modificar substancialmente tanto a exposição da organização como a fiabilidade do respetivo ambiente de controlo. A terceira linha deve, por isso, conservar flexibilidade suficiente para rever as suas prioridades de auditoria durante o ciclo e iniciar revisões específicas quando as circunstâncias exijam atenção imediata. A sua independência deve ser simultaneamente protegida contra a pressão da gestão, as reações defensivas das funções auditadas e as tentativas de limitar o âmbito, os prazos ou a comunicação dos seus trabalhos. A terceira linha deve dispor de acesso adequado e substancialmente ilimitado a documentos, sistemas, decisores, processos de investigação, relatórios internos, reclamações, análises jurídicas e correspondência externa relevante, sem prejuízo das restrições legítimas decorrentes da confidencialidade, do segredo profissional e da proteção de dados. Quando o acesso seja limitado ou determinada informação permaneça indisponível, o efeito dessa limitação sobre o âmbito e a fiabilidade da conclusão de garantia deve ser expressamente indicado. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que as conclusões de garantia não sejam formuladas com um grau de certeza superior ao permitido pelos elementos de prova disponíveis. A garantia independente deve distinguir claramente entre conceção do controlo, implementação e eficácia operacional, identificando os domínios em que os elementos de prova são incompletos, o desempenho dos controlos é incoerente ou a exposição residual continua insuficientemente compreendida.
O valor da terceira linha depende também da qualidade das suas conclusões, recomendações e atividades de acompanhamento. As constatações não devem limitar-se a observações genéricas segundo as quais faltam determinados documentos, os procedimentos não são aplicados de forma coerente ou a supervisão da gestão deve ser reforçada. Devem explicar a causa subjacente da deficiência, as possíveis consequências para a organização e as decisões de governação necessárias para alcançar uma melhoria sustentável. Um problema recorrente relacionado com processos de clientes pode resultar, por exemplo, de normas pouco claras, sistemas inadequados, competências insuficientes, incentivos contraditórios, cargas de trabalho excessivas ou da aceitação consciente de atrasos. Cada causa exige uma forma de intervenção diferente. As recomendações devem ser suficientemente específicas para atribuir responsabilidades e definir o resultado esperado, mantendo simultaneamente um nível de independência que impeça a auditoria interna de assumir responsabilidade pela conceção ou execução da resposta de controlo. A terceira linha deve igualmente avaliar se as medidas de remediação abordam efetivamente a causa original ou se limitam a corrigir os sintomas administrativos mais visíveis. Uma constatação só pode ser encerrada de forma convincente quando os elementos de prova demonstrarem que as medidas acordadas foram implementadas, funcionam de modo sustentável e produzem o efeito previsto de redução do risco. As ações que permanecem abertas durante períodos prolongados, as prorrogações reiteradas dos prazos de remediação e a dependência continuada de soluções temporárias devem ser comunicadas separadamente ao conselho de administração e aos órgãos de supervisão. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que a garantia continue para além da emissão do relatório de auditoria e influencie a definição de prioridades estratégicas, as decisões de investimento, a aceitação de riscos, a responsabilidade da gestão e a gestão de consequências. A terceira linha apoia, assim, uma organização capaz não apenas de afirmar que aplica a Gestão Integrada dos Riscos de Criminalidade Financeira, mas também de demonstrar de forma independente onde os seus controlos são eficazes, onde persistem incertezas e onde continua a ser necessária uma intervenção de governação.
Governação, mandatos e direitos de decisão claramente definidos
Uma governação eficaz traduz a direção estratégica da Gestão Integrada dos Riscos de Criminalidade Financeira em responsabilidades, poderes e mecanismos de decisão concretos. A Gestão Integrada dos Riscos de Criminalidade Financeira não pode funcionar quando permanece incerto que pessoa ou função é titular de um risco, que comité está autorizado a tomar uma decisão, quem pode impor condições, quem pode limitar ou pôr termo a uma relação ou que órgão deve resolver uma divergência entre a primeira e a segunda linhas. Nas organizações complexas, os riscos de criminalidade financeira são frequentemente analisados em múltiplos fóruns, incluindo comités de aceitação de clientes, comités de produtos, fóruns especializados em sanções, comités de investigação, comités de riscos, comités de divulgação, comités de auditoria e órgãos locais de gestão. Cada fórum pode desempenhar uma função legítima, mas a fragmentação pode conduzir a que a mesma questão seja discutida repetidamente e apenas de forma parcial, sem que um único órgão decisório assuma a responsabilidade pelo resultado integrado. Em sentido inverso, uma centralização excessiva pode provocar atrasos, afastar os decisores da realidade operacional e sobrecarregar os órgãos superiores de governação com matérias que poderiam ter sido adequadamente tratadas a um nível inferior. Uma governação sólida exige, por conseguinte, uma distribuição deliberada dos direitos de decisão baseada na natureza, dimensão, complexidade, urgência e impacto potencial do risco. A estrutura de governação deve esclarecer que decisões podem ser tomadas no âmbito dos poderes ordinários da primeira linha, quando o aconselhamento ou a aprovação da segunda linha são obrigatórios, quando é necessário escalar a questão para a gestão de topo e em que circunstâncias devem intervir o conselho de administração ou os órgãos de supervisão. Os mandatos não devem apenas ser formalmente documentados, mas também claramente compreendidos, exercíveis na prática e coerentes com as competências e o nível de responsabilidade efetivos dos decisores.
Os mandatos claros devem ser apoiados por critérios de escalonamento transparentes e por critérios decisórios rigorosos. A simples existência de um comité ou de um processo de aprovação não garante que as decisões sejam substancialmente sólidas, atempadas ou coerentes. A qualidade da governação é determinada pela informação apresentada aos decisores, pela diversidade de competências relevantes envolvidas, pelo grau em que as incertezas são tornadas visíveis e pela disciplina com que as opiniões divergentes são consideradas e documentadas. Os documentos de decisão devem distinguir claramente entre factos verificados, pressupostos, informação em falta, limitações jurídicas, expectativas regulatórias, interesses comerciais e possíveis consequências. Devem impedir que um excesso de detalhe técnico oculte a questão central e evitar que uma solução preferida seja apresentada sem uma análise efetiva de alternativas viáveis. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que os decisores compreendam com precisão que exposição está a ser aceite, por que razão essa exposição é considerada compatível com a direção estratégica da organização, que condições são necessárias para a controlar e que risco residual permanecerá após a aplicação dessas condições. As opiniões divergentes e as posições minoritárias devem ser documentadas quando sejam relevantes para a avaliação ou possam adquirir importância numa revisão posterior. Deve igualmente ficar claro que pessoa mantém a responsabilidade final pela implementação e que função ou órgão de governação supervisionará o cumprimento das condições impostas. Uma decisão sem um responsável identificado, um prazo de implementação, um mecanismo de controlo e uma data de revisão tem valor limitado na perspetiva da governação. A governação não deve apenas permitir a tomada de decisões, mas também garantir a sua implementação, acompanhamento, revisão periódica e, quando necessário, alteração ou revogação.
