Bancos, instituições financeiras e fintech

AML/CFT, KYC e riscos de integridade na relação com o cliente

AML/CFT, KYC e customer integrity constituem a base da gestão coordenada dos riscos de criminalidade financeira, porque praticamente todas as avaliações subsequentes dependem da qualidade com que a sua organização compreende quem é o cliente, quem exerce efetivamente o controlo, quem beneficia economicamente em última instância, por que razão a relação é estabelecida, de onde provêm o património e os fundos e se as transações permanecem coerentes com o perfil definido do cliente. A Customer Due Diligence não pode, por isso, ser reduzida à recolha de documentos de identificação, ao preenchimento de questionários digitais ou à realização de um screening pontual durante o onboarding. Uma avaliação eficaz exige uma análise conjugada da identidade, forma jurídica, estruturas de propriedade e controlo, atividades económicas, presença geográfica, produtos utilizados, fluxos transacionais esperados, source of funds, source of wealth, posição fiscal, relações comerciais, intermediários, pessoas politicamente expostas, exposição a sanções e outros indicadores relevantes de integridade. No caso de pessoas singulares, pode ser necessária atenção reforçada quando o património não é compatível com os rendimentos conhecidos, quando as transações são canalizadas através de empresas relacionadas, quando as fontes de rendimento estrangeiras não são suficientemente claras, quando existe utilização frequente de numerário, quando são observadas transferências atípicas entre contas pessoais e empresariais ou quando o comportamento financeiro se altera abruptamente. No caso de pessoas coletivas, os riscos podem decorrer de múltiplos níveis societários, holdings sem função económica aparente, trusts, fundações, nominees, entidades offshore, direitos de voto complexos, estruturas de administração atípicas, mudanças rápidas no acionariado ou atividades que não correspondem aos fluxos de pagamento observados. Uma abordagem transversal liga estas informações à monitorização das transações e à revisão contínua da relação com o cliente. A questão central não consiste, portanto, apenas em determinar se o cliente poderia ser formalmente aceite no momento do onboarding, mas também em verificar se as premissas subjacentes a essa decisão permanecem válidas durante toda a relação de negócio.

Para a sua organização, o KYC deve, por conseguinte, ser considerado não apenas uma obrigação de compliance, mas também um instrumento essencial de gestão empresarial baseada no risco. A Primeira Linha de Defesa deve manter a responsabilidade pela fiabilidade das informações relativas aos clientes, atividades, produtos e transações que aceita e facilita. Relationship managers, account managers, equipas operacionais, funções de onboarding, especialistas de pagamentos e responsáveis de produto dispõem frequentemente de informação contextual que não pode ser diretamente extraída de sistemas automatizados. Podem saber por que motivo uma empresa começou subitamente a operar em novos mercados estrangeiros, por que razão os volumes de pagamentos aumentaram significativamente, por que motivo um cliente altera frequentemente as contas das respetivas contrapartes ou por que razão determinada estrutura responde a uma necessidade comercial concreta. Esse conhecimento só gera valor para a gestão dos riscos de criminalidade financeira se for documentado atempadamente, disponibilizado às funções relevantes e incorporado nas avaliações de risco. A Segunda Linha de Defesa deve estabelecer critérios, metodologias, fatores de risco, normas de qualidade e regras de escalada e avaliar, de forma independente, se a Primeira Linha identifica e gere adequadamente os riscos. Tal exige um challenge efetivo: uma relação comercialmente atrativa não pode conduzir automaticamente a um nível inferior de escrutínio, tal como um cliente não deve ser mecanicamente considerado inaceitável apenas em função de uma categoria de risco ou da sua nacionalidade, sem uma análise substancial e proporcionada. A Terceira Linha de Defesa deve, por fim, conseguir determinar se os customer risk assessments, revisões periódicas, event-driven reviews, escaladas, documentação dos processos e mecanismos de monitorização funcionam, na prática, conforme previsto. O Modelo das Três Linhas de Defesa fica, deste modo, diretamente ligado à qualidade do AML/CFT, do KYC e da gestão dos riscos de integridade dos clientes.

Um elemento essencial desta abordagem consiste na transição de uma aceitação estática do cliente para uma avaliação contínua da respetiva integridade. Os clientes mudam, as empresas alteram as suas atividades, entram novos acionistas nas estruturas de propriedade, os riscos de país evoluem, os regimes de sanções modificam-se, os administradores são substituídos e novas informações podem alterar materialmente um perfil anteriormente considerado aceitável. Uma abordagem eficaz exige, por isso, event-driven monitoring em paralelo com revisões periódicas. Sinais como uma alteração súbita dos países envolvidos nas transações, um novo beneficiário efetivo, um aumento significativo dos volumes de pagamento, múltiplas novas contrapartes, atividade inesperada em criptoativos, alteração da residência fiscal, entradas de capital inexplicadas, envolvimento em investigações criminais, adverse media grave ou uma nova relação com pessoas politicamente expostas podem justificar uma reavaliação imediata. A sua organização deve definir claramente quais os acontecimentos que desencadeiam um novo customer risk assessment, quem é responsável por essa avaliação, que informações adicionais devem ser obtidas, durante quanto tempo a análise pode permanecer aberta e em que momento a relação deve ser restringida, escalada ou terminada. A posição probatória é igualmente importante. Se, anos mais tarde, a decisão de aceitar ou manter uma relação for analisada por uma autoridade de supervisão, um tribunal, uma autoridade de investigação ou um banco correspondente, a sua organização deverá conseguir reconstruir quais as informações disponíveis no momento relevante, que fatores de risco foram identificados, que informação adicional foi obtida, que perguntas foram colocadas e por que razão a decisão final foi considerada defensável. Uma documentação KYC de elevada qualidade não constitui, por isso, mera disciplina administrativa. Representa uma componente essencial da regulatory defensibility e protege tanto a organização como os decisores individuais contra a alegação de que sinais materiais não foram reconhecidos, investigados ou suficientemente ponderados.

Prevenção, deteção e investigação da fraude

A fraude constitui um domínio de risco amplo e em evolução constante para bancos, instituições financeiras e empresas FinTech, não estando limitada a um único produto, segmento de clientes ou canal tecnológico. A sua organização pode enfrentar fraude em pagamentos, fraude de identidade, account takeover, fraude documental, fraude de crédito, application fraud, fraude interna, fraude com faturas, social engineering, phishing, spoofing, mule accounts, identidades sintéticas, merchant fraud, investment fraud, cyber-enabled fraud e estruturas organizadas nas quais são combinadas diversas modalidades de fraude. A digitalização aumenta tanto a velocidade com que uma fraude pode ser executada como a escala em que criminosos podem explorar vítimas, contas e infraestruturas de pagamento. Um padrão fraudulento que anteriormente envolvia dezenas de transações pode atualmente, através de scripts automatizados, credenciais comprometidas ou redes organizadas de money mules, envolver milhares de contas e pagamentos num intervalo de tempo extremamente curto. O controlo coordenado da criminalidade financeira exige, por isso, que a prevenção da fraude opere em ligação direta com AML/CFT, KYC, transaction monitoring, cibersegurança, sanções, gestão de reclamações e criminal intelligence. Uma conta utilizada como mule account pode ser simultaneamente relevante para uma investigação de fraude, para a monitorização AML, para a identificação de vítimas e para uma network analysis mais ampla. Um account takeover pode gerar não apenas pagamentos não autorizados, mas também ser utilizado para movimentar produto do crime ou dificultar ainda mais a reconstrução dos fluxos financeiros. Quando as equipas de fraude e AML analisam os mesmos sinais separadamente, sem partilhar informação, as redes subjacentes podem permanecer por detetar durante muito mais tempo do que o necessário.

Uma gestão eficaz do risco de fraude começa no desenho de produtos, processos e customer journeys. A Primeira Linha de Defesa deve, por isso, assumir responsabilidade pelos riscos de fraude presentes no onboarding digital, pagamentos, crédito, merchant acquiring, cartões, aplicações móveis, processos de autenticação, customer service e outras atividades operacionais. O desenvolvimento de produtos deve avaliar previamente que formas de fraude podem ser facilitadas por um novo serviço e que controlos devem estar implementados antes de atingir escala comercial significativa. Nos pagamentos instantâneos, por exemplo, a velocidade pode reduzir consideravelmente o tempo disponível para intervenção. Um processo de onboarding totalmente digital pode exigir salvaguardas adicionais contra deepfakes, documentos de identidade roubados, biometria manipulada ou identidades sintéticas. No contexto de embedded finance, a sua organização pode depender de informação do cliente recolhida e fornecida por uma plataforma comercial ou outro terceiro. Serviços baseados em API podem criar novos vetores de ataque em matéria de autenticação, autorização e acesso a dados. A Segunda Linha de Defesa deve avaliar esses riscos de forma independente, estabelecer normas mínimas, submeter os cenários a challenge e monitorizar se a exposição à fraude permanece dentro da risk appetite aprovada. Fraude, cibersegurança, privacidade, legal, funções especializadas em criminalidade financeira e risco de dados devem ser avaliados de forma conjunta. Uma medida antifraude tecnicamente eficaz pode apresentar limitações jurídicas ou de proteção de dados; inversamente, uma utilização excessivamente restritiva da informação pode conduzir a uma capacidade de deteção insuficiente quando o enquadramento jurídico permita uma utilização mais ampla, mas proporcionada, dos dados. A gestão integrada destes riscos exige, portanto, uma ponderação explícita entre efetividade, proporcionalidade, impacto sobre o cliente e solidez jurídica.

Quando surge uma suspeita de fraude, o centro de gravidade desloca-se da prevenção e da monitorização para a investigação, preservação de prova e tomada de decisão. Um sistema de investigação robusto exige que a sua organização tenha previamente definido quem pode iniciar uma investigação, que funções devem ser informadas, como é protegida a independência, que dados podem ser preservados, que limitações jurídicas são aplicáveis e quando devem ser envolvidos especialistas externos. Dados bancários, informações sobre pagamentos, históricos de login, dados relativos a dispositivos, endereços IP, gravações de chamadas, emails, chats, registos transacionais, dados de onboarding digital, imagens de videovigilância e documentação relativa a decisões internas podem, no seu conjunto, permitir reconstruir o que efetivamente aconteceu. A rapidez é frequentemente essencial, mas atuar rapidamente sem disciplina jurídica pode comprometer a posição probatória e gerar complicações em matéria de privacidade, direito laboral ou enforcement. Por esse motivo, um controlo coordenado dos riscos liga forensic fact-finding, estratégia jurídica, governação interna e remediation. A investigação não deve limitar-se a determinar quem praticou determinado ato, devendo igualmente analisar por que motivo os controlos existentes não impediram ou detetaram atempadamente o comportamento. As causas podem residir em regras de deteção inadequadas, insuficiente segregação de funções, controlos de acesso fracos, supervisão de gestão ineficaz, pressão comercial, direitos de exceção excessivamente amplos, baixa qualidade dos dados ou desvios estruturais face aos procedimentos internos. Os resultados da investigação devem ser posteriormente traduzidos em medidas concretas de remediation, que podem incluir revisão de limiares transacionais, alteração de autorizações, monitorização reforçada, modificações de produto, medidas disciplinares, compensação de clientes, ações cíveis, participação criminal, notificações às autoridades competentes ou uma reavaliação mais ampla de processos comparáveis. A investigação da fraude transforma-se, assim, não apenas numa resposta a um incidente individual, mas numa fonte essencial de intelligence para reforçar estruturalmente o controlo da criminalidade financeira.

Sanções, pagamentos e controlos transacionais

O risco de sanções constitui uma das componentes mais dinâmicas da gestão dos riscos de criminalidade financeira, porque as sanções podem afetar diretamente clientes, beneficiários efetivos, estruturas societárias, navios, bens, serviços, países, setores económicos, rotas de pagamento e relações de correspondent banking. A sua organização deve, por conseguinte, ir muito além da simples comparação de nomes com listas de sanções. A questão substantiva consiste em determinar se um cliente, uma transação, uma participação, uma atividade económica ou uma estrutura de pagamento pode ficar direta ou indiretamente abrangida por um regime sancionatório aplicável. A propriedade e o controlo podem ser determinantes mesmo quando a contraparte contratual direta não consta individualmente de uma lista de sanções. Estruturas holding complexas, trusts, sociedades intermediárias, joint ventures, nominee arrangements e alterações da estrutura acionista podem tornar essa avaliação significativamente mais complexa. Os pagamentos podem igualmente passar por diferentes instituições financeiras, rotas e moedas, envolvendo potencialmente diversos ordenamentos jurídicos e requisitos de compliance. Uma abordagem integrada exige, portanto, uma visão combinada da informação do cliente, dos beneficiários efetivos, dos dados de pagamento, da exposição geográfica, da finalidade da transação, dos fluxos de bens ou serviços, dos bancos correspondentes e das relações económicas relevantes. Um screening tecnicamente correto representa apenas uma parte da avaliação. Se os dados estiverem incompletos, os nomes apresentarem problemas de transliteração, a informação sobre propriedade estiver desatualizada ou as descrições de pagamento fornecerem contexto insuficiente, mesmo um sistema de sanções tecnicamente sofisticado pode deixar de identificar uma exposição material.