Os mandatos e os direitos de decisão devem igualmente permanecer eficazes perante pressões comerciais, situações de urgência operacional e conflitos de interesses reais ou potenciais. É precisamente quando as oportunidades financeiras são significativas, os prazos legais são curtos ou as consequências reputacionais parecem imediatas que aumenta o risco de a governação normal ser abreviada, contornada ou substituída por acordos informais. Os procedimentos acelerados podem ser necessários, mas devem ser previamente definidos e incluir requisitos mínimos de informação, níveis adequados de autoridade, documentação das razões e uma revisão retrospetiva atempada. Nenhum procedimento acelerado deve conduzir ao incumprimento de limitações jurídicas fundamentais, obrigações de comunicação regulatória, requisitos de preservação de provas ou salvaguardas de independência. Os conflitos de interesses devem também ser expressamente identificados e geridos. Um responsável comercial por determinada relação não deve atuar, sem salvaguardas adicionais, como único decisor quanto à aceitação de um risco de integridade excecional no âmbito dessa mesma relação. Uma função de investigação deve poder atuar com independência suficiente quando a questão envolva a gestão de topo, um cliente estratégico ou uma unidade empresarial de elevada relevância financeira. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, poderes substitutivos, canais de escalonamento fora da linha hierárquica normal e acesso direto a órgãos superiores de governação quando a independência, a objetividade ou a credibilidade institucional se encontrem sob pressão. Uma avaliação periódica da governação deve determinar se os comités tomam efetivamente decisões, se os mandatos continuam coerentes com a estrutura organizacional, se os escalonamentos ocorrem dentro de prazos adequados e se circunstâncias comparáveis recebem um tratamento coerente. Uma governação clara evita, assim, não apenas a indecisão, mas também resultados arbitrários, concentrações informais de poder e aceitações de risco que não possam ser posteriormente reconstruídas ou defendidas.
Alinhamento entre políticas e prática operacional
Uma política só tem valor no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira quando se reflete de forma reconhecível, coerente e demonstrável na execução quotidiana. Muitas organizações dispõem de amplos conjuntos de políticas, procedimentos, normas e manuais, enquanto os colaboradores operacionais continuam a encontrar dificuldades para traduzir esses documentos em ações e decisões concretas. As políticas podem ser juridicamente precisas e tecnicamente completas, mas oferecer orientação prática insuficiente devido à sua extensão, abstração, complexidade ou sobreposição. Os colaboradores podem continuar a ter dúvidas sobre a informação que deve ser recolhida, os indicadores que são decisivos, o momento em que um processo pode ser aprovado, as circunstâncias em que é necessário aconselhamento especializado ou a forma como deve ser gerido um desvio relativamente ao processo normal. Essa incerteza cria espaço para interpretações locais, métodos de trabalho informais e aplicações incoerentes entre equipas, unidades empresariais, jurisdições ou sistemas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que os princípios estratégicos sejam traduzidos numa hierarquia coerente de políticas, normas, procedimentos, instruções operacionais, regras de sistema e critérios de decisão. Cada nível deve desempenhar uma função distinta e ligar-se logicamente aos restantes. A política central deve indicar o que a organização pretende alcançar e por que razão os requisitos correspondentes são necessários. Os procedimentos devem clarificar responsabilidades, sequência de atividades e governação. As instruções operacionais e os sistemas devem apoiar os colaboradores na execução correta e eficiente das ações exigidas. Podem ser necessárias extensões locais devido à legislação aplicável numa determinada jurisdição, às condições do mercado ou às características operacionais, mas estas não devem produzir um nível inferior de proteção sem uma aprovação expressa e devidamente autorizada. A tradução das políticas para a prática deve ser organizada de forma que os colaboradores não sejam obrigados a resolver autonomamente contradições entre documentos ou a determinar, sem orientação, que norma deve prevalecer.
Uma execução demonstrável exige muito mais do que a publicação de políticas, comunicações gerais e programas obrigatórios de formação. Os colaboradores devem conseguir aplicar a finalidade subjacente de uma política a circunstâncias que não estejam integralmente descritas num procedimento. Os riscos de criminalidade financeira surgem frequentemente através de combinações de comportamentos, entidades, transações e fatores contextuais que não se enquadram num único cenário normalizado. Uma implementação eficaz deve, por conseguinte, combinar transferência de conhecimentos, casos práticos, orientações acessíveis, apoio da gestão, controlos de qualidade e aconselhamento especializado. A formação deve ser adaptada à função, aos poderes e à exposição ao risco da pessoa em causa. Um gestor de relações necessita de conhecimentos e capacidades de decisão diferentes dos de um investigador, um responsável pelo desenvolvimento de produtos, um analista de dados, um dirigente ou um membro de um comité de riscos. Os responsáveis não devem apenas compreender os requisitos aplicáveis, mas também saber avaliar a qualidade das decisões, contestar fundamentações insuficientes, responsabilizar os colaboradores e escalar obstáculos estruturais que impeçam uma execução eficaz. As novas políticas e normas devem ser avaliadas na perspetiva da sua viabilidade operacional antes de uma implementação generalizada. Essa avaliação deve considerar a disponibilidade e fiabilidade dos dados, a funcionalidade dos sistemas, a capacidade de recursos humanos, as dependências operacionais, os tempos previstos de tratamento e as possíveis consequências indesejadas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que a implementação não seja considerada uma fase final de comunicação, mas um processo coordenado de mudança no qual políticas, processos, sistemas, dados, responsabilidades e comportamentos são adaptados conjuntamente. Quando são acrescentados novos requisitos sem simplificar os processos existentes ou proporcionar apoio tecnológico adequado, pode surgir fadiga de controlo e a atenção pode deslocar-se da avaliação substantiva do risco para o mero cumprimento administrativo. Uma tradução eficaz das políticas exige igualmente a eliminação de requisitos obsoletos, duplicados, incoerentes ou desproporcionados.
O funcionamento real das políticas deve, por último, ser mensurável, passível de revisão e suscetível de verificação independente. A percentagem de colaboradores que concluíram um programa de formação ou o número de procedimentos publicados oferece indicações limitadas sobre a qualidade da execução. A informação de gestão deve demonstrar se os colaboradores aplicam corretamente as normas, se processos comparáveis são avaliados de modo coerente, se as exceções estão a aumentar e se os erros identificados conduzem a melhorias específicas e sustentáveis. Os controlos de qualidade, as análises de processos, as observações diretas, a análise de dados, as entrevistas e as revisões temáticas podem revelar conjuntamente os domínios em que as políticas continuam insuficientemente claras ou nos quais a pressão operacional dificulta a sua correta aplicação. Os sinais provenientes de reclamações, comunicações internas, investigações, litígios, interações com autoridades de supervisão e auditoria interna devem ser utilizados para determinar se os requisitos formais correspondem à realidade operacional. A Gestão Integrada dos Riscos de Criminalidade Financeira exige igualmente um processo controlado de alteração de políticas. Quando uma política é modificada, deve ficar claro que processos, sistemas, contratos, materiais de formação, mecanismos de informação, atividades de controlo e procedimentos de garantia devem ser adaptados. As versões substituídas devem ser retiradas, os períodos de transição devem ser geridos e os casos em aberto devem ser tratados de acordo com regras expressas. Uma alteração formalmente aprovada e tecnicamente publicada, mas não integrada nas operações, pode criar uma exposição superior à de uma norma estável cujas limitações sejam compreendidas e ativamente geridas. O objetivo final não consiste, portanto, numa conformidade meramente documental, mas num ambiente de controlo em que os colaboradores compreendem as expectativas, os sistemas apoiam a forma de trabalho pretendida e a organização consegue demonstrar de forma convincente que a direção estratégica escolhida é efetivamente aplicada nas decisões reais.