Em matéria de pagamentos, a qualidade dos dados e das decisões é, por isso, determinante. A sua organização pode processar diariamente milhares ou milhões de pagamentos, dos quais apenas uma pequena parte necessita de revisão adicional. Isto exige risk-based filtering, priorização eficaz dos alerts, workflows claros e decisões de elevada qualidade. Os sistemas de deteção devem ser suficientemente sensíveis para identificar correspondências e padrões relevantes, mas não devem gerar um volume de alertas irrelevantes tão elevado que os analistas fiquem estruturalmente sobrecarregados. Um número excessivo de alertas aumenta o risco de as revisões se tornarem mecânicas e de o contexto substantivo receber atenção insuficiente. A Primeira Linha de Defesa deve continuar responsável pelos processos de pagamento, qualidade dos dados, exceções e controlos operacionais. A Segunda Linha deve estabelecer padrões para screening, aceitação de risco, limiares de escalada e avaliação periódica da efetividade. A auditoria interna, enquanto Terceira Linha de Defesa, deve conseguir avaliar de forma independente se sistemas, governação, modelos, procedimentos e management information funcionam realmente conforme previsto. O Modelo das Três Linhas de Defesa evita, desta forma, que o risco de sanções seja considerado responsabilidade exclusiva de uma equipa especializada de compliance. Quando os dados de pagamento são estruturalmente incompletos, operations deve assumir a respetiva responsabilidade. Quando as funções comerciais recolhem informação insuficiente sobre contrapartes, essa deficiência deve ser corrigida na Primeira Linha. Quando as políticas fornecem orientação insuficiente, a responsabilidade recai sobre a Segunda Linha. Quando fraquezas sistémicas não são identificadas ou corrigidas, a assurance independente deve torná-las visíveis.

O controlo integrado exige igualmente que sanções e transaction monitoring não sejam tratados como mecanismos inteiramente separados. Um pagamento pode ser simultaneamente relevante na perspetiva de sanções, branqueamento de capitais, fraude, integridade fiscal e risco reputacional. Um pagamento a uma empresa não sancionada pode, por exemplo, beneficiar indiretamente uma pessoa sujeita a medidas restritivas ou ser estruturado para contornar determinadas limitações económicas. Os pagamentos podem ser fracionados, encaminhados através de múltiplas jurisdições, acompanhados por descrições pouco claras ou processados por intermediários sem função económica aparente. Podem ainda surgir divergências entre fluxos comerciais, dados de transporte e informação de pagamento. Em determinadas circunstâncias, tal exige uma análise que vá além do tradicional name screening e inclua relações de rede, titularidade efetiva, padrões transacionais, documentação comercial e racionalidade económica. Para a sua organização é igualmente essencial documentar cuidadosamente as decisões. Quando um pagamento é autorizado após análise de um sanctions alert, deve ser possível estabelecer posteriormente que informação estava disponível, que norma jurídica foi aplicada, que análise foi efetuada, quem tomou a decisão e por que motivo a execução do pagamento foi considerada defensável. O mesmo princípio se aplica quando um pagamento é congelado, recusado ou escalado. Esta documentação não é necessária apenas para o controlo operacional, mas constitui igualmente uma componente importante da posição probatória quando o DNB, a AFM, autoridades estrangeiras, bancos correspondentes ou outros stakeholders avaliam a qualidade dos controlos relativos a sanções.

FinTech, finanças integradas e serviços financeiros digitais

A FinTech está a transformar a forma como os serviços financeiros são desenvolvidos, distribuídos e integrados nos processos comerciais quotidianos. A embedded finance permite oferecer pagamentos, crédito, seguros, contas e outras funções financeiras no interior de plataformas cuja atividade principal pode não ter natureza financeira. O banking-as-a-service pode colocar infraestruturas reguladas à disposição de empresas tecnológicas e plataformas que controlam uma parte significativa da interação com o cliente. As API ligam instituições financeiras a plataformas comerciais, lojas online, serviços de mobilidade, marketplaces, software de contabilidade e outros ecossistemas digitais. Estes modelos criam oportunidades comerciais significativas, mas também novas dependências e novos riscos de criminalidade financeira. A sua organização pode continuar juridicamente responsável pela aceitação de clientes, transaction monitoring e obrigações regulatórias enquanto informações essenciais do cliente, interfaces de utilizador, etapas de onboarding ou dados transacionais são, na prática, recolhidos ou controlados por um terceiro. Uma gestão coordenada dos riscos exige, por isso, absoluta clareza quanto à distribuição de responsabilidades. Que entidade conhece efetivamente o cliente? Quem recolhe os dados de identificação? Quem realiza a verificação? Quem monitoriza as transações? Quem investiga os alerts? Quem pode bloquear uma conta? Quem trata reclamações relacionadas com fraude? Quem notifica os incidentes? Quem dispõe dos dados necessários quando uma investigação é iniciada? A mera distribuição contratual de responsabilidades é insuficiente quando a conceção efetiva dos processos não garante que a sua organização permaneça capaz de cumprir as suas próprias obrigações legais e regulatórias.

A escalabilidade constitui, neste contexto, uma questão central de governação. As empresas FinTech podem passar rapidamente de milhares para centenas de milhares ou milhões de utilizadores, enquanto as funções de risk, compliance, legal, operations e internal audit não crescem necessariamente ao mesmo ritmo. Um controlo que era eficaz com volumes limitados pode tornar-se insuficiente durante uma expansão internacional ou um crescimento acelerado da base de clientes. As revisões manuais podem tornar-se insustentáveis, podem acumular-se alert backlogs, as exceções podem aumentar e soluções tecnológicas podem ser implementadas sob pressão comercial antes de terem sido integralmente validadas. A gestão transversal destes riscos exige, por isso, que o crescimento comercial seja diretamente associado à capacidade de controlo. A Primeira Linha deve demonstrar que os produtos e processos permanecem controláveis à medida que os volumes aumentam. A Segunda Linha deve avaliar de forma independente se risk appetite, monitoring, recursos, modelos, staffing e management information permanecem alinhados com a verdadeira escala e complexidade do negócio. A Terceira Linha deve posteriormente verificar, de modo independente, se esses controlos funcionam efetivamente. Isto significa também que os órgãos de administração não devem limitar-se a monitorizar receitas, crescimento do número de clientes, valor transacional e penetração de mercado, devendo igualmente receber indicadores sobre KYC backlogs, volumes de alertas, capacidade investigativa, perdas por fraude, sanctions hits, taxas de falsos positivos, desempenho dos modelos, incidentes envolvendo terceiros, reclamações, exceções e medidas de remediation pendentes. Um crescimento que não seja acompanhado por um reforço visível dos mecanismos de controlo pode conduzir a uma situação em que a escala comercial aumenta enquanto a efetividade da gestão dos riscos fica estruturalmente para trás.

Os terceiros constituem, por isso, um domínio de risco particularmente importante na FinTech e na embedded finance. Cloud providers, prestadores de serviços de verificação de identidade, payment processors, fraud technology vendors, data aggregators, fornecedores de software, prestadores de screening, card processors e outros parceiros tecnológicos podem suportar elementos essenciais do ambiente de controlo da sua organização. Externalizar um processo não significa, contudo, externalizar automaticamente a responsabilidade. A sua organização deve compreender que dados o fornecedor utiliza, que pressupostos estão incorporados nos respetivos modelos, que subcontratados intervêm, que medidas de segurança são aplicáveis, como são reportados os incidentes, que audit rights existem e como é assegurada a continuidade do serviço em caso de falha do fornecedor. Na perspetiva dos riscos de criminalidade financeira, é igualmente essencial determinar se a sua organização dispõe de acesso suficiente aos dados subjacentes e à lógica de decisão. Quando um prestador externo disponibiliza apenas um risk score ou um resultado verde-vermelho sem explicar os sinais que determinaram esse resultado, podem surgir dificuldades relevantes em matéria de investigation, explainability e supervisão regulatória. Os contratos devem, por isso, estar diretamente ligados ao controlo operacional, data governance, auditability e exit planning. Uma abordagem integrada reúne em torno do mesmo fornecedor as funções legal, tecnologia, cibersegurança, dados, procurement, compliance e business ownership. Desta forma evita-se que um terceiro seja selecionado exclusivamente em função do preço, funcionalidade ou rapidez de implementação, enquanto riscos de criminalidade financeira, riscos relativos aos dados, continuidade, necessidades investigativas e regulatory defensibility recebem atenção insuficiente.

Criptoativos, ativos digitais e riscos associados à blockchain

Os criptoativos, stablecoins, ativos tokenizados, wallets digitais, infraestruturas blockchain e outras formas de serviços financeiros digitais criaram novas possibilidades para transferência de valor, investimento, settlement e inovação, mas introduziram simultaneamente riscos específicos de criminalidade financeira. As transações podem ocorrer diretamente entre endereços digitais, atravessar múltiplas plataformas e blockchains e utilizar serviços que tornam mais difícil determinar a origem ou o destino dos ativos. A sua organização pode deparar-se com clientes que acumularam património em criptoativos, empresas que aceitam ativos digitais, fluxos de pagamento provenientes de exchanges ou wallets ou estruturas de investimento em que os ativos digitais desempenham um papel material. A gestão coordenada destes riscos exige, por isso, que as questões tradicionais relativas a identidade, titularidade efetiva, source of wealth, source of funds e finalidade das transações sejam adaptadas às características específicas dos ativos digitais. O facto de determinadas transações serem visíveis numa blockchain pública não significa que a realidade económica subjacente seja automaticamente transparente. Um wallet address não contém o nome de uma pessoa singular e uma sequência de transações pode envolver vários serviços, custodians, exchanges, bridges e smart contracts. Inversamente, a blockchain analysis pode fornecer informação adicional sobre o histórico transacional, exposição a categorias de risco conhecidas e relações entre diferentes endereços. O valor dessa informação depende, contudo, da qualidade dos dados, da fiabilidade da metodologia, da correção da interpretação e do contexto global em que é utilizada.

Para clientes com atividade significativa em criptoativos, a sua organização deve aplicar uma metodologia clara para avaliar proveniência, legitimidade e perfil de risco. Um cliente que recebe montantes substanciais de uma plataforma crypto pode ter adquirido esses ativos de forma inteiramente legítima através de investimentos de longo prazo, trading, mining, staking, atividades empresariais ou alienação de ativos digitais. Os mesmos fluxos podem, no entanto, estar ligados a plataformas fraudulentas, hacking, ransomware, atividades na darknet, layering, sanctions evasion ou transferência de ativos roubados. Um processo eficaz exige, por isso, mais do que uma simples declaração do cliente. Dependendo das circunstâncias, a documentação relevante pode incluir dados de contas mantidas em plataformas reguladas, históricos transacionais, informação relativa a wallets, comprovativos de aquisição, documentação fiscal, contratos, correspondência ou análises blockchain. A proporcionalidade dessa verificação deve depender da dimensão, natureza e perfil de risco da relação. Uma abordagem integrada evita tanto que clientes ligados a criptoativos sejam automaticamente considerados inaceitáveis como que sejam aceites com controlos insuficientes apenas porque as transações passam por um exchange conhecido. A avaliação deve considerar conjuntamente o perfil do cliente, o volume das operações, o trading history, o risco da plataforma, a exposição geográfica, o comportamento dos wallets, a lógica económica e outras informações disponíveis.

Para instituições financeiras que oferecem diretamente serviços crypto, custody, funcionalidades de trading, settlement ou produtos associados a ativos digitais, a governação assume ainda maior importância. Product design, wallet management, acesso a private keys, autorização de transações, cibersegurança, blockchain analytics, screening de sanções, integridade de mercado, proteção do cliente e incident response devem ser integrados num único sistema de controlo. A Primeira Linha de Defesa continua responsável pelos riscos decorrentes da conceção dos produtos, da respetiva execução, da aceitação de clientes e da operação diária. A Segunda Linha deve definir padrões, exercer challenge independente e avaliar se limiares de risco, monitoring e mecanismos de escalada permanecem adequados. A Terceira Linha deve verificar de forma independente se a execução efetiva corresponde às políticas, objetivos de controlo e risk appetite. Esta distribuição de responsabilidades é particularmente importante quando são utilizadas tecnologias especializadas de blockchain analytics ou wallet monitoring. A gestão de topo não deve limitar-se a saber que essas ferramentas foram implementadas, devendo compreender que blockchains são abrangidas, que dados estão disponíveis, como são determinados os risk scores, que limitações existem, de que forma são tratados endereços desconhecidos e como são tomadas decisões quando a informação técnica não permite alcançar uma conclusão inequívoca. A gestão coordenada dos riscos liga, assim, competências tecnológicas, avaliação jurídica, controlos operacionais, governação, investigations e regulatory defensibility. Para a sua organização, o critério decisivo não consiste na mera utilização de tecnologia inovadora, mas na capacidade de demonstrar que os ativos digitais estão sujeitos ao mesmo nível de responsabilidade dos órgãos de administração, escrutínio crítico e controlo demonstrável dos riscos de criminalidade financeira que os produtos financeiros tradicionais.

Análise de dados, monitorização de transações e eficácia dos modelos

Os dados constituem um dos fundamentos mais importantes da gestão dos riscos de criminalidade financeira nos bancos, instituições financeiras e empresas FinTech, uma vez que praticamente todas as formas de controlo dependem da completude, fiabilidade, atualidade, rastreabilidade e utilidade da informação disponível. Customer Due Diligence, KYC, transaction monitoring, screening de sanções, deteção de fraude, customer risk scoring, network analysis, behavioural analytics, avaliações de source of funds, investigações sobre source of wealth e management reporting apenas podem funcionar eficazmente quando os dados subjacentes oferecem uma representação suficientemente fiável dos clientes, transações, beneficiários efetivos, produtos, países, contrapartes, canais de pagamento e acontecimentos relevantes. A sua organização pode dispor de software de monitorização avançado e de modelos analíticos sofisticados, mas, se os dados dos clientes estiverem incompletos, se a informação transacional for incorretamente classificada, se os dados relativos aos beneficiários efetivos estiverem desatualizados, se os códigos de produto forem aplicados de forma inconsistente ou se a informação proveniente de diferentes sistemas não puder ser relacionada de forma fiável, surge uma fragilidade fundamental no controlo da criminalidade financeira. Um cenário de monitorização pode, por exemplo, funcionar tecnicamente de acordo com a sua conceção e, ainda assim, não detetar riscos materiais porque pagamentos associados a determinada categoria de produtos não são incluídos na análise. Um customer risk model pode ser formalmente executado enquanto permanecem ausentes informações essenciais sobre atividades empresariais, exposição geográfica ou ligações políticas. Um sistema de sanções pode comparar corretamente nomes e continuar a ser insuficiente quando aliases, transliterações ou informações de propriedade não tenham sido adequadamente registados. A data governance deve, por conseguinte, ser considerada não como uma questão exclusivamente tecnológica ou de data management, mas como uma dimensão direta da compliance, do risk management, da responsabilidade jurídica e da supervisão pelos órgãos de administração. A sua organização deve saber que dados são necessários para que controlos, onde têm origem, como são alterados, que sistemas os utilizam, que funções são responsáveis pela sua qualidade e que consequências podem resultar de informação ausente ou incorreta. Data lineage, reconciliation, data ownership, quality controls, exception reporting e validações periódicas não constituem, por isso, simples requisitos técnicos, mas componentes de uma gestão demonstrável dos riscos de criminalidade financeira.