Priorização estratégica e investimento
A Gestão Integrada dos Riscos de Criminalidade Financeira exige decisões deliberadas sobre a utilização de recursos limitados. Nenhuma organização dispõe de capacidade ilimitada em termos de pessoal, tecnologia, dados fiáveis, competências de investigação ou atenção da gestão. Na ausência de prioridades claras, os investimentos podem ser impulsionados principalmente por incidentes recentes, observações regulatórias isoladas, acumulações operacionais visíveis ou pela influência de determinadas unidades empresariais. Podem ser destinados recursos significativos a riscos relativamente limitados, enquanto vulnerabilidades estruturais presentes em processos menos visíveis permanecem insuficientemente tratadas. A priorização estratégica deve começar, por conseguinte, com uma avaliação integrada da exposição inerente, da qualidade dos controlos existentes, do risco residual e do impacto potencial. Esta avaliação deve ir além das perdas financeiras imediatas ou das sanções regulatórias. A exposição penal, as limitações de licenças ou autorizações, a responsabilidade civil, os ajustamentos fiscais, a exclusão de mercados, as consequências em matéria de proteção de dados, os danos reputacionais, as interrupções operacionais e a perda de confiança das partes interessadas podem produzir conjuntamente um impacto consideravelmente superior ao valor financeiro direto de um incidente. As prioridades devem também considerar a rapidez com que um risco se pode desenvolver, a possibilidade prática de remediação, o risco de concentração e a dependência de sistemas, fornecedores ou pessoas essenciais. Uma deficiência de controlo aparentemente limitada pode adquirir caráter estrategicamente urgente quando afeta uma parte relevante da carteira de clientes, enfraquece simultaneamente vários controlos ou é particularmente difícil de corrigir após um incidente. A Gestão Integrada dos Riscos de Criminalidade Financeira associa, por isso, as decisões de investimento à exposição significativa e aos objetivos estratégicos, em vez de as relacionar apenas com padrões históricos de despesa, limites organizacionais ou requisitos formais mínimos.
Um investimento específico exige uma avaliação equilibrada das pessoas, dos processos, dos dados, da tecnologia e da governação. As soluções tecnológicas podem gerar melhorias relevantes na verificação de sanções, na monitorização de transações, na análise de redes, na gestão de processos, no apoio a investigações e na informação de gestão, mas não podem resolver um apetite de risco pouco claro, uma titularidade insuficiente ou uma governação inadequada. Recursos humanos adicionais não conseguem compensar indefinidamente ineficiências estruturais quando os sistemas geram volumes excessivos de alertas irrelevantes, os processos contêm duplicações desnecessárias ou os colaboradores não têm acesso a informação fiável. Cada investimento deve ser avaliado por referência ao problema específico que pretende resolver, às condições necessárias para uma implementação bem-sucedida e ao efeito esperado sobre o risco residual. A Gestão Integrada dos Riscos de Criminalidade Financeira exige uma justificação económica clara que descreva custos, benefícios, redução do risco, complexidade de implementação, dependências operacionais e resultados mensuráveis. Os investimentos na qualidade dos dados merecem especial atenção. Dados incompletos, incoerentes ou inacessíveis enfraquecem praticamente todos os elementos da gestão dos riscos de criminalidade financeira. Sem dados fiáveis sobre clientes, informação transacional, dados de propriedade e ligações eficazes entre sistemas, mesmo as tecnologias analíticas mais sofisticadas funcionarão com precisão limitada e cobertura incompleta. Ao mesmo tempo, os grandes programas tecnológicos não devem consumir recursos durante períodos prolongados sem gerar reduções intermédias do risco. Uma implementação faseada, resultados mínimos claramente definidos e uma reavaliação periódica são necessários para evitar que os programas estratégicos se desliguem das necessidades operacionais atuais e da evolução das condições de risco.
A priorização deve refletir-se igualmente de forma visível no planeamento financeiro, na governação dos programas e na gestão da carteira de investimentos. Os recursos não devem ser atribuídos exclusivamente por função, unidade empresarial ou entidade jurídica quando os riscos relevantes sejam transversais e afetem simultaneamente diferentes partes da organização. Um programa central de remediação pode depender, por exemplo, da melhoria local dos dados, de alterações nos processos de produto, de análises jurídicas, do desenvolvimento de sistemas, da contratação de especialistas e de controlos de qualidade adicionais. Na ausência de uma direção integrada, cada função pode otimizar a sua contribuição individual enquanto o resultado global permanece insuficiente. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, uma carteira coerente de investimentos na qual as iniciativas sejam classificadas em função da sua materialidade, urgência, dependências e efeito esperado de redução do risco. Os decisores devem conseguir identificar que riscos estão conscientemente a ser tratados numa fase posterior, que controlos temporários estão a ser utilizados e que consequências podem resultar da redução dos recursos ou do atraso dos projetos. Após a implementação, a organização deve determinar se o investimento produziu o resultado esperado. Um novo sistema de monitorização não constitui um êxito apenas por ter sido tecnicamente implementado, mas porque permite detetar com maior precisão os riscos relevantes, melhora a qualidade da avaliação e mantém os encargos operacionais desnecessários dentro de limites proporcionais. Um programa de formação não é eficaz apenas porque a participação é elevada, mas porque produz uma melhoria demonstrável nos comportamentos, no juízo profissional e na tomada de decisões. Os investimentos estratégicos devem, por isso, ser tratados como intervenções de governação sobre os riscos de criminalidade financeira e submetidos à mesma disciplina em matéria de titularidade, objetivos, elementos de prova, revisão e responsabilidade aplicável às restantes decisões relevantes da organização.