O transaction monitoring e os modelos automatizados de deteção exigem igualmente uma avaliação contínua da respetiva eficácia. A mera existência de regras de monitorização, cenários, thresholds ou modelos de machine learning não demonstra, por si só, que os riscos relevantes estejam efetivamente a ser identificados. A sua organização deve conseguir explicar por que motivo determinados cenários foram selecionados, que comportamentos pretendem detetar, que grupos de clientes e produtos abrangem, que limiares são aplicados e que limitações são conhecidas. Isto exige uma ligação direta entre o enterprise-wide risk assessment, os riscos de produto, a segmentação de clientes, a exposição geográfica, as tipologias de criminalidade financeira, as conclusões de investigações internas e a configuração dos sistemas de monitorização. Quando trade finance, private banking, correspondent banking, instant payments e retail banking apresentam perfis de risco materialmente diferentes, não pode presumir-se, sem fundamentação específica, que a mesma lógica de monitorização seja eficaz para todas essas atividades. Falsos positivos e falsos negativos devem igualmente ser avaliados de forma estruturada. Um volume excecionalmente elevado de alertas pode indicar que os cenários não são suficientemente seletivos e que a capacidade investigativa está a ser consumida por grandes quantidades de sinais de reduzido valor. Um número invulgarmente baixo de alertas pode, inversamente, indicar que os thresholds são demasiado elevados, que faltam dados ou que determinados riscos não estão a ser detetados. Uma gestão sólida exige, por isso, model validation periódica, scenario tuning, back-testing, outcome analysis, controlos de qualidade e thematic reviews. A avaliação não deve limitar-se ao desempenho técnico, devendo também abranger a qualidade substantiva das decisões tomadas com base nos resultados dos modelos. Com que frequência são encerrados alertas sem investigação adicional? Que fundamentações são utilizadas? Factos comparáveis são avaliados de forma coerente? Determinados sinais conduzem regularmente a comunicações de operações suspeitas, fraud investigations ou cessação de relações com clientes? Os resultados das investigações são reintegrados nos mecanismos de monitorização? Este feedback loop permite melhorar continuamente a capacidade de deteção e reduz o risco de os sistemas permanecerem praticamente inalterados durante anos enquanto evoluem os métodos criminosos, os produtos financeiros e o comportamento dos clientes.

O Modelo das Três Linhas de Defesa permite atribuir responsabilidades claras também em matéria de análise de dados e eficácia dos modelos. A Primeira Linha de Defesa permanece responsável pelos processos, produtos, transações e dados nos quais os riscos de criminalidade financeira têm origem. Operations, product teams, payment functions, colaboradores em contacto com clientes e funções tecnológicas devem garantir que a informação é registada de forma completa e correta, que os controlos operacionais funcionam conforme previsto e que deficiências conhecidas na qualidade dos dados são escaladas atempadamente. A Segunda Linha de Defesa estabelece requisitos em matéria de qualidade de dados, utilização de modelos, scenario governance, risk tolerances, eficácia do monitoring e challenge independente. Risk management, compliance, funções especializadas em criminalidade financeira, privacidade, cibersegurança, legal e outras funções de supervisão devem poder avaliar conjuntamente se os modelos são utilizados de forma juridicamente, metodologicamente e operacionalmente sólida. A inteligência artificial exige particular atenção neste contexto. Modelos de deteção baseados em IA podem identificar padrões difíceis de detetar através de sistemas tradicionais rules-based, mas podem igualmente criar novos riscos relacionados com explainability, bias, data quality, model drift, accountability e intervenção humana. Um modelo que classifique clientes ou transações como de risco elevado deve ser suficientemente explicável para sustentar decisões relativas a enhanced due diligence, atrasos na execução de pagamentos, limitações de contas ou cessação de relações. A Terceira Linha de Defesa deve depois avaliar de forma independente se a governação, a model validation, a qualidade dos dados, os processos de monitorização, as escaladas e a remediation funcionam efetivamente. Para os conselhos de administração e órgãos de supervisão, isto significa que o reporting deve ir muito além do simples número de alertas ou revisões concluídas. O management information relevante deve fornecer visibilidade sobre model performance, problemas de dados, backlogs, exceções, scenario coverage, tendências emergentes, tipologias de risco, resultados de investigations e fragilidades estruturais. Só assim poderá a sua organização demonstrar que dados e modelos não são utilizados apenas para automatizar processos, mas contribuem efetivamente para uma gestão explicável, defensável e materialmente eficaz dos riscos de criminalidade financeira.

Integridade fiscal, titularidade efetiva e transparência financeira

A integridade fiscal, a titularidade efetiva e a transparência financeira estão estreitamente ligadas à gestão dos riscos de criminalidade financeira, porque estruturas fiscais, planeamento patrimonial, estruturas societárias internacionais e serviços financeiros podem servir finalidades económicas plenamente legítimas, mas podem igualmente ser utilizados para ocultar ativos, propriedade, fluxos de rendimento ou beneficiários. A sua organização deve, por isso, ser capaz de distinguir entre planeamento fiscal legítimo, estruturas internacionais complexas mas lícitas e situações em que a própria estrutura se transforma num indicador relevante de risco de integridade. Um cliente pode utilizar holdings, trusts, fundações, family offices, special purpose vehicles, partnerships ou entidades em diferentes jurisdições por razões comerciais, jurídicas, fiscais ou patrimoniais perfeitamente válidas. A complexidade, por si só, não constitui prova de criminalidade financeira. A mesma complexidade pode, contudo, criar um risco material quando não seja possível determinar de forma convincente quem obtém, em última instância, o benefício económico, por que motivo determinadas entidades estão estabelecidas em jurisdições específicas, que atividade económica é efetivamente desenvolvida, como circulam os fundos dentro da estrutura e se a posição fiscal corresponde à realidade económica. Uma gestão integrada exige, por conseguinte, uma avaliação que vá além do simples registo de um beneficiário efetivo com base na documentação apresentada. A sua organização deve compreender que pessoas exercem efetivamente o controlo, que direitos contratuais existem, se são utilizados nominee shareholders ou directors, que relações com trusts ou fundações são relevantes, onde são realmente tomadas as decisões significativas e se as relações de propriedade formal correspondem aos interesses económicos efetivos. Sempre que esse quadro permaneça insuficientemente claro, deve ser obtida informação adicional antes de poder ser estabelecido um perfil de risco de cliente ou transacional suficientemente fiável.

A transparência fiscal está também diretamente relacionada com source of wealth, source of funds, transaction monitoring e risco reputacional. Um cliente pode possuir ativos substanciais enquanto os rendimentos conhecidos ou as fontes empresariais declaradas não explicam imediatamente o nível do património. Isso não significa automaticamente que os ativos tenham origem ilícita, mas cria uma questão investigativa que deve ser tratada de forma proporcionada. A sua organização deve conseguir distinguir entre património resultante de atividades empresariais, dividendos, alienação de empresas, investimentos, imóveis, heranças, doações, carried interest, private equity, criptoativos ou outras fontes legítimas, por um lado, e indicadores que possam apontar para branqueamento de capitais, fraude, corrupção, criminalidade fiscal ou ocultação do beneficiário efetivo, por outro. A documentação fiscal pode fornecer contexto importante, mas declarações fiscais ou pareceres profissionais não devem ser tratados automaticamente como prova conclusiva de integridade. A avaliação deve ser confrontada com informação bancária, transações, dados societários, estruturas de propriedade, contratos, registos públicos e outras fontes disponíveis. Os pagamentos transfronteiriços exigem também especial atenção quando as entidades jurídicas, a residência fiscal, a atividade económica e os fluxos bancários não apresentam uma lógica coerente. Quando, por exemplo, uma sociedade quase não dispõe de presença operacional numa jurisdição, mas recebe ou retransfere regularmente montantes significativos, pode ser necessária uma análise adicional. O mesmo se aplica a pagamentos para contas pessoais de administradores, empréstimos sem condições claras, fluxos de dividendos atípicos, round-tripping, pagamentos entre partes relacionadas sem justificação económica aparente ou movimentos financeiros que se desviem materialmente do modelo de negócio conhecido. Uma abordagem coordenada liga conhecimentos fiscais, KYC, transaction monitoring, análise jurídica, finance e forensic review para avaliar estes padrões no respetivo contexto económico real.

A distribuição de responsabilidades segundo o Modelo das Três Linhas de Defesa é igualmente essencial neste domínio. A Primeira Linha deve dispor de conhecimento suficiente do cliente, do produto, das transações e da lógica económica para reconhecer quando determinadas estruturas financeiras ou fiscais exigem análise aprofundada. Os client-facing teams não devem presumir que estruturas fiscais complexas sejam da responsabilidade exclusiva de tax, legal ou compliance. Quando não seja claro por que motivo um pagamento circula através de várias entidades relacionadas, quem obtém realmente o benefício económico ou por que razão a atividade efetiva não corresponde à estrutura declarada, essas questões devem ser investigadas e documentadas. A Segunda Linha deve estabelecer padrões claros sobre beneficial ownership, tax integrity, source of wealth, source of funds, high-risk jurisdictions, complex structures e escalada. Pode ser necessária expertise fiscal especializada para avaliar se uma estrutura é economicamente e juridicamente explicável, enquanto compliance e as funções especializadas em criminalidade financeira devem determinar que riscos de integridade podem persistir apesar da licitude fiscal formal. A Terceira Linha deve determinar, de forma independente, se os processos relativos à titularidade efetiva, transparência fiscal e estruturas de clientes complexas funcionam efetivamente. Os órgãos de administração e supervisão devem, além disso, dispor de visibilidade sobre padrões estruturais. Se, por exemplo, um número significativo de clientes de risco elevado utilizar as mesmas jurisdições offshore, intermediários, trustees, consultores ou corporate service providers, isso pode gerar inteligência relevante ao nível da carteira que não seja imediatamente visível em processos individuais. A gestão coordenada liga, por isso, avaliações individuais a data analytics, network analysis e portfolio monitoring. Desta forma, a sua organização pode não apenas identificar quem está formalmente por detrás de uma estrutura, mas também demonstrar que a realidade económica, os fluxos financeiros, o contexto fiscal e os riscos de integridade foram analisados de forma substantiva.

DNB, AFM e enforcement coordenado entre múltiplas autoridades de supervisão

Os bancos, instituições financeiras e empresas FinTech operam num ambiente de supervisão em que diferentes autoridades nacionais e internacionais podem examinar, simultânea ou sucessivamente, os mesmos factos, processos ou deficiências de controlo. O DNB pode concentrar-se na gestão prudencial, integridade, obrigações AML, cumprimento de sanções, governação e eficácia dos controlos. A AFM pode, dependendo do tipo de instituição e serviço, analisar market conduct, proteção do cliente, product governance, disclosure, gestão controlada da atividade e integridade dos mercados financeiros. Adicionalmente, FIOD, Ministério Público, FIU-Nederland, Autoridade Neerlandesa para a Proteção de Dados, supervisores estrangeiros, autoridades europeias, administrações fiscais, autoridades da concorrência e outros organismos podem dispor das respetivas competências legais e necessidades de informação. Um único incidente pode, por isso, desencadear diferentes processos de supervisão e enforcement. Uma deficiência no transaction monitoring pode, por exemplo, gerar questões relativas a AML compliance, possíveis operações inusuais, governação, qualidade dos dados, reporting interno e responsabilidade individual de determinados dirigentes. Uma questão de fraude pode produzir simultaneamente consequências penais, civis, regulatórias, de proteção de dados e reputacionais. Uma gestão integrada destes riscos exige, por conseguinte, que o regulatory engagement não seja tratado como um processo isolado de compliance, mas integrado com estratégia jurídica, fact-finding, data analysis, governação, comunicação e remediation. Desde o primeiro momento, a sua organização deve compreender que autoridades podem ser competentes, que obrigações de informação são aplicáveis, que proteções jurídicas podem assumir relevância e que consequências declarações ou documentos apresentados num processo podem produzir noutros procedimentos paralelos.