Supervisão pelo conselho de administração e responsabilização executiva
O conselho de administração e os órgãos de supervisão assumem a responsabilidade final pela direção estratégica, pela conceção e pela eficácia da Gestão Integrada dos Riscos de Criminalidade Financeira. Essa responsabilidade não pode ser integralmente delegada nas funções de conformidade, jurídica, gestão de riscos, auditoria interna ou em comités especializados. A delegação da execução não elimina a obrigação de governação de compreender os riscos de criminalidade financeira a que a organização está exposta, as decisões estratégicas que criam ou aumentam essa exposição e se o nível de controlo disponível é proporcional à natureza e à dimensão do risco. Os administradores devem conseguir explicar as principais categorias de risco, os produtos vulneráveis, os segmentos relevantes de clientes, as exposições geográficas e as deficiências estruturais de controlo que afetam a organização. Os órgãos de supervisão devem avaliar de forma independente se a direção escolhida é credível, se a gestão disponibiliza recursos suficientes e organiza uma contestação efetiva e se as ambições comerciais estão a produzir um alargamento de facto do apetite de risco aprovado. Esta responsabilidade exige muito mais do que a receção periódica de painéis de controlo, sínteses de incidentes ou relatórios de remediação. A qualidade da supervisão depende das perguntas formuladas, da informação solicitada, da qualidade da contestação exercida e da disponibilidade para limitar ou suspender determinadas atividades quando os controlos continuam inadequados. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que o conselho de administração e os órgãos de supervisão considerem a gestão dos riscos de criminalidade financeira uma questão estratégica da organização, ligada à continuidade, à reputação, à posição jurídica, à legitimidade social, à confiança das partes interessadas e ao acesso aos mercados.
Uma supervisão eficaz pelo conselho de administração exige informação fiável, equilibrada e orientada para a decisão. Os relatórios não devem limitar-se ao número de alertas, comunicações regulatórias, investigações ou ações de remediação pendentes. Devem fornecer informação sobre tendências, causas, concentrações, exceções, deficiências na qualidade dos controlos e alterações no risco residual. Uma redução do número de alertas pode indicar uma melhoria da segmentação e da qualidade da deteção, mas também pode revelar uma falha do sistema, dados incompletos ou um âmbito de monitorização excessivamente restrito. Um aumento das comunicações pode refletir uma deterioração do perfil de risco, mas também pode demonstrar uma melhor identificação dos sinais e um escalonamento mais eficaz. Os administradores devem, por isso, dispor de contexto suficiente para interpretar os dados e compreender as incertezas que os acompanham. A Gestão Integrada dos Riscos de Criminalidade Financeira exige igualmente que a informação positiva não seja apresentada separadamente das limitações relevantes e das questões não resolvidas. Os relatórios devem indicar claramente os domínios em que os dados continuam incompletos, os modelos ainda não foram validados, as medidas temporárias permanecem em vigor ou as unidades empresariais continuam a operar fora dos limites estabelecidos. A segunda linha deve dispor de acesso direto ao conselho de administração e aos órgãos de supervisão quando preocupações relevantes não sejam adequadamente tratadas através dos canais normais de gestão. A terceira linha deve poder comunicar, sem restrições indevidas, as deficiências que afetam tanto a primeira como a segunda linhas. As análises jurídicas e os resultados das investigações devem igualmente ser partilhados de forma a permitir que o conselho exerça as suas responsabilidades de governação e, ao mesmo tempo, preserve, quando adequado, a confidencialidade, o segredo profissional e a estratégia processual. Informação de elevada qualidade não garante decisões corretas, mas informação insuficiente, fragmentada ou excessivamente favorável torna praticamente impossível uma supervisão verdadeiramente significativa.
A responsabilização executiva adquire, por último, conteúdo através de decisões visíveis, acompanhamento constante e consequências adequadas. Quando são conhecidas deficiências relevantes, os administradores devem determinar se as atividades afetadas podem prosseguir, em que condições essa continuação permanece defensável e dentro de que prazo deve ser concluída a remediação. Os atrasos repetidos, as limitações estruturais de capacidade, as deficiências recorrentes dos controlos e a dependência prolongada de medidas temporárias não devem ser tratados como simples questões operacionais quando afetam significativamente o perfil de risco da organização. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que as responsabilidades sejam atribuídas a administradores e dirigentes concretos, que os objetivos relevantes sejam incorporados nas avaliações de desempenho e que a negligência, a evasão deliberada ou a inação persistente produzam consequências proporcionais. Simultaneamente, uma supervisão eficaz deve impedir que a responsabilidade seja atribuída exclusivamente aos colaboradores que tenham cometido um erro individual quando as causas subjacentes se encontram em sistemas inadequados, incentivos contraditórios, insuficiência de pessoal ou deficiências de governação. A responsabilização executiva abrange tanto a responsabilidade individual como a responsabilidade pelas condições em que as decisões são tomadas e em que se espera que os controlos funcionem. Os órgãos de supervisão devem igualmente avaliar periodicamente se dispõem das competências, da informação, da independência e do tempo necessários para desempenhar eficazmente a sua função. Quando os conhecimentos ou a capacidade sejam insuficientes, devem ser consideradas formação específica, recurso a especialistas externos ou alterações na composição. Uma organização só pode expressar de forma credível a sua ambição em matéria de integridade quando o conselho de administração e os órgãos de supervisão demonstram que os riscos de criminalidade financeira não são analisados apenas depois de ocorrer um incidente, mas são estruturalmente incorporados na estratégia, nos investimentos, na remuneração, nas decisões relativas a produtos, na entrada em mercados, nas aquisições e na tomada de decisões à escala da organização. Deste modo, a direção estratégica não é apenas definida, mas continuamente supervisionada, verificada, ajustada e assumida.
Garantia independente da terceira linha
A terceira linha desempenha, no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira, uma função independente e crítica que se estende consideravelmente para além da verificação periódica da existência formal de controlos individuais e da sua execução em conformidade com os procedimentos documentados. A essência da garantia independente consiste em avaliar se a direção estratégica escolhida, o apetite de risco estabelecido, a conduta e a titularidade exercidas pela primeira linha, bem como os quadros de referência e a contestação proporcionados pela segunda linha, produzem conjuntamente um sistema coerente, credível e demonstravelmente eficaz de gestão dos riscos de criminalidade financeira. A auditoria interna não deve, por conseguinte, limitar-se a determinar se os processos de clientes estão completos, se os alertas gerados pela monitorização de transações foram encerrados dentro dos prazos estabelecidos ou se as políticas permanecem formalmente atualizadas. A terceira linha deve ser capaz de avaliar se os pressupostos em que assentam esses processos e controlos continuam válidos, se os riscos relevantes são abordados de forma suficientemente abrangente, se as responsabilidades são efetivamente exercidas e se a informação de gestão oferece uma representação fiável da exposição real. Um controlo pode ser tecnicamente executado em conformidade com a sua conceção documentada e revelar-se, ainda assim, ineficaz quando a segmentação dos riscos se encontra desatualizada, os dados subjacentes estão incompletos, determinadas exceções relevantes permanecem sistematicamente fora do âmbito de revisão ou os colaboradores não dispõem da confiança ou da proteção organizacional necessárias para escalar preocupações críticas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que a terceira linha avalie o funcionamento do sistema no seu conjunto, em vez de se limitar a confirmar a existência dos seus componentes individuais. A atenção deve incidir nas interações entre estratégia, governação, políticas, dados, tecnologia, comportamento humano, cultura, tomada de decisões, resposta a incidentes, investigações, remediação e responsabilidade da gestão. Uma avaliação de garantia eficaz deve demonstrar se a organização é capaz de identificar atempadamente os riscos de criminalidade financeira, compreender a sua relevância, geri-los de forma proporcional e prestar contas sobre os mesmos perante o nível de governação adequado.