A qualidade da resposta à supervisão depende, em larga medida, da qualidade da governação subjacente e da posição probatória. Quando o DNB, a AFM ou outra autoridade questiona por que motivo determinado risco foi aceite, por que razão um sistema foi concebido de determinada forma ou por que motivo uma deficiência não foi identificada mais cedo, a sua organização deve conseguir demonstrar muito mais do que policies e descrições de procedimentos. A questão relevante é frequentemente a forma como o sistema de controlo funcionava na realidade. Que management information estava disponível? Que warning signs eram conhecidos? Que decisões foram tomadas? Quem tinha responsabilidade? Que challenge foi exercido? Que exceções foram autorizadas? Que medidas de remediation foram iniciadas? Como se verificou posteriormente que essas medidas eram eficazes? Uma gestão sólida dos riscos de criminalidade financeira exige, por isso, uma tomada de decisão rastreável. Board minutes, risk committee papers, issue logs, audit findings, compliance reviews, model validation reports, investigation reports, management attestations, remediation plans e outros documentos internos devem permitir, em conjunto, reconstruir de forma coerente como os riscos foram identificados e geridos. Isto não significa que todas as discussões internas devam ser conduzidas exclusivamente tendo em vista um eventual enforcement futuro. Significa, contudo, que decisões materiais devem ser verificáveis, reconstruíveis e substancialmente fundamentadas. Quando existam diferenças entre documentação formal e execução real, as autoridades tenderão a concentrar-se na realidade operacional. Um procedimento que estabeleça que clientes de risco elevado são revistos anualmente oferece pouca proteção se os sistemas demonstrarem que milhares de revisões apresentam atrasos estruturais. A regulatory defensibility resulta, portanto, da eficácia demonstrável do sistema e não da mera existência formal de políticas.

O enforcement coordenado exige ainda uma tomada de decisão interna particularmente disciplinada. Quando intervêm vários supervisores ou autoridades investigativas, a posição jurídica, a análise factual, as comunicações e a produção documental devem estar estreitamente alinhadas. Uma resposta fornecida a uma autoridade pode produzir consequências noutro procedimento. Um internal investigation report pode conter factos relevantes para supervisão, avaliação penal, reclamações civis, medidas laborais ou responsabilidade de administradores. Uma declaração pública pode revelar-se posteriormente incompatível com informação fornecida a um supervisor. Uma abordagem integrada conecta, por isso, legal, compliance, risk, investigations, finance, tax, data, communications e senior management num único response framework governado de forma coerente. A Primeira Linha deve disponibilizar factos e informação operacional de forma completa e atempada. A Segunda Linha deve supervisionar a avaliação dos riscos, as obrigações de compliance e a remediation e exercer challenge quando o management subestime a gravidade de uma deficiência. A Terceira Linha deve avaliar de forma independente se as fragilidades estruturais foram efetivamente corrigidas e se os audit findings anteriores foram tratados dentro de prazos adequados. Para a sua organização, a questão essencial é que a regulatory readiness não deve começar apenas quando é recebido um pedido formal de informação. Um modelo sólido monitoriza continuamente open control issues, material incidents, overdue remediation, recurring findings, management overrides e diferenças entre os frameworks formais e a execução quotidiana. Desta forma, a organização pode não apenas responder a questões individuais dos supervisores, mas demonstrar de forma convincente que a gestão dos riscos de criminalidade financeira está estruturalmente integrada na governação, tomada de decisão e operações diárias.

Responsabilidade dos órgãos de administração, Modelo das Três Linhas de Defesa e eficácia demonstrável dos controlos

A responsabilidade dos órgãos de administração constitui o principal ponto de convergência entre estratégia, risk appetite, execução operacional e gestão dos riscos de criminalidade financeira. Um conselho de administração pode delegar determinadas tarefas, mas não pode reduzir a sua responsabilidade final por uma governação eficaz e por uma atividade gerida de forma controlada à mera existência de funções de compliance, risk ou audit. Para bancos, instituições financeiras e empresas FinTech, isto significa que administradores e senior management devem possuir conhecimento suficiente dos principais riscos de criminalidade financeira aos quais a sua organização está exposta, da forma como esses riscos são controlados, das limitações dos controlos existentes e das áreas em que são necessárias medidas adicionais. A board oversight exige, por isso, muito mais do que a receção periódica de dashboards. Os administradores devem compreender que informação está subjacente aos principais indicadores, que pressupostos são utilizados nos risk assessments, onde existem backlogs materiais, que modelos apresentam desempenho insuficiente, que processos de risco elevado estão a ser escalados, que incidentes podem ter causas estruturais e que programas de remediation estão atrasados. Um dashboard em que quase todos os indicadores surgem a verde enquanto persistem KYC backlogs relevantes, alert queues, deficiências de dados ou audit findings materiais pode ser mais indicativo de management information inadequado do que de uma gestão efetivamente robusta. A governação destes riscos exige, por conseguinte, informação que não se limite a contar atividades, mas forneça uma visão real dos riscos, tendências, causas subjacentes e resultados. O board reporting deve responder à questão do que os administradores necessitam de saber para tomar decisões verdadeiramente informadas, e não apenas que dados são mais fáceis de produzir.

O Modelo das Três Linhas de Defesa confere a esta responsabilidade uma estrutura clara e de fácil compreensão. A Primeira Linha detém e gere os riscos. Os dirigentes operacionais, business management, operations, product functions, client-facing teams, payment functions e outras funções operacionais são responsáveis pelos riscos decorrentes da estratégia, atividades comerciais, produtos, clientes, transações, tecnologia e tomada de decisão quotidiana. Devem identificar, avaliar, controlar, documentar, monitorizar e escalar esses riscos atempadamente. A Segunda Linha define orientações, aconselha, supervisiona e exerce challenge crítico. Risk management, compliance, funções especializadas em criminalidade financeira, sanctions, fraud risk, privacy, cybersecurity, legal, tax e outras funções de supervisão estabelecem frameworks, avaliam riscos, questionam pressupostos, monitorizam compliance e escalam deficiências materiais. A Terceira Linha avalia de forma independente se a Primeira e a Segunda Linhas funcionam efetivamente e presta assurance ao conselho e aos órgãos de supervisão. Esta distribuição apenas funciona quando as responsabilidades estão claramente delimitadas. Compliance não deve transformar-se, de facto, no proprietário dos riscos operacionais por o negócio não assumir responsabilidade suficiente. Do mesmo modo, a Primeira Linha não deve transferir decisões para compliance com a única finalidade de deslocar a responsabilidade por uma escolha comercial. A Segunda Linha deve dispor de suficiente independência, conhecimento técnico e autoridade para questionar efetivamente a tomada de decisão comercial. Internal audit deve manter independência suficiente tanto do negócio como das funções risk e compliance para poder reportar fragilidades sem constrangimentos. A gestão integrada destes riscos exige, portanto, não apenas que as Três Linhas estejam formalmente descritas, mas que a sua interação seja visível em processos concretos, incidentes, decisões de produto, risk assessments e mecanismos de escalada.

A control effectiveness distingue uma gestão real de uma gestão puramente documental. Uma instituição pode dispor de extensas policies, múltiplos controlos, comités e sistemas de monitoring e, ainda assim, não manter controlo suficiente sobre os riscos de criminalidade financeira quando os controlos não são executados atempadamente, as exceções não são adequadamente investigadas, os findings são repetidamente adiados, o management information é incompleto ou as mesmas fragilidades estruturais reaparecem. A sua organização deve, portanto, avaliar não apenas se um controlo existe, mas também se foi adequadamente concebido, se é executado de forma consistente, se reduz efetivamente o risco para o qual foi implementado e se é adaptado atempadamente quando as circunstâncias se alteram. Isto exige control owners claramente identificados, testing methodologies, performance indicators, issue management, remediation governance e assurance independente. Os findings provenientes de compliance monitoring, internal audit, incidentes, reclamações de clientes, fraud investigations, regulator reviews e external assurance devem ser analisados conjuntamente para verificar se as mesmas causas subjacentes surgem em diferentes áreas. Se, por exemplo, KYC quality, transaction monitoring e sanctions screening forem todos afetados pelas mesmas deficiências em customer data, medidas de remediation separadas para cada controlo podem revelar-se insuficientes. Nesse caso, deve ser corrigido o problema de dados na sua origem. Se diferentes incidentes resultarem repetidamente de exceções autorizadas sob pressão comercial, pode existir uma questão mais profunda de governação ou cultura. Uma gestão transversal torna estas ligações visíveis. Para os administradores, isto significa que accountability, supervisão e eventual responsabilidade não dependem apenas da aprovação formal de uma política, mas também de saber se os warning signs foram tratados, se foram colocadas questões críticas, se foram disponibilizados recursos suficientes e se as deficiências identificadas foram corrigidas com a diligência e a rapidez necessárias.

Governação integrada da criminalidade financeira e defensabilidade demonstrável perante supervisores e autoridades de investigação

A gestão dos riscos de criminalidade financeira atinge o seu maior valor quando AML, KYC, fraude, sanções, integridade fiscal, cyber risk, data governance, investigations, legal, compliance, risk management, finance e internal audit deixam de funcionar como silos separados e passam a operar como domínios interligados dentro de um mesmo sistema de governação e controlo. Os riscos de criminalidade financeira raramente seguem o organograma formal de uma instituição. Um mesmo cliente pode ser simultaneamente relevante sob as perspetivas de KYC, fraud monitoring, sanctions exposure, integridade fiscal, cyber investigation e risco reputacional. Um pagamento pode gerar um transaction-monitoring alert, parecer invulgar sob a perspetiva de fraude, envolver uma região sujeita a sanções e estar relacionado com uma pessoa coletiva cuja titularidade efetiva não seja suficientemente transparente. Um colaborador interno pode estar envolvido em overrides de fraud controls, decisões atípicas de customer acceptance e manipulação de dados. Quando cada função analisa apenas os seus próprios sinais, determinados indicadores podem parecer pouco materiais isoladamente, mesmo quando o quadro combinado é substancialmente mais preocupante. Uma governação integrada deve, por isso, construir verdadeira inteligência de risco. Informação sobre clientes, transações, alertas, investigations, adverse media, fraud cases, sanctions matches, whistleblowing reports, audit findings, tax indicators, cyber incidents e outros sinais relevantes devem poder ser ligados, sempre que isso seja juridicamente e operacionalmente possível. Desta forma, a sua organização pode identificar padrões que permaneceriam praticamente invisíveis dentro de sistemas separados. Entity resolution, network analysis, relationship mapping, common counterparties, shared devices, endereços comuns, payment routes semelhantes e intermediários recorrentes podem, em conjunto, produzir um sinal significativamente mais relevante do que uma única transação ou um único customer record.

Esta integração exige uma governação precisa, porque nem todas as funções desempenham o mesmo papel e nem todos os sinais exigem escalada para o mesmo nível de decisão. A sua organização deve determinar claramente que riscos podem ser geridos ao nível operacional, quando é necessária uma avaliação especializada, quando o senior management deve decidir e que matérias devem ser submetidas ao conselho de administração ou aos órgãos de supervisão. Risk-based escalation thresholds podem ter em conta a dimensão financeira, o perfil do cliente, a exposição geográfica, ligações políticas, suspeitas de condutas criminosas, risco de sanções, atenção mediática, potencial impacto nos clientes, envolvimento de senior employees, repetição de incidentes anteriores e possíveis consequências regulatórias. O Modelo das Três Linhas de Defesa fornece estrutura. A Primeira Linha permanece responsável pela aceitação do risco e pela execução operacional dentro de parâmetros previamente estabelecidos. A Segunda Linha avalia, aconselha, monitoriza e exerce challenge. A Terceira Linha presta assurance independente sobre a eficácia do sistema no seu conjunto. O conselho de administração e os órgãos de supervisão situam-se acima desta distribuição operacional e devem ser capazes de avaliar se o sistema conjunto funciona adequadamente. Uma governação transversal exige igualmente uma coordenação horizontal eficaz. Legal deve, por exemplo, intervir quando existam internal investigations, reporting obligations, privilege, disclosure, civil claims ou criminal exposure. Finance e tax podem ser necessários para explicar fluxos financeiros complexos ou estruturas societárias. Cybersecurity e data functions podem disponibilizar digital evidence ou informação de sistemas. Compliance e especialistas em criminalidade financeira devem aplicar as normas jurídicas e tipologias relevantes. Internal audit deve preservar a sua independência e não se tornar responsável pela execução de uma remediation que possa posteriormente ter de avaliar. Um modelo integrado não implica, por isso, diluição de responsabilidades, mas uma organização rigorosa da colaboração entre funções que mantêm papéis distintos.

A regulatory defensibility constitui, em última análise, o teste à capacidade da sua organização para demonstrar, a posteriori, que riscos materiais de criminalidade financeira foram identificados, avaliados, controlados e escalados de forma proporcionada à natureza, escala e complexidade da atividade. Quando DNB, AFM, FIOD, Ministério Público, FIU-Nederland, supervisores estrangeiros, bancos correspondentes, auditores, acionistas, tribunais ou outros stakeholders reconstroem um processo, a análise geralmente não se limita ao resultado final. Também é examinado o processo que conduziu a esse resultado. Que informação estava disponível? Que red flags eram conhecidos? Que perguntas foram colocadas? Que informação adicional foi obtida? Que avaliações foram efetuadas? Que pessoas e funções intervieram? Que challenge foi exercido? Que desvios foram autorizados? Que riscos foram conscientemente aceites? Que medidas foram adotadas quando surgiu nova informação? Pode ser demonstrado que a remediation funcionou efetivamente? Uma gestão integrada transforma estas questões em parte da governação quotidiana, em vez de serem colocadas pela primeira vez quando se inicia uma investigação. Decisões, risk acceptances, investigations, exceptions, escalations, reviews e corrective actions devem, por isso, ser suficientemente rastreáveis para permitir a sua reconstrução posterior. Esta disciplina reforça não apenas a defensabilidade jurídica e regulatória, mas também a qualidade da decisão no momento em que é tomada. Para a sua organização, o resultado é um sistema coerente no qual prevenção, deteção, investigação, resposta, aconselhamento, contencioso e negociação se reforçam mutuamente; no qual dados, tecnologia, competências jurídicas, compliance, finance, tax, risk e audit estão interligados; e no qual os administradores podem demonstrar que a gestão dos riscos de criminalidade financeira não constitui uma atividade isolada de compliance, mas uma dimensão estrutural da estratégia, das operações, da integridade do cliente, da governação e da responsabilidade dos órgãos de administração.