A garantia independente exige uma abordagem de auditoria baseada no risco, na materialidade e na eficácia operacional real. O planeamento da auditoria deve estar ligado à avaliação dos riscos à escala da organização, às alterações estratégicas, aos incidentes conhecidos, à evolução regulatória, às constatações anteriores, aos padrões de exceção, à informação relativa ao desempenho dos controlos e aos sinais provenientes da primeira e da segunda linhas. Um ciclo de auditoria estático, segundo o qual cada processo é revisto de acordo com um calendário plurianual fixo, pode revelar-se insuficiente quando a exposição evolui rapidamente ou surgem riscos significativos em domínios historicamente considerados menos relevantes. Novos produtos, canais de distribuição digitais, expansão internacional, fusões e aquisições, reorganizações, acordos de externalização, rotatividade do pessoal e alterações nas metodologias criminosas podem modificar substancialmente tanto a exposição da organização como a fiabilidade do respetivo ambiente de controlo. A terceira linha deve, por isso, conservar flexibilidade suficiente para rever as suas prioridades de auditoria durante o ciclo e iniciar revisões específicas quando as circunstâncias exijam atenção imediata. A sua independência deve, simultaneamente, ser protegida contra pressões da gestão, reações defensivas das funções auditadas e tentativas de limitar o âmbito, os prazos ou a comunicação dos seus trabalhos. A terceira linha deve dispor de acesso adequado e substancialmente ilimitado a documentos, sistemas, decisores, processos de investigação, relatórios internos, reclamações, análises jurídicas e correspondência externa relevante, sem prejuízo das restrições legítimas decorrentes da confidencialidade, do segredo profissional e da proteção de dados. Quando o acesso seja limitado ou determinada informação permaneça indisponível, o efeito dessa limitação sobre o âmbito e a fiabilidade da conclusão de garantia deve ser expressamente indicado. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que as conclusões de garantia não sejam formuladas com um grau de certeza superior ao permitido pelos elementos de prova disponíveis. A garantia independente deve, portanto, distinguir claramente entre a conceção do controlo, a sua implementação e a sua eficácia operacional, identificando os domínios em que os elementos de prova são incompletos, o desempenho dos controlos é incoerente ou a exposição residual continua insuficientemente compreendida.
O valor da terceira linha depende igualmente da qualidade das suas conclusões, recomendações e atividades de acompanhamento. As constatações não devem limitar-se a observações genéricas segundo as quais faltam determinados documentos, os procedimentos não são aplicados de forma coerente ou a supervisão da gestão deve ser reforçada. Devem explicar a causa subjacente da deficiência, as possíveis consequências para a organização e as decisões de governação necessárias para alcançar uma melhoria sustentável. Um problema recorrente relacionado com processos de clientes pode resultar, por exemplo, de normas pouco claras, sistemas inadequados, competências insuficientes, incentivos contraditórios, cargas de trabalho excessivas ou da aceitação consciente de atrasos. Cada causa exige uma forma de intervenção distinta. As recomendações devem, por conseguinte, ser suficientemente específicas para atribuir responsabilidades e definir o resultado esperado, mantendo simultaneamente um grau de independência que impeça a auditoria interna de assumir responsabilidade pela conceção ou execução da resposta de controlo. A terceira linha deve ainda avaliar se as medidas de remediação abordam efetivamente a causa original ou se limitam a corrigir os sintomas administrativos mais visíveis. Uma constatação só pode ser encerrada de forma convincente quando os elementos de prova demonstrarem que as medidas acordadas foram implementadas, funcionam de modo sustentável e produzem o efeito previsto de redução do risco. As ações que permanecem abertas durante períodos prolongados, as prorrogações reiteradas dos prazos de remediação e a dependência continuada de soluções temporárias devem ser comunicadas separadamente ao conselho de administração e aos órgãos de supervisão. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que a garantia prossiga para além da emissão do relatório de auditoria e influencie a definição das prioridades estratégicas, as decisões de investimento, a aceitação de riscos, a responsabilidade da gestão e a gestão de consequências. A terceira linha apoia, assim, uma organização capaz não apenas de afirmar que aplica a Gestão Integrada dos Riscos de Criminalidade Financeira, mas também de demonstrar, de forma independente, onde os seus controlos são eficazes, onde persistem incertezas e onde continua a ser necessária uma intervenção de governação.
Governação, mandatos e direitos de decisão claramente definidos
Uma governação eficaz traduz a direção estratégica da Gestão Integrada dos Riscos de Criminalidade Financeira em responsabilidades, poderes e mecanismos de decisão concretos. A Gestão Integrada dos Riscos de Criminalidade Financeira não pode funcionar quando permanece incerto que pessoa ou função é titular de um risco, que comité está autorizado a tomar uma decisão, quem pode impor condições, quem pode limitar ou pôr termo a uma relação ou que órgão deve resolver uma divergência entre a primeira e a segunda linhas. Nas organizações complexas, os riscos de criminalidade financeira são frequentemente analisados em múltiplos fóruns, incluindo comités de aceitação de clientes, comités de produtos, fóruns especializados em sanções, comités de investigação, comités de riscos, comités de divulgação, comités de auditoria e órgãos locais de gestão. Cada fórum pode desempenhar uma função legítima, mas a fragmentação pode conduzir a que a mesma questão seja discutida repetidamente e apenas de forma parcial, sem que um único órgão decisório assuma a responsabilidade pelo resultado integrado. Em sentido inverso, uma centralização excessiva pode provocar atrasos, afastar os decisores da realidade operacional e sobrecarregar os órgãos superiores de governação com matérias que poderiam ter sido adequadamente tratadas a um nível inferior. Uma governação sólida exige, por conseguinte, uma distribuição deliberada dos direitos de decisão baseada na natureza, dimensão, complexidade, urgência e impacto potencial do risco. A estrutura de governação deve esclarecer que decisões podem ser tomadas no âmbito dos poderes ordinários da primeira linha, quando o aconselhamento ou a aprovação da segunda linha são obrigatórios, quando é necessário escalar a questão para a gestão de topo e em que circunstâncias devem intervir o conselho de administração ou os órgãos de supervisão. Os mandatos não devem apenas ser formalmente documentados, mas também claramente compreendidos, exercíveis na prática e coerentes com as competências e o nível de responsabilidade efetivos dos decisores.
Os mandatos claros devem ser apoiados por critérios de escalonamento transparentes e por critérios decisórios rigorosos. A simples existência de um comité ou de um processo de aprovação não garante que as decisões sejam substancialmente sólidas, atempadas ou coerentes. A qualidade da governação é determinada pela informação apresentada aos decisores, pela diversidade das competências relevantes envolvidas, pelo grau em que as incertezas são tornadas visíveis e pela disciplina com que as opiniões divergentes são consideradas e documentadas. Os documentos de decisão devem distinguir claramente entre factos verificados, pressupostos, informação em falta, limitações jurídicas, expectativas regulatórias, interesses comerciais e possíveis consequências. Devem impedir que um excesso de detalhe técnico oculte a questão central e evitar que uma solução preferida seja apresentada sem uma análise efetiva de alternativas viáveis. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que os decisores compreendam com precisão que exposição está a ser aceite, por que razão essa exposição é considerada compatível com a direção estratégica da organização, que condições são necessárias para a controlar e que risco residual permanecerá após a aplicação dessas condições. As opiniões divergentes e as posições minoritárias devem ser documentadas quando sejam relevantes para a avaliação ou possam adquirir importância numa revisão posterior. Deve igualmente ficar claro que pessoa mantém a responsabilidade final pela implementação e que função ou órgão de governação supervisionará o cumprimento das condições impostas. Uma decisão sem um responsável identificado, um prazo de implementação, um mecanismo de controlo e uma data de revisão tem valor limitado na perspetiva da governação. A governação não deve apenas permitir a tomada de decisões, mas também assegurar a respetiva implementação, acompanhamento, revisão periódica e, quando necessário, alteração ou revogação.
Os mandatos e os direitos de decisão devem igualmente permanecer eficazes perante pressões comerciais, situações de urgência operacional e conflitos de interesses reais ou potenciais. É precisamente quando as oportunidades financeiras são significativas, os prazos legais são curtos ou as consequências reputacionais parecem imediatas que aumenta o risco de a governação normal ser abreviada, contornada ou substituída por acordos informais. Os procedimentos acelerados podem ser necessários, mas devem ser previamente definidos e incluir requisitos mínimos de informação, níveis adequados de autoridade, documentação das razões e uma revisão retrospetiva atempada. Nenhum procedimento acelerado deve conduzir ao incumprimento de limitações jurídicas fundamentais, obrigações de comunicação regulatória, requisitos de preservação de provas ou salvaguardas de independência. Os conflitos de interesses devem também ser expressamente identificados e geridos. Um responsável comercial por determinada relação não deve atuar, sem salvaguardas adicionais, como único decisor quanto à aceitação de um risco de integridade excecional no âmbito dessa mesma relação. Uma função de investigação deve poder atuar com independência suficiente quando a questão envolva a gestão de topo, um cliente estratégico ou uma unidade empresarial de elevada relevância financeira. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, poderes substitutivos, canais de escalonamento fora da linha hierárquica normal e acesso direto a órgãos superiores de governação quando a independência, a objetividade ou a credibilidade institucional se encontrem sob pressão. Uma avaliação periódica da governação deve determinar se os comités tomam efetivamente decisões, se os mandatos continuam coerentes com a estrutura organizacional, se os escalonamentos ocorrem dentro de prazos adequados e se circunstâncias comparáveis recebem um tratamento coerente. Uma governação clara evita, assim, não apenas a indecisão, mas também resultados arbitrários, concentrações informais de poder e aceitações de risco que não possam ser posteriormente reconstruídas ou defendidas.
Alinhamento entre políticas e prática operacional
Uma política só tem valor no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira quando se reflete de forma reconhecível, coerente e demonstrável na execução quotidiana. Muitas organizações dispõem de extensos conjuntos de políticas, procedimentos, normas e manuais, enquanto os colaboradores operacionais continuam a encontrar dificuldades para traduzir esses documentos em ações e decisões concretas. As políticas podem ser juridicamente precisas e tecnicamente completas, mas oferecer uma orientação prática insuficiente devido à sua extensão, abstração, complexidade ou sobreposição. Os colaboradores podem continuar a ter dúvidas sobre a informação que deve ser recolhida, os indicadores que são decisivos, o momento em que um processo pode ser aprovado, as circunstâncias em que é necessário aconselhamento especializado ou a forma como deve ser gerido um desvio relativamente ao processo normal. Essa incerteza cria espaço para interpretações locais, métodos de trabalho informais e aplicações incoerentes entre equipas, unidades empresariais, jurisdições ou sistemas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, que os princípios estratégicos sejam traduzidos numa hierarquia coerente de políticas, normas, procedimentos, instruções operacionais, regras de sistema e critérios de decisão. Cada nível deve desempenhar uma função distinta e ligar-se logicamente aos restantes. A política central deve indicar o que a organização pretende alcançar e por que razão os requisitos correspondentes são necessários. Os procedimentos devem clarificar responsabilidades, sequência de atividades e governação. As instruções operacionais e os sistemas devem apoiar os colaboradores na execução correta e eficiente das ações exigidas. Podem ser necessárias extensões locais devido à legislação aplicável numa determinada jurisdição, às condições do mercado ou às características operacionais, mas estas não devem produzir um nível inferior de proteção sem uma aprovação expressa e devidamente autorizada. A tradução das políticas para a prática deve ser organizada de forma que os colaboradores não sejam obrigados a resolver autonomamente contradições entre documentos ou a determinar, sem orientação, que norma deve prevalecer.
Uma execução demonstrável exige muito mais do que a publicação de políticas, comunicações gerais e programas obrigatórios de formação. Os colaboradores devem conseguir aplicar a finalidade subjacente de uma política a circunstâncias que não estejam integralmente descritas num procedimento. Os riscos de criminalidade financeira surgem frequentemente através de combinações de comportamentos, entidades, transações e fatores contextuais que não se enquadram num único cenário normalizado. Uma implementação eficaz deve, por conseguinte, combinar transferência de conhecimentos, casos práticos, orientações acessíveis, apoio da gestão, controlos de qualidade e aconselhamento especializado. A formação deve ser adaptada à função, aos poderes e à exposição ao risco da pessoa em causa. Um gestor de relações necessita de conhecimentos e capacidades de decisão diferentes dos de um investigador, um responsável pelo desenvolvimento de produtos, um analista de dados, um dirigente ou um membro de um comité de riscos. Os responsáveis não devem apenas compreender os requisitos aplicáveis, mas também saber avaliar a qualidade das decisões, contestar fundamentações insuficientes, responsabilizar os colaboradores e escalar obstáculos estruturais que impeçam uma execução eficaz. As novas políticas e normas devem ser avaliadas na perspetiva da sua viabilidade operacional antes de uma implementação generalizada. Essa avaliação deve considerar a disponibilidade e a fiabilidade dos dados, a funcionalidade dos sistemas, a capacidade de recursos humanos, as dependências operacionais, os tempos previstos de tratamento e as possíveis consequências indesejadas. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que a implementação não seja considerada uma fase final de comunicação, mas um processo coordenado de mudança no qual políticas, processos, sistemas, dados, responsabilidades e comportamentos são adaptados conjuntamente. Quando são acrescentados novos requisitos sem simplificar os processos existentes ou proporcionar apoio tecnológico adequado, pode surgir fadiga de controlo e a atenção pode deslocar-se da avaliação substantiva do risco para o mero cumprimento administrativo. Uma tradução eficaz das políticas exige igualmente a eliminação de requisitos obsoletos, duplicados, incoerentes ou desproporcionados.
O funcionamento real das políticas deve, por último, ser mensurável, passível de revisão e suscetível de verificação independente. A percentagem de colaboradores que concluíram um programa de formação ou o número de procedimentos publicados oferece indicações limitadas sobre a qualidade da execução. A informação de gestão deve demonstrar se os colaboradores aplicam corretamente as normas, se processos comparáveis são avaliados de modo coerente, se as exceções estão a aumentar e se os erros identificados conduzem a melhorias específicas e sustentáveis. Os controlos de qualidade, as análises de processos, as observações diretas, a análise de dados, as entrevistas e as revisões temáticas podem revelar conjuntamente os domínios em que as políticas continuam insuficientemente claras ou nos quais a pressão operacional dificulta a sua correta aplicação. Os sinais provenientes de reclamações, comunicações internas, investigações, litígios, interações com autoridades de supervisão e auditoria interna devem ser utilizados para determinar se os requisitos formais correspondem à realidade operacional. A Gestão Integrada dos Riscos de Criminalidade Financeira exige igualmente um processo controlado de alteração de políticas. Quando uma política é modificada, deve ficar claro que processos, sistemas, contratos, materiais de formação, mecanismos de informação, atividades de controlo e procedimentos de garantia devem ser adaptados. As versões substituídas devem ser retiradas, os períodos de transição devem ser geridos e os casos em aberto devem ser tratados de acordo com regras expressas. Uma alteração formalmente aprovada e tecnicamente publicada, mas não integrada nas operações, pode criar uma exposição superior à de uma norma estável cujas limitações sejam compreendidas e ativamente geridas. O objetivo final não consiste, portanto, numa conformidade meramente documental, mas num ambiente de controlo em que os colaboradores compreendam as expectativas, os sistemas apoiem a forma de trabalho pretendida e a organização consiga demonstrar, de forma convincente, que a direção estratégica escolhida é efetivamente aplicada nas decisões reais.
Priorização estratégica e investimento
A Gestão Integrada dos Riscos de Criminalidade Financeira exige decisões deliberadas sobre a utilização de recursos limitados. Nenhuma organização dispõe de capacidade ilimitada em termos de pessoal, tecnologia, dados fiáveis, competências de investigação ou atenção da gestão. Na ausência de prioridades claras, os investimentos podem ser impulsionados principalmente por incidentes recentes, observações regulatórias isoladas, acumulações operacionais visíveis ou pela influência de determinadas unidades empresariais. Podem ser destinados recursos significativos a riscos relativamente limitados, enquanto vulnerabilidades estruturais presentes em processos menos visíveis permanecem insuficientemente tratadas. A priorização estratégica deve começar, por conseguinte, com uma avaliação integrada da exposição inerente, da qualidade dos controlos existentes, do risco residual e do impacto potencial. Esta avaliação deve ir além das perdas financeiras imediatas ou das sanções regulatórias. A exposição penal, as limitações de licenças ou autorizações, a responsabilidade civil, os ajustamentos fiscais, a exclusão de mercados, as consequências em matéria de proteção de dados, os danos reputacionais, as interrupções operacionais e a perda de confiança das partes interessadas podem produzir conjuntamente um impacto consideravelmente superior ao valor financeiro direto de um incidente. As prioridades devem igualmente considerar a rapidez com que um risco se pode desenvolver, a possibilidade prática de remediação, o risco de concentração e a dependência de sistemas, fornecedores ou pessoas essenciais. Uma deficiência de controlo aparentemente limitada pode adquirir caráter estrategicamente urgente quando afeta uma parte relevante da carteira de clientes, enfraquece simultaneamente vários controlos ou é particularmente difícil de corrigir após a ocorrência de um incidente. A Gestão Integrada dos Riscos de Criminalidade Financeira associa, por isso, as decisões de investimento à exposição significativa e aos objetivos estratégicos, em vez de as relacionar apenas com padrões históricos de despesa, limites organizacionais ou requisitos formais mínimos.
Um investimento específico exige uma avaliação equilibrada das pessoas, dos processos, dos dados, da tecnologia e da governação. As soluções tecnológicas podem gerar melhorias relevantes na verificação de sanções, na monitorização de transações, na análise de redes, na gestão de processos, no apoio a investigações e na informação de gestão, mas não podem resolver um apetite de risco pouco claro, uma titularidade insuficiente ou uma governação inadequada. Recursos humanos adicionais não conseguem compensar indefinidamente ineficiências estruturais quando os sistemas geram volumes excessivos de alertas irrelevantes, os processos contêm duplicações desnecessárias ou os colaboradores não têm acesso a informação fiável. Cada investimento deve ser avaliado por referência ao problema específico que pretende resolver, às condições necessárias para uma implementação bem-sucedida e ao efeito esperado sobre o risco residual. A Gestão Integrada dos Riscos de Criminalidade Financeira exige uma justificação económica clara que descreva custos, benefícios, redução do risco, complexidade de implementação, dependências operacionais e resultados mensuráveis. Os investimentos na qualidade dos dados merecem especial atenção. Dados incompletos, incoerentes ou inacessíveis enfraquecem praticamente todos os elementos da gestão dos riscos de criminalidade financeira. Sem dados fiáveis sobre clientes, informação transacional, dados de propriedade e ligações eficazes entre sistemas, mesmo as tecnologias analíticas mais sofisticadas funcionarão com precisão limitada e cobertura incompleta. Ao mesmo tempo, os grandes programas tecnológicos não devem consumir recursos durante períodos prolongados sem gerar reduções intermédias do risco. Uma implementação faseada, resultados mínimos claramente definidos e uma reavaliação periódica são necessários para evitar que os programas estratégicos se desliguem das necessidades operacionais atuais e da evolução das condições de risco.
A priorização deve refletir-se igualmente de forma visível no planeamento financeiro, na governação dos programas e na gestão da carteira de investimentos. Os recursos não devem ser atribuídos exclusivamente por função, unidade empresarial ou entidade jurídica quando os riscos relevantes sejam transversais e afetem simultaneamente diferentes partes da organização. Um programa central de remediação pode depender, por exemplo, da melhoria local dos dados, de alterações nos processos de produto, de análises jurídicas, do desenvolvimento de sistemas, da contratação de especialistas e de controlos de qualidade adicionais. Na ausência de uma direção integrada, cada função pode otimizar a sua contribuição individual enquanto o resultado global permanece insuficiente. A Gestão Integrada dos Riscos de Criminalidade Financeira exige, por conseguinte, uma carteira coerente de investimentos na qual as iniciativas sejam classificadas em função da sua materialidade, urgência, dependências e efeito esperado de redução do risco. Os decisores devem conseguir identificar que riscos estão conscientemente a ser tratados numa fase posterior, que controlos temporários estão a ser utilizados e que consequências podem resultar da redução dos recursos ou do atraso dos projetos. Após a implementação, a organização deve determinar se o investimento produziu o resultado esperado. Um novo sistema de monitorização não constitui um êxito apenas por ter sido tecnicamente implementado, mas porque permite detetar com maior precisão os riscos relevantes, melhora a qualidade da avaliação e mantém os encargos operacionais desnecessários dentro de limites proporcionais. Um programa de formação não é eficaz apenas porque a participação é elevada, mas porque produz uma melhoria demonstrável nos comportamentos, no juízo profissional e na tomada de decisões. Os investimentos estratégicos devem, por isso, ser tratados como intervenções de governação sobre os riscos de criminalidade financeira e submetidos à mesma disciplina em matéria de titularidade, objetivos, elementos de prova, revisão e responsabilidade aplicável às restantes decisões relevantes da organização.
Supervisão pelo conselho de administração e responsabilização executiva
O conselho de administração e os órgãos de supervisão assumem a responsabilidade final pela direção estratégica, pela conceção e pela eficácia da Gestão Integrada dos Riscos de Criminalidade Financeira. Essa responsabilidade não pode ser integralmente delegada nas funções de conformidade, jurídica, gestão de riscos, auditoria interna ou em comités especializados. A delegação da execução não elimina a obrigação de governação de compreender os riscos de criminalidade financeira a que a organização está exposta, as decisões estratégicas que criam ou aumentam essa exposição e se o nível de controlo disponível é proporcional à natureza e à dimensão do risco. Os administradores devem conseguir explicar as principais categorias de risco, os produtos vulneráveis, os segmentos relevantes de clientes, as exposições geográficas e as deficiências estruturais de controlo que afetam a organização. Os órgãos de supervisão devem avaliar de forma independente se a direção escolhida é credível, se a gestão disponibiliza recursos suficientes e organiza uma contestação efetiva e se as ambições comerciais estão a produzir um alargamento de facto do apetite de risco aprovado. Esta responsabilidade exige muito mais do que a receção periódica de painéis de controlo, sínteses de incidentes ou relatórios de remediação. A qualidade da supervisão depende das perguntas formuladas, da informação solicitada, da qualidade da contestação exercida e da disponibilidade para limitar ou suspender determinadas atividades quando os controlos continuam inadequados. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que o conselho de administração e os órgãos de supervisão considerem a gestão dos riscos de criminalidade financeira uma questão estratégica da organização, ligada à continuidade, à reputação, à posição jurídica, à legitimidade social, à confiança das partes interessadas e ao acesso aos mercados.
Uma supervisão eficaz pelo conselho de administração exige informação fiável, equilibrada e orientada para a decisão. Os relatórios não devem limitar-se ao número de alertas, comunicações regulatórias, investigações ou ações de remediação pendentes. Devem fornecer informação sobre tendências, causas, concentrações, exceções, deficiências na qualidade dos controlos e alterações no risco residual. Uma redução do número de alertas pode indicar uma melhoria da segmentação e da qualidade da deteção, mas também pode revelar uma falha do sistema, dados incompletos ou um âmbito de monitorização excessivamente restrito. Um aumento das comunicações pode refletir uma deterioração do perfil de risco, mas também pode demonstrar uma melhor identificação dos sinais e um escalonamento mais eficaz. Os administradores devem, por isso, dispor de contexto suficiente para interpretar os dados e compreender as incertezas que os acompanham. A Gestão Integrada dos Riscos de Criminalidade Financeira exige igualmente que a informação positiva não seja apresentada separadamente das limitações relevantes e das questões não resolvidas. Os relatórios devem indicar claramente os domínios em que os dados continuam incompletos, os modelos ainda não foram validados, as medidas temporárias permanecem em vigor ou as unidades empresariais continuam a operar fora dos limites estabelecidos. A segunda linha deve dispor de acesso direto ao conselho de administração e aos órgãos de supervisão quando preocupações relevantes não sejam adequadamente tratadas através dos canais normais de gestão. A terceira linha deve poder comunicar, sem restrições indevidas, as deficiências que afetam tanto a primeira como a segunda linhas. As análises jurídicas e os resultados das investigações devem igualmente ser partilhados de forma a permitir que o conselho exerça as suas responsabilidades de governação e, ao mesmo tempo, preserve, quando adequado, a confidencialidade, o segredo profissional e a estratégia processual. Informação de elevada qualidade não garante decisões corretas, mas informação insuficiente, fragmentada ou excessivamente favorável torna praticamente impossível uma supervisão verdadeiramente significativa.
A responsabilização executiva adquire, por último, conteúdo através de decisões visíveis, acompanhamento constante e consequências adequadas. Quando são conhecidas deficiências relevantes, os administradores devem determinar se as atividades afetadas podem prosseguir, em que condições essa continuação permanece defensável e dentro de que prazo deve ser concluída a remediação. Os atrasos repetidos, as limitações estruturais de capacidade, as deficiências recorrentes dos controlos e a dependência prolongada de medidas temporárias não devem ser tratados como simples questões operacionais quando afetam significativamente o perfil de risco da organização. A Gestão Integrada dos Riscos de Criminalidade Financeira exige que as responsabilidades sejam atribuídas a administradores e dirigentes concretos, que os objetivos relevantes sejam incorporados nas avaliações de desempenho e que a negligência, a evasão deliberada ou a inação persistente produzam consequências proporcionais. Simultaneamente, uma supervisão eficaz deve impedir que a responsabilidade seja atribuída exclusivamente aos colaboradores que tenham cometido um erro individual quando as causas subjacentes se encontram em sistemas inadequados, incentivos contraditórios, insuficiência de pessoal ou deficiências de governação. A responsabilização executiva abrange tanto a responsabilidade individual como a responsabilidade pelas condições em que as decisões são tomadas e em que se espera que os controlos funcionem. Os órgãos de supervisão devem igualmente avaliar periodicamente se dispõem das competências, da informação, da independência e do tempo necessários para desempenhar eficazmente a sua função. Quando os conhecimentos ou a capacidade sejam insuficientes, devem ser consideradas formação específica, recurso a especialistas externos ou alterações na composição. Uma organização só pode expressar de forma credível a sua ambição em matéria de integridade quando o conselho de administração e os órgãos de supervisão demonstram que os riscos de criminalidade financeira não são analisados apenas depois de ocorrer um incidente, mas são estruturalmente incorporados na estratégia, nos investimentos, na remuneração, nas decisões relativas a produtos, na entrada em mercados, nas aquisições e na tomada de decisões à escala da organização. Deste modo, a direção estratégica não é apenas definida, mas continuamente supervisionada, verificada, ajustada e assumida.